Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая уязвимость в PolKit, позволяющая получить root-доступ в большинстве дистрибутивов Linux, opennews (??), 26-Янв-22, (0) [смотреть все] +1 Haha, classic Причем хорошо выдержанная, с мая 2009 Тут вчера была новость что , Анонн (?), 12:22 , 26-Янв-22, (6) –6 // Но ведь дело может быть и не в программисте и не в языке А в том что кто-то спе, Аноним (10), 12:26 , 26-Янв-22, (10) +1 // А как же ревьюверы А как же ментейнер А как же тысячи глаз про которые я каждый, анон (?), 12:35 , 26-Янв-22, (18) +17 // а какова вероятность обнаружения и исправления аналогичной ошибки в компоненте с, Совершенно другой аноним (?), 12:54 , 26-Янв-22, (35) +17 0 177 949 , A.Stahl (ok), 13:09 , 26-Янв-22, (49) +2 Вероятность не может быть отрицательной величиной В худшем случае случае это п, Аноним (88), 14:46 , 26-Янв-22, (88) С формально-математической точки зрения, может, и не может быть отрицательной А, A.Stahl (ok), 14:54 , 26-Янв-22, (94) +1 Если каждый прожитый день уменьшает вероятность прожить следующий, будет ли скор, Аноним (88), 15:41 , 26-Янв-22, (108) Но производная вероятности может , Аноньимъ (ok), 19:24 , 26-Янв-22, (134) –3 Которую придется искать в утечках если они были или проводить реверс инжинирин, анон (?), 13:16 , 26-Янв-22, (56) –3 Security through obscurity ещё никому не помог Либо помог, но ненадолго , Аноним (63), 13:22 , 26-Янв-22, (63) +5 Громкое заявление, просить пруфы я коненчо не буду, тк сомневаюсь что они есть Н, анон (?), 13:27 , 26-Янв-22, (67) –2 В каких утечках Проспись Эту уязвимость продадут всем кто заплатит от государс, Аноним (10), 13:52 , 26-Янв-22, (74) +7 в утечках исходного кода естественноlol, чтобы что-то продать, нужно что-то найт, анон (?), 14:53 , 26-Янв-22, (93) –2 Всё ясно отбитый Что искать Разработчики уже заложили уязвимость её не надо ис, Аноним (109), 16:00 , 26-Янв-22, (109) +5 Для кого исходный код закрыт, а для кого исходный код вполне себе доступен по ра, Аноним (88), 14:49 , 26-Янв-22, (91) +2 По остаточному принципу А ещё иногда добавляют бэкдоры И даже руководство не в, Аноним (188), 11:28 , 27-Янв-22, (188) Справедливости ради, хоть я и не безопасник, но посетил пару выставок, и хочу ск, Зз (?), 20:42 , 29-Янв-22, (233) Значительно ниже ДЛЯ ВСЕХ, включая злоумышленников Здесь потребовалось 10 лет, wyry (?), 04:17 , 04-Фев-22, (243) +1 Полагаю, они смотрят, чтобы выглядело корректно и работало как задумано, а не ищ, Аноним (153), 21:31 , 26-Янв-22, (153) КОГДА ТЫСЯЧИ ГЛАЗ ОКАЗЫВАЮТСЯ ШОКОЛАДНЫМИ, A.N. Onimous (?), 17:49 , 28-Янв-22, (219) +1 Надо было коммунизм доделывать , Аноним (125), 17:54 , 26-Янв-22, (125) –2 Не JS движок добавили , а заменили один JS движок, на другой , Аноним (15), 12:31 , 26-Янв-22, (15) +4 // Ну, если уже цепляться к словам, то не заменили один на другой , а добавлен еще, Анонн (?), 12:35 , 26-Янв-22, (21) +1 // Ну нет, это не цепляться Всё-таки 171 не было, а теперь есть 187 немного от, Аноним (15), 12:40 , 26-Янв-22, (24) +3 Ок, принято Но это не помешало комментаторам писать Боже, пропал дом , Анонн (?), 12:44 , 26-Янв-22, (28) +1 Он там всегда был Только раньше требовался жс из файрфокса, а теперь на выбор л, макпыф (ok), 14:00 , 26-Янв-22, (79) +2 // Так его всё таки добавили , зачемука (?), 16:14 , 29-Янв-22, (227) Этой новости лет десять уже Причём душевнобольных шляпников хватило на то, что, Michael Shigorin (ok), 20:51 , 26-Янв-22, (147) +3 // Они только прикидываются За mozjs в средстве повышения привилегий люди в строго, Аноним (188), 11:33 , 27-Янв-22, (189) +2 Там, ЕМНИП, какой-то древний mozjs, писанный альтернативно одаренными, считающим, A.N. Onimous (?), 17:47 , 28-Янв-22, (218) Вчера вечером обновился Все тихо, спокойно Void Linux Люблю роллинг-дистры , Аноним (7), 12:23 , 26-Янв-22, (7) // 128077 127995 , Аноним (30), 12:48 , 26-Янв-22, (30) Манжаба тоже ничего, прилетел апдейт сегодня, НяшМяш (ok), 13:05 , 26-Янв-22, (45) +2 // В CentOS 7 тоже сегодня прилетел , penetrator (?), 00:36 , 27-Янв-22, (166) А я люблю троллинг-дистры Arch, ALT, FreeBSD например, Массоны Рептилоиды (?), 17:28 , 26-Янв-22, (123) +1 // на FreeBSD нет systemd, а какой без него троллинг , john_erohin (?), 20:39 , 26-Янв-22, (144) +3 // FreeBSD делает больно иначе , Аноньимъ (ok), 08:22 , 27-Янв-22, (175) +1 Когда иксы слетают, то это не боль Это что-то другого уровня Что-то типо всего, Аноним (185), 10:40 , 27-Янв-22, (185) –1 Или что-то типа рассказов Как оно там на БЗДах все на самом деле, опеннетный сб, Аноним (-), 17:20 , 27-Янв-22, (204) +3 В Слаке Wed Jan 26 04 37 35 UTC 2022l polkit-0 120-x86_64-2 txz Rebuilt , Также Аноним (?), 11:15 , 27-Янв-22, (186) Да, дары Да, Линукс Зато опубликовано и залатано Если мне докажут, что Линукс, Аноним (-), 12:41 , 26-Янв-22, (26) +3 // Да, такие вот дары РедГада Кушайте, не обляпайтесь , Аноним (-), 12:55 , 26-Янв-22, (37) +1 // мммм хочу что бы они меня поглотили, полностью, Аноним (30), 13:00 , 26-Янв-22, (42) –1 // М-м-м, вы, пожалуй, сайтом ошиблись, батенька 865 860 662 865 , Аноним (63), 13:12 , 26-Янв-22, (52) +2 Бойтесь данайцев, дары приносящих , Аноним (63), 12:59 , 26-Янв-22, (41) +2 // Лёня Поттеринг и дары Линукса, Аноним (140), 19:50 , 26-Янв-22, (140) +2 А ведь прикольно получилось , Аноним (29), 12:47 , 26-Янв-22, (29) +1 Ну вот что за новости унылые пошли Раньше всегда предлагали файл, который нужно, Аноним (31), 12:50 , 26-Янв-22, (31) –6 // Эксплоит описан во всех подробностях и его элементарно можно повторить, обладая , Аноним (63), 12:54 , 26-Янв-22, (36) // Вот я и говорю, 0 уважения, призывают тратить время на бесполезную хрень , Аноним (31), 12:57 , 26-Янв-22, (38) –1 // Пф, за что тебя уважать-то За лень и неспособность подумать головой, поучиться , Аноним (63), 13:08 , 26-Янв-22, (48) +2 Вот тем более Тебе оно не нужно, а требуешь Тебя никто не призывает это делать, Аноним (63), 13:10 , 26-Янв-22, (51) Классная уязвимость , Аноним (63), 12:51 , 26-Янв-22, (32) +1 https github com archlinux svntogit-packages commits packages polkit trunkИспр, Аноним (33), 12:51 , 26-Янв-22, (33) +1 // если это логическое И тоЛОЖЬ И ИСТИНА ЛОЖЬ, Аноним (30), 12:58 , 26-Янв-22, (40) // мб тебе в школу сходить на риторику проблема не исправлена в gentoo и животн, Аноним (152), 21:30 , 26-Янв-22, (152) Зачем пользователю иметь повышения прав у меня только для ping записи CD DVD , Аноним (34), 12:53 , 26-Янв-22, (34) +6 // Классической системы контроля доступа вполне хватает CAP делает ненужным SUID в, Аноним (34), 12:57 , 26-Янв-22, (39) +2 Ненужнисты ненужны, Аноним (44), 13:03 , 26-Янв-22, (44) // systemd, dbus, polkitd JS - не нужны Нужны те кто собирает Linux дистры без них , Аноним (34), 13:20 , 26-Янв-22, (59) +6 // Devuan кроме системд отвязывают от дбаса еще софт Насчет полкита - хз , Самокатофил (?), 18:35 , 26-Янв-22, (130) +3 https www opennet ru openforum vsluhforumID3 126553 html 89Зачем использовать , Аноним (34), 13:21 , 26-Янв-22, (62) +2 // JS, сам по себе, вобщем-то, неплохой язык, который многие не любят из-за того, к, YetAnotherOnanym (ok), 14:25 , 26-Янв-22, (85) Я исправлю предыдущего оратора, зачем тьюринг-полный язык для написания правил к, Аноним (96), 15:03 , 26-Янв-22, (96) +4 А почему бы нет Ставить людей перед необходимостью учить ещё один язык, специал, YetAnotherOnanym (ok), 15:12 , 26-Янв-22, (100) –1 Как бы людям допущенным к написанию правил безопасности JS знать незачем, поэтом, Аноньимъ (ok), 19:28 , 26-Янв-22, (135) +2 Какие знания-умения-навыки должны быть у людей, допущенных к написанию правил бе, YetAnotherOnanym (ok), 23:40 , 26-Янв-22, (162) –2 Потому что он для этого избыточен зато, теоретически, правило полкита может быт, Аноним (136), 19:33 , 26-Янв-22, (136) +1 Я рекоменду вам почитать статьи отсюда https langsec orgТам очень хорошо и до, Аноним (96), 19:37 , 26-Янв-22, (138) +1 В двух словах, тезисно, пересказать можете , YetAnotherOnanym (ok), 23:42 , 26-Янв-22, (163) Если коротко не делай неправильно, делай правильно Мы за всё хорошее против все, Аноним (174), 07:36 , 27-Янв-22, (174) Генеально , YetAnotherOnanym (ok), 16:28 , 27-Янв-22, (202) Потеринг сэкономил на разработке формата правил контполя доступа и написании его, Аноним (229), 17:17 , 29-Янв-22, (229) Вот совершенно не хочется выступать адвокатом авторов полкита, но, подозреваю, о, YetAnotherOnanym (ok), 21:50 , 29-Янв-22, (234) Потерингу тупо не хотелось придумывать формат правил контроля доступа и писать е, Аноним (238), 09:56 , 30-Янв-22, (238) Здесь все разъяснено https www opennet ru openforum vsluhforumID3 126553 html, Аноним (229), 17:09 , 29-Янв-22, (228) Ну как Просто ведь Просто и пнятно , Аноним (198), 16:15 , 27-Янв-22, (198) печально конечно, но как обычно для эксплуатации нужно много черной магии ценнос, mos87 (ok), 13:02 , 26-Янв-22, (43) –6 // Вовсе нет Не нужны никакие особенные привилегии и экзотические параметры конфиг, Аноним (63), 13:16 , 26-Янв-22, (57) +2 // Пароль от суперюзера уже не нужен , Пользователь (?), 13:25 , 26-Янв-22, (66) –4 // Для эксплуатации уязвимости не нужен Достаточно пароля юзера например, чтобы п, Аноним (63), 23:06 , 26-Янв-22, (160) ну примонтируешь а там noexec, как и у хомяка , Аноним (235), 00:09 , 30-Янв-22, (235) Моя Ubuntu 8 10 не подвержена, ура Ничего себе, даже в SLES 11 используется боле, Zenitur (ok), 13:07 , 26-Янв-22, (46) +2 // Void Linux дико стагнирует после того, как толпа SJW-макак выгнали создателя и п, RAMbug (?), 13:12 , 26-Янв-22, (53) +1 // Войд это, конечно, хорошо Но когда там уже появятся необязательные зависимости , Аноним (136), 19:36 , 26-Янв-22, (137) // отвяжи это ж изи-пизи , самокатофил (?), 20:36 , 26-Янв-22, (143) зеня, как семейная касса собака старая, mos87 (ok), 13:33 , 26-Янв-22, (69) –1 в Gentoo уже положили патч в sys-auth polkit files polkit-0 120-CVE-2021-4043 pa, Аноним (50), 13:10 , 26-Янв-22, (50) +1 // надо будет обновиться дома вечерком за кружкой теплого какао Гента one love , Аноним (30), 13:18 , 26-Янв-22, (58) –2 yaaawn, mos87 (ok), 13:35 , 26-Янв-22, (70) Если у вас в Gentoo установлен polkit - вы неверно используете Gentoo Вам лучше, Аноним (96), 15:05 , 26-Янв-22, (97) // В Ubuntu нет polkit, прикинь , Аноним (105), 15:24 , 26-Янв-22, (105) –4 // Странно у меня файл pkexec нашёлся - , funny.falcon (?), 18:05 , 26-Янв-22, (127) +1 Удали его Это - южноафриканский омега-вирус , Аноним (129), 18:12 , 26-Янв-22, (129) Всё так, polkit нет, а pkexec есть Догадаешься, как так вышло , Аноним (105), 21:06 , 26-Янв-22, (150) Неужели systemd- впиши любое имя d , Аноним (129), 10:30 , 27-Янв-22, (184) +1 что значит неверно в генте не может быть неверно по причине отстутсвия навя, Аноним (141), 19:51 , 26-Янв-22, (141) +2 не проверяет корректность - вот так пишут опень сорц - не проверял, думал, счи, borbacuca (ok), 13:12 , 26-Янв-22, (54) +1 // Так а кто ж знал что нулевой элемент массива это не путь до текущей программы , Аноним (68), 13:30 , 26-Янв-22, (68) // Любой, хоть раз в жизни открывший man execve , Аноним (105), 15:09 , 26-Янв-22, (98) –2 // Автор данной программы его видимо не использовал, потому и не читал про него , Аноним (68), 17:14 , 26-Янв-22, (122) +1 Да знаешь, и клозет сорц пишут точно так же Даже хуже, потому что думают, что н, Аноним (105), 15:23 , 26-Янв-22, (104) +2 Это бомба, Аноним12345 (?), 13:21 , 26-Янв-22, (61) а что при этом отвалится , ыы (?), 13:23 , 26-Янв-22, (64) +2 Уязвимость доступна только локально Расходимся , Пользователь (?), 13:24 , 26-Янв-22, (65) // Запускаешь локально скайп от отдельного ограниченного юзера, а он раз и меняет с, Урри (ok), 13:57 , 26-Янв-22, (77) +2 // Фатальная ошибка уже на первом шаге так-то , Аноним (15), 14:04 , 26-Янв-22, (80) +3 // На запускаешь Сочувствую , Урри (ok), 14:20 , 26-Янв-22, (84) –2 А если у меня нет скайпа Установишь через синаптик А пароль уже не нужен , Пользователь (?), 14:48 , 26-Янв-22, (89) –1 Ага, а завтра у тебя на сервере, какой нибудь пакет из npn, gems, cpan или PyPL , Аноним (82), 14:07 , 26-Янв-22, (82) +3 // У меня нет на сервере Руби или Питона , Пользователь (?), 14:49 , 26-Янв-22, (90) –1 Ну pkexec на сервере -- это что-то за гранью, но найдутся ведь и такие , Michael Shigorin (ok), 21:00 , 26-Янв-22, (148) // В каждой второй установке убунты по умолчанию Пол-дня занимался тем что его отов, . (?), 22:44 , 26-Янв-22, (157) +2 По умолчанию в оракле 8 5, минималке, например , ы (?), 10:16 , 27-Янв-22, (182) +1 Эх, такую великолепную закладочку и ту прикрыли , Аноним (72), 13:41 , 26-Янв-22, (72) +1 Вот такой сидишь себе, пишешь программу, думая, что By convention, the first of, Anonymus (?), 13:45 , 26-Янв-22, (73) +6 // https gitlab freedesktop org polkit polkit - blob a2bf5c9c83b6ae46cbd5c779d305, Аноним (-), 14:38 , 26-Янв-22, (87) +2 By convention означает, что так договорились, но в принципе может быть и иначе, Аноним (105), 15:13 , 26-Янв-22, (101) +2 https lore kernel org lkml 20220126043947 10058-1-ariadne dereferenced org T т, Аноним (132), 18:52 , 26-Янв-22, (132) +1 // Это так в ядре прикрывают юрерспейс Теперь в новых программах можно не проверят, n00by (ok), 10:37 , 29-Янв-22, (226) Естественно, ведь он не смог прочитать слово should , Аноним (139), 19:48 , 26-Янв-22, (139) // и не в курсе про defensive programming , Michael Shigorin (ok), 21:01 , 26-Янв-22, (149) похоже на бэкдор , onanim (?), 23:54 , 26-Янв-22, (165) // И кто его сделал Скорее это похоже на непонимание кодерами странноватых краевых, Аноним (-), 05:57 , 27-Янв-22, (170) should - это пожелание к вызывающей функцию main стороне, а не гарантии для кл, n00by (ok), 10:34 , 29-Янв-22, (225) Что еще можно ожидать от любителей джаваскрипта , Урри (ok), 13:56 , 26-Янв-22, (76) +4 // Джаваскрипт со своими любителями тут не приделах PolicyKit, в котором нет JS, и, Аноним (105), 15:15 , 26-Янв-22, (102) –1 Кому нужна это терминально-консольная программа , Аноним (129), 14:00 , 26-Янв-22, (78) –4 // Не знаешь 8212 промолчи, авось сошёл бы за умного Это та самая программа, ко, Аноним (105), 15:18 , 26-Янв-22, (103) +1 // Точно не polkitd , Аноним (129), 15:29 , 26-Янв-22, (106) –1 // pkexec это кусок polkitd Пруф See the pkexec manual page for more details Repo, Somepony (??), 01:16 , 27-Янв-22, (168) Ты еще скажи, что dbus - это кусок того самого И отдельный пакет policykit-gnom, Аноним (129), 10:24 , 27-Янв-22, (183) +1 Что полкит, что дубас - куски этой самой субстанции , A.N. Onimous (?), 22:04 , 28-Янв-22, (220) –1 Какая прелесть , YetAnotherOnanym (ok), 14:05 , 26-Янв-22, (81) +2 Сам факт существования таких флагов в современном мире - большая ошибка и пережи, Аноним (86), 14:35 , 26-Янв-22, (86) +8   // Лайкосик не глядя, Аноним (128), 18:07 , 26-Янв-22, (128) +1   Как же умиляют эксперты по безопасности без модели угроз и глобальные выводы , Аноним (129), 18:47 , 26-Янв-22, (131) +5   // Эксперты говорят сначала об уровнях безопасности Модель угроз - придумали маркет, Аноним (229), 17:28 , 29-Янв-22, (230)   Это в каком простите месте AppArmor про MAC DAC оно, причём тупейшее Без шансов, PnD (??), 11:27 , 27-Янв-22, (187)   // Кругом пишут что MAC, врут Видимо слишком сложно для первого PhD, иди за вторым, Аноним (-), 16:16 , 27-Янв-22, (199)   Пока сопроводитель пакета понимает, а разработчики дистрибутивов требуют, сомнит, Аноним (188), 12:38 , 27-Янв-22, (191) –1   // Кто хочет 8212 ищет способ, кто не хочет 8212 ищет причину - Сократ Вот, Аноним (86), 14:31 , 27-Янв-22, (196)   // Какое-то натягивание советов на глобус Из советского у нас остались лишь воспом, Аноним (188), 18:16 , 27-Янв-22, (205) –2   Помоги мне найти конструктивный смысл в твоём комментарии Я прочитал его 2 раза, Аноним (86), 02:48 , 28-Янв-22, (208)   Перестань уже веселиться и помоги себе сам Я дважды объяснил, почему уязвимости, Аноним (214), 12:12 , 28-Янв-22, (214)   Токсичность в её современном медийном понимании - это такая форма слабости самос, Аноним (86), 13:15 , 28-Янв-22, (215)   Ну я искренне пытался объяснить тебе причину всех _твоих_ бед, жалобы на которые, Аноним (214), 16:59 , 28-Янв-22, (216)   Просто концепции 60-х пора бы уже закопать , A.N. Onimous (?), 22:06 , 28-Янв-22, (221)   // С большим удовольствием послушаю альтернативы DAC, CAP, MAC, Integrity, Audit от, Аноним (238), 09:28 , 30-Янв-22, (236)   // В шифровании еще с тех времён сильно продвинулись открытый закрытый ключ, диффи, Аноним (238), 09:41 , 30-Янв-22, (237)   MAC - это и есть альтернатива DAC И все это применимо только к примитивной файл, A.N. Onimous (?), 03:14 , 19-Фев-22, (245)   MAC - это и есть альтернатива DAC И все это применимо только к примитивной файл, A.N. Onimous (?), 03:17 , 19-Фев-22, (246)   Просто концепции 60-х пора бы уже закопать , A.N. Onimous (?), 22:06 , 28-Янв-22, (222)   EVM слышал Только рут может изменять метаданные и то не все и не всегда Я мета, Аноним (229), 17:50 , 29-Янв-22, (232)   а мужики-то и не знают а кто запретил, где закон-то почитать а вообще 8212 х, arisu (ok), 11:09 , 30-Янв-22, (239) +1   Какие-то двойные стандарты Локальная уязвимость на windows - а, дырявая ось, м, Пользователь (?), 14:52 , 26-Янв-22, (92) +4 // Согласен, на лине пока еще можно не устанавливать дырявые сервисы в отличии от п, Аноним (129), 18:54 , 26-Янв-22, (133) +2 Напомните а зачем вообще этот polkit нужен , Аноним (96), 15:01 , 26-Янв-22, (95) +1 // The following packages will be REMOVED accountsservice language-selector-comm, Аноним (107), 15:34 , 26-Янв-22, (107) +1 // У меня так apt-cache rdepends policykit-1 --installed -ipolicykit-1Reverse Depen, Аноним (118), 16:48 , 26-Янв-22, (118) // пользуемые libvirt должны же страдать Но тут хотя бы какие-то основания есть la, . (?), 20:07 , 26-Янв-22, (142) А вот где тот замечательный выводок незаконнорожденной помеси centos-а с исправл, ыы (?), 15:09 , 26-Янв-22, (99) +1 // Он не 171 взлетел 187 , Аноним (109), 16:02 , 26-Янв-22, (110) +1 В серверных установках Debian 11 такого пакета вообще нет среди установленных В , Аноним (111), 16:11 , 26-Янв-22, (111) +1 // Подёргал коллег -- тем временем стоит потихоньку перебираться на десятую ветку , Michael Shigorin (ok), 21:07 , 26-Янв-22, (151) +4 // Благодарю Ну как Рабочая станция К 10 дойдёт хотя бы до release candidate -- бу, Аноним (159), 23:06 , 26-Янв-22, (159) +1 На серверах он не нужен Там даже sudo может не быть, а быть только один пользов, Аноним (188), 12:50 , 27-Янв-22, (192) +3 На FreeBSD сегодня исправили https www freshports org sysutils polkit pkg i, iZEN (ok), 16:50 , 26-Янв-22, (119) +1 pkg search --regex dbus 124 polkit 124 udev 124 pulseaudio 124 logind 12, самокатофил (?), 20:46 , 26-Янв-22, (145) +1 В Oracle linux обновили , ыы (?), 20:51 , 26-Янв-22, (146) Блестяще Камень в огород халтурщиков разработки веба и девляпса Их стиль , А (??), 21:44 , 26-Янв-22, (155) Ахаха, только вчера срачь про попаскрипт и гавнкод макак был Вот и пожалуйста , Аноним (156), 21:45 , 26-Янв-22, (156) +1 Как можно было не проверить argc Это же во всех книжках есть и примерах , Аноним (158), 23:05 , 26-Янв-22, (158) // А вот так https bugzilla kernel org show_bug cgi id 8408, Аноним (63), 23:27 , 26-Янв-22, (161) –1 // not a bug , Аноним (139), 23:45 , 26-Янв-22, (164) Там про argv, а не argc, Аноним (207), 20:18 , 27-Янв-22, (207) –1 // Но там как раз о том, как им можно злоупотребить, и это связанные вещи , Аноним (244), 13:11 , 06-Фев-22, (244) Эксплоит https github com berdav CVE-2021-4034, Аноним (167), 00:58 , 27-Янв-22, (167) +2 Ух ты, а чо так можно было , Аноним (-), 05:54 , 27-Янв-22, (169) +2 // argc для кого сделан , Аноним (139), 06:27 , 27-Янв-22, (172) ахахаха, никакие языки не спасут от логических ошибок при разработке софтаХоть н, Аноним (171), 06:20 , 27-Янв-22, (171) // Ты не понимаешь Раст это другое святое Он другой он благодатный, он как дунове, Аноним (173), 07:30 , 27-Янв-22, (173) –1 Но в некоторых языках логические ощибки лёгким движением руки превращаются в пов, red75prim (?), 09:30 , 27-Янв-22, (179) +1 // В FF растаманы перепутали знаки больше-меньше при ручной проверке вхождения инде, Аноним (235), 23:39 , 28-Янв-22, (223) Здесь логическая ошибка могла бы остаться логической, без privilege escalation Е, Ordu (ok), 11:59 , 27-Янв-22, (190) В https github com Duncaen OpenDoas releases tag v6 8 2 то же самое нашли И , Аноним (176), 09:20 , 27-Янв-22, (176) // Не нашли в смысле, неизвестно, exploitable или нет , но на всякий случай решили, пох. (?), 09:39 , 28-Янв-22, (211) // Тут примечательно, что запрет на argc 0 в ядро obsd внес автор doas по наводк, Илья (??), 10:42 , 28-Янв-22, (213) +1 а вот интересно просто любопытно- первые примеры эксплоита которые появились , ыы (?), 12:55 , 27-Янв-22, (193) // а еще и какойто бинарный блоб в него воткнул , ыы (?), 12:56 , 27-Янв-22, (194) // шелкод или майнер , ыы (?), 12:57 , 27-Янв-22, (195) Снова это дерьмише дырявое Только белый человек наступает трижды на одни и те, Аноним (198), 16:05 , 27-Янв-22, (197) , Аноним (198), 16:17 , 27-Янв-22, (200) +2 Сжечь огнем Переписывать там нечего , псевдонимус (?), 16:19 , 27-Янв-22, (201) +3 А у ALT Linux AKA Shirogin OS тоже уязвимость работает , Аноним (203), 17:09 , 27-Янв-22, (203) // все - одинаковые Вопрос только в том, надо ли ставить какие-то дрисктопные ком, пох. (?), 09:41 , 28-Янв-22, (212) +2 Васяткин попенсорс мало того, что кривой, так ещё и дырявый , Sanches (??), 18:38 , 27-Янв-22, (206) // Вот сейчас обидно получилось , redhatibmgooglenovell (?), 09:29 , 28-Янв-22, (210) https haxx in files blasty-vs-pkexec cнаслаждайтесь, васяны 100 рабочий, пос, пох. (?), 09:28 , 28-Янв-22, (209) +3 Другое дело, что они его не тянут с собой по умолчанию , A.N. Onimous (?), 17:44 , 28-Янв-22, (217) +1 О возможной уязвимости в PolKit, связанной с обработкой пустых аргументов и su, Иван (??), 02:24 , 29-Янв-22, (224) +3 ничего, ducktape всё исправит Гениальная Шутка с Множеством Слоёв , arisu (ok), 17:43 , 29-Янв-22, (231) Умора Критичная уязвимость 12 лет висела Тысячи глаз смотрят , Привет девствнники (?), 15:43 , 30-Янв-22, (240) +2 // это бэкдор настоящий кто знал - использовал , Аноним (235), 01:27 , 31-Янв-22, (241) // Да никакой это не бекдор Бекдор сделали бы хитрым, чисто для своих А тут обы, Привет девственники (?), 12:55 , 31-Янв-22, (242) 6,7,26,29,31,32,33,34,43,46,50,54,61,64,65,72,73,76,78,81,86,92,95,99,111,119,145,146,155,156,158,167,169,171,176,193,197,200,201,203,206,209,217,224,231,240

Сообщения

[Сортировка по времени | RSS]

86. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+8 +/–
Сообщение от Аноним (86), 26-Янв-22, 14:35
> с флагом SUID root Сам факт существования таких флагов в современном мире - большая ошибка и пережиток прошлого. Такие средства безопасности придумывались в годы когда: - пользователь понимал, как работает его система - пользователь понимал, что делает та или иная программа В условиях, когда правила игры по работе с аргументами оболочки могут изменить в любой момент и когда доступ к файловой системе доступен для приложений, работа которых по факту никем не проверяется, файловой системе доверять нельзя. Нельзя располагать в её метаданных никакие параметры безопасности. То что меня по-настоящему беспокоит - это улюлюканье бандерлогов в комментариях, про воображаемую безопасность и необходимость скомпилировать себе вирус. Дурачки. Capability Access Control в Linux - это шутка такая. Посмотрите на то, какие в ядре объявлены капабилити и взгляните на sysadmin. Это одно название, а не разделение прав. Тем временем в других ОС научились объявлять и рассчитывать динамические капабилити, ну да не будем, тут народ не понимает. Использование Linux без включенного и настроенного SELinux нельзя. Кроме того нужна рабочая подтюненная под задачи Targeted Policy... которую писать самим с нуля - жуть. Поэтому SELinux это первое, что пользователи себе отключают. А тем временем AppArmor с архитектурной зависимостью от путей FS не далеко ушел от SUID-битов. Опять же это всё MAC. MAC зачастую оверкилл, но без него в линуксе нет безопасности. Я уже не говорю про натурально обоccанныe Posix ACL, которые никем не вменяются... Глупая вера в то, что все уязвимости в Linux нужно сначала скомпилировать и собрать - это заявление в стиле "Linux никому не нужен". Это не так. Чем больше Linux используется на предприятиях тем больше его будут ломать. И вот теперь людям приходится иметь с этим дело... 12 лет уязвимости. Если бы она была живая, то уже в 7-й класс бы пошла, впрочем, как и половина местных аналитиков.
Ответить | Правка | Наверх | Cообщить модератору

	128. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+1 +/–
	Сообщение от Аноним (128), 26-Янв-22, 18:07
	Лайкосик не глядя
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+5 +/–
	Сообщение от Аноним (129), 26-Янв-22, 18:47
	> Использование Linux без включенного и настроенного SELinux нельзя. Как же умиляют эксперты по безопасности без модели угроз и глобальные выводы.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	230. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (229), 29-Янв-22, 17:28
	> эксперты по безопасности без модели угроз Эксперты говорят сначала об уровнях безопасности. Модель угроз - придумали маркетологи чтобы спаривать лохам овно не удовлетворяющее даже самым минимальным уровням безопасности.
	Ответить | Правка | Наверх | Cообщить модератору

	187. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от PnD (??), 27-Янв-22, 11:27
	Это в каком простите месте AppArmor про MAC? DAC оно, причём тупейшее. Без шансов описа́ть multi-level. > Нельзя располагать в её метаданных никакие параметры безопасности. Критикуя, предлагай.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	199. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (-), 27-Янв-22, 16:16
	> Это в каком простите месте AppArmor про MAC? Кругом пишут что MAC, врут ? > DAC оно, причём тупейшее. Без шансов описа́ть multi-level. Видимо слишком сложно для первого PhD, иди за вторым. > Критикуя, предлагай. А вот это правильно ! Предлагаю вам подтянуть знания по предмету.
	Ответить | Правка | Наверх | Cообщить модератору

	191. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	–1 +/–
	Сообщение от Аноним (188), 27-Янв-22, 12:38
	> пользователь понимал, как работает его система Пока сопроводитель пакета понимает, а разработчики дистрибутивов требуют, сомнительное ПО с SUID флагами в пакеты не попадает. Что попадает, то открыто для аудита. Действуй, безопасник! > приложений, работа которых по факту никем не проверяется Вот поэтому "фанатики" требуют раскрытия исходного кода. Чтобы всеми проверялся. А кто не проверял, тот сам виноват. Но вот сложность и языковое разнообразие кода в наши дни неконтролируемо растет - это действительно проблема. Проблема пользователей ПО. Станет проблемой производителей, подрядчиков и заказчиков - будут решать. В строгом соотвествии с экономической целесообразностью мероприятия. Капитализм - на сегодня главная дыра в безопасности ПО и других сфер жизнедеятельности человека. > взгляните на sysadmin Претензия к разработчикам приложений. Им - "нИнужнА!" > без SELinux нельзя Зависит от области применения. В большинстве случаев - можно. > AppArmor с архитектурной зависимостью от путей FS От имен процессов. В чём проблема? Если установка ПО осуществляется контролируемо, всё, что исполняется, доступно на запись только суперпользователю, исполнение из других каталогов заблокировано при монтировании FS. Если иначе, то архитектура AA - меньшая из проблем. > Posix ACL, которые никем не вменяются Применяются, но обычно для разделения доступа в общедоступные каталоги. > 12 лет уязвимости В ПО, которым 12 лет никто, с настолько высокими требованиями безопасности, не пользовался. Будут применять - будут находить быстрее. Если рыночек не порешает иначе (см. выше). > Тем временем в других ОС.. Нет namespaces, cgroups и bpf и много других незаслуженно забытых опеннет-аналитиком buzzwords. На которых, помимо прочего, современная безопасность Линукса твердо стоит и уверенно смотрит в своё контейнеризированное будущее.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	196. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (86), 27-Янв-22, 14:31
	"Кто хочет — ищет способ, кто не хочет — ищет причину." - Сократ. Вот у фанатиков всегда нужны виноватые и причины, чтобы свалить с себя ответственность на этих виноватых. Весь ваш комментарий - иллюстрация этого принципа. > Пока сопроводитель пакета понимает, а разработчики дистрибутивов требуют, сомнительное ПО с SUID флагами в пакеты не попадает. Что попадает, то открыто для аудита. Действуй, безопасник! У нас есть доверенное ПО, которые мы (сопроводители пакетов, разработчики дистрибутивов) разрешаем и добавляем в пакеты. По сути дела "мы" в предыдущем предложении - бесполезные "решалы", которые в случае любой уязвимости прячут голову в песок. Ответственность перекладывается либо на пользователя (сам себе делай аудит нашего барахла), либо на разработчика (мы не разрабатывали, это они багов понаписали). Бессмысленная прокладка, напоминающая советских чиновников. Вы свой совет перечитайте вдумчиво раза 3 и осознайте, что никакого практического смысла он не несет. Люди и так производят эти аудиты и ни на грамм не доверяют меинтейнерам-решалам, потому что с них спросу никогда нет, даже в случае контрактной техподдержки платных дистров. Даже наоборот, проценка тикетов на исправление как раз провоцирует к тому чтобы итоговый продукт не работал без напильника и постоянной подписки на саппорт. > Вот поэтому "фанатики" требуют раскрытия исходного кода... И как, я стесняюсь спросить, фанатичное скакание меинтейнеров вокруг открытости исходного кода спасает от 12-летних уязвимостей? Никак. > Капитализм - на сегодня главная дыра в безопасности ПО и других сфер жизнедеятельности человека. Пффф... Пользователи виноваты, весь капитализм виноват, разработчики виноваты, производители, подрядчики, заказчики - в общем всё и вся, кроме священных фанатиков. Абсолютно бесполезный и контрпродуктивный способ мышления, весьма характерный в советское время, кстати. "Ничего не знаю, моя хата с краю". Можно долго и упорно объяснять как мы старались, как стремились, как хотели, как нам все мешали и поэтому мы провалились, но в конечном итоге зачет идёт в социальном смысле "по последнему", а в экономическом меряется результат. Вот так же примерно и с SUID-битами из 70-х. Их же не убирают не потому что они хорошие, а потому что не смогли ни на кого ответственность переложить. Проблема как раз не в капитализме, а в том, что ответственность на себя никто не берёт даже за деньги. > Нет namespaces, cgroups и bpf и много других незаслуженно забытых опеннет-аналитиком buzzwords. На которых, помимо прочего, современная безопасность Линукса твердо стоит и уверенно смотрит в своё контейнеризированное будущее. Ну эти подсистемы - переосмысление ряда старых API, из BSD и WinNT. Они все инновационные только для тех, кто кроме Linux других ОС не видел. Кроме того, контейнеризация так популярна в Linux именно из-за отсутствия стандартов на дистрибьюцию без прокладок-меинтейнеров и отсутствия встроенных средств безопасности по контролю за инородным ПО. Подход в стиле "поставили мимо репозиториев - ваши проблемы" - это глупый контрпродуктивный подход. Опять же, посмотрите на мусор в докере, демон которого запущен из-под рута с выключенным SELinux, потому что девляпс скриптом с докерхабчика собирает. Эта помойка - следствие нежелания привести в порядок основную систему и перекладывания ответственности. Здесь не чем гордиться.
	Ответить | Правка | Наверх | Cообщить модератору

	205. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	–2 +/–
	Сообщение от Аноним (188), 27-Янв-22, 18:16
	> советских чиновников > советское время Какое-то натягивание советов на глобус. Из советского у нас остались лишь воспоминания. Всё много лет как растащено и развалено, но СССР уверенно продолжает быть первым кандидатом в виноватых во всех нынешних и грядущих бедах по версии невинных буржуазных элит и им сочувствующих. > не работал без напильника и постоянной подписки на саппорт И кто это вам такую экономическую модель навязал? Советские чиновники? > сопроводители пакетов, разработчики дистрибутивов - бесполезные "решалы" Для многочисленных пользователей дистрибутивов эти отвественные люди регулярно доставляют полезные исправления известных уязвимостей. Совершенно бесплатно. > Люди и так производят эти аудиты и ни на грамм не доверяют меинтейнерам Неужели. А почему в этот раз проглядели и ищут среди последних виноватого? > как скакание вокруг открытости исходного кода спасает от 12-летних уязвимостей? Очевидно как. Уязвимость нашли и исправили. Будь программа популярнее, нашли бы раньше. А сколько проблем регулярно предотвращается, благодаря открытости кода? Нет, мы будем носиться с типичной ошибкой выжившего, как с писаной торбой, многозначительно воздевая руки к небу и яростно треся кулаками. > всё плохо, потому что в капитализме ответственность на себя никто не берёт даже за деньги И не поспоришь. Но главное, что задачу поставить некому. Капиталист только увеличением прибыли интересуется. А тут же одни расходы. Васяну тоже некогда исправлять чужой технический долг на голом энтузиазме, ему свой банковский как-то отдавать надо, а жизнь дорожает. > переосмысление ряда старых API, из BSD и WinNT Которые нигде дальше попыток осмысления не ушли, а в Линуксе есть и повсеместно применяются. Namespaces - практически бесплатная контейнеризация как для системных процессов, так и для десктопных приложений. BPF позволяет создавать как требовательные к ресурсам промышленные сетевые фильтры, так и гибко-настраевымые под отдельные приложения пользовательские. Тут определенно есть, чем гордиться.
	Ответить | Правка | Наверх | Cообщить модератору

	208. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (86), 28-Янв-22, 02:48
	Помоги мне найти конструктивный смысл в твоём комментарии. Я прочитал его 2 раза, но так и не понял за ворохом кусочного цитирования, что именно ты хотел всем этим сказать по существу? Вне мира студенческого романтизма вокруг левых идей, вне мира фанатиков-коммунистов, там где взрослые люди самостоятельно (без дяди-начальника) зарабатывают себе на хлеб и кормят свою семью, существует понятие финансовой ответственности и рисков. При выборе программного обеспечения в корпоративном секторе, куда так суётся Линукс в последние годы, например, за всё нужно платить и всё проценивается. Такова реальность, реальность в которой я живу и работаю. Вся эта наивная идея об альтруизме разработчиков работает вплоть до тех пор, пока кто-то не сунется в корпоративный сектор за деньгами, за которые потом спросят. Мне смешно читать откровенный бред про "многочисленных пользователей дистрибутивов", "доставляющих ответственных людей", но особенно веселит слово "бесплатно". Проценка рисков и страхование предполагает, что лучше заплатить абонентскую плату за услуги, нежели жрать бесплатный сыр. Когда время простоя бесплатное и никто не работает, а играется, то да... а когда время простоя сервисов стоит денег, дебиан или арч, например, просто так никто не ставит. Ну или ставят делая его закрытый форк для внутренних нужд собственными силами. Из опыта говорю. И про проценку и про построение своих дистров. Когда поработаешь на больших объемах, осознаешь, какая же всё-таки дрянь этот линуксовый юзерспейс. Я пишу про советстких чиновников, потому что они очень похожи на прокладку-меинтейнера. Есть разработчик ПО, есть пользователь, покупающий софт и есть двусторонний договор между ними. В линуксе же есть прокладка которая лезет между контрагентами. Одним говорит, заключайте договоры (лицензии) так, а не иначе. Потом берут код и переделывают его со своими патчами, которых разработчик не добавлял, но которые нужны для совместимости с их дистрибутивом. А пользователю они говорят, бери софт у меня, потому что он надёжный и с правильными лицензиями. Когда же возникает ошибка, баг, уязвимость начинается игра в горячую картошку. Пользователь идёт к меинтейнеру, меинтернер шлёт к в апстрим. Пользователь идет к разработчику, разработчик шлёт на 3 буквы, потому что ты пользуешься какой-то патченной версией каким-попало васяном. И спросить не с кого. Этот пинг-понг мне и напоминает хождение по советским кабинетам за справками о том что мне нужны справки. Будь там финансовая заинтересованность, проблемы решались бы лучше, но нет... Обычно фанатики отвечают на претензию выше с стиле "не нравится - плати / делай сам". Но они нищие теоретики и не пробовали так делать. В случае наличия платного саппорта... в конечном итоге тот же RedHat не далеко ушел от МС... те же проблемы. С той лишь разницей, что в линуксе тебе саппорт в лучшем случае навешивает под тебя специфичные костыли, которые не позволяют слезть с этого саппорта. Ведь стандартизации в юзерспейсе нету никакой и мажорные апдейты там платные как проприетарный софт. Кроме того этот саппорт не отменяет целой оравы откровенно бредовых и оторванных от реальности линуксоидов, которых нужно кормить зарплатой, пока они будут втирать о проблемах капитализма, величии линукс над другими ОС и прочем бреде. Когда ты пишешь про "корпоративный бизнес захочет - починят" ты не понимаешь, что я нахожусь на стороне этого самого корпоративного бизнеса и мне приходится иметь дело как с косорылостью линукс-решений, так и с неадекватностью линукс-админов. Линукс раньше на дух не пускали, пока вендоры не начали так активно впаривать облака тем, кто их не хочет, но если шапка с IBM не справятся с разведенным зоопарком, то народ с деньгами снова вернётся пилить свои ос поверх BSD. У меня просто совершенно другой опыт работы и взгляд на вещи. Например: > Неужели. А почему в этот раз проглядели и ищут среди последних виноватого? Меинтейнеры не нужны абсолютно всегда. Нужен стандарт на доставку програмного обеспечения в юзерспейс, и пусть разработчики сами отвечают за свой софт в рамках лицензии/договора. Каждый должен четко отвечать в рамках собственной зоны ответственности. > А сколько проблем регулярно предотвращается, благодаря открытости кода? Примерно столько же сколько и при закрытом. Статистику меряли несколько лет назад. Разница в пределах погрешности. Дело в том, что если код открыт это не значит, что кто-то его постоянно читает и производит его аудит. Меинтейнеры портов и прочие дебианосборщики не далеко ушли от пользователей в своей квалификации по этим вопросам. Поэтому цифры +/- в пределах погрешности. >> всё плохо, потому что в капитализме ответственность на себя никто не берёт даже за деньги > И не поспоришь... Я откровенно не понимаю, зачем перевирать мои слова и потом сочинять самому себе ответы, но кое в чем ты прав. Я, лично, интересуюсь только прибылью, экономической обоснованностью, честностью и прозрачностью сделок. Не вижу в этом ничего плохого. Мне не нужна бесплатность, я не настолько богат. >> переосмысление ряда старых API, из BSD и WinNT >Которые нигде дальше попыток осмысления не ушли, а в Линуксе есть и повсеместно применяются... Попробуй научиться внимательно читать, это поможет тебе в будущем. "Переосмысление ряда старых API" имеется в виду, что решения уже были в другой ОС. Линукс либо копирует в рамках BSD, либо делает свой аналог проприетарного продукта. Ты бы расшифровал бы аббревиатуру BPF а затем аббревиатуру BSD и подумал бы немного. Потом подумал чем отличается eBPF и какое это отношение имеет к переносу обработки пакетов через колбеки в юзерспейс-программу (привет NDIS и WFP). Да и Jails существовали до тонны попыток переизобрести контейнеры в очередной раз. Мне не жалко ни на грамм, не подумай. Просто я не разделяю твой энтузиазм и гордость от слова "совсем".
	Ответить | Правка | Наверх | Cообщить модератору

	214. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (214), 28-Янв-22, 12:12
	> Помоги мне найти конструктивный смысл Перестань уже веселиться и помоги себе сам. Я дважды объяснил, почему уязвимости иногда остаются незамеченными так долго (это ни разу не совпадает с твоими наивными представлениями), при каких условиях их находили бы быстрее (тебе это не понравится), и почему в ближайшем будущем в общем случае ничего не изменится (даже если беспрестанно клясти советских чиновников). Но ты не слушаешь, ты всё пытаешься померяться письками. > особенно веселит Как ты пытаешься изображать важность и взрослость, кидаясь в меня финансовыми рисками и прочим корпоративным цинизмом. Наверное даже деловой костюм надел, но зря старался, я не оценил. > студенческого романтизма вокруг Зарабатывания денег и заведения семьи. Я это проходил в 16 лет, и это не стало пределом моей зрелости. Желаю тебе того же. Но лучше бы тебе обсудить свои психологические проблемы и комплексы с близкими или специалистом, а не со мной и не в Интернете. > веселит слово "бесплатно" Именно. По буквам: Б-Е-З-В-О-З-М-Е-З-Д-Н-О. Можешь сам убедиться, только рукава закатай, иначе костюм испачкаешь. > за всё нужно платить и всё проценивается Только в пафосном американском кино. Это трудно понять тому, кто работать не привык, специалисту по перекладыванию бумажек с распоряжениями. Который уверен, что написанное на бумажках как-то само-собой материализуется, лишь потрясти чековой книжкой. Но не всё можно купить, тем более - здесь и сейчас. Что-то вовсе не поддаётся финансовой оценке. А за то, что нужно, за то - следует справедливо платить, а не пере- или недоплачивать. Но финансовые капиталисты существуют в какой-то своей, выдуманной экономической реальности. Ценят деньги, но не ценят стоящих за ними материальных ценностей. Как следствие, не ценят людей, стоящих за созданием ценностей, зато переоценивают тех, кто рядом стоял, но готов делиться с оценщиком. > Меинтейнеры не нужны абсолютно всегда. Приказчики и болтуны из Интернетов не нужны абсолютно всегда. А люди, которые умеют и делают сложную работу незаменимы, хоть и часто недооценены спекулятивным рыночком. > Обычно фанатики Не существуют за пределами твоего воспалённого воображения. Представители СПО, в основном, руководствуются рациональными соображениями. В отличие от мира бизнеса, который погряз в своих внутренних половых разборках и внешних - делёжке капитала. Они живут по деструктивным принципам: "цель оправдывает средства" и "после нас хоть война". Так кто тут слепой фанатик?
	Ответить | Правка | Наверх | Cообщить модератору

	215. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (86), 28-Янв-22, 13:15
	> Но ты не слушаешь, ты всё пытаешься померяться письками. > Но лучше бы тебе обсудить свои психологические проблемы и комплексы с близкими или специалистом, а не со мной и не в Интернете. Токсичность в её современном медийном понимании - это такая форма слабости самосознания, выражающаяся в  склонности человека обвинять окружающих в своих собственных проблемах. Внимательно перечитай комментарии, свои и мои. Это ты рассказываешь о гордости и превосходстве Linux и открытых моделей. Мне же, наоборот, на такие вещи всё равно. И уж тем более мне не нужно показывать незнакомцу в Интернете личностное превосходство. Я подробно описываю иную точку зрения на происходящее, то как всё это выглядит с другой стороны. Нравится тебе это или нет, но такое видение есть. Пока что это ты обсуждаешь свою классовую обиду на воображаемых капиталистов и обвиняешь их в чем-то, что не имеет никакого отношения к реальности. Причем посмотри на динамику, как в твоих комментариях исчезают технические аргументы и остаётся одна сплошная боль за несправедливость и бедность. Мне твоя точка зрения, в целом, понятна. И болезненная реакция на некоторые мои слова после твоего последнего комментария стала более-менее понятна. Просто не у всех такие проблемы как у тебя и не надо обобщать. И вот что-что, а не надо переносить ответственность за собственные неудачи на весь мир, капиталистов и на меня лично. Я тебе не доктор, лучше найди себе хорошего терапевта по месту жительства и обсуждай с ним как капиталисты отравляют тебе жизнь. Я не шучу и не издеваюсь. Я абсолютно серьезно советую тебе укрепить моральное здоровье.
	Ответить | Правка | Наверх | Cообщить модератору

	216. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (214), 28-Янв-22, 16:59
	Ну я искренне пытался объяснить тебе причину всех _твоих_ бед, жалобы на которые ты выразил несколькими абзацами текста. Но ты либо находишься в фазе отрицания, либо, что более вероятно, делаешь вид, что не замечаешь очевидного. Добавим к этому попытки задеть (по твоему мнению) "больные" для оппонента темы и грубую форму этих провокаций. И получим определение "троллинга". > Токсичность - это экспрессивно-агрессивная реакция меньшинства на пассивно-агрессивное давление большинства. Не знаю, какое это имеет отношение к делу, но пусть будет для повышения эрудированности. > исчезают технические аргументы А они были? Это те, что про советских чиновников? Или про "прокладок"-мейнтейнеров? > обвиняешь их в чем-то, что не имеет никакого отношения к реальности Ну ты разберись, в чём же я их обвиняю, а потом давай оценки об отношениях с реальностью. А то как-то несерьёзно. > боль за несправедливость и бедность Не вижу поводов для цинизма. Несправедливость и бедность очень даже невоображаемые. Как и те, кто их творит. Просто у кого-то эта боль "меня не обслужили в платном саппорте по наивысшему разряду", "мне не исправили уязвимость ко дню рождения", "мне не доставляют пакеты на блюдечке с золотой каёмочкой". А у кого-то боль такая, что словами это не выразишь, и уж тем более - не как аргумент в споре. А ведь именно в искоренении бедности и несправедливости и кроется залог решения многих проблем человечества. Общество просто задушило потенциал миллионов своих членов ради нелепой "американской мечты" единиц. Для многих приобщиться к решению _твоих_ проблем - уже большая роскошь, своих неразрешенных проблем хватает, на которые тебе плевать. Так что, хватит уже страдать в интернетах, что кто-то чего-то тебе не сделал, воспользуйся своей исключительной роскошью - исправь это сам.
	Ответить | Правка | Наверх | Cообщить модератору

	221. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от A.N. Onimous (?), 28-Янв-22, 22:06
	Просто концепции 60-х пора бы уже закопать.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	236. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (238), 30-Янв-22, 09:28
	> Просто концепции 60-х пора бы уже закопать. С большим удовольствием послушаю альтернативы DAC, CAP, MAC, Integrity, Audit от современных гусских "математиков". Чисто шоб прожать. А кроме ASLR после 1960-тых что-то еще придумали?
	Ответить | Правка | Наверх | Cообщить модератору

	237. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (238), 30-Янв-22, 09:41
	В шифровании еще с тех времён сильно продвинулись: открытый/закрытый ключ, диффи-хелман, гомеоморфное. В нащупали, методом перебора простые и быстрые алгоритмы для DAC,CAP, MAC, Itegrity, Audit. В верификации продвинулись: подписи сорцов, воспроизводимость сборок, мат верификация, spark. С чисткой персонала регрес полный: отобрали генетический мусор, а людей истребили. А альтернативы фундаментальным DAC, CAP, MAC, Itegrity, Audit не придумали, рандомищация так себе замена для контроля доступа.
	Ответить | Правка | Наверх | Cообщить модератору

	245. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от A.N. Onimous (?), 19-Фев-22, 03:14
	> С большим удовольствием послушаю альтернативы DAC, CAP, MAC, Integrity, Audit MAC - это и есть альтернатива DAC. И все это применимо только к примитивной файловой абстракции из 60-х, и развалилось уже на streams и sockets (которые, кстати, тоже развалились на sctp). Уж разных CBAC, ABAC, FGAC придумано масса. Что с лицом?
	Ответить | Правка | К родителю #236 | Наверх | Cообщить модератору

	246. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от A.N. Onimous (?), 19-Фев-22, 03:17
	> С большим удовольствием послушаю альтернативы DAC, CAP, MAC, Integrity, Audit MAC - это и есть альтернатива DAC. И все это применимо только к примитивной файловой абстракции из 60-х, и развалилось уже на streams и sockets (которые, кстати, тоже развалились на sctp). Уж разных CBAC, ABAC, FGAC придумано масса. Что с лицом?
	Ответить | Правка | К родителю #236 | Наверх | Cообщить модератору

	222. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от A.N. Onimous (?), 28-Янв-22, 22:06
	Просто концепции 60-х пора бы уже закопать.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	232. "Критическая уязвимость в PolKit, позволяющая получить root-д..."	+/–
	Сообщение от Аноним (229), 29-Янв-22, 17:50
	> когда доступ к файловой системе доступен для приложений, работа которых по факту никем не проверяется, файловой системе доверять нельзя. Нельзя располагать в её метаданных никакие параметры безопасности. EVM слышал? Только рут может изменять метаданные и то не все и не всегда;) Я метаданные верю, уровень B2 малтикса стараюсь держать! > Capability Access Control в Linux - это шутка такая .. Очень хорошая и необходимая вещь для уровня B3. CAP+DAC делают ненужным SUID вообще. > Использование Linux без включенного и настроенного SELinux нельзя. Большое заблуждение и ошибка. Использовать Linux без настроенного DAC для дисков и оперативы нельзя, иначе не получите систему даже уровня C1, даже с включенным SELinux. > Опять же это всё MAC. MAC зачастую оверкилл, но без него в линуксе нет безопасности. Ложь и ересь. Дети, запомните на всю свою жизнь, полностью безопасная ОС защищена от всех вирусов уже достигается на уровне C2. С использованием только расширенногои продвинутого DAC, без любого MAC. Если кто говорит что защищенность OS достигается  MAC - лжец ко орый хочет впарить вам овно! Защиту OS дает DAC. MAC дает гарантии изоляции вируса и ограничение распространения в случае компроментации DAC. Но чтобы дать гарантии изоляции и не распространения вируса в зараженной системе с помощью MAC его надо для этой цели разработать. А смузи Эксперты правила MAC пишут не для дачи гарантий изоляции, а для безопасности которую должены обеспечивать правила DAC.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	239. "Критическая уязвимость в PolKit, позволяющая получить..."	+1 +/–
	Сообщение от arisu (ok), 30-Янв-22, 11:09
	> Использование Linux без включенного и настроенного SELinux нельзя. а мужики-то и не знают! а кто запретил, где закон-то почитать? а вообще — хреново быть тобой, конечно. что, опять xp-шка на станке упала и начальство отлюбило? ну, бывает, чо…
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема