Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS, opennews (?), 27-Ноя-23, (0) [смотреть все] И так тихонько докеры обошли в изложении , Tron is Whistling (?), 14:29 , 27-Ноя-23, (1) –4 Вообще таскать чувствительную информацию в env могли придумать только смузихлёбы, Tron is Whistling (?), 14:32 , 27-Ноя-23, (3) –5 // Скрыто модератором, Аноним (4), 14:38 , 27-Ноя-23, (4) +11 // Скрыто модератором, Tron is Whistling (?), 14:42 , 27-Ноя-23, (5) Скрыто модератором, Tron is Whistling (?), 14:42 , 27-Ноя-23, (6) +4 // Скрыто модератором, нах. (?), 18:04 , 27-Ноя-23, (107) –1 Скрыто модератором, Аноним (113), 18:26 , 27-Ноя-23, (113) +1 // Скрыто модератором, твой анестезиолог (?), 18:58 , 27-Ноя-23, (116) –2 Ну а по фактам-то есть что сказать Или только как дедушка выругаться 171 пук-, Рычаг (?), 15:10 , 27-Ноя-23, (12) +1 // А по фактам - когда в ENV лежат ключи и пароль - это повод взять метлу таки , Tron is Whistling (?), 15:12 , 27-Ноя-23, (13) –1 // Если лежат, то да, а если только передавать, то просто ещё один способ передать , Рычаг (?), 15:19 , 27-Ноя-23, (14) +1 Хм, наверно, если даже и лежат, то тоже ничего страшного Вот раскрывать перемен, Рычаг (?), 15:27 , 27-Ноя-23, (16) Ну да если бутерброд упал на пол и его успели поднять менее, чем за 5 сек, т, all_glory_to_the_hypnotoad (ok), 16:41 , 27-Ноя-23, (27) +2 А что имеется в виду Что управление памятью слишком сложно, чтобы считать, что , Рычаг (?), 17:15 , 27-Ноя-23, (38) до UNsetenv, UNsetenv , Рычаг (?), 17:18 , 27-Ноя-23, (42) Примерно как сделать exec после fork и думать, что это дофига безопасно , Аноним (135), 22:47 , 27-Ноя-23, (135) А кто будет их в пайп оправлять Админ лично Или какая-то прога, которая возьмё, Аноним (135), 23:14 , 27-Ноя-23, (143) А где ж они должны лежать, дорогой ты мой , Аноним (72), 17:31 , 27-Ноя-23, (72) +1 В коде, как принято , Аноним (104), 18:02 , 27-Ноя-23, (104) +3 в гитхабе и гитляпе, для надежности , нах. (?), 18:05 , 27-Ноя-23, (108) Только обязательно рядом комментарий оставить, что ты понимаешь, что так делать , Рычаг (?), 18:08 , 27-Ноя-23, (110) +1 int getRandomNumber return 4 chosen by fair dice roll , Аноним (135), 23:06 , 27-Ноя-23, (141) Биндмаунты делать давно разучились etcd тоже отменили Ясно-понятно , Tron is Whistling (?), 19:36 , 27-Ноя-23, (119) Ох уж эти 171 ветераны 187 171 системного 187 171 администрирования 1, Аноним (72), 19:51 , 27-Ноя-23, (120) +1 Вы главное продолжайте хранить пароли в окружении, не стирая таковое до форка , Tron is Whistling (?), 23:04 , 27-Ноя-23, (138) Что мешает тебе создать инстанс etcd, доступный только с конкретного контейнера , Tron is Whistling (?), 23:06 , 27-Ноя-23, (140) Недостаточная степень юникс-ветеранства этот не вполне изящный термин был введе, Аноним (135), 23:09 , 27-Ноя-23, (142) +2 Поди ещё и вся аппликуха в коньтеноре от рута работает , Tron is Whistling (?), 23:23 , 27-Ноя-23, (144) Но я уже на эту тему выше отписал Отметить NOTABUG и WONTFIX и закрыть Чужие кри, Tron is Whistling (?), 23:25 , 27-Ноя-23, (145) И вообще, способов передать волатильные параметры - 1000 1, но смузихлёбы как вс, Tron is Whistling (?), 23:37 , 27-Ноя-23, (147) Как говорится, есть два стула На одном придуманная сорок лет назад юникс-дедами, Аноним (160), 13:45 , 28-Ноя-23, (160) +1 Поверь, если у тебя пароли и ключи лежат в ENV - даже один самоподписанный серти, Tron is Whistling (?), 23:38 , 27-Ноя-23, (148) И этот человек ещё что-то про смузихлёбов говорил, хех, Рычаг (?), 21:19 , 27-Ноя-23, (130) +1 Да и перед exec можете новое окружение не создавать - всё нормально , Tron is Whistling (?), 23:05 , 27-Ноя-23, (139) Интересно, что этим господам мешало запустить внутри коньтенора сервис с очищенн, Tron is Whistling (?), 23:26 , 27-Ноя-23, (146) То, что ему эти параметры НУЖНЫ , Аноним (135), 12:57 , 28-Ноя-23, (158) А переложить параметры в файлы конфигурации до запуска религия не позволяет Или , Tron is Whistling (?), 21:06 , 28-Ноя-23, (167) s волатильные сенситивные , Tron is Whistling (?), 21:06 , 28-Ноя-23, (168) Может, начать с того, что если приложение запускается - это уже повод взять метл, Аноним (135), 22:46 , 27-Ноя-23, (134) И вот тут начинается замечательная проблема Форкнул ты какой-нибудь ffmpeg для о, Tron is Whistling (?), 23:49 , 27-Ноя-23, (150) Да вобщем ничего страшного в использовании паролей в env нет, только если эту ин, Liin (ok), 15:57 , 27-Ноя-23, (22) // Если у злоумышленника есть доступ в env то где бы ты не хранил ключи у него по л, Аноним (113), 18:28 , 27-Ноя-23, (114) А кто сказал, что env может утечь только через phpinfo Любая дыра с утечкой данн, Tron is Whistling (?), 23:51 , 27-Ноя-23, (151) Лал, оказывается это мелкософт снова обломал все барбершопы vendor microsoft mic, Tron is Whistling (?), 14:44 , 27-Ноя-23, (7) C C newer changes Такое ощущение, что на Zephyr просто натравили какой-то анал, Анонин (?), 14:53 , 27-Ноя-23, (9) –1 // ChatGPT любой код превратит в божественный если правильно уметь задавать промпты, Anonist (?), 15:10 , 27-Ноя-23, (11) +4 А этот пацак всё время говорит на языках, продолжения которых не знает , Аноним (72), 21:45 , 27-Ноя-23, (132) +2 // Он прав The newer C gets, the more dangerous it becomes , Аноним (135), 22:49 , 27-Ноя-23, (136) Абсолютно в тему , bOOster (ok), 08:19 , 28-Ноя-23, (155) На сайте зефирки A proven RTOS ecosystem, by developers, for developers про ю, Аноним (10), 14:57 , 27-Ноя-23, (10) +2   // Да когда вы уже создадите свой проц который будет питон чистый исполнять или яву, 32 (?), 18:20 , 27-Ноя-23, (111) +3   // Явовскип так-то были В си процы вообще довольно отвратительная штука Они числа , Аноньимъ (ok), 18:50 , 27-Ноя-23, (115) –1   А не слишком это сложное решение, вместо того чтобы ПРОСТО проверять входные дан, Аноним (10), 19:22 , 27-Ноя-23, (118) –3   Именно из-за Си шников которые любили использовать каки типа struct foo NUL, хамоним (?), 20:50 , 27-Ноя-23, (129) +1   Открывает сайтик Zephyr А в реальности Понты дороже денег Знаменитая сишечная с, Аноним (15), 15:22 , 27-Ноя-23, (15) // Не бойся, остальные языки безопасные А упоминание Perl в первом абзаце тебе при, Денис Попов (?), 15:34 , 27-Ноя-23, (20) –1 // Уязвимость перла почему-то находится в файле regcomp cЗапутались с индексах, с, Аноним (10), 15:46 , 27-Ноя-23, (21) // Там не в индексах запутались, а в признаках типа кодировки , Серб (ok), 13:31 , 28-Ноя-23, (159) UTF-8, с его переменным размером символа, требует некоторой возни с указателями , Аноним (135), 15:42 , 28-Ноя-23, (161) Еще раз Там проблема с их собственными хаками работы с utf8 Когда в начале стро, Серб (ok), 16:37 , 28-Ноя-23, (163) Если админ запускает файлы из каталога с такими разрешениями, то специфичная для, YetAnotherOnanym (ok), 21:28 , 27-Ноя-23, (131) +1 // Когда проломят череп, лишая тебя кошелька и мобилы ты знай 8212 это не престу, Аноним (72), 21:47 , 27-Ноя-23, (133) // Ну, если ты пришёл ночью в фавелы, то дальнейшая последовательность действий дей, Аноним (135), 22:51 , 27-Ноя-23, (137) +4 Вот и прекрасно, обнаружили - пофиксили, теперь ПО на божественной Сишечке стало, Аноним (149), 23:43 , 27-Ноя-23, (149) // Дыры его только украшают , Аноним (135), 16:07 , 28-Ноя-23, (162) Помнится мне, что раньше на конференциях, в докладах, посвящённых уязвимостям в , Аноним (157), 12:13 , 28-Ноя-23, (157) –1 // и где этот докладчик теперь а perl жив , ыы (?), 20:17 , 28-Ноя-23, (166) 1,3,7,9,10,15,131,149,157

Сообщения

[Сортировка по времени | RSS]

10. "Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS"	+2 +/–
Сообщение от Аноним (10), 27-Ноя-23, 14:57
На сайте зефирки "A proven RTOS ecosystem, by developers, for developers" (про юзеров они ничего не говорят) ) "strives to deliver the best-in-class RTOS" а на деле фиксы вида     if (params->ssid_length > WIFI_SSID_MAX_LEN) { или ошибки Signed to unsigned conversion errors and buffer overflow но если одного буфера мало, можно переполнить два Two buffer overflow vulnerabilities in Zephyr USB code Итак дырявые WiFi стек, стек Bluetooth, USB-стек, файловой системе, очередной вайфай eS-WiFi и шина CANbus. Такое впечатление, что у них нет ни одной подсистемы без дыреней /_о В общем типи-кал С от лучших погромиздов под эгидой TheLinuxFoundationProjects Неудивительно, что наверное самая распространенная это ThreadsX из соседней темы, несмотря даже на проприетарную лицензию.
Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS"	+3 +/–
	Сообщение от 32 (?), 27-Ноя-23, 18:20
	> В общем типи-кал С Да когда вы уже создадите свой проц который будет питон чистый исполнять или яву, и свалите с этой планеты в свою нарнию
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS"	–1 +/–
	Сообщение от Аноньимъ (ok), 27-Ноя-23, 18:50
	Явовскип так-то были. В си процы вообще довольно отвратительная штука. Они числа дробят быстро да. А код общего назначения у них черещ костыли работает. Интел конечно сильно старался десятки лет...
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS"	–3 +/–
	Сообщение от Аноним (10), 27-Ноя-23, 19:22
	А не слишком это сложное решение, вместо того чтобы ПРОСТО проверять входные данные? Или вы считаете что дыряшечники настолько безнадежны, что проще свой проц запилить, чем этих необучаемых заставить?
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

	129. "Уязвимости в Perl, ownCloud, GStreamer и Zephyr RTOS"	+1 +/–
	Сообщение от хамоним (?), 27-Ноя-23, 20:50
	Именно из-за Си шников которые любили использовать каки типа (*(struct foo *)NULL) = x ARM для Cortex-M прямо в железо вхардкодила поведение, что на это говоно кидается безусловный и немедленный HardFault Вот как приходится бороться с криворукостью убогих! Возможно еще через 5 лет придется добавлять обязательную неотключаемую проверку границ массива, прям в процессор. Ибо языку почти полтос, ядру больше 30ки, а уязвимости вида "шел сишник по массиву, взял и сделал out-of-bounds" живут и процветают до сих пор.
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема