The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Уязвимости в библиотеках X.Org, две из которых присутствуют с 1988 года, opennews (??), 11-Окт-23, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


10. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +3 +/
Сообщение от Карлос Сношайтилис (ok), 11-Окт-23, 12:19 
В каждой, да, КАЖДОЙ, новости про раст спрашивают: "почему нельзя безопасность С/С++ докрутить статическими анализаторами?".

И правда, почему?
Есть код, есть стандарт, есть правила (не ходить за буфер, не использовать после free, ...), "просто добавь проверки", чо там.

Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  –2 +/
Сообщение от Аноним (3), 11-Окт-23, 12:28 
Просто всем на эти уязвимости плевать. Их сложно использовать, сервак работает, не жалуется. В большинстве случаев локально, потому что когда эти ошибки в код попали, никто даже и не думал, что интернет станет настолько открытым и что какой-то мамкин хацкер будет посылать на вашу тачку окна с неправильными пакетами. А как только это поняли, либо отключили доступ к иксам из-вне, либо запихали сокеты в SSH туннель.
Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Карлос Сношайтилис (ok), 11-Окт-23, 12:36 
В контексте безопасности - согласен. В контексте работы приложения - нет. Эти ошибки вызовут аварийное завершение процесса и последующий его перезапуск или вообще - перезагрузка оси.
И ось превращается в винду: "вы передвинули курсор мыши, перезагрузите компьютер, чтобы изменения вступили в силу".
Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Аноним (3), 11-Окт-23, 12:44 
То, что это ошибки в коде, я и не отрицаю. Их надо исправить, чтобы графика не падала при очень странных обстоятельствах. Я просто акцентирую для фанатов вэйланда, что на безопасность это никак не влияет: приложение, которое уже может прочитать токен и подключиться к сокету иксов, и так уже скорее всего имеет доступ к вашему /home. Бежим закатывать контейнеры в контейнеры? Или делать такую-же дрянь, как делают последние Android, тупо копируя одни и те же файлы в data приложения?
Ответить | Правка | Наверх | Cообщить модератору

31. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +1 +/
Сообщение от Аноним (21), 11-Окт-23, 12:52 
> Есть код, есть стандарт, есть правила

Предположим код есть (если это называется кодом, хотя у тех кто в нем ковырялся другое, более эмоцианальное мнение)))

Есть "стандарт" который состоит из множества UB вида
"Мы не знаем как оно должно работать, любитесь сами! Пусть разработчик компилятора решает"
собственно, что мы видим регулярно с переполнениями.
То что это называется стандартом, просто позорит термин стандарт.
Самих компиляторов просто море, практически все они не реализуют стандарт полностью.

Есть правила... а погодите, а где они есть?
У каждого проекта свои заморочки, каких-то общепринятых стандартов оформления кода и best-practice нету (кроме Мисры, но она отдельно).
Более того, нарушение некоторых правил часто выпячивается как преимущество.
Например каст к void*. И их используют!

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

35. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Аноним (3), 11-Окт-23, 12:56 
Предупреждения компилятора при -Wall -Wextra -pedantic и указанном предпочитаемом --std= существуют не для того, чтобы разноцветные буковы во время компиляции по экрану бегали. Когда компилятор просто возвращает 0 и не печатает ничего на экран - вот это код, который соответствует правилам, даже если внутри используется колдунство с тайпкастами, потому что их уже можно найти и изучить.
Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Анонимусс (?), 11-Окт-23, 13:00 
А ты пробовал собрать иксы с -Wall -Wextra -pedantic? И как оно?
Ответить | Правка | Наверх | Cообщить модератору

148. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Аноним (3), 11-Окт-23, 17:39 
Нет, не пробовал. Только проблема ли это X11? Мне кажется нужен просто нормальный сервак для иксов со всеми наработками и исправленными ошибками, а не плеваться во все стороны тейками от людей, которые несут хрень и предлагают всем жрать кактус, который (вау, вот это да) только показывает картинку на экране и больше нихрена не умеет.
Ответить | Правка | Наверх | Cообщить модератору

166. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от Анонимусс (?), 11-Окт-23, 21:51 
> Мне кажется нужен просто нормальный сервак для иксов со всеми наработками и исправленными ошибками

Да я б не отказался, но где его взять?
Все альтернативные реализации давно умерли, осталось только это поделие.
Вот только никто не хочет его дорабатывать и исправлять.
Все только жалуются и ноют на форумах, как будто им хоть что-то должны.

Ответить | Правка | Наверх | Cообщить модератору

174. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +/
Сообщение от ИмяХ (?), 12-Окт-23, 08:14 
А, кроме как показывать картинку, от дисплейного менеджера ничего больше не надо. Для всего остального есть systemd
Ответить | Правка | К родителю #148 | Наверх | Cообщить модератору

44. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  +1 +/
Сообщение от Аноним (21), 11-Окт-23, 13:05 
А в каких проектах оно обязательно?
Под обязательно я имею в виду "PR не примут пока оно не пройдет проверки".
Я работал с проектом, где была политика zero-warnings (и она реализовывалась, не отключением варнингов))).
Более того поверх был линтер, который бил по рукам за кривой код.
И он тоже был обязательным для pull-request'ов.

Но раз оно таки существует..
То почему им не пользуются? Откуда столько ошибок?

Мое мнение такое - необязательные проверки будут отключать, всегда.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

124. "Уязвимости в библиотеках X.Org, две из которых присутствуют ..."  –1 +/
Сообщение от Аноним (121), 11-Окт-23, 16:06 
Раст пихать -- хитрость.

Типа если раст безопасен, то и ошибки можно не искать. А если не искать ошибки, то и закладки остануться не найденными.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру