| 1.1, Жироватт (ok), 10:57, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Т.е. я правильно понял, что для эксплуатации уязвимости:
а) либа должна быть собрана со сторонним (левым) патчем
б) нужен специфический набор ключей при сборке пакета
в) эта фича должна быть вообще включена руками
г) она может только DoS?
Напомнило шуточные инструкции по установке вируса в линукс (обычно у автора он не убунта или федора), где в конце грепается адрес криптокошелька из исходника вируса и туда засылается 5 баксов просто из жалости
| | |
| |
| 2.4, Аноним (4), 10:59, 13/03/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
> Т.е. я правильно понял, что для эксплуатации уязвимости:
> а) Либа должна быть собрана со сторонним (левым) патчем
Этот левый патч для тебя уже заботливо накатили маинтайнеры дистра. Читай внимательнее.
| | |
| |
| |
| 4.16, aname (ok), 11:18, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Ну и, что мешает это всё сделать мейтейнерам? Отсутствие рук, потому, что есть только тысячи глаз? И те с глаукомой?
| | |
|
|
| |
| 3.23, Аноним (23), 11:25, 13/03/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Так он занимает 4% с 100500 дикторов! То есть никому Linux не нужен, даже вирусопесателям. Там и так в реплзиториях куча блекдоров от неизвестных васянов
| | |
| 3.24, Аноним (23), 11:25, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
Так он занимает 4% с 100500 дикторов! То есть никому Linux не нужен, даже вирусопесателям. Там и так в реплзиториях куча блекдоров от неизвестных васянов
| | |
|
|
| 1.2, Аноним (35), 10:58, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
> не инициализирует переменные
> читает неинициализированную структуру recv_tok из стека
> освободить память для некорректного указателя, ссылающегося на случайную область памяти
Я люблю язык Си!
| | |
| 1.3, Аноним (4), 10:58, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
> В применяемом во многих дистрибутивах Linux патче gssapi.patch, добавляющем в OpenSSH поддержку
> в своё время разработчики OpenSSH отказались принимать в основной состав изменение для поддержки GSSAPI из-за сомнений в его безопасности
> В настоящее время наличие уязвимости подтверждено в Debian и Ubuntu
Хм, а в комментариях мне рассказывали, что маинтайнеры дистров делают аудит кода, и поэтому в линуксячих пакетах невозможно внедрить бэкдоры, в отличие от проклятой проприетари:
https://www.opennet.ru/openforum/vsluhforumID3/139421.html#182
А оно вон как оказыватся: даже если компетентные в вопросах безопасности авторы условного OpenSSH отколнят "бэкдор", то те самые "заслуживающие доверия" маинтайнеры дистров его все равно тебе накатят. 🤦
| | |
| |
| 2.8, Аноним (35), 11:08, 13/03/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Из патча: "It seems to have a generally good
security history."
| | |
| |
| 3.29, Аноним (29), 11:39, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> generally good
Ну так патч очень гуд! Правда не указали для кого... но все и так понимают.
> security history
Остались так сказать в секурити хистори.
| | |
|
|
| |
| 2.28, Аноним (28), 11:38, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
Думаете авторы OpenSSH добавили бекдор?
Кажется просто это низкое качество кода.
Это не нормально, когда в одном файле есть две функции с таким именем sshpkt_disconnect() и ssh_packet_disconnect(). Это верный путь к багам.
| | |
| |
| 3.31, Аноним (19), 11:53, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Ты какой-то странный...
> Думаете авторы OpenSSH добавили бекдор?
Авторы OpenSSH отказались принимать этот патч. Этот баг - это не их рук дело
> Это не нормально, когда в одном файле есть две функции с таким именем sshpkt_disconnect() и ssh_packet_disconnect(). Это верный путь к багам.
Дак без патча нет бага - значит виноваты авторы патча
| | |
| 3.32, bOOster (ok), 12:11, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
 OpenSSH вообще-то из OpenBSD проистекает, а там с качеством кода проблем нет.
Теперь об оголтелых олухах которые эти решения портируют в пингвинью систему.
sshpkt_disconnect() и ssh_packet_disconnect() - это API различных версий. Обычная практика. Но отдельные придурки, вместо того что-бы привести решение в порядок и к последней версии API ограничиваются включением совместимости с предыдущими, обычно дырявыми или проблемными API.
А потом конечно маинтайнеры OpenSSH виноваты.
| | |
| |
| 4.38, Аноним (35), 12:23, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
"Only two remote holes in the default install, in a heck of a long time!"
А _disconnect - такие вот названия только путаницу создают. Надо как-то указывать в названии что это разные версии.
| | |
|
|
|
| 1.7, q (ok), 11:05, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –4 +/– |
 А что, OpenSSH гордость не позволяет что ли принять патч и сопровождать функционал в апстриме? ну если есть претензии к безопасности -- исправьте этот жалкий патч как вам видится правильнее. Но нет. Будем отфутболивать попытки сообщества реализовать востребованный функционал. Короче, в этой истории первопричинная вина прежде всего в политике горделивого OpenSSH.
| | |
| |
| 2.11, Аноним (11), 11:13, 13/03/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
> OpenSSH отказались принимать в основной состав изменение для поддержки GSSAPI из-за сомнений в его безопасности
> в патче таки нашли бекдор
но виноваты (по мнению васянов) разработчики OpenSSH
Д - логика (с)
Может не нужна вам поддержка GSSAPI, если плебс её даже не может без ошибок написать?
| | |
| 2.22, Аноним (19), 11:23, 13/03/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Ахахаха, это ваще прикол.
- Присылают сторонний патч
- Авторы OpenSSH говорят, что фигня какая-то и принимать его не будем
- В патче находят баг
- Это вы, разрабы OpenSSH, виноваты потому что не приняли его!
| | |
| |
| 3.36, bOOster (ok), 12:19, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ахахаха, это ваще прикол.
> - Присылают сторонний патч
> - Авторы OpenSSH говорят, что фигня какая-то и принимать его не будем
> - В патче находят баг
> - Это вы, разрабы OpenSSH, виноваты потому что не приняли его!
Это традиционное поведение недопрограммистов из пингвинячьего стада. Эти ослы традиционно считают что все вокруг им должны и из-за их кривого патча будут лопатить совместимость с абсолютно стабильной работой в BSD.
| | |
|
| 2.25, Аноним (19), 11:26, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Будем отфутболивать попытки сообщества реализовать востребованный функционал.
У авторов OpenSSH нет такой востребованности. А у кого есть - те сами делают... с багами.
| | |
|
| 1.14, Аноним (14), 11:16, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> читает неинициализированную структуру recv_tok из стека
> освободить память для некорректного указателя, ссылающегося на случайную область памяти
"если использовать язык программирования, с которым не надо тщательно обдумывать каждую строку, то можно знатно нафакапить" (c)
Ну что, как п̶о̶п̶л̶а̶в̶а̶л̶и̶ обдумали?
| | |
| |
| 2.20, aname (ok), 11:21, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Что не спасло авторов пингоры, а ранее ещё какого- то модуля ядра от обсёра.
Но анон, как всегда, соринку видит строго не в своём глазу.
| | |
|
| 1.15, Аноним (15), 11:17, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> при этом не инициализирует переменные,
Разработчки сего поделия не слышали про -Wuninitialized ?
Или основа разработки была "и так сойдет?"
Впрочем это не первый случай когда мейнтенер лезет своими корявками в код.
И, к сожалению, не последний.
| | |
| |
| |
| 3.27, Аноним (-), 11:35, 13/03/2026 [^] [^^] [^^^] [ответить]
| +/– |
> sources.debian.org/patches/openssh/1:7.9p1-10+deb10u2/gssapi.patch/
> Date: Sun, 9 Feb 2014 16:09:48 +0000
> У LLM...
В те далекие и темные времена ни про каких Искусственных Идийотов не знали.
Зато естественных в дебиане всегда с лихвой хватало, даже другим дистрам доставалось!
| | |
|
|
| 1.33, Аноним (33), 12:14, 13/03/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Всего-то не использовать без необходимости. А необходимость только для серверов внутри учреждения.
| | |
|
