forum.opennet.ru

"В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.

. "В кодовой базе xz выявлено изменение, мешавшее включению мех..."	+1 +/–
Сообщение от Аноним (98), 01-Апр-24, 14:34
А это фундаментальный недостаток всех централизованных репозиториев типа Cargo - какой-нибудь "полезный" пакет типа выравнивания отступов из двух строчек включен в зависимости тысячи других пакетов и тем самым становится желанной целью атакующего. Получить к нему доступ, как мы убедились на примере xz, это дело техники.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock, opennews, 31-Мрт-24, 20:10 [смотреть все]

Лучше и другие пакеты тоже проверить на таких типов, Аноним, 31-Мрт-24, 20:10 (1) //
- Каких именно Эти полорогие-парнокопытные не подписываются Ну и да, судя по б, Аноним, 31-Мрт-24, 20:59 (14) //
  - А ведь тысячиглаз работают и мы обсуждаем найденную ими закладку, uis, 31-Мрт-24, 23:54 (53) //
    - Угу, но только в какой-то альтернативной реальности А тут мы обсуждаем ну, к, Аноним, 01-Апр-24, 00:18 (57)
      - По каким критериям он не проходит в ряды Тысячеглазовцев , Beta Version, 01-Апр-24, 00:30 (59)
        
        Где-где были Тыщиглазовцы, когда коммитился сначала сам бэкдор, а потом и фиксы, Аноним, 01-Апр-24, 01:02 (60)
        
        Ну это так работает - находят не все сразу, а кто-то один первый , Beta Version, 01-Апр-24, 01:34 (62)
        Очевидно, искали проблемы в других пакетах Или вы думаете, что тысячаглаз ищет , Аноним, 01-Апр-24, 09:14 (80)
        Если быть честным - тысячепользователи, а глаз которые следили за разработкой на, Аноним, 01-Апр-24, 15:29 (102)
        
        Когда MS находит дыру - они часть великого сообщества Во всех остальных случаях, Аноним, 01-Апр-24, 17:42 (110)
        
        Дыру нашла не MS , Beta Version, 02-Апр-24, 03:13 (115)
        
        дыру нашел разработчик на зарплате от MS Живи теперь с этим , пох., 03-Апр-24, 18:32 (125)
        
        Если этот человек убьёт кого нибудь, то это M станет убийцей, т к этот человек, Beta Version, 03-Апр-24, 20:46 (131)
      - Так первый нашедший бывает только один, uis, 04-Апр-24, 12:38 (132)
    - Тот, кто нашел уязвимость, сказал, что это была цепь случайностей, что он наткну, Аноним, 01-Апр-24, 01:13 (61)
      - А это фундаментальный недостаток всех централизованных репозиториев типа Cargo - , Аноним, 01-Апр-24, 14:34 (98)
      - Угу, цепь счастливых случайностей Он не решил проблему перезапуском контейнер, пох., 03-Апр-24, 18:34 (126)
    - Работает Закладку нашли через исследование поведения в первую и основную очередь, Аноним, 01-Апр-24, 10:23 (89)
    - Не работает Мы обсуждаем случайно найденную дыру Напомню - ее нашли не в резул, bdrbt, 01-Апр-24, 11:58 (92)
      - 171 Тысячи глаз 187 это не аудит, Аноним, 01-Апр-24, 16:36 (107)
bzip2, gzip не могли похакать Обязательно привычный xz надо коцать Тьфу,шлеп-шл, Аноним, 31-Мрт-24, 20:13 (2) //
- А вы уверены, что их не похакали Может их просто ещё не дошли руки у кого надо , lucentcode, 31-Мрт-24, 20:25 (3) //
  - видел твой коммент, что ты теперь будешь начисто переставляться а я говорил еще, crypt, 31-Мрт-24, 20:46 (6) //
    - Вот если по конкретному инциденту Предлагаешь отказаться от сжимальщиков и архи, Аноним, 31-Мрт-24, 22:01 (35)
    - Хм уточни пожалуйста про какие нарушения KISS и UNIX way ты говоришь Про то, , Аноним, 31-Мрт-24, 22:26 (42)
      - Ну, вообще-то, в данном топике обсуждается изменение в CMakeLists txtНе в M4 дел, минона, 02-Апр-24, 07:35 (116)
    - Systemd нужно первым переписать на Rust , Пряник, 01-Апр-24, 10:09 (85)
- gzip в руках идейных Хотя, после травли и ухода Столмана туда могли проникнуть , Аноним, 31-Мрт-24, 20:51 (10)
Хаха А кто-то в соседней теме хвалился про то, что тыщща глаз таки работает С, Анонин, 31-Мрт-24, 20:47 (7) //
- Ну вот, очеыидно же, работает Нашли , Аноним, 31-Мрт-24, 20:59 (15) //
  - А сколько найдут А сколько не найдут А сколько найдут и не покажут не только, Аноним, 31-Мрт-24, 21:04 (17)
  - Пока оно глючить не начало, тысячеглаз ничего не видел Был бы анбшник чуть поумн, Аноним, 31-Мрт-24, 21:07 (18) //
    - Зато пользователям проприетари хорошо и удобно благостное существование тысячи , qwe, 31-Мрт-24, 21:30 (27)
    - какие-то невнятные претензии, тысячаглаз сработал сработала шутки про глупого , Стив Балмер, 31-Мрт-24, 21:32 (28)
      - но это был сотрудник корпорации зла внезапно, у той больше одного проду, пох., 03-Апр-24, 18:36 (127)
нравится мне этот парень с тайваня красиво работает , crypt, 31-Мрт-24, 20:48 (8) //
- Программистские тесты не писал,если так по-детски спалился , Аноним, 31-Мрт-24, 20:54 (11)
- с северной кореи он, зачем тайваню это , pelmaniac, 31-Мрт-24, 20:55 (12) //
  - 1 В Северной Корее интернета нет 2 А если он там есть, значит, официальная про, Аноним, 31-Мрт-24, 21:09 (19) //
    - Зато в северной корее есть северные корейцы , которые по заданию партии могут пм, Аноним, 31-Мрт-24, 21:35 (29)
    - Есть там выход в интернет, просто он кого надо выход и все кто по службе выходят, Kuromi, 01-Апр-24, 02:31 (64)
      - Фигасе, какие умные северо-корейцы с ограниченным интернетом имеют такие глубок, EULA, 01-Апр-24, 10:31 (90)
        
        В игил не учат математику, а в С Корее учат - см Ланькова , Аноним, 01-Апр-24, 11:14 (91)
        
        Ланьков до сих пор числится в Южно-Корейском отделе ФСБ, или он уволился Ах да,, Аноним, 02-Апр-24, 18:33 (119)
        
        Нужные книжки и ресурсы они там потихоньку выкачивают, не волнуйся за них Даже, Kuromi, 01-Апр-24, 16:40 (108)
        
        И все равно получается, что они умные Что же будет, если их в сеть выпустят , EULA, 03-Апр-24, 10:05 (121)
        
        Советские сумрачные ученые тоже в шарашках клепали супероружие Запад тоже думал, Kuromi, 03-Апр-24, 18:56 (130)
        
        В СССР хакеров не было, даже некоторые компьютеры были подключены к арпанет , EULA, 08-Апр-24, 08:16 (133)
        
        А еще они снарядов могут клепать больше, чем все страны развитого капитализьма в, Аноним, 02-Апр-24, 17:45 (118)
        
        ну так вместо выращивания нежных личностев и уточнения как к Оно обращаться - та, пох., 03-Апр-24, 18:42 (128)
Осталось исправить master на main, и все saboteurs сразу устыдятся содеянного, и, Аноним, 31-Мрт-24, 21:18 (22)
А что эта точка значит в CMake , Аноним, 31-Мрт-24, 21:21 (23) //
- возможно сокращение от вкусно и точка , Аноним, 31-Мрт-24, 21:28 (25) //
  - Вот они и спалились , Аноним, 31-Мрт-24, 21:38 (31) //
    - Точнее, работодатель товарища майора , Аноним, 31-Мрт-24, 22:03 (36)
- Чтобы код внутри check_c_source_compiles код не скомпилировался До точки т, topin89, 31-Мрт-24, 22:06 (37) //
  - Да это понятно Я про синтаксис Что в С CMake это означает Почему не летит оши, Аноним, 01-Апр-24, 00:03 (56) //
    - Ничего не значит Ошибка синтаксиса и код не компилируется И поэтому проверки, Аноним, 01-Апр-24, 10:17 (86)
- Это не в CMake точка, он её добавил в C коде, который передаётся в CMake функцию, ivanpetrov, 01-Апр-24, 23:08 (113)
Интересно, почему не было тестов на данный функционал Механизм изоляции приложе, Аноним, 31-Мрт-24, 21:26 (24) //
- У Линуса, походу, вообще никаких тестов нет Фин тянет в свою поделку любую шняг, Аноним, 01-Апр-24, 15:45 (103)
А с чего взяли что намеренно В программах на СИ постоянно забывают проверять ра, Аноним, 31-Мрт-24, 21:30 (26) //
- Надо просто посмотреть, кем Неужели нельзя вывести список всех изменений, к кот, Аноним, 31-Мрт-24, 21:37 (30)
- Такие программы надо писать читабельном и удобном для сопровождения языке V , Аноним, 31-Мрт-24, 21:52 (32)
- Вот в таком виде https git tukaani org p xz git a commitdiff h f9cf4c05edd14d, Аноним, 31-Мрт-24, 21:57 (33) //
  - Так это удаление ошибки, а добавили код с ошибкой в https git tukaani org p x, sigprof, 31-Мрт-24, 22:13 (40) //
    - Или я в глаза долблюсь, или тут нет добавления той точки , Анонимщик, 01-Апр-24, 05:57 (72)
      - почти в самом верху include sys prctl h void my_sandbox vo, Аноним, 01-Апр-24, 07:30 (75)
      - Поскольку добавление точки нашлось не могу не спросить, зачем вы так со своим, Аноним, 01-Апр-24, 09:11 (79)
- Вот все матерятся на паскаль, а там строгая типизация и FastMM HeapTrc, так что , Аноним, 01-Апр-24, 00:22 (58) //
  - Я видел код ужас от студентов Текло это жесть как И никакой мифический паскаль н, iPony129412, 01-Апр-24, 04:26 (69)
  - Вот и сам же написал причину Дело не в языке, а в том что hello world-ы пишешь, iPony129412, 01-Апр-24, 04:28 (70)
  - Паскаль немного устарел, лучше на Microsoft Power Fx писать , Аноним, 01-Апр-24, 09:05 (77)
- Потому что эта ашипка - одна из череды вредоносных изменений от автора бэкдора, bdrbt, 01-Апр-24, 16:28 (106)
Какой интересный язык Добавил просто точку - получил изменение логики , Аноним, 31-Мрт-24, 22:13 (41) //
- а как вам язык где балом правит запятая Казнить нельзя помиловать , Стив Балмер, 31-Мрт-24, 23:37 (51)
- Причём тут язык В CMake функция check_c_source_compiles проверяет только то, , Аноним, 31-Мрт-24, 23:49 (52) //
  - Именно потому С можно адаптировать для любой мыслимой архитектуры и платформы И, adolfus, 02-Апр-24, 09:37 (117)
- Какой из языков и какой логики , uis, 31-Мрт-24, 23:59 (54)
- Одна точка - текущий каталог, две точки - ссылка на каталог выше Этому, microcoder, 01-Апр-24, 02:57 (66)
- Ты серьезно веришь, что если бы там был check_rust_source_compiles это что-то по, Аноним, 01-Апр-24, 14:40 (99) //
  - В Rust не производят проверку наличия фич методом компилируется код с ней или не, morphe, 01-Апр-24, 16:06 (105)
Единственное, чего я не понял из имеющихся на данный момент результатов реверсин, Аноним, 31-Мрт-24, 22:34 (43) //
- В поиске строк в таблице, uis, 01-Апр-24, 00:00 (55) //
  - То есть там O n 2 наверно , Аноним, 01-Апр-24, 10:19 (87)
  - Там не таблица, а простенький FSA Даже если бы оно было написано на Python, оно, Аноним, 01-Апр-24, 13:44 (95)
Я не понял, там autotools или CMake Или там настолько долбанулись, что им ещё M, Аноним, 31-Мрт-24, 22:57 (46)
Сразу ффтопку - машина, на которой производится сборка не является машиной, на к, Аноним, 31-Мрт-24, 23:06 (48) //
- Он похоже профессионал в другой области , Аноним, 01-Апр-24, 06:32 (73)
- А вот это неважно Эта машина на которой прописываются нужные зависимости Если м, Серб, 01-Апр-24, 14:50 (100) //
  - Спасибо, мне нафиг не надо, чтобы какой-то xz-utils решал, какой версией ядра мн, Аноним, 02-Апр-24, 00:06 (114)
То есть они только сейчас начали проверять все коммиты данного персонажа и выявл, Kuromi, 01-Апр-24, 02:28 (63)
Сама идея проверить наличие пакета X и на основе этого включать не включать ф, yet another anonymous, 01-Апр-24, 03:23 (68)
В доках landlock и правда советуют использовать сисколл https docs kernel org , Аноним, 01-Апр-24, 06:37 (74)
Саботажников в опенсорце и так хватает, многие из них не прячутся и не скрываютс, Ivan_83, 01-Апр-24, 08:26 (76) //
- Если у опенсорца нет денег чтобы заплатить разработчикам за то что нужно придетс, Аноним, 01-Апр-24, 15:12 (101)
- ты что - так и не научился до земли кланяться, а не только в пояс Ну блин, никто, пох., 03-Апр-24, 18:30 (124)
А может кто-нибудь внятно объяснить, почему какая-то сжималка требует доступ к н, Аноним, 01-Апр-24, 09:09 (78) //
- ну тебе же это не открыло глаза до выхода новости Ну вот и остальным то же само, Аноним, 01-Апр-24, 09:44 (82)
- Всё так и есть Но видимо всем просто пофиг на xz А выкинуть из зависимостей ег, Пряник, 01-Апр-24, 10:21 (88)
Эээ Арчлинуху передайте инфу Они же пакет не откатывали, а только перестрои, Аноним, 01-Апр-24, 09:59 (83)
Лица кричавших про нечитаемые m4-скрипты в угоду симейку - к осмотру , Аноним, 01-Апр-24, 13:00 (94) //
- В автоконфе точно такой же способ сработал бы прекрасно, сюрприз , Аноним, 01-Апр-24, 14:23 (96) //
  - Но в автоконфе я бы спрятал через divert, там и в корректном-то коде без поллитр, Аноним, 01-Апр-24, 14:25 (97) //
    - как будто в Cmake ты разберешься Не говоря уже про питоноуродцев Но вот пропихн, пох., 03-Апр-24, 18:49 (129)
- И Код был сломан, тест был сломан То что это никто не проверял - не проблема я, Аноним, 01-Апр-24, 22:48 (112)
Херовая проверка на наличие функций в заголовке В CMake проверка делается через, anonymous, 01-Апр-24, 17:27 (109)
Технически красиво конечно сделано со всей этой криптографией и занос скрипта пр, Прадед, 01-Апр-24, 20:58 (111) //
- в точности наоборот почти любые проекты невозможно убедить патч принять, особен, пох., 03-Апр-24, 18:24 (123)
Роса Линукс забэкдорена https abf rosalinux ru platforms rosa2023 1 products , Аноним, 03-Апр-24, 11:19 (122)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру