Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Локальная уязвимость в сетевой подсистеме ядра Linux, opennews (??), 22-Сен-23, (0) [смотреть все] Хорошая демонстрация к недавней новости https www opennet ru opennews art sht, Аноним (1), 09:18 , 22-Сен-23, (1) +8 // Любая палка она о двух концах Палка о трёх концах это, как минимум, рогатка , Аноним (4), 09:28 , 22-Сен-23, (4) +20 // Чтобы каждая палка была третьей , Аноним (10), 09:35 , 22-Сен-23, (10) Первое утверждение верно и для рогаки и для любой другой палки где N-концов 2 , Заноним (?), 16:35 , 23-Сен-23, (133) Они, видимо, имели в ввиду отсутствие кровавого мерджинга изменений Нам приходи, Мда (?), 10:47 , 22-Сен-23, (31) А у меня уже 2 недели как 6 5 3 , ryoken (ok), 09:21 , 22-Сен-23, (2) –2 // Нормальные посоны уже давно на 6 5 4 сидят , ComradeDOS (ok), 09:33 , 22-Сен-23, (9) +4 // На 6 9 , Минона (ok), 10:23 , 22-Сен-23, (25) Федороводы На этой неделе не обновлялся, может уже и приехало в xanmod-оверле, ryoken (ok), 15:02 , 22-Сен-23, (83) три дня как , dannyD (?), 17:18 , 22-Сен-23, (103) нормальные пацаны на 3 10 сидят , nlug7 (?), 10:30 , 22-Сен-23, (27) // Это какие-то ортодоксальные староверы , Мда (?), 10:47 , 22-Сен-23, (32) +2 // староверы сидят на 2 6 х и 2 4 относительно недавно была тема про дроп i386,, фнон (?), 11:47 , 22-Сен-23, (45) +5 А они что-то важное держат на старом селероне или туроне Не знаю что даже сказа, Аноним (120), 20:46 , 22-Сен-23, (120) Не могут себе позволить апгрейд на железо хотя бы прошлого десятилетия , Аноним (130), 07:48 , 23-Сен-23, (130) День назад поставил 7 8 5, жизнь стала реально лучше , Oe (?), 18:45 , 22-Сен-23, (116) // А волосы шелковистые и не секутся Поздравляю , Аноним (118), 20:38 , 22-Сен-23, (118) hahaha, classic, Пряник (?), 09:30 , 22-Сен-23, (5) +1 // Ага, надо переписать на Rust , Аноним (71), 14:06 , 22-Сен-23, (71) +2 // Раст не защищает от логических ошибок такие вещи автоматически можно отслеживат, Аноним (115), 18:44 , 22-Сен-23, (115) И Rust как не странно в этой проблеме не поможет Тут только мозги человеческие , bOOster (ok), 14:22 , 22-Сен-23, (74) +2 Баги тоже нужно бэкпортировать , Пряник (?), 09:33 , 22-Сен-23, (7) +3 зато почти каждый день новое ядро, Аноним (8), 09:33 , 22-Сен-23, (8) –2 // Мерилом работы считаем усталость , Аноним (20), 10:02 , 22-Сен-23, (20) +4 // Это про других же, Аноним (10), 21:26 , 22-Сен-23, (124) А какие ещё механизмы затыкания пальцем уязвимостей они придумали , Rev (?), 09:42 , 22-Сен-23, (12) +1 // санитайзеры, рандомайзеры, обнуляторы, WxorX, закладки в стек по-моему все , ivan_erohin (?), 12:23 , 22-Сен-23, (53) Комитетов и ревьюаеров лишить премии , Аноним (15), 09:56 , 22-Сен-23, (15) +1 // Коммитера и ревьюверов, Аноним (15), 09:57 , 22-Сен-23, (16) Как лешить нуля , Аноним (20), 10:00 , 22-Сен-23, (18) // В минус, Аноним (15), 10:05 , 22-Сен-23, (21) // Похоже я знаю как сделать шаражку , Аноним (20), 10:08 , 22-Сен-23, (23) Что такое лешить , Мда (?), 10:43 , 22-Сен-23, (29) +2 // Отправить к лешему, Аноним (71), 14:23 , 22-Сен-23, (75) +1 4 19 божественен , Анонит (?), 09:58 , 22-Сен-23, (17) –1 // Нет, 5 4 и 5 10 , Аноним (118), 11:15 , 22-Сен-23, (35) // Игры хуже работает у которых как пояснили есть ограничение кадров в секунду , Анонит (?), 12:41 , 22-Сен-23, (57) +1 прикола ради перепрыгнул с 6 1 на 6 5,такое впечателение, что с трактора на само, dannyD (?), 17:13 , 22-Сен-23, (102) Считаешь с 2 6 32 уже можно переходить , Аноним (132), 15:45 , 23-Сен-23, (132) Господа, а в Gentoo и возможно в арче ванильное ядро А то я убунтоид сижу аж , Аноним (24), 10:20 , 22-Сен-23, (24) –2 // 20 04 до середины 24го года если авто-обновление настроено и комп перезагружаешь, Аноним (48), 11:54 , 22-Сен-23, (48) // Перезагрузка - после linux обновления - опасное действие, ну по крайней мере в U, bOOster (ok), 14:25 , 22-Сен-23, (77) +1 // И чем же оно опасно , Менеджер Антона Алексеевича (?), 16:53 , 22-Сен-23, (98) так не перезагружайся сразу, выжди сутки В течении суток обычно на Манджаре при, microcoder (ok), 18:46 , 22-Сен-23, (117) +1 В Gentoo ядра на любой вкус, включая ванильные , Аноним (59), 13:02 , 22-Сен-23, (59) –1 // xanmod не очень , Анонит (?), 13:16 , 22-Сен-23, (62) // Чем именно Стоит не гавкается , ryoken (ok), 15:06 , 22-Сен-23, (86) Тем же,что описал выше Как по мне так лучше РТ патчи накатить на 4 19, Анонит (?), 16:16 , 22-Сен-23, (96) Чтобы свежее ядро собрать не обязательно быть на Gentoo Скачать с kernel org и , Аноним (71), 14:30 , 22-Сен-23, (79) +1 У генты сейчас есть своё бинарное дистроядро, 6 4 16, если eix не врёт Есть и в, ryoken (ok), 15:05 , 22-Сен-23, (84) В раче есть rt, zen, libre, xanmod и ванильное, на любой вкус, в общем , anonymous (??), 17:03 , 22-Сен-23, (100) А я даже не знаю на каком я сижу ядре Там в О системе наверняка написано, но , коньюктивит (?), 22:15 , 22-Сен-23, (125) Ну как так то Ну классика проверки же if a b a overflow , Мда (?), 10:39 , 22-Сен-23, (28) // Наивный Почитайте, как в Си работает undefined behavior В вашем случае если о, Аноним (36), 11:20 , 22-Сен-23, (36) +2 // Сильно изменится ситуация с unsigned вне дебага , 29см (?), 11:33 , 22-Сен-23, (42) // В случае беззнакового оно просто начнет считать с нуля, оно как бы не ub, но смы, Аноньимъ (ok), 17:35 , 22-Сен-23, (104) –1 Почитайте, как в Си работает undefined behavior - после этого дальше можно не, Мда (?), 18:15 , 22-Сен-23, (108) Компилятор случаем не схлопывает такие проверки с флагами выше -O0 по принципу , 29см (?), 11:29 , 22-Сен-23, (41) // а это может зависить от версии копилятора , фнон (?), 11:58 , 22-Сен-23, (49) +2 Теоретически может, но при разработке ядра для ядра есть описание по флагам и , Мда (?), 18:17 , 22-Сен-23, (110) +1 // Вроде было про включенный по дефолту strict aliasing, с его запретом привычного , 29см (?), 23:25 , 22-Сен-23, (126) эта ситуация опять напомнила, что UB это костыли и злоизвестный пример https g, фнон (?), 12:03 , 22-Сен-23, (50) –1 // Я так понимаю, что этот UB для того и сделан, что бы можно было оптимизацию прои, Серб (ok), 12:19 , 22-Сен-23, (52) // ты это же не серьезно правда накой нужны такие оптимизации, которые полностью м, фнон (?), 12:27 , 22-Сен-23, (54) +2 У тебя поведение зависит от архитектуры железа и оно однозначно результат то , Серб (ok), 12:37 , 22-Сен-23, (56) Т е выход из ситуации, просто подстраиваться под так называемый стандарт Я вот, Анониммм (?), 12:46 , 22-Сен-23, (58) Выхода 2 1 Ты знаешь стандарт и работаешь по нему Тут тебе по-барабану тонкост, Серб (ok), 13:06 , 22-Сен-23, (60) понятнотогда я наверное предпочту сменить язык потому что проверять список UB пр, Анониммм (?), 13:14 , 22-Сен-23, (61) А вот это вряд ли Тут или переносимость и возможности оптимизации, тогда UB нео, Серб (ok), 13:53 , 22-Сен-23, (66) А давно у нас ifdef запретили Пиши валидный код без UB, просто для каждой платф, Аноним (67), 13:55 , 22-Сен-23, (67) Вы КО Это и есть способ обрабатывать UB Вот только есть языки, с жесткой заточко, Серб (ok), 14:00 , 22-Сен-23, (70) например MISRA C ADA поэтому у нас будут UB и код без безопастности отличный п, фнон (?), 18:20 , 22-Сен-23, (112) Для каждой комбинации железа версии и типа компилятора и флагов оптимизации , Аноньимъ (ok), 17:47 , 22-Сен-23, (106) А можно подробнее про поведение зависит от архитектуры железа Для какого жел, Анонин (?), 13:24 , 22-Сен-23, (64) Зачем тогда ориентироваться на железо Таскай свой рантайм и работай на нём Тог, Серб (ok), 13:57 , 22-Сен-23, (69) возможно это будет лучше чем получение уязвимостей, Анониммм (?), 14:11 , 22-Сен-23, (72) Возможно Если бы победил, какой-либо рантайм и десятилетиями потом не менялся П, Серб (ok), 14:47 , 22-Сен-23, (80) Рантайм то тут причем Переполнение и интовая арифметика банальная и очень болезн, Аноньимъ (ok), 17:46 , 22-Сен-23, (105) А в чем собственно оптимизация , Аноним (67), 13:56 , 22-Сен-23, (68) +1 Тут выхлоп в виде ассемблера не смотрел, но очевидно, перенос сравнения на этап , Серб (ok), 14:14 , 22-Сен-23, (73) префразирую классикуте кто разменивают скорость на безопастность, получают и уяз, Анониммм (?), 15:00 , 22-Сен-23, (82) Следует уточнить, что скорость - скорость выполнения кода Время - время разработ, Серб (ok), 15:10 , 22-Сен-23, (87) неа, время - это не только разработкаэто еще время на фикс, на тестирование, на , Анониммм (?), 15:33 , 22-Сен-23, (91) UB это наследие тех времён, когда на некторых архитектурах байты были 9 бит, а с, Совершенно другой аноним (?), 15:58 , 22-Сен-23, (93) // Ура Не прошло и 30 лет , Аноньимъ (ok), 17:49 , 22-Сен-23, (107) +1 спасибо, спасибо очень помогловот только ядро до сих пор на древнем С11 и переш, Анониммм (?), 18:17 , 22-Сен-23, (109) ну, как-бы, после C11 был C17, в котором ничего нового не добавили, а просто поп, Совершенно другой аноним (?), 14:41 , 23-Сен-23, (131) Я тебя полюбил, я тебя научу с См флаг -fwrapv, Мда (?), 18:32 , 22-Сен-23, (113) // тормозить будет хотя да, предлагалиhttps bugzilla kernel org show_bug cgi id 1, фнон (?), 18:36 , 22-Сен-23, (114) Пользуйтесь статическими анализаторами, и Раст будет не нужен , Аноним (37), 11:22 , 22-Сен-23, (37) +1   // Да, пользуйтесь статическими анализаторами И тогда вам не только придется фиксит, Анонин (?), 11:26 , 22-Сен-23, (38)   но тогда придется переписать почти все ядро, тк там дидами хаков закопано , фнон (?), 11:27 , 22-Сен-23, (39)   // Вот поэтому раст и не взлетел - мешает работать, уязвимости оставлять , Аноним (89), 15:23 , 22-Сен-23, (89)   Так обычно пишут на форумах люди, которые сами ни разу статическими анализаторам, Аноним (78), 14:27 , 22-Сен-23, (78) –1   Кроме нас двоих остальные и слов то таких не знают, так что твой коммент это кри, Аноним (95), 16:01 , 22-Сен-23, (95) +1   ну так ядро ими со всех сторон обмазано обмазано же так чего столько CVEшек , фнон (?), 18:18 , 22-Сен-23, (111)   гугл, собрав свою статистику по си плюсовым проектам, заявляет, что использовани, Аноним (121), 20:48 , 22-Сен-23, (121)   // Ну, а на чём основано доверие им в этом вопросе -Может они просто обставляют , Аноним (-), 23:01 , 23-Сен-23, (134)   Блин, а где нормальный список уязвимых версий посмотреть В ветку v5 15 этот ком, Аноним (48), 11:51 , 22-Сен-23, (47) –1 // а зачем ты что не любишь сюрпризы тебе это дает невереоятную возможность почиат, Анониммм (?), 13:22 , 22-Сен-23, (63) // Ну я уже порадовался что надо разобраться что есть в torvalds linux , и что ест, Аноним (48), 13:40 , 22-Сен-23, (65) Обожаю такое , Аноним (78), 14:24 , 22-Сен-23, (76) // Ничего необычного просто результат деградации специалистов , Аноним (95), 15:59 , 22-Сен-23, (94) // Да, при чём эта деградация началась ещё в 1972 году , Менеджер Антона Алексеевича (?), 16:58 , 22-Сен-23, (99) +1 Просто какое-то сишное бинго буффер Integer overflow UB LCE, Аноним_5 (?), 15:00 , 22-Сен-23, (81) +2 Ну значит можно и не фиксить Те, у кого камень без поддержки SMAP, сами виноват, Аноним (89), 15:18 , 22-Сен-23, (88) // а много ли таких хотя бы более-менее актуальных процов есть , 1 (??), 16:30 , 22-Сен-23, (97) так всё было понятно,в репах Gentoo появились ревизии 6 1 53-r1, 6 5 3-r1 это зн, dannyD (?), 17:07 , 22-Сен-23, (101) 1,2,5,7,8,12,15,17,24,28,37,47,76,81,88,101

Сообщения

[Сортировка по времени | RSS]

37. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+1 +/–
Сообщение от Аноним (37), 22-Сен-23, 11:22
Пользуйтесь статическими анализаторами, и Раст будет не нужен.
Ответить | Правка | Наверх | Cообщить модератору

	38. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от Анонин (?), 22-Сен-23, 11:26
	Да, пользуйтесь статическими анализаторами! И тогда вам не только придется фиксить классический баг, но и бекпортить еще в кучу старых веток.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от фнон (?), 22-Сен-23, 11:27
	но тогда придется переписать почти все ядро, тк там дидами хаков закопано %(
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	89. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от Аноним (89), 22-Сен-23, 15:23
	Вот поэтому раст и не взлетел - мешает работать, уязвимости оставлять!
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Локальная уязвимость в сетевой подсистеме ядра Linux"	–1 +/–
	Сообщение от Аноним (78), 22-Сен-23, 14:27
	>Пользуйтесь статическими анализаторами, и Раст будет не нужен. Так обычно пишут на форумах люди, которые сами ни разу статическими анализаторами не пользовались.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	95. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+1 +/–
	Сообщение от Аноним (95), 22-Сен-23, 16:01
	> статическими анализаторами Кроме нас двоих остальные и слов то таких не знают, так что твой коммент это крик в пустоту.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	111. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от фнон (?), 22-Сен-23, 18:18
	ну так ядро ими со всех сторон обмазано? обмазано же? так чего столько CVEшек ?
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	121. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от Аноним (121), 22-Сен-23, 20:48
	гугл, собрав свою статистику по си/плюсовым проектам, заявляет, что использование разных техник программирования, всевозможных анализаторов и фаззинг-тестирования не очень помогает: "...We continue to invest in tools to improve the safety of our C/C++. Over the past few releases we’ve introduced the Scudo hardened allocator, HWASAN, GWP-ASAN, and KFENCE on production Android devices. We’ve also increased our fuzzing coverage on our existing code base. Vulnerabilities found using these tools contributed both to prevention of vulnerabilities in new code as well as vulnerabilities found in old code that are included in the above evaluation. These are important tools, and critically important for our C/C++ code. However, these alone do not account for the large shift in vulnerabilities that we’re seeing, and other projects that have deployed these technologies have not seen a major shift in their vulnerability composition. We believe Android’s ongoing shift from memory-unsafe to memory-safe languages is a major factor... " Отсюда: "Memory Safe Languages in Android 13" https://security.googleblog.com/2022/12/memory-safe-language... гуглу я доверяю в _этом_ вопросе гораздо больше, чем тебе, брат аноним.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	134. "Локальная уязвимость в сетевой подсистеме ядра Linux"	+/–
	Сообщение от Аноним (-), 23-Сен-23, 23:01
	> ... We believe Android’s ongoing shift from memory-unsafe to memory-safe languages is a major factor... " > гуглу я доверяю в _этом_ вопросе гораздо больше, чем тебе, брат аноним. Ну, а на чём основано доверие им в *этом* вопросе? - Может они просто обставляют ситуацию для перетягивания всего что можно в "memory-safe languages"? Кто-то писал (не могу найти кто) - что какой-то чудак (автор?) убедил гугел что разработка языка Gо решит какие-то вопросы с параллелизмом, а на самом деле - просто протащил финансирование своих идей. Думаю что нужно смотреть  - "кому выгодно". И исходя уже из этого знания (а не из *какогототамдоверия*) делать выводы.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема