Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в Apache httpd, зксплуатируемая для удалённого выполнения кода через HTTP/2"	+/–
Сообщение от opennews (??), 12-Ноя-26, 11:06
Опубликован релиз HTTP-сервера Apache 2.4.71, в котором устранена уязвимость  (CVE-2026-119618) в модуле mod_http2, которой присвоен критический уровень опасности. Уязвимость позволяет удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2. Уязвимость проявляется начиная с версий Apache httpd 2.4.55 и также затрагивает отдельный модуль mod_h2, распространяемый через GitHub. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах:  Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66673
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–13 +/–
Сообщение от Аноним (1), 12-Ноя-26, 11:06
> Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers() из разных потоков для обработки общих ресурсов. При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера. Воистину "C" in CVE stands for C language. Интересно админы уже невидят ИИ за необходимость постоянно обновлять дырявые серваки?
Ответить | Правка | Наверх | Cообщить модератору

	3. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–2 +/–
	Сообщение от aname (ok), 12-Ноя-26, 11:08
	CVE-2025-68260 is the first prominent race condition vulnerability discovered in Rust code within the mainline Linux kernel, specifically affecting the Rust-based Android Binder driver. Или это другое?
	Ответить | Правка | Наверх | Cообщить модератору

	4. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–2 +/–
	Сообщение от Аноним (1), 12-Ноя-26, 11:15
	Да, если бы вы разбирались в вопросе, то знали что уязвимось в биндере приводила к падению "can lead to system crashes and a denial of service". А дыpeнь в дыpяшкe приводит к возможности "удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2". Разница существенная. Падение сервера трудно не заметить. А вот взлом и внеренные бекдоры могут жить годами.
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+6 +/–
	Сообщение от aname (ok), 12-Ноя-26, 11:19
	Ну, т.е. не о6оcpaлиcь, а специально так было задумано. Ваши CVE не CVE, потому, что раст. Чего только не фанаты не оправдают
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+3 +/–
	Сообщение от Аноним (12), 12-Ноя-26, 11:31
	> Ваши CVE не CVE, потому, что раст. Не нужно припсывать мне свои фантазии. CVE есть CVE, но CVE CVE рознь :) CVE-2025-68260 - 7.8 HIGH А эта 9.8 CRITICAL, да еще и с удаленным выполнением кода.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–2 +/–
	Сообщение от aname (ok), 12-Ноя-26, 11:48
	Но ведь: "Воистину "C" in CVE stands for C language. " © А что случилось?
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+1 +/–
	Сообщение от Аноним (23), 12-Ноя-26, 12:25
	> А что случилось? Да ничего не случилось, тоже не понимаю люди недовольны сишной классикой. CVE бывают в всех языках, но мало кто может хотя бы минимально приблизится к дырявости сишки. Поэтому вполне заслуженное утверждение. Хотя можно было бы добавить что "S in C stands for security"))
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от aname (ok), 12-Ноя-26, 12:48
	Т.е. безопасТные CVE- это хорошо. CVE-2025-62518 тоже хорошо, видимо.
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (38), 12-Ноя-26, 14:42
	> минимально приблизится к дырявости сишки а что раст и корутилс не показатель? полтора проекта написали и сразу дыры поперли, ой, вы не понимаете, это другое, ну да ну да
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	40. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (40), 12-Ноя-26, 15:00
	Судя по последним месяцам, на одну раст ошибку приходится полторы тысячи сишных. Да, неудобно получилось.
	Ответить | Правка | Наверх | Cообщить модератору

	80. Скрыто модератором	+/–
	Сообщение от Аноним (-), 13-Ноя-26, 01:40
	ну так и раст - свежее хДДД
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от laindono (ok), 12-Ноя-26, 19:54
	50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал, это вы сами придумали. Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом. Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента появления в кодовой базе до исправления. И как оно распределено по языкам.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	72. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Инопланетянин (?), 13-Ноя-26, 00:00
	> Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом. В высказывании логическая ошибка. > которые могут оказаться некорректны весьма неочевидным образом. Как компилятор раста или нижележащий ллвм, да? А кстати на чем он? Оу щит...
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от laindono (ok), 13-Ноя-26, 01:27
	Если тебя интересует бекенд раста, написанный на расте, то такой тоже есть.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+1 +/–
	Сообщение от Инопланетянин (?), 13-Ноя-26, 01:50
	> Если тебя интересует бекенд раста, написанный на расте, то такой тоже есть. Кроме wasm он где-то используется?
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от aname (ok), 13-Ноя-26, 00:09
	> 50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал, > это вы сами придумали. Даже полная верификация кода не даёт 100% > гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут > оказаться некорректны весьма неочевидным образом. > Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента > появления в кодовой базе до исправления. И как оно распределено по > языкам. Сколько ты переписал, чтоб давать верифицированную статистику в с "50-70%"? > 100% никто не обещал, это вы сами придумали. Ну, т.е. безопасТно! Но вы сами придумали. > Даже полная верификация кода не даёт 100% Просто нормально верифицируйте на 100% И прочее словоблудие
	Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

	77. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от laindono (ok), 13-Ноя-26, 01:25
	> Сколько ты Не очень много, но достаточно, чтоб иметь общее представление. Мною написано где-то около миллиона строк на Rust. > Но вы сами придумали. Общая идея в том, чтоб интегрировать компилятор и анализатор. Работает очень хорошо. Однако ничего магического не происходит от такого слияния. Чем является и чем не является Rust на самом деле ты можешь почерпнуть из документации. Да, полагаю, непривычно, что существует документация, которая отвечает большинство вопросов, но ты попробуй.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от aname (ok), 13-Ноя-26, 13:16
	> Общая идея в том, чтоб интегрировать компилятор и анализатор. И чем это отличается от анализаторов? Коих не один. Да, понимаю, тебе не привычно пользоваться поисковиками, но ты попробуй. А с появлением нейросетей дела пошли и того интереснее.
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (88), 13-Ноя-26, 16:33
	> чем это отличается от анализаторов Тем, что его нельзя не использовать.
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+1 +/–
	Сообщение от Аноним (9), 12-Ноя-26, 11:23
	> Разница существенная. Падение сервера трудно не заметить. Особенно если это binder в андроиде, ахахах
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	48. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (-), 12-Ноя-26, 16:32
	> Да, если бы вы разбирались в вопросе, > то знали что уязвимось в биндере приводила к падению > "can lead to system crashes and a denial of service". А, ну то-есть если я продрав глаза по утру (или по ору системы алертов) - надо сказать что "это другое" - и с спокойной совестью идти досыпать дальше. Беспокоиться же не о чем, все под контролем. А почему DoS считают "атакой" и CVE какие-то назначают - сам не понимаю, безопасно же все?!
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	90. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Setcap (?), 15-Ноя-26, 11:20
	Там что-то сеткап сшрут и код выполнить не получится. Они в большинстве своем не харденят контейнеры, отсюда и проблемы. Там таких состояний гонки еще 500+
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	10. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (10), 12-Ноя-26, 11:28
	Между RCE и DoS разница огромная, Rust в том случае как раз защитил. https://opennet.ru/64439-kernel "При успешной эксплуатации уязвимость в Binder ограничивается аварийным завершением и не приводит к повреждению памяти."
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	14. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Имя (?), 12-Ноя-26, 11:45
	> Между RCE и DoS разница огромная, Rust в том случае как раз защитил. Если тебя устраивает отказ в обслуживании - это благо, то почему бы не обесточить устройство и не получить тем самым ганатированную защиту от RCE?
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+2 +/–
	Сообщение от Аноним (22), 12-Ноя-26, 12:17
	> Если тебя устраивает отказ в обслуживании Тебя никто не спрашивает. Но если есть выбор из двух зол - то лучше выбирать меньшее. Отказ в обслуживании сложно не заметить. А медленно утекающие данные легко. А если хочется чтобы не было ни того, ни другого - "просто" оплатите формальную верификацию))
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–1 +/–
	Сообщение от Аноним (11), 12-Ноя-26, 11:28
	Стройте на Pingora: https://github.com/cloudflare/pingora
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	73. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Инопланетянин (?), 13-Ноя-26, 00:01
	Ты нам тут пингору не показывай. Мы не такие.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Ivan_83 (ok), 13-Ноя-26, 11:22
	Строить на чужих технологиях - такое себе. Они в один прекрасный момент просто начнуть ломать те фичи которые дают тебе конкуретное преимущество а ими не особо используются, либо разделят версии на приватную и публичную, в публичной будет меньше всего и сломато. И ты будешь мучатся с этим, в итоге придётся либо форкнуть и пилить самому либо сделать с нуля по нормальному. МС так ни один бизнесс сломало который пытался конкурировать с ними на их же поляне.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	89. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (88), 13-Ноя-26, 16:37
	> Строить на чужих технологиях - такое себе. У тебя NIH-синдром. Свою ОС уже написал? Железо со своей собственной архитектурой сделал? Или все твои неуязвимые чруты всего лишь "такая себе" чужая технология, запущенная на чужих технологиях?
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+3 +/–
	Сообщение от MihaNix (ok), 12-Ноя-26, 11:59
	Жить стало веселее! Искусственный интеллект добрался до документов о внедрённых бэкдорах и теперь постепенно их обнародует. ;)
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	32. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–1 +/–
	Сообщение от Tron is Whistling (?), 12-Ноя-26, 14:16
	Почему больше всего CVE на C(++/#/...) и PHP, наверное догадываешься смутно? Просто неуловимые Джо да, неуловимы.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	44. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–2 +/–
	Сообщение от Аноним (44), 12-Ноя-26, 15:34
	> Почему больше всего CVE на C При этом это касается ядра ОС, криптографии или прошивки в роутере. > C++ Та покалеченная с рождения же фигня что и СИшка. > C# И много новостей про про CVE в шишарпе ты слышал? > и PHP ВНЕЗАПНО в пыхе проблема в файлах .с Потому что СИшка дыpявая)
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+4 +/–
	Сообщение от Аноним (58), 12-Ноя-26, 18:07
	Дырявые программы, а не сишка. Си делает ровно то, что обещает. Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете. И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–1 +/–
	Сообщение от Аноним (64), 12-Ноя-26, 18:54
	> Дырявые программы, а не сишка. Си делает ровно то, что обещает. Поэтому в стандарте то ли 9, то ли 11 страниц UB. Великие срандартизаторы даже не смогли решить как правильно сложить два числа > Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете. Неа, большая часть тредов началась с "ахахаа, ну и лопухи!))))" > И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела. Эм? У вас какие-то странные ассоциации. Попахивает проэцированием)
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (58), 12-Ноя-26, 19:10
	> Поэтому в стандарте то ли 9, то ли 11 страниц UB. А вам обязательно нужно сделать то, что сказали не делать? Чтобы что? Смиритесь, язык с таким порогом входа не для вас.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	+/–
	Сообщение от Аноним (88), 13-Ноя-26, 00:04
	Судя по потоку найденных уязвимостей, этот "язык" ни для кого вообще.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в Apache httpd, приводящая к удалённому выполнени..."	–1 +/–
	Сообщение от Аноним (79), 13-Ноя-26, 01:32
	Он называют дефекты дизайна порогом входа, Карл! Тогда уж надо было сразу на brainfuk писать.
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

2. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–5 +/–
Сообщение от Аноним (2), 12-Ноя-26, 11:08
К счастью, этот сервер не самый популярный, да и http/2, если верно припоминаю, было прикручено в нём соплями. А вот закладки в php, похоже, многих задели.
Ответить | Правка | Наверх | Cообщить модератору

	7. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–2 +/–
	Сообщение от Аноним (1), 12-Ноя-26, 11:22
	> К счастью, этот сервер не самый популярный К несчастью самый популярный тоже написан на дряхе и так же дыряв 🤷🏻‍♂️ opennet.me/opennews/art.shtml?num=66473 opennet.me/opennews/art.shtml?num=66288 opennet.me/opennews/art.shtml?num=65910
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+1 +/–
	Сообщение от Аноним (11), 12-Ноя-26, 11:22
	>этот сервер не самый популярный https://www.netcraft.com/blog/september-2026-web-server-survey
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	13. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Анонимный аноним (?), 12-Ноя-26, 11:38
	Почти у всех хостеров apache сидит за nginx. apache хорошо обслуживают много разных сайтов с разными настройками, которые сидят на одной машине.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	16. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–5 +/–
	Сообщение от Аноним (2), 12-Ноя-26, 11:50
	Хостеры это что-то из 90х. Там ещё php3 комплектом был.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+2 +/–
	Сообщение от Аноним (18), 12-Ноя-26, 11:52
	А какая разница, что он сидит за nginx? Пакет то пройдёт через nginx в Apache.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	21. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+2 +/–
	Сообщение от Аноним (2), 12-Ноя-26, 12:12
	> А какая разница, что он сидит за nginx? Пакет то пройдёт через > nginx в Apache. Он имеет в виду, что оценить степень популярности не представляется возможным. Если честно, сомнительно -- чем больше компонентов, тем хуже.
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Анонимный аноним (?), 12-Ноя-26, 18:27
	> Если честно, сомнительно -- чем больше компонентов, тем хуже. Пожалуй с этим нельзя не согласиться. Тем не менее ситуация изменится только тогда, когда nginx или какой-нибудь другой новой веб-сервер научится в .htaccess. Или хотя бы придумает что-то свое такое гибкое и кастомизируемое. Пока что в этом своем свойстве уникален, за что его и любят. За все остальное может и ненавидят.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (88), 13-Ноя-26, 00:05
	> какой-нибудь другой новой веб-сервер научится в .htaccess Или горе-разработчики научатся не пользоваться этим костылём.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Роман (??), 13-Ноя-26, 12:22
	ну litespeed положим умеет, не только Апач :) даже вживую несколько раз его видел
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

	30. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+2 +/–
	Сообщение от 0xdc09 (?), 12-Ноя-26, 13:47
	Apache в таком сетапе вряд ли хендлит HTTP/2, а слушает локально по обычному оттестированному HTTP/1.1 и без TLS. Более того, nginx нормализует всякие хедеры и пути в HTTP, не позволяя эксплуатировать ещё кучу разных потенциальных проблем парсера. Но в таком случае у нас два парсера с разной кодовой базой, что позволяет использовать *другую* категорию уязвимостей...
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

6. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+2 +/–
Сообщение от LaunchWiskey (ok), 12-Ноя-26, 11:20
Они смеялись над теми, у кого сайты до сих пор на HTTP. Ну и кто смеется последний? Им подобная уязвимость не страшна.
Ответить | Правка | Наверх | Cообщить модератору

	29. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+1 +/–
	Сообщение от Аноним (29), 12-Ноя-26, 13:38
	> Им подобная уязвимость не страшна. Зато страшна подстановка рекламы, телеметрии и в целом слежки.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от 0xdc09 (?), 12-Ноя-26, 13:50
	Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs новых бинарных со сжатием
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (49), 12-Ноя-26, 16:38
	> Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs > новых бинарных со сжатием Ты просто не видел сколько в этом классическом, текстовом - "request smuggling" и прочего счастья. Когда можно полностью перехватить допустим админку сайта просто врезав свой запрос - как якобы админский. Кто по разному CR/LF понимает, кто на upper/lower case, кто на пробелах, разделении header от body, и чем там еще... а учитывая что часто есть минимум фронт и бэк, и они запросами и хидерами обмениваются - вероятность поимения такой конструкции чуть менее 100%.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от LaunchWiskey (ok), 12-Ноя-26, 14:17
	Либо я переоценил очевидность сарказма в своём сообщении, либо времена и люди сейчас слишком серьёзные.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	51. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (51), 12-Ноя-26, 16:43
	>Им подобная уязвимость не страшна Ошибаешься. HTTP/2 прекрасно работает без HTTPS. Попробуй: curl --http2 http://domain.ru
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

17. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+8 +/–
Сообщение от Аноним (17), 12-Ноя-26, 11:51
Зачем юзать половинчатый HTTP/2 когда есть полный HTTP/1.0?
Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (11), 12-Ноя-26, 16:55
	>когда есть полный https://radar.cloudflare.com/adoption-and-usage
	Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+1 +/–
Сообщение от Аноним (20), 12-Ноя-26, 12:05
Хорошо хоть в пакетах Debian/Ubuntu поддержка HTTP/2 у Apache не включена по умолчанию.
Ответить | Правка | Наверх | Cообщить модератору

	24. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–3 +/–
	Сообщение от нах.. (?), 12-Ноя-26, 12:35
	для этого у нас есть девляпсы с нескучным пихонскриптом наперевес. Включат в лудшем виде, не сумлевайтесь.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от User (??), 12-Ноя-26, 12:56
	Не, ну так-то где grpc, а где apache - но разница в производительности, если что - вполне измеримая даже у меня, а не у гугла...
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+2 +/–
	Сообщение от Аноним (26), 12-Ноя-26, 12:54
	> не включена по умолчанию Настоящее время: "ИИ, настрой мне апач!"...
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	37. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от нах.. (?), 12-Ноя-26, 14:36
	попросил ЫЫ оценить пользу от http2 в конкретном use-case - onlyoffice (грузящий мильен мелких жс на первом соединении и сам внутри бэкэнда умеющий в 2) человек на 200. "разница - скорее десятки миллисекунд чем секунды, и то на первом подключении с пустым кэшем, а вот посмотри сколько в нем новых прекрасных уязвимостей за последние пол-года!" так что ыы попродвинутей (этот - алиса) настроит правильно - никаких ненужно2. Неплохо было бы и из 1.1 повыпилить все то что туда напихали укушенные девляпсами (100-continue и безумным chunked место очевидно в помойке) - но это, к сожалению, настройками не лечится.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Tron is Whistling (?), 12-Ноя-26, 18:13
	Не, PUT без 100-continue - это ахтунг. Потребует буферизации пухлого контента до отработки приёмника. Ну и chunked - тоже тема - а как ещё в HTTP/1.1 передать контент заранее не известной длины так, чтобы отделять мух от котлет, то есть простите, один запрос от другого... Но да, за пределами 1.1 жизнь есть только разве что на DSL.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от нах.. (?), 12-Ноя-26, 19:24
	и откуда ж у нас берется контент "неизвестной длинны"? Правильно - ниоткуда. То есть почти всегда это троянский кал. Браузер практически никогда не использует, там все идет с Content-Length, бэкэнды в редких случаях. Лучше этот случай перехватить и буферизировать. (а может еще и проверитьчто там) Как и 100-continue. Если ты не собираешься через http сохранять на свой диск гигабайты (в случае OO точно не, я б еще и лимит прикрутил) - он не нужен совсем. Избавиться полностью не получится, но не пропускать к бэкэнду вполне. На чем все попытки поиграть с параметрами и обламываются.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (88), 12-Ноя-26, 22:53
	> и откуда ж у нас берется контент "неизвестной длинны"? Из-под хвоста^W^WГенерируется в реальном времени.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Ivan_83 (ok), 12-Ноя-26, 23:06
	Для такого есть connection close - отдавать без размера пока соединение не будет закрыто.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–1 +/–
	Сообщение от Аноним (26), 12-Ноя-26, 18:32
	> этот - алиса Твоя алиса ничего и не делала, просто процитировала какие-то форумные посиделки.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	43. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	–1 +/–
	Сообщение от Энтомолог_русолог (ok), 12-Ноя-26, 15:33
	Апач вообще практически мертв, а там где еще дрыгается там он прикрыт nginx, который отвечает по http/2, а дальше к апачу по http/1.1 обращается, потому что в апаче до сих пор http/2 считается нестабильным и не используется
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	71. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от FM (??), 12-Ноя-26, 23:27
	11% это мертв? Тогда он мертвее распространенности linux на десктопах, или FF браузера
	Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
Сообщение от Аноним (28), 12-Ноя-26, 13:04
> При успешной эксплуатации атакующий может добиться > изменения памяти вне выделенного буфера. "Никогда такого не было и вот опять!" (с) > Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google. Ну надо же, ыскуственный ыдъйот оказался уменее чем мясные мешки))
Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от LaunchWiskey (ok), 12-Ноя-26, 14:29
	Ну не умнее. Вы ещё скажите, что машина умнее, потому что систему из 1000 дифференциальных уравнений может решить, а кожаный нет - ему банально времени не хватит. С уязвимостями аналогично - комбинаций и условий много, машине не сложно их все перебрать, чего не скажешь о кожаном. Но это всё работает только с известными механизмами. Кожаный может найти или изобрести новый, машина - нет, она только пережёвывает то, чему её научил кожаный.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Tron is Whistling (?), 12-Ноя-26, 16:42
	Э нет, есть и тут более умные мешки. Они найденной с помощью искусственного идиота - в CVE не публикуют :)
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

56. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
Сообщение от Аноним (56), 12-Ноя-26, 17:45
прикольно, nmap скрипт_апдейт получит. нет ссылок на репы потемнее?
Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+1 +/–
Сообщение от Аноним (26), 12-Ноя-26, 18:28
Как удачно новые технологии заходят! Хорошо, что их (пока) можно отключить.
Ответить | Правка | Наверх | Cообщить модератору

	67. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (-), 12-Ноя-26, 19:49
	> под управлением Apache httpd работает около 170 млн сайтов (11.56%) карл
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
	Сообщение от Аноним (26), 13-Ноя-26, 02:55
	На чём тогда работает подавляющее большинство сайтов - 88,44% ?
	Ответить | Правка | Наверх | Cообщить модератору

83. "Уязвимость в Apache httpd, зксплуатируемая для удалённого вы..."	+/–
Сообщение от Знатоки (?), 13-Ноя-26, 03:47
Я до сих пор не могу понять, как можно выполнить где-то выполнить код путем нахреначивания джампов в память. Ну вот даже если эта память выполнится цпу, а не просто в ней хранится фотка твоей мамы, как она будет вызовы вызывать там же ldd должен символы разрулить или что. Звучит как что-то что давно можно было на уровне ос исключить 101 способом
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема