| 1.1, Аноним (1), 11:06, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –13 +/– | |
> Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers() из разных потоков для обработки общих ресурсов. При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера.
Воистину "C" in CVE stands for C language.
Интересно админы уже невидят ИИ за необходимость постоянно обновлять дырявые серваки?
| | |
| |
| 2.3, aname (ok), 11:08, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
 CVE-2025-68260 is the first prominent race condition vulnerability discovered in Rust code within the mainline Linux kernel, specifically affecting the Rust-based Android Binder driver.
Или это другое?
| | |
| |
| 3.4, Аноним (1), 11:15, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Да, если бы вы разбирались в вопросе,
то знали что уязвимось в биндере приводила к падению
"can lead to system crashes and a denial of service".
А дыpeнь в дыpяшкe приводит к возможности "удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2".
Разница существенная. Падение сервера трудно не заметить.
А вот взлом и внеренные бекдоры могут жить годами.
| | |
| |
| 4.5, aname (ok), 11:19, 12/11/2026 [^] [^^] [^^^] [ответить]
| +6 +/– |
Ну, т.е. не о6оcpaлиcь, а специально так было задумано.
Ваши CVE не CVE, потому, что раст.
Чего только не фанаты не оправдают
| | |
| |
| 5.12, Аноним (12), 11:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Ваши CVE не CVE, потому, что раст.
Не нужно припсывать мне свои фантазии.
CVE есть CVE, но CVE CVE рознь :)
CVE-2025-68260 - 7.8 HIGH
А эта 9.8 CRITICAL, да еще и с удаленным выполнением кода.
| | |
| |
| 6.15, aname (ok), 11:48, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
Но ведь: "Воистину "C" in CVE stands for C language. " ©
А что случилось?
| | |
| |
| 7.23, Аноним (23), 12:25, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> А что случилось?
Да ничего не случилось, тоже не понимаю люди недовольны сишной классикой.
CVE бывают в всех языках, но мало кто может хотя бы минимально приблизится к дырявости сишки. Поэтому вполне заслуженное утверждение.
Хотя можно было бы добавить что "S in C stands for security"))
| | |
| |
| 8.38, Аноним (38), 14:42, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | а что раст и корутилс не показатель полтора проекта написали и сразу дыры попер... текст свёрнут, показать | | |
| |
| 9.40, Аноним (40), 15:00, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | Судя по последним месяцам, на одну раст ошибку приходится полторы тысячи сишных ... текст свёрнут, показать | | |
|
|
|
|
| 5.68, laindono (ok), 19:54, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал, это вы сами придумали. Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом.
Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента появления в кодовой базе до исправления. И как оно распределено по языкам.
| | |
| |
| 6.72, Инопланетянин (?), 00:00, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом.
В высказывании логическая ошибка.
> которые могут оказаться некорректны весьма неочевидным образом.
Как компилятор раста или нижележащий ллвм, да? А кстати на чем он? Оу щит...
| | |
| |
| 7.78, laindono (ok), 01:27, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Если тебя интересует бекенд раста, написанный на расте, то такой тоже есть.
| | |
|
| 6.76, aname (ok), 00:09, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> 50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал,
> это вы сами придумали. Даже полная верификация кода не даёт 100%
> гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут
> оказаться некорректны весьма неочевидным образом.
> Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента
> появления в кодовой базе до исправления. И как оно распределено по
> языкам.
Сколько ты переписал, чтоб давать верифицированную статистику в с "50-70%"?
> 100% никто не обещал, это вы сами придумали.
Ну, т.е. безопасТно! Но вы сами придумали.
> Даже полная верификация кода не даёт 100%
Просто нормально верифицируйте на 100%
И прочее словоблудие
| | |
| |
| 7.77, laindono (ok), 01:25, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Сколько ты
Не очень много, но достаточно, чтоб иметь общее представление. Мною написано где-то около миллиона строк на Rust.
> Но вы сами придумали.
Общая идея в том, чтоб интегрировать компилятор и анализатор. Работает очень хорошо. Однако ничего магического не происходит от такого слияния. Чем является и чем не является Rust на самом деле ты можешь почерпнуть из документации. Да, полагаю, непривычно, что существует документация, которая отвечает большинство вопросов, но ты попробуй.
| | |
| |
| 8.87, aname (ok), 13:16, 13/11/2026 [^] [^^] [^^^] [ответить] | +/– | И чем это отличается от анализаторов Коих не один Да, понимаю, тебе не привычн... текст свёрнут, показать | | |
|
|
|
|
| 4.9, Аноним (9), 11:23, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Разница существенная. Падение сервера трудно не заметить.
Особенно если это binder в андроиде, ахахах
| | |
| 4.48, Аноним (-), 16:32, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Да, если бы вы разбирались в вопросе,
> то знали что уязвимось в биндере приводила к падению
> "can lead to system crashes and a denial of service".
А, ну то-есть если я продрав глаза по утру (или по ору системы алертов) - надо сказать что "это другое" - и с спокойной совестью идти досыпать дальше. Беспокоиться же не о чем, все под контролем. А почему DoS считают "атакой" и CVE какие-то назначают - сам не понимаю, безопасно же все?!
| | |
| 4.90, Setcap (?), 11:20, 15/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Там что-то сеткап сшрут и код выполнить не получится. Они в большинстве своем не харденят контейнеры, отсюда и проблемы. Там таких состояний гонки еще 500+
| | |
|
| 3.10, Аноним (10), 11:28, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Между RCE и DoS разница огромная, Rust в том случае как раз защитил.
https://opennet.ru/64439-kernel "При успешной эксплуатации уязвимость в Binder ограничивается аварийным завершением и не приводит к повреждению памяти."
| | |
| |
| 4.14, Имя (?), 11:45, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Между RCE и DoS разница огромная, Rust в том случае как раз защитил.
Если тебя устраивает отказ в обслуживании - это благо, то почему бы не обесточить устройство и не получить тем самым ганатированную защиту от RCE?
| | |
| |
| 5.22, Аноним (22), 12:17, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Если тебя устраивает отказ в обслуживании
Тебя никто не спрашивает.
Но если есть выбор из двух зол - то лучше выбирать меньшее.
Отказ в обслуживании сложно не заметить. А медленно утекающие данные легко.
А если хочется чтобы не было ни того, ни другого - "просто" оплатите формальную верификацию))
| | |
|
|
|
| |
| 3.85, Ivan_83 (ok), 11:22, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Строить на чужих технологиях - такое себе.
Они в один прекрасный момент просто начнуть ломать те фичи которые дают тебе конкуретное преимущество а ими не особо используются, либо разделят версии на приватную и публичную, в публичной будет меньше всего и сломато.
И ты будешь мучатся с этим, в итоге придётся либо форкнуть и пилить самому либо сделать с нуля по нормальному.
МС так ни один бизнесс сломало который пытался конкурировать с ними на их же поляне.
| | |
| |
| 4.89, Аноним (88), 16:37, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Строить на чужих технологиях - такое себе.
У тебя NIH-синдром. Свою ОС уже написал? Железо со своей собственной архитектурой сделал? Или все твои неуязвимые чруты всего лишь "такая себе" чужая технология, запущенная на чужих технологиях?
| | |
|
|
| 2.19, MihaNix (ok), 11:59, 12/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
 Жить стало веселее!
Искусственный интеллект добрался до документов о внедрённых бэкдорах и теперь постепенно их обнародует. ;)
| | |
| 2.32, Tron is Whistling (?), 14:16, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Почему больше всего CVE на C(++/#/...) и PHP, наверное догадываешься смутно?
Просто неуловимые Джо да, неуловимы.
| | |
| |
| 3.44, Аноним (44), 15:34, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Почему больше всего CVE на C
При этом это касается ядра ОС, криптографии или прошивки в роутере.
> C++
Та покалеченная с рождения же фигня что и СИшка.
> C#
И много новостей про про CVE в шишарпе ты слышал?
> и PHP
ВНЕЗАПНО в пыхе проблема в файлах .с
Потому что СИшка дыpявая)
| | |
| |
| 4.58, Аноним (58), 18:07, 12/11/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
Дырявые программы, а не сишка. Си делает ровно то, что обещает. Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете. И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела.
| | |
| |
| 5.64, Аноним (64), 18:54, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Дырявые программы, а не сишка. Си делает ровно то, что обещает.
Поэтому в стандарте то ли 9, то ли 11 страниц UB.
Великие срандартизаторы даже не смогли решить как правильно сложить два числа
> Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете.
Неа, большая часть тредов началась с "ахахаа, ну и лопухи!))))"
> И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела.
Эм? У вас какие-то странные ассоциации. Попахивает проэцированием)
| | |
| |
| 6.65, Аноним (58), 19:10, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Поэтому в стандарте то ли 9, то ли 11 страниц UB.
А вам обязательно нужно сделать то, что сказали не делать? Чтобы что? Смиритесь, язык с таким порогом входа не для вас.
| | |
| |
| 7.74, Аноним (88), 00:04, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Судя по потоку найденных уязвимостей, этот "язык" ни для кого вообще.
| | |
| 7.79, Аноним (79), 01:32, 13/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Он называют дефекты дизайна порогом входа, Карл! Тогда уж надо было сразу на brainfuk писать.
| | |
|
|
|
|
|
|
| 1.2, Аноним (2), 11:08, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –5 +/– |
К счастью, этот сервер не самый популярный, да и http/2, если верно припоминаю, было прикручено в нём соплями. А вот закладки в php, похоже, многих задели.
| | |
| |
| 2.7, Аноним (1), 11:22, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> К счастью, этот сервер не самый популярный
К несчастью самый популярный тоже написан на дряхе и так же дыряв 🤷🏻♂️
opennet.me/opennews/art.shtml?num=66473
opennet.me/opennews/art.shtml?num=66288
opennet.me/opennews/art.shtml?num=65910
| | |
| 2.13, Анонимный аноним (?), 11:38, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Почти у всех хостеров apache сидит за nginx. apache хорошо обслуживают много разных сайтов с разными настройками, которые сидят на одной машине.
| | |
| |
| 3.18, Аноним (18), 11:52, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
А какая разница, что он сидит за nginx? Пакет то пройдёт через nginx в Apache.
| | |
| |
| 4.21, Аноним (2), 12:12, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
> А какая разница, что он сидит за nginx? Пакет то пройдёт через
> nginx в Apache.
Он имеет в виду, что оценить степень популярности не представляется возможным. Если честно, сомнительно -- чем больше компонентов, тем хуже.
| | |
| |
| 5.61, Анонимный аноним (?), 18:27, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Если честно, сомнительно -- чем больше компонентов, тем хуже.
Пожалуй с этим нельзя не согласиться. Тем не менее ситуация изменится только тогда, когда nginx или какой-нибудь другой новой веб-сервер научится в .htaccess. Или хотя бы придумает что-то свое такое гибкое и кастомизируемое.
Пока что в этом своем свойстве уникален, за что его и любят. За все остальное может и ненавидят.
| | |
| |
| 6.75, Аноним (88), 00:05, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> какой-нибудь другой новой веб-сервер научится в .htaccess
Или горе-разработчики научатся не пользоваться этим костылём.
| | |
| 6.86, Роман (??), 12:22, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 ну litespeed положим умеет, не только Апач :)
даже вживую несколько раз его видел
| | |
|
|
| 4.30, 0xdc09 (?), 13:47, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Apache в таком сетапе вряд ли хендлит HTTP/2, а слушает локально по обычному оттестированному HTTP/1.1 и без TLS. Более того, nginx нормализует всякие хедеры и пути в HTTP, не позволяя эксплуатировать ещё кучу разных потенциальных проблем парсера. Но в таком случае у нас два парсера с разной кодовой базой, что позволяет использовать *другую* категорию уязвимостей...
| | |
|
|
|
| 1.6, LaunchWiskey (ok), 11:20, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Они смеялись над теми, у кого сайты до сих пор на HTTP. Ну и кто смеется последний? Им подобная уязвимость не страшна.
| | |
| |
| 2.29, Аноним (29), 13:38, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Им подобная уязвимость не страшна.
Зато страшна подстановка рекламы, телеметрии и в целом слежки.
| | |
| |
| 3.31, 0xdc09 (?), 13:50, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs новых бинарных со сжатием
| | |
| |
| 4.49, Аноним (49), 16:38, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs
> новых бинарных со сжатием
Ты просто не видел сколько в этом классическом, текстовом - "request smuggling" и прочего счастья. Когда можно полностью перехватить допустим админку сайта просто врезав свой запрос - как якобы админский.
Кто по разному CR/LF понимает, кто на upper/lower case, кто на пробелах, разделении header от body, и чем там еще... а учитывая что часто есть минимум фронт и бэк, и они запросами и хидерами обмениваются - вероятность поимения такой конструкции чуть менее 100%.
| | |
|
| 3.33, LaunchWiskey (ok), 14:17, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Либо я переоценил очевидность сарказма в своём сообщении, либо времена и люди сейчас слишком серьёзные.
| | |
|
|
| 1.20, Аноним (20), 12:05, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Хорошо хоть в пакетах Debian/Ubuntu поддержка HTTP/2 у Apache не включена по умолчанию.
| | |
| |
| 2.24, нах.. (?), 12:35, 12/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– | |
для этого у нас есть девляпсы с нескучным пихонскриптом наперевес. Включат в лудшем виде, не сумлевайтесь.
| | |
| |
| 3.27, User (??), 12:56, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Не, ну так-то где grpc, а где apache - но разница в производительности, если что - вполне измеримая даже у меня, а не у гугла...
| | |
|
| 2.26, Аноним (26), 12:54, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> не включена по умолчанию
Настоящее время: "ИИ, настрой мне апач!"...
| | |
| |
| 3.37, нах.. (?), 14:36, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
попросил ЫЫ оценить пользу от http2 в конкретном use-case - onlyoffice (грузящий мильен мелких жс на первом соединении и сам внутри бэкэнда умеющий в 2) человек на 200.
"разница - скорее десятки миллисекунд чем секунды, и то на первом подключении с пустым кэшем, а вот посмотри сколько в нем новых прекрасных уязвимостей за последние пол-года!"
так что ыы попродвинутей (этот - алиса) настроит правильно - никаких ненужно2.
Неплохо было бы и из 1.1 повыпилить все то что туда напихали укушенные девляпсами (100-continue и безумным chunked место очевидно в помойке) - но это, к сожалению, настройками не лечится.
| | |
| |
| 4.59, Tron is Whistling (?), 18:13, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Не, PUT без 100-continue - это ахтунг. Потребует буферизации пухлого контента до отработки приёмника. Ну и chunked - тоже тема - а как ещё в HTTP/1.1 передать контент заранее не известной длины так, чтобы отделять мух от котлет, то есть простите, один запрос от другого...
Но да, за пределами 1.1 жизнь есть только разве что на DSL.
| | |
| |
| 5.66, нах.. (?), 19:24, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
и откуда ж у нас берется контент "неизвестной длинны"? Правильно - ниоткуда.
То есть почти всегда это троянский кал. Браузер практически никогда не использует, там все идет с Content-Length, бэкэнды в редких случаях. Лучше этот случай перехватить и буферизировать. (а может еще и проверитьчто там)
Как и 100-continue. Если ты не собираешься через http сохранять на свой диск гигабайты (в случае OO точно не, я б еще и лимит прикрутил) - он не нужен совсем. Избавиться полностью не получится, но не пропускать к бэкэнду вполне. На чем все попытки поиграть с параметрами и обламываются.
| | |
| |
| 6.69, Аноним (88), 22:53, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> и откуда ж у нас берется контент "неизвестной длинны"?
Из-под хвоста^W^WГенерируется в реальном времени.
| | |
| |
| 7.70, Ivan_83 (ok), 23:06, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Для такого есть connection close - отдавать без размера пока соединение не будет закрыто.
| | |
|
|
|
| 4.63, Аноним (26), 18:32, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> этот - алиса
Твоя алиса ничего и не делала, просто процитировала какие-то форумные посиделки.
| | |
|
|
| 2.43, Энтомолог_русолог (ok), 15:33, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
 Апач вообще практически мертв, а там где еще дрыгается там он прикрыт nginx, который отвечает по http/2, а дальше к апачу по http/1.1 обращается, потому что в апаче до сих пор http/2 считается нестабильным и не используется
| | |
| |
| 3.71, FM (??), 23:27, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
11% это мертв? Тогда он мертвее распространенности linux на десктопах, или FF браузера
| | |
|
|
| 1.28, Аноним (28), 13:04, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> При успешной эксплуатации атакующий может добиться
> изменения памяти вне выделенного буфера.
"Никогда такого не было и вот опять!" (с)
> Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google.
Ну надо же, ыскуственный ыдъйот оказался уменее чем мясные мешки))
| | |
| |
| 2.35, LaunchWiskey (ok), 14:29, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну не умнее. Вы ещё скажите, что машина умнее, потому что систему из 1000 дифференциальных уравнений может решить, а кожаный нет - ему банально времени не хватит. С уязвимостями аналогично - комбинаций и условий много, машине не сложно их все перебрать, чего не скажешь о кожаном. Но это всё работает только с известными механизмами. Кожаный может найти или изобрести новый, машина - нет, она только пережёвывает то, чему её научил кожаный.
| | |
|
| 1.62, Аноним (26), 18:28, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Как удачно новые технологии заходят! Хорошо, что их (пока) можно отключить.
| | |
| |
| 2.67, Аноним (-), 19:49, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> под управлением Apache httpd работает около 170 млн сайтов (11.56%)
карл
| | |
| |
| 3.82, Аноним (26), 02:55, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
На чём тогда работает подавляющее большинство сайтов - 88,44% ?
| | |
|
|
| 1.83, Знатоки (?), 03:47, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Я до сих пор не могу понять, как можно выполнить где-то выполнить код путем нахреначивания джампов в память.
Ну вот даже если эта память выполнится цпу, а не просто в ней хранится фотка твоей мамы, как она будет вызовы вызывать там же ldd должен символы разрулить или что.
Звучит как что-то что давно можно было на уровне ос исключить 101 способом
| | |
|
