Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в libssh, приводящая к переполнению буфера, opennews (??), 28-Авг-21, (0) [смотреть все] Ну сколько можно без радикального переписывания не обойтись , Аноним (5), 08:50 , 28-Авг-21, (5) –6 // Не ной, займись этим, замаял уже , Иваня (?), 08:59 , 28-Авг-21, (6) +5 Согласен, слишком много фрактальных недостатков накопилось , Аноньимъ (ok), 09:07 , 28-Авг-21, (8) +2 // hotfixed, Аноним (12), 10:11 , 28-Авг-21, (12) –9 // Здесь вам не тут , hohax (?), 17:02 , 28-Авг-21, (31) Тут вам не здесь , Аноним (40), 20:56 , 28-Авг-21, (40) хитрый какой анон всем известного стоп-слова нет - жаловаться модеру нет основа, СеменСеменыч77 (?), 21:07 , 29-Авг-21, (57) // Вот кто тут значит настукивает, Fedd (ok), 15:31 , 30-Авг-21, (71) // и не скрываю по-моему я всех предупредил кто не внял - ССЗБ , СеменСеменыч777 (?), 07:53 , 31-Авг-21, (88) Обычно уязвимости приводят к взлому системы А тут к переполнению буфера А в стар, Аноньимъ (ok), 09:02 , 28-Авг-21, (7) +7 // Убийство привело к смерти жертвы , Какаянахренразница (ok), 20:50 , 28-Авг-21, (39) +9 В школу собирайся, а не вспоминай про старые добрые времена , Аноним (47), 23:05 , 28-Авг-21, (47) –3 Новость надо читать полностью, а не по диагонали Так как в буфере размещается к, ptr128 (?), 10:50 , 30-Авг-21, (61) Может просто указать размер буфера по максимально длинному хэшу в системе Это с, Аноним (10), 09:33 , 28-Авг-21, (10) // А ещё можно просто проверять в коде поступающее снаружи Аксиома со школы, но мно, And (??), 10:45 , 28-Авг-21, (14) +3 // Ну, вы если бы писали подобное, я уверен предприняли все необходимые проверки и , ыы (?), 10:58 , 28-Авг-21, (15) –8 // Это на какой такой галере люди пашут 24 7 , Урри (ok), 15:13 , 28-Авг-21, (27) +1 Ну что вы, что вы, хозяин добр - на большинстве галер рабы могут пару часиков по, пох. (?), 00:15 , 29-Авг-21, (51) Не, не, не, ты что, нельзя так делать Такие проверки лишние, они только жрут це, Аноним (16), 11:23 , 28-Авг-21, (16) –1 // Толи дело электрон вот в нем все хорошо он просто не запускается на говне м, ыы (?), 11:29 , 28-Авг-21, (17) –2 А причем тут электрон Вам религия не позволяет прописать нужные флаги при компи, Аноним (16), 11:36 , 28-Авг-21, (18) Откуда такая большая цифра На фоне подсчета самого хеша, проверка размера буфер, Аноним (-), 12:07 , 28-Авг-21, (19) +3 Потому что писать меньше одного процента как-то некомильфо У этих ребят https , Аноним (16), 13:58 , 28-Авг-21, (26) Во-первых ключ меняется самой библиотекой, а не приходит снаружи Но надеюсь в, Аноним (52), 06:24 , 29-Авг-21, (52) Переполнения, переполнения, переполнения Эээх А ведь есть просто решение На, Аноним (20), 12:19 , 28-Авг-21, (20) –5 // Так уже написаны библиотеки и на Rust Просто тут речь про другую библиотеку В , anonymous (??), 12:42 , 28-Авг-21, (21) +1 // Он предлагает всё везде заменить на раст Не взирая ни на что Любой ценой , Гость (??), 13:27 , 28-Авг-21, (24) +5 // Но ведь раст в FF и Редох показал, что растаманы тоже ошибаются при проверке инд, Аноним (29), 16:15 , 28-Авг-21, (29) +2 Лучше упасть на переполнении сразу, чем heartbleed, Аноним (20), 17:01 , 28-Авг-21, (30) +1 Он, вроде, такого не говорил Этот риторический приём называется соломенное чуче, anonymous (??), 11:44 , 30-Авг-21, (62) +1 LibSSH работает на всех почти платформах Ваш любимый язык, к сожалению, покры, Урри (ok), 15:16 , 28-Авг-21, (28) +2 // А почему свет раста есть не на всех платформах Ллвм разве не это самое , Аноним (20), 17:07 , 28-Авг-21, (32) +2 // Конечно нет, llvm или сам тулчейн раста вполне может не поддерживать какую-то бо, Аноним (16), 17:36 , 28-Авг-21, (33) +1 Одна архитектура, одна система, один владелец Где-то я это уже слышал, не напом, Аноним (36), 18:53 , 28-Авг-21, (36) +1 Хаха, щютка на уровне Петросяна Впрочем глупо было ожидать большего Архитект, Аноним (16), 20:18 , 28-Авг-21, (37) +2 Вы не видите разницы между собирается и работает Сходите на https doc rust, Урри (ok), 21:35 , 29-Авг-21, (59) –2 1 Это враньё, там куча поддерживаемых платформ 2 Гарантированная работа тулзоф, Аноньимъ (ok), 12:08 , 30-Авг-21, (63) Понятно Значит разницы между работать и компилироваться растишечка таки не , Урри (ok), 13:32 , 30-Авг-21, (68) –2 Именно что ты не можешь Потом что для GCC написано то же самое secondary platfo, Аноним (16), 16:03 , 30-Авг-21, (72) Растообиженка вертится как угорь на сковороде Приятно посмотреть , Урри (ok), 18:39 , 30-Авг-21, (78) Ахаха, ну ты даешь Ты вкинул в тему цифру про пять процентов и ушел от ответа с, Аноним (16), 19:09 , 30-Авг-21, (81) где просьба Ну и кроме того - что, своих мозгов не хватает по картинке оценит, Урри (ok), 19:30 , 30-Авг-21, (82) к твоему сообщение написан текст и там даже знак вопроса что же это может быт, Аноним (16), 19:45 , 30-Авг-21, (83) Ааааа Да все, что не 5 Начиная с iot, пробегая через мобильные девайсы и зака, Урри (ok), 20:02 , 30-Авг-21, (84) Внезапно да, на одной конкретной платформе не собирается миллиард строк кода от , Аноньимъ (ok), 18:22 , 30-Авг-21, (74) И что же у вас за платформа такая , Урри (ok), 18:37 , 30-Авг-21, (77) Хайку ос на эльбрусе , Аноньимъ (ok), 00:17 , 31-Авг-21, (86) Я то разницу вижу А вот вы подменяете понятия, тир 2 это то же поддержка Ит то, , Аноньимъ (ok), 18:29 , 30-Авг-21, (75) Че, реально А-ха-ха-ха-ха-ха Впрочем не хотите купить у меня программу, кото, Урри (ok), 18:36 , 30-Авг-21, (76) –1 Да ну, аж интересно что же такое важное и значимое не поддерживается на уровне T, Аноним (16), 17:49 , 28-Авг-21, (35) +1   // Для хрустобоя все что не поддерживается - неважное и незначимое ожидание - списо, пох. (?), 20:23 , 28-Авг-21, (38) –4   Разумеется, потому что 32бит в тиер2 Мамонтам там и место - последний интеловый, Аноним (16), 21:03 , 28-Авг-21, (41)   Даже в консервативной фре - ожидаемый по умолчанию класс ЦПУ теперь i686 и вообщ, Бздун (?), 21:32 , 28-Авг-21, (43) +2   Но 3d-party си-компилятор для нее, как видишь - пока еще не сломали Потому что , пох. (?), 21:55 , 28-Авг-21, (45) –1   значит хрустикам вскоре найдется место на помойке - вместе с модными еще в прошл, пох. (?), 21:53 , 28-Авг-21, (44) –2   Э гугль или гугль Винды и винды Дед, ты опять забыл таблетки выпить Но дело , Аноним (16), 22:31 , 28-Авг-21, (46)   ну так под платформы, одобряемые гуглем и да, это винда - ему же нужно чтоб у р, пох. (?), 00:13 , 29-Авг-21, (50) –3   Да вы профи А ну брысь в школу, каникулы уже кончились , нах.. (?), 21:09 , 29-Авг-21, (58) –2   https gcc gnu org install binaries htmlУ GCC нет тир 1 и 2 как явления , Аноньимъ (ok), 12:13 , 30-Авг-21, (64) –1   бть какие ж вы все же ди-лы У gcc есть tier1 и 2 Как раз тем и отличаются,, пох. (?), 12:18 , 30-Авг-21, (65) –2   Это прекрасно Я прямо заворожен и лишился слов Так вот Это не то, что под тир 1, Аноньимъ (ok), 12:27 , 30-Авг-21, (66)   кем подразумевается - хрустиками Вы и из этого новую религию сделали P S еще, пох. (?), 13:20 , 30-Авг-21, (67) +1   Ну и зачем вы так с разбегу в лужу садитесь сразу https docs freebsd org en ar, Аноньимъ (ok), 18:58 , 30-Авг-21, (80)   пох, ты конечно идиот Но здесь отлично выступил Зацени как у народца подгорает-, Урри (ok), 13:34 , 30-Авг-21, (69) –1   Ну а какие ещё платформы нужны, вот по-честному Кроме икс 86-64 и арм Лигаси п, Аноним (20), 17:57 , 30-Авг-21, (73)   Растишечным хелловорлдам, действительно, и одного windows x86_64 хватать должно , Урри (ok), 18:51 , 30-Авг-21, (79) –1   А не хелловордам Ну хоть одна платформа не лигаси и не нишевая есть , Аноним (20), 03:12 , 31-Авг-21, (87)   В продакшн версиях приложений на расте нет никаких проверок переполнения , Аноним (53), 09:52 , 29-Авг-21, (53) // Откуда инфа В расте вроде проверки никто вменяемый не выключает в сейф коде, Аноним (20), 02:04 , 30-Авг-21, (60) Переполненые буфера - это прекрасно , Аноним (-), 21:23 , 28-Авг-21, (42) а кто юзал полноценно и libssh b libssh2 Первый я покурил хорошо, написал класс, СССР (?), 23:14 , 28-Авг-21, (48) // Расскажите, как ограничить возможность их использования в системе по максимуму, , Аноним (56), 20:03 , 29-Авг-21, (56) // Вероятно, пора перевестись в класс умственно отсталых по информатике и ВТ , BorichL (ok), 14:46 , 30-Авг-21, (70) Не совсем понимаю вопрос вам для чего их удалять Просто отключите сервис в сис, СССР (?), 00:09 , 31-Авг-21, (85) В качестве запасного метода защиты можно ограничить список поддерживаемых метод, СССР (?), 23:18 , 28-Авг-21, (49) // Можно перейти на telnet внутри vpn , Аноним (53), 09:52 , 29-Авг-21, (54) Кто вообще придумал такое переобувание в полете , Аноним (-), 07:39 , 03-Сен-21, (89) 5,7,10,20,42,48,49,89

Сообщения

[Сортировка по времени | RSS]

	35. "Уязвимость в libssh, приводящая к переполнению буфера"	+1 +/–
	Сообщение от Аноним (16), 28-Авг-21, 17:49
	Да ну, аж интересно что же такое важное и значимое не поддерживается на уровне Tier 1-2 и занимает аж 95%? Заодно и с пруфцами что LibSSH  там есть. А то цифра звучит... ну скажем взятой с потолка)) Список поддерживаемыъ платформ можно увидеть тут https://doc.rust-lang.org/nightly/rustc/platform-support.html
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

	38. "Уязвимость в libssh, приводящая к переполнению буфера"	–4 +/–
	Сообщение от пох. (?), 28-Авг-21, 20:23
	Для хрустобоя все что не поддерживается - неважное и незначимое. > Список поддерживаемыъ платформ можно увидеть тут https://doc.rust-lang.org/nightly/rustc/platform-support.html ожидание - список на пару страниц. Реальность: в tier1 восемь строчек. Винда, винда, винда и винда. 64 bit only. И еще, вот, нате-подавитесь - линoops и максось. В единственно-верных позах. Нда, с другой стороны - а чего еще от макак ждать... Про tier2 не будем - мне ваши "guaranteed to build" нафиг не упали. ЭТУ гарантию обеспечивает llvm, угу. А вот что _ваша_ поделка что-то там build после этого, а не "такая херня, такая херня получается" - никто, похоже, не гарантирует вовсе. Разумеется это то что нужно для low-footprint библиотечки собирающейся везде где вообще есть поддержка posix.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноним (16), 28-Авг-21, 21:03
	> Win 64 bit only. Разумеется, потому что 32бит в тиер2. Мамонтам там и место - последний интеловый 32bit only проц вышел 10 лет назад (атом), а последний нормальный десктопный - в далеком 2006. Но если найдется тот кто это поддержит и протестит - это будет просто прекрасно. > нате-подавитесь - линoops и максось. В tier1 линуксов всего на один меньше чем вариантов винды - 4 vs 3. Так что мимо. Столько буков написал, а ни одной значимой архитектуры так и назвал. А теперь глянем на божественный ГЦЦ. https://gcc.gnu.org/gcc-11/criteria.html Primary Platform List. "ожидание - список на пару страниц", реальность: линь, линь, бздя, линь, мипсы, линь, линь, солярка, линь... Очень разнообразно однако. Ни макоси, ни винды. Печалька. Secondary Platform List: о, надо же, макось и винду добавили. А где андроид, где ios? Хотя бы на уровне "guaranteed to build"? Слабенько как-то.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в libssh, приводящая к переполнению буфера"	+2 +/–
	Сообщение от Бздун (?), 28-Авг-21, 21:32
	> i586-unknown-freebsd > бздя Даже в консервативной фре - ожидаемый по умолчанию класс ЦПУ теперь i686 и вообще, x86 перевели в Tier2.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в libssh, приводящая к переполнению буфера"	–1 +/–
	Сообщение от пох. (?), 28-Авг-21, 21:55
	Но 3d-party си-компилятор для нее, как видишь - пока еще не сломали. Потому что без него не будет ничего работать вообще, кроме голой фри, которая никому не нужна ни на 586, ни на чем другом.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость в libssh, приводящая к переполнению буфера"	–2 +/–
	Сообщение от пох. (?), 28-Авг-21, 21:53
	> Мамонтам там и место значит хрустикам вскоре найдется место на помойке - вместе с модными еще в прошлом году штанами от усраччи. > Но если найдется тот кто это поддержит и протестит - это будет просто прекрасно. не найдется - ваш хруст не нужен никому кроме ошпаренных макак, любителей свежайшего. А те не умеют в долгосрочные сложные проекты, если их не финансирует гугль, или, например, гугль. И это в общем-то хорошо. Очередная антитехнология далеко не уйдет с винды, винды, винды, и винды. > https://gcc.gnu.org/gcc-11/criteria.html а вот это, чувак, не "кое-как собирается сам бинарник". Это проходят тесты DejaGNU - гарантирующие не сборку бесполезного компилятора, а то что этот компилятор хотя бы периодически после этого компилит работающий на этой платформе код - причем всеми своими фронтендами. Для начала - на этой платформе они вообще должны работать, что не очень просто, операционная система нужна (а не ведроид). При том что это gcc11, то есть снова нечто уже маловостребованное за пределами линoops под единственноверную архитектуру из-за троянцев в механизме. К счастью, libssh пока вроде не требует для своей сборки моднейших версий компилятора - соберется и устаревшей на десять лет. > Ни макоси, ни винды. Печалька. диствительна. У них ведь, бедолажек, нет своего си компилятора? А вот своего хруста, не завязанного на llvm единственноправильной версии - действительно нет и не будет никогда и нигде. Т.е. его не будет никогда и нигде кроме платформ, куда эппл захочет спортировать свой код, и при этом еще сами хрустики осилят на него портироваться. Закапывайте...
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	46. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноним (16), 28-Авг-21, 22:31
	> если их не финансирует гугль, или, например, гугль. > не уйдет с винды, винды, винды, и винды. Э... гугль или гугль? Винды и винды? Дед, ты опять забыл таблетки выпить? Но дело в том что их и так финансирует гугл. В Rust Foundation - как раз google, facebook, microsoft, aws, huawei, а в спонсорах - arm, github и еще кто-то. Т.е. те же самые google, facebook, microsoft, huawei которые являются Platinum и Gold members в Linux Foundation))) Так что можешь не беспокоиться.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимость в libssh, приводящая к переполнению буфера"	–3 +/–
	Сообщение от пох. (?), 29-Авг-21, 00:13
	> Но дело в том что их и так финансирует гугл. ну так под платформы, одобряемые гуглем (и да, это винда - ему же нужно чтоб у раба все работало и на десктопе тоже) - оно и будет работать. Вот те пять штук из списка. А солярисы эти ваши - пустое, как и 32битные системы. Их гугль оплачивать не планирует, и там ничего работать не будет. И тем более не будет во всякой мелкой фигне, для которой подобные библиотеки и актуальны. Одно радует - гугль похоронил уже великое множество прожектов, так что и этому рано или поздно крышка.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Уязвимость в libssh, приводящая к переполнению буфера"	–2 +/–
	Сообщение от нах.. (?), 29-Авг-21, 21:09
	> Разумеется, потому что 32бит в тиер2. Мамонтам там и место - последний интеловый 32bit only проц вышел 10 лет назад (атом), а последний нормальный десктопный - в далеком 2006. Но если найдется тот кто это поддержит и протестит - это будет просто прекрасно. Да вы профи. А ну брысь в школу, каникулы уже кончились.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	64. "Уязвимость в libssh, приводящая к переполнению буфера"	–1 +/–
	Сообщение от Аноньимъ (ok), 30-Авг-21, 12:13
	https://gcc.gnu.org/install/binaries.html >Please note that we did not create these binaries, nor do we support them. If you have any problems installing them, please contact their makers. У GCC нет тир 1 и 2 как явления.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	65. "Уязвимость в libssh, приводящая к переполнению буфера"	–2 +/–
	Сообщение от пох. (?), 30-Авг-21, 12:18
	бть... какие ж вы все же ди-лы... У gcc есть tier1 и 2. Как раз тем и отличаются, что одно тестируют, а другое - собралось, ну уже хорошо. Но он не распространяется в бинарниках, как и _любой_ gnu софт - ждите, д-лы. gnu распространяется своими разработчиками в виде исходников. Традиция тех времен, когда их принято было собирать у себя и для себя. Придут добрые дяденьки и за вас все соберут, только к проекту они не имеют никакого отношения. Может даже тесты запустят, прежде чем вам эту сборку вывалить на лопате. А может нет, вы ж д-лы, вы и так схаваете.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноньимъ (ok), 30-Авг-21, 12:27
	Это прекрасно. Я прямо заворожен и лишился слов. Так вот. Это не то, что под тир 1 подразумевается обычно.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Уязвимость в libssh, приводящая к переполнению буфера"	+1 +/–
	Сообщение от пох. (?), 30-Авг-21, 13:20
	кем "подразумевается" - хрустиками? Вы и из этого новую религию сделали? P.S. еще вон у freebsd tier'ы есть. И снова это ничуть не про бинарники.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноньимъ (ok), 30-Авг-21, 18:58
	>P.S. еще вон у freebsd tier'ы есть. И снова это ничуть не про бинарники. Ну и зачем вы так с разбегу в лужу садитесь сразу? https://docs.freebsd.org/en/articles/committers-guide/#archs >The FreeBSD Project provides the following guarantees to consumers of Tier 1 platforms: >Official FreeBSD release images will be provided by the release engineering team. >Binary updates and source patches for Security Advisories and Errata Notices will be provided for supported releases. >Binary updates and source patches for cross-platform Security Advisories will typically be provided at the time of the announcement. >Official binary packages for third party software will be provided by the ports team. For embedded architectures, these packages may be cross-built from a different architecture. Да конечно, бинарники необязательны, однако, тяжело обеспечить *первоклассную поддержку* когда нет официальных бинарников на которые можно ссылаться в саппорте/багрепорте. Как-то в целом не очень первоклассно получается когда для первого класса нет официально собранных бинарников. Проект GNU в первую очередь предоставляет поддержку свободы предоставляемого софта, это то-же нужно понимать, и только во вторую очередь всех остальных качеств.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в libssh, приводящая к переполнению буфера"	–1 +/–
	Сообщение от Урри (ok), 30-Авг-21, 13:34
	пох, ты конечно идиот. Но здесь отлично выступил. Зацени как у народца подгорает-то, что их любимый растик полторы платформы всего поддерживает.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	73. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноним (20), 30-Авг-21, 17:57
	Ну а какие ещё платформы нужны, вот по-честному? Кроме икс 86-64 и арм? Лигаси платформы не нужны, потому что кто под них будет переписывать? Надо новый код писать. А какой-нибудь авз микроконтроллер можно и на Си делать, там всё-таки проги должны быть маленькими и с памятью штык в штык работать (хотя кто-то вроде и Раст на микроконтроллеры запихивает).
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в libssh, приводящая к переполнению буфера"	–1 +/–
	Сообщение от Урри (ok), 30-Авг-21, 18:51
	> Ну а какие ещё платформы нужны, вот по-честному? Кроме икс 86-64 и > арм? Растишечным хелловорлдам, действительно, и одного windows/x86_64 хватать должно. Даже не могу поспорить, все так.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в libssh, приводящая к переполнению буфера"	+/–
	Сообщение от Аноним (20), 31-Авг-21, 03:12
	А не хелловордам? Ну хоть одна платформа не лигаси и не нишевая есть?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема