forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Критическая уязвимость в sudo, позволяющая получить привилегии root, opennews (??), 27-Янв-21, (0) [смотреть все]

Только же неделю назад было, и вот опять, Аноним (1), 11:20 , 27-Янв-21, (1) +18 //

там про мятный screensaver было, OnTheEdge (??), 11:24 , 27-Янв-21, (8) +2 //

На Мяту вчера update sudo прилетел Ждем новых ебилдов уязвимости, Анонимно (ok), 11:33 , 27-Янв-21, (15) +4 //

Блин, apt purge этому нечто Там описание уязвимости такое что даже и не понятно, Аноним (-), 13:37 , 27-Янв-21, (73) +5

а как же тогда открыть на редактирование etc passwd в своём любимом vim-е с заб, captcha 20168 (?), 17:05 , 27-Янв-21, (171)

Хызы, никогда не испытывал проблем запустить mcedit под рутом и им отрихтовать , Аноним (-), 20:42 , 27-Янв-21, (235) +2

Это вообще для тех, у кого есть доступ к машине с разделяемым доступом У юзера, Ruberoid (?), 21:39 , 27-Янв-21, (252) +1

БезопасТность таких машин обычно очень характерная, так что о чем спич То что та, Аноним (-), 21:51 , 27-Янв-21, (257)

Да syscall ы это да но короче для веб-серверов, машин с ssh-доступом не кому, Ruberoid (?), 21:56 , 27-Янв-21, (261)

1 Программа может быть на 8470 на выполнить не то что задумано 2 Эксплойт, Аноним (297), 23:42 , 27-Янв-21, (297)

Смузихлебы в nix ска добьют и эту отрасль Поттеринг во главе этой гильдии 8 ле, ОхотникНаОленей (?), 18:45 , 27-Янв-21, (206) +17

Че за Dfinity org которое Посмотел сначала тим первые 3 строки чет смузихле, Ruberoid (?), 19:02 , 27-Янв-21, (210) +6
С дуба грохнулись, шелом резать опасные символы Вам еще пять штук таких вулнов , Аноним (-), 20:44 , 27-Янв-21, (237) +1

Да во первых просто мысли вслух, обновляха уже все лечит, а во-вторых, конечно , ОхотникНаОленей (?), 21:34 , 27-Янв-21, (250)

Ну да, я тоже обновил, премироав всю эту сагу с sudoedit ом apt purge ом Над, Аноним (-), 21:58 , 27-Янв-21, (263) +1

Сам sudoedit - это лишь симлинк на sudo, весь код в sudo Вот с последним и надо, Аноним (322), 06:22 , 28-Янв-21, (322)

10 лет уязвимости, это победа , Анончик9999 (?), 17:03 , 27-Янв-21, (169) +6 //

O in SUD 3 O 400 stands for hello , InuYasha (??), 12:18 , 28-Янв-21, (346)

Мифическая безопасность Линукса , Мастер (?), 09:04 , 28-Янв-21, (326) //

Это не Linux, это обвязки, да ещё и вокруг рута Повышение привилегий требует ка, Телепоня (?), 12:49 , 28-Янв-21, (347) +1

Чёто уже стосотая Правильно я всё таки удаляю судо первым делом уже много лет , Аноним (2), 11:22 , 27-Янв-21, (2) +5 //

и всё не можешь удалить , Леголас (ok), 11:24 , 27-Янв-21, (6) +25
В дебиане и удалять его не надо, Аноним (29), 11:55 , 27-Янв-21, (29) +3 //

Ну как сказать,aptitude why sudoi kscreen Зависит kde-cli-tools 4 5 , Аноним (41), 12:21 , 27-Янв-21, (41) +3 //

https bugs debian org cgi-bin bugreport cgi bug 895260Лол , Аноним (41), 12:34 , 27-Янв-21, (47) +4

Пинганите им багу, пруфлинки ж прилетели , Аноним (-), 14:27 , 27-Янв-21, (101) +2
Поттеринг покусал , Аноним (283), 22:33 , 27-Янв-21, (283) +4

При установке же можно выбрать суду, или уже нет , Аноним (45), 12:31 , 27-Янв-21, (45)
Хорошо, что UAC всегда стабильна и без уязвимостей, созданная профессионалами , Анончик9999 (?), 16:56 , 27-Янв-21, (161) +3 //

он у тебя с настройками по умолчанию и ты сейчас админ,правда хорошо , Мамкин Хакер (?), 17:13 , 27-Янв-21, (177) –1

Ага, и даже на линукс сейчас root , Анончик9999 (?), 17:22 , 27-Янв-21, (184)

В Минт нет root, Мамкин Хакер (?), 17:36 , 27-Янв-21, (185) –1

Я на SUSE , Анончик9999 (?), 18:05 , 27-Янв-21, (193) +1
вообще то есть если захотеть вот прямо сейчас проверил зашел с пол пинка прав, анонимуслинус (?), 19:41 , 27-Янв-21, (223) +1
Шито выдыхай, srgazh (ok), 19:45 , 27-Янв-21, (224)
есть в любом linux, абсолютноможет быть не задан пароль по умолчанию но легко ис, макпыф (ok), 20:36 , 27-Янв-21, (231) +2

При этом сам Дебиан в своей документации рекомендует использовать судо , анонъчик (?), 22:37 , 28-Янв-21, (376)

заранее уведомили разработчиков дистрибутивов А форки пускай страдаюют , КО (?), 11:22 , 27-Янв-21, (3) +3 //

Че-та как-то плохо, кстати, они уведомили - мне от редгада пришло уведомление, ч, пох. (?), 11:58 , 27-Янв-21, (32) //

Откиньтесь на спинку кресла Спасибо, что выбрали нашу компанию - , псевдонимус (?), 12:28 , 27-Янв-21, (43) +6 //

Я полагаю, компания странслировала ровно то, что ей в уведомлении пришло Возможн, пох. (?), 12:47 , 27-Янв-21, (53) –4

Какое элегантное решение Прямо как оом-киллер в юзерспейс Видно псицу по помет, псевдонимус (?), 12:58 , 27-Янв-21, (59) +8

Ну а почему нет-то Феерическое же ж ненужно , пох. (?), 13:42 , 27-Янв-21, (74)

А что, rm у редхата уже не работает В общем, надеюсь это хоть немного отучит де, Аноним (-), 14:30 , 27-Янв-21, (106)

так ln-то тоже работает В свой хомяк, например Не, не отучит - этот такой фигне, пох. (?), 14:54 , 27-Янв-21, (126) +2

Так не нужно было это ненужное к себе тащить Разве это не проще , псевдонимус (?), 19:08 , 27-Янв-21, (212)

что именно проще - жить без sudo, с гнутой su, написанной встол-маном назло з, пох. (?), 21:40 , 27-Янв-21, (253)

Мне теперь будет проще именно так, да Ну реально задобали своим sudoedit ом Я , Аноним (-), 22:03 , 27-Янв-21, (267) +2

Что пришло Брахмапутре на почту, то и оттранслирвал Английская языка довольно с, Аноним (-), 14:29 , 27-Янв-21, (103)

Дебиан тем временем выкатил апдейт Который, впрочем, качать не потребовалось, p, Аноним (-), 14:28 , 27-Янв-21, (102) //

Да, давай, удали sudo без пароля root, который в debian по умолчанию Будешь как, Аноним (148), 16:09 , 27-Янв-21, (148) +1

Я таки до этого догадался сказать passwd root P PНу, скажу в бутлоадере init , Аноним (157), 16:50 , 27-Янв-21, (157) +3

Помню, как во времена XP и раньше по умолчанию не напрягали системы спроса прав , Анончик9999 (?), 17:01 , 27-Янв-21, (167)

а потом ко мне залез какой-то вирус и стер терабайт моей пронухи с конями И хе, пох. (?), 20:36 , 27-Янв-21, (232) +3
Ага, отлично работало - в режиме Win95, когда все бакланы под админом сидят П, Аноним (-), 20:48 , 27-Янв-21, (238) +1

Странный у вас дебиан Я за последние 5 лет ставил десятки дебианов и все просил, Аноним (197), 18:26 , 27-Янв-21, (197) +1

Если его не задать, а оставить пустым, то ставиться sudo А в sudoers прописывае, Sinot (ok), 19:09 , 27-Янв-21, (213) +1

Ну как минимум надо зайти к тебе на машину под хоть каким-то юзером с шелом, что, Ruberoid (?), 21:43 , 27-Янв-21, (254) //

Вот сейчас владельцам shared-помоек обидно получилось - , пох. (?), 09:22 , 28-Янв-21, (329)

Это фиаско Выпускайте фрагтала с его вечно горящей дыренью , Аноним (4), 11:23 , 27-Янв-21, (4) +21 //

У него из дырени раст потек Оказалось что Раст тоже течет , Аноним (7), 11:24 , 27-Янв-21, (7) +7 //

раст не гарантирует отсутствие утечек памяти, так как по сути это не UB перед т, пердёжник (?), 11:37 , 27-Янв-21, (19) –1 //

Тогда зачем, нафиг, нужен это Раст Если дело не в языке, а в прямых руках, заче, Аноним. (?), 14:02 , 27-Янв-21, (86) –1

А хайповать тогда как Впрочем у растоманов это как-то странно получается С сер, Аноним (-), 14:32 , 27-Янв-21, (108)

Люди путают А утечку памяти логика программы выходит из под контроля и плодит, Ruberoid (?), 21:48 , 27-Янв-21, (255) +4

Да никто не спорит что там есть несколько неплохих идей Но вот реализация почем, Аноним (-), 22:07 , 27-Янв-21, (271) –1
указателя ИЗ программы, Аноним (-), 01:14 , 28-Янв-21, (307) +1

Чтобы у вас, питономакак, считающих что утечка - всегда забытый free, ярко-ярк, Аноним (-), 15:26 , 27-Янв-21, (133) +5

но это же unsafe, captcha 20168 (?), 17:13 , 27-Янв-21, (178)

Если вы не отличаете потёкшую память от неопределённого поведения - это только в, пердёжник (?), 18:12 , 27-Янв-21, (195)

переполнение буфера это не утечка памяти Если не писать в unsafe-режиме то в ра, Аноним (172), 17:05 , 27-Янв-21, (172) –1

не может быть это же не канонично растишки сейчас тапками замашут , DIO (?), 14:29 , 27-Янв-21, (105)

Неужели опять сишка или всё-таки руки из попки , Аноним (7), 11:23 , 27-Янв-21, (5) +2 //

и то и это, OnTheEdge (??), 11:25 , 27-Янв-21, (9) +2
Руки Комбайн Потом уже язык , псевдонимус (?), 11:26 , 27-Янв-21, (11) –1
у растаманов бы пароли просто лежали в var www, Аноним (322), 11:52 , 27-Янв-21, (27) –1 //

Вы какой-то немодный Не пароли, а ключи - от всего Без паролей, разумеется - ина, пох. (?), 11:55 , 27-Янв-21, (30)
и опять, вопрос про сишку - ответ про то, какое дерьмо растесли что, вопрос обст, Аноним (35), 12:05 , 27-Янв-21, (35) +2 //

Никогда не перестанут Цель свободного софта - пробить дыру в твоей системе В, Аноним (322), 13:01 , 27-Янв-21, (60) –1

госдэп же, captcha 20168 (?), 17:15 , 27-Янв-21, (179) +1

Учить их программировать, не , псевдонимус (?), 13:02 , 27-Янв-21, (61)

Во-первых, это как-то помешает неучам писать код на сях А потом другим людям им, Аноним (35), 13:54 , 27-Янв-21, (78) +2

Наниматели Судо это важная вещь, не чета какому-то ненужному гном Более опытные, псевдонимус (?), 14:13 , 27-Янв-21, (91)

Верифицируйте Если сишники умеют это и будут тратить на это миллион своего врем, Аноним (35), 14:29 , 27-Янв-21, (104) +3

Растаманы вообще тратят свое время на бесполезные визги только Очень теоретичес, Аноним (-), 16:55 , 27-Янв-21, (159)

И опять от темы отходим Какое тебе дело до того, на что тратят время растоманы , Аноним (35), 17:16 , 27-Янв-21, (182) +1

Специалист классический , Аноним (209), 18:52 , 27-Янв-21, (209) +1
А какое им дело на что тратят жизнь сишники Их никто не заставляет юзать програ, Аноним (-), 20:58 , 27-Янв-21, (243)

А в этом треде отметился растоман, топящий за раст Здесь только сишники, которы, Аноним (278), 22:24 , 27-Янв-21, (278) +1

Мы бы наверное и про растаманов говорили что-нибудь такое Если б софт от них бы, Аноним (-), 00:06 , 28-Янв-21, (301) +1
Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить, Аноним (278), 00:34 , 28-Янв-21, (305)
Потому что уменики с серебряными пулями утомили Эта история уже не первый год, , Аноним (311), 01:56 , 28-Янв-21, (311)
Ну просвети, как список CVE влияет на битье памятиЯ отказываюсь от сишного софта, Аноним (332), 09:33 , 28-Янв-21, (332)
Не с той стороны яйца чистите Полно яп где память бить в принципе не катит, но , Аноним (355), 16:01 , 28-Янв-21, (355)
Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более http , др. Аноним (?), 16:18 , 28-Янв-21, (357)
Он просто довольно общо задвинул О, неплохо, спасибо Однако то что это все прим, Аноним (-), 19:49 , 29-Янв-21, (392)
Из того, что он задвинул , совсем никак не вытекает доказательства Тюринга о н, анонн (ok), 21:15 , 29-Янв-21, (396)
ну поехали по новойПоэтому сишники будут бить памятьЯ ушел в джепу и пользуюсь с, Аноним (35), 17:43 , 28-Янв-21, (368)
вас это ть уже не должно с Отлично, так держать Еще можете явой обмазат, Аноним (393), 20:22 , 29-Янв-21, (393)
Меня не ть это, но сишники бьют памятьА сишники продолжают бить памятьНе предо, Аноним (398), 11:31 , 30-Янв-21, (398) +1

Кого учить Посмотрите сколько лет опыта программирования у контрибьюторов проек, Аноним (84), 13:59 , 27-Янв-21, (84) +2

Поэтому мы всем кодерам свяжем руки с помощью сраст Спасибо, низкоуровневый ана, псевдонимус (?), 14:14 , 27-Янв-21, (94) –2

Зато дыры в важных частях системы нужныОчевидно же, что просто заставить писать, Аноним (35), 14:26 , 27-Янв-21, (100) +1

А хруст так уж мешает придуркам вызывать всякое нафигнужное из привилегированной, Аноним (-), 14:38 , 27-Янв-21, (111)

Ему про си, он опять про раст, ему тыкают, что разговор про си, он опять приноси, Аноним (35), 14:40 , 27-Янв-21, (113) +1

Да тут вообще дыра в менеджменте проекта - делать все эти танцы с sudoedit ом из, Аноним (355), 16:59 , 27-Янв-21, (162)

Внесите в студию проект на сях с нормальным менеджментом и без сишных дыр, Аноним (35), 17:44 , 27-Янв-21, (187) +1

А сравнивать то с чем будем С проектами на расте которых нет Поэтому там во, Аноним (-), 22:11 , 27-Янв-21, (273)
А количество дыр разве величина относительная Проект считается недырявым, если , Аноним (278), 22:35 , 27-Янв-21, (285)
Так в этом то и трабл - сравнивать особо не с чем Там пример программы где у авт, Аноним (311), 02:04 , 28-Янв-21, (312)
Поэтому сишники будут бить память Не с чем сравнить - наша программа даже с бит, Аноним (332), 09:38 , 28-Янв-21, (334)
Значит будут Хотя если вот лично вы на лично ваших системах не хотите это все, , Аноним (-), 16:15 , 28-Янв-21, (356)
Я все могу, по совету из соседнего треда применил на себе пулю, пишу с того свет, Аноним (35), 17:55 , 28-Янв-21, (369)
Ты нифига не понял Кому дыра, а кому и call gate Мы так между мирами путешеств, Аноним (393), 20:27 , 29-Янв-21, (394)
Где-то здесь sudo назвали важным компонентом системы, но из этого сообщения поня, Аноним (398), 11:43 , 30-Янв-21, (400)

Ну вот как можно так рассуждать ничего не зная о теме обсуждение Это же просто , Аноним (84), 15:40 , 27-Янв-21, (140) +2

Один из растокомунити уже делал ансейф В результате подвергся травле и ушел , псевдонимус (?), 16:55 , 27-Янв-21, (160)

И правильно сделали Вместо того чтобы сделать правильно, он просто сгреб мусор , Аноним (84), 17:56 , 27-Янв-21, (190) +1

Ну и лишились проекта в результате При том что самое ценное что у них есть - не, Аноним (393), 20:28 , 29-Янв-21, (395)

Беру и скачиваю, никуда он не делся И даже потихоньку пилится сообществомПрямо , Аноним (398), 11:37 , 30-Янв-21, (399)

Да мне как-то на сях прикольнее вашего птичьего языка А если вам что-то не нрав, Аноним (311), 02:06 , 28-Янв-21, (314)

Говорят что с подшиванием свой бошки чужому телу есть некоторые нюансы Там вооб, Аноним (-), 14:42 , 27-Янв-21, (116) +2

А вот это уже лечится только лечебным наложением рук Либо на тушку, либо на кош, псевдонимус (?), 16:59 , 27-Янв-21, (164)

Что угодно, кроме перехода на Раст это очевидно При переходе на Раст у вас авто, Аноним. (?), 14:04 , 27-Янв-21, (87)

Ну дак не переходите, просто пишите недырявые программы лол, Аноним (35), 14:32 , 27-Янв-21, (107) +3

Так с вот этим у них и не задалось Они зачем-то из привилегированной программы , Аноним (355), 17:00 , 27-Янв-21, (166) +1

Естественно - руки, шаловливые Совершенно ненужная и никем в здравом уме не то , пох. (?), 12:00 , 27-Янв-21, (33) +3 //

Когда людей потравили, а оставшиеся быдло пишет только мусор , Анрним (?), 13:56 , 27-Янв-21, (81)
Вообще очень странный этот коммит 2011 года Не вижу необходимости изменять конк, Аноним (192), 18:02 , 27-Янв-21, (192) +3 //

так суть уязвимости не в том комите Комит эскейпинг добавлял Сам по себе - без, пох. (?), 18:32 , 27-Янв-21, (200) +1

Больше похоже на вещества у разработчиков, решивших всем зачем-то всучваить свой, Аноним (-), 14:34 , 27-Янв-21, (109)
Жидо-масоны во всем этом виноваты И дыру тоже они умышленно проделали Истребил, Аноним (358), 16:21 , 28-Янв-21, (358)

Опять Вернее снова Забавно, что во втором эксплоите вредонос замаскировали , псевдонимус (?), 11:25 , 27-Янв-21, (10) +3 //

Это не замаскировали, а просто звёзды так сошлись и удобная переменная из https , Аноним (14), 11:31 , 27-Янв-21, (14) //

Ещё ироничнее , псевдонимус (?), 11:34 , 27-Янв-21, (16) +3 //

А настоящий вредонос тем временем sudoedit назывался, судя по тому что им только, Аноним (-), 14:43 , 27-Янв-21, (119) +3

Ну если докер образ содержит sudo и это будет можно выполнить, тогда это долго б, Аноним (13), 11:30 , 27-Янв-21, (13) +4 //

Так им и надо , псевдонимус (?), 11:35 , 27-Янв-21, (17) +6
В докере до сих пор принято пускать софт от рута, в таких случаях судо не нужен,, Аноним (35), 11:49 , 27-Янв-21, (23) +9 //

чаще всего в докерах юзают gosu вместо обычного судо , Аноним (65), 13:19 , 27-Янв-21, (65) –1 //

А какая вообще разница, как эта лабуда вообще называется, если root уже дали , Аноним (-), 14:44 , 27-Янв-21, (120) +4

Особенно в непривилегированных контейнерах, ага Да, судо там тоже есть, тольк, Аноним (71), 13:26 , 27-Янв-21, (71) –1

Хм а разве sudo сама по себе - не уязвимость, позволяющая получить привилегии, Аноним (18), 11:35 , 27-Янв-21, (18) +3 //

Да С точки зрения бизнеса на прошивках И над этим работают тоже Из-под рута, , Аноним (22), 11:49 , 27-Янв-21, (22) +1
Само по себе sudo -- это плохое японское слово , n00by (ok), 12:36 , 27-Янв-21, (48) –1 //

Почему плохое-то Нормальное слово , Аноним (69), 13:24 , 27-Янв-21, (69) –1 //

какая ипония - такое и слово, Lex (??), 17:00 , 27-Янв-21, (165) +1

SuperUserDo Стыдно быть компьюторщиком и не знать такого , Коммунист (?), 17:47 , 27-Янв-21, (188) –2 //

Эту расшифровку я знаю Чините миелофон , n00by (ok), 09:33 , 28-Янв-21, (333) –1
Разве не substitute user and do , Аноним (-), 21:36 , 30-Янв-21, (402)

Надеюсь Красношляпа соберётся с духом и перепишет с дырявой сишки на Раст хотя б, Fracta1L (ok), 11:48 , 27-Янв-21, (20) –12 //

Некогда им было, они очередную дыру писали системд , Аноним (322), 11:55 , 27-Янв-21, (28) +5 //

dbus - polkitd вот где дырень Внимание polkitd замена su, sudo в systemd сис, Аноним (36), 12:05 , 27-Янв-21, (36) +7 //

А без дбус системда толком не работоспособна Вот шляпнофридрисктопные технологи, псевдонимус (?), 12:53 , 27-Янв-21, (55) +1

А хал чем был так плох что его выкинули Та версия hal которую поддерживали в Gen, Аноним (99), 14:21 , 27-Янв-21, (99)

У судо и без жс дыры отлично получаются возможно даже слишком хорошо подозри, Lex (??), 17:03 , 27-Янв-21, (170) +2

Так вот что значит буква d в systemd , Аноним (207), 18:48 , 27-Янв-21, (207)
Так залатай сам, у тебя время есть Мне иногда кажется, что сообщество линуксоидо, ёбаныйОлег (?), 02:08 , 28-Янв-21, (315) //

В тяжелом случае с сЫстемд, неважен язык, у сЫстемд сам дизайн плохой , Аноним (324), 08:14 , 28-Янв-21, (324)

echo 2 proc sys kernel randomize_va_space В ведре CONFIG_COMPAT_BRK is n, Аноним (36), 11:58 , 27-Янв-21, (31) +1 //

А почему -fstack-protector-all все популярные дистры не используют Есть какие-т, Аноним (76), 13:45 , 27-Янв-21, (76) //

Даже strong просаживает копирование строк, а ты all хочешь Всё равно отключают , Аноним (2), 14:09 , 27-Янв-21, (89)

Оно просаживает только в бинарных дистрах В самосборных, с оптимизацией под совр, Аноним (99), 14:17 , 27-Янв-21, (96) –1

Особая самосборная магия, ритуал медитативное наблюдение лога сборки в черной к, Аноним (-), 14:37 , 27-Янв-21, (110) +6

Пока собирает можно и сексом заняться На генерируемые во время компиляции бинар, Аноним (138), 15:36 , 27-Янв-21, (138)

Ах если бы Но конечно зависит задач Какой-нибудь портаж повесится , Аноним (2), 14:55 , 27-Янв-21, (127)

emerge собирает все хорошо , Аноним (138), 15:34 , 27-Янв-21, (135)

Его только в прошлом месяце починили, до того он по 10 минут считал зависимости , Аноним (2), 15:36 , 27-Янв-21, (136)

Форкнул у себя когда с портов выкидывали hardened-source и paludis Сегодня Gent, Аноним (138), 15:39 , 27-Янв-21, (139)

Использовать при сборки опции -Wformat -Wformat-security -Werror format-securi, Аноним (99), 14:11 , 27-Янв-21, (90)

Стало быть штуки вроде браузерного жс замедлятся в разЫ , Lex (??), 17:07 , 27-Янв-21, (175) +1

Это пропаганда тех кто эксплуатирует сишные дырени в быдло-дистрах Google тестил, Аноним (330), 09:23 , 28-Янв-21, (330)

А что в ютубе сильно жс используется Я смутно помню, что основная его суть - эт, Lex (??), 11:15 , 28-Янв-21, (343) +1

Noscript И бровзер без JIT Безопасность важнее Пусть бровзер много порочность , Аноним (358), 16:27 , 28-Янв-21, (359)

А между тем автор way-cooler переписывает его с хруста на няшную сишку , Аноним (79), 13:54 , 27-Янв-21, (79) +1 //

Ух ты, он устал хайповать А это что за штука , Аноним (-), 14:47 , 27-Янв-21, (123) //

Ну нешмогла я, нешмогла , Аноньимъ (ok), 16:02 , 27-Янв-21, (147) +2

А растаманы вообще что-нибудь смогли кроме понтов и позерства , Аноним (355), 17:03 , 27-Янв-21, (168) +1

Думаю смогли Мои наблюдения показывают, что большая часть проблем с растом возни, Аноньимъ (ok), 18:37 , 27-Янв-21, (201) +2

Знакомый два года филл-тайм пишет на Расте Говорит писать тяжело, скорость напи, Аноним (247), 21:17 , 27-Янв-21, (247)

Алгоритмы усложняются, логика работы проектов усложняется еще и синтаксис и ло, Lex (??), 16:31 , 28-Янв-21, (360)

Думаете И на чем это основано А то тут на днях был рейтинг разных проектов и н, Аноним (-), 22:30 , 27-Янв-21, (282)

Думать - физически больно, это установленный факт человеческой физиологии, особе, Аноньимъ (ok), 15:06 , 29-Янв-21, (390)

Т НРОКМАН , Аноним (79), 09:48 , 29-Янв-21, (383) –1

Ему сделали предложение, от которого отказываться не принято , Аноним (134), 15:28 , 27-Янв-21, (134)
Это чтобы проще было потом на go переписать, Аноним (142), 15:42 , 27-Янв-21, (142)

Нету уже шляпы, есть IBM На айбиэмовской жабе не хотел А то вот это они любят , Аноним (-), 14:46 , 27-Янв-21, (121) +1 //

SIGHUP себе дерни, пес а на бимеровскую конину наезжать не надо, она работает и, Михрютка (ok), 21:52 , 27-Янв-21, (258) //

Имел несчастье посмотреть как это работает, надолго запомнил , Аноним (-), 22:34 , 27-Янв-21, (284)
Дернул , Аноним (79), 09:49 , 29-Янв-21, (384)

Когда уже до тебя дойдет что дело не в языке, а в руках А уязвимость это вставл, Аноним (247), 21:11 , 27-Янв-21, (246) //

Скрыто модератором, Fracta1L (ok), 08:23 , 28-Янв-21, (325) –2 //

Скрыто модератором, Аноним (338), 10:14 , 28-Янв-21, (338)

Скрыто модератором, Аноним (364), 17:27 , 28-Янв-21, (364)

Скрыто модератором, Аноним (364), 17:28 , 28-Янв-21, (365)

Их больше нет, они теперь IBM С разморозкой , Ruberoid (?), 22:06 , 27-Янв-21, (270) +1
Влажные фонтазии от слова фонтан фрактала Вот так они растоманы отдыхают по в, Master попугаев (?), 00:01 , 28-Янв-21, (300) //

С сишки дырявые хотят все перевести на дырявый Раст , Аноним (338), 10:15 , 28-Янв-21, (339)

Фрагталь, а когда растоманы соберутся духом и перепишут rust с дырявой сишки на , Аноним (330), 09:47 , 28-Янв-21, (335) +1 //

Возможно, когда местные анонимы перестанут фантазировать и нести дичь , Аноним (353), 15:44 , 28-Янв-21, (353) //

https gitweb gentoo org repo gentoo git tree dev-lang rust rust-1 48 0 ebuildB, Аноним (358), 16:39 , 28-Янв-21, (361)

Это значит, что кто-то или сделал ебилд через ж или понял через ж Не более http, Аноним (-), 16:55 , 28-Янв-21, (363)

https rustc-dev-guide rust-lang org building bootstrapping html what-is-bootst, Аноним (386), 10:30 , 29-Янв-21, (386)

как же меня радует заголовок я так понял эта уязвимость у судо в ДНК , fooser (?), 11:48 , 27-Янв-21, (21) +2
Жалко, что нашли сейчас, я не через лет так 50 , pin (??), 11:51 , 27-Янв-21, (25) –4 //

Просто для информации версия 1 8 2 вышла 17 августа 2011 года, Атон (?), 12:07 , 27-Янв-21, (37) +3 //

Я что-то попой прочитал, понял теперь, уязвимость 10 лет присутствует , Аноньимъ (ok), 15:52 , 27-Янв-21, (146) +3 //

Это победа, посоны А теперь представь, что это одна из уязвимостей , Анончик9999 (?), 17:10 , 27-Янв-21, (176) +3

Скрыто модератором, Аноним (26), 11:52 , 27-Янв-21, (26) //

Скрыто модератором, abi (?), 12:55 , 27-Янв-21, (58) +1
Скрыто модератором, Аноним (-), 14:48 , 27-Янв-21, (124)

Гыгы, и потом мне всякие личности кричат не здесь , что sudo нужно Агащасс ДУ, ryoken (ok), 12:01 , 27-Янв-21, (34) +4 //

бывают и в su вообще отключаю записи с полномочиями, в крайнем случае single sa, Аноним (40), 12:16 , 27-Янв-21, (40) +1 //

Бывают Но раз в 3 лет, а не как тут, раз в 0,5-1 год, а то и почаще D , ryoken (ok), 13:11 , 27-Янв-21, (63) +2

Это не баг, а фича Утилита sudo разработана морячком из ВМФ США в дальнем плаван, Аноним (36), 12:11 , 27-Янв-21, (38) +1
Через SMB это работает , Аноним (39), 12:12 , 27-Янв-21, (39) //

Что значит работает Если ты найдёшь пробивку в Samba для получения шелла , iPony129412 (?), 12:32 , 27-Янв-21, (46)
если кто-то выложил на шару bash exe, работает только не забудь cr на cr lf пом, Михрютка (ok), 21:58 , 27-Янв-21, (264) //

Да зачем так сложно C i30 bitmap - работает, ничего менять не надо Тоже, к, Аноним (286), 22:37 , 27-Янв-21, (286)

Скрыто модератором, uis (ok), 12:24 , 27-Янв-21, (42) –1 //

Скрыто модератором, Аноним (322), 12:55 , 27-Янв-21, (57) +3
Скрыто модератором, Аноним (79), 13:57 , 27-Янв-21, (82) –1
Скрыто модератором, Аноньимъ (ok), 15:50 , 27-Янв-21, (144) +1 //

Скрыто модератором, пох. (?), 20:43 , 27-Янв-21, (236) –1

Мда Б - безопастность su наше всё , Аноним (45), 12:29 , 27-Янв-21, (44) +1
Радуйтесь, что нашли уязвимость А теперь грустите, думая о том, сколько ещё не , Аноним (49), 12:36 , 27-Янв-21, (49) +1 //

Искали 10 лет КАРЛ с 2011 как писали выше В винде хоть вендоров пинать, Аноним (45), 12:39 , 27-Янв-21, (50) //

На линукс смотрят сотни тысяч глаз, а у вендоров вообще мало сил чтобы кто-то см, Ruberoid (?), 22:09 , 27-Янв-21, (272) +1 //

А xpeн ли толку , Аноним (321), 05:44 , 28-Янв-21, (321) +2

Удачи в этом начинании Лучше бетонный блок пните, эффекта столько же, но идти н, Аноним (286), 22:39 , 27-Янв-21, (287)

Дырень на дырени в шляпной экосистеме Линукс Автобус-омновоз дбус,который по , псевдонимус (?), 12:42 , 27-Янв-21, (51) //

самая большая дыра сейчас - это системд , Аноним (322), 12:54 , 27-Янв-21, (56) +3 //

Системда без дбас неработоспособна Дбас первичнее До него были dermoдемоны от , псевдонимус (?), 13:09 , 27-Янв-21, (62) //

Естественно - мы не можем сапгрейдить работающий системдбас - перезагрузитесь с, пох. (?), 15:00 , 27-Янв-21, (128)

Дубас по функциональности реально тянет на такое себе юзерспейс ядро У торваль, псевдонимус (?), 17:55 , 27-Янв-21, (189)

Кто тебе это сказал, эксперт хренов А как он у меня без дбаса в вон той минимал, Аноним (286), 22:41 , 27-Янв-21, (288) –1

Что за минимиписичная ынсталяция , извращенец Убей дбас в центось, дубиан, бубу, псевдонимус (?), 22:54 , 27-Янв-21, (292)

Юзаю https github com illiliti sls и бед не знаю , Аноним (52), 12:44 , 27-Янв-21, (52)
Все смеются, а кто-нибудь попробовал проверить , bkstan (ok), 12:52 , 27-Янв-21, (54) +1 //

Ну я пробывал, в Астре xx xxLinux sudoedit -s sudoedit не обычный файлxx, xx_anon (?), 13:20 , 27-Янв-21, (66) +1 //

Молодец Теперь вооружись книжечкой - Эриксон Хакинг Исскуство эксплоита - и , Аноним (77), 13:46 , 27-Янв-21, (77) +1
xx xxЛинукс судоредактировать -ы судоредактировать не обычный файлxx xxЛ, Аноним (97), 14:17 , 27-Янв-21, (97) +5

Пробовал Не работает Не уверен, что уже с утра не обновился , Брат Анон (ok), 14:13 , 27-Янв-21, (92)
Проверил sudoedit требует повышенных привилегий, последнюю неделю обновы не при, Aplay (ok), 05:41 , 28-Янв-21, (320)
sudoedit -s sudo пароль для testuser testuser is not in the sudoers file T, Аноним (323), 08:11 , 28-Янв-21, (323) –1

Опять локальная уязвимость, а шуму сколько, будто Вася Пупкин из Цюрупинска за т, Аноним (64), 13:14 , 27-Янв-21, (64) +1 //

Админов локалхоста этот топик волновать не должен , Аноним (67), 13:23 , 27-Янв-21, (67) +5 //

Тогда норм Йа спокоен D, Аноним (45), 13:30 , 27-Янв-21, (72) +1
Грамотных и не ленивых не должна, но если дурак то ССЗБ, Аноним (64), 13:56 , 27-Янв-21, (80)

даже не знал о существовании sudoedit так что chmod 000 usr bin sudoedit ка, Нанобот (ok), 13:24 , 27-Янв-21, (68) //

Так само sudo сломается, Кися (?), 14:06 , 27-Янв-21, (88) //

модераторы, спрячьте срочно Лохи должны ж страдать , пох. (?), 15:01 , 27-Янв-21, (129) +4
ой, и правда сломалось, Нанобот (ok), 13:24 , 29-Янв-21, (389)

Шутку оценил , Гы (?), 14:40 , 27-Янв-21, (112)
у меня был знакомый, он так оракл секьюрилchown -R root wheel oraclechmod -R 64, Михрютка (ok), 22:04 , 27-Янв-21, (268)

Мне нравится эта дыра Переменные окружения, использующиеся как глобальные перем, Ordu (ok), 13:26 , 27-Янв-21, (70) +4 //

Настоящая юниксвейная дыра должна обеспечивать только одну уязвимость, но зато д, Аноним (321), 16:34 , 27-Янв-21, (153) +10 //

А набор багов обязательно должен эксплуатироваться пайпом, Аноним (306), 01:12 , 28-Янв-21, (306) //

С перенаправлением stderr, Аноним (319), 04:04 , 28-Янв-21, (319)

Аффтор жжот или тормоз Ты неуспел написать статейку, а уязвимость была уже пофи, Аноним (77), 13:43 , 27-Янв-21, (75) –9 //

Это говорит о плохом дизайне Это как сказать что если неумело работать с фонари, Аноньимъ (ok), 15:42 , 27-Янв-21, (141) +5
Вот все у вас так то что упало, но было быстро 10 лет подобрано, упавшим не, псевдонимус (?), 18:37 , 27-Янв-21, (202) +8

Снова уязвимость, неужели нет нормальной альтернативы sudo , Иваня (?), 13:59 , 27-Янв-21, (83) //

su, Сейд (ok), 14:01 , 27-Янв-21, (85) +2 //

Это плохая альтернатива , Брат Анон (ok), 14:16 , 27-Янв-21, (95) +1 //

SELinux , Сейд (ok), 14:40 , 27-Янв-21, (114) +1
Никто пока не жаловался , Аноним (349), 13:26 , 28-Янв-21, (349)

Есть отличная альтернатива всегда работай, как root Всё эти дырявые костыли то, Анончик9999 (?), 17:18 , 27-Янв-21, (183) +5 //

Двачую Костыли не нужны Ты хозяин своего компа Только рут, только хардкор , Коммунист (?), 17:58 , 27-Янв-21, (191) +3 //

Какой хардкор на своём домашнем десктопе Наоборот, облегчение И тебе рекоменду, Анончик9999 (?), 18:10 , 27-Янв-21, (194) +2

А они ее и не решали Фичи пилили ИБД , псевдонимус (?), 18:39 , 27-Янв-21, (203) +1

донейт сам собой не упадет Комитить нада А че комитить, если все и так работае, пох. (?), 21:35 , 27-Янв-21, (251) +2

Похоже на антирекламу Ubuntu, Debian и Fedora После того как нагадила шапка ей , AnonAnon (?), 14:13 , 27-Янв-21, (93) –2 //

Опять ты Fedora-то её , Аноним (117), 14:42 , 27-Янв-21, (117) +2
причем тут убунту федора это вообще базовый пакет для многих линукс, наобор, Ruberoid (?), 22:13 , 27-Янв-21, (274) +3

Гы Вспоминаю своего начотдела, фаната sudo, который меня за привычку к su счи, YetAnotherOnanym (ok), 14:17 , 27-Янв-21, (98) +2 //

А как оказалось на самом деле , Аноним (117), 14:42 , 27-Янв-21, (118) +1 //

Как видишь , YetAnotherOnanym (ok), 15:02 , 27-Янв-21, (130)

ждём-с открытие второго фронта с дыркой в su - оба с начальником ещё не знаете, , Baltic (ok), 15:51 , 27-Янв-21, (145) +4
Заставь дурака богу молиться, он себе лоб расшибет Про твоего начотдела , псевдонимус (?), 18:44 , 27-Янв-21, (205)

И что , Аноним (117), 14:41 , 27-Янв-21, (115)
Садо без мазо всегда уязвимо , Аноним (122), 14:46 , 27-Янв-21, (122) –2
А в 1 7 10p9 не работает Нафига они из простого инструмента сделали дырявый ком, Аноним (125), 14:51 , 27-Янв-21, (125)
мдя нет слов , слакавод (?), 15:03 , 27-Янв-21, (131)
ура я сейчас буду рутом , Аноним (132), 15:10 , 27-Янв-21, (132) +4
Разве это не предназначение sudo Получается я баг как фичу юзал всё это время , Аноньимъ (ok), 15:36 , 27-Янв-21, (137) +2 //

так теперь кто хочет может получить привелегии а не тот кто долженразве нет , kissmyass (?), 00:19 , 28-Янв-21, (302) +1

мдам - не прошло и скоко лет, как дырку в трусах обнаружили, Baltic (ok), 15:48 , 27-Янв-21, (143) +1
Opennet, все-таки, забавное место Очередной очевидный кейс, демонстрирующий, за, Аноним (149), 16:22 , 27-Янв-21, (149) +4 //

ой, столько раз уже silver bullet кем только не предлагалась когда, казалось , Аноним (125), 16:29 , 27-Янв-21, (150) –2 //

Rust и не silver bullet, просто так выглядит на фоне других языков У него дофиг, Аноним (149), 16:37 , 27-Янв-21, (154) +6 //

Вообще-то нет ни одного юзабельного языка, который не позволял бы что-то вроде u, red75prim (?), 05:30 , 30-Янв-21, (397)

P S Хотя есть у меня предположение, что большая часть местных крикунов, которые , Аноним (149), 16:29 , 27-Янв-21, (151) +2
Вы залюбили уже своим растом Замечательный он, прекрасный, лучше всех А тепер, псевдонимус (?), 18:50 , 27-Янв-21, (208) //

На самом деле звучит как неплохая мысль Попробую в свободное время А насчет за, Аноним (149), 19:52 , 27-Янв-21, (226) +2

Перепишешь хотя бы PHP на хрусте - приходи , ОШИБКА Отсутствуют данные в поле Name (?), 14:51 , 28-Янв-21, (352)

Миллиарды кpacных глаз, пялящиеся в код по графику 24 7 снова не смогли 10 лет у, Аноним (321), 16:31 , 27-Янв-21, (152) +9 //

То ли дело проприетарный код, на который в лучшем случае полтора глаза смотрит , Аноним (163), 16:59 , 27-Янв-21, (163) +5 //

А ответить толком нечем , Анончик9999 (?), 17:15 , 27-Янв-21, (181) +5
Дружище, я тебе страшную тайну открою в проприетарном коде проблем не меньше Н, Аноним (321), 20:11 , 27-Янв-21, (229) +2 //

Ну так нашли же В закрытом коде могли бы вообще не найти до самого загибания ко, randomizer (?), 18:40 , 28-Янв-21, (370) +1

Могли и не найти, спору нет Но не найденная дырка по определению не эксплуатиру, Аноним (321), 19:33 , 28-Янв-21, (373)

Доооо, а как же с успехом эксплуатируемые zero day в винде , randomizer (?), 23:05 , 28-Янв-21, (377)

Я бы очень сильно хотел увидеть хотя бы десяток, не то что миллионы баранов Св, OpenEcho (?), 23:48 , 28-Янв-21, (379)

Сверхобобщение 8212 когнитивная ошибка, при которой мы делаем глобальные выво, Аноним (256), 21:50 , 27-Янв-21, (256) //

Куча - это сколько Я не просто так написал привычненько , ибо это не первая по, Аноним (321), 23:08 , 27-Янв-21, (293) //

Уязвимости в открытых проектах всё-таки находят, как раз благодаря открытости ко, Аноним (344), 11:28 , 28-Янв-21, (344) +1

И активно эксплуатируют, пока у разрабов руки не дойдут починить Я напомню про , Аноним (321), 12:52 , 28-Янв-21, (348)

А тем временем, зеркало http s archlinux org mirrors rol ru не обновлялось уж, Аноним (256), 16:43 , 27-Янв-21, (155) //

У меня такое каждый день с генту Чё такого, российские зеркала мусор ни для ког, Аноним (2), 18:42 , 27-Янв-21, (204) //

а из гита не , Аноним (265), 21:59 , 27-Янв-21, (265)

bin rm usr bin sudoedit, Alexander (ok), 17:06 , 27-Янв-21, (173) //

stat usr bin sudoedit File usr bin sudoedit - sudo, Аноним (256), 17:06 , 27-Янв-21, (174) +2 //

Все верно Так что удалив символическую ссылку, работа sudo не должна быть наруш, Alexander (ok), 20:06 , 27-Янв-21, (228) //

Но и работа уязвимости ведь тоже не будет нарушена sudo -e , Аноним (256), 21:26 , 27-Янв-21, (248) +1

Опередили , PnD (??), 21:55 , 27-Янв-21, (260)

Но есть нюанс запуск под именем sudoedit включает режим sudo -e Примерно ка, PnD (??), 21:54 , 27-Янв-21, (259)

Я ориентировался вот на это Суть проблемы в том, что при штатном запуске утилит, Alexander (ok), 11:47 , 28-Янв-21, (345)

Фрактал кукумбер , Аноним (180), 17:15 , 27-Янв-21, (180) +6 //

Чайный гриб, uis (ok), 09:54 , 05-Фев-21, (405)

да, существенно, риокор (?), 17:41 , 27-Янв-21, (186)
Да просто надо уметь на Си писать, вот же лохи , Wilem82 (ok), 18:19 , 27-Янв-21, (196) +1 //

Все так говорят, пока уязвимость не находят у них , Аноним (256), 21:31 , 27-Янв-21, (249)

А не опасно таким уязвимостям придавать огласку, а не по-тихому репортить После, Аноним (198), 18:29 , 27-Янв-21, (198) –1 //

Не переживай, кому надо почти 10 лет использовали эту дырень и им надоело, ведь , вжух и ты рут (?), 19:03 , 27-Янв-21, (211) +9
Ну и что Что в этом плохого , псевдонимус (?), 20:49 , 27-Янв-21, (239) +2
Огласку дают после выпуска патча, патч в обновлении уже был на момент выпуска ст, Ruberoid (?), 22:15 , 27-Янв-21, (276) +2

work work sudoedit -s perl -e print A x 65536 malloc corrupted , Аноним (199), 18:30 , 27-Янв-21, (199) +2 //

Total Facepalm жесть, Ruberoid (?), 19:17 , 27-Янв-21, (215)
Убунта не убунта, роли нет, одна херня эта везде от Debian до Fedora, Ruberoid (?), 19:18 , 27-Янв-21, (216)
А подожди или это наоборот, хорошо же, сработало исключение, Ruberoid (?), 19:23 , 27-Янв-21, (217) //

Не, malloc это нифига не хорошо Но вот челу ниже на LXD повезло больше , ОхотникНаОленей (?), 19:39 , 27-Янв-21, (221) +1 //

А это вы один и есть xD, ОхотникНаОленей (?), 19:40 , 27-Янв-21, (222)

Или нет У меня не вызывает переполнения в LXD-серверном дистре который очень да, Ruberoid (?), 19:25 , 27-Янв-21, (218) +4 //

Тебя спасла эшелонированная защита, таки Canonical не зря свой хлеб ест, работа , ОхотникНаОленей (?), 19:37 , 27-Янв-21, (220) +7 //

Точно млин, какой я молодец что корневая система у меня только lxd-гипервизор, Ruberoid (?), 21:04 , 27-Янв-21, (244) +2
Извиняюсь за свою дремучесть А что это такое , Аноньимъ (ok), 01:46 , 28-Янв-21, (309) +1

В гугле забанили linuxcontainers orgлегковесные контейнеры паравиртуализация, Телепоня (?), 02:05 , 28-Янв-21, (313) +2

Понятно, просто разговор шел в таком духе что это какой-то секурный линукс от ка, Аноньимъ (ok), 16:45 , 28-Янв-21, (362)

Вот так напишиsudoedit -s perl -e print A x 65536 Исходная командочка, Онаним (?), 20:40 , 27-Янв-21, (234) +1 //

Вспомнил еще необновленную машину тоже виртуалка, под Proxmox-ом хостера, но пр, Ruberoid (?), 22:23 , 27-Янв-21, (277) +4

Пародон, не предваряя sudo под юзером xxxx vm8901 sudoedit -s perl -e p, Ruberoid (?), 22:27 , 27-Янв-21, (281) +2
Не эскейпится как внутри , опять косячная команда , Онаним (?), 23:44 , 27-Янв-21, (298)

А, фак, сорян, это я косячный, не посчитал Но что-то всё равно не то, потому , Онаним (?), 23:45 , 27-Янв-21, (299)

Контейнерные lxc-дистры они отличаются, вполне ожидаемо , Телепоня (?), 02:10 , 28-Янв-21, (316) +1

Подтверждаю, в lxc не работает, Аноним (240), 20:49 , 27-Янв-21, (240) +3 //

Вот так попробуй говорят sudoedit -s perl -e print A x 65536 Я уже не, Ruberoid (?), 21:06 , 27-Янв-21, (245)

Пробовали по всякому, lxd lxc не воспроизводит баг , ОхотникНаОленей (?), 22:42 , 27-Янв-21, (289) +1

LTS надо на всяк пожарный юзать как минимум 20 04 ж есть, нафига вам 20 10 э, Ruberoid (?), 19:27 , 27-Янв-21, (219) +2
Жги, Г-ди, тут уже ничего не поправить Шесть или три Кто их разберет разны, пох. (?), 13:42 , 28-Янв-21, (350) +2

Дебиан 10 Не срабатывает Обновления еще не ставил , Аноним (-), 19:45 , 27-Янв-21, (225)
Переписать на c , Аноним (227), 20:03 , 27-Янв-21, (227) +1
Шерето И ведь не выкинешь это судно из системы , Онаним (?), 20:34 , 27-Янв-21, (230) //

Кто не даёт выкинуть , псевдонимус (?), 20:53 , 27-Янв-21, (241) +2 //

dnf не даётError Problem The operation would result in removing the following , Онаним (?), 20:57 , 27-Янв-21, (242) +1 //

А мимо пакетменеджера бяку не выпилить , псевдонимус (?), 20:15 , 28-Янв-21, (374)

На локалхосте я бы рискнул А так - надо сначала всю систему проанализировать, чт, Онаним (?), 10:03 , 29-Янв-21, (385)

Чёрт, а оракель то обновился В центосе нет пока Надо на OEL переползать , Онаним (?), 20:38 , 27-Янв-21, (233) //

CentOS не пока, а уже нет xD, ОхотникНаОленей (?), 22:44 , 27-Янв-21, (290) +2
rpm -q sudosudo-1 8 23-10 el7_9 1 x86_64, Аноним (317), 02:21 , 28-Янв-21, (317) //

Да, обновился В C8 прилетел 1 8 29-6, теперьusage sudoedit -AknS -r role -, Аноним (342), 11:12 , 28-Янв-21, (342)

Охренеть Только пол месяца назад про sudoedit узнал, так оказалось что этот кост, Ilya Indigo (ok), 21:57 , 27-Янв-21, (262) //

rm -rf сделал иначе бесполезно , Михрютка (ok), 22:13 , 27-Янв-21, (275) +4 //

1 Без sudo бессмысленно 2 Эта команда даже от рута не пройдёт 3 Что сказать-то х, Ilya Indigo (ok), 22:25 , 27-Янв-21, (279)
Алень, Аноним (372), 19:31 , 28-Янв-21, (372)

sudoedit - это всего лишь симлинк на sudo, Аноним (322), 00:31 , 28-Янв-21, (304)

Садо-мазо близнецы братья Кто более матери истории ценен , Аноним (266), 22:02 , 27-Янв-21, (266) –2
Мужики, я нуб Как запустить консоль , Аноним (269), 22:04 , 27-Янв-21, (269) +1 //

Ctrl Alt F1 обратно в X-ы Alt F7 , Ilya Indigo (ok), 22:27 , 27-Янв-21, (280) +4 //

На F1 уже давно болтается systemd или wayland , commiethebeastie (ok), 09:52 , 28-Янв-21, (337) //

Возможно playmoth там болтается Я этим дерьмом не пользуюсь и у меня там чисто , Ilya Indigo (ok), 15:51 , 28-Янв-21, (354) +1

У меня его тоже нет Он только в aur есть , commiethebeastie (ok), 15:15 , 29-Янв-21, (391)

sudoedit -s perl -e print A x 65536 malloc invalid size unsorte, Аноним (294), 23:09 , 27-Янв-21, (294)
Фикс на всю жизнь rm usr bin sudoedit не благодарите, Аноним (295), 23:12 , 27-Янв-21, (295) +1 //

diff -Nuar sudo-1 9 5p2 orig src Makefile in sudo-1 9 5p2 src Makefile in--- sud, Аноним (-), 23:27 , 27-Янв-21, (296) +1 //

Код коментят, а не удоляют только мдаки , Аноним (308), 01:27 , 28-Янв-21, (308) –1 //

Оно и видно по твоему коменту , Аноним (-), 17:42 , 28-Янв-21, (367)

Тебе ещё надо запретить зверям где бы то ни было создавать линки в хомяках та, Аноним (322), 00:27 , 28-Янв-21, (303) //

там патч вообще-то ниже, Аноним (351), 13:51 , 28-Янв-21, (351) –1 //

Глаза разуй, кому я отвечал И больше не путай ветки , Аноним (322), 02:19 , 29-Янв-21, (382)

chmod -s usr bin sudoedit, bird (??), 01:51 , 28-Янв-21, (310) //

ты хоть посмотри, что есть sudoedit это всего лишь симлинк , Аноним (322), 03:01 , 28-Янв-21, (318) //

Там и sudo не нужен , Аноним (328), 09:20 , 28-Янв-21, (328)

в centos 6 апдейтов нет , onanim (?), 09:13 , 28-Янв-21, (327) //

а так-то как минимум три варианта, RM (ok), 13:08 , 30-Янв-21, (401)

Если уязвимость в sudo слили, то что же теперь у них взамен Наверное, dbus, или, Аноним (328), 09:23 , 28-Янв-21, (331) +1
странно, у меня на 2 серверах из 10 уязвимость не сработала везде разные версии , onanim (?), 10:19 , 28-Янв-21, (340)
Ну получили рут права на моём серваке, я даже пароль от рута дам, но первая же к, Аноним (341), 11:03 , 28-Янв-21, (341) +2 //

На серваке любой дурак сможет А вот так вот чтоб на любой рандомной машине раб, Аноним (-), 17:41 , 28-Янв-21, (366)
А можно на список маленьких хитростей подивиться А то говорят, - век живи , OpenEcho (?), 00:05 , 29-Янв-21, (380) +2

Насколько я помню sudo в debian не устанавливается по умолчанию Ну, если иксы н, Аноним (371), 19:26 , 28-Янв-21, (371)
никогда такого небыло прежде как же так я думал, что программисты C - самые ум, еман (?), 21:57 , 28-Янв-21, (375) +2 //

Честно говоря, для подобных, таксичных уродов - кодить можно было бы и похуже г, Аноним (-), 23:35 , 28-Янв-21, (378) +1
У самых умных до сих пор нет нормальных строк Что такое размер буфера - д, Аноним (322), 02:16 , 29-Янв-21, (381) +1

Сообщения [Сортировка по времени | RSS]

27. "Критическая уязвимость в sudo, позволяющая получить привилег..." –1 +/–

Сообщение от Аноним (322), 27-Янв-21, 11:52

у растаманов бы пароли просто лежали в /var/www

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

30. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от пох. (?), 27-Янв-21, 11:55

Вы какой-то немодный!
Не пароли, а ключи - от всего.
Без паролей, разумеется - иначе как же ж робот будет ими пользоваться.

Ответить | Правка | Наверх | Cообщить модератору

35. "Критическая уязвимость в sudo, позволяющая получить привилег..." +2 +/–

Сообщение от Аноним (35), 27-Янв-21, 12:05

и опять, вопрос про сишку - ответ про то, какое дерьмо раст
если что, вопрос обстоит так - что надо сделать, чтобы программисты на си перестали плодить в своем софте дыры?

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

60. "Критическая уязвимость в sudo, позволяющая получить привилег..." –1 +/–

Сообщение от Аноним (322), 27-Янв-21, 13:01

> перестали плодить в своем софте дыры?
Никогда не перестанут. Цель "свободного" софта - пробить дыру в твоей системе. Версии браузеров меняются каждую неделю, кто их аудирует?! Все же бинарниками ставят.

Ответить | Правка | Наверх | Cообщить модератору

179. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от captcha 20168 (?), 27-Янв-21, 17:15

> кто их аудирует?!
госдэп же

Ответить | Правка | Наверх | Cообщить модератору

61. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от псевдонимус (?), 27-Янв-21, 13:02

Учить их программировать, не?

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

78. "Критическая уязвимость в sudo, позволяющая получить привилег..." +2 +/–

Сообщение от Аноним (35), 27-Янв-21, 13:54

Во-первых, это как-то помешает неучам писать код на сях? А потом другим людям им пользоваться?
Во-вторых, а учить-то кто будет? Снова сишники, которые пишут дырявый софт? А есть вообще идеальные сишники, которые не бьют память в своем софте? А что мешает сразу учить сишников писать нормальный код?
В-третьих, а заставлять учиться сишников ты будешь под дулом пистолета?

Ответить | Правка | Наверх | Cообщить модератору

91. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от псевдонимус (?), 27-Янв-21, 14:13

Наниматели. Судо это важная вещь, не чета какому-то ненужному гном.
Более опытные программисты.
Под дулом увольнения.

Ответить | Правка | Наверх | Cообщить модератору

104. "Критическая уязвимость в sudo, позволяющая получить привилег..." +3 +/–

Сообщение от Аноним (35), 27-Янв-21, 14:29

> Судо это важная вещь
Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени.
> Более опытные программисты
Чем гарантируешь, что они не бьют память?
> Под дулом увольнения
Тот, кто написал, миллион лет не работает над проектом, что ему сделаешь? В карму насрешь? А тебе то лучше станет? Или после этого все его битье магическим образом пропадет из кода?

Ниодна из этих вещей не мешает наплодить битье памяти

Ответить | Правка | Наверх | Cообщить модератору

159. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 27-Янв-21, 16:55

> Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени.
Растаманы вообще тратят свое время на бесполезные визги только. Очень теоретически-крутые програмеры - ничерта полезного человечеству так и не накодили. Даже браузерное двигло за 10 лет не смогли. И это топовый флагман проект, остальное еще печальнее...
> Чем гарантируешь, что они не бьют память?
Valgrind'ом, лол. А так вон аудиторы еще есть.
К сожалению аудиторы подхайлайтили совсем другую проблему - апстрим с катушек слетел совсем со своим sudoedit-ом, добровольно-принудительно распихав зачем-то счастье которым никто не пользуется, в взаимодействии с которым постоянно случается какая-то дикая хрень. И глядя на такую активность вопрос возникает один: нафига это все было?!

Ответить | Правка | Наверх | Cообщить модератору

182. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (35), 27-Янв-21, 17:16

> Растаманы вообще тратят свое время на бесполезные визги только
И опять от темы отходим.
Какое тебе дело до того, на что тратят время растоманы? Их жизнь, что хотят, то и делают, а у тебя своя голова на плечах, чтобы понимать, нужно тебе это или нет.
Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают
> Valgrind'ом, лол.
Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал
> А так вон аудиторы еще есть.
Гарантируешь, что они идеальны и сами не бьют память?

Ответить | Правка | Наверх | Cообщить модератору

209. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (209), 27-Янв-21, 18:52

> доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал
Специалист классический.

Ответить | Правка | Наверх | Cообщить модератору

243. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 27-Янв-21, 20:58

> Какое тебе дело до того, на что тратят время растоманы?
А какое им дело на что тратят жизнь сишники? Их никто не заставляет юзать программы на си. Могут идти куда там в свой редокс и браузить веб сервой. Если это для них рабоает. В таком виде я даже возражать не буду. А когда идея в том что вы програмьте дескать на этом птичьем языке, обставившем даже плюсы по закорюкам, но главное чтобы не я - не, вот так не годится, идите нафиг.
> Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают
На мой вкус в расте есть намного более жирная дыра в виде излишне централизованой репы подконтрольной хрен знает кому - которому лично я не доверяю. Поэтому у меня нет оснований доверять софту на расте и тем кто билдует его ставя хрен знает что из npm-подобного барахла. И какая мне нахрен от вас таких безопасность если завтра эту репу мудасофт скупит на корню и начнет прямо оттуда бэкдоры пхать и цензурить софт?
>> Valgrind'ом, лол.
> Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти
> гарантировано вычищал
Чего там про отход от темы? Вы и для раста это ведь не покажете. Извините, его кодогенерация завязана на наркоманский llvm где мегов под 60 кода навалено. Писаный, кстати, не на расте. И кто бы там чего бы гарантировал в этом месиве которое оно вообще нагенерит? И с какого бы бодунища эти гарантии вообще взялись? Кто-то вообще смог внятно проанализировать корректность 60-метровой либы? :D
>> А так вон аудиторы еще есть.
> Гарантируешь, что они идеальны и сами не бьют память?
Идеальны, не идеальны - а хлеб едят не зря. Но у меня есть и идеальный способ - apt purge. Вот так все-равно на чем оно написано и насколько проанализировано. Как угодно, но эти упыри задолбали своим sudoedit'ом. Им никто не пользуется, но это самый проблемный компонент. В этом месте я начинаю считать что у господ большие проблемы с управлением проектом вообще, так что врядли они могут заниматься безопасным софтом хоть на чем. И никакие серебряные пули от идиотии разработчика не помогают. А когда разработчик не понимает что не надо делать сотни ненужного крапа под elevated правами - это именно жесткая идиотия в области безопасности.

Ответить | Правка | К родителю #182 | Наверх | Cообщить модератору

278. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (278), 27-Янв-21, 22:24

> А какое им дело на что тратят жизнь сишники?
А в этом треде отметился растоман, топящий за раст? Здесь только сишники, которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо"
> Могут идти куда там в свой редокс и браузить веб сервой.
Еще раз. Вопрос, заданный почти в корне этого треда, звучит так - что нужно сделать, чтобы сишники писали недырявый код. Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры в сишных прогах исчезли мгновенно?
> На мой вкус в расте есть
Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а не чем заменить Си, остальное из отрывка - демагогия, потому что не является ответом на заданый вопрос
> Вы и для раста это ведь не покажете.
А я и не должен, я не топлю за раст, я просто хочу увидеть обстоятельный ответ на вопрос о том, как сделать так, чтобы сишники не писали дыр в своем софте, хотя бы тех дыр, причина которых - битье памяти
> у господ большие проблемы с управлением проектом вообще
Проект на сях с нормальным менеджментом и без сишных дыр в студию, можно еще и с какой-нить типа гарантией, что там нет дыр

Что вы докапались до раста? Или в сишных головах ответ на вопрос "почему сишные программы бьют память" заключается в чем угодно, но не в сях и не программистах на сях? Ну ок, причина битья памяти сишными программистами - дерьмовый раст, куда мне сказать это в свой ноутбук, чтоб весь дырявый код на нем залечился? А способ зарядить воду там или еще что есть, чтобы я мог отдать своей родне эту воду, которой они побрызгают уже свои компы?

Ответить | Правка | Наверх | Cообщить модератору

301. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (-), 28-Янв-21, 00:06

> А в этом треде отметился растоман, топящий за раст? Здесь только сишники,
> которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо"
Мы бы наверное и про растаманов говорили что-нибудь такое. Если б софт от них был. Нуачо, про питона говорим, про пых говорим, мозилла даже на JS смогла. А эти что, особенные? Да ну ладно, каджый кто так считал обломался по черному.
> Еще раз. Вопрос, заданный почти в корне этого треда, звучит так -
> что нужно сделать, чтобы сишники писали недырявый код.
Убить всех человеков - устроит? Тогда в принципе все программисты перестанут делать дыры, на любых ЯП. А так людям свойственно ошибаться - значит, дыры с нами будут. На самых разных ЯП. Стало быть и на си.
> Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный
> вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры
> в сишных прогах исчезли мгновенно?
Дык вы в вашем праве напрогать ваши программы, на чем хотите, и посмотрим сколько и чего будет там. А так то не ошибается тот кто ничего не делает. Но ошибка ошибке все же рознь. Вот конкретно тут прогеров на какое-то донкихотство с sudoedit пробило, это перешло в нездоровую фиксацию на своем фетише, и в конце концов к довольно забавной лаже, когда они попытались сделать своему фетишу отдельный фавор, на чем и погорели.
> Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а
> не чем заменить Си, остальное из отрывка - демагогия, потому что
> не является ответом на заданый вопрос
Сишники такие же люди как и все остальные. И то что они делают больше багов чем вон те вебмаками - ну вот не факт. Достаточно зайти на сайт с базой CVE и посмотреть ассортимент. Почему претензии только к сишникам из всей этой толпы?
> чтобы сишники не писали дыр в своем софте, хотя бы тех
> дыр, причина которых - битье памяти
Вообще, статический анализ улучшать, имхо. Но в конкретно этом случае битье памяти вообще следствие какого-то приступа бреда у кодера, если кодеру настолько сорвало башню его sudoeditmania'ей - там наверное никакие яп и иеструменты не помогут особо. Свою бошку кодеру не пришьешь (хотя, если тело молодое, это обсуждаемо, ха-ха).
> Проект на сях с нормальным менеджментом и без сишных дыр в студию,
> можно еще и с какой-нить типа гарантией, что там нет дыр
Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр. Кстати да, есть "математически верифицированные" микроядра, вполне себе на си. Их разработчики мамой^W математикой клянутся :). Насколько оно так и правда - ну, может, пока оно остается тупым тасксвичером, это даже и так. Проблема в том что на этом операционка не заканчивается. И удачи в математической верификации, хотя-бы, обработчика протокола TLS, чтоли, со всеми его опциями и заскоками.
> Что вы докапались до раста? Или в сишных головах ответ на вопрос
> "почему сишные программы бьют память" заключается в чем угодно, но не
> в сях и не программистах на сях?
В данном случае - потому что програмер набредокодил, в странных потугах сделать зачем-то фавор своему фетишу и лопухнувшись на этом. На кой черт они это ТАК кодили - логично спросить у них.

Ответить | Правка | Наверх | Cообщить модератору

305. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (278), 28-Янв-21, 00:34

> А так людям свойственно ошибаться - значит, дыры с нами будут.
Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память?
> Дык вы в вашем праве напрогать ваши программы
Что не заставит сишников пилить код без битья памяти
> Сишники такие же люди как и все остальные.
А я и не спорю, делать то что с этим? Смириться?
> Почему претензии только к сишникам из всей этой толпы?
Потому что прога в теме написана на сях и в ней допущено характерное для сишных прог битье памяти
> Вообще, статический анализ улучшать, имхо
Надо, а действия где?
> Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр.
Я никакой проект не смогу представить, но ведь данный факт не влияет на то, что сишники любят бить память?
> Кстати да, есть "математически верифицированные" микроядра
Почему не весь софт? А почему нет работ в сторону более легковерифицируемых языков? А если и есть, почему требовательные к надежности вещи пишутся не на них?
> И удачи в математической верификации
Не мне, сишникам
> В данном случае - потому что програмер набредокодил
"А вот там дыра, потому что програмер набредокодил, и вот там дыра, потому что программер набредокодил"
Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования? Прошу объективные критерии пожалуйста

Ответить | Правка | Наверх | Cообщить модератору

311. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (311), 28-Янв-21, 01:56

> Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память?
Потому что уменики с серебряными пулями утомили. Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете.
> Что не заставит сишников пилить код без битья памяти
Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой. Можете даже в пику негодяям написать свою программу, на чем вам там угодно и пользоваться ей всем назло.
Я, кстати, первый вариант реализовал. Не потому что си, а потому что наркомания этих господ с sudoedit утомила. Не понимаю почему все эти тантры там вообще должны были быть. Я с ними не согласен на предмет того что таким вещам в такой категории программ вообще место, поэтому и apt purge. Но я и pybitmessage так же в свое время вынес, просто случайно открыв его файлик, охренев и быстренько выпилив это нахрен. Как показала история с RCE бэкдорообразным багом - стопроцентно угадал.
> А я и не спорю, делать то что с этим? Смириться?
Ну, если вариант убить всех человеков не нравится (гарантирует избавление человечества от багов), могу предложить пистолет с одним патроном (избавит от мучений только вас). А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE. Почему в i++'й раз это должно оказаться иначе?
> Потому что прога в теме написана на сях и в ней допущено
> характерное для сишных прог битье памяти
Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали. И денег вы автору за прогу, имхо, не платили. Так что зарываетесь, сэр.
> Надо, а действия где?
В сабже? :) Но глядя на то какую наркоманию в коде исследование вскрыло - я, пожалуй, не буду пользоваться этой программой. Нездоровая фиксация на sudoedit и ее результаты меня пугают. Я вообще не понимаю какого хрена этот код там делает.
> Я никакой проект не смогу представить, но ведь данный факт не влияет
> на то, что сишники любят бить память?
Они врядли любят ее бить, но это один из вариантов их ошибок. С которым они с переменным успехом учатся бороться. А в других яп и рантаймах другие категории ошибок, и нифига не меньше. И опять же - сишники не могут потребовать от вас использовать их программы. Не нравится - не жуйте, в чем вопрос?
> Почему не весь софт?
Потому что был такой дядька, Тюринг, он популярно объяснил что это не очень то и работает. И кстати вот тут с растом довольно Они придумали нечто на грани хака, и насколько их идея с borrow checker работает и откуда следует что это не лажает - вроде открытый вопрос в CS. Чтобы это кто-то всерьез исследовал, наверное, проекты на этом должны быть поинтереснее чем нарабочее двигло браузера не взлетевшее за 10 лет. Кому надо это и окружение вокруг исследовать? Как мне кажется, у растовиков будет скорее на манер pip/npm, когда толи кто-то пакет "не тот" залил, толи какой-нибудь сотрудний майкрософт "случайно" ключ пролюбил (два раза подряд2222, офицеру NSA).
> А почему нет работ в сторону более легковерифицируемых языков?
Может, потому что теоретически это вообще mission impossible - для любого ЯП. Практически для си статический анализ развит получше чем для многих других, а проблемы более-менее изучены. Для остальных это вообще в лучшем случае в зачаточном состоянии и то что их анализировать проще вообще не факт.
> А если и есть, почему требовательные к надежности вещи пишутся не на них?
Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать. Увы, теория оказалась далека от практики. А сделать контейнер как гугол (мелким файлом на сях, пару кило, несколько сисколов) для изоляции браузера в отдельную песочницу этим концептуалам как раз видите ли религия не позволила, их та ЯП там должен был спасать. А если вдруг не спас, ну, тогда это запроектная авария и эксплойт шарахается по всему диску без ограничений, тыря все что найдет.
> Не мне, сишникам
Да у сишникой язык достаточно простой и изученный, так что далеко не хучший в этом плане.
> Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования?
Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило.
> Прошу объективные критерии пожалуйста
Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне.

Ответить | Правка | К родителю #305 | Наверх | Cообщить модератору

332. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (332), 28-Янв-21, 09:33

> Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете.
Ну просвети, как список CVE влияет на битье памяти
> Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой.
Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась.
> А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE
В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять.
> Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали
Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась.
> Не нравится - не жуйте, в чем вопрос?
В том, что мой отказ не избавит сишные проги от битья памяти
> А в других яп и рантаймах другие категории ошибок, и нифига не меньше.
Ссылку на сравнительный анализ в студию
> Потому что был такой дядька, Тюринг, он популярно объяснил
Ссылку на доказательство невозможности построения систем без битья памяти в студию
> И кстати вот тут с растом довольно
Раст дерьмо, ты разве не в курсе?
> Может, потому что теоретически это вообще mission impossible - для любого ЯП.
Или не может? Ссылку на исследования в студию
> Практически для си статический анализ развит получше чем для многих други
Я рад, кончено. Спасает от битья памяти то уже или нет?
> Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать.
В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять.
> Да у сишникой язык достаточно простой и изученный
Легко и просто бьем память
> Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило.
Ну я же просил объективные
> Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне.
Ну то есть способов нет получается?

Ответить | Правка | К родителю #311 | Наверх | Cообщить модератору

355. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (355), 28-Янв-21, 16:01

> Ну просвети, как список CVE влияет на битье памяти
Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются. А то что они малость фалломорфируют, заодно усугубившись "за меня подумает яп и рантайм" - ну да, и чего? Это чем-то лучше?
> Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая
> и не снилась.
Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне. А, стоп, даже там low level на плюсах. Да и кернел у вас на чем? Ну, валите на Redox? Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец? А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое.
> В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять.
Да там большинство взломов вообще на переполнения не полагается. Скорее какой-нибудь ремотный инклюд, эвал, отсутствие проверки данных. Последнее, впрочем, примерно из той же области что и буфера, те же яйца, вид в профиль - прогеру впадлу лишние проверки кодить или он лажанулся.
> Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась.
Обещаю не скучать от вашего отсутствия.
> В том, что мой отказ не избавит сишные проги от битья памяти
Ну, напишите свой вариант судо, на чем вам там удобно. Может им даже кто-то пользоваться будет. А мы посмотрим насколько это все безопасТнее получится и помогут ли вам ваши ляхи. Не, на понт это не берется, кукуйте. Только делом доказать.
> Ссылку на сравнительный анализ в студию
Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори.
> Ссылку на доказательство невозможности построения систем без битья памяти в студию
Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой с определенным вердиктом. Поэтому вердикт о том безопасна ли та или иная программа вам не видать как своих ушей. Есть некоторые нюансы и частности, но в целом вроде бы вот так.
> Раст дерьмо, ты разве не в курсе?
В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй. А у них самих имхо лекарство хуже болезни получилось. А так - чего там еще для системного програмизма можно придумать? Игогошечку? Блин, про него хипстеры с фуксией в этом качестве так красиво напалмом жгли.
> Или не может? Ссылку на исследования в студию
Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. Вы запрашиваете именно это по смыслу. Иногда в каких-то частностях возможно попытаться красиво смухлевать, как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где? А у других тупой подход с mandatory проверками везде и всюду и что еще прикольнее - вытекающей заменой гамна на какашки. У какого-нибудь питона например статического анализа считай что нет, поэтому валится все прямо в рантайм. И если для суды это в принципе сойдет еще (и то хрен его знает что хакеры придумают для извлечения профита) то вот когда это бортовой комп на полпути к марсу сделает, в лучшем случае подгузники менять придется. В хучшем в межпланетном пространстве прибавится несколько мумий.
>> Практически для си статический анализ развит получше чем для многих други
> Я рад, кончено. Спасает от битья памяти то уже или нет?
При желании - да. Еще можно с asan билдить. Этот то ловит все замечательно, прямо в рантайм, как явы какие-нибудь. Ну и скорость в пару раз профакается, конечно.
Те кто поумнее, типа линукскернела, это даже запилили. В продакшне они конечно это не включают, тем более что если кернель в эксепшн по собственному багу уйдет это тоже не прикольно ни разу, но при fuzzing'е syzkaller'ом - оно таки очень кстати.
> В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять.
А пыхопитонерам на CVE скидки, или чего?
> Легко и просто бьем память
Не ошибается тот кто ничего не делает.
> Ну я же просил объективные
Для вас объективнее всего имхо пистолет с 1 патроном.
> Ну то есть способов нет получается?
Для вообще совсем перфекционистов - только пистолет с 1 патроном. Остальным - узнать про статические анализаторы, valgrind и asan/ubsan. При желании последние можно оставить - если просадка скорости пофиг, и секурити перевешивает это соображение. Просто большинство юзерей не хочет видите ли платить за секурити снижением скорости. Если так делать они с гомном замешивают. Так то win95 в эпоху захвата мира и на асме не брезговало писать. Академики шипели на это месиво. Юзеры сказали shut up and take my money. Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс. Что поделать, этот мир работает вот так.

Ответить | Правка | К родителю #332 | Наверх | Cообщить модератору

357. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от др. Аноним (?), 28-Янв-21, 16:18

> Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт.
Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более.
> как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где?
http://smallcultfollowing.com/babysteps/blog/2018/04/27/an-a.../
Хорновский дизъюнкт, теория графов и проч. Ноль магии.

Ответить | Правка | К родителю #355 | Наверх | Cообщить модератору

392. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 29-Янв-21, 19:49

> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более.
Он просто довольно общо задвинул.
> Хорновский дизъюнкт, теория графов и проч. Ноль магии.
О, неплохо, спасибо. Однако то что это все применимо к кон той 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует. А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да?

Ответить | Правка | К родителю #357 | Наверх | Cообщить модератору

396. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от анонн (ok), 29-Янв-21, 21:15

>> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более.
> Он просто довольно общо задвинул.
Из того, что он "задвинул", совсем никак не вытекает "доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт".
Объясняют на углубленных курсах CS, когда разбирают верификацию//анализ - потому что непременно найдутся те, кто "вспомнит" Тьюринга.
1) нам никуда не упали _все_ возможные варианты программ и их ввода и вывода, только то (очень маленькое) подмножесто, решающее реальные задачи.
2) невозможность "вынесения вердикта" ловится уже банальным счетчиком итераций анализатора и прочими ограничениями.
Отказываться от верификации//проверок, лишь потому что они не сработают на некоторых комбинациях - далеко не самый логичный поступок.
3) Так же кол. "нерешаемых" программ сильно сокращается при отказе от использования рекурсии или бесконечных циклов и прочими ограничениями. MISRA-C и проч.
4) Не менее "общно" опровергаем:
У нас, в реальности - нет бесконечной "ленты" aka памяти, а для машины Тьюринга с таким ограничением, проблема остановки - внезапно, теоретически решаема.
> any finite-state machine, if left completely to itself, will fall eventually into a perfectly periodic repetitive pattern. The duration of this repeating pattern cannot exceed the number of internal states of the machine... (Minsky 1967, p. 24)
Поэтому, если уж вам хочется "козырнуть", используйте теорему Райса, что ли.
>> Хорновский дизъюнкт, теория графов и проч. Ноль магии.
> О, неплохо, спасибо. Однако то что это все применимо к кон той
> 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует.
К этому всему применимо "Слона едят по кусочкам".
Или, в том же духе, "А давайте просто забъем на все проверки и на развитие анализаторов, ведь они не смогут проверить все компоненты сразу!".
Т.е. вы не пользуетесь ни valgrind, ни asan, т.к. они все равно ловят не все?
Или к чему эта демагогия?
> А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да?
А без этих спрыгов с темы и нелепых фантазий совсем никак нельзя?

Ответить | Правка | К родителю #392 | Наверх | Cообщить модератору

368. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (35), 28-Янв-21, 17:43

ну поехали по новой

> Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются.
Поэтому сишники будут бить память
> Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне.
Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память
> Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец
Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память
> А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое.
ПЕРЕДАЮ ЭТО СООБЩЕНИЕ ЧЕРЕЗ ТЕЛЕГРАМ ЗПТ ПО МАКСИМУМУ ОТКАЗАЛСЯ ОТ СИШНОГО КОДА ТЧК ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ
> Да там большинство взломов вообще на переполнения не полагается.
Потому сишники будут бить память дальше
> Обещаю не скучать от вашего отсутствия.
Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным
> Ну, напишите свой вариант судо, на чем вам там удобно.
Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен
> Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори.
Как так? Идеальный же язык для всего, а благодаря моим усилиям по его обезопасиванию стал еще и безопасным.
> Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой
Да господи, я даже послабление ввел - хотя бы от битья памяти спасите
> В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй.
Ну наконец-то, признание проблемы, предложение решения
> Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт.
К сожалению, анонимус выше ответил, я не смогу порадовать тебя своим искрометным юмором здесь
> Те кто поумнее, типа линукскернела, это даже запилили.
А тем временем память в ядре все так же бьется
> А пыхопитонерам на CVE скидки, или чего?
Тема про сишную прогу с сишноспецифичными багами
> Не ошибается тот кто ничего не делает.
Как сделать так, чтоб ошибались поменьше?
> Для вас объективнее всего имхо пистолет с 1 патроном.
Я воспользовался этим предложением, просветление сишников тем временем достигло невероятных пределов
> Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс.
Кроме сей языков не осталось, сишники самые счастливые люди

Ответить | Правка | К родителю #355 | Наверх | Cообщить модератору

393. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (393), 29-Янв-21, 20:22

> Поэтому сишники будут бить память
"вас это ..ть уже не должно" (с) :)
> Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память
Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс.
> Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память
Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто.
> ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ
RFC1149 в помощь, телеграфните им в голубятню.
> Потому сишники будут бить память дальше
А голубей будет бить дед с берданкой. Мир не идеален.
> Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным
Сишники знают что идеальный софт - фикция.
> Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря
> этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен
Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :)
> Как так? Идеальный же язык для всего, а благодаря моим усилиям по
> его обезопасиванию стал еще и безопасным.
Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится.
> Да господи, я даже послабление ввел - хотя бы от битья памяти спасите
Ну так для этого есть решения. А то что ими не все пользуются... я тут как-то с питонистом сравнил, после этого считаю что сишники не такие уж и плохие. Он вообще тесты презирает, вау.
> Ну наконец-то, признание проблемы, предложение решения
Ну так если вы не заметили, сишники свои проблемы решать обычно умеют. Не всегда стопроцентно, не всегда идеально, но вообще - получше многих других. Можете зайти в тред к питонистам и посмотреть на их взгляды на написание софта.
> А тем временем память в ядре все так же бьется
На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно. В любом случае, это останется написано на си в ближайшие десятилетия, так что редокс и фуксия в помощь если надо не оно.
> Тема про сишную прогу с сишноспецифичными багами
Я бы сказал про compound баг, при том лично мои претензии - к всей этой возне с sudoedit'ом, которая, вот честно, достала. Для меня самое досадное что вулны в нафигнужной (анти)фиче которой я ни разу в жизни не пользовался. И вот это повод выпилить такую программу. Зачем мне тот кто решает несуществующую проблему, да еще и наломав попутно дров в попытке сделать особый фавор этому решателю проблем? Это уже бред у кодера, имхо.
> Как сделать так, чтоб ошибались поменьше?
Я для себя делаю так: -wall, cppcheck, valgrind, а если в себе или чужом коде совсем не уверен - билд с asan+ubsan, для больших сетевых сервисов в основном. Ну и прочие hardening флаги. Они кстати не особо скорость просаживают.
> Я воспользовался этим предложением,
Не похоже.
> Кроме сей языков не осталось, сишники самые счастливые люди
На чем еще системщину писать? Редоксом даже его авторы вроде не пользуются для повседневных дел, в фуксии упражнения хипстеров вообще трэш и угар. А, ну еще реактос есть, с ядром на каком-то диалекте плюсов, но это уж совсем жесть. А, еще M$ пытался писать нечто на .NET. Теоретически вроде безопасТно. Практически - оно настолько никому не надо что аудит никто никогда не делал.

Ответить | Правка | К родителю #368 | Наверх | Cообщить модератору

398. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (398), 30-Янв-21, 11:31

> "вас это ..ть уже не должно" (с) :)
Меня не ..ть это, но сишники бьют память
> Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс.
А сишники продолжают бить память
> Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто.
Не предоставлю, ибо не влияет на битье памяти сишниками
> RFC1149 в помощь, телеграфните им в голубятню.
Телеграфнул, кончились. А дыры из-за битья памяти в сишных программах нет.
> А голубей будет бить дед с берданкой. Мир не идеален.
Поэтому мы жаже не будем избавляться от деда с берданкой и не будем улучшать голубей. И си. Голубей продолжат сбивать, а сишники продолжат бить память
> Сишники знают что идеальный софт - фикция.
Но они даже не пытаются сделать его лучше.
> Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :)
А можно писать программы и не бить память?
> Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится.
Нет, вопрос в том, как заставить сишников не бить память
> На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно.
С обсуждаемой софтиной тоже не было злободневно, а теперь тут 300+ комментов
> В любом случае, это останется написано на си в ближайшие десятилетия
Поэтому надо как-то сделать так, чтобы битье памяти не стреляло каждый раз
>  Я бы сказал про compound баг
Что скажешь про баги с битьем памяти?
> Я для себя делаю так
Гарантируешь, что ничего не бьется? А верификация? Обоснование рисков и тд?
> Не похоже.
Просто пишу через дыру из-за битья памяти, допущеную Б-гом при создании Вселенной
> На чем еще системщину писать?
Ни на чем, поэтому вокруг нас продолжат появляться программы с битьем памяти
Если ты забыл, то судо в этой ветке назвали "важным компонентом системы". Для чего, если не для таких компонентов улучшать способы производства ПО? На предложение верифицировать ответили про какого-то там Тьюринга(Известный мне Тьюринг такой херни не доказывал), дескать он доказал, что не бить память невозможно, но на предоставление пруфов только огрызаются. А если он этого не доказывал, то почему сишники не исследуют это направление, только флагами компилятора на включение каких то хитрожопых эвристик без гарантий обмазываются?

Ответить | Правка | К родителю #393 | Наверх | Cообщить модератору

84. "Критическая уязвимость в sudo, позволяющая получить привилег..." +2 +/–

Сообщение от Аноним (84), 27-Янв-21, 13:59

Кого учить? Посмотрите сколько лет опыта программирования у контрибьюторов проектов sudo, vlc, grub, openssl, linux kernel, еще-какой-то-популярный-проект-с-недавней-уязвимостью. Их уже поздно учить.
И вообще не факт что оно поможет, потому что самый крутой программер в какой-то момент нафакапит с памятью.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

94. "Критическая уязвимость в sudo, позволяющая получить привилег..." –2 +/–

Сообщение от псевдонимус (?), 27-Янв-21, 14:14

Поэтому мы всем кодерам свяжем руки с помощью сраст. Спасибо, низкоуровневый аналог пердона не нужен.

Ответить | Правка | Наверх | Cообщить модератору

100. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (35), 27-Янв-21, 14:26

> низкоуровневый аналог пердона не нужен
Зато дыры в важных частях системы нужны
Очевидно же, что просто "заставить писать правильный код" не получится, нужны гарантии на каких-то простых механизмах, аппаратных, программных, не важно, а то сишники будут вечно отстреливать ноги, крича, что "пердоны не нужны"

Ответить | Правка | Наверх | Cообщить модератору

111. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 27-Янв-21, 14:38

А хруст так уж мешает придуркам вызывать всякое нафигнужное из привилегированной программы? Там вон даже автор pybitmessage на питоне смог, влепив eval на входных данных. И получилось офигенно. и тормозно как трактор и дыряво. Да и код там такой что obfuscated C contest покажется детским лепетом.

Ответить | Правка | Наверх | Cообщить модератору

113. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (35), 27-Янв-21, 14:40

Ему про си, он опять про раст, ему тыкают, что разговор про си, он опять приносит раст.
Я не спорю, что раст говно, но данный факт никаким образом не избавляет сишный код от дыр

Ответить | Правка | Наверх | Cообщить модератору

162. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (355), 27-Янв-21, 16:59

Да тут вообще дыра в менеджменте проекта - делать все эти танцы с sudoedit'ом из привилегированной программы - нахрена вообще? Этой пакостью отродясь никто не пользуется, кроме тех кто CVE фигачит.

Ответить | Правка | Наверх | Cообщить модератору

187. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (35), 27-Янв-21, 17:44

Внесите в студию проект на сях с нормальным менеджментом и без сишных дыр

Ответить | Правка | Наверх | Cообщить модератору

273. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 27-Янв-21, 22:11

> Внесите в студию проект на сях с нормальным менеджментом и без сишных дыр
А сравнивать то с чем будем? С проектами на расте которых .. нет? Поэтому там вообще terra incognita на тему каких дров этой штукой можно наломать и как это может выглядеть.

Ответить | Правка | Наверх | Cообщить модератору

285. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (278), 27-Янв-21, 22:35

> А сравнивать то с чем будем?
А количество дыр разве величина относительная? Проект считается недырявым, если дыр в нем меньше, чем в другом проекте, реализующем ту же функциональность
> С проектами на расте которых .. нет?
Проектов на расте нет, поэтому на сях всегда пишутся программы, небьющие память, пример такой программы в заголовке темы
/очевидный сарказм еси че/

Ответить | Правка | Наверх | Cообщить модератору

312. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (311), 28-Янв-21, 02:04

> А количество дыр разве величина относительная? Проект считается недырявым, если дыр в
> нем меньше, чем в другом проекте, реализующем ту же функциональность
Так в этом то и трабл - сравнивать особо не с чем.
> Проектов на расте нет, поэтому на сях всегда пишутся программы, небьющие память,
> пример такой программы в заголовке темы
Там пример программы где у авторов по мере кодинга случилась бредовая фиксация на фиче которой вообще там быть не должно. А где-то дальше по ходу пьесы они пытались своей какашке фавор сделать как специальный случай и наломали при этом дров. Я вообще не понимаю как и почему трезвый кодер в здравом уме и твердой памяти должен кодить то что там есть по этому поводу.
> /очевидный сарказм еси че/
Это походу все на что хватает таких умников.

Ответить | Правка | К родителю #285 | Наверх | Cообщить модератору

334. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (332), 28-Янв-21, 09:38

> Так в этом то и трабл - сравнивать особо не с чем.
Поэтому сишники будут бить память. Не с чем сравнить - наша программа даже с битьем памяти абсолютно безопасна
> Там пример программы где у авторов по мере кодинга случилась бредовая фиксация на фиче
То есть ты утверждаешь, что если бы они не приделали левую фичу, то битья памяти не было? Если я выпили из судо судоедит, то больше битья памяти не останется?
> Это походу все на что хватает таких умников.
Это как то влияет на процессы битья памяти сишниками?

Ответить | Правка | К родителю #312 | Наверх | Cообщить модератору

356. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (-), 28-Янв-21, 16:15

> Поэтому сишники будут бить память. Не с чем сравнить - наша программа
> даже с битьем памяти абсолютно безопасна
Значит будут. Хотя если вот лично вы на лично ваших системах не хотите это все, можете хоть KASAN в ядре врубить и гонять с ним. Да еще в виртуалку это засунув, так что даже если память и побьется, то типа-ненастоящая все-равно. Но скорость в пару раз таки может просраться.
Тем не менее - большой вопрос, сольет ли вот эта моя kvm'ная VM вон тому redox'у по performance. А откатить я в ней могу не только сишные приколы, но и все остальные - они вообще настоящют систему не получают никогда. А даже если они и переполнят память - это где-то там. И если в файловую систему прорвутся - где-то там. И из файлов можно украсть только недавние даунлоады браузера. Это появилось благодаря мазиле с ее "безопасным просмотрщиком", заставили задуматься как эту их безопасную субстатцию реально confine'ить.
> То есть ты утверждаешь, что если бы они не приделали левую фичу, то битья памяти не было?
Нет фичи - нет проблем в ней. Чем проще софт тем меньше в нем подобных приколов. И всех остальных приколов - тоже. За это я люблю лаконичные простые программы. Только это, перепрятать сложность в мегарантайм не решение - а кто сказал что в нем багов не будет в результате?
> Если я выпили из судо судоедит, то больше битья памяти не останется?
Если стремно - можно с asan+ubsan собрать. Но вообще я предпочел стереть нафиг. У авторов обсессия на том чего в программе такого плана вообще быть не должно. Это хреново, они утратили рациональное мышление и делают хрень.
>> Это походу все на что хватает таких умников.
> Это как то влияет на процессы битья памяти сишниками?
Не знаю. Никогда не задумывался над этим.

Ответить | Правка | К родителю #334 | Наверх | Cообщить модератору

369. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (35), 28-Янв-21, 17:55

> Значит будут. Хотя если вот лично вы на лично ваших системах не хотите это все, можете хоть KASAN в ядре врубить и гонять с ним.
Я все могу, по совету из соседнего треда применил на себе пулю, пишу с того света. И знаешь что? Даже тут сишники бьют память
> Нет фичи - нет проблем в ней.
А есть способ появить фичу без битья памяти? Ну нужна какая-то фича
> Если стремно - можно с asan+ubsan собрать. Но вообще я предпочел стереть нафиг.
Хочу фичу хотя бы без битья памяти, так уж и быть, с остальным разберемся сами

Ответить | Правка | К родителю #356 | Наверх | Cообщить модератору

394. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (393), 29-Янв-21, 20:27

> Я все могу, по совету из соседнего треда применил на себе пулю,
> пишу с того света. И знаешь что? Даже тут сишники бьют память
Ты нифига не понял. Кому дыра, а кому и call gate. Мы так между мирами путешествуем.
> А есть способ появить фичу без битья памяти? Ну нужна какая-то фича
Способы то всегда есть, вопрос в цене и желании этим всем заняться.
> Хочу фичу хотя бы без битья памяти, так уж и быть, с
> остальным разберемся сами
Ну так пофиксь. Впрочем они и сами пофиксят, имхо. И тем не менее, чем больше фич, тем больше в программе багов. А дыры - частный вариант багов, когда атакующий использует незапланированное поведение программы для получения каких-то дивидентов, не предусмотренных програмерами. Так что чем меньше фич тем безопаснее, при прочих равных.

Ответить | Правка | К родителю #369 | Наверх | Cообщить модератору

400. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (398), 30-Янв-21, 11:43

> Способы то всегда есть, вопрос в цене и желании этим всем заняться.
Где-то здесь sudo назвали важным компонентом системы, но из этого сообщения понятно, что цена этой важности нулевая.
> Ну так пофиксь.
Я буду заниматься этим вечно, а есть предложения о том, как писать программы без битья памяти, как сделать так, что бы все им следовали и как автоматически порешать проблемы битья памяти в большинстве стандартных проектов? Почему в дистрибутивах не используют при сборке всяки там эти ваши анализаторы и сборку с миллионом эвристических флагов, попутно доказывая их корректность?

Ответить | Правка | К родителю #394 | Наверх | Cообщить модератору

140. "Критическая уязвимость в sudo, позволяющая получить привилег..." +2 +/–

Сообщение от Аноним (84), 27-Янв-21, 15:40

Ну вот как можно так рассуждать ничего не зная о теме обсуждение? Это же просто профнепригодность какая-то! Хотя о чем я, мы же на опеннете спорим с анонимусами.
Тебе нужны развязанные руки? Пиши unsafe и вперед. И сможешь выходить за границы массивов, портить чужую память, делать double free и стрелять себе в ногу любыми другими способами. Придется конечно немного постараться, код написать. Но все в твоих руках.
Но только в коде для других программистов будет большая плашка "Я знаю что делаю", даже если это будет вранье.

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

160. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от псевдонимус (?), 27-Янв-21, 16:55

Один из растокомунити уже делал ансейф. В результате подвергся травле и  ушел.

Ответить | Правка | Наверх | Cообщить модератору

190. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (84), 27-Янв-21, 17:56

И правильно сделали. Вместо того чтобы сделать правильно, он просто сгреб мусор под ковер типа "а тут все безопасно". И он не просто ушел, а поистерил и удалил репу. Правда потом его попустило и репу восстановил и проект продолжил развитие.
("Update 2020-01-20: Actix oficial web repository is back and the maintainer has stepped down. Actix will continue to be maintained.")
Короче как обычно "и не в лотерею, а в карты, и не выиграл, а проиграл".

Ответить | Правка | Наверх | Cообщить модератору

395. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (393), 29-Янв-21, 20:28

> И правильно сделали.
Ну и лишились проекта в результате. При том что самое ценное что у них есть - нерабочий двигун браузера. Зато безопасТный. Ну кто б сомневался что браузер которым никто не пользуется и взломать не получится. Так то и IE3 безопасный - попробуй хоть 1 в диком виде взломать!

Ответить | Правка | Наверх | Cообщить модератору

399. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (398), 30-Янв-21, 11:37

> Ну и лишились проекта в результате
Беру и скачиваю, никуда он не делся. И даже потихоньку пилится сообществом
> При том что самое ценное что у них есть - нерабочий двигун браузера.
Прямо сейчас пишу это сообщение из браузера с двиглом отрисовки, написнном на расте. Если что, этот браузер называется firefox
> Так то и IE3 безопасный - попробуй хоть 1 в диком виде взломать!
Ведь от того, что им никто не пользуется, в нем исчезли все баги

Ответить | Правка | Наверх | Cообщить модератору

314. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним (311), 28-Янв-21, 02:06

> Тебе нужны развязанные руки? Пиши unsafe и вперед.
Да мне как-то на сях прикольнее вашего птичьего языка. А если вам что-то не нравится - так и не пользуйтесь. Денег вы мне все-равно не платите, так что можете катиться с вашим растом куда подальше, имхо. Мне западло иметь дело с комьюнити горластых виндозных ламеров. Сями для начала нормальные кодеры пользуются, умеющие что-то за пределами обсирания других.

Ответить | Правка | К родителю #140 | Наверх | Cообщить модератору

116. "Критическая уязвимость в sudo, позволяющая получить привилег..." +2 +/–

Сообщение от Аноним (-), 27-Янв-21, 14:42

> Учить их программировать, не?
Говорят что с подшиванием свой бошки чужому телу есть некоторые нюансы. Там вообще-то даже и не в програмизме проблема, а в пофигизме к безопасности. Уйма левых действий из привилегированной программы хрен знает зачем. С sudoedit'ом многострадальным, который исторически никому счастья вроде не принес, если не считать за это проблемы и вулны.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

164. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от псевдонимус (?), 27-Янв-21, 16:59

> Там
> вообще-то даже и не в програмизме проблема, а в пофигизме к
> безопасности.
А вот это уже лечится только лечебным наложением рук. Либо на тушку, либо на кошелек.
Но я пологаю, что их просто дрючат по типу "ну когда уже, надо было вчера все доделать!"

Ответить | Правка | Наверх | Cообщить модератору

87. "Критическая уязвимость в sudo, позволяющая получить привилег..." +/–

Сообщение от Аноним. (?), 27-Янв-21, 14:04

Что угодно, кроме перехода на Раст это очевидно. При переходе на Раст у вас автоматически появляется две проблемы. Одна проблема дырени от которых он не спасает, вторая проблема сам Раст.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

107. "Критическая уязвимость в sudo, позволяющая получить привилег..." +3 +/–

Сообщение от Аноним (35), 27-Янв-21, 14:32

> Что угодно, кроме перехода на Раст это очевидно
Ну дак не переходите, просто пишите недырявые программы лол

Ответить | Правка | Наверх | Cообщить модератору

166. "Критическая уязвимость в sudo, позволяющая получить привилег..." +1 +/–

Сообщение от Аноним (355), 27-Янв-21, 17:00

> Ну дак не переходите, просто пишите недырявые программы лол
Так с вот этим у них и не задалось. Они зачем-то из привилегированной программы кучу левого хлама удумали делать с каким-то sudoedit'ом. Концептуалы хреновы.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	27. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (322), 27-Янв-21, 11:52
	у растаманов бы пароли просто лежали в /var/www
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	30. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 11:55
	Вы какой-то немодный! Не пароли, а ключи - от всего. Без паролей, разумеется - иначе как же ж робот будет ими пользоваться.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (35), 27-Янв-21, 12:05
	и опять, вопрос про сишку - ответ про то, какое дерьмо раст если что, вопрос обстоит так - что надо сделать, чтобы программисты на си перестали плодить в своем софте дыры?
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	60. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (322), 27-Янв-21, 13:01
	> перестали плодить в своем софте дыры? Никогда не перестанут. Цель "свободного" софта - пробить дыру в твоей системе. Версии браузеров меняются каждую неделю, кто их аудирует?! Все же бинарниками ставят.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	179. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от captcha 20168 (?), 27-Янв-21, 17:15
	> кто их аудирует?! госдэп же
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 13:02
	Учить их программировать, не?
	Ответить \| Правка \| К родителю #35 \| Наверх \| Cообщить модератору


	78. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (35), 27-Янв-21, 13:54
	Во-первых, это как-то помешает неучам писать код на сях? А потом другим людям им пользоваться? Во-вторых, а учить-то кто будет? Снова сишники, которые пишут дырявый софт? А есть вообще идеальные сишники, которые не бьют память в своем софте? А что мешает сразу учить сишников писать нормальный код? В-третьих, а заставлять учиться сишников ты будешь под дулом пистолета?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	91. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 14:13
	Наниматели. Судо это важная вещь, не чета какому-то ненужному гном. Более опытные программисты. Под дулом увольнения.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	104. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:29
	> Судо это важная вещь Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени. > Более опытные программисты Чем гарантируешь, что они не бьют память? > Под дулом увольнения Тот, кто написал, миллион лет не работает над проектом, что ему сделаешь? В карму насрешь? А тебе то лучше станет? Или после этого все его битье магическим образом пропадет из кода? Ниодна из этих вещей не мешает наплодить битье памяти
	Ответить \| Правка \| Наверх \| Cообщить модератору


	159. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 16:55
	> Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени. Растаманы вообще тратят свое время на бесполезные визги только. Очень теоретически-крутые програмеры - ничерта полезного человечеству так и не накодили. Даже браузерное двигло за 10 лет не смогли. И это топовый флагман проект, остальное еще печальнее... > Чем гарантируешь, что они не бьют память? Valgrind'ом, лол. А так вон аудиторы еще есть. К сожалению аудиторы подхайлайтили совсем другую проблему - апстрим с катушек слетел совсем со своим sudoedit-ом, добровольно-принудительно распихав зачем-то счастье которым никто не пользуется, в взаимодействии с которым постоянно случается какая-то дикая хрень. И глядя на такую активность вопрос возникает один: нафига это все было?!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	182. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 17:16
	> Растаманы вообще тратят свое время на бесполезные визги только И опять от темы отходим. Какое тебе дело до того, на что тратят время растоманы? Их жизнь, что хотят, то и делают, а у тебя своя голова на плечах, чтобы понимать, нужно тебе это или нет. Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают > Valgrind'ом, лол. Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал > А так вон аудиторы еще есть. Гарантируешь, что они идеальны и сами не бьют память?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	209. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (209), 27-Янв-21, 18:52
	> доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал Специалист классический.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	243. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 20:58
	> Какое тебе дело до того, на что тратят время растоманы? А какое им дело на что тратят жизнь сишники? Их никто не заставляет юзать программы на си. Могут идти куда там в свой редокс и браузить веб сервой. Если это для них рабоает. В таком виде я даже возражать не буду. А когда идея в том что вы програмьте дескать на этом птичьем языке, обставившем даже плюсы по закорюкам, но главное чтобы не я - не, вот так не годится, идите нафиг. > Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают На мой вкус в расте есть намного более жирная дыра в виде излишне централизованой репы подконтрольной хрен знает кому - которому лично я не доверяю. Поэтому у меня нет оснований доверять софту на расте и тем кто билдует его ставя хрен знает что из npm-подобного барахла. И какая мне нахрен от вас таких безопасность если завтра эту репу мудасофт скупит на корню и начнет прямо оттуда бэкдоры пхать и цензурить софт? >> Valgrind'ом, лол. > Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти > гарантировано вычищал Чего там про отход от темы? Вы и для раста это ведь не покажете. Извините, его кодогенерация завязана на наркоманский llvm где мегов под 60 кода навалено. Писаный, кстати, не на расте. И кто бы там чего бы гарантировал в этом месиве которое оно вообще нагенерит? И с какого бы бодунища эти гарантии вообще взялись? Кто-то вообще смог внятно проанализировать корректность 60-метровой либы? :D >> А так вон аудиторы еще есть. > Гарантируешь, что они идеальны и сами не бьют память? Идеальны, не идеальны - а хлеб едят не зря. Но у меня есть и идеальный способ - apt purge. Вот так все-равно на чем оно написано и насколько проанализировано. Как угодно, но эти упыри задолбали своим sudoedit'ом. Им никто не пользуется, но это самый проблемный компонент. В этом месте я начинаю считать что у господ большие проблемы с управлением проектом вообще, так что врядли они могут заниматься безопасным софтом хоть на чем. И никакие серебряные пули от идиотии разработчика не помогают. А когда разработчик не понимает что не надо делать сотни ненужного крапа под elevated правами - это именно жесткая идиотия в области безопасности.
	Ответить \| Правка \| К родителю #182 \| Наверх \| Cообщить модератору


	278. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (278), 27-Янв-21, 22:24
	> А какое им дело на что тратят жизнь сишники? А в этом треде отметился растоман, топящий за раст? Здесь только сишники, которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо" > Могут идти куда там в свой редокс и браузить веб сервой. Еще раз. Вопрос, заданный почти в корне этого треда, звучит так - что нужно сделать, чтобы сишники писали недырявый код. Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры в сишных прогах исчезли мгновенно? > На мой вкус в расте есть Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а не чем заменить Си, остальное из отрывка - демагогия, потому что не является ответом на заданый вопрос > Вы и для раста это ведь не покажете. А я и не должен, я не топлю за раст, я просто хочу увидеть обстоятельный ответ на вопрос о том, как сделать так, чтобы сишники не писали дыр в своем софте, хотя бы тех дыр, причина которых - битье памяти > у господ большие проблемы с управлением проектом вообще Проект на сях с нормальным менеджментом и без сишных дыр в студию, можно еще и с какой-нить типа гарантией, что там нет дыр Что вы докапались до раста? Или в сишных головах ответ на вопрос "почему сишные программы бьют память" заключается в чем угодно, но не в сях и не программистах на сях? Ну ок, причина битья памяти сишными программистами - дерьмовый раст, куда мне сказать это в свой ноутбук, чтоб весь дырявый код на нем залечился? А способ зарядить воду там или еще что есть, чтобы я мог отдать своей родне эту воду, которой они побрызгают уже свои компы?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	301. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 28-Янв-21, 00:06
	> А в этом треде отметился растоман, топящий за раст? Здесь только сишники, > которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо" Мы бы наверное и про растаманов говорили что-нибудь такое. Если б софт от них был. Нуачо, про питона говорим, про пых говорим, мозилла даже на JS смогла. А эти что, особенные? Да ну ладно, каджый кто так считал обломался по черному. > Еще раз. Вопрос, заданный почти в корне этого треда, звучит так - > что нужно сделать, чтобы сишники писали недырявый код. Убить всех человеков - устроит? Тогда в принципе все программисты перестанут делать дыры, на любых ЯП. А так людям свойственно ошибаться - значит, дыры с нами будут. На самых разных ЯП. Стало быть и на си. > Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный > вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры > в сишных прогах исчезли мгновенно? Дык вы в вашем праве напрогать ваши программы, на чем хотите, и посмотрим сколько и чего будет там. А так то не ошибается тот кто ничего не делает. Но ошибка ошибке все же рознь. Вот конкретно тут прогеров на какое-то донкихотство с sudoedit пробило, это перешло в нездоровую фиксацию на своем фетише, и в конце концов к довольно забавной лаже, когда они попытались сделать своему фетишу отдельный фавор, на чем и погорели. > Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а > не чем заменить Си, остальное из отрывка - демагогия, потому что > не является ответом на заданый вопрос Сишники такие же люди как и все остальные. И то что они делают больше багов чем вон те вебмаками - ну вот не факт. Достаточно зайти на сайт с базой CVE и посмотреть ассортимент. Почему претензии только к сишникам из всей этой толпы? > чтобы сишники не писали дыр в своем софте, хотя бы тех > дыр, причина которых - битье памяти Вообще, статический анализ улучшать, имхо. Но в конкретно этом случае битье памяти вообще следствие какого-то приступа бреда у кодера, если кодеру настолько сорвало башню его sudoeditmania'ей - там наверное никакие яп и иеструменты не помогут особо. Свою бошку кодеру не пришьешь (хотя, если тело молодое, это обсуждаемо, ха-ха). > Проект на сях с нормальным менеджментом и без сишных дыр в студию, > можно еще и с какой-нить типа гарантией, что там нет дыр Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр. Кстати да, есть "математически верифицированные" микроядра, вполне себе на си. Их разработчики мамой^W математикой клянутся :). Насколько оно так и правда - ну, может, пока оно остается тупым тасксвичером, это даже и так. Проблема в том что на этом операционка не заканчивается. И удачи в математической верификации, хотя-бы, обработчика протокола TLS, чтоли, со всеми его опциями и заскоками. > Что вы докапались до раста? Или в сишных головах ответ на вопрос > "почему сишные программы бьют память" заключается в чем угодно, но не > в сях и не программистах на сях? В данном случае - потому что програмер набредокодил, в странных потугах сделать зачем-то фавор своему фетишу и лопухнувшись на этом. На кой черт они это ТАК кодили - логично спросить у них.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	305. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (278), 28-Янв-21, 00:34
	> А так людям свойственно ошибаться - значит, дыры с нами будут. Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память? > Дык вы в вашем праве напрогать ваши программы Что не заставит сишников пилить код без битья памяти > Сишники такие же люди как и все остальные. А я и не спорю, делать то что с этим? Смириться? > Почему претензии только к сишникам из всей этой толпы? Потому что прога в теме написана на сях и в ней допущено характерное для сишных прог битье памяти > Вообще, статический анализ улучшать, имхо Надо, а действия где? > Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр. Я никакой проект не смогу представить, но ведь данный факт не влияет на то, что сишники любят бить память? > Кстати да, есть "математически верифицированные" микроядра Почему не весь софт? А почему нет работ в сторону более легковерифицируемых языков? А если и есть, почему требовательные к надежности вещи пишутся не на них? > И удачи в математической верификации Не мне, сишникам > В данном случае - потому что програмер набредокодил "А вот там дыра, потому что програмер набредокодил, и вот там дыра, потому что программер набредокодил" Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования? Прошу объективные критерии пожалуйста
	Ответить \| Правка \| Наверх \| Cообщить модератору


	311. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (311), 28-Янв-21, 01:56
	> Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память? Потому что уменики с серебряными пулями утомили. Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете. > Что не заставит сишников пилить код без битья памяти Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой. Можете даже в пику негодяям написать свою программу, на чем вам там угодно и пользоваться ей всем назло. Я, кстати, первый вариант реализовал. Не потому что си, а потому что наркомания этих господ с sudoedit утомила. Не понимаю почему все эти тантры там вообще должны были быть. Я с ними не согласен на предмет того что таким вещам в такой категории программ вообще место, поэтому и apt purge. Но я и pybitmessage так же в свое время вынес, просто случайно открыв его файлик, охренев и быстренько выпилив это нахрен. Как показала история с RCE бэкдорообразным багом - стопроцентно угадал. > А я и не спорю, делать то что с этим? Смириться? Ну, если вариант убить всех человеков не нравится (гарантирует избавление человечества от багов), могу предложить пистолет с одним патроном (избавит от мучений только вас). А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE. Почему в i++'й раз это должно оказаться иначе? > Потому что прога в теме написана на сях и в ней допущено > характерное для сишных прог битье памяти Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали. И денег вы автору за прогу, имхо, не платили. Так что зарываетесь, сэр. > Надо, а действия где? В сабже? :) Но глядя на то какую наркоманию в коде исследование вскрыло - я, пожалуй, не буду пользоваться этой программой. Нездоровая фиксация на sudoedit и ее результаты меня пугают. Я вообще не понимаю какого хрена этот код там делает. > Я никакой проект не смогу представить, но ведь данный факт не влияет > на то, что сишники любят бить память? Они врядли любят ее бить, но это один из вариантов их ошибок. С которым они с переменным успехом учатся бороться. А в других яп и рантаймах другие категории ошибок, и нифига не меньше. И опять же - сишники не могут потребовать от вас использовать их программы. Не нравится - не жуйте, в чем вопрос? > Почему не весь софт? Потому что был такой дядька, Тюринг, он популярно объяснил что это не очень то и работает. И кстати вот тут с растом довольно Они придумали нечто на грани хака, и насколько их идея с borrow checker работает и откуда следует что это не лажает - вроде открытый вопрос в CS. Чтобы это кто-то всерьез исследовал, наверное, проекты на этом должны быть поинтереснее чем нарабочее двигло браузера не взлетевшее за 10 лет. Кому надо это и окружение вокруг исследовать? Как мне кажется, у растовиков будет скорее на манер pip/npm, когда толи кто-то пакет "не тот" залил, толи какой-нибудь сотрудний майкрософт "случайно" ключ пролюбил (два раза подряд2222, офицеру NSA). > А почему нет работ в сторону более легковерифицируемых языков? Может, потому что теоретически это вообще mission impossible - для любого ЯП. Практически для си статический анализ развит получше чем для многих других, а проблемы более-менее изучены. Для остальных это вообще в лучшем случае в зачаточном состоянии и то что их анализировать проще вообще не факт. > А если и есть, почему требовательные к надежности вещи пишутся не на них? Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать. Увы, теория оказалась далека от практики. А сделать контейнер как гугол (мелким файлом на сях, пару кило, несколько сисколов) для изоляции браузера в отдельную песочницу этим концептуалам как раз видите ли религия не позволила, их та ЯП там должен был спасать. А если вдруг не спас, ну, тогда это запроектная авария и эксплойт шарахается по всему диску без ограничений, тыря все что найдет. > Не мне, сишникам Да у сишникой язык достаточно простой и изученный, так что далеко не хучший в этом плане. > Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования? Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило. > Прошу объективные критерии пожалуйста Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне.
	Ответить \| Правка \| К родителю #305 \| Наверх \| Cообщить модератору


	332. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (332), 28-Янв-21, 09:33
	> Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете. Ну просвети, как список CVE влияет на битье памяти > Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой. Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. > А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. > Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. > Не нравится - не жуйте, в чем вопрос? В том, что мой отказ не избавит сишные проги от битья памяти > А в других яп и рантаймах другие категории ошибок, и нифига не меньше. Ссылку на сравнительный анализ в студию > Потому что был такой дядька, Тюринг, он популярно объяснил Ссылку на доказательство невозможности построения систем без битья памяти в студию > И кстати вот тут с растом довольно Раст дерьмо, ты разве не в курсе? > Может, потому что теоретически это вообще mission impossible - для любого ЯП. Или не может? Ссылку на исследования в студию > Практически для си статический анализ развит получше чем для многих други Я рад, кончено. Спасает от битья памяти то уже или нет? > Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать. В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. > Да у сишникой язык достаточно простой и изученный Легко и просто бьем память > Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило. Ну я же просил объективные > Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне. Ну то есть способов нет получается?
	Ответить \| Правка \| К родителю #311 \| Наверх \| Cообщить модератору


	355. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (355), 28-Янв-21, 16:01
	> Ну просвети, как список CVE влияет на битье памяти Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются. А то что они малость фалломорфируют, заодно усугубившись "за меня подумает яп и рантайм" - ну да, и чего? Это чем-то лучше? > Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая > и не снилась. Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне. А, стоп, даже там low level на плюсах. Да и кернел у вас на чем? Ну, валите на Redox? Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец? А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое. > В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. Да там большинство взломов вообще на переполнения не полагается. Скорее какой-нибудь ремотный инклюд, эвал, отсутствие проверки данных. Последнее, впрочем, примерно из той же области что и буфера, те же яйца, вид в профиль - прогеру впадлу лишние проверки кодить или он лажанулся. > Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. Обещаю не скучать от вашего отсутствия. > В том, что мой отказ не избавит сишные проги от битья памяти Ну, напишите свой вариант судо, на чем вам там удобно. Может им даже кто-то пользоваться будет. А мы посмотрим насколько это все безопасТнее получится и помогут ли вам ваши ляхи. Не, на понт это не берется, кукуйте. Только делом доказать. > Ссылку на сравнительный анализ в студию Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори. > Ссылку на доказательство невозможности построения систем без битья памяти в студию Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой с определенным вердиктом. Поэтому вердикт о том безопасна ли та или иная программа вам не видать как своих ушей. Есть некоторые нюансы и частности, но в целом вроде бы вот так. > Раст дерьмо, ты разве не в курсе? В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй. А у них самих имхо лекарство хуже болезни получилось. А так - чего там еще для системного програмизма можно придумать? Игогошечку? Блин, про него хипстеры с фуксией в этом качестве так красиво напалмом жгли. > Или не может? Ссылку на исследования в студию Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. Вы запрашиваете именно это по смыслу. Иногда в каких-то частностях возможно попытаться красиво смухлевать, как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где? А у других тупой подход с mandatory проверками везде и всюду и что еще прикольнее - вытекающей заменой гамна на какашки. У какого-нибудь питона например статического анализа считай что нет, поэтому валится все прямо в рантайм. И если для суды это в принципе сойдет еще (и то хрен его знает что хакеры придумают для извлечения профита) то вот когда это бортовой комп на полпути к марсу сделает, в лучшем случае подгузники менять придется. В хучшем в межпланетном пространстве прибавится несколько мумий. >> Практически для си статический анализ развит получше чем для многих други > Я рад, кончено. Спасает от битья памяти то уже или нет? При желании - да. Еще можно с asan билдить. Этот то ловит все замечательно, прямо в рантайм, как явы какие-нибудь. Ну и скорость в пару раз профакается, конечно. Те кто поумнее, типа линукскернела, это даже запилили. В продакшне они конечно это не включают, тем более что если кернель в эксепшн по собственному багу уйдет это тоже не прикольно ни разу, но при fuzzing'е syzkaller'ом - оно таки очень кстати. > В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. А пыхопитонерам на CVE скидки, или чего? > Легко и просто бьем память Не ошибается тот кто ничего не делает. > Ну я же просил объективные Для вас объективнее всего имхо пистолет с 1 патроном. > Ну то есть способов нет получается? Для вообще совсем перфекционистов - только пистолет с 1 патроном. Остальным - узнать про статические анализаторы, valgrind и asan/ubsan. При желании последние можно оставить - если просадка скорости пофиг, и секурити перевешивает это соображение. Просто большинство юзерей не хочет видите ли платить за секурити снижением скорости. Если так делать они с гомном замешивают. Так то win95 в эпоху захвата мира и на асме не брезговало писать. Академики шипели на это месиво. Юзеры сказали shut up and take my money. Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс. Что поделать, этот мир работает вот так.
	Ответить \| Правка \| К родителю #332 \| Наверх \| Cообщить модератору


	357. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от др. Аноним (?), 28-Янв-21, 16:18
	> Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. > как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где? http://smallcultfollowing.com/babysteps/blog/2018/04/27/an-a.../ Хорновский дизъюнкт, теория графов и проч. Ноль магии.
	Ответить \| Правка \| К родителю #355 \| Наверх \| Cообщить модератору


	392. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 29-Янв-21, 19:49
	> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. Он просто довольно общо задвинул. > Хорновский дизъюнкт, теория графов и проч. Ноль магии. О, неплохо, спасибо. Однако то что это все применимо к кон той 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует. А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да?
	Ответить \| Правка \| К родителю #357 \| Наверх \| Cообщить модератору


	396. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от анонн (ok), 29-Янв-21, 21:15
	>> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. > Он просто довольно общо задвинул. Из того, что он "задвинул", совсем никак не вытекает "доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт". Объясняют на углубленных курсах CS, когда разбирают верификацию//анализ - потому что непременно найдутся те, кто "вспомнит" Тьюринга. 1) нам никуда не упали _все_ возможные варианты программ и их ввода и вывода, только то (очень маленькое) подмножесто, решающее реальные задачи. 2) невозможность "вынесения вердикта" ловится уже банальным счетчиком итераций анализатора и прочими ограничениями. Отказываться от верификации//проверок, лишь потому что они не сработают на некоторых комбинациях - далеко не самый логичный поступок. 3) Так же кол. "нерешаемых" программ сильно сокращается при отказе от использования рекурсии или бесконечных циклов и прочими ограничениями. MISRA-C и проч. 4) Не менее "общно" опровергаем: У нас, в реальности - нет бесконечной "ленты" aka памяти, а для машины Тьюринга с таким ограничением, проблема остановки - внезапно, теоретически решаема. > any finite-state machine, if left completely to itself, will fall eventually into a perfectly periodic repetitive pattern. The duration of this repeating pattern cannot exceed the number of internal states of the machine... (Minsky 1967, p. 24) Поэтому, если уж вам хочется "козырнуть", используйте теорему Райса, что ли. >> Хорновский дизъюнкт, теория графов и проч. Ноль магии. > О, неплохо, спасибо. Однако то что это все применимо к кон той > 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует. К этому всему применимо "Слона едят по кусочкам". Или, в том же духе, "А давайте просто забъем на все проверки и на развитие анализаторов, ведь они не смогут проверить все компоненты сразу!". Т.е. вы не пользуетесь ни valgrind, ни asan, т.к. они все равно ловят не все? Или к чему эта демагогия? > А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да? А без этих спрыгов с темы и нелепых фантазий совсем никак нельзя?
	Ответить \| Правка \| К родителю #392 \| Наверх \| Cообщить модератору


	368. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (35), 28-Янв-21, 17:43
	ну поехали по новой > Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются. Поэтому сишники будут бить память > Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне. Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память > Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память > А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое. ПЕРЕДАЮ ЭТО СООБЩЕНИЕ ЧЕРЕЗ ТЕЛЕГРАМ ЗПТ ПО МАКСИМУМУ ОТКАЗАЛСЯ ОТ СИШНОГО КОДА ТЧК ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ > Да там большинство взломов вообще на переполнения не полагается. Потому сишники будут бить память дальше > Обещаю не скучать от вашего отсутствия. Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным > Ну, напишите свой вариант судо, на чем вам там удобно. Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен > Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори. Как так? Идеальный же язык для всего, а благодаря моим усилиям по его обезопасиванию стал еще и безопасным. > Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой Да господи, я даже послабление ввел - хотя бы от битья памяти спасите > В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй. Ну наконец-то, признание проблемы, предложение решения > Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. К сожалению, анонимус выше ответил, я не смогу порадовать тебя своим искрометным юмором здесь > Те кто поумнее, типа линукскернела, это даже запилили. А тем временем память в ядре все так же бьется > А пыхопитонерам на CVE скидки, или чего? Тема про сишную прогу с сишноспецифичными багами > Не ошибается тот кто ничего не делает. Как сделать так, чтоб ошибались поменьше? > Для вас объективнее всего имхо пистолет с 1 патроном. Я воспользовался этим предложением, просветление сишников тем временем достигло невероятных пределов > Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс. Кроме сей языков не осталось, сишники самые счастливые люди
	Ответить \| Правка \| К родителю #355 \| Наверх \| Cообщить модератору


	393. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (393), 29-Янв-21, 20:22
	> Поэтому сишники будут бить память "вас это ..ть уже не должно" (с) :) > Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс. > Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто. > ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ RFC1149 в помощь, телеграфните им в голубятню. > Потому сишники будут бить память дальше А голубей будет бить дед с берданкой. Мир не идеален. > Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным Сишники знают что идеальный софт - фикция. > Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря > этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :) > Как так? Идеальный же язык для всего, а благодаря моим усилиям по > его обезопасиванию стал еще и безопасным. Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится. > Да господи, я даже послабление ввел - хотя бы от битья памяти спасите Ну так для этого есть решения. А то что ими не все пользуются... я тут как-то с питонистом сравнил, после этого считаю что сишники не такие уж и плохие. Он вообще тесты презирает, вау. > Ну наконец-то, признание проблемы, предложение решения Ну так если вы не заметили, сишники свои проблемы решать обычно умеют. Не всегда стопроцентно, не всегда идеально, но вообще - получше многих других. Можете зайти в тред к питонистам и посмотреть на их взгляды на написание софта. > А тем временем память в ядре все так же бьется На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно. В любом случае, это останется написано на си в ближайшие десятилетия, так что редокс и фуксия в помощь если надо не оно. > Тема про сишную прогу с сишноспецифичными багами Я бы сказал про compound баг, при том лично мои претензии - к всей этой возне с sudoedit'ом, которая, вот честно, достала. Для меня самое досадное что вулны в нафигнужной (анти)фиче которой я ни разу в жизни не пользовался. И вот это повод выпилить такую программу. Зачем мне тот кто решает несуществующую проблему, да еще и наломав попутно дров в попытке сделать особый фавор этому решателю проблем? Это уже бред у кодера, имхо. > Как сделать так, чтоб ошибались поменьше? Я для себя делаю так: -wall, cppcheck, valgrind, а если в себе или чужом коде совсем не уверен - билд с asan+ubsan, для больших сетевых сервисов в основном. Ну и прочие hardening флаги. Они кстати не особо скорость просаживают. > Я воспользовался этим предложением, Не похоже. > Кроме сей языков не осталось, сишники самые счастливые люди На чем еще системщину писать? Редоксом даже его авторы вроде не пользуются для повседневных дел, в фуксии упражнения хипстеров вообще трэш и угар. А, ну еще реактос есть, с ядром на каком-то диалекте плюсов, но это уж совсем жесть. А, еще M$ пытался писать нечто на .NET. Теоретически вроде безопасТно. Практически - оно настолько никому не надо что аудит никто никогда не делал.
	Ответить \| Правка \| К родителю #368 \| Наверх \| Cообщить модератору


	398. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (398), 30-Янв-21, 11:31
	> "вас это ..ть уже не должно" (с) :) Меня не ..ть это, но сишники бьют память > Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс. А сишники продолжают бить память > Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто. Не предоставлю, ибо не влияет на битье памяти сишниками > RFC1149 в помощь, телеграфните им в голубятню. Телеграфнул, кончились. А дыры из-за битья памяти в сишных программах нет. > А голубей будет бить дед с берданкой. Мир не идеален. Поэтому мы жаже не будем избавляться от деда с берданкой и не будем улучшать голубей. И си. Голубей продолжат сбивать, а сишники продолжат бить память > Сишники знают что идеальный софт - фикция. Но они даже не пытаются сделать его лучше. > Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :) А можно писать программы и не бить память? > Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится. Нет, вопрос в том, как заставить сишников не бить память > На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно. С обсуждаемой софтиной тоже не было злободневно, а теперь тут 300+ комментов > В любом случае, это останется написано на си в ближайшие десятилетия Поэтому надо как-то сделать так, чтобы битье памяти не стреляло каждый раз > Я бы сказал про compound баг Что скажешь про баги с битьем памяти? > Я для себя делаю так Гарантируешь, что ничего не бьется? А верификация? Обоснование рисков и тд? > Не похоже. Просто пишу через дыру из-за битья памяти, допущеную Б-гом при создании Вселенной > На чем еще системщину писать? Ни на чем, поэтому вокруг нас продолжат появляться программы с битьем памяти Если ты забыл, то судо в этой ветке назвали "важным компонентом системы". Для чего, если не для таких компонентов улучшать способы производства ПО? На предложение верифицировать ответили про какого-то там Тьюринга(Известный мне Тьюринг такой херни не доказывал), дескать он доказал, что не бить память невозможно, но на предоставление пруфов только огрызаются. А если он этого не доказывал, то почему сишники не исследуют это направление, только флагами компилятора на включение каких то хитрожопых эвристик без гарантий обмазываются?
	Ответить \| Правка \| К родителю #393 \| Наверх \| Cообщить модератору


	84. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (84), 27-Янв-21, 13:59
	Кого учить? Посмотрите сколько лет опыта программирования у контрибьюторов проектов sudo, vlc, grub, openssl, linux kernel, еще-какой-то-популярный-проект-с-недавней-уязвимостью. Их уже поздно учить. И вообще не факт что оно поможет, потому что самый крутой программер в какой-то момент нафакапит с памятью.
	Ответить \| Правка \| К родителю #61 \| Наверх \| Cообщить модератору


	94. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 14:14
	Поэтому мы всем кодерам свяжем руки с помощью сраст. Спасибо, низкоуровневый аналог пердона не нужен.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	100. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:26
	> низкоуровневый аналог пердона не нужен Зато дыры в важных частях системы нужны Очевидно же, что просто "заставить писать правильный код" не получится, нужны гарантии на каких-то простых механизмах, аппаратных, программных, не важно, а то сишники будут вечно отстреливать ноги, крича, что "пердоны не нужны"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	111. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:38
	А хруст так уж мешает придуркам вызывать всякое нафигнужное из привилегированной программы? Там вон даже автор pybitmessage на питоне смог, влепив eval на входных данных. И получилось офигенно. и тормозно как трактор и дыряво. Да и код там такой что obfuscated C contest покажется детским лепетом.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	113. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:40
	Ему про си, он опять про раст, ему тыкают, что разговор про си, он опять приносит раст. Я не спорю, что раст говно, но данный факт никаким образом не избавляет сишный код от дыр
	Ответить \| Правка \| Наверх \| Cообщить модератору