Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в пакетном менеджере APT, позволяющая совершить MITM-атаку для получения прав root"	+/–
Сообщение от opennews (?), 06-Ноя-26, 17:01
Опубликованы корректирующие выпуски инструментария для управления пакетами  APT, в которых устранена уязвимость (CVE-2026-109518), дающая возможность обойти проверку при  загрузке файлов и добиться выполнения своего кода с правами root. Всего сформировано 13 выпусков, охватывающих все сформированные за последние 10 лет ветки APT, начиная с 1.2.x. Обновления пакетов с устранением уязвимости также уже сформированы для различных версий Debian и Ubuntu. В конфигурации по умолчанию проблема затрагивает все выпуски начиная с  Debian 12 и Ubuntu 22.04. Эксплуатация более старых версий возможна в случае выставления в параметр Acquire::Retries значения больше 0... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66632
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от танки онлайн (?), 06-Ноя-26, 17:01	+8 +/–
То есть можно просто переключиться на https для доверенного зеркала?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #8, #17, #26

3. Сообщение от Аноним (3), 06-Ноя-26, 17:06	–4 +/–
Борьба с ветряными мельницами которая никогда не закончится.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #60

4. Сообщение от Аноним (4), 06-Ноя-26, 17:07	+/–
> добиться установки подменённого неверифицированого варианта пакета Дальше можно и не галлюцинировать про какие-то FileFd раз в систему устанавливается чужой бинарник.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9

5. Сообщение от LaunchWiskey (ok), 06-Ноя-26, 17:10	+/–
А оно по-умолчанию по HTTP ходит? Писал близкий друг автора ключа-звёздочки из соседней новости?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #31, #45, #86

8. Сообщение от Аноним (-), 06-Ноя-26, 17:31	+/–
ну вроде как канал прикрывает, но если в репу подсунут - не спасёт. вроде везде уже поправили
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

9. Сообщение от Аноним (9), 06-Ноя-26, 17:32	+/–
Это похоже на отравление кеша, которое имеет место из-за возможности писать в соседний файл, которая появляется из-за флага
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

11. Сообщение от Аноним (11), 06-Ноя-26, 17:56	+3 +/–
Я сходил посмотреть на изменения и они выглядят какой-то нейрослоп, если честно... Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Единсвенное наверное хорошо, что файл теперь в эксклюзивном режиме открывают, но это больше защита от того что кто-то локально пошалит,  файл поломав, но проверка валидности то всё равно в итоге не прошла бы даже так Может кто-то сможет лучше объяснить что там в изменениях, мне копаться в полных исходниках желания не было, только вверх и вниз пару экранов дооткрыл
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56, #59, #70

12. Сообщение от Bottle (?), 06-Ноя-26, 18:21	+/–
По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19, #20, #21, #28, #36, #47, #69, #131

13. Сообщение от Аноним (13), 06-Ноя-26, 18:22	+2 +/–
Это что же теперь все сервера переставлять?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #76, #96

17. Сообщение от Аноним (17), 06-Ноя-26, 18:33	+1 +/–
Это же lpe, какой https?) Подмена частично скачанного файла непосредственно на машине
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #141

19. Сообщение от Аноним (19), 06-Ноя-26, 18:41	+2 +/–
Ты вот язвишь, но местные линуксоиды ведь на полном серьезе воюют против всяких NPM и Cargo, кушая при этом пакеты из репозиториев. Это то ли слабоумие, то ли лицемерие - то ли оба сразу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #27, #43, #68

20. Сообщение от defcon.socialkosmocommunist (?), 06-Ноя-26, 18:41	+1 +/–
Ничто не мешает добавить свои репозитории в систему, вполне децентрализовано, всё в руках пользователей и разработчиков. Например у браузера librewolf свои репозитории, чтобы его скачать с помощью apt надо ручками добавить их в систему. Как ваше "замечание" относится к теме публикации?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

21. Сообщение от Аноним (21), 06-Ноя-26, 18:43	+/–
Это другое. Дистрибутив может и на зеркалах лежать. А вот зеркало Windows Store - не сделаешь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #37, #50, #73

25. Сообщение от Аноним (27), 06-Ноя-26, 19:01    Скрыто ботом-модератором	+/–
А ведь эти твари смели утверждать что HTTPS для зеркал с пакетами не нужен, потому что у них де проверка по чексуммам всё покрывает.
Ответить | Правка | Наверх | Cообщить модератору

26. Сообщение от Аноним (26), 06-Ноя-26, 19:06	–5 +/–
Апт не умеет https и скорее всего никогда не научится, целостность и доверие проверяется уровнем выше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #33, #35

27. Сообщение от Аноним (27), 06-Ноя-26, 19:09	+3 +/–
Так там есть принципиальная разница - репозитории пакетов curated, а в NPM и Cargo любой может безо всяких проверок залить малварь. Есть правда, нюанс, не все пакетный репозитории curated - например AUR такая же помойка, если не хуже. И есть такие репозитории которые curated, но это им не помогает, к ним относится тот же debian. У них очень поганая устаревшая и бюрократизированная инфра. Когда у нормальные репозитории представляют собой коллекцию рецептов сборки, где рецепт - это один файл описывающий весь процесс от получения исходников (с чексуммами) до сборки и установки, в debsrc пакет - это целиком исходники апстрима (в которые можно любых закладок напихать) и описание сборки в виде десятка файлов с чейнджлогами и прочим г-ном. В нормальных репозиториях любое изменение это несколько строк, и его отлично видно в истории. В дебиане это замена блоба на блоб, за которым ничего не видно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #34

28. Сообщение от Аноним (27), 06-Ноя-26, 19:12	–1 +/–
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. Какое милое либо полное непонимание темы, либо намеренное низведение до абсурда. Во-первых, зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй. Во-вторых, собственно если тут что-то не так, то как должно быть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #38

31. Сообщение от Аноним (31), 06-Ноя-26, 19:14	–4 +/–
Да. Дебиляновцы из коробки до сих пор plain http используют.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #57, #103

33. Сообщение от Аноним (31), 06-Ноя-26, 19:17	+1 +/–
Откуда такая инфа? И apt и зеркала прекрасно умеютв https. https://askubuntu.com/a/146117 Просто по какой-то неведомой причине из коробки до сих пор используется http.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

34. Сообщение от Аноним (34), 06-Ноя-26, 19:19	+/–
Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, такой XZ Utils можно и из репозитория скачать!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #52, #53, #55

35. Сообщение от Аноним (35), 06-Ноя-26, 19:23	+/–
> Апт не умеет https и скорее всего никогда не научится, целостность > и доверие проверяется уровнем выше. Надо рассказать все это apt-transport-https и apt-transport-tor всяким...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #44

36. Сообщение от Аноним (35), 06-Ноя-26, 19:26	+/–
> По мнению апологетов Линукса свобода это зависимость от централизованных репозиториев. 1) Пакеты ставятся хоть и совсем без реп. 2) Своя репа при желании поднимается минут за 5. Т.е. это - удобство, а не единственный способ, как у всяких iDevice где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #42

37. Сообщение от Аноним (35), 06-Ноя-26, 19:27	+/–
> А вот зеркало Windows Store - не сделаешь. И свой appstore эпловский - хрен поднимешь. Особенно за 5 минут - как свои репы сабжа.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

38. Сообщение от Аноним (38), 06-Ноя-26, 19:30	+/–
> зависимости нет - форкни реп, или свой с нуля сделай, замени урл и используй Ну стало быть npm, cargo, pypi, и да далее тоже не проблема. ЧТД.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

40. Сообщение от Аноним (38), 06-Ноя-26, 19:32	–1 +/–
> вклиниться в HTTP-трафик Но это не повод прекращать священную борьбу против HTTPS на опеннете!
Ответить | Правка | Наверх | Cообщить модератору

41. Сообщение от Аноним (41), 06-Ноя-26, 19:40    Скрыто ботом-модератором	+1 +/–
Кинте плиз ссылку как домашний комп быстро проверить на подмененные файлы в пакетах.
Ответить | Правка | Наверх | Cообщить модератору

42. Сообщение от Аноним (42), 06-Ноя-26, 19:55	+2 +/–
> 2) Своя репа при желании поднимается минут за 5. При условии что у тебя уже есть сервак - да за 5 минут можно попытаться. > Т.е. это - удобство, а не единственный способ, как у всяких iDevice А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд Хотя условный карго ты точно так же можешь развернуть локально или на сервере и накидать туда нужные данные. > где кроме как из апстора и не поставишь нихрена, и конечно васян не сможет свой стор сетапнуть за 5 минут. Ну так эпл ценится как раз за отсутствие васянов)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #54

43. Сообщение от Аноним (43), 06-Ноя-26, 19:59	+2 +/–
В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику и его core team. В случае slackbuilds.org надо почитать слакбилд и сверить вход и выход. И довериться текущей версии исходников. В случае NPM и Cargo надо доверять - хозяину пакета - мейнтейнерам репозитория-прокладки - занерешеченности репозитория-прокладки - хз как в npm и cargo, но ещё в других, например, pypi - блобятне на серверах прокладки - автоапдейтам - бессчетному количеству зависимостей, которые ещё и подтягиваются автоматом и их нельзя просто так зафризить с первого раза Исходя из нашумевших взломов NPM и подобных, доверять прокладке в лице репозитория не очень хорошо и люди из языковых комьюнити работают на прокладку как на дополнительный источник дохода, не имея понятия о том, как устраивать аудит исходников и использовать безопасные практики публикации кода (например, тот же pgp). Проще тянуть из VCS напрямую.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #48, #51

44. Сообщение от Аноним (44), 06-Ноя-26, 20:02	+2 +/–
apt-transport-https давно не нужен (это dummy пакет). Поддержка HTTPS из коробки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

45. Сообщение от Аноним (45), 06-Ноя-26, 20:12	+3 +/–
Да, пакеты же подписаны блалбаллабал А в чём проблема завернуть в https я не понимаю. Тот же ютуб трафик постоянно через него гоняет, которого в разы больше чем тех пакетиков. Тем более мажорные обновы раз в два года. Может дебиан используют на таких ведрах, что они не смогут в еще один слой aes.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #46, #87

46. Сообщение от Энтомолог_русолог (ok), 06-Ноя-26, 20:15	+1 +/–
> А в чём проблема завернуть в https я не понимаю Ни в чем проблемы нет И большинство зеркал имеют https, так что можно прописать https в адресе и всех проблем
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #49

47. Сообщение от Аноним (52), 06-Ноя-26, 20:19	+/–
А чего ждать в децентрализованных: червей, вшитого шпионского кода?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

48. Сообщение от Аноним (-), 06-Ноя-26, 20:19	+2 +/–
> В случае Slackware я доверяю хозяинам пакетов, хозяевам их репозиториев, Патрику и его core team. На этом в общем-то можно закончить. Это просто вариант "религии", в стиле "я верю каким-то васянам которых в глаза не видел, но они настолько круты, даже несмотря на то что их детище нафиг никому не надо (кроме таких же верующих)" > В случае NPM и Cargo надо доверять >  - хозяину пакета И как? Помогло с XZ библиотекой)? >  - мейнтейнерам репозитория-прокладки Это что? В карго зачастую автор сам выкладывает >  - занерешеченности репозитория-прокладки >  - хз как в npm и cargo, но ещё в других, например, pypi - блобятне на серверах прокладки Про какие прокладки ты говоришь? > Исходя из нашумевших взломов NPM и подобных, доверять прокладке в лице репозитория Все равно слабее чем XZ) > люди из языковых комьюнити работают на прокладку как на дополнительный источник дохода, Получая при этом бесплатный хостинг.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

49. Сообщение от Аноним (49), 06-Ноя-26, 20:21	+1 +/–
Я всегда и прописывал. Я не понимаю, почему это не дефолт.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #88, #142

50. Сообщение от Аноним (3), 06-Ноя-26, 20:24	+1 +/–
Файло на помойках  и официальных страничках кончились что ли? Под Вин всего навалом в отличии от лабы и во всех эпостасиях.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #110

51. Сообщение от LaunchWiskey (ok), 06-Ноя-26, 20:26	+1 +/–
Что-то аж захотелось продовые сервера на Slackware перевести после таких обсуждений. Остановил меня лишь браузер, который отказался на сайт Slackware заходить, ибо там только HTTP.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

52. Сообщение от Аноним (52), 06-Ноя-26, 20:28	+2 +/–
Пока что, истории успешного захвата руководства проектами личностями типа Jia Tan исчисляются одним самим Жиа Таном.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #78

53. Сообщение от Аноним (-), 06-Ноя-26, 21:11	+/–
> Ну если бекдор делает много уважаемый Jia Tan, то это другое дело, > такой XZ Utils можно и из репозитория скачать! В дебиане все получилось по уму - бэкдоры скачали только юзеры unstable. Ну так камикадзе с миноискателем затем и нужны чтоб проверить - есть ли мины на поле :). При том - они добровольно вписались в эту роль, их никто не заставлял юзать последний unstable.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #71, #79

54. Сообщение от Аноним (-), 06-Ноя-26, 21:16	+/–
> При условии что у тебя уже есть сервак - да за 5 минут можно попытаться. Ну, э, быть линуксоидом и совсем не уметь какой-то минимальный http хоть из чего-то сделать - это талант иметь надо. Со знаком минус. А в чем проблема с сервером то? Локально он за пару минут лепится из любого г и палок. Надо не локально? Впска за 3 бакса в месяц арендуется за 5 минут топ. > А причем тут iDevice? У местного сбpoда горит от npm, cargo, pypi и тд Я их не жалую потому что намного предпочтительнее рулить системой через 1 тул (e.g. apt) с более-менее одним набором полисей - чем этой кучей нечто - которое будет хз куда мусорить, и вместо 1 программы управление пойдет через полдюжины, с разными полисями и трекать это все - мучительно, канительно и в систему - гадит. Более того. Вон те шляпы рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро. Вот прям так. И они делом показали почему все именно так. > Ну так эпл ценится как раз за отсутствие васянов) Вот, отлично. А вы сюда зачем претесь то? Было бы не менее ценно если бы вы к васянам не перлись - раз вам от них ничего не надо. А то получается что вы полфорума гнались чтоб рассказать васянам как они вам безразличны :))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #82

55. Сообщение от Аноним (27), 06-Ноя-26, 21:26	+/–
Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #80, #84

56. Сообщение от нах. (?), 06-Ноя-26, 21:28	–2 +/–
да, чушь какая-то полная. Похоже прозапрошлогодней моделью нагенерено и то китайской. Какие-то линки. Откуда блин возьмутся ВРАЖЕСКИЕ линки - в /var/cache/apt?! Причем бы тут вообще - http? > но это больше защита от того что кто-то локально пошалит,  файл поломав локально этот файл и так только юзеру от которого работает apt доступен. > Может кто-то сможет лучше объяснить что там в изменениях ты не на тот сайт зашел, увы. Тут все больше пользователи гимпа и борцы за шв@60дку, а тут код какой-то, сложна-сложна. Вон хамства в ответ тебе вывалили, забывшие попить таблеточек - мама не горюй  (и где ж это наши бдительные когда их не звали модеруны прохлаждаются? А, ну да, ну да, их же огорчает слово ж..й а не хамство, на самом-то деле.) А адекватного анализа хотя бы с помощью ИИ - не дождемся, не надейся. могу тебе конечно опуса спросить. Мне самому - лень.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #58

57. Сообщение от Аноним (57), 06-Ноя-26, 21:40	+2 +/–
там на установке выбор есть, индивиды всегда найдутся
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

58. Сообщение от нах. (?), 06-Ноя-26, 21:41	+1 +/–
а, ладно, удалось уговорить опус ответить а не сливаться что небезопастно - аж самому интересно что ж там будет. Уже минут пять о чем-то непойми чем думает. Во, родил (и нет, по его мнению это кожановослоп без единого благословенного прикосновения АИ):   1. APT links files internally. When several queue items end up pointing at the      same URI (a redirect can cause this), pkgAcquire::Worker::PrepareFiles      (apt-pkg/acquire-worker.cc:1061) hard-links the downloaded file to each      item's own file in partial/. If that fails it uses a symlink. It does this      on success (201) and on failure (400). Separately, SyncDestinationFiles in      acquire.cc creates symlinks between items' partial files. ну п-ц уже собственно виден, не так ли? И вишенкой на тортике то что должен был сделать этот тяпляпер но не сделал:   Criticisms worth making   - It treats the symptom, not the cause. PrepareFiles still shares inodes     between items, and moving a file to its final place still keeps the shared     inode. A future writer that forgets Exclusive reopens the hole. Giving each     item its own copy, or refusing files with st_nlink > 1 before rename/verify,     would be more robust.   - Call sites were found with rg '::[A-Za-z]*Write' methods, according to the     commit message. That only covers methods/, not apt-pkg.   - The test doesn't reproduce the real attack chain. It plants a hardlink or     symlink by hand, without going through redirect, transient error and retry.     The rred and store changes have no tests.   - Minor points:     - RemoveFile plus O_EXCL is two steps rather than one, but partial/ isn't       writable by an attacker, so that doesn't matter here.     - Resume now copies the whole partial file, which costs some I/O on big .deb       files. отправил его посмотреть какая блестящая голова придумала идиотию с линками того что линковать нахрен не надо. Но что делать с полученным знанием, увы, неясно. pr от нас дебиан не примет, там гордый чсвносец его тут же закроет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

59. Сообщение от нах. (?), 06-Ноя-26, 21:51	+1 +/–
❯ what we will really lost if dropping completely idiotic idea of linking   something in  pkgAcquire::Worker ? ● Almost nothing. The linking only does anything when the same URI is queued   twice with different DestFiles, which is rare, and the only saving is one   duplicate download.   Why it exists   It came in with 08ea78064 (David Kalnischkies, 2015-06-15, "deal better with   acquiring the same URI multiple times"). The motivating case in that commit   message is apt-get changelog a b c where a, b and c are built from one source.   All three want the same changelog URI, but each item has its own DestFile. Короче, какой-то больной ушлепок пооптимизил случай в реальности не бывающий вовсе. Наверное свой хеловрот кривой. Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем! Причем там нахреноверчено ради этого в десять раз больше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #65, #140

60. Сообщение от нах. (?), 06-Ноя-26, 22:10	–3 +/–
нет, там реально чудовищный дерьмокод. И исправление еще хуже (потому что нимаги трогать то что натяпляпали до тебя, это может обидеть небинарных). такому коду доверять работать не со 100% trusted external data действительно нельзя, переделывайте все на https и молитесь чтобы зеркало с которого качаете не подломили, а то точно так же могут напихать, и это разумеется дятлы не сообразили. все что вы совершенно не хотели знать про деpьмиян но зачем-то спросили.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #67, #106

61. Сообщение от Аноним (61), 06-Ноя-26, 22:14	+/–
В Debian 13 исправили
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #137

62. Сообщение от нах. (?), 06-Ноя-26, 22:15	+1 +/–
и да, https, ВНЕЗАПНО, тоже уязвим. Только не для мифического mitm, а для куда более банального и куда более вероятного взлома или заведомо васянского "безопастного" зеркала.   - The attacker needs two things: redirects, and transient 5xx errors that     trigger retries. A server operator controls both. The MITM version needed     plain HTTP only to get into a position to send those responses. A rogue     endpoint already has that position, and TLS just encrypts the attack.   - The only HTTPS-specific redirect rule is "no downgrade": basehttp.cc:431-450     forbids https→http, and test-apt-https-no-redirect tests it. That doesn't     matter here. To merge B into A, the server redirects B's URL to A's URL,     normally on the same https:// host. Same scheme, no downgrade.
Ответить | Правка | Наверх | Cообщить модератору

63. Сообщение от Аноним (63), 06-Ноя-26, 22:29	+/–
Зря еМудхру слили, могла бы получиться отличная цепочка уязвимостей.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #77

65. Сообщение от Аноним (11), 06-Ноя-26, 22:42	+1 +/–
>The motivating case in that commit message is apt-get changelog a b c where a, b and c are built from one source. All three want the same changelog URI, but each item has its own DestFile Действительно, создали проблему на пустом месте. Ещё и реализовали внутреннюю логику средствами файловой системы
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

66. Сообщение от Ананоним (?), 06-Ноя-26, 22:54	+/–
Опять?
Ответить | Правка | Наверх | Cообщить модератору

67. Сообщение от Инопланетянин (?), 06-Ноя-26, 23:05	+/–
> нет, там реально чудовищный дерьмокод. Что имеено?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #81

68. Сообщение от Инопланетянин (?), 06-Ноя-26, 23:08	+/–
> NPM и Cargo Их васяны туда пушат, еще и без подписей. Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #72, #85

69. Сообщение от Инопланетянин (?), 06-Ноя-26, 23:09	+/–
> это зависимость от централизованных репозиториев. Только для apt можно создать свой репозиторий хоть с CD-диска, хость с флешки и обновляться с него.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #75, #83

70. Сообщение от Инопланетянин (?), 06-Ноя-26, 23:13	–4 +/–
> и они выглядят какой-то нейрослоп, если честно... > Какие-то переоткрытия файла, проверки бессмысленные. В итоге всё сводится к тому, что когда докачали, тогда и считаем контрольную сумму файла, но так и было изначально, только какие-то бессмысленные проверки добавили. Вот это аналитика. Нейпрослоперы не могут разобраться в пачте и называют всех вокруг нейрослоперами. Мда...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

71. Сообщение от Аноним (-), 06-Ноя-26, 23:19	+/–
это те кто без https и в зеркалах не офиц репа?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

72. Сообщение от Аноним (-), 06-Ноя-26, 23:21    Скрыто ботом-модератором	+/–
никому нельзя доверять, айпио на носу, демократы победили
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

73. Сообщение от Аноним (-), 06-Ноя-26, 23:23	+1 +/–
с другой стороны - помните как пару лет назад всё легло на день-два - от аэропортов до конгломератов, когда вин_апдейт накосячил?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #94, #114

75. Сообщение от Аноним (-), 06-Ноя-26, 23:26    Скрыто ботом-модератором	–1 +/–
сидюк и флешку актуальную вы где берёте, на сдачу в кб местном?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #93

76. Сообщение от Аноним (-), 06-Ноя-26, 23:26    Скрыто ботом-модератором	+/–
можно только поражённые хДДД
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

77. Сообщение от Аноним (-), 06-Ноя-26, 23:29	+/–
так вам антропик 1к подвезли, с гитхаба скрипты проектов тож нормально завозят https://news.drweb.ru/show/?i=15311&lng=ru на острие там жить - можно и порезаться уже
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63

78. Сообщение от нах. (?), 06-Ноя-26, 23:33	+3 +/–
наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят. вот, например, цепочка мутных комитов в apt, каждый из которых был феерично ненужным, но сам по себе безобидным... или откровенно троянский конь закомитивший в musl под видом "cleanup" неожиданное поведение в совершенно неочевидном месте в четыре часа утра.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #99

79. Сообщение от нах. (?), 06-Ноя-26, 23:35	+1 +/–
их заставил супергерой дебиан, защищающий человечество от небезнадежно устаревшего софта. И политика поддержки три года (и еще потом пять, вот, пажалуста, /bin/ls вам попатчили)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

80. Сообщение от нах. (?), 06-Ноя-26, 23:38	+1 +/–
быстроприкрытое ж вляпавшимся не считается? > А если бы ты тянул код из апстрима напрямую то точно так же мог бы быстро стянуть исправленный. И setup.exe тоже. Ну или не стянуть, а запустить троянский. И одного раза вполне хватит, в общем-то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

81. Сообщение от нах. (?), 06-Ноя-26, 23:45	–2 +/–
открой патч да и посмотри. А, у тебя лапки. И ты ж не умеешь кодить. причем и исправление кривое, и метод заслуживает шпицрутенов, и надо было не исправлять полумерами а выбросить код того васяна который его притащил ради каких-то совершенно бредовых use cases (но это низзя, он может абидетцо) P.S. зато васян использовал греп на безопастном йезычке, не этот ваш дидовский! И очень походу этим горд.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #95

82. Сообщение от Аноним (38), 07-Ноя-26, 00:13	–2 +/–
> рулятся вср@тыми корпоратами в основном. Им я сильно меньше доверяю чем майнтайнерам моего дистро. То, что ядро и все мейнстримные "дистро" пилятся корпорациями для своих нужд, и то, что корпорации содержат на зарплате подавляющее большинство "майнтайнеров" тебе никак не жмёт? Как на счёт корпоративного железа? Кризис доверия не вызывает?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54 Ответы: #111

83. Сообщение от Аноним (38), 07-Ноя-26, 00:14	+/–
А setup.exe или персональный cargo нельзя на флешку записать? Защита стоит какая-то?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

84. Сообщение от Аноним (19), 07-Ноя-26, 00:22	+/–
> Можно зубоскалить, но когда малварь обнаружат, репозиторий - единственное место где её можно прикрыть. Или наоборот - получить. Ибо репа - дополнительное звено, которое можно сломать. > А если бы ты тянул код из апстрима напрямую, как, например, в уродском go делают, Ты сейчас играешь в подмену понятий. Если у тебя прямо в апстримном коде малварь, то васяны-маинтайнеры репы тебя от этого никак не спасут: ты по факту просто до поры до времени  перекладываешь на их плечи задачу оповещения тебя об уже словленной малвари. > или ставил приложения через setup.exe как в венде, то ты бы сидел с этим трояном до скончания века, и знать бы о нём не знал. Ну да, антивирусников же не существует. А если я тебе расскажу о Microsoft Store / Google Play / etc, где проверками все обложено еще ДО публикации - ты, наверное, сильно удивишься. Куда уж им до твоих репозиториев, в которых васяны-маинтайнеры выгорают лишь от одних попыток собрать Хромиум.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

85. Сообщение от Аноним (19), 07-Ноя-26, 00:34	+1 +/–
>> NPM и Cargo > Их васяны туда пушат, еще и без подписей. И в репы линукса тоже пушат васяны: код из апстрима, который пишут вторые васяны. Только  как это относится к обсуждаемой теме? > Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc пакетов сделали что-то плохое? Ты о чем вообще?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #89, #90

86. Сообщение от selivan (ok), 07-Ноя-26, 00:41	+2 +/–
Он совершенно правильно умеет ходить по http, потому что это позволяет: - кешировать пакеты для кучи серверов, скачивая их один раз - спокойно через apt-cacher, apt-mirror и похожие софтины обновлять сервера, по соображениям безопасности не имеющие доступа в интернет При нормально реализованной проверке подписей https в общем-то нафиг не нужен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #105, #123

87. Сообщение от selivan (ok), 07-Ноя-26, 00:42	–2 +/–
https://www.opennet.ru/opennews/art.shtml?num=66632#86
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

88. Сообщение от Аноним (88), 07-Ноя-26, 00:43    Скрыто ботом-модератором	+/–
> Я всегда и прописывал. Я не понимаю, почему это не дефолт. Ответ на это примерно в той же стороне, почему и опеннет долгое время был http дефолтом и т.п. л̶е̶г̶а̶с̶и̶ ̶н̶е̶о̶с̶и̶л̶я̶т̶о̶р̶с̶т̶в̶а̶ консерватизма.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

89. Сообщение от Инопланетянин (?), 07-Ноя-26, 00:44	+/–
>>> NPM и Cargo >> Их васяны туда пушат, еще и без подписей. > И в репы линукса тоже пушат васяны: код из апстрима, который пишут > вторые васяны. Только  как это относится к обсуждаемой теме? Причем тут репы upstream? Вообще-то часто при сборке 1. накладываются пачти 2. мейнтейнер следит за изменениями => вероятность пропихнуть что-то плохое сильное сложнее. И дойдет это сильно дольше, т.к. в нормальных дистрах есть unstable -> testing -> stable. В LTS это вообще доедет еще дольше.   >> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? > А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? Задавать такой вопрос про npm? Ты серъезно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85 Ответы: #91

90. Сообщение от Инопланетянин (?), 07-Ноя-26, 01:01	+/–
>> Давай лучше ты покажешь новость, где кто-то спецом из мэинтейнеров пакетов сделал что-то плохое? > А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? https://www.opennet.ru/search.shtml?words=npm https://www.opennet.ru/search.shtml?words=pypi
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

91. Сообщение от Аноним (19), 07-Ноя-26, 01:01	+/–
> Причем тут репы upstream? При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода с апстрима. Поэтому я вообще не понял, зачем ты о них упомянул. > мейнтейнер следит за изменениями > вероятность пропихнуть что-то плохое сильное сложнее Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит кода, лол? >> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc > пакетов сделали что-то плохое? Ты о чем вообще? > Задавать такой вопрос про npm? Ты серъезно? Я же не просто так написал "авторы, а не воры учеток". Новый вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, если его никто не юзает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89 Ответы: #92

92. Сообщение от Инопланетянин (?), 07-Ноя-26, 01:08	+/–
>> Причем тут репы upstream? > При том, что васян-маинтайнер с подписью не спасут тебя от зловредного кода > с апстрима. Поэтому я вообще не понял, зачем ты о них > упомянул. Могут и спасти. Пусть лучше будут. >> мейнтейнер следит за изменениями >> вероятность пропихнуть что-то плохое сильное сложнее > Не смеши ради бога: с каких это пор маинтайнеры пакетов делают аудит > кода, лол? Банально патч может не наложиться на новые изменения. А это значит, что кое-какое знакомство с кодом надо иметь. Или какие-то фичи явно будут отключены при сборке, к примеру поход в сеть, если мэинтейнер так решит для безопасности. Как минимум он может посмотреть на изменения, которые были, поэтому добавление вредоносного кода абы как не пройдет. Это разумеется касается не всех мэинтейнеров. Где-то возможно что-то автоматом все делается. >>> А ты много знаешь новостей, где авторы (а не воры учеток) NPM/Cargo/etc >> пакетов сделали что-то плохое? Ты о чем вообще? >> Задавать такой вопрос про npm? Ты серъезно? > Я же не просто так написал "авторы, а не воры учеток". Новый > вредоносный пакет под новым аккаунтом конечно можно пропихнуть - но смысл, > если его никто не юзает. Похожие имена пакетов или угон учеток. Угон учетки мэинтейнера пакета в студию. Даже для таких случаев есть отзыв ключей.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91

93. Сообщение от Инопланетянин (?), 07-Ноя-26, 01:10	+/–
> сидюк и флешку актуальную вы где берёте, на сдачу в кб местном? Это просто пример, что без проблем можно создать зеркало просто со среза. По факту пакеты обычно с зеркал геолокальных берут. А теперь скажи, что будет если заблочить npm или cargo?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75

94. Сообщение от Аноним (3), 07-Ноя-26, 01:11	+/–
Не особенно, но помню проблему с сертификатами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

95. Сообщение от Инопланетянин (?), 07-Ноя-26, 01:16	+1 +/–
> открой патч да и посмотри. А, у тебя лапки. И ты ж > не умеешь кодить. Ну вот я тебя и спрашиваю, что конкретно тебе не нравится. С сылкой на гит.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81 Ответы: #97

96. Сообщение от LaunchWiskey (ok), 07-Ноя-26, 01:27	+/–
> Это что же теперь все сервера переставлять? И все документы переписывать и работу переделывать, а то мало ли что видоизменённые пакеты туда добавили и вставили. Если хранились видео и фото - то переснимать. Почту - переотправлять.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

97. Сообщение от нах. (?), 07-Ноя-26, 01:28	–3 +/–
ссылка прямо в новости. Ты ее, очевидно, даже не открывал. Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) и у тебя не появляется очевидных вопросов к остальным строчкам вида "да какого $%%!;!" и "да что они - совсем ... ели?" - с тобой просто не о чем разговаривать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95 Ответы: #98

98. Сообщение от Инопланетянин (?), 07-Ноя-26, 01:47	+3 +/–
> ссылка прямо в новости. Ты ее, очевидно, даже не открывал. > Если ты не можешь понять два десятка строчек на по сути plain c (там "си с классами", что кстати само по себе показательно) Ну и дальше что? Пришли конкретно ссылку на строку, к которой у тебя вопросы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #97 Ответы: #107

99. Сообщение от Аноним (19), 07-Ноя-26, 02:33	+1 +/–
> наоборот, неуспешного. Попался только Жуан Тян. Остальные успешно руководят. И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и Ubuntu накатывали свои дырявые патчи поверх апстирима - вот где настоящее веселье: * Применение в Ubuntu своих патчей к OverlayFS привело к появлению уязвимостей https://www.opennet.ru/opennews/art.shtml?num=59502 * Компрометация SSL сертификатов из-за уязвимости, обнаруженной в пакете Debian OpenSSL https://www.opennet.ru/opennews/art.shtml?num=16523
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #78 Ответы: #101

100. Сообщение от Аноним (100), 07-Ноя-26, 02:54	+1 +/–
мне уже с этими кибергеддоном кошмары снятся,как будто меня взломали и наустанавливали мне кучу реклмного софта по типу амиги и прочего...ахах
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #109

101. Сообщение от нах. (?), 07-Ноя-26, 03:04	–1 +/–
> И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и > Ubuntu накатывали свои дырявые патчи поверх апстирима внезапно, нет. случай на который ты ссылаешься - это _апстрим_ наг08някал стопиццотую версию одного и того же и сломал убунтин код в котором до этого уязвимости не было. Единственная претензия которая тут может быть к убунтоводам - что ну смотреть же надо в изменения а не компиляецо-впрод. Раз у тебя мильен патчей и ты собрался обновлять ядро - напиши себе скрипт который будет громко орать что изменилось что-то вокруг модифицированного тобой кода, даже если патчи идеально приляпались. Но погоня за shtable-nonsense да еще рабов с цепью - дело такое... может даже и был скрипт, но спринтнеждет, релиз должен быть выкачен строго по графику хоть трава не расти (с 2026-98432 похоже именно это - есть график согласно которому сперва надо исправить стопиццот никому ненужных улучшизмов ASoC: meson: aiu: fifo-spdif: soft reset the S/PDIF datapath on start/stop или вот USB: gadget: snps-udc: fix device name leak on probe failure - что это, нахрен оно кому ненужно, зачем вообще на это время тратить посреди жизненного цикла релиза когда есть приоритетнейшая задача?) с дебианом тоже вполне очевидная и понятная глупость - там код как минимум был плохой (да что в openssl-то хороший код?) и такие вещи НАДО комментировать. (и использовать .pragma затыкающие ложное предупреждение, но авторы никогда с Wall и не собирали, похоже)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99 Ответы: #112

103. Сообщение от Аноним (-), 07-Ноя-26, 03:39	–1 +/–
> Да. Дебиляновцы из коробки до сих пор plain http используют. Для любителей HTTPS есть https://www.opennet.me/opennews/art.shtml?num=66515 - и прочие BGP атаки где господа на ура - выписали себе серты доменов которыми не владели.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #115

104. Сообщение от Инопланетянин (?), 07-Ноя-26, 04:08	–2 +/–
Как вижу http, то волосы шевелятся. Заменил везде на https давно еще.
Ответить | Правка | Наверх | Cообщить модератору

105. Сообщение от Инопланетянин (?), 07-Ноя-26, 04:14	+1 +/–
> При нормально реализованной проверке подписей https в общем-то нафиг не нужен. Ну вот судя из новости получается нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #86 Ответы: #139

106. Сообщение от Ананимер (?), 07-Ноя-26, 04:47	+2 +/–
Зеркало это изначально недоверенная вещь, Надо исправлять косяки в проверке подписи а не подсовывать костыли бездумного безопасничания.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

107. Сообщение от Аноним (107), 07-Ноя-26, 07:17	+/–
> Пришли Ну так присаживайся, что стоишь > и дальше что? А дальше мультики
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #98

108. Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:21	–1 +/–
> Судя по патчу, в котором открытие файла с флагом FileFd::Empty (O_TRUNC) заменено на FileFd::Exclusive (O_EXCL), при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование. "Смотрю в книгу - вижу фигу" - уровень понимания патча, при этом ещё и логика у автора отсутствует: как можно проверить хэш файла до его скачивания!? Там была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или симлинк на него на свой файл, который потом и установился.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #113, #116

109. Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:23	+/–
Жили же с амигой миллионами и ничего, а теперь вон какие эстеты... Притом что вам и МС в пуск рекламы навалило с лопаты, а всякие хлаоми всю мобилу рекламой завалили - это типа ок?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100 Ответы: #134

110. Сообщение от Аноним (107), 07-Ноя-26, 07:25	+/–
> Под Вин всего навалом Распакуешь установщик сам ручками или посмотришь что оно сейчас делать будет перед тем как запускать рандомную прогу скачанную с интернета?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

111. Сообщение от Ivan_83 (ok), 07-Ноя-26, 07:27	+/–
Как минимум с фряхой это не так. ОС пилится на бабло пожертвованное фонду, и теми кто приносит туда патчи, как отдельные разрабы так и от корпов. Порты типа вообще сообществом, отдельные порты тянут за зарплату, но уж точно не все. На мне под 2 десятка портов, из которых по работе штуки 4.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82

112. Сообщение от Аноним (112), 07-Ноя-26, 07:44	+1 +/–
>> И это ни капли не шутка. Были же прецеденты, когда альтернативно одаренные из Debian и  Ubuntu накатывали свои дырявые патчи поверх апстирима > внезапно, нет. случай на который ты ссылаешься который именно))? Думаю речь про CVE-2008-0166 (opennet.me/opennews/art.shtml?num=16523) когда мейнтейнер дебиллиана полез своими корявками исправлять предупреждения компилятора. И сломал SSL сертификаты. > с дебианом тоже вполне очевидная и понятная глупость - там код как минимум был плохой (да что в openssl-то хороший код?) и такие вещи НАДО комментировать. (и использовать .pragma затыкающие ложное предупреждение, но авторы никогда с Wall и не собирали, похоже) Нет не надо. Мейнтенер это просто левый васян которого как обизянку посадили собирать код. В теме он разбирается как свиня в апельсинах, так что его дело просто скомпилять код.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

113. Сообщение от Аноним (113), 07-Ноя-26, 09:07	+/–
Хэш можно считать прямо в процессе скачивания. Или блоками произвольного размера. Он всё равно не изменится.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #108 Ответы: #117, #118

114. Сообщение от Аноним (34), 07-Ноя-26, 09:43	+/–
Накосячил тогда не вин_апдейт, а CrowdStrike.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #138

115. Сообщение от нах. (?), 07-Ноя-26, 10:06	–4 +/–
там не нужны никакие атаки на https. Достаточно быть владельцем (или поломать, или предъявить красную книжечку владельцу) какого-нибудь mirror.yandex.ru - и точно так же этот дерьмокод посчитает сумму от реального пакета,а распакует тебе троянский. И это гораздо более реальный сценарий чем ВРАГИИИИИ перехватывающие твой http-траффик. (так и вижу, стоит сомкнуть глаза, как они лезут с кусачками к кабелю) то что эти дятлы даже не подумали о таком сценарии - в очередной раз говорит о качестве де6иллиана
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103

116. Сообщение от нах. (?), 07-Ноя-26, 10:27	+/–
> "Смотрю в книгу - вижу фигу" - уровень понимания патча дааа, Ваня, а мы-то думали хоть ты тут умеешь понимать код. там три строчки буквально. В чем ты ниасилил-то? Сэкономил клик? > при этом ещё и логика у автора отсутствует это у де6илли@новских авторов логика отсутствует начисто. > как можно проверить хэш файла до его скачивания!? вот если бы ты посмотрел код - не патч, а то что он патчит, и да, там много и запутанно и надо разбираться (и поглядев на чудо-патч ты бы ПОЛЕЗ разбираться в некотором охренении от увиденного, как это сделал я, правда, свалив на робота грязную работу) - то узнал бы что а вот они - СМОГЛИ! > была классическая атака: файл скачали, хэш проверили, потом некто подменил файл и/или > симлинк как ты б... можешь подменить файл или симлинк на чужом локалхосте, расскажи-ка мне? внезапно, файл подменяет - сама эта поделка. Да, вот именно так - считает одно, а пишет потом поверх другое, и ничего у нее не свисит кроме фляги того горе-улучшателя что это придумал (там и use-case такой что хоть стой хоть падай). зачем автор патча полез еще и с симлинками бороться в рут-онли-райтабл каталогах - спроси у него. Мы с клавой не шмагли в этом месте перехватить полет его мысли. (на мой взгляд если у тебя не сработал хардлинк ВНУТРИ /var/cache/apt - тебе не симлинки создавать надо а выдать ошибку и остановиться, или хотя бы перестать страдать ерундой и просто скопировать файл - тут либо фс битая либо васян что-то совсем странное у себя создал, симлинки могут скрыть проблему или создать новую неожиданную дыру)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #108 Ответы: #120

117. Сообщение от нах. (?), 07-Ноя-26, 10:30	+/–
не, не угадал - оно считает хэш от уже скачаного. А потом радостно скачивает поверх уже посчитанного - троянца, и уже ничего не считает - оно ж уже скачалось.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113 Ответы: #119

118. Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:33	+/–
Я знаю что хэш считается блоками, однако "при возобновлении прерванной загрузки атакующий мог добиться перезаписи данных, для которых при первой загрузке уже было выполнено хеширование." немного про другое.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113

119. Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:35	+/–
Ну это просто радость какая то. Лучше бы автор писал на шелл скрипте, может меньше бы натяпляпал :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #117

120. Сообщение от Ivan_83 (ok), 07-Ноя-26, 10:41	–2 +/–
Там крестовый код, я открыл патч и у меня кровь из глаз потекла от кода %) У нормальных людей в начале скачивание, потом проверка хэша, потом распаковка. Если автор не осилил нормального разделения кода на блоки/стейты то он ещё хуже чем я об нём подумал :) Короче остаётся только посочувствовать тем кто с этим имеет дела :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #116 Ответы: #121

121. Сообщение от нах. (?), 07-Ноя-26, 11:04	–2 +/–
> Там крестовый код там в патче си-с-классами, образцовый кот из 96го года, я тоже такой писал (боюсь что и так же, но я ж его выкинул). Т.е. вопросы не к тому что там написано, там все совершенно понятно, вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то? > У нормальных людей в начале скачивание, потом проверка хэша досюда все верно. А потом - суп. С кодом. Лучше б я конечно туда не заглядывал. Сохранились бы хоть какие-то иллюзии... причем это не код из 96го нагадил, он страшненький но в нем-то дыры не было, это модные-современные небинарно-ориентированные в вполне себе 15м году решали задачу ненужную никому на свете. Наверное помогло устроиться потом в FAANG младшим кодописцем. Ну или я уж не знаю что должно было этим человеком двигать. Про тыщу шоколадных глаз и непосредственно отвечающего за принятие решений какие патчи принимать, а какие в помойку уж и не будем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #120 Ответы: #122

122. Сообщение от Ivan_83 (ok), 07-Ноя-26, 11:35	–1 +/–
Как бы претензия ещё и к CamelCase и вообще тому как оно написано... ощущение что всё в куче и куча абстракций. > вопрос который должен возникнуть у того кто умеет читать код - да что ж за НEX оно патчит-то? Я такое только на работе практикую, чтобы понять кто творит дичь и чей код надо ревьювить с 100х подозрительностью. Недавно как раз такого хлопца отловил, после его правок продукт начал падать там где никогда не падал :) Со своим кодом понятно кто - я ж один в основном пишу :) А с совсем чужим только чтобы пнуть автора баги чтобы быстрее ревью прошло, а то будет висеть пару лет пока кто то знакомый с тем куском не найдётся и не сподобится посмотреть. У тебя же был чудо ЫЫ, он тебе новых 1000500 багов там не нашёл?)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #121

123. Сообщение от Анонисимус (?), 07-Ноя-26, 11:39	+/–
Про проделки РКН не надо забывать. У меня с F-Droid без VPN качаются все пакеты, кроме Tor. Умет, анализируют и режут загрузочный трафик. Сейчас правда загрузка еще и медленной стала
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #86 Ответы: #125

124. Сообщение от Ponomar (?), 07-Ноя-26, 11:40	+/–
Что на это скажет AstraLinux?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #130

125. Сообщение от selivan (ok), 07-Ноя-26, 11:42	+/–
РКН, если не может заблокировать что-то точечно, просто блокирует всё. AWS Cloudfront, Cloudflare, и так далее. От РКН https никак не поможет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #123

126. Сообщение от Аноним (126), 07-Ноя-26, 12:00	+1 +/–
Как оно может проверить хеш сумму если файл не докчасался?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #133

127. Сообщение от уримои (?), 07-Ноя-26, 13:10    Скрыто ботом-модератором	+1 +/–
Смахивает на создание повода к продолжению переписывания на руст. Причём по большей части именно комментарии здесь, а не сама дыра. Типичная ситуация "запутались в лапше"/"починили главным образом симптомы вместо причины" почему-то здесь вызывает особенную реакцию. Хотя везде ровно тоже самое. Вероятно это другое. Особенно интересны тейки про говнокод(который везде), си с классами(тоже везде, притом что такое цпп, а не си с классами знают единицы) и самецКейс(практически везде, кроме базовых областей, хотя даже там вполне пишут так же - например в llvm). Кстати, сам хттп(с) нареканий не вызывает, как и горы иного текста практически везде, начитая с метаданных этих пакетов. Наверное это тоже другое.
Ответить | Правка | Наверх | Cообщить модератору

128. Сообщение от iZEN (ok), 07-Ноя-26, 13:13	–2 +/–
И эти люди смеются над пользователями FreeBSD, которые устанавливают пакеты от рута.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #129

129. Сообщение от уримои (?), 07-Ноя-26, 13:38	+/–
Пакеты все от рута устанавливают(либо из какого-то иного привелегированного сетапа). А в этом треде люди скорее всего кривят душой и не по детски.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #128

130. Сообщение от уримои (?), 07-Ноя-26, 13:39	+/–
Примерно тоже, что и убунту/прочие apt-пользователи. Странно, что ты про альт не вспомнил. Хотя их возможно не затрагивает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #124

131. Сообщение от уримои (?), 07-Ноя-26, 13:45	+/–
Ты одарён, но я помогу тебе. Центральный репозиторий - это возможность, а не зависимость, ведь вручную накачать с файлопомоек и поставить ты можешь и в линуксе. Погугли на досуге.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

132. Сообщение от Аноним (132), 07-Ноя-26, 14:21	+/–
Перванной загрузки - не загрузки конкретного файла за который вы тут бьётесь, а вообще. Он сохранен, хеш подсчитан. Возобновляется загрузка и какая-то магия заставляет скачать "такой же, но другой" файл и думать что это он. Не?
Ответить | Правка | Наверх | Cообщить модератору

133. Сообщение от Аноним (-), 07-Ноя-26, 15:37    Скрыто ботом-модератором	+/–
как вообще УБ работает?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #126

134. Сообщение от Аноним (134), 07-Ноя-26, 15:40	+/–
не, мы недостойны рекламы
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #109 Ответы: #136

136. Сообщение от Аноним (-), 07-Ноя-26, 16:49    Скрыто ботом-модератором	+/–
с вами не согласится не одно медиа
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #134

137. Сообщение от Аноним (-), 07-Ноя-26, 16:50    Скрыто ботом-модератором	+/–
первом делом, только заминка была пока сиды обкатывали для тестинга
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

138. Сообщение от Аноним (-), 07-Ноя-26, 17:01	+/–
но, по факту, всё прилетает оттуда же, и это единая репа для винды (уверен что у них есть гео-дупликанты - зеркала для регионов). а что конкретно там не так - индус, инопланетяне, секур-подрядчик - вторично же, нет? если мы говорим про наш классический апт - это, по большей части, классический деби, который имеет свои отдельные зеркала в каждой крупной стране/регионе. и вот насколько такая схема опасна в подломе конкретного зеркала, столь может спасти при отравлении основного. то на то - шило-мало
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

139. Сообщение от дохтурЛол (?), 07-Ноя-26, 17:01	+/–
Нет, не получается. Из новости получается, что после скачивания проверки подписи нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #105

140. Сообщение от mikhailnov (ok), 07-Ноя-26, 17:01	+/–
> Когда ты зачем-то просишь apt changelog три раза одного и того же одной командой. Мы ведь каждый день именно это и делаем! Видимо, когда из исходного пакета xxx собраны подпакеты xxx-y, xxx-z, xxx-w, и ты для каждого изз них запросил changelog, а по факту это один и тот же changelog.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

141. Сообщение от дохтурЛол (?), 07-Ноя-26, 17:02	+/–
а как можно было додуматься не делать проверку в финале, после скачивания?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

142. Сообщение от Аноним (142), 07-Ноя-26, 17:24	+/–
Для тестовый инфры закрытой https гемор. У некоторых есть опасения по поводу перевыпуска серта, типо шаблон машины 2+ года и из коробки будет со старым сертом. Короче не хотят нормально инфру готовить и всем лень.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема