Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

46% Python-пакетов в репозитории PyPI содержат потенциально небезопасный код, opennews (??), 30-Июл-21, (0) [смотреть все] Никогда такого не было, и вот опять, Noname (??), 14:39 , 30-Июл-21, (1) +18 // ну тут просто на расте питон надо переписать и все проблемы сами собой решатся , ХрюХрю (?), 15:24 , 31-Июл-21, (132) –2 // https github com RustPython RustPython, Аноним (142), 00:19 , 01-Авг-21, (142) // Они все сделали через Должен же быть пыхтонраст , Аноним (-), 08:27 , 02-Авг-21, (180) Очередное британское исследование , Аноним (2), 14:42 , 30-Июл-21, (2) +20 // Пускай и финское , Аноним (2), 14:43 , 30-Июл-21, (3) +5 // Британским ученым ровно ничего не мешает проводить исследования в Финляндии , Аноним (39), 17:19 , 30-Июл-21, (39) // Brexit все дела, Хан (?), 20:35 , 30-Июл-21, (66) +1 Британский ученый - это призвание , Аноним (76), 22:02 , 30-Июл-21, (76) +2 Скорее диагноз PS не, ну некоторые из ботоводов достаточно откровенны и сразу, Michael Shigorin (ok), 22:33 , 01-Авг-21, (165) –1 Какой бред Сам факт использования этих функций не является чем-то плохим А вот, Аноним (4), 14:43 , 30-Июл-21, (4) +10 // Там больше половины пунктов такой же бред Их послушать - вообще дышать не надо , Аноним (42), 17:33 , 30-Июл-21, (42) –4 // Дык пишут же что потенциально Потенциально и бабушка это дедушка Потенциально , Амоним (?), 18:09 , 30-Июл-21, (49) +2 Любое хеширование предполагает, что вероятность появления двух одинаковых хешей , Аноним (89), 04:59 , 31-Июл-21, (89) +1 // Ммм crc32 вроде весьма вероятно, популярный алгоритм , Аноним (93), 05:20 , 31-Июл-21, (93) // Этот только для проверки целостности годится для случаев случайного повреждения , Аноним (89), 05:27 , 31-Июл-21, (96) Т е CRC32 на что-то все-таки годится А MD5, для этих же целей - почему-то нет , Аноним (76), 13:36 , 31-Июл-21, (127) –1 Для тех целей, для которых пригоден crc32 остальные избыточны Слишком высокая д, Аноним (89), 13:51 , 31-Июл-21, (129) Rsync md4 выбрал, например Недавно обновили до md5 и теперь xxhash с xxh3 sha-, Аноним (93), 15:34 , 31-Июл-21, (134) В случае MD4 5 они с одной стороны пытались быть криптостойкими, что неизбежн, Аноним (-), 05:23 , 01-Авг-21, (145) Эти функции протухли и не имеют вменяемого применения Если криптостойкость не н, Аноним (-), 05:36 , 31-Июл-21, (99) // Твои данные про сха1 протухли на шесть лет Сейчас оно хакается фпга асиком за па, GG (ok), 21:07 , 01-Авг-21, (163) // на AWS инстансе с FPGA оно хакается дешевле 10 за хеш , Анон123амм (?), 11:06 , 02-Авг-21, (182) Oh no, прогресс движется быстрее чем мои знания о нём, GG (ok), 11:49 , 02-Авг-21, (183) Python всегда был и останется рассадником мелких и крупных мерзостей , Гога (?), 14:45 , 30-Июл-21, (5) –12 // Это да, говнокодеров на питоне хоть отбавляй , Аноним (4), 14:57 , 30-Июл-21, (10) +9 // Самое интересное, позже выяснится, что среди каргокультуристов их будет не меньш, Аноним (35), 16:58 , 30-Июл-21, (35) +6 // Их уже больше , нах.. (?), 21:17 , 30-Июл-21, (67) +3 Культистов-самолётников среди питонистов тоже, к сожалению, очень-очень много, GG (ok), 21:09 , 01-Авг-21, (164) Чуть менее чем все , Аноним (-), 06:44 , 06-Авг-21, (197) –1 И ни одного который бы мог писать вменяемый код , Аноним (45), 17:40 , 30-Июл-21, (45) –5 // Самое страшное, что понимают это единицы приешдшие из других языков Я в свое вре, Аноним (142), 00:23 , 01-Авг-21, (143) +1 Неправда , Michael Shigorin (ok), 22:34 , 01-Авг-21, (166) Это да И то ли дело код на труЪ-ЯП https www opennet ru opennews art shtml nu, Аноним (-), 16:50 , 30-Июл-21, (33) +1 // Так то был саботаж явный с целью оставить бэкдор , Аноним (34), 16:55 , 30-Июл-21, (34) // Угу, можно отметить, обнаружение в каталоге PyPI 8 вредоносных пакетов загрузи, Аноним (-), 17:25 , 30-Июл-21, (41) –2 Скрыто модератором, Аноним (-), 08:00 , 31-Июл-21, (105) –2 Скрыто модератором, Аноним (-), 12:56 , 31-Июл-21, (125) +2 Там же в новости ссылка на сам инцидент https www opennet ru opennews art sht, Урри (ok), 19:13 , 02-Авг-21, (189) –1 // А теперь попробуй читать глазами, а не жопой и заодно думать головой, а не т, Аноним (-), 12:33 , 03-Авг-21, (192) По сравнению с js и php Сомневаюсь , Аноним (43), 17:38 , 30-Июл-21, (43) –1 А давайте запретим eval , Annoynymous (ok), 14:48 , 30-Июл-21, (6) –1 // Вообще eval давно пора вынести из пыха, пинота, и где он там ещё есть Можно не , Онаним (?), 14:55 , 30-Июл-21, (9) +3 // ещё eval есть в bash, меня устраивает, не надо его никуда выносить, заминированный тапок (ok), 15:01 , 30-Июл-21, (12) +2 В пыхе оно не так часто встречается Но да, она губительна Отключить её через ко, fernandos (ok), 15:21 , 30-Июл-21, (15) // Не, я имею в виду что-то типа --disable-eval по умолчанию , Онаним (?), 20:22 , 30-Июл-21, (62) +1 Радикально, но да, так даже лучше , fernandos (ok), 18:52 , 01-Авг-21, (160) Радикально, но да, так даже лучше , fernandos (ok), 18:52 , 01-Авг-21, (161) asking the , InuYasha (??), 10:29 , 31-Июл-21, (119) +1 the wrong question было в оригинале , Аноним (133), 15:25 , 31-Июл-21, (133) +2 В js Самое большое зло - в js , Annoynymous (ok), 16:32 , 30-Июл-21, (29) 1 , Аноним (4), 14:58 , 30-Июл-21, (11) +1 Вообще-то это было бы очень удачной идеей, ибо эти господа быкуют на сишников и , Аноним (-), 08:01 , 31-Июл-21, (106) // Да не поимели Там явный бэкдор был , Аноним (118), 10:28 , 31-Июл-21, (118) // Да черт его разберет Вон тут рядом некто exec втулить в свой код предлагает, мн, Аноним (-), 05:31 , 01-Авг-21, (147) А представь, что запретили Я напишу свой eval через дочерний интерпретатор, тебе, Аноним (144), 03:01 , 01-Авг-21, (144) –1 // 1 Это больше приседаний, случайно, для своего удобства это уже все же никто дел, Аноним (-), 05:38 , 01-Авг-21, (148) // Конечно же, чем написать копеечную обертку над процессами, побегу переписывать в, Аноним (159), 15:59 , 01-Авг-21, (159) Побежишь, куда денешься Потому что иначе твоё поделие больше не запустится, и п, Онаним (?), 19:12 , 01-Авг-21, (162) А ты кому нужен Девопсы деплоят то, что написали разработчики, а не разработчик, Аноним (144), 13:29 , 02-Авг-21, (184) –1 Вот девопсам это и объясняй, а не мне DЯ в т ч общую системную полиси генерю, , Онаним (?), 22:03 , 02-Авг-21, (190) не, ты можешь конечно, никому не сказав, но при разборе полётов в случае дыры в, Онаним (?), 22:05 , 02-Авг-21, (191) Ну как бы я по подобным причинам и не собираюсь питонятиной пользоваться, больно, Аноним (-), 04:52 , 02-Авг-21, (175) мои непроверенные пользовательские данные это медиафайлы И там уязвимостей в ни, Аноним (144), 13:46 , 02-Авг-21, (185) Отличный аргумент за то чтобы их в sandbox по максимуму А то и пересобрать с as, Аноним (-), 07:02 , 06-Авг-21, (198) –1 Но ведь 46 не большинство Всё нормально , Аноним (7), 14:50 , 30-Июл-21, (7) –1 // Это они просто процент считать не умели Питонисты, что с них взять Если посчит, Аноним (-), 05:37 , 31-Июл-21, (100) +2 А что-нибудь реальное нашли вообще , Аноним (93), 15:18 , 30-Июл-21, (14) // студенты получили зачёт - реальный практический результат, Нанобот (ok), 16:02 , 30-Июл-21, (24) +7 По порядку 1 try-except-pass - это нормальное использование обработки исключени, Аноним (20), 15:43 , 30-Июл-21, (20) +2 // С тобой прям совмем все понятно , нах.. (?), 21:41 , 30-Июл-21, (71) Интересно, как выглядит вменяемая реакция на все это А, стоп, это же питоняша , Аноним (-), 08:11 , 31-Июл-21, (107) –1 На своем локалхосту ты можешь даже иметь права root-а А вот там, где злой дядя, myhand (ok), 10:48 , 31-Июл-21, (121) +1 // Судя по былинному оптимизму насчёт ключей, он этого всего ещё просто не понимает, Michael Shigorin (ok), 22:38 , 01-Авг-21, (167) Это надо было выделить в пункт 0, потому что всё остальное на фоне сего громкого, Онаним (?), 13:44 , 31-Июл-21, (128) +1 уверен, это число 46 может меняться в очень широких пределах скажем, где-то от, Нанобот (ok), 16:01 , 30-Июл-21, (23) –4 // для кого-то просто летная погода, а студенту финскому - зачёт за летнюю практи, пох. (?), 16:02 , 30-Июл-21, (25) // У Торвальдса надо спросить, он знает , Annoynymous (ok), 03:50 , 31-Июл-21, (84) Это проблема всех центральных репозиториев Там будет все, что угодно Начиная от, Аноним (26), 16:09 , 30-Июл-21, (26) +3 // Backstabber 8217 s Knife Collection A Review ofOpen Source Software Supply Cha, Аноним (26), 16:12 , 30-Июл-21, (27) Кто бы сомневался, Аноним (28), 16:22 , 30-Июл-21, (28) +1 Считала ЦИК 442 749 100 59 , Аноним (35), 16:45 , 30-Июл-21, (32) +4 // Машин-лёрнеры, они долю со среднеквадратичной функцией перепутали 100 749-442 , commiethebeastie (ok), 17:09 , 30-Июл-21, (37) +3 // Просто в смузи были неправильные грибы , Аноним (39), 17:19 , 30-Июл-21, (40) +3 Всего лишь питонисты , Аноним (-), 05:23 , 31-Июл-21, (95) +1 Нет, про ЦИК попытался сшутнуть тот, кто если был бы умным -- выяснил бы уже для, Michael Shigorin (ok), 22:43 , 01-Авг-21, (168) // Сколько лживую гопоту не выгораживай, легитимнее не станет А этот мем всего лиш, Аноним (-), 04:57 , 02-Авг-21, (176) Потому что смузихлёбы Значительная часть разрабов, особенно в машобе и академии,, Аноним (36), 17:03 , 30-Июл-21, (36) –2 // Я не понимаю, какое отношение сериализация или шелл имеют к безопасности Сериал, Аноним (93), 17:17 , 30-Июл-21, (38) +1 // Pickle - это не сериализация, это сериализация исполнение произвольного кода , Аноним (36), 18:22 , 30-Июл-21, (51) +2 // Потому что авторы sklearn - тоже смузихлёбы, и другую сериализацию моделей им бы, Аноним (36), 18:24 , 30-Июл-21, (52) +1 P S Сам смузихлёб В хорошем смысле Прямо сейчас хлебаю смузи из малины , Аноним (36), 18:25 , 30-Июл-21, (53) Локап твоему гироскутеру , Аноним (-), 08:14 , 31-Июл-21, (108) +1 А ещё можно скачать пакет с пупи и с ней тоже приходит код А еще можно скачать , Аноним (55), 18:36 , 30-Июл-21, (55) –1 Пакет - код по определению Модель в смысле машоба - по определению - данные - , Аноним (36), 18:43 , 30-Июл-21, (57) +1 По первой части них не понял, но к требованию присоединяюсь , Онаним (?), 09:00 , 31-Июл-21, (113) Воообще тогда не вижу смысла в вашем пистоне , нах.. (?), 21:46 , 30-Июл-21, (74) +2 Главное не логические связи и какие-то там аргументы, главное назвать группу Х , Аноним (55), 18:32 , 30-Июл-21, (54) Shell имеет прямое отношение к безопасности из за кривых разрабов не проверяющих, Хан (?), 20:32 , 30-Июл-21, (63) –2   // Пользовательский ввод нужно проверять всегда И его нужно экранировать Мои люби, Аноним (93), 21:18 , 30-Июл-21, (68)   Клауд спайварь налетела на соседнем баге - ничтоже сомневаясь распаковывая всяки, Аноним (-), 08:17 , 31-Июл-21, (109) +1   Почему вы решили что там подразумевался пользовательский ввод во входящих данных, Аноним (70), 21:25 , 30-Июл-21, (70)   Любые другие данные у софта доверенные Если там написано rm -rf, значит, так и , Аноним (93), 21:42 , 30-Июл-21, (72) +1   На ту же тему в основном около -print0 ---Использование find при работе с ката, Michael Shigorin (ok), 22:50 , 01-Авг-21, (169)   Смузи тут не при чём Питон ещё используют как продвинутую замену для bash, из-з, Аноним (48), 18:06 , 30-Июл-21, (48) // Unix way program does one thing and does it well Python way does everything, w, Аноним (-), 08:18 , 31-Июл-21, (110) Да нормально Только добавьте анализатору поддержку других языков Я свой диванн, Аноним (46), 17:50 , 30-Июл-21, (46) А они при своем великом исследовании игнорировали код из попочек tests Похоже ч, Volodya (??), 17:59 , 30-Июл-21, (47) –1 // Открою тебе страшную тайну у питоняш половина логинов-паролей-ключей из попоче, Аноним (-), 08:19 , 31-Июл-21, (111) А это точно группа исследователей, а не курсач студентов , Аноним (48), 18:10 , 30-Июл-21, (50) +4 о, да, людлю небезопасный код , Аноним (-), 18:38 , 30-Июл-21, (56) Хмык Жаль, что исследователей из университета не интересуют не-университетск, YetAnotherOnanym (ok), 19:37 , 30-Июл-21, (58) –1 Может быть и мне начать проводить подобные исследования простым шелл-скриптом по, Dzen Python (ok), 20:08 , 30-Июл-21, (61) –1 // Ключевые пакеты C доступные через nuget очень ладно скроены самой Microsoft, Хан (?), 20:34 , 30-Июл-21, (64) –1 // Прогиб засчитан, но если заменть C на любой другой язык - суть не изменится Ва, Аноним (76), 22:05 , 30-Июл-21, (78) –1 Вот плата за то, что в язык привлекаются толпы остолопов , Gogi (??), 20:35 , 30-Июл-21, (65) +2 // Это ты про утечки в С С , Аноним (73), 21:44 , 30-Июл-21, (73) +2 // А ты про вот это вот в Rust https cve mitre org cgi-bin cvekey cgi keyword rus, Аноним (28), 22:02 , 30-Июл-21, (75) +1 // А прикольно, они уже таки научились стрелять в пятки довольно метко Или вот еще , Аноним (-), 05:32 , 31-Июл-21, (97) +1 Более того, учи матчасть маленький В C C утечек нет внезапно В отличии от тв, Аноним (28), 22:02 , 30-Июл-21, (77) –2 если голова из жопы ростот то да Не используй указатели, или пользуйся исключит, СССР (?), 23:11 , 30-Июл-21, (80) –1 // Да и динамическое выделение памяти можно не использовать А вот в хрусте с всем , Аноним (-), 05:33 , 31-Июл-21, (98) но с другой стороны, как без динамики это тоже что сказать себе нет, бегать я, СССР (?), 08:27 , 31-Июл-21, (112) Да нормально вполне Особенно в всяких фирмварях микроконтроллеров Да и даже в , Аноним (-), 05:47 , 01-Авг-21, (149) если у обоих опыта по пол года, курсы закончили которые то оба косячить будут,, СССР (?), 00:18 , 04-Авг-21, (194) Эти для совсем уж остолопов неудобные Первый при бытье остолопом задолбает А в, Аноним (-), 05:21 , 31-Июл-21, (94) +1 Не удивлен, библиотеки для питона написаны любителями , Skullnet (ok), 21:23 , 30-Июл-21, (69) +3 // numpy, pandas, srapy, flask и еще 319 тыс либ написаны любителями Хороши люб, economist (?), 23:25 , 30-Июл-21, (81) –4 // Тогда им двойной позор за такое качество кода, значит гамнякали вполне сознатель, Аноним (-), 05:19 , 31-Июл-21, (92) +2 // Тогда тройной, они еще и на пипу гордо выставили это, на всеобщее , нах.. (?), 06:41 , 31-Июл-21, (103) –1 Не надо путать обертки для питона с языком, на котором написана библиотека numpy, Аноним (26), 09:37 , 31-Июл-21, (117) +1 // На гитхаб ссылки дать, или сами найдете процентовка кода по ЯП указана справа, , economist (?), 14:46 , 31-Июл-21, (130) –2 А причем тут процентовка И как это отменяет тот факт, что, например, питоновска, Аноним (26), 18:48 , 31-Июл-21, (138) +1 https github com numpy numpyтам написано черным по белому на светлой теме Pyt, economist (?), 19:37 , 31-Июл-21, (139) –3 Про научный код -- что на питоне, что на плюсах, сях или фортране -- вот выйдет , Michael Shigorin (ok), 22:54 , 01-Авг-21, (170) потому что питон изначально полюбился математикам для быстрого наброса формулы, , СССР (?), 23:09 , 30-Июл-21, (79) –3 начало конца Грядет кончина IT сферы, какой мы ее знаем Еще лет 30 в средне, нитрол (ok), 02:32 , 31-Июл-21, (82) +1 // Как обычно, самое время осваивать си и асм Это был популярный тренд 20 лет наза, Аноним (93), 03:10 , 31-Июл-21, (83) –2 // было фотопленка - взгляд фотографа - фотографиястало телефон - сэлфи палка - и, СССР (?), 04:34 , 31-Июл-21, (86) +4 // Музыка стала лучше, техничнее, кинематограф взлетел как никогда, фотография пере, Аноним (93), 04:50 , 31-Июл-21, (87) Музыка лучше не стала, почти все легенды - это лет 30 назад Зато вылупилась то, Аноним (-), 05:18 , 31-Июл-21, (91) +7 Это и есть взлёт Взлёт индустрии, а не качества кода Экспансия в ширь, из-за к, Аноним (118), 09:23 , 31-Июл-21, (114) –3 Больше всего этот взлет напоминает, вот реально, современных российских строит, Аноним (-), 05:59 , 01-Авг-21, (150) –1 Кмк, перепутаны причина и следствие Треш 30-летней давности уже никто не помнит, Аноним (76), 10:30 , 31-Июл-21, (120) –1 Кмк да, согласен Впрочем в музыке я с удовольствием кушаю свеженькое, поэтому л, Онаним (?), 10:55 , 31-Июл-21, (122) Ну да - закономерный процесс, а не начало конца И, кстати новые, более новые , Аноним (76), 13:30 , 31-Июл-21, (126) Появилась некая теория какие звуки нравятся людям И довольно много этого добра , Аноним (-), 08:24 , 02-Авг-21, (179) Очень интересно Хотя-бы десяток музыкальных произведений и их создателей 3000-л, Аноним (-), 06:17 , 01-Авг-21, (151) Все херово, а раньше было лучше Спасибо , Аноним (158), 12:40 , 01-Авг-21, (158) Это было к слову о тысячелетиях и молодёжи, которая хлещет неразбавленное вино , Michael Shigorin (ok), 23:16 , 01-Авг-21, (174) К тому есть некие предпосылки Пока нечто сложно и challenge, хреново это делать, Аноним (-), 05:03 , 02-Авг-21, (177) Вы всё проморгали Ливарюция в синематографе таки случилась -- по крайней мере , Michael Shigorin (ok), 23:14 , 01-Авг-21, (173) Я это уже читал Прикольная штука И, КМК, вы среди его букв не увидели то что о, Аноним (178), 08:12 , 02-Авг-21, (178) Лучше или техничнее Лет двадцать назад хорошему приятелю, собравшему своими рука, Michael Shigorin (ok), 23:04 , 01-Авг-21, (171) Да, какой-нибудь Anal Cunt, пожалуй, только вживую и заходит Но, есть же там He, Аноним (93), 15:58 , 02-Авг-21, (188) музыка стала квадратная, кино содержит максимум насилия, фотография стала не иск, СССР (?), 00:05 , 04-Авг-21, (193) Ну как бы твоё мировосприятие тоже построено только на самых поверхностных вещах, Аноним (93), 00:41 , 04-Авг-21, (195) совершенству нет предела и естественно и мне и тем кто мудрее меня в разы и им т, СССР (?), 08:14 , 05-Авг-21, (196) Несмотря что у Питона и ниша применения далеко не всегда требует вообще задумыва, _kp (ok), 04:33 , 31-Июл-21, (85) +2 инструмент недалеко ушёл от такого for n in ls py doecho n уязвим done, бедный буратино (ok), 04:58 , 31-Июл-21, (88) –1 Какой сюрприз, оказывается на питоне в основном г внокодят , Аноним (-), 05:13 , 31-Июл-21, (90) +3 // Вы упускаете существенную разницу между созданием и публикацией, думаю , Michael Shigorin (ok), 23:07 , 01-Авг-21, (172) интересный тест, эта страница так же содержит небезопасный код,так как присутств, Аноним (104), 07:56 , 31-Июл-21, (104) в результате любой крупный проект использующтй стронние либы на любом ЯП будетвс, Аноним (115), 09:28 , 31-Июл-21, (115) // Да Любой крупный проект всегда будет уязвим, идеальных писателей нет , Онаним (?), 10:58 , 31-Июл-21, (123) +2 Другое дело, что крупный проект на пистонах - это обычно 99 стороннего кода, , Онаним (?), 10:58 , 31-Июл-21, (124) +2 ну почти весь код потенциально опасен , Аноним (116), 09:37 , 31-Июл-21, (116) –2 // значит, любой программист потенциально опасен кровожадный рёв роскомнадзиллы , InuYasha (??), 17:29 , 31-Июл-21, (136) –3 Не ну, и не почти А всегда и везде В отличии от презумции невиновности человека, Брат Анон (ok), 08:55 , 01-Авг-21, (155) +1 Уязвимости ОС, протоколов WiFi, железа - гораздо опаснее чем какие-то try except, economist (?), 15:14 , 31-Июл-21, (131) –2 // Экономист прав Питон не чмырите Язык хороший в свой нише , Аноним (-), 17:25 , 31-Июл-21, (135) –3 // в своей днише , InuYasha (??), 17:30 , 31-Июл-21, (137) +1 Расскажите это кулхацкерам которых поимели через bitmessage, да еще распиарив си, Аноним (-), 06:30 , 01-Авг-21, (152) +1 Какое это имеет значение, если программы все равно выполняются на небезопасном п, Аноним (140), 23:10 , 31-Июл-21, (140) // Да, процессор опасный а не небезопасный -- безопасность пока никто не доказал, , Брат Анон (ok), 08:57 , 01-Авг-21, (156) –1 Библиотека bandit которой проводился анализ выдает очень посредственные результа, Mikhail (??), 07:54 , 01-Авг-21, (153) +1 // Начну с конца 1 Это не сайт специалистов 2 bandit если память не отшибло вкл, Брат Анон (ok), 09:02 , 01-Авг-21, (157) –1 А почему не 146 , Анон1212 (?), 15:02 , 02-Авг-21, (187) +2 Надо было на расте писать , Аноним (199), 20:44 , 09-Авг-21, (199) 1,2,4,5,6,7,14,20,23,26,28,32,36,46,47,50,56,58,61,65,69,79,82,85,88,90,104,115,116,131,140,153,187,199

Сообщения

[Сортировка по времени | RSS]

	63. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	–2 +/–
	Сообщение от Хан (?), 30-Июл-21, 20:32
	Shell имеет прямое отношение к безопасности из за кривых разрабов не проверяющих входящие данные случается внезапный rm -rf
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	68. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (93), 30-Июл-21, 21:18
	> Shell имеет прямое отношение к безопасности из за кривых разрабов не проверяющих > входящие данные случается внезапный rm -rf Пользовательский ввод нужно проверять всегда. И его нужно экранировать. Мои любимые баги это "кончилось место на диске" и "имя файла с CLRF".
	Ответить | Правка | Наверх | Cообщить модератору

	109. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+1 +/–
	Сообщение от Аноним (-), 31-Июл-21, 08:17
	Клауд спайварь налетела на соседнем баге - ничтоже сомневаясь распаковывая всякие ../../../file/trololo залитые извне кем попало. Не crlf, но какая разница? :)
	Ответить | Правка | Наверх | Cообщить модератору

	70. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (70), 30-Июл-21, 21:25
	Почему вы решили что там подразумевался пользовательский ввод во входящих данных?
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	72. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+1 +/–
	Сообщение от Аноним (93), 30-Июл-21, 21:42
	> Почему вы решили что там подразумевался пользовательский ввод во входящих данных? Любые другие данные у софта доверенные. Если там написано rm -rf, значит, так и задумано. Ещё есть популярный баг с дефисом в имени файла. В основном GNU софт поддерживает двойное тире для индикации, что ключи закончились. Не стоит этой возможностью пренебрегать.
	Ответить | Правка | Наверх | Cообщить модератору

	169. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Michael Shigorin (ok), 01-Авг-21, 22:50
	На ту же тему (в основном около -print0): --- Использование find при работе с каталогами, содержащими объекты с нестандартными именами (пробелами и др.), без использования -print0 приводит к неправильному результату, поэтому при использовании утилиты find для изменения файлов и каталогов необходимо использовать параметр -print0; соответствующие ему параметры других утилит: xargs     -r0 grep     -Z sort     -z [...примеры...] --- http://altlinux.org/Secure_Packaging_Policy
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема