Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атаки на приложения, использующие ImageMagick в конфигурации по умолчанию"	+/–
Сообщение от opennews (?), 13-Ноя-26, 13:08
Координационный центр CERT (компьютерная группа реагирования на чрезвычайные ситуации), опубликовал предупреждение о выявлении уязвимостей, затрагивающих приложения и сайты, использующие библиотеку  ImageMagick в конфигурации по умолчанию для обработки или преобразования изображений. Успешная эксплуатация позволяет атакующему читать и записывать файлы, насколько позволяют права доступа под которыми выполняется  ImageMagick. Уязвимостям присвоено кодовое имя ImageTragick2, по аналогии с проблемой, выявленной в 2016 году... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66679
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

3. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+4 +/–
Сообщение от Аноним (3), 13-Ноя-26, 13:15
"Майнеры соланы и монеро подрались у входа в серверную."
Ответить | Правка | Наверх | Cообщить модератору

4. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–12 +/–
Сообщение от Аноним (4), 13-Ноя-26, 13:16
ImageMagick никогда не отличалась качеством. Типичный комбайн, написанный задней левой и умеющий 'все', но крайне х-во.
Ответить | Правка | Наверх | Cообщить модератору

	7. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+7 +/–
	Сообщение от Аноним (7), 13-Ноя-26, 13:28
	О, ты не представляешь насколько она багованная, просто почитай ченджлоги. Но в данном случае это просто побочное следствие того, что сабж комбайн. Незаменимый и прекрасно справляющийся, надо заметить.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Аноним (16), 13-Ноя-26, 14:40
	> Незаменимый и прекрасно справляющийся, надо заметить. Лет 10 назад заменил на libvips и забыл как страшиный сон ImageMagick и GraphicsMagic.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+4 +/–
	Сообщение от Аноним (21), 13-Ноя-26, 14:53
	Что люди только не делают лишь бы не пользоваться Pillow.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (16), 13-Ноя-26, 15:11
	Это которая исключительно для питона? Спасибо, не надо.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+4 +/–
	Сообщение от Аноним (56), 13-Ноя-26, 19:29
	А минусы есть?
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+2 +/–
	Сообщение от Аноним (57), 13-Ноя-26, 19:59
	> Это которая исключительно для питона? Спасибо, не надо. Эмм... А тебе для чего надо? Или ты думаешь, что на стороне сервака дергать сабж из башпортянок - это типа быстрее или удобнее.
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	66. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–3 +/–
	Сообщение от Аноним (66), 13-Ноя-26, 21:55
	> на стороне сервака дергать сабж из башпортянок - это типа быстрее Вообще-то да, быстрее. На порядок. Ты бы сам тесты делал, а не верил интернету наслово что "башпортянки - это зло", при этом опуская что питон банально стартует медленнее, чем успеешь заметить медленность баша. Вот прям настолько всё плохо.
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (57), 13-Ноя-26, 22:17
	>> на стороне сервака дергать сабж из башпортянок - это типа быстрее > Вообще-то да, быстрее. На порядок. Ты бы сам тесты делал, а не верил интернету наслово что "башпортянки - это зло", при этом опуская что питон банально стартует медленнее Вообще-то нет, медленнее. Ибо спавнить процесс IM из башпортяни на каждую картинку - это несоизмеримо тормознее, чем дернуть функции Pillow из уже крутящегося питоньего процесса.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–2 +/–
	Сообщение от Аноним (-), 14-Ноя-26, 03:47
	> Вообще-то нет, медленнее. Ибо спавнить процесс IM из башпортяни на каждую картинку > - это несоизмеримо тормознее, чем дернуть функции Pillow из уже крутящегося > питоньего процесса. Вот уж - жаба и гадюка то...
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (7), 13-Ноя-26, 14:59
	Эта не лучше. Жпеги гораздо более корявые у неё всегда получались, на том и расстались.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	30. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+5 +/–
	Сообщение от Ivan_83 (ok), 13-Ноя-26, 15:27
	Тут скорее проблема в том что писали это для локального использования, а потом прикрутили к вебне.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	49. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Аноним (-), 13-Ноя-26, 18:11
	> Тут скорее проблема в том что писали это для локального использования, > а потом прикрутили к вебне. Она сама по себе ультра-мерзотная. Начиная с какой-то напитоняченой билдсистемы, задающей ожидания качества кода - и заканчивая адски кривым апи, софтом под стать, страшенным ифейсом программ-примеров, вот это все. В либе все должно быть ужасТно, билдсистема, апя, примеры, тулсы, качество кода... видимо как-то так. Не, качественным софтом не выглядит. Вот то что писано волшебными, сказочными ... - пожалуй.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (57), 13-Ноя-26, 20:02
	> Тут скорее проблема в том что писали это для локального использования Лол. Никогда сабж не пользовался локально, за исключением разве что линукс-любителей посношаться с консолькой. Локально люди человеческие редакторы используют.
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	59. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+3 +/–
	Сообщение от Ivan_83 (ok), 13-Ноя-26, 20:13
	Зачем мне ваш редактор если мне, к примеру, надо сконвертить все файлы в одной папке в другой формат или сменить разрешение?
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–3 +/–
	Сообщение от Аноним (57), 13-Ноя-26, 20:43
	>> любителей посношаться с консолькой > Зачем мне ваш редактор Ты вообще не понял, что я написал, не так ли? > сконвертить все файлы в одной папке в другой формат или сменить разрешение? Лол. Для этого даже редактор не нужен, ибо така пакетная обработка есть в любом человеческом просмотрщике изображений еще с начала нулевых. Но откуда об этом знать любителю посношаться с консолькой, да?
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+2 +/–
	Сообщение от Аноним (62), 13-Ноя-26, 20:56
	> Лол. Для этого даже редактор не нужен, ибо така пакетная обработка есть > в любом человеческом просмотрщике изображений еще с начала нулевых. Но откуда > об этом знать любителю посношаться с консолькой, да? Понимаешь ли, в твоей "пакетной обработке" в утилсах для лам придется клацать кнопки как бабуину. А в его системе это все можно автоматизировать примерно настолько что воткнул мобильник - сами скопировались файлы, сами конвертанулись в желаемые форматы, вот это все. Как пример. Без нажатия единой кнопки при том. А попробуй так же у себя, с своей пакетной обработкой. Или вот простой пример: я примерно так мувики оптом конвертирую. Скрипт лукапает ориентацию мувика, разрешение, тип камеры и проч - и в зависимости от того что сие - вгоняет свою подборку параметров транскодирования. А терь попробуй так в проге с батч транскодированием, ога. Тем более что пары крыжиков наверняка не окажется - и придется все ж клацать 200 файлов как дрессированый бабуин, жамкая кнопочки. Так что если ты не понял: 1) Твоя эффективность взаимодействия man-machine - полное дно. 2) Если вдруг крыжика нужного нет, в твоем мире это нерешаемая задача. А вон там - чуть параметры подкрутить или мелкий скриптик корябнуть.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (57), 13-Ноя-26, 21:18
	> Понимаешь ли, в твоей "пакетной обработке" в утилсах для лам придется клацать кнопки как бабуину. > Твоя эффективность взаимодействия man-machine - полное дно. Чувак, лучше не начинай эту тему. 😂 Ибо если мы сейчас посчитаем, сколько тебе придется сделать нажатий клавиш в попытках настрочить свою баш-портянь, да еще и учтем время на курение манов/гуглов - то получится традиционный для адептов консольки "эффективный" эпик фейл. Уже не раз это приходили, прямо вот на этом ресурсе. > А в его системе это все можно автоматизировать примерно Вау, а в прикладных конвертерах есть пресеты. Вот это поворот, да? Говорю же: вы голову-то из консольки вынимайте хоть иногда. > дрессированый бабуин, жамкая кнопочки Ты буквально сейчас описал типичного любителя консольки, который аки обезьянка сидит и тарабанит по клавишам в процессе написания своей баш-портяни. 👍 > Если вдруг крыжика нужного нет, в твоем мире это нерешаемая задача. О да, расскажи мне сейчас про задачи обработки медиафайлов, которые "нерешаемы" на системах, где 96% людей эти самые медиафайлы создают, редактируют и обрабатывают вот уже более 40 лет.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (-), 14-Ноя-26, 03:00
	> Чувак, лучше не начинай эту тему. 😂 Ибо если мы сейчас посчитаем, > сколько тебе придется сделать нажатий клавиш в попытках настрочить свою баш-портянь, Однако 1) Я могу скопипастить более 90% команд или кода откуда-то еще. С нажатием кнопочек так не катит. 2) Можно спихать львиную долю этого на AI. И ему удобнее именно такой и-фейс. 3) Внезапно я сделаю это 1 раз - а потом станет ЗБС. Поэтому - я не только "начну" но и отмечу что моя эффективность в взаимодействии man-machine неизмеримо выросла и я смог рюхать намного больше задач куда более универсальными паттернами. Вместо потуг искать очередной мутный варез на каждую оказию. И для человека разумного - модуляризация, разбиение на субзадачи, декомпозиция софта на модули, вот это все - большой шаг вперед. И что самое годное - комбо которое я вкатить попробую заранее быть известно и реализовано где-то не обязано. Так что не надо уповать на "божков" что они напишут. А если - вот - не написали, то - чего?! > да еще и учтем время на курение манов/гуглов - то получится > традиционный для адептов консольки "эффективный" эпик фейл. Да вот как-то насколько я вижу - все более-менее умные люди которые могли что-то полезное делать - и еще и показать это, а не только пальцы гнуть - из виндов как раз почему-то в эти самые линухи посваливали. Дошло до того что майкрософт стал пыжиться с WSL всякими с одной стороны и комитами в линух своего hyper-v с другой. Это все наверное потому что винды такие крутые, эффективные, их парадигмы просто топчик и вообще. Или таки - даже у них, даже на их абажуре - который изначально "среда для запуска дотнет программ" - теперь более 70% линуха? Кастомеры даже ЭТИХ проголосовали рублем^W долларом за то как и что они хотят. И кстати это сильно более денежно чем вся винда вообще, так что на винду майкрософт нынче клал с прибором. И занимается в основном косметикой, попутно с дойкой и стрижкой на рекламе, AI и что там еще за улучшения качества обслуживания. > Уже не раз это приходили, прямо вот на этом ресурсе. И тем не менее - линух стабильно захватил мир, а командные и-фейсы оказались удобны еще и LLM'кам :) И вот уже - гугло мне за пару минут генерит, понимаешь, параметризуемые объекты - под этот мой OpenSCAD. Фишка которого - не в том что он какой-то крутой кад, но в том что он это делает путем - программирования. И вот я уже копипащу генерацию объекта от гуглобота - и за 2 минуты - обана - моделька которую можно распечатывать на 3D принтере уже. При том я ему показал * Гитхаб чувака с PoC как это вообще делать. * Объяснил чем моя хотелка отличается от того что там. * Дал пару хинтов как и что. ...и забрал openscad-файло :). Которое кстати позволяет крутить ключевые параметры объекта полностью "офлайн" и без помощи гугла уже. Но реально - физические объекты уже таки Coauthored-By, по логике вещей. Я ж не рисовал это в CAD и не писал код от и до?! А теперь расскажите мне сколько вы б что-то такое - жамканием мышкой... и да, как видите - можно подходы и сочетать. Беря сильные стороны и того и другого. Т.е. да, в консольке не посмотришь 3D превью объекта. Зато сделать львиную долю генерации в таком стиле вместо возякания мышом самому целый день - легко. >> А в его системе это все можно автоматизировать примерно > Вау, а в прикладных конвертерах есть пресеты. Вот это поворот, да? Говорю > же: вы голову-то из консольки вынимайте хоть иногда. И как только в очешуенной программе не окажется пары нужнык крыжиков - бабах - "задача нерешаема". Не говоря о том чтобы это все САМО отработало когда я скажем телефон к компу зацепил - ну вот нет. Во всяком случае так по простому. >> дрессированый бабуин, жамкая кнопочки > Ты буквально сейчас описал типичного любителя консольки, который аки обезьянка сидит и > тарабанит по клавишам в процессе написания своей баш-портяни. 👍 Вообще-то программирование - удел именно разумных существ, способных к абстрактному мышлению. В отличие от жамкания на кнопочки, которое на минималках - даже бабуины таки реально осваивают, на iPad vs обезьяны проверяли. И вот тут есть некоторая граница водораздела по уровню разума. Если вы можете только кнопочки жать - это совсем иной уровень. Хоть там полопайтесь с досады, но вы никогда не будете сравнимы с вон теми по эффективности. А их гибридные подходы подпертые AI и вовсе позволяют делать то что раньше занимало дни, если не месяцы, за часы, если не минуты. Но вы и с этим - в пролете. Потому что к таким интерфейсам AI прикручивается "не очень". >> Если вдруг крыжика нужного нет, в твоем мире это нерешаемая задача. > О да, расскажи мне сейчас про задачи обработки медиафайлов, которые "нерешаемы" на > системах, где 96% людей эти самые медиафайлы создают, редактируют и обрабатывают > вот уже более 40 лет. Какие, нахрен, 96% людей, что, нахрен, редактирует? Большая часть этого народа - потребители махровейшие. И им хватит - внезапно - мобилочки с андроидом для потребления контента. И даже какое там кадрирование и сепию сделать - во. Или даже AI-кривляния с их "ценной" рожей. Хоть и горбато. И из за вот таких соотношений майкрософт на винду и положил с прибором по сути, это вообще незначительный процент их профита. А то что вы там фигурно что-то где-то как-то циферки подогнали - должно меня впечатлить? А я не ваш шеф в маркетигом отделе, мне - похрен. Единственное что меня вообще интересует это чтобы в моих рабочих процессах таких как вы не было на пушечный выстрел, с вашей характерной "эффективностью" и неумением в самообслуживание без посторонней помощи.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Ivan_83 (ok), 14-Ноя-26, 15:47
	Да проходили мы это уже 100500 раз: у всяких кодеков, фаерволов и прочего обычно столько всяких параметров и крутилок что реализовать к ним нормальный гуй не получается, всякий раз это кастрированный функционал или там чорт ногу сломит и проще уже открыть терминал/текстовый редактор и там всё нужное написать. Пресеты может где то и есть, но попробуй туда упихать всё опции что есть в том же ffmpeg. Окажется что ты и половины из своего гуя не сделаешь. А ffmpeg и зависимые кодеки обновляются каждый месяц и там только прирастает. В итоге любители гуём сидят со старым и кастрированным решением.
	Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

	65. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–2 +/–
	Сообщение от Аноним (65), 13-Ноя-26, 21:50
	> Понимаешь ли, в твоей "пакетной обработке" в утилсах для лам придется клацать кнопки как бабуину А при написании шелл-скриптов не надо, да? Выбрать пресет в условном HandBrake - это буквально 3-5 кликов мыши и от силы 5 секунд времени. Написание же скрипта для обработки видео займет у тебя минимум минут 30 - с учетом гуглежа и изучения доброй сотни опций ffmpeg и правильной их подборки в т.ч. для кодирования конкретного формата типа H264. А теперь включай элементарную математику и посчитай, через сколько лет твои 30 минут потраченного времени не то, что окупятся, а хотя бы выйдут в ноль. Я лично импортирую видосы из фотика от силы 1-2 раз в месяц. Получается, что моя возня с ffmpeg окупится примерно через 15 лет. Это победа, я считаю. >  воткнул мобильник - сами скопировались файлы, сами конвертанулись в желаемые форматы, вот это В что ты там жипеги с телефона автоматом конвертировать собрался-то? Я бы понял еще RAW из фотика, да только в консольке с ним автоматом уже не выйдет: нужно и кропнуть, и экпозицию подкрутить, и горизонт выровнять и т.п.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	75. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (-), 14-Ноя-26, 03:45
	> А при написании шелл-скриптов не надо, да? Там это делается _один_ раз - а потом - реюзается. В GUI же это надо делать - ВСЕГДА. > Выбрать пресет в условном HandBrake - это буквально 3-5 кликов мыши и > от силы 5 секунд времени. 1) Удачи например гуглануть те или иные параметры кодирования - а потом дешево и сердито их просто скопипастить, не обклацывая все это самолично от и до. 2) У того же ffmpeg (и его либ) на порядки больше фич чем вы в принципе осилите нарисовать в любом вменяемом UI. Там один только список опций - экрана наверное 4 в консоли занимает. Поэтому реально - handbrake умеет ну может процентов 10 от того что в ffmpeg реально есть. А есть там немало годноты. Скажем вот видосик, в нем видно что среди шумов какие-то негры затеяли какую-то возню. Вроде ну ужас ужасом же. А вот поди ж ты - построив пайплайн процессинга этого счастья, с 3D-шумодавом, корекцией яркости и еще парой фильтров гасящих всякую там блочность и что еще за нахрен - оно, таки, потом вполне смотрябельно даже оказалось. Но в handbrake такое рисовать мало удовольствия. И более того - я потом смогу _часть_ этого скопировать в другой процессинг допустим. А пресеты это прекрасно, только треть пресета скопировать - ну, такое себе. > Написание же скрипта для обработки видео займет у тебя минимум минут 30 Да как сказать? 1) Я скопипастил основу хороших настроек кодирования из интернета. 2) Это делается 1 раз в жизни. А потом злостно реюзается парой нажатий кнопок буквально. 3) За это потом воздастся куда более приличным результатом и возможностью его реюза, кастомизации, адаптации и юзежа ВСЕЙ мощи ffmpeg а не 10% от оной. Не, на ВСЕ его опции GUI нарисовать малореально. > - с учетом гуглежа и изучения доброй сотни опций ffmpeg и > правильной их подборки в т.ч. для кодирования конкретного формата типа H264. Я для AV1 их подобрал. Для libaom и svt-av1. Да, там есть опций. Зато и результат куда приличнее. Битрейт - во, картинка - во. Автодетект пресета по допустим типу девайса - во. Так что да, разок заморочился. Зато потом - быстро, просто, эффективно, реюзабельно. Можно скопировать половину настроек - воооон туда. В соседний профайл. Для другого девайса или юзкейса. > А теперь включай элементарную математику и посчитай, через сколько лет твои 30 > минут потраченного времени не то, что окупятся, а хотя бы выйдут в ноль. Что вы там 30 минут делали? У вас не хватило ума - загуглить какую-нибудь референсную болванку длля этсамого? Представляете, у текста есть забойная фича - он КОПИПАСТИТСЯ! А с AI/LLM можно еще и спихнуть большую часть работы прям на машины бессовестным образом. Но с кнопочками это опять же не катит. > Я лично импортирую видосы из фотика от силы 1-2 раз в месяц. А я - "как подцепил". Оно само импортирует. Мне вообще достаточно - шнур воткнуть. И вот тут я согласен с "принципом IBM": машина должна работать, а человек - думать. Наклацывание кнопочек периодически - точно не "думание". Я ленивый и хочу чтоб мне удобно было :) > Получается, что моя возня с ffmpeg окупится примерно через 15 лет. Это победа, я считаю. Ну я так то ffmpeg наверное уже столько и пользуюсь. Впрочем, 30 минут там делать просто нечего. Особенно - если на пару с нейросеткой или хотя-бы поискарем и копипастой. Минут пять топ. Это получается 2.5 года уже. Т.е. несколько раз как окупилось. > В что ты там жипеги с телефона автоматом конвертировать собрался-то? Я бы > понял еще RAW из фотика, Жыпеги то болт с ними (хотя jpegoptim и на них можно натравить, до кучи, just because I can) - а вот мувики с камеры - перегнать в менее рыхлый формат очень даже. Ибо когда их терабайт набирается - задалбывает уже. > да только в консольке с ним автоматом уже не выйдет: нужно и кропнуть, > и экпозицию подкрутить, и горизонт выровнять и т.п. Для этого тулсы типа DarkTable есть. Но это все же несколько другое, там исправление факапов и улучшение визуалки. Да, консоль не для этого. Но у нее есть свои преимущества. В частности - в DT пресеты конечно есть. Но вот скопировать треть пресета вон туда... ать, ать, ать... по сравнению с просто копипастой команд это такой гимор... не такой как наклацать все с ноля, но не идет ни в какое сравнение с select-ctrl+c-ctrl+v по трудозатратам.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Ivan_83 (ok), 14-Ноя-26, 15:41
	Пакетная обработка встречается в просмоторщиках под венду, под линукс просмоторщики таким не отягощены. Я этим пользовался когда сидел на венде и вариантов не было. Но намного винрарнее юзать скрипты, потому что это следующий уровень, когда ты один раз параметры выбрал и потом только запускаешь его и получаешь результат. Мне не приходится каждый раз запускать ненужно просмоторщик, выбирать там файлы/папки, накликивать параметры. Фоточки я обычно совсем не пережимаю, а вот для видосов у меня есть скрипты. И это намного удобнее: вызвал его через консоль с указанием пути и подождал. Если бы часто юзал - сделал бы ярлык на рабочем столе и выделенную папку откуда всё конвертится. И основная проблема когда время от времени этим занимаешься в том, что не помнишь параметры, а тут оно всё записано.
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

6. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+7 +/–
Сообщение от Аноним (7), 13-Ноя-26, 13:26
Проснулись, уже много лет об этом известно. Им стоило бы прозрачней быть на эту тему, а то нюфани регулярно находят эту "уязвимость".
Ответить | Правка | Наверх | Cообщить модератору

9. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–4 +/–
Сообщение от Аноним (9), 13-Ноя-26, 13:59
С каждым годом отпадает желание держать свой сайт в интернете. Твой сервер по умолчанию пытаются взломать боты. Время действий сертификата урезают. Притом главный инициатор этого самая "Питерская" (те->до) компания в мире. А еще каждую неделю выявляются уязвимости. Чтобы купить домен, пройди еще верификацию. А еще цены на все сервера улетели. Вот сегодня кого то взломают из-за ImageMagick.
Ответить | Правка | Наверх | Cообщить модератору

	11. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+7 +/–
	Сообщение от тоже Аноним (ok), 13-Ноя-26, 14:01
	Ну, хоть у кого-то отбили желание сделать еще один сайт. Слава нейронкам!
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от ryoken (ok), 13-Ноя-26, 14:41
	>>держать свой сайт в интернете А если в Tor-е, как .onion? :)
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	37. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (37), 13-Ноя-26, 15:46
	что равносильно сайту с доступом по инвайтам.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+3 +/–
	Сообщение от Аноним (43), 13-Ноя-26, 17:19
	> С каждым годом отпадает желание держать свой сайт в интернете. Не держи. Серьёзно, не должно быть в интернете ресурсов поддерживаемых морально неустойчивыми личностями, которые завтра могут из-за какой-то фигни хлопнуть дверью, опрокинув всех пользователей что имели глупость завязаться на их контент или сервис. > Твой сервер по умолчанию пытаются взломать боты. И что? Во-первых, обновляй вовремя да и всё, 0-day у ботов не часто встретишь. Во-вторых, используй базовые админские практики - бэкапы и IaaC. Поэтому если и взломают - ты просто переналиваешь сервак за 10 минут и забываешь. > Время действий сертификата урезают. И что? Он обновляется автоматом сертботом или кадди, ты в этом никак не участвуешь и тебе похрен, год у него срок действия или день. Хоть час, но тогда может понадобиться одну циферку в кронтабе поправить. > Чтобы купить домен, пройди еще верификацию. > А еще цены на все сервера улетели. Не покупай хостинг и домены в россии, это же база. > Вот сегодня кого то взломают из-за ImageMagick. Ну и отлично.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	79. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (79), 14-Ноя-26, 12:25
	а ты держи статику, зачем тебе вообще обратная связь? пусть на специально заведенную почту пишут
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

10. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
Сообщение от тоже Аноним (ok), 13-Ноя-26, 13:59
В Дебиане, например, просто из коробки запрет IM на обработку PS (в частности, PDF). Приходилось включать там, где мне все-таки надо. Но у меня на этот сервер не прилетают файлы неизвестно откуда, только свои рабочие материалы. Так что сценарии всех найденных нейронками уязвимостей - мимо.
Ответить | Правка | Наверх | Cообщить модератору

12. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–5 +/–
Сообщение от Аноним (12), 13-Ноя-26, 14:15
>выбирается в зависимости от содержимого, а не расширения файла Это классическое жлобство: "мы лучше тебя знаем, что этот файл с расширением JPG надо обрабатывать как PDF" Сколько в винде от этого жлобства вирусни случилось, но оно продолжает жить.
Ответить | Правка | Наверх | Cообщить модератору

	13. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+6 +/–
	Сообщение от Аноним (13), 13-Ноя-26, 14:20
	> мы лучше тебя знаем, что этот файл с расширением JPG надо обрабатывать как PDF Вообще-то, так и должно быть. Мало ли как называется файл, смотреть надо на сигнатуры, мэджик байтс.
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (7), 13-Ноя-26, 14:33
	Тут тоже прикол в том, что та же libmagic адово кривая и полагаться на неё бесполезно -- в следущем обновлении всё развалится. Вон зип файлы регулярно перестаёт распознавать. Если изучить вопрос, её разработкой заняты адовые упыри. Кстати, объясни вот мне, зачем регулярно переименовывают png в jpg и jpg с webp в png?
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Diozan (ok), 13-Ноя-26, 14:52
	>>> Кстати, объясни вот мне, зачем регулярно переименовывают png в jpg и jpg с webp в png? Не все сервера и браузеры знают, что делать с png или webp. У них могут быть не прописаны соответствующие MIME-типы.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от tkzv (ok), 14-Ноя-26, 20:25
	За столько лет могли бы и настроить. MIME прописать — несколько минут работы. Конвертация из/в webp полностью грузит одно ядро на секунду-две. AVIF — ещё больше. Если сайт хоть кому-то интересен, постоянное конвертирование отжирает кучу времени CPU.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+7 +/–
	Сообщение от Аноним (12), 13-Ноя-26, 14:52
	>Вообще-то, так и должно быть. Мало ли как называется файл Вообще-то, если внутри файла с расширением JPG находится EXE или PDF, следует генерировать ОШИБКУ "не верный формат", а не запускать на исполнение EXE или Ghostscript с флагом "-dSAFER"
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	33. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+3 +/–
	Сообщение от User (??), 13-Ноя-26, 15:37
	>>Вообще-то, так и должно быть. Мало ли как называется файл > Вообще-то, если внутри файла с расширением JPG находится EXE или PDF, следует > генерировать ОШИБКУ "не верный формат", а не запускать на исполнение EXE > или Ghostscript с флагом "-dSAFER" Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" - в свое время неочевидно было создателям, что (не все) люди не содержимое файла смотрят, чтобы понять что это - а вот глазами во что-то более человекочитаемое хотят. Ну и соответственно, если программа, работающая с данными получает на вход эти "данные" в поддерживаемом (И не запрещенном политикой по умолчанию) виде - то было бы немного так странно, если бы она ничего с ними не делала, м?
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Аноним (12), 13-Ноя-26, 16:12
	>Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the extensions that represent them
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+2 +/–
	Сообщение от User (??), 13-Ноя-26, 16:27
	>>Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" > Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the > extensions that represent them И ЧО? Васяны из freedesktop распространяют свою базюлю - молодцы какие! А с какого бодуна софтина должна её использовать? Или вот не xdg-mime, а /etc/mime.types? POSIX "расширение файла" как аттрибут есть? Нету? Что ты будешь делать. Может какой RFC, обязывающий учитывать расширение файла как спецификатор содержимого найдется? Что, тоже нет? Может где-то в стандартах про этот mime.types чего написано? Ой, опять не нашли. Беда прям какая-то, правда?
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (52), 13-Ноя-26, 18:38
	Опять пурга! Ну при чем тут freedesktop? Расширение у файла было придумано именно в Юниксе, задолго до freedesktop и до рождения большинства местных икспердов, *исключительно* с целью определения *типа файла* не читая его.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от User (??), 13-Ноя-26, 21:08
	> Опять пурга! Ну при чем тут freedesktop? Расширение у файла было придумано > именно в Юниксе, задолго до freedesktop и до рождения большинства местных > икспердов, *исключительно* с целью определения *типа файла* не читая его. Еще раз - posix стандарт или принятый rfc на этот счёт - есть?
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от tkzv (ok), 14-Ноя-26, 20:32
	> принятый rfc на этот счёт - есть? RFC 2045, RFC 2046, RFC 2047, RFC 2048, RFC 2049...
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от User (??), 14-Ноя-26, 22:37
	>> принятый rfc на этот счёт - есть? > RFC 2045, RFC 2046, RFC 2047, RFC 2048, RFC 2049... Ээээ... И что тут написано про использование "file extension" для определения типа файла и его приоритете над этим самым "содержимым", М?
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Ivan_83 (ok), 13-Ноя-26, 15:47
	Дорогой друг, только представь что ты сам пишешь этот имагемажок или просто файловый манагер. Вот у тебя есть 10005000 разных файлов разных форматов, твоя поделка сама их не обрабатывает, она только вызывает готовые обработчики. Понятно что проще всего определять внешний обработчик по некоторой метаинфе предоставленной вместе с файлом. Если ты хочешь сам написать детектор форматов - удачи тебе, пару подобных утилит я видел, работают они часто с некоторой вероятностью и не все форматы способны в принципе отличать. Типа как ты отличишь .txt / .c / .js / .html?
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	70. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от yet another anonymous (?), 13-Ноя-26, 22:08
	Дорогой незнакомый друг! В мире, отличном от того, который последие два дня колбасит, есть такая весчЪ man file
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Ю.Т. (?), 14-Ноя-26, 07:47
	@Ivan_83 только что сказал, что автоопределители типа (среди которых, не сомневаюсь, в его опыте был и file) могут работать с большими и странными ошибками. И у меня file давал такие ошибки. Я уже не помню, что-то с HTML, что-то с PDF. Я убрал зависимость от file из того техпроцесса. В целом же если, то "работа" imagemagick с векторными форматами -- это очевидная универсализация неуниверсализуемого. Те, кто пользовался тех.приёмом, о котором в новости, сами накликАли неприятности. Разрешать автообработку языка программирования можно только, если хорошо понимаешь, что делаешь.
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от yet another anonymous (?), 14-Ноя-26, 20:59
	Вы глаза-то разуйте. IM совршенно правильно определяет формат данных, но виноват он в том, что перед ним облажались с фильтрацией контента, с которой инфраструктура того же file'а справляется. > Я уже не помню, что-то с HTML, что-то с PDF. Я убрал зависимость от file из того техпроцесса. Ну и молодец.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Ivan_83 (ok), 14-Ноя-26, 20:00
	Вы то сами этим file пользовались? Удачи вам сделать так чтобы ваш файловый манагер открывал правильной прогой файлы игнорируя расширения и полагаясь только на выдачу file. Если бы оно было так просто - это бы давно заюзали везде.
	Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

	77. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Деанимус (?), 14-Ноя-26, 06:02
	>Типа как ты отличишь .txt / .c / .js / .html? Весьма странный пример. Перечисленное тобой есть текст, не во что его проебразовывать, с текстом должны работать парсеры. С графикой все с одной стороны проще - основная информация есть изображение. С другой стороны в каждом формате свои заморочки, которые необходимо учитывать конвертеру.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	83. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Ivan_83 (ok), 14-Ноя-26, 19:58
	Текст для кого? Хочешь смотреть .html  в нотепаде а .c в браузере? Если убрать расширение и попытатся смотреть в контент для определения реального типа при открытии то будет вот такая фигня довольно часто. Я не спорю с тем что расширения это не удобно, и возможно с самого начала (годах в 60-70х) нужно было архитектурно делать так чтобы файл всегда содержал заголовок с метаинформацией, тогда бы он был не отчуждаемым, и не потребовалось бы отдельно изобретать EXIF, тэги в мп3, VERSION в exe файлах и прочее что было напихано. И вот эти миме типы тоже были бы не нужны. Но мир пошёл по пути: "потом чтонить придумаем" и оно получилось как получилось. И теперь часто есть какие то данные чьё содержимое надо угадывать по расширению, миме типу, и уже потом по внутрянке.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (43), 13-Ноя-26, 17:23
	> Вообще-то, так и должно быть. Мало ли как называется файл, смотреть надо на сигнатуры, мэджик байтс. Бред какой. Это значило бы что рандомный мусор может идентифицироваться как любой формат. У чего-то, надёжных сигнатур вообще нет, .ico например. Это требует декомпрессии для сжатого контента. Ещё миллион причин. Нормальный софт работает явно и детерминировано, значит смотрит на расширение или mime.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	47. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Аноним (47), 13-Ноя-26, 17:54
	Ну решил ты по расширению, что это, скажем, PNG. Открываешь файл, а у тебя вместо картинки калькулятор запускается. Что, впервые что ли?
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+2 +/–
	Сообщение от Аноним (43), 13-Ноя-26, 18:18
	> Ну решил ты по расширению, что это, скажем, PNG. Открываешь файл, а у тебя вместо картинки калькулятор запускается. Что, впервые что ли? Если ты открываешь png файл, а у тебя запускается калькулятор, то при открытии файла как раз таки импользуется тот самый механизм определения типа файла по сигнатуре, а не расширению, которого быть не должно.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от warlock66613 (ok), 13-Ноя-26, 17:44
	В UNIX вообще нет понятия "расширение файла", это просто суффикс для удобства человека.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	51. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (43), 13-Ноя-26, 18:20
	Понятие расширение файла есть везде, где в имени файла можно ставить точку.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+2 +/–
	Сообщение от Дякую (?), 13-Ноя-26, 19:05
	Правда? И какое тут у меня расширение? $ ls -la /tmp total 792 drwxrwxrwt 165 root  root  131072 Nov 13 19:03 . drwxr-xr-x  25 root  root    4096 Dec 17  2025 ..
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Энтомолог_русолог (ok), 13-Ноя-26, 20:31
	Классно! А если у тебя файл зовут image.jpg.png.pdf.sh? Какое у него расширение? А то точки на месте, вон сколько точек, можем еще отсыпать. Ты скажешь «sh», но это будет противоречить твоим словам, что все дело только в точках в имени. Так какое?
	Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

	87. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от tkzv (ok), 14-Ноя-26, 20:34
	> Классно! А если у тебя файл зовут image.jpg.png.pdf.sh? Какое у него расширение? > А то точки на месте, вон сколько точек, можем еще отсыпать. > Ты скажешь «sh», но это будет противоречить твоим словам, что все > дело только в точках в имени. Так какое? Если расширений цепочка, как *.tar.gz, берётся последнее.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (66), 13-Ноя-26, 22:02
	Именно поэтому в винде по умолчанию у файлов скрыто расширение в проводнике, а экзешники запускаются без вопроса "точно ли вы хотите запустить эту программу", ага, поверил.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

15. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
Сообщение от ryoken (ok), 13-Ноя-26, 14:39
>> зависимости от содержимого, а не расширения файла Меня вот учили, что в линуксовых ФС нет расширения и все символы это имя файла. А расширения - удел всяких FAT & NTFS. Что-то поменялось?
Ответить | Правка | Наверх | Cообщить модератору

	18. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–4 +/–
	Сообщение от Аноним (16), 13-Ноя-26, 14:48
	Ну вот из этого уязвимость то и выросла, что в IM смотрели в содержимое, а не на расширение. Ну и большинство в мире пользователей все-таки нормальные люди, которые смотрят на расширение файла, а не в бинарный код файла в HEX редакторе, чтобы понять, чем открыть файл.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (-), 13-Ноя-26, 15:27
	Большинство пользователей вообще не смотрят, а просто кликают на файл. А уже система смотрит, что с этим файлом сделать. Обычно - в соответствии с MIME типом, но есть варианты. Помнится, винда раньше запускала файлы с названием setup.exe с особыми привилегиями.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (32), 13-Ноя-26, 15:36
	> нормальные люди, которые смотрят на расширение файла, ага, именно поэтому винда их скрывает, а каждое 2е письмо на почту это файл _моя_голая_фоточка.jpg.exe вам 5 лет чтоли? если на обертке вкусных конфет писать вкусная конфета, то это конечно удобно, вот только от вкуса продажи тогда зависеть не будут и писать начнут все.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	90. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (90), 15-Ноя-26, 13:08
	> ага, именно поэтому винда их скрывает, а каждое 2е письмо на почту это файл _моя_голая_фоточка.jpg.exe > вам 5 лет чтоли? Пять лет, похоже, вам. Такое даже в спам уже лет пятнадцать не валится, в силу бесперспективности.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от User (??), 13-Ноя-26, 15:00
	Ну, вас учили, создателей imagemagick нимношк учили - А сайтописак, фильтрующих пользовательский ввод вот по расширению - не учили, откуда беды и воспроизошли...
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	28. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (16), 13-Ноя-26, 15:13
	Беда то как в том, что в содержимое посмотрели. Новость то прочтите внимательней. Неудобно, получилось, да.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от User (??), 13-Ноя-26, 15:34
	> Беда то как в том, что в содержимое посмотрели. Новость то прочтите > внимательней. Неудобно, получилось, да. Нет, ну было бы странно, если бы программа, работающая с данными в эти самые "данные" бы не посмотрела?
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Diozan (ok), 13-Ноя-26, 15:06
	>>> зависимости от содержимого, а не расширения файла > Меня вот учили, что в линуксовых ФС нет расширения и все символы > это имя файла. А расширения - удел всяких FAT & NTFS. > Что-то поменялось? Как-то плохо вас учили. Файловой системе по барабану расширение. На него смотрят программы, обрабатывающие эти файлы (или не смотрят... хе-хе)...
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	35. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (32), 13-Ноя-26, 15:42
	да это явно адепт секты дос, мне в 90х тоже чтото такое рассказывали, но тогда я был мелкий и не вникал, а потом подрос и понял что платить за длину имени както тупо и ушел на линукс.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (36), 13-Ноя-26, 15:43
	Файловой системе DOS расширение тоже было по барабану.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от pkdr (ok), 13-Ноя-26, 16:03
	Зато не по барабану было для операционной системы MS DOS и её клонов.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (36), 13-Ноя-26, 19:02
	Вообще-то именно про неё и речь.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от pkdr (ok), 13-Ноя-26, 16:07
	В самой ФС FAT расширения тоже не было, там было просто имя файла длиной 11 байт, последние 3 байта имени превращались в расширение уже силами ОС и утилит для работы с этой ФС.
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	45. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (43), 13-Ноя-26, 17:32
	> Меня вот учили, что в линуксовых ФС нет расширения и все символы это имя файла. А расширения - удел всяких FAT & NTFS. Что-то поменялось? Ничего не поменялось, это по сути просто всегда было неправдой, во всех перечисленных фс имя файла с расширением - единая строка. Отдельным полем оно было на древностях типа FAT16, в FAT32/NTFS перекочевало только в виде "совместимых" 8.3 имён.
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

25. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
Сообщение от Tron is Whistling (?), 13-Ноя-26, 15:02
Пффт, это как бы не уязвимость, это фича.
Ответить | Правка | Наверх | Cообщить модератору

34. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
Сообщение от Ivan_83 (ok), 13-Ноя-26, 15:39
> который не ограничивает доступ к каталогу /tmp, что позволяет атакующему читать или изменять файлы в этом каталоге (например, приложения могут временно хранить в /tmp данные сеансов и загруженные файлы). В Ghostscript также регулярно находят уязвимости, позволяющие полностью обойти ограничение "-dSAFER" (последняя такая уязвимость раскрыта 10 ноября). Удачи в пустом chroot найти какие то файлы кроме тех что пришли тем же путём. :) И пейсатели новости тактично умолчали что чтобы читать/писать файлы в /tmp надо чтобы ты был их владельцем или состоял в группе которой этой можно или был суперпользователем. А так обычно оно в /tmp только от www файлы и сможет прочитать/поправить. > требуется изменение настроек в файле /etc/ImageMagick/policy.xml Это же не полный блок правил. Внимательный читатель опеннета уже должен иметь не пустой файл с правилами из рекомендаций с прошлых новостей. <policymap>   <!-- http://imagetragick.com/ -->   <policy domain="coder" rights="none" pattern="EPHEMERAL" />   <policy domain="coder" rights="none" pattern="URL" />   <policy domain="coder" rights="none" pattern="HTTPS" />   <policy domain="coder" rights="none" pattern="MVG" />   <policy domain="coder" rights="none" pattern="MSL" />   <policy domain="coder" rights="none" pattern="TEXT" />   <policy domain="coder" rights="none" pattern="SHOW" />   <policy domain="coder" rights="none" pattern="WIN" />   <policy domain="coder" rights="none" pattern="PLT" />   <!-- http://www.opennet.dev/opennews/art.shtml?num=55780 -->   <!-- http://www.opennet.dev/opennews/art.shtml?num=66679 -->   <policy domain="delegate" rights="none" pattern="gs"/>   <policy domain="coder" rights="none" pattern="AI" />   <policy domain="coder" rights="none" pattern="PS" />   <policy domain="coder" rights="none" pattern="PS2" />   <policy domain="coder" rights="none" pattern="PS3" />   <policy domain="coder" rights="none" pattern="EPS" />   <policy domain="coder" rights="none" pattern="EPS2" />   <policy domain="coder" rights="none" pattern="EPS3" />   <policy domain="coder" rights="none" pattern="EPSF" />   <policy domain="coder" rights="none" pattern="EPSI" />   <policy domain="coder" rights="none" pattern="EPI" />   <policy domain="coder" rights="none" pattern="EPT" />   <policy domain="coder" rights="none" pattern="EPT2" />   <policy domain="coder" rights="none" pattern="EPT3" />   <policy domain="coder" rights="none" pattern="EPDF" />   <policy domain="coder" rights="none" pattern="PDF" />   <policy domain="coder" rights="none" pattern="PDFA" />   <policy domain="coder" rights="none" pattern="PCL" />   <policy domain="coder" rights="none" pattern="POCKETMOD" />   <policy domain="coder" rights="none" pattern="XPS" />   <!-- https://www.opennet.ru/opennews/art.shtml?num=58610 -->   <!-- Do not allow path starting from: "/" or "../". -->   <policy domain="path" rights="none" pattern="/*" />   <policy domain="path" rights="none" pattern="../*" />   <policy domain="Undefined" rights="none" /> </policymap>
Ответить | Правка | Наверх | Cообщить модератору

	48. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
	Сообщение от Аноним (47), 13-Ноя-26, 18:00
	Кто о чём, а ванька опять про свои чруты. То, что через дырку в im слили базу клиентов со всеми PII ему до лампочки, главное что /tmp защитил.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Атаки на приложения, использующие ImageMagick в конфигурации..."	–1 +/–
	Сообщение от Ivan_83 (ok), 13-Ноя-26, 19:26
	Конечно до лампочки, не моя же база.
	Ответить | Правка | Наверх | Cообщить модератору

67. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+1 +/–
Сообщение от Аноним (67), 13-Ноя-26, 21:56
Казалось бы, зачем в формате картинок SVG поддержка операций по работе с файлами. Почему например в JPG нет поддержки операций по работе с UDP пакетами?
Ответить | Правка | Наверх | Cообщить модератору

	73. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (73), 13-Ноя-26, 22:34
	В JPG есть поддержка всего _операции_с_UDP_пакетами.jpg
	Ответить | Правка | Наверх | Cообщить модератору

71. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
Сообщение от Аноним (71), 13-Ноя-26, 22:14
Конфиг с черным списком выглядит плохо. Надо белый список, и явно разрешать конкретно JPEG, PNG и еще что-то например. А так - в песочницу гада, пусть там сидит. Альтернатив все равно пока вроде толком нет :(( И да, дыры в сабже периодически находили сколько себя помню.
Ответить | Правка | Наверх | Cообщить модератору

	80. "Атаки на приложения, использующие ImageMagick в конфигурации..."	+/–
	Сообщение от Аноним (79), 14-Ноя-26, 12:33
	да в любом медиакомбайне дырок немеряно
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема