Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в sudo, позволяющая получить привилегии root"	+/–
Сообщение от opennews (??), 27-Янв-21, 11:20
Исследователи безопасности из компании Qualys выявили критическую уязвимость  (CVE-2021-3156) в утилите sudo, используемой для организации выполнения команд от имени других пользователей. Уязвимость позволяет выполнить привилегированные операции без прохождения аутентификации. Проблема может быть эксплуатирована любым пользователем, независимо от присутствия в системных группах и наличия записи в файле /etc/sudoers. Для атаки не требуется ввод пароля пользователя, т.е. уязвимость может применяться посторонним для повышения привилегий в системе после компрометации уязвимости в непривилегированном процессе (в том числе запускаемом под пользователем "nobody")... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=54474
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+18 +/–
Сообщение от Аноним (1), 27-Янв-21, 11:20
Только же неделю назад было, и вот опять
Ответить | Правка | Наверх | Cообщить модератору

	8. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от OnTheEdge (??), 27-Янв-21, 11:24
	там про мятный screensaver было
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Анонимно (ok), 27-Янв-21, 11:33
	На Мяту вчера update sudo прилетел. Ждем новых ебилдов уязвимости
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (-), 27-Янв-21, 13:37
	Блин, apt purge этому нечто. Там описание уязвимости такое что даже и не понятно что кодеры курили и зачем они вообще это все накодили, вместе со своим sudoedit'ом. Overengineering sux.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от captcha 20168 (?), 27-Янв-21, 17:05
	а как же тогда открыть на редактирование /etc/passwd в своём любимом vim-е с заботливо составленным километровым конфигом?
	Ответить | Правка | Наверх | Cообщить модератору

	235. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (-), 27-Янв-21, 20:42
	> а как же тогда открыть на редактирование /etc/passwd в своём > любимом vim-е с заботливо составленным километровым конфигом? Хызы, никогда не испытывал проблем запустить mcedit под рутом и им отрихтовать. А километровый конфиг намекает что вы таки нарываетесь и безопасТность вашей системы, вероятно, сильно преувеличена. Чего-нибудь прошляпите - и опа.
	Ответить | Правка | Наверх | Cообщить модератору

	252. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:39
	Это вообще для тех, у кого есть доступ к машине (с разделяемым доступом). У юзера www-data (apache), mysql, нет назначена вообще возможность запуска шела, а все эти пайпы и аргументы это все без шела не работает же. Поэтому извне тут не бомбануть. Надо сначала как минимум получить шелл под удаленным юзером, а потом уже повысить привелегии. Но многопользовательские шаред хостинги на нативной машине... с шеллом... не изжили ли себя? Лучше всех юзверей по контейнерам рассовывать, ибо нехер.
	Ответить | Правка | Наверх | Cообщить модератору

	257. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 21:51
	> Это вообще для тех, у кого есть доступ к машине (с разделяемым доступом). БезопасТность таких машин обычно очень характерная, так что о чем спич? > У юзера www-data (apache), mysql, нет назначена вообще возможность запуска шела, а > все эти пайпы и аргументы это все без шела не работает же. То что там не назначено в каком-то фиговом текстовичке - это одно. А то что там получит по факту какой-нибудь execve() и что будет дальше - несколько другое. > Поэтому извне тут не бомбануть. Надо сначала как минимум получить > шелл под удаленным юзером, а потом уже повысить привелегии. А что, этому юзеру принципиально зарублен сискол execve() или бинарь шелла недоступен? А то надписи в текстовичке это здорово, конечно, но не сказать что это вот прям стопроцентная защита. > Но многопользовательские шаред хостинги на нативной машине... с шеллом... не изжили ли > себя? Лучше всех юзверей по контейнерам рассовывать, ибо нехер. Там правда свои приколы есть. С обломами.
	Ответить | Правка | Наверх | Cообщить модератору

	261. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:56
	Да syscall'ы это да... но короче для веб-серверов, машин с ssh-доступом (не кому попало) и т.п вроде как такой сценарий атаки не проглядывается.
	Ответить | Правка | Наверх | Cообщить модератору

	297. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (297), 27-Янв-21, 23:42
	> Да syscall'ы это да... но короче для веб-серверов, машин с ssh-доступом (не > кому попало) и т.п вроде как такой сценарий атаки не проглядывается. 1) Программа может быть на"№;%на выполнить не то что задумано. 2) Эксплойт может в случае успеха делать все то же что и сама программа. А самое неприятное во всем этом - ни 1 из существующих ОС не писалась сразу "namespaces in mind". Это донавесили сверху - на то что уже было. И, естественно, поскольку изначально это не предусматривалось, возможно более 9000 странных фокусов которые там или тут сделают не то что думали толи авторы того кода, толи этого. А в конечном итоге контейнер может быть надут довольно большим количеством спосоов. В этом плане полная виртуализация радикальнее, намного меньше способов для гуеста тыкать палочкой хост в непредусмотренном виде. Однако даже так бывают варианты. А вон секурные-типа опенбсдшники не так давно очень конкретно обтекли, когда им прогер из нетбсды мастеркласс дал.
	Ответить | Правка | Наверх | Cообщить модератору

	206. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+17 +/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 18:45
	Смузихлебы в *nix ска добьют и эту отрасль. Поттеринг во главе этой гильдии. 8 лет, это гавно без пароля из nobody давало arbitrary code execution на всех линуксах... это финиш... Торвальдс, ща там охирел (т.к. это не его вотчина уже, а окружение). надо наверное так: сделать алиас на sudoedit который ведёт на свой шел-файл, который транслирует вызов sudoedit но с подрезкой опасных символов плюс owner group у этого шелл файла отдельный типа sudoeditors включить в эту группу всех кому было до этого можно sudoedit и соотв права rwx r-x --- p.s.: Dfinity придёт, порядок наведет, уже тестнет есть,  посмотртие на тим и его состав, охиреете. Ребята с деньгами от Andressen Horowitz всерьез решили убить индустрию "hackable computing"
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	210. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:02
	Че за Dfinity (.org) которое? Посмотел сначала тим (первые 3 строки) чет смузихлебы и скам-ICO подумал, а потом с четвёртой строчки каааак пошло )) Стаф-инженер Гугл, один (со-создатель WebAssembly и V8), второй, сеньор, IBM (сбился со счета), профессоры из Стенфорда, в области криптографии, дальше 130+ членов основной команды даже смотреть не стал - убедил. А в чем суть то там? Типа консенсус копьютинг машин, ноды в ДЦ мира, которые поддерживают выдачу машин/ресурсов по протоколу. Взгуглил еще, Виталик лестно отозвался, что это конкурентный продукт с сильным упором на реальные скорости вычисления и dApps, а Дфинити типа - ну что вы что вы, мы сестринские проекты, ну ок. Типа месседж такой, что хватит работать на заранее "скомпрометированных черных коробках", го ту whitebox комьютинг среду.
	Ответить | Правка | Наверх | Cообщить модератору

	237. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 20:44
	> который ведёт на свой шел-файл, который транслирует вызов sudoedit но с подрезкой опасных символов С дуба грохнулись, шелом резать опасные символы? Вам еще пять штук таких вулнов налепят, экранирование в шелл очень отдельный гимор. Что, рут по DHCP некоторых ничему не научил? А как по мне apt purge вулны этого sudoedita пролечил куда надежней.
	Ответить | Правка | К родителю #206 | Наверх | Cообщить модератору

	250. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 21:34
	Да во первых просто мысли вслух,  обновляха уже все лечит, а во-вторых, конечно лучше не в шелле, но и не в перле.
	Ответить | Правка | Наверх | Cообщить модератору

	263. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 21:58
	> Да во первых просто мысли вслух,  обновляха уже все лечит, Ну да, я тоже обновил, премироав всю эту сагу с sudoedit'ом apt purge'ом :). Надоело, блин, что все дыры в компоненте которым я даже не пользуюсь. Так что получается что пакостить - его единственная функциональность. Зачем вообще этот sudoedit в обязаловку сватать? Да и вообще идея черти-что вызывать из привилегированной программы - провальная. > а во-вторых, конечно лучше не в шелле, но и не в перле. Да хоть на том же си, ему похрен, если текстовые функции не юзать (зачем они для только экранирования?) - даже 0x0 сожрет, а все остальное и подавно. А если кто в двух буферах заблудится - при попытке экранирование шеллом делать ему точно кирдык. Процессить недоверяемые внешние данные шелллом вообше поганая идея. Собственно те чудики и пытались, но их укусила оверинженерия с чертовым судоэдитом - и на нем то они и облажались как раз. Что бы там растаманы не верещали, а это довольно забавный compound баг, с корнями из оверинженерии вообще.
	Ответить | Правка | Наверх | Cообщить модератору

	322. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (322), 28-Янв-21, 06:22
	> сделать алиас на sudoedit Сам sudoedit - это лишь симлинк на sudo, весь код в sudo. Вот с последним и надо бороться.
	Ответить | Правка | К родителю #206 | Наверх | Cообщить модератору

	169. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:03
	10 лет уязвимости, это победа!
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	346. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от InuYasha (??), 28-Янв-21, 12:18
	"O" in SUD=(3 O Ɛ)= stands for "hello".
	Ответить | Правка | Наверх | Cообщить модератору

	326. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Мастер (?), 28-Янв-21, 09:04
	Мифическая безопасность Линукса.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	347. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Телепоня (?), 28-Янв-21, 12:49
	Это не Linux, это обвязки, да ещё и вокруг рута. Повышение привилегий требует как минимум получения доступа к машине под юзером. А хардненинг в части выпиливания всяких sudo когда предполагается работа с кучей анонимов на одном сервере (шаред хостинг) никто не отменял.
	Ответить | Правка | Наверх | Cообщить модератору

2. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
Сообщение от Аноним (2), 27-Янв-21, 11:22
Чёто уже стосотая. Правильно я всё таки удаляю судо первым делом уже много лет.
Ответить | Правка | Наверх | Cообщить модератору

	6. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+25 +/–
	Сообщение от Леголас (ok), 27-Янв-21, 11:24
	и всё не можешь удалить?)
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (29), 27-Янв-21, 11:55
	В дебиане и удалять его не надо
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	41. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (41), 27-Янв-21, 12:21
	Ну как сказать, aptitude why sudo i   kscreen       Зависит kde-cli-tools (>= 4:5.14) i A kde-cli-tools Зависит libkf5su5 (>= 4.96.0) i A libkf5su5     Зависит sudo Кеды красиво подкладывают свинью.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Аноним (41), 27-Янв-21, 12:34
	https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=895260 > We clearly disagree on considering sudo a security concern. At least, not from > the kde packaging point of view. I'm downgrading the severity value to > wishlist. Лол.
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:27
	Пинганите им багу, пруфлинки ж прилетели.
	Ответить | Правка | Наверх | Cообщить модератору

	283. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Аноним (283), 27-Янв-21, 22:33
	Поттеринг покусал.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	45. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (45), 27-Янв-21, 12:31
	При установке же можно выбрать суду, или уже нет?
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	161. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 16:56
	Хорошо, что UAC всегда стабильна и без уязвимостей, созданная профессионалами!
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	177. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Мамкин Хакер (?), 27-Янв-21, 17:13
	он у тебя с настройками по умолчанию и ты сейчас админ,правда хорошо!
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:22
	Ага, и даже на линукс сейчас root.
	Ответить | Правка | Наверх | Cообщить модератору

	185. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Мамкин Хакер (?), 27-Янв-21, 17:36
	В Минт нет root
	Ответить | Правка | Наверх | Cообщить модератору

	193. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 18:05
	Я на SUSE.
	Ответить | Правка | Наверх | Cообщить модератору

	223. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от анонимуслинус (?), 27-Янв-21, 19:41
	вообще то есть если захотеть. вот прямо сейчас проверил. зашел с пол пинка. правда через su. не знаю как у других, а у меня все есть во всех дистрах , что у меня стоят. хоть рпм, хоть деб. а sudo.... такая поделка мне не нравилась еще во времена её появления. если мозгов нет, то и в чайной ложке утопятся. так чего тогда таким "спецам" машину доверять и потом жаловаться.
	Ответить | Правка | К родителю #185 | Наверх | Cообщить модератору

	224. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от srgazh (ok), 27-Янв-21, 19:45
	Шито выдыхай
	Ответить | Правка | К родителю #185 | Наверх | Cообщить модератору

	231. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от макпыф (ok), 27-Янв-21, 20:36
	есть в любом linux, абсолютно может быть не задан пароль по умолчанию но легко исправить может не быть su (android user билд) но тож фиксится легко
	Ответить | Правка | К родителю #185 | Наверх | Cообщить модератору

	376. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от анонъчик (?), 28-Янв-21, 22:37
	При этом сам Дебиан в своей документации рекомендует использовать судо.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

3. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
Сообщение от КО (?), 27-Янв-21, 11:22
"заранее уведомили разработчиков дистрибутивов" А форки пускай страдаюют.
Ответить | Правка | Наверх | Cообщить модератору

	32. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 11:58
	Че-та как-то плохо, кстати, они уведомили - мне от редгада пришло уведомление, что вероятность реального эксплойта незначительна - а тут вроде как уже готовый (или он рассчитан что бинарь с таким имененм будет не в хомяке пользователя, а где-то в /bin ? )
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 12:28
	"Откиньтесь на спинку кресла. Спасибо, что выбрали нашу компанию". ;-)
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–4 +/–
	Сообщение от пох. (?), 27-Янв-21, 12:47
	Я полагаю, компания странслировала ровно то, что ей в уведомлении пришло. Возможно, они уведомили до того как поняли, что оно реально легковзламываемо, и поленились уведомлять еще раз. Кстати, для тех кто не может апгрейдиться, редхат прислала простой вокараунд через системтап (просто убивать процесс sudoedit при его появлении. Учтите, удалять файл не поможет - любой васян может просто создать такой линк в хомяке, и он сработает не хуже настоящего.)
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+8 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 12:58
	>убивать процесс sudoedit при его появлении. Какое элегантное решение. Прямо как оом-киллер в юзерспейс. Видно псицу по помету.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 13:42
	Ну а почему нет-то? Феерическое же ж ненужно.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:30
	А что, rm у редхата уже не работает? В общем, надеюсь это хоть немного отучит девов рассовывать ненужно в свои программы "на всякий случай".
	Ответить | Правка | Наверх | Cообщить модератору

	126. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от пох. (?), 27-Янв-21, 14:54
	так ln-то тоже работает. В свой хомяк, например. Не, не отучит - этот такой фигней мается с нулевых годов. В sudo изначально был очень так себе качества код, его к началу 2000х как раз сумели более-менее вычесать от блох, но некоторые люди ну никак не умеют остановиться вовремя, и не пихать в настолько стремную область "плагины", фичи и перделки с пищалками.
	Ответить | Правка | Наверх | Cообщить модератору

	212. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 19:08
	Так не нужно было это ненужное к себе тащить. Разве это не проще?
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	253. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 21:40
	> Так не нужно было это ненужное к себе тащить. Разве это не > проще? что именно проще - жить без sudo, с гнутой(!) su, написанной встол-маном назло злым админам, которые мешали ему в универе запускать свой компилятор с nice --20 ? Ну на локалхосте еще как-то сойдет, если ей хотя бы права на исполнение для other убрать. А в большой лавке, где не всем и хочется давать права рута в принципе, а позволить что-то запустить надо - на сях каждый раз суидный враппер писать (с риском насажать дыреней уже самому)?
	Ответить | Правка | Наверх | Cообщить модератору

	267. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (-), 27-Янв-21, 22:03
	Мне теперь будет проще именно так, да. Ну реально задобали своим sudoedit'ом. Я им даже не пользуюсь, но проблем от него больше всего. Судя по описанию бага у них был приступ острого бредокодинга на почве прогрессирующей sudoedit'омании. Почему они вообще так чертовски уверены что вызывать черти что из привилегированной программ - круто, хорошо и правильно?
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:29
	Что пришло Брахмапутре на почту, то и оттранслирвал. Английская языка довольно сложная.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	102. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:28
	Дебиан тем временем выкатил апдейт. Который, впрочем, качать не потребовалось, purge и на старом пакете прекрасно работает :)
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	148. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (148), 27-Янв-21, 16:09
	Да, давай, удали sudo без пароля root, который в debian по умолчанию. Будешь как в том меме "пасаны  sudo apt-get не работает "
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (157), 27-Янв-21, 16:50
	> Да, давай, удали sudo без пароля root, который в debian по умолчанию. Я таки до этого догадался сказать passwd root :P :P > Будешь как в том меме "пасаны  sudo apt-get не работает " Ну, скажу в бутлоадере init=/bin/bash и оттуда passwd root скомандую. Тоже мне рокетсайнс.
	Ответить | Правка | Наверх | Cообщить модератору

	167. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:01
	Помню, как во времена XP и раньше по умолчанию не напрягали системы спроса прав доступа, и все были довольны, и все отлично работало!
	Ответить | Правка | Наверх | Cообщить модератору

	232. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от пох. (?), 27-Янв-21, 20:36
	> Помню, как во времена XP и раньше по умолчанию не напрягали системы > спроса прав доступа, и все были довольны, и все отлично работало! "а потом ко мне залез какой-то вирус и стер терабайт моей пронухи с конями! И хер во весь экран нарисовал, причем не конский, я такое не люблю! Во всем виноват microsoft!"
	Ответить | Правка | Наверх | Cообщить модератору

	238. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 20:48
	> Помню, как во времена XP и раньше по умолчанию не напрягали системы > спроса прав доступа, и все были довольны, и все отлично работало! Ага, "отлично работало" - в режиме Win95, когда все бакланы под админом сидят. Потому что если не под таковым то большая часть софта на permission denied валится или жестко глючит, вообще не понимая что так бывает, еще с эпохи win95. Поэтому и придумали с горя админа который типа админ, но немного не админ, но вот так может стать чуть более админ, почти вообще совсем админ. Немножечко беременный админ. А чтобы без делания мозга систему поадминить - ну, так не предусмотрено теперь, клюйте.
	Ответить | Правка | К родителю #167 | Наверх | Cообщить модератору

	197. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (197), 27-Янв-21, 18:26
	Странный у вас дебиан. Я за последние 5 лет ставил десятки дебианов и все просили рут пароль поставить. А вот убунта - нет.
	Ответить | Правка | К родителю #148 | Наверх | Cообщить модератору

	213. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Sinot (ok), 27-Янв-21, 19:09
	Если его не задать, а оставить пустым, то ставиться sudo. А в sudoers прописывается пользователь заданный при установке.
	Ответить | Правка | Наверх | Cообщить модератору

	254. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:43
	Ну как минимум надо зайти к тебе на машину под хоть каким-то юзером с шелом, что уже привет медвед. А это было лишь повышение привилегий.
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	329. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 28-Янв-21, 09:22
	Вот сейчас владельцам shared-помоек обидно получилось ;-)
	Ответить | Правка | Наверх | Cообщить модератору

4. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+21 +/–
Сообщение от Аноним (4), 27-Янв-21, 11:23
Это фиаско. Выпускайте фрагтала с его вечно горящей дыренью.
Ответить | Правка | Наверх | Cообщить модератору

	7. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+7 +/–
	Сообщение от Аноним (7), 27-Янв-21, 11:24
	У него из дырени раст потек. Оказалось что Раст тоже течет.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от пердёжник (?), 27-Янв-21, 11:37
	раст не гарантирует отсутствие утечек памяти, так как по сути это не UB. перед тем как писать, пожалуйста уточните, правильно ли вы понимаете слово "утёк"
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним. (?), 27-Янв-21, 14:02
	Тогда зачем, нафиг, нужен это Раст? Если дело не в языке, а в прямых руках, зачем этот Раст. Выпрямляйте руки и пишите на C++.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:32
	А хайповать тогда как? Впрочем у растоманов это как-то странно получается. С сервой 10 лет хайповали, менеджмент в конце концов сказал cool story bro, имея в виду что хайп слегка подостыл :)
	Ответить | Правка | Наверх | Cообщить модератору

	255. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:48
	Люди путают А) утечку памяти (логика программы выходит из под контроля и плодит объекты). и Б) срыв стека, указателя с программы на произвольный участок памяти. В расте защита от Б) когда память закончится в следствии А) или другой ошибки.
	Ответить | Правка | Наверх | Cообщить модератору

	271. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 22:07
	Да никто не спорит что там есть несколько неплохих идей. Но вот реализация почему-то все время вызывает воспоминания что лекарство бывает хуже болезни. LLVMный монстр с централизованой репой в маздайном стиле - сам по себе проблема, имхо. Игрушка пары корпов.
	Ответить | Правка | Наверх | Cообщить модератору

	307. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 28-Янв-21, 01:14
	указателя ИЗ программы
	Ответить | Правка | К родителю #255 | Наверх | Cообщить модератору

	133. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (-), 27-Янв-21, 15:26
	> Тогда зачем, нафиг, нужен это Раст? Если дело не в языке, а > в прямых руках, зачем этот Раст. Выпрямляйте руки и пишите на C++. Чтобы у вас, питономакак, считающих что утечка - всегда "забытый" free, ярко-ярко полыхало :) Щас еще веселее будет /одевает темные защитные очки и строительные наушники/ https://doc.rust-lang.org/std/mem/fn.forget.html > If you want to leak memory, see Box::leak.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	178. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от captcha 20168 (?), 27-Янв-21, 17:13
	но это же unsafe
	Ответить | Правка | Наверх | Cообщить модератору

	195. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пердёжник (?), 27-Янв-21, 18:12
	> Тогда зачем, нафиг, нужен это Раст? Если дело не в языке, а > в прямых руках, зачем этот Раст. Выпрямляйте руки и пишите на > C++. Если вы не отличаете потёкшую память от неопределённого поведения - это только ваши проблемы. Еще раз: если у вас есть область памяти которая не может быть освобождена, но это не приводит к поломке состояния приложения - ваш код всё еще безопасный.
	Ответить | Правка | К родителю #86 | Наверх | Cообщить модератору

	172. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (172), 27-Янв-21, 17:05
	переполнение буфера это не утечка памяти. Если не писать в unsafe-режиме то в расте такого не получишь.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	105. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от DIO (?), 27-Янв-21, 14:29
	не может быть?! это же не канонично :) растишки сейчас тапками замашут :)
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

5. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от Аноним (7), 27-Янв-21, 11:23
Неужели опять сишка или всё-таки руки из попки?
Ответить | Правка | Наверх | Cообщить модератору

	9. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от OnTheEdge (??), 27-Янв-21, 11:25
	и то и это
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 11:26
	Руки. Комбайн. Потом уже язык.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	27. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (322), 27-Янв-21, 11:52
	у растаманов бы пароли просто лежали в /var/www
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	30. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 11:55
	Вы какой-то немодный! Не пароли, а ключи - от всего. Без паролей, разумеется - иначе как же ж робот будет ими пользоваться.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (35), 27-Янв-21, 12:05
	и опять, вопрос про сишку - ответ про то, какое дерьмо раст если что, вопрос обстоит так - что надо сделать, чтобы программисты на си перестали плодить в своем софте дыры?
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	60. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (322), 27-Янв-21, 13:01
	> перестали плодить в своем софте дыры? Никогда не перестанут. Цель "свободного" софта - пробить дыру в твоей системе. Версии браузеров меняются каждую неделю, кто их аудирует?! Все же бинарниками ставят.
	Ответить | Правка | Наверх | Cообщить модератору

	179. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от captcha 20168 (?), 27-Янв-21, 17:15
	> кто их аудирует?! госдэп же
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 13:02
	Учить их программировать, не?
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	78. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (35), 27-Янв-21, 13:54
	Во-первых, это как-то помешает неучам писать код на сях? А потом другим людям им пользоваться? Во-вторых, а учить-то кто будет? Снова сишники, которые пишут дырявый софт? А есть вообще идеальные сишники, которые не бьют память в своем софте? А что мешает сразу учить сишников писать нормальный код? В-третьих, а заставлять учиться сишников ты будешь под дулом пистолета?
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 14:13
	Наниматели. Судо это важная вещь, не чета какому-то ненужному гном. Более опытные программисты. Под дулом увольнения.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:29
	> Судо это важная вещь Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени. > Более опытные программисты Чем гарантируешь, что они не бьют память? > Под дулом увольнения Тот, кто написал, миллион лет не работает над проектом, что ему сделаешь? В карму насрешь? А тебе то лучше станет? Или после этого все его битье магическим образом пропадет из кода? Ниодна из этих вещей не мешает наплодить битье памяти
	Ответить | Правка | Наверх | Cообщить модератору

	159. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 16:55
	> Верифицируйте. Если сишники умеют это и будут тратить на это миллион своего времени. Растаманы вообще тратят свое время на бесполезные визги только. Очень теоретически-крутые програмеры - ничерта полезного человечеству так и не накодили. Даже браузерное двигло за 10 лет не смогли. И это топовый флагман проект, остальное еще печальнее... > Чем гарантируешь, что они не бьют память? Valgrind'ом, лол. А так вон аудиторы еще есть. К сожалению аудиторы подхайлайтили совсем другую проблему - апстрим с катушек слетел совсем со своим sudoedit-ом, добровольно-принудительно распихав зачем-то счастье которым никто не пользуется, в взаимодействии с которым постоянно случается какая-то дикая хрень. И глядя на такую активность вопрос возникает один: нафига это все было?!
	Ответить | Правка | Наверх | Cообщить модератору

	182. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 17:16
	> Растаманы вообще тратят свое время на бесполезные визги только И опять от темы отходим. Какое тебе дело до того, на что тратят время растоманы? Их жизнь, что хотят, то и делают, а у тебя своя голова на плечах, чтобы понимать, нужно тебе это или нет. Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают > Valgrind'ом, лол. Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал > А так вон аудиторы еще есть. Гарантируешь, что они идеальны и сами не бьют память?
	Ответить | Правка | Наверх | Cообщить модератору

	209. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (209), 27-Янв-21, 18:52
	> доказательство абсолютной корректности работы валгринда, чтоб все битье памяти гарантировано вычищал Специалист классический.
	Ответить | Правка | Наверх | Cообщить модератору

	243. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 20:58
	> Какое тебе дело до того, на что тратят время растоманы? А какое им дело на что тратят жизнь сишники? Их никто не заставляет юзать программы на си. Могут идти куда там в свой редокс и браузить веб сервой. Если это для них рабоает. В таком виде я даже возражать не буду. А когда идея в том что вы програмьте дескать на этом птичьем языке, обставившем даже плюсы по закорюкам, но главное чтобы не я - не, вот так не годится, идите нафиг. > Суть - дыры в сишной программе, от того, что ты хейтишь раст, дыры в коде не исчезают На мой вкус в расте есть намного более жирная дыра в виде излишне централизованой репы подконтрольной хрен знает кому - которому лично я не доверяю. Поэтому у меня нет оснований доверять софту на расте и тем кто билдует его ставя хрен знает что из npm-подобного барахла. И какая мне нахрен от вас таких безопасность если завтра эту репу мудасофт скупит на корню и начнет прямо оттуда бэкдоры пхать и цензурить софт? >> Valgrind'ом, лол. > Ну ка покажи доказательство абсолютной корректности работы валгринда, чтоб все битье памяти > гарантировано вычищал Чего там про отход от темы? Вы и для раста это ведь не покажете. Извините, его кодогенерация завязана на наркоманский llvm где мегов под 60 кода навалено. Писаный, кстати, не на расте. И кто бы там чего бы гарантировал в этом месиве которое оно вообще нагенерит? И с какого бы бодунища эти гарантии вообще взялись? Кто-то вообще смог внятно проанализировать корректность 60-метровой либы? :D >> А так вон аудиторы еще есть. > Гарантируешь, что они идеальны и сами не бьют память? Идеальны, не идеальны - а хлеб едят не зря. Но у меня есть и идеальный способ - apt purge. Вот так все-равно на чем оно написано и насколько проанализировано. Как угодно, но эти упыри задолбали своим sudoedit'ом. Им никто не пользуется, но это самый проблемный компонент. В этом месте я начинаю считать что у господ большие проблемы с управлением проектом вообще, так что врядли они могут заниматься безопасным софтом хоть на чем. И никакие серебряные пули от идиотии разработчика не помогают. А когда разработчик не понимает что не надо делать сотни ненужного крапа под elevated правами - это именно жесткая идиотия в области безопасности.
	Ответить | Правка | К родителю #182 | Наверх | Cообщить модератору

	278. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (278), 27-Янв-21, 22:24
	> А какое им дело на что тратят жизнь сишники? А в этом треде отметился растоман, топящий за раст? Здесь только сишники, которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо" > Могут идти куда там в свой редокс и браузить веб сервой. Еще раз. Вопрос, заданный почти в корне этого треда, звучит так - что нужно сделать, чтобы сишники писали недырявый код. Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры в сишных прогах исчезли мгновенно? > На мой вкус в расте есть Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а не чем заменить Си, остальное из отрывка - демагогия, потому что не является ответом на заданый вопрос > Вы и для раста это ведь не покажете. А я и не должен, я не топлю за раст, я просто хочу увидеть обстоятельный ответ на вопрос о том, как сделать так, чтобы сишники не писали дыр в своем софте, хотя бы тех дыр, причина которых - битье памяти > у господ большие проблемы с управлением проектом вообще Проект на сях с нормальным менеджментом и без сишных дыр в студию, можно еще и с какой-нить типа гарантией, что там нет дыр Что вы докапались до раста? Или в сишных головах ответ на вопрос "почему сишные программы бьют память" заключается в чем угодно, но не в сях и не программистах на сях? Ну ок, причина битья памяти сишными программистами - дерьмовый раст, куда мне сказать это в свой ноутбук, чтоб весь дырявый код на нем залечился? А способ зарядить воду там или еще что есть, чтобы я мог отдать своей родне эту воду, которой они побрызгают уже свои компы?
	Ответить | Правка | Наверх | Cообщить модератору

	301. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 28-Янв-21, 00:06
	> А в этом треде отметился растоман, топящий за раст? Здесь только сишники, > которые на вопрос "почему сишники пишут код, бьющий память" отвечают "раст дерьмо" Мы бы наверное и про растаманов говорили что-нибудь такое. Если б софт от них был. Нуачо, про питона говорим, про пых говорим, мозилла даже на JS смогла. А эти что, особенные? Да ну ладно, каджый кто так считал обломался по черному. > Еще раз. Вопрос, заданный почти в корне этого треда, звучит так - > что нужно сделать, чтобы сишники писали недырявый код. Убить всех человеков - устроит? Тогда в принципе все программисты перестанут делать дыры, на любых ЯП. А так людям свойственно ошибаться - значит, дыры с нами будут. На самых разных ЯП. Стало быть и на си. > Заметь, нислова про раст сказано не было, но местные упоротые на простой и ясный > вопрос продолжают орать, что раст дерьмо. Ну ок, дерьмо. Теперь дыры > в сишных прогах исчезли мгновенно? Дык вы в вашем праве напрогать ваши программы, на чем хотите, и посмотрим сколько и чего будет там. А так то не ошибается тот кто ничего не делает. Но ошибка ошибке все же рознь. Вот конкретно тут прогеров на какое-то донкихотство с sudoedit пробило, это перешло в нездоровую фиксацию на своем фетише, и в конце концов к довольно забавной лаже, когда они попытались сделать своему фетишу отдельный фавор, на чем и погорели. > Суть вопроса - что делать с сишниками, которые пишут дырявые программы, а > не чем заменить Си, остальное из отрывка - демагогия, потому что > не является ответом на заданый вопрос Сишники такие же люди как и все остальные. И то что они делают больше багов чем вон те вебмаками - ну вот не факт. Достаточно зайти на сайт с базой CVE и посмотреть ассортимент. Почему претензии только к сишникам из всей этой толпы? > чтобы сишники не писали дыр в своем софте, хотя бы тех > дыр, причина которых - битье памяти Вообще, статический анализ улучшать, имхо. Но в конкретно этом случае битье памяти вообще следствие какого-то приступа бреда у кодера, если кодеру настолько сорвало башню его sudoeditmania'ей - там наверное никакие яп и иеструменты не помогут особо. Свою бошку кодеру не пришьешь (хотя, если тело молодое, это обсуждаемо, ха-ха). > Проект на сях с нормальным менеджментом и без сишных дыр в студию, > можно еще и с какой-нить типа гарантией, что там нет дыр Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр. Кстати да, есть "математически верифицированные" микроядра, вполне себе на си. Их разработчики мамой^W математикой клянутся :). Насколько оно так и правда - ну, может, пока оно остается тупым тасксвичером, это даже и так. Проблема в том что на этом операционка не заканчивается. И удачи в математической верификации, хотя-бы, обработчика протокола TLS, чтоли, со всеми его опциями и заскоками. > Что вы докапались до раста? Или в сишных головах ответ на вопрос > "почему сишные программы бьют память" заключается в чем угодно, но не > в сях и не программистах на сях? В данном случае - потому что програмер набредокодил, в странных потугах сделать зачем-то фавор своему фетишу и лопухнувшись на этом. На кой черт они это ТАК кодили - логично спросить у них.
	Ответить | Правка | Наверх | Cообщить модератору

	305. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (278), 28-Янв-21, 00:34
	> А так людям свойственно ошибаться - значит, дыры с нами будут. Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память? > Дык вы в вашем праве напрогать ваши программы Что не заставит сишников пилить код без битья памяти > Сишники такие же люди как и все остальные. А я и не спорю, делать то что с этим? Смириться? > Почему претензии только к сишникам из всей этой толпы? Потому что прога в теме написана на сях и в ней допущено характерное для сишных прог битье памяти > Вообще, статический анализ улучшать, имхо Надо, а действия где? > Сразу после того как вы на хоть чем-нибудь сможете предоставить сколь-нибудь фичастый проект с гарантией отсутствия дыр. Я никакой проект не смогу представить, но ведь данный факт не влияет на то, что сишники любят бить память? > Кстати да, есть "математически верифицированные" микроядра Почему не весь софт? А почему нет работ в сторону более легковерифицируемых языков? А если и есть, почему требовательные к надежности вещи пишутся не на них? > И удачи в математической верификации Не мне, сишникам > В данном случае - потому что програмер набредокодил "А вот там дыра, потому что програмер набредокодил, и вот там дыра, потому что программер набредокодил" Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования? Прошу объективные критерии пожалуйста
	Ответить | Правка | Наверх | Cообщить модератору

	311. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (311), 28-Янв-21, 01:56
	> Почему бы не сделать инструментов, которые нивелировали или вовсе не давали бить память? Потому что уменики с серебряными пулями утомили. Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете. > Что не заставит сишников пилить код без битья памяти Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой. Можете даже в пику негодяям написать свою программу, на чем вам там угодно и пользоваться ей всем назло. Я, кстати, первый вариант реализовал. Не потому что си, а потому что наркомания этих господ с sudoedit утомила. Не понимаю почему все эти тантры там вообще должны были быть. Я с ними не согласен на предмет того что таким вещам в такой категории программ вообще место, поэтому и apt purge. Но я и pybitmessage так же в свое время вынес, просто случайно открыв его файлик, охренев и быстренько выпилив это нахрен. Как показала история с RCE бэкдорообразным багом - стопроцентно угадал. > А я и не спорю, делать то что с этим? Смириться? Ну, если вариант убить всех человеков не нравится (гарантирует избавление человечества от багов), могу предложить пистолет с одним патроном (избавит от мучений только вас). А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE. Почему в i++'й раз это должно оказаться иначе? > Потому что прога в теме написана на сях и в ней допущено > характерное для сишных прог битье памяти Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали. И денег вы автору за прогу, имхо, не платили. Так что зарываетесь, сэр. > Надо, а действия где? В сабже? :) Но глядя на то какую наркоманию в коде исследование вскрыло - я, пожалуй, не буду пользоваться этой программой. Нездоровая фиксация на sudoedit и ее результаты меня пугают. Я вообще не понимаю какого хрена этот код там делает. > Я никакой проект не смогу представить, но ведь данный факт не влияет > на то, что сишники любят бить память? Они врядли любят ее бить, но это один из вариантов их ошибок. С которым они с переменным успехом учатся бороться. А в других яп и рантаймах другие категории ошибок, и нифига не меньше. И опять же - сишники не могут потребовать от вас использовать их программы. Не нравится - не жуйте, в чем вопрос? > Почему не весь софт? Потому что был такой дядька, Тюринг, он популярно объяснил что это не очень то и работает. И кстати вот тут с растом довольно Они придумали нечто на грани хака, и насколько их идея с borrow checker работает и откуда следует что это не лажает - вроде открытый вопрос в CS. Чтобы это кто-то всерьез исследовал, наверное, проекты на этом должны быть поинтереснее чем нарабочее двигло браузера не взлетевшее за 10 лет. Кому надо это и окружение вокруг исследовать? Как мне кажется, у растовиков будет скорее на манер pip/npm, когда толи кто-то пакет "не тот" залил, толи какой-нибудь сотрудний майкрософт "случайно" ключ пролюбил (два раза подряд2222, офицеру NSA). > А почему нет работ в сторону более легковерифицируемых языков? Может, потому что теоретически это вообще mission impossible - для любого ЯП. Практически для си статический анализ развит получше чем для многих других, а проблемы более-менее изучены. Для остальных это вообще в лучшем случае в зачаточном состоянии и то что их анализировать проще вообще не факт. > А если и есть, почему требовательные к надежности вещи пишутся не на них? Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать. Увы, теория оказалась далека от практики. А сделать контейнер как гугол (мелким файлом на сях, пару кило, несколько сисколов) для изоляции браузера в отдельную песочницу этим концептуалам как раз видите ли религия не позволила, их та ЯП там должен был спасать. А если вдруг не спас, ну, тогда это запроектная авария и эксплойт шарахается по всему диску без ограничений, тыря все что найдет. > Не мне, сишникам Да у сишникой язык достаточно простой и изученный, так что далеко не хучший в этом плане. > Как определить, набредокодил програмер или нет? Как уменьшить количество бредокодирования? Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило. > Прошу объективные критерии пожалуйста Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне.
	Ответить | Правка | К родителю #305 | Наверх | Cообщить модератору

	332. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (332), 28-Янв-21, 09:33
	> Эта история уже не первый год, но список CVE почему-то намекает что это работает вообще совсем не так как вы вещаете. Ну просвети, как список CVE влияет на битье памяти > Абсолютно. Вам вообще в этом мире никто ничего не должен. Поэтому если вам что-то не нравится, вы в своем праве пойти нафиг и не пользоваться программой. Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. > А так - вон в пыхе и питоне переполнений буферов нет, но это чего-то не помешало появиться вон тому длинному списку CVE В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. > Так собственно сишники к вам не приходили, пистолет не наставляли, программы использовать не требовали Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. > Не нравится - не жуйте, в чем вопрос? В том, что мой отказ не избавит сишные проги от битья памяти > А в других яп и рантаймах другие категории ошибок, и нифига не меньше. Ссылку на сравнительный анализ в студию > Потому что был такой дядька, Тюринг, он популярно объяснил Ссылку на доказательство невозможности построения систем без битья памяти в студию > И кстати вот тут с растом довольно Раст дерьмо, ты разве не в курсе? > Может, потому что теоретически это вообще mission impossible - для любого ЯП. Или не может? Ссылку на исследования в студию > Практически для си статический анализ развит получше чем для многих други Я рад, кончено. Спасает от битья памяти то уже или нет? > Да вон мозилла рассказывала как все будет безпасТно если просмотр PDF на JS сделать. В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. > Да у сишникой язык достаточно простой и изученный Легко и просто бьем память > Я в данном случае определил посмотрев на описание бага и код который прогер нагамнякал. Хватило. Ну я же просил объективные > Объективные критерии хреново работают для людей. Но для начала - запустить парочку статических анализаторов и посмотреть что они скажут. Откровенное г будет запалено. Но двуногие довольно хитрые, обмануть машину они умеют. Тем более что теория в этом на их стороне. Ну то есть способов нет получается?
	Ответить | Правка | К родителю #311 | Наверх | Cообщить модератору

	355. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (355), 28-Янв-21, 16:01
	> Ну просвети, как список CVE влияет на битье памяти Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются. А то что они малость фалломорфируют, заодно усугубившись "за меня подумает яп и рантайм" - ну да, и чего? Это чем-то лучше? > Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая > и не снилась. Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне. А, стоп, даже там low level на плюсах. Да и кернел у вас на чем? Ну, валите на Redox? Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец? А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое. > В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. Да там большинство взломов вообще на переполнения не полагается. Скорее какой-нибудь ремотный инклюд, эвал, отсутствие проверки данных. Последнее, впрочем, примерно из той же области что и буфера, те же яйца, вид в профиль - прогеру впадлу лишние проверки кодить или он лажанулся. > Я отказываюсь от сишного софта - сишники перестают бить память. Власть, которая и не снилась. Обещаю не скучать от вашего отсутствия. > В том, что мой отказ не избавит сишные проги от битья памяти Ну, напишите свой вариант судо, на чем вам там удобно. Может им даже кто-то пользоваться будет. А мы посмотрим насколько это все безопасТнее получится и помогут ли вам ваши ляхи. Не, на понт это не берется, кукуйте. Только делом доказать. > Ссылку на сравнительный анализ в студию Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори. > Ссылку на доказательство невозможности построения систем без битья памяти в студию Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой с определенным вердиктом. Поэтому вердикт о том безопасна ли та или иная программа вам не видать как своих ушей. Есть некоторые нюансы и частности, но в целом вроде бы вот так. > Раст дерьмо, ты разве не в курсе? В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй. А у них самих имхо лекарство хуже болезни получилось. А так - чего там еще для системного програмизма можно придумать? Игогошечку? Блин, про него хипстеры с фуксией в этом качестве так красиво напалмом жгли. > Или не может? Ссылку на исследования в студию Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. Вы запрашиваете именно это по смыслу. Иногда в каких-то частностях возможно попытаться красиво смухлевать, как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где? А у других тупой подход с mandatory проверками везде и всюду и что еще прикольнее - вытекающей заменой гамна на какашки. У какого-нибудь питона например статического анализа считай что нет, поэтому валится все прямо в рантайм. И если для суды это в принципе сойдет еще (и то хрен его знает что хакеры придумают для извлечения профита) то вот когда это бортовой комп на полпути к марсу сделает, в лучшем случае подгузники менять придется. В хучшем в межпланетном пространстве прибавится несколько мумий.   >> Практически для си статический анализ развит получше чем для многих други > Я рад, кончено. Спасает от битья памяти то уже или нет? При желании - да. Еще можно с asan билдить. Этот то ловит все замечательно, прямо в рантайм, как явы какие-нибудь. Ну и скорость в пару раз профакается, конечно. Те кто поумнее, типа линукскернела, это даже запилили. В продакшне они конечно это не включают, тем более что если кернель в эксепшн по собственному багу уйдет это тоже не прикольно ни разу, но при fuzzing'е syzkaller'ом - оно таки очень кстати. > В пыхопитоне нет переполнений, но есть уязвимости, поэтому сишники будут переполнять. А пыхопитонерам на CVE скидки, или чего? > Легко и просто бьем память Не ошибается тот кто ничего не делает. > Ну я же просил объективные Для вас объективнее всего имхо пистолет с 1 патроном. > Ну то есть способов нет получается? Для вообще совсем перфекционистов - только пистолет с 1 патроном. Остальным - узнать про статические анализаторы, valgrind и asan/ubsan. При желании последние можно оставить - если просадка скорости пофиг, и секурити перевешивает это соображение. Просто большинство юзерей не хочет видите ли платить за секурити снижением скорости. Если так делать они с гомном замешивают. Так то win95 в эпоху захвата мира и на асме не брезговало писать. Академики шипели на это месиво. Юзеры сказали shut up and take my money. Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс. Что поделать, этот мир работает вот так.
	Ответить | Правка | К родителю #332 | Наверх | Cообщить модератору

	357. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от др. Аноним (?), 28-Янв-21, 16:18
	> Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. > как растаманы с borrow checker'ом, однако теоретические основы его работы - вообще где? http://smallcultfollowing.com/babysteps/blog/2018/04/27/an-a.../ Хорновский дизъюнкт, теория графов и проч. Ноль магии.
	Ответить | Правка | К родителю #355 | Наверх | Cообщить модератору

	392. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 29-Янв-21, 19:49
	> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. Он просто довольно общо задвинул. > Хорновский дизъюнкт, теория графов и проч. Ноль магии. О, неплохо, спасибо. Однако то что это все применимо к кон той 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует. А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да?
	Ответить | Правка | К родителю #357 | Наверх | Cообщить модератору

	396. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от анонн (ok), 29-Янв-21, 21:15
	>> Это какая-то анонимная отсебятина с притягиванием за уши Тюринга, не более. > Он просто довольно общо задвинул. Из того, что он "задвинул", совсем никак не вытекает "доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт". Объясняют на углубленных курсах CS, когда разбирают верификацию//анализ - потому что непременно найдутся те, кто "вспомнит" Тьюринга. 1) нам никуда не упали _все_ возможные варианты программ и их ввода и вывода, только то (очень маленькое) подмножесто, решающее реальные задачи. 2) невозможность "вынесения вердикта" ловится уже банальным счетчиком итераций анализатора и прочими ограничениями.   Отказываться от верификации//проверок, лишь потому что они не сработают на некоторых комбинациях - далеко не самый логичный поступок. 3) Так же кол. "нерешаемых" программ сильно сокращается при отказе от использования рекурсии или бесконечных циклов и прочими ограничениями. MISRA-C и проч. 4) Не менее "общно" опровергаем: У нас, в реальности - нет бесконечной "ленты" aka памяти, а для машины Тьюринга с таким ограничением, проблема остановки - внезапно, теоретически решаема. > any finite-state machine, if left completely to itself, will fall eventually into a perfectly periodic repetitive pattern. The duration of this repeating pattern cannot exceed the number of internal states of the machine... (Minsky 1967, p. 24) Поэтому, если уж вам хочется "козырнуть", используйте теорему Райса, что ли. >> Хорновский дизъюнкт, теория графов и проч. Ноль магии. > О, неплохо, спасибо. Однако то что это все применимо к кон той > 60-меговой либе 1 в 1 вроде бы вообще совсем ниоткуда не следует. К этому всему применимо "Слона едят по кусочкам".   Или, в том же духе, "А давайте просто забъем на все проверки и на развитие анализаторов, ведь они не смогут проверить все компоненты сразу!". Т.е. вы не пользуетесь ни valgrind, ни asan, т.к. они все равно ловят не все? Или к чему эта демагогия? > А, ну да, это же не ваша зона ответственности, так что гори оно там все конем, да? А без этих спрыгов с темы и нелепых фантазий совсем никак нельзя?
	Ответить | Правка | К родителю #392 | Наверх | Cообщить модератору

	368. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (35), 28-Янв-21, 17:43
	ну поехали по новой > Не с той стороны яйца чистите. Полно яп где память бить в принципе не катит, но CVE все-равно остаются. Поэтому сишники будут бить память > Я совершенно не возражаю чтобы вы пошли в джепу и пользовались хоть софтом на электроне. Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память > Будьте мужиком, хоть кто-то должен собачью еду жрать уже наконец Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память > А то приперлись тут к сишникам, юзаете их софт нахаляву да еще вырубаетесь. Хамло какое. ПЕРЕДАЮ ЭТО СООБЩЕНИЕ ЧЕРЕЗ ТЕЛЕГРАМ ЗПТ ПО МАКСИМУМУ ОТКАЗАЛСЯ ОТ СИШНОГО КОДА ТЧК ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ > Да там большинство взломов вообще на переполнения не полагается. Потому сишники будут бить память дальше > Обещаю не скучать от вашего отсутствия. Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным > Ну, напишите свой вариант судо, на чем вам там удобно. Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен > Любой список CVE. Там вообще большая часть дыр вебня, которую на сях все же довольно редко делают, что ни говори. Как так? Идеальный же язык для всего, а благодаря моим усилиям по его обезопасиванию стал еще и безопасным. > Это какое-то очень превратное понимание. Изначально - проблема в невозможности полного анализа одной программы другой Да господи, я даже послабление ввел - хотя бы от битья памяти спасите > В нем есть некоторые здравые идеи. Которые и сишникам бы стоило спереть, пожалуй. Ну наконец-то, признание проблемы, предложение решения > Это вытекает из доказательства Тюринга о невозможности одной программы анализировать другую и вынести вердикт. К сожалению, анонимус выше ответил, я не смогу порадовать тебя своим искрометным юмором здесь > Те кто поумнее, типа линукскернела, это даже запилили. А тем временем память в ядре все так же бьется > А пыхопитонерам на CVE скидки, или чего? Тема про сишную прогу с сишноспецифичными багами > Не ошибается тот кто ничего не делает. Как сделать так, чтоб ошибались поменьше? > Для вас объективнее всего имхо пистолет с 1 патроном. Я воспользовался этим предложением, просветление сишников тем временем достигло невероятных пределов > Академики с перфекционизмом пошли в ж...у, а озолотился пройдоха Гейтс. Кроме сей языков не осталось, сишники самые счастливые люди
	Ответить | Правка | К родителю #355 | Наверх | Cообщить модератору

	393. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (393), 29-Янв-21, 20:22
	> Поэтому сишники будут бить память "вас это ..ть уже не должно" (с) :) > Я ушел в джепу и пользуюсь софтом на электроне, благодаря этому сишники перестали бить память Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс. > Жру собачью еду, сишиники настолько обрадовались, что даже не думают о том, что надо бить память Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто. > ПРОШУ ПРЕДОСТАВИТЬ ГОЛУБЕЙ ДЛЯ ОБЩЕНИЯ ГОЛУБИНОЙ ПОЧТОЙ ЗПТ СИШНИКИ НЕ БЬЮТ ПАМЯТЬ RFC1149 в помощь, телеграфните им в голубятню. > Потому сишники будут бить память дальше А голубей будет бить дед с берданкой. Мир не идеален. > Благодаря этому невероятно счастливые сишники даже забыли, что память бьется, софт стал идеальным Сишники знают что идеальный софт - фикция. > Написал 138 триллионов миллиардов вариантов судо. Или ни одного. Тем временем благодаря > этому сишники пребывают в состояний невиданной эйфории, они познали бездырявый дзен Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :) > Как так? Идеальный же язык для всего, а благодаря моим усилиям по > его обезопасиванию стал еще и безопасным. Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится. > Да господи, я даже послабление ввел - хотя бы от битья памяти спасите Ну так для этого есть решения. А то что ими не все пользуются... я тут как-то с питонистом сравнил, после этого считаю что сишники не такие уж и плохие. Он вообще тесты презирает, вау. > Ну наконец-то, признание проблемы, предложение решения Ну так если вы не заметили, сишники свои проблемы решать обычно умеют. Не всегда стопроцентно, не всегда идеально, но вообще - получше многих других. Можете зайти в тред к питонистам и посмотреть на их взгляды на написание софта. > А тем временем память в ядре все так же бьется На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно. В любом случае, это останется написано на си в ближайшие десятилетия, так что редокс и фуксия в помощь если надо не оно. > Тема про сишную прогу с сишноспецифичными багами Я бы сказал про compound баг, при том лично мои претензии - к всей этой возне с sudoedit'ом, которая, вот честно, достала. Для меня самое досадное что вулны в нафигнужной (анти)фиче которой я ни разу в жизни не пользовался. И вот это повод выпилить такую программу. Зачем мне тот кто решает несуществующую проблему, да еще и наломав попутно дров в попытке сделать особый фавор этому решателю проблем? Это уже бред у кодера, имхо. > Как сделать так, чтоб ошибались поменьше? Я для себя делаю так: -wall, cppcheck, valgrind, а если в себе или чужом коде совсем не уверен - билд с asan+ubsan, для больших сетевых сервисов в основном. Ну и прочие hardening флаги. Они кстати не особо скорость просаживают. > Я воспользовался этим предложением, Не похоже. > Кроме сей языков не осталось, сишники самые счастливые люди На чем еще системщину писать? Редоксом даже его авторы вроде не пользуются для повседневных дел, в фуксии упражнения хипстеров вообще трэш и угар. А, ну еще реактос есть, с ядром на каком-то диалекте плюсов, но это уж совсем жесть. А, еще M$ пытался писать нечто на .NET. Теоретически вроде безопасТно. Практически - оно настолько никому не надо что аудит никто никогда не делал.
	Ответить | Правка | К родителю #368 | Наверх | Cообщить модератору

	398. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (398), 30-Янв-21, 11:31
	> "вас это ..ть уже не должно" (с) :) Меня не ..ть это, но сишники бьют память > Отлично, так держать. Еще можете явой обмазаться, на каком еще андроиде. Там другие вещи будут течь, типа геолокации. Удобно, можно бить не только память но и интерфейс. А сишники продолжают бить память > Ну тогда хоть скриншот из редокса реквестирую с опеннетом. Посмотреть на это нечто. Не предоставлю, ибо не влияет на битье памяти сишниками > RFC1149 в помощь, телеграфните им в голубятню. Телеграфнул, кончились. А дыры из-за битья памяти в сишных программах нет. > А голубей будет бить дед с берданкой. Мир не идеален. Поэтому мы жаже не будем избавляться от деда с берданкой и не будем улучшать голубей. И си. Голубей продолжат сбивать, а сишники продолжат бить память > Сишники знают что идеальный софт - фикция. Но они даже не пытаются сделать его лучше. > Легко! Достаточно не писать программы - и в них точно не будет дыр, независимо от яп :) А можно писать программы и не бить память? > Любой ЯП со своими скелетами в шкафу. Вопрос в том как все это с другими соотносится. Нет, вопрос в том, как заставить сишников не бить память > На самом деле в последнее время с всякими ботами и kasan они это дело здорово подтянули. Так что не сказал бы что это сильно злободневно. С обсуждаемой софтиной тоже не было злободневно, а теперь тут 300+ комментов > В любом случае, это останется написано на си в ближайшие десятилетия Поэтому надо как-то сделать так, чтобы битье памяти не стреляло каждый раз >  Я бы сказал про compound баг Что скажешь про баги с битьем памяти? > Я для себя делаю так Гарантируешь, что ничего не бьется? А верификация? Обоснование рисков и тд? > Не похоже. Просто пишу через дыру из-за битья памяти, допущеную Б-гом при создании Вселенной > На чем еще системщину писать? Ни на чем, поэтому вокруг нас продолжат появляться программы с битьем памяти Если ты забыл, то судо в этой ветке назвали "важным компонентом системы". Для чего, если не для таких компонентов улучшать способы производства ПО? На предложение верифицировать ответили про какого-то там Тьюринга(Известный мне Тьюринг такой херни не доказывал), дескать он доказал, что не бить память невозможно, но на предоставление пруфов только огрызаются. А если он этого не доказывал, то почему сишники не исследуют это направление, только флагами компилятора на включение каких то хитрожопых эвристик без гарантий обмазываются?
	Ответить | Правка | К родителю #393 | Наверх | Cообщить модератору

	84. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (84), 27-Янв-21, 13:59
	Кого учить? Посмотрите сколько лет опыта программирования у контрибьюторов проектов sudo, vlc, grub, openssl, linux kernel, еще-какой-то-популярный-проект-с-недавней-уязвимостью. Их уже поздно учить. И вообще не факт что оно поможет, потому что самый крутой программер в какой-то момент нафакапит с памятью.
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

	94. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 14:14
	Поэтому мы всем кодерам свяжем руки с помощью сраст. Спасибо, низкоуровневый аналог пердона не нужен.
	Ответить | Правка | Наверх | Cообщить модератору

	100. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:26
	> низкоуровневый аналог пердона не нужен Зато дыры в важных частях системы нужны Очевидно же, что просто "заставить писать правильный код" не получится, нужны гарантии на каких-то простых механизмах, аппаратных, программных, не важно, а то сишники будут вечно отстреливать ноги, крича, что "пердоны не нужны"
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:38
	А хруст так уж мешает придуркам вызывать всякое нафигнужное из привилегированной программы? Там вон даже автор pybitmessage на питоне смог, влепив eval на входных данных. И получилось офигенно. и тормозно как трактор и дыряво. Да и код там такой что obfuscated C contest покажется детским лепетом.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:40
	Ему про си, он опять про раст, ему тыкают, что разговор про си, он опять приносит раст. Я не спорю, что раст говно, но данный факт никаким образом не избавляет сишный код от дыр
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (355), 27-Янв-21, 16:59
	Да тут вообще дыра в менеджменте проекта - делать все эти танцы с sudoedit'ом из привилегированной программы - нахрена вообще? Этой пакостью отродясь никто не пользуется, кроме тех кто CVE фигачит.
	Ответить | Правка | Наверх | Cообщить модератору

	187. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (35), 27-Янв-21, 17:44
	Внесите в студию проект на сях с нормальным менеджментом и без сишных дыр
	Ответить | Правка | Наверх | Cообщить модератору

	273. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 22:11
	> Внесите в студию проект на сях с нормальным менеджментом и без сишных дыр А сравнивать то с чем будем? С проектами на расте которых .. нет? Поэтому там вообще terra incognita на тему каких дров этой штукой можно наломать и как это может выглядеть.
	Ответить | Правка | Наверх | Cообщить модератору

	285. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (278), 27-Янв-21, 22:35
	> А сравнивать то с чем будем? А количество дыр разве величина относительная? Проект считается недырявым, если дыр в нем меньше, чем в другом проекте, реализующем ту же функциональность > С проектами на расте которых .. нет? Проектов на расте нет, поэтому на сях всегда пишутся программы, небьющие память, пример такой программы в заголовке темы /очевидный сарказм еси че/
	Ответить | Правка | Наверх | Cообщить модератору

	312. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (311), 28-Янв-21, 02:04
	> А количество дыр разве величина относительная? Проект считается недырявым, если дыр в > нем меньше, чем в другом проекте, реализующем ту же функциональность Так в этом то и трабл - сравнивать особо не с чем. > Проектов на расте нет, поэтому на сях всегда пишутся программы, небьющие память, > пример такой программы в заголовке темы Там пример программы где у авторов по мере кодинга случилась бредовая фиксация на фиче которой вообще там быть не должно. А где-то дальше по ходу пьесы они пытались своей какашке фавор сделать как специальный случай и наломали при этом дров. Я вообще не понимаю как и почему трезвый кодер в здравом уме и твердой памяти должен кодить то что там есть по этому поводу. > /очевидный сарказм еси че/ Это походу все на что хватает таких умников.
	Ответить | Правка | К родителю #285 | Наверх | Cообщить модератору

	334. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (332), 28-Янв-21, 09:38
	> Так в этом то и трабл - сравнивать особо не с чем. Поэтому сишники будут бить память. Не с чем сравнить - наша программа даже с битьем памяти абсолютно безопасна > Там пример программы где у авторов по мере кодинга случилась бредовая фиксация на фиче То есть ты утверждаешь, что если бы они не приделали левую фичу, то битья памяти не было? Если я выпили из судо судоедит, то больше битья памяти не останется? > Это походу все на что хватает таких умников. Это как то влияет на процессы битья памяти сишниками?
	Ответить | Правка | К родителю #312 | Наверх | Cообщить модератору

	356. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 28-Янв-21, 16:15
	> Поэтому сишники будут бить память. Не с чем сравнить - наша программа > даже с битьем памяти абсолютно безопасна Значит будут. Хотя если вот лично вы на лично ваших системах не хотите это все, можете хоть KASAN в ядре врубить и гонять с ним. Да еще в виртуалку это засунув, так что даже если память и побьется, то типа-ненастоящая все-равно. Но скорость в пару раз таки может просраться. Тем не менее - большой вопрос, сольет ли вот эта моя kvm'ная VM вон тому redox'у по performance. А откатить я в ней могу не только сишные приколы, но и все остальные - они вообще настоящют систему не получают никогда. А даже если они и переполнят память - это где-то там. И если в файловую систему прорвутся - где-то там. И из файлов можно украсть только недавние даунлоады браузера. Это появилось благодаря мазиле с ее "безопасным просмотрщиком", заставили задуматься как эту их безопасную субстатцию реально confine'ить. > То есть ты утверждаешь, что если бы они не приделали левую фичу, то битья памяти не было? Нет фичи - нет проблем в ней. Чем проще софт тем меньше в нем подобных приколов. И всех остальных приколов - тоже. За это я люблю лаконичные простые программы. Только это, перепрятать сложность в мегарантайм не решение - а кто сказал что в нем багов не будет в результате? > Если я выпили из судо судоедит, то больше битья памяти не останется? Если стремно - можно с asan+ubsan собрать. Но вообще я предпочел стереть нафиг. У авторов обсессия на том чего в программе такого плана вообще быть не должно. Это хреново, они утратили рациональное мышление и делают хрень. >> Это походу все на что хватает таких умников. > Это как то влияет на процессы битья памяти сишниками? Не знаю. Никогда не задумывался над этим.
	Ответить | Правка | К родителю #334 | Наверх | Cообщить модератору

	369. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (35), 28-Янв-21, 17:55
	> Значит будут. Хотя если вот лично вы на лично ваших системах не хотите это все, можете хоть KASAN в ядре врубить и гонять с ним. Я все могу, по совету из соседнего треда применил на себе пулю, пишу с того света. И знаешь что? Даже тут сишники бьют память > Нет фичи - нет проблем в ней. А есть способ появить фичу без битья памяти? Ну нужна какая-то фича > Если стремно - можно с asan+ubsan собрать. Но вообще я предпочел стереть нафиг. Хочу фичу хотя бы без битья памяти, так уж и быть, с остальным разберемся сами
	Ответить | Правка | К родителю #356 | Наверх | Cообщить модератору

	394. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (393), 29-Янв-21, 20:27
	> Я все могу, по совету из соседнего треда применил на себе пулю, > пишу с того света. И знаешь что? Даже тут сишники бьют память Ты нифига не понял. Кому дыра, а кому и call gate. Мы так между мирами путешествуем. > А есть способ появить фичу без битья памяти? Ну нужна какая-то фича Способы то всегда есть, вопрос в цене и желании этим всем заняться. > Хочу фичу хотя бы без битья памяти, так уж и быть, с > остальным разберемся сами Ну так пофиксь. Впрочем они и сами пофиксят, имхо. И тем не менее, чем больше фич, тем больше в программе багов. А дыры - частный вариант багов, когда атакующий использует незапланированное поведение программы для получения каких-то дивидентов, не предусмотренных програмерами. Так что чем меньше фич тем безопаснее, при прочих равных.
	Ответить | Правка | К родителю #369 | Наверх | Cообщить модератору

	400. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (398), 30-Янв-21, 11:43
	> Способы то всегда есть, вопрос в цене и желании этим всем заняться. Где-то здесь sudo назвали важным компонентом системы, но из этого сообщения понятно, что цена этой важности нулевая. > Ну так пофиксь. Я буду заниматься этим вечно, а есть предложения о том, как писать программы без битья памяти, как сделать так, что бы все им следовали и как автоматически порешать проблемы битья памяти в большинстве стандартных проектов? Почему в дистрибутивах не используют при сборке всяки там эти ваши анализаторы и сборку с миллионом эвристических флагов, попутно доказывая их корректность?
	Ответить | Правка | К родителю #394 | Наверх | Cообщить модератору

	140. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (84), 27-Янв-21, 15:40
	Ну вот как можно так рассуждать ничего не зная о теме обсуждение? Это же просто профнепригодность какая-то! Хотя о чем я, мы же на опеннете спорим с анонимусами. Тебе нужны развязанные руки? Пиши unsafe и вперед. И сможешь выходить за границы массивов, портить чужую память, делать double free и стрелять себе в ногу любыми другими способами. Придется конечно немного постараться, код написать. Но все в твоих руках. Но только в коде для других программистов будет большая плашка "Я знаю что делаю", даже если это будет вранье.
	Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

	160. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 16:55
	Один из растокомунити уже делал ансейф. В результате подвергся травле и  ушел.
	Ответить | Правка | Наверх | Cообщить модератору

	190. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (84), 27-Янв-21, 17:56
	И правильно сделали. Вместо того чтобы сделать правильно, он просто сгреб мусор под ковер типа "а тут все безопасно". И он не просто ушел, а поистерил и удалил репу. Правда потом его попустило и репу восстановил и проект продолжил развитие. ("Update 2020-01-20: Actix oficial web repository is back and the maintainer has stepped down. Actix will continue to be maintained.") Короче как обычно "и не в лотерею, а в карты, и не выиграл, а проиграл".
	Ответить | Правка | Наверх | Cообщить модератору

	395. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (393), 29-Янв-21, 20:28
	> И правильно сделали. Ну и лишились проекта в результате. При том что самое ценное что у них есть - нерабочий двигун браузера. Зато безопасТный. Ну кто б сомневался что браузер которым никто не пользуется и взломать не получится. Так то и IE3 безопасный - попробуй хоть 1 в диком виде взломать!
	Ответить | Правка | Наверх | Cообщить модератору

	399. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (398), 30-Янв-21, 11:37
	> Ну и лишились проекта в результате Беру и скачиваю, никуда он не делся. И даже потихоньку пилится сообществом > При том что самое ценное что у них есть - нерабочий двигун браузера. Прямо сейчас пишу это сообщение из браузера с двиглом отрисовки, написнном на расте. Если что, этот браузер называется firefox > Так то и IE3 безопасный - попробуй хоть 1 в диком виде взломать! Ведь от того, что им никто не пользуется, в нем исчезли все баги
	Ответить | Правка | Наверх | Cообщить модератору

	314. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (311), 28-Янв-21, 02:06
	> Тебе нужны развязанные руки? Пиши unsafe и вперед. Да мне как-то на сях прикольнее вашего птичьего языка. А если вам что-то не нравится - так и не пользуйтесь. Денег вы мне все-равно не платите, так что можете катиться с вашим растом куда подальше, имхо. Мне западло иметь дело с комьюнити горластых виндозных ламеров. Сями для начала нормальные кодеры пользуются, умеющие что-то за пределами обсирания других.
	Ответить | Правка | К родителю #140 | Наверх | Cообщить модератору

	116. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:42
	> Учить их программировать, не? Говорят что с подшиванием свой бошки чужому телу есть некоторые нюансы. Там вообще-то даже и не в програмизме проблема, а в пофигизме к безопасности. Уйма левых действий из привилегированной программы хрен знает зачем. С sudoedit'ом многострадальным, который исторически никому счастья вроде не принес, если не считать за это проблемы и вулны.
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

	164. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 16:59
	> Там > вообще-то даже и не в програмизме проблема, а в пофигизме к > безопасности. А вот это уже лечится только лечебным наложением рук. Либо на тушку, либо на кошелек. Но я пологаю, что их просто дрючат по типу "ну когда уже, надо было вчера все доделать!"
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним. (?), 27-Янв-21, 14:04
	Что угодно, кроме перехода на Раст это очевидно. При переходе на Раст у вас автоматически появляется две проблемы. Одна проблема дырени от которых он не спасает, вторая проблема сам Раст.
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

	107. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (35), 27-Янв-21, 14:32
	> Что угодно, кроме перехода на Раст это очевидно Ну дак не переходите, просто пишите недырявые программы лол
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (355), 27-Янв-21, 17:00
	> Ну дак не переходите, просто пишите недырявые программы лол Так с вот этим у них и не задалось. Они зачем-то из привилегированной программы кучу левого хлама удумали делать с каким-то sudoedit'ом. Концептуалы хреновы.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от пох. (?), 27-Янв-21, 12:00
	Естественно - руки, шаловливые. Совершенно ненужная и никем в здравом уме не то что неиспользуемая фича, а о ней вообще вряд ли кто знал, кроме любителей поискать дырени. "все версии sudo с 1.8.2" - ну то есть как раз когда в код начали массово добавлять ненужный мусор.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	81. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Анрним (?), 27-Янв-21, 13:56
	> "все версии sudo с 1.8.2" - ну то есть как раз когда в код начали массово добавлять ненужный мусор. Когда людей потравили, а оставшиеся быдло пишет только мусор.
	Ответить | Правка | Наверх | Cообщить модератору

	192. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (192), 27-Янв-21, 18:02
	Вообще очень странный этот коммит 2011 года. Не вижу необходимости изменять конкретно этот блок кода, где суть уязвимости. И старый код был проще для понимания. Вполне может быть и умышленно добавленный бэкдор.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	200. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от пох. (?), 27-Янв-21, 18:32
	так суть уязвимости не в том комите. Комит эскейпинг добавлял. Сам по себе - безобидный, если бы у программы не было "третьего состояния", отличающегося от запуска с ключом -e и от запуска без ключа. И вот оно-то - ненужное ненужно. Появилось сильно раньше того комита. Поищи по истории про плагины - когда они появились и для чего, и ужаснись.
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:34
	> Неужели опять сишка или всё-таки руки из попки? Больше похоже на вещества у разработчиков, решивших всем зачем-то всучваить свой sudoedit любой ценой, хоть он никому сроду и не сдался. Ну вот кроме хакеров, хоть кто-то им теперь пользоваться наконец будет.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	358. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (358), 28-Янв-21, 16:21
	Жидо-масоны во всем этом виноваты. И дыру тоже они умышленно проделали. Истребили админов, а дЫво-опсЫ не могут ведро собрать с: # CONFIG_COMPAT_BRK is not set не понимают зачем оно или не знают о нем.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

10. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
Сообщение от псевдонимус (?), 27-Янв-21, 11:25
Опять... Вернее снова(. Забавно, что во втором эксплоите вредонос "замаскировали" под бинарь с названием системда. Иронично!
Ответить | Правка | Наверх | Cообщить модератору

	14. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (14), 27-Янв-21, 11:31
	Это не замаскировали, а просто звёзды так сошлись и удобная переменная из https://github.com/systemd/systemd/blob/main/src/shared/user... оказалась в памяти.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 11:34
	Ещё ироничнее!
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:43
	> Ещё ироничнее! А настоящий вредонос тем временем sudoedit назывался, судя по тому что им только хакеры и хотят пользоваться :P. А прикольно он замаскировался, с 2011 года никто не замечал.
	Ответить | Правка | Наверх | Cообщить модератору

13. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
Сообщение от Аноним (13), 27-Янв-21, 11:30
Ну если докер образ содержит sudo и это будет можно выполнить, тогда это долго будет эксплуатироваться в жизни, пока древние контейнеры не обновят.
Ответить | Правка | Наверх | Cообщить модератору

	17. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 11:35
	Так им и надо.
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+9 +/–
	Сообщение от Аноним (35), 27-Янв-21, 11:49
	> Ну если докер образ содержит sudo В докере до сих пор принято пускать софт от рута, в таких случаях судо не нужен, чтобы получить рут на хосте
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	65. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (65), 27-Янв-21, 13:19
	чаще всего в докерах юзают gosu вместо обычного судо.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:44
	> чаще всего в докерах юзают gosu вместо обычного судо. А какая вообще разница, как эта лабуда вообще называется, если root уже дали? :)
	Ответить | Правка | Наверх | Cообщить модератору

	71. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (71), 27-Янв-21, 13:26
	Особенно в непривилегированных контейнерах, ага... Да, судо там тоже есть, только толку с его SUID-бита. И в древних контейнерах, которые обновляют сильно чаще хостов, на которых они вращаются. Кто же специально запустил привелигированный контейнер, тот должен осознавать риски, и это не "хорошо" и не "плохо". Советую вам изучить комментируемую тему сначала.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

18. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
Сообщение от Аноним (18), 27-Янв-21, 11:35
Хм... а разве sudo сама по себе - не уязвимость, позволяющая получить привилегии root? :)))
Ответить | Правка | Наверх | Cообщить модератору

	22. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (22), 27-Янв-21, 11:49
	Да. С точки зрения бизнеса на прошивках. И над этим работают тоже. Из-под рута, из ядра etc. чтобы не была доступна часть памяти с проприетарным сторожем пользователя. Так что PinePhone, Librem и т.п. актуальны любителям.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от n00by (ok), 27-Янв-21, 12:36
	Само по себе "sudo" -- это плохое японское слово.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	69. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (69), 27-Янв-21, 13:24
	Почему плохое-то? Нормальное слово.
	Ответить | Правка | Наверх | Cообщить модератору

	165. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Lex (??), 27-Янв-21, 17:00
	какая ипония - такое и слово
	Ответить | Правка | Наверх | Cообщить модератору

	188. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
	Сообщение от Коммунист (?), 27-Янв-21, 17:47
	SuperUserDo. Стыдно быть компьюторщиком и не знать такого.
	Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

	333. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от n00by (ok), 28-Янв-21, 09:33
	Эту расшифровку я знаю. Чините миелофон.
	Ответить | Правка | Наверх | Cообщить модератору

	402. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 30-Янв-21, 21:36
	Разве не substitute user and do?
	Ответить | Правка | К родителю #188 | Наверх | Cообщить модератору

20. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–12 +/–
Сообщение от Fracta1L (ok), 27-Янв-21, 11:48
> Уязвимость проявляется с июля 2011 года и вызвана переполнением буфера Надеюсь Красношляпа соберётся с духом и перепишет с дырявой сишки на Раст хотя бы самые важные и критичные части системы
Ответить | Правка | Наверх | Cообщить модератору

	28. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (322), 27-Янв-21, 11:55
	Некогда им было, они очередную дыру писали: системд.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+7 +/–
	Сообщение от Аноним (36), 27-Янв-21, 12:05
	dbus <-> polkitd вот где дырень!!! Внимание polkitd замена su, sudo в systemd системах. plkitd имеет самую современную систему контроля доступа, это вам не старый простой текстовый файл /etc/sudoers здесь вам потеринг написал систему контроля доступа, внимание на ... барабанная дробь - Java Script! https://www.linux.org.ru/forum/security/15600248?cid=15622030
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 12:53
	А без дбус системда толком не работоспособна. Вот шляпнофридрисктопные технологии: полкит, дбус, хал, системда, жтк3,4,40к, ещё куча чудовищных костылей.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (99), 27-Янв-21, 14:21
	А хал чем был так плох что его выкинули? Та версия hal которую поддерживали в Gentoo чем плоха была?
	Ответить | Правка | Наверх | Cообщить модератору

	170. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Lex (??), 27-Янв-21, 17:03
	У судо и без жс дыры отлично получаются.. возможно даже слишком хорошо.. подозрительно хорошо
	Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

	207. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (207), 27-Янв-21, 18:48
	Так вот что значит буква d в systemd!
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

	315. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от ёбаныйОлег (?), 28-Янв-21, 02:08
	Так залатай сам, у тебя время есть) Мне иногда кажется, что сообщество линуксоидов это какое-то странное место, где вместо взаимопомощи люди просто бесконечно ярлыки вешают друг на дружку. Вместо помощи сообщества мы лучше поржомкаем, какие же разрабы тупые смузихлёбы, и какие хорошие мы, ведь ПРЕДЛОЖИЛИ этим отсталым разрабам которые пилят код для системы ПЕРЕПИСАТЬ ВСЁ ПРАВИЛЬНО НА РАСТ ВМЕСТО ДЫРЯВОГО СИ
	Ответить | Правка | К родителю #28 | Наверх | Cообщить модератору

	324. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (324), 28-Янв-21, 08:14
	В тяжелом случае с сЫстемд, неважен язык, у сЫстемд сам дизайн плохой.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (36), 27-Янв-21, 11:58
	echo '2' > '/proc/sys/kernel/randomize_va_space' В ведре: # CONFIG_COMPAT_BRK is not set И лечим больше, страшные, сишные дырени хотябы: -fstack-protector-all при сборке, но надо больше..
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	76. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (76), 27-Янв-21, 13:45
	А почему -fstack-protector-all все популярные дистры не используют? Есть какие-то недостатки?
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (2), 27-Янв-21, 14:09
	Даже strong просаживает копирование строк, а ты all хочешь. Всё равно отключают все проекты в своих скриптах, потому что производительность отправляется к чёрту и глупые-глупые пользователи начинают нахваливать конкурентов у которых уже давно -U_FORTIFY_SOURCE -fno-stack-protector -fno-stack-clash-protection захардкожено.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (99), 27-Янв-21, 14:17
	Оно просаживает только в бинарных дистрах. В самосборных, с оптимизацией под современный проц проседаний почти нет, даже быстрее все работает по сравнению с бинарным дистром.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:37
	> Оно просаживает только в бинарных дистрах. > В самосборных, с оптимизацией под современный проц проседаний почти нет, даже быстрее все работает по сравнению с бинарным дистром. Особая самосборная магия, ритуал "медитативное наблюдение лога сборки в черной консоли", сила ритуала завязанна на непорочность или продолжительность воздержания?
	Ответить | Правка | Наверх | Cообщить модератору

	138. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (138), 27-Янв-21, 15:36
	Пока собирает можно и сексом заняться. На генерируемые во время компиляции бинари секс никак не влияет, специально проверял системой воспроизводимых сборок.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (2), 27-Янв-21, 14:55
	Ах если бы. Но конечно зависит задач. Какой-нибудь портаж повесится.
	Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

	135. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (138), 27-Янв-21, 15:34
	emerge собирает все хорошо.
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (2), 27-Янв-21, 15:36
	Его только в прошлом месяце починили, до того он по 10 минут считал зависимости как раз беспощадным копированием.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (138), 27-Янв-21, 15:39
	Форкнул у себя когда с портов выкидывали hardened-source и paludis. Сегодня Gentoo уже ее тот: https://www.opennet.ru/openforum/vsluhforumID3/123015.html#23
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (99), 27-Янв-21, 14:11
	Использовать при сборки опции: "-Wformat -Wformat-security -Werror=format-security -D_FORTIFY_SOURCE=2 -fPIE --parm ssp-buffer-size=1 -fstack-protector-all -fPIC" мешают: 1. ???, наверно, у них бекдоры с троянами и прочей вирусней перестают работать. 2. Пользователь, оно же в тестах аж на 5-10% тормозить будет. Проги с JIT перестают работать вообще, а без JIT тормоза ~20% и не все без JIT собираются. 3. Ленивые дистросборщики, "Werror=format-security" очень трудоемкое дело, надо быдлософт фактически переписать безопасно. По хорошему это дело разрабов, но им тоже лень.
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	175. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Lex (??), 27-Янв-21, 17:07
	> Проги с JIT перестают работать вообще Стало быть штуки вроде браузерного жс замедлятся в разЫ
	Ответить | Правка | Наверх | Cообщить модератору

	330. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (330), 28-Янв-21, 09:23
	> Стало быть штуки вроде браузерного жс замедлятся в разЫ Это пропаганда тех кто эксплуатирует сишные дырени в быдло-дистрах: Google тестил свой v8 с JIT при работе с YouTube: https://v8.dev/blog/jitless с отключением JIT сайт работает всего на 6% медленнее: "Finally, we measured a simulated browsing session on the Living Room YouTube app which includes both video playback and menu navigation. Here, JIT-less mode is roughly on-par and only shows a 6% slowdown in JS execution compared to a standard V8 configuration. This benchmark demonstrates how peak optimized code performance is not always correlated to real-world performance, and in many situations embedders can maintain reasonable performance even in JIT-less mode. Memory consumption only changed slightly, with a median of 1.7% decrease of V8’s heap size for loading a representative set of websites. We encourage embedders on restricted platforms or with special security requirements to consider V8’s new JIT-less mode, available now in V8 v7.4." А Мозила с их Firefox на rust - овно с JIT и местом на помойке!
	Ответить | Правка | Наверх | Cообщить модератору

	343. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Lex (??), 28-Янв-21, 11:15
	>> Стало быть штуки вроде браузерного жс замедлятся в разЫ > Это пропаганда тех кто эксплуатирует сишные дырени в быдло-дистрах: > Google тестил свой v8 с JIT при работе с YouTube А что в ютубе сильно жс используется ? Я смутно помню, что основная его суть - это видеопоток или он тоже через жс реализован.. ну чисто, таймер на 40мс, по событию которого загружается очередной кадр в виде картинки, подменяющей нынешний в DOM дереве и 1мс таймер, по событию которого какая-то штука генерирует усредненный для того момента звук ролика и все это, в идеальном случае, превращается в онлайн-просмотр видео со звуком ?) До джита идет интерпретация( безопасней, но медленней ). Она, в среднем, в разЫ медленней, если не применять очень специфическую магию и особым образом не готовить скармливаемый двиглу "JS"
	Ответить | Правка | Наверх | Cообщить модератору

	359. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (358), 28-Янв-21, 16:27
	Noscript. И бровзер без JIT. Безопасность важнее. Пусть бровзер много порочность используют для ускорения, а не костыль с JIT. Все ПО с JIT в мусарку!
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (79), 27-Янв-21, 13:54
	А между тем автор way-cooler переписывает его с хруста на няшную сишку.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	123. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:47
	> А между тем автор way-cooler переписывает его с хруста на няшную сишку. Ух ты, он устал хайповать? А это что за штука?
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноньимъ (ok), 27-Янв-21, 16:02
	"Ну нешмогла я, нешмогла"
	Ответить | Правка | Наверх | Cообщить модератору

	168. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (355), 27-Янв-21, 17:03
	> "Ну нешмогла я, нешмогла" А растаманы вообще что-нибудь смогли кроме понтов и позерства?
	Ответить | Правка | Наверх | Cообщить модератору

	201. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноньимъ (ok), 27-Янв-21, 18:37
	>> "Ну нешмогла я, нешмогла" > А растаманы вообще что-нибудь смогли кроме понтов и позерства? Думаю смогли. Мои наблюдения показывают, что большая часть проблем с растом возникает у сишников пытающихся раст освоить. От них же и идет большая часть критики. Они просто не понимают самых базовых вещей в программировании, и ждут от раста того же что и от сишки (это же замена си11). А раст не сишка. Кстати говоря, похожие проблемы у людей с С# возникают, который МС рекламировала как "ну как в сишечке все знакомо и понятно", а он вообще не на принципах С++ построен. Выглядит похоже, как обезьянка на человека похоже, вроде похоже, но ведет себя совершенно иначе. И у сишников которые в С# лезут, и у джавистов которые в С# лезут. Возвращаясь к расту, вот там на нем какой-то сишних http сервер вроде написал, понапихав всюду usafe с придурошным Си подобным кодом. В итоге получилось не безопастно, некрасиво, дыряво, зато быстро. Ну, вы помните, были и новости, и вони много вокруг этой либы. Честно говоря, надо бы побольше раст этот пожамкать, у меня такое чувство, что паскаль его полностью заменяет.
	Ответить | Правка | Наверх | Cообщить модератору

	247. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (247), 27-Янв-21, 21:17
	Знакомый два года филл-тайм пишет на Расте. Говорит писать тяжело, скорость написания кода низкая из-за попыток угодить всем хотелкам борроу-чекера. А некоторые вещи без пин и ансейф вообще не работают и макросы еще.
	Ответить | Правка | Наверх | Cообщить модератору

	360. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Lex (??), 28-Янв-21, 16:31
	> Знакомый два года филл-тайм пишет на Расте. Говорит писать тяжело, скорость написания > кода низкая из-за попыток угодить всем хотелкам борроу-чекера. А некоторые вещи > без пин и ансейф вообще не работают и макросы еще. Алгоритмы усложняются, логика работы проектов усложняется.. еще и синтаксис и логика работы ЯП усложняется под предлогом какой-то абстрактной "безопасности"( которой в ИТ нет ). Возникает ощущение, что путь [тем же растом] выбран заведомо неверный. Вместо усложнения и заморачивания, нужно думать об улучшении восприятия, над тем, как более просто и наглядно отобразить логику работы того кода( а по хорошему, еще и масштабируемо по уровню абстракции ). Возможно, даже графически, в виде плана или блок-схемы, с пометкой входных/выходных потоков данных, тех, которые провалидированы итп... на основе которых уже генерируется выходной объект или модуль на каком-то ЯП. Вместо того, чтобы топить проект и логику работы в тоннах скобок, точек и черти-каких фиксов только чтобы [нифига не идеальная] система проверки кода предупреждений/ошибок не выдавала( привет, тайпскрипт - раст мира жс-разработки )
	Ответить | Правка | Наверх | Cообщить модератору

	282. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 22:30
	> Думаю смогли. Думаете? И на чем это основано? А то тут на днях был рейтинг разных проектов и на расте топ - это серва. Самолет который не летает, черт подери. Ну то-есть за 10 лет всей этой академгребли оно так и не стало чем-то потребным. А остальные проекты на расте были, соответственно, как-то еще менее живые и нужные чем вот это. Нет, там есть редокс какой-то. Но фрактал что-то не рвется им пользоваться, да и остальные растаманы тоже. Вместо этого пытаются в сишный линукс втереться. На кой бы черт они там уперлись такие красивые? Чтобы и там ничерта не делать 10 лет, присваивая чужие заслуги и хайпуя? Морда треснет. > Мои наблюдения показывают, что большая часть проблем с растом возникает у сишников > пытающихся раст освоить. От них же и идет большая часть критики. А что такого в том чтобы сравнить те или иные решения? Это чем-то плохо? И если сравнение не нравится - ну, упс. Сишка хорош тем что достаточно простой и компактный в основе своей. И мест прострела пяток на самом деле не так уж много. Раст кстати некоторые хорошие идеи взял. Типа любви к макросам. Проблема в том что их потянуло на хайпоту и маздайство с их карго культом, да и синтаксис продумывать видимо не катило, гнали как на пожар - и сколько там раз синтаксис перепахали? И ессно это все не стандарт. >  Они просто не понимают самых базовых вещей в программировании, и ждут от раста того же > что и от сишки (это же замена си11). Если сишники не понимают в программировании - я тогда даже и не знаю кто понимает. Ну, может, ассемблерщики, но им раст тем более не нужен. Или хаскелисты, но у них взгляды очень специфичные, программы инопланетные, и им раст тоже ни к чему. > А раст не сишка. Он неведома зверушка, при том по числу закорюк даже не с++шка, те и то столько странных загогулин не напихали. Не ну серьезно, в сях и плюсах странных загогулин было мало? Я конечно не говорю что надо лисп сделать с одним видом скобок на все, но меру знать надо, или где? А громкие декларации про всякие параллелизмы блаблабла - ну ок, а как глубоко системные вещи и прочие микроконтроллеры тогда, где это избыточно? Или этим мы на бошку нагадим, посчитаем что так и надо, сделаем вид что их юзкейсов нет, и вообще? А то на сях то они и то и другое... > Кстати говоря, похожие проблемы у людей с С# возникают, который МС рекламировала > как "ну как в сишечке все знакомо и понятно", а он вообще не на принципах С++ построен. Да на самом деле не настолько уж и далек. Просто в духе мс, оверинженернут донельзя, рантайм переросточный, совместимость несколько раз ломали, от медвежьих услуг хрен откажешься. И пока шарперы понтовались автоматикой, я возьми да и наступи на memleak фееричный в одном сервисе. Которого, типа, быть не должно - по версии шарперов. А поскольку это через неделю работы, его к тому же хрен заметишь так сразу. > И у сишников которые в С# лезут, и у джавистов которые в С# лезут. Это надо записать C# в достоинства чтоли? > Возвращаясь к расту, вот там на нем какой-то сишних http сервер вроде > написал, понапихав всюду usafe с придурошным Си подобным кодом. В итоге > получилось не безопастно, некрасиво, дыряво, зато быстро. Ну, вы помните, были > и новости, и вони много вокруг этой либы. Ну собственно поэтому я и юзаю lwan.ws для себя, так то. И дыр особых нет, и fuzzing'ом обложен, и апи прикольное, и можно гопников подъе...ть что во, смотрите, а я и на си могу не хуже вас. Только меня еще GC не клинит :) > Честно говоря, надо бы побольше раст этот пожамкать, у меня такое чувство, > что паскаль его полностью заменяет. Я учился на паскале. Но вот прогать на нем - увольте. Он занудный уж очень и неудобный. Некоторые здравые вещи оттуда раст спер, но, вообще, лично мне синтаксис раста не особо нравится "на глаз" а их маздайное карго и фиксация на проприетарщицком llvm просто вымораживают. Корпоративные подстилки, при том пары таксебешных корпораций, с непонятными перспективами - корпы умеют поматросить-бросить. Мозила Корп собстенно уже, вышибли с треском большую часть команды раста и сервы. Манагерам самим на яхты не хватает, а тут растовики всякие!
	Ответить | Правка | К родителю #201 | Наверх | Cообщить модератору

	390. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноньимъ (ok), 29-Янв-21, 15:06
	>А что такого в том чтобы сравнить те или иные решения? Это чем-то плохо? Думать - физически больно, это установленный факт человеческой физиологии, особенно после 25, и чем дальше тем больнее. Поэтому столько воя каждый раз когда МС интерфейс виндовс меняет. Например. Сравнивать не плохо. Проблема в том, что, сишник, который всю жизнь на этом самом си педалит, сравнить его ни с чем не может, потому что он уже освоил одну единственную истину о том что такое программировать и как это работает.
	Ответить | Правка | Наверх | Cообщить модератору

	383. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (79), 29-Янв-21, 09:48
	> ну как в сишечке все знакомо и понятно", а он вообще не на принципах С++ построен Т НРОКМАН?
	Ответить | Правка | К родителю #201 | Наверх | Cообщить модератору

	134. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (134), 27-Янв-21, 15:28
	Ему сделали предложение, от которого отказываться не принято?
	Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

	142. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (142), 27-Янв-21, 15:42
	> А между тем автор way-cooler переписывает его с хруста на няшную сишку. Это чтобы проще было потом на go переписать
	Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

	121. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 14:46
	> Надеюсь Красношляпа соберётся с духом и перепишет с дырявой сишки на Раст > хотя бы самые важные и критичные части системы Нету уже шляпы, есть IBM. На айбиэмовской жабе не хотел? А то вот это они любят и умеют! :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	258. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Михрютка (ok), 27-Янв-21, 21:52
	SIGHUP себе дерни, пес. а на бимеровскую конину наезжать не надо, она работает и хлеба не просит (в отличие от оракловой)
	Ответить | Правка | Наверх | Cообщить модератору

	284. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 27-Янв-21, 22:34
	Имел несчастье посмотреть как это работает, надолго запомнил.
	Ответить | Правка | Наверх | Cообщить модератору

	384. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (79), 29-Янв-21, 09:49
	Дернул.
	Ответить | Правка | К родителю #258 | Наверх | Cообщить модератору

	246. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (247), 27-Янв-21, 21:11
	Когда уже до тебя дойдет что дело не в языке, а в руках. А уязвимость это вставлена конечно же специально для кого надо. И от языка такие недокументированные возможности не зависят.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	325. Скрыто модератором	–2 +/–
	Сообщение от Fracta1L (ok), 28-Янв-21, 08:23
	Заорал с уровня мышления типичного фанбоя сишки)
	Ответить | Правка | Наверх | Cообщить модератору

	338. Скрыто модератором	+/–
	Сообщение от Аноним (338), 28-Янв-21, 10:14
	Узнаю уровень развития растоманов. — У вас раст в редоксе течет. — Дела в кривых руках — Но зачем тогда раст, пиши на си — Вы все фанбои сишки Ржу с клоуна, фрактала.
	Ответить | Правка | Наверх | Cообщить модератору

	364. Скрыто модератором	+/–
	Сообщение от Аноним (364), 28-Янв-21, 17:27
	> Ржу с клоуна, фрактала. Не ты один.
	Ответить | Правка | Наверх | Cообщить модератору

	365. Скрыто модератором	+/–
	Сообщение от Аноним (364), 28-Янв-21, 17:28
	> Заорал с уровня мышления типичного фанбоя сишки) Прикинь его своего развития если учитывать что ты за всё проведённое здесь время вучил только две фразы. На большее твоего уровня развития не хватает. 1) Дырени 2) дырявая сишечька При этом заметь. Вторая фраза производня от первой. Этож на сколько мозг проржавел.
	Ответить | Правка | К родителю #325 | Наверх | Cообщить модератору

	270. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:06
	Их больше нет, они теперь IBM. С разморозкой.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	300. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Master попугаев (?), 28-Янв-21, 00:01
	> с дырявой сишки на Раст > хотя бы самые важные и критичные части системы Влажные фонтазии (от слова фонтан) фрактала. Вот так они растоманы отдыхают по вечерам.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	339. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (338), 28-Янв-21, 10:15
	С сишки дырявые хотят все перевести на дырявый Раст.
	Ответить | Правка | Наверх | Cообщить модератору

	335. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (330), 28-Янв-21, 09:47
	> соберётся с духом и перепишет с дырявой сишки на Раст Фрагталь, а когда растоманы соберутся духом и перепишут rust с дырявой сишки на rust?!! Паскаль компилит свой компилятор сам, Паскалем. Го компилит свой компилятор сам, Го. Дырявая сишка и то сама свой компилятор компилит, дырявой сишкой. И только "бездырный", "самый безопасный" раст свой компилятор собирает дырявой сишкой! Фрагталь, как тебе не стыдно?
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	353. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (353), 28-Янв-21, 15:44
	> Фрагталь, а когда растоманы соберутся духом и перепишут rust с дырявой сишки на rust?!! Возможно, когда местные анонимы перестанут фантазировать и нести дичь?
	Ответить | Правка | Наверх | Cообщить модератору

	361. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (358), 28-Янв-21, 16:39
	https://gitweb.gentoo.org/repo/gentoo.git/tree/dev-lang/rust... BOOTSTRAP_DEPEND="||     (         =dev-lang/rust-$(ver_cut 1).$(($(ver_cut 2) - 1))*         =dev-lang/rust-bin-$(ver_cut 1).$(($(ver_cut 2) - 1))*         =dev-lang/rust-$(ver_cut 1).$(ver_cut 2)*         =dev-lang/rust-bin-$(ver_cut 1).$(ver_cut 2)*     ) " BDEPEND="${PYTHON_DEPS}     app-eselect/eselect-rust     || (         >=sys-devel/gcc-4.7         >=sys-devel/clang-3.5     )     system-bootstrap? ( ${BOOTSTRAP_DEPEND} )     !system-llvm? (         dev-util/cmake         dev-util/ninja     ) " Это значит, что для сборки rust-1.48.0 необходим gcc или clang. Посмотри ебылды fpc, go у них в зависимостях дырявой сишки нет.
	Ответить | Правка | Наверх | Cообщить модератору

	363. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 28-Янв-21, 16:55
	> Это значит, что для сборки rust-1.48.0 необходим gcc или clang. Это значит, что кто-то или сделал ебилд через ж или понял через ж. Не более. https://rustc-dev-guide.rust-lang.org/building/bootstrapping... https://svnweb.freebsd.org/ports/head/lang/rust/Makefile?rev... BUILD_DEPENDS=  cmake:devel/cmake \ 34                    libgit2>=1.0.0:devel/libgit2 \ 35                    ninja:devel/ninja
	Ответить | Правка | Наверх | Cообщить модератору

	386. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (386), 29-Янв-21, 10:30
	https://rustc-dev-guide.rust-lang.org/building/bootstrapping... "the only way to build a modern version of rustc is a slightly less modern version." С этим, теоретическим, утверждением согласен. Добавить можно изменения в stage3: компилятор, полученный на этапе stage2 еще раз себя компилит и сверяет хеш компилятора полученного на этапе stage2 с компилятором полученным на этапе stage3, если хеши совпали, компилятор считается успешно собранным. https://svnweb.freebsd.org/ports/head/lang/rust/Makefile?rev... Вижу во фряшных зависимостях rust тот же сишный, дырявый компилятор, что и в гентушных. Gentoo предоставляет право выбора компилятора: gcc или clang, а FreeBSD к билдтайм зависимостям rust тянет штатный clang. Фрагталь, не уводи от темы, гентушники и фряшники через ж свои сборочные системы не делают. Сишка для сборки Раста использовалась еще много лет назад, смотрел и старые ебылды. Еще и python тянет в сборочные зависимости, кажись только для stage0 а зачем оно? Все должно быть просто как в АК: Если rustc в системе уже есть то компилим новый компилятор им если нет то к пакету rust идет ОДНА былдтайм зависимость rust-bin которой компилим новый компилятор - stage1. Компилятором полученным на этапе stage1 собираем rust еще раз -stage2 и сверям хеши компиляторов stage1 и stage2. Если сошлись компилятор готов к работе. Если хеши не сошлись, то компилятором полученым на этапе stage2 собираем rust еще раз - stage3 и сверяем хеши компиляторов stage2 и stage3 они точно должны совпасть. Если не совпали, то используем старую версию rust, новая непригодна для сборки.
	Ответить | Правка | Наверх | Cообщить модератору

21. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от fooser (?), 27-Янв-21, 11:48
как же меня радует заголовок. я так понял эта уязвимость у судо в ДНК :)
Ответить | Правка | Наверх | Cообщить модератору

25. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–4 +/–
Сообщение от pin (??), 27-Янв-21, 11:51
Жалко, что нашли сейчас, я не через лет так 50.
Ответить | Правка | Наверх | Cообщить модератору

	37. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Атон (?), 27-Янв-21, 12:07
	>> Проблеме подвержены все версии sudo с 1.8.2 > Жалко, что нашли сейчас, я не через лет так 50. Просто для информации: версия 1.8.2 вышла 17 августа 2011 года
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноньимъ (ok), 27-Янв-21, 15:52
	Я что-то попой прочитал, понял теперь, уязвимость 10 лет присутствует.
	Ответить | Правка | Наверх | Cообщить модератору

	176. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:10
	Это победа, посоны! А теперь представь, что это одна из уязвимостей.
	Ответить | Правка | Наверх | Cообщить модератору

26. Скрыто модератором	+/–
Сообщение от Аноним (26), 27-Янв-21, 11:52
А мне пофиг, я админ локалхоста на гостевом линуксе в десяточке. Ха-ха!
Ответить | Правка | Наверх | Cообщить модератору

	58. Скрыто модератором	+1 +/–
	Сообщение от abi (?), 27-Янв-21, 12:55
	Нам, бздунам-некрофилам, тоже пофиг, у нас doas
	Ответить | Правка | Наверх | Cообщить модератору

	124. Скрыто модератором	+/–
	Сообщение от Аноним (-), 27-Янв-21, 14:48
	> А мне пофиг, я админ локалхоста на гостевом линуксе в десяточке. Ха-ха! Да пошел ты на C:\:$i30:$bitmap :)
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

34. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
Сообщение от ryoken (ok), 27-Янв-21, 12:01
Гыгы, и потом мне всякие личности кричат (не здесь), что sudo нужно. Агащасс. ДУРШЛАГ!!! SU тру.
Ответить | Правка | Наверх | Cообщить модератору

	40. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (40), 27-Янв-21, 12:16
	бывают и в su. вообще отключаю записи с полномочиями, в крайнем случае single/safe.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от ryoken (ok), 27-Янв-21, 13:11
	Бывают. Но раз в 3+ лет, а не как тут, раз в 0,5-1 год, а то и почаще :D.
	Ответить | Правка | Наверх | Cообщить модератору

38. "Критическая уязвимость в sudo, позволяющая получить привилегии root"	+1 +/–
Сообщение от Аноним (36), 27-Янв-21, 12:11
> Уязвимость позволяет получить доступ с правами root без прохождения аутентификации и без наличия необходимых полномочий. Это не баг, а фича! Утилита sudo разработана морячком из ВМФ США в дальнем плаванье...
Ответить | Правка | Наверх | Cообщить модератору

39. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (39), 27-Янв-21, 12:12
Через SMB это работает?
Ответить | Правка | Наверх | Cообщить модератору

	46. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от iPony129412 (?), 27-Янв-21, 12:32
	Что значит работает. Если ты найдёшь пробивку в Samba для получения шелла.
	Ответить | Правка | Наверх | Cообщить модератору

	264. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Михрютка (ok), 27-Янв-21, 21:58
	если кто-то выложил на шару bash.exe, работает. только не забудь cr на cr\lf поменять.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	286. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (286), 27-Янв-21, 22:37
	> если кто-то выложил на шару bash.exe, работает. только не забудь cr на > cr\lf поменять. Да зачем так сложно? C:\:$i30:$bitmap - работает, ничего менять не надо. Тоже, кстати дохрена лет было.
	Ответить | Правка | Наверх | Cообщить модератору

42. Скрыто модератором	–1 +/–
Сообщение от uis (ok), 27-Янв-21, 12:24
Ща хрустанутые набегут визжать, что на их-то дристе всё безопасно. И парсеры безопасные. И флаги сбросить жруст за них не забудет. Ага. >так как функция parse_args() выставляет переменную окружения MODE_EDIT вместо MODE_SHELL Все ошибки будет исправлять, да.
Ответить | Правка | Наверх | Cообщить модератору

	57. Скрыто модератором	+3 +/–
	Сообщение от Аноним (322), 27-Янв-21, 12:55
	> на их-то дристе всё безопасно Конечно "безопасно"... Его хоть кто-то смог запустить на реальном железе?!
	Ответить | Правка | Наверх | Cообщить модератору

	82. Скрыто модератором	–1 +/–
	Сообщение от Аноним (79), 27-Янв-21, 13:57
	Уже. Там фроктал выше уже фантазирует про красную шляпу и рустеров в ней.
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	144. Скрыто модератором	+1 +/–
	Сообщение от Аноньимъ (ok), 27-Янв-21, 15:50
	Вы всерьёз противопоставляете линуксу с его корпорациями, ОС написанную студентом за неделю для демонстрации возможностей языка? Причём, у вас линукс не то что не выигрывает, вы настаиваете что прототип осы на расте не более секурный, а такой же. Это какое-то саморазоблачение, или многоуровневый троллинг?
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	236. Скрыто модератором	–1 +/–
	Сообщение от пох. (?), 27-Янв-21, 20:43
	> Вы всерьёз противопоставляете линуксу с его корпорациями, ОС написанную студентом за неделю > для демонстрации возможностей языка? Ну так когда же на чудо-языке напишут что-нибудь кроме демонстрации невозможности на нем ничего путного написать? Заждались уже! Может, все дело в том, что на нем только всякое ненужно-за-неделю только и рождается, отлынивающими от учебы студентами? Или место проклято?
	Ответить | Правка | Наверх | Cообщить модератору

44. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (45), 27-Янв-21, 12:29
Мда... Б - безопастность.) su наше всё.)
Ответить | Правка | Наверх | Cообщить модератору

49. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (49), 27-Янв-21, 12:36
Радуйтесь, что нашли уязвимость. А теперь грустите, думая о том, сколько ещё не нашли уязвимостей.
Ответить | Правка | Наверх | Cообщить модератору

	50. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (45), 27-Янв-21, 12:39
	Искали 10 лет КАРЛ! с 2011 как писали выше.(((((((( В винде хоть вендоров пинать можно. а тут кого?
	Ответить | Правка | Наверх | Cообщить модератору

	272. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:09
	На линукс смотрят сотни тысяч глаз, а у вендоров вообще мало сил чтобы кто-то смотрел, и 0day часто остается годами достоянием узкой группы лиц... или группы узких лиц )) подставь своё
	Ответить | Правка | Наверх | Cообщить модератору

	321. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (321), 28-Янв-21, 05:44
	>На линукс смотрят сотни тысяч глаз А xpeн ли толку?
	Ответить | Правка | Наверх | Cообщить модератору

	287. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (286), 27-Янв-21, 22:39
	> вендоров пинать можно. Удачи в этом начинании. Лучше бетонный блок пните, эффекта столько же, но идти не так далеко. Саппорт вендоров все-равно пошлет вас на ...! И в ....! Но для приличия подинамит полгодика, перекидывая кейс от одного буратины к другому.
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

51. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от псевдонимус (?), 27-Янв-21, 12:42
Дырень на дырени в шляпной "экосистеме" Линукс. Автобус-омновоз дбус,который по сложности уступает разве что ядру, утили...какая ещё утилита!? Комбайн для разграничения прав доступа. Не удивлюсь, если следующее технологическое отверстие найдут в селинукс. Но надеюсь, если таковое есть, не найдут, а будут тихо эксплуатировать спецслужбисты и киберпреступники.
Ответить | Правка | Наверх | Cообщить модератору

	56. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (322), 27-Янв-21, 12:54
	самая большая дыра сейчас - это системд.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 13:09
	Системда без дбас неработоспособна. Дбас первичнее. До него были dermoдемоны от гномов с кедами, потом их "унифицировали". Вся эта пакость приползла с "фри"дрисктопа. А теперь ЭТО на серверах.
	Ответить | Правка | Наверх | Cообщить модератору

	128. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от пох. (?), 27-Янв-21, 15:00
	> Системда без дбас неработоспособна. Дбас первичнее. Естественно - "мы не можем сапгрейдить работающий системдбас - перезагрузитесь срочна-срочна!" (_саму_ системду оно при этом вполне умеет апгрейдить на ходу, она до сих пор, представляешь, не разучилась саму себя exec'ом перезапускать) Так что вполне очевидно, кто тут главный. "интеграционная шина", вот это вот всьо. И чего Линус кривлялся и не хотел в ведро ее принимать? Самое ей там место.
	Ответить | Правка | Наверх | Cообщить модератору

	189. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 17:55
	Дубас по функциональности реально тянет на такое себе "юзерспейс ядро". У торвальдса видно взыграли остатки самоуважения (хочется так думать). Но скорее эта коряга мешала кому-то. Например производителям всяких встраиваемых линуксов.
	Ответить | Правка | Наверх | Cообщить модератору

	288. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (286), 27-Янв-21, 22:41
	> Системда без дбас неработоспособна. Кто тебе это сказал, эксперт хренов? А как он у меня без дбаса в вон той минимальной инсталляции пашет, не подскажешь? Отсутствие у тебя технической компетенции в вопросе - первичнее.
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	292. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 22:54
	Что за "минимиписичная ынсталяция", извращенец? Убей дбас в центось, дубиан, бубунту, фидуре и посмотри, что будет. А будет огрызок системда безногим бегуном.
	Ответить | Правка | Наверх | Cообщить модератору

52. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (52), 27-Янв-21, 12:44
Юзаю https://github.com/illiliti/sls и бед не знаю)
Ответить | Правка | Наверх | Cообщить модератору

54. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от bkstan (ok), 27-Янв-21, 12:52
Все смеются, а кто-нибудь попробовал проверить?
Ответить | Правка | Наверх | Cообщить модератору

	66. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от xx_anon (?), 27-Янв-21, 13:20
	Ну я пробывал, в Астре. xx@xxLinux:~$ sudoedit -s / sudoedit: /: не обычный файл xx@xxLinux:~$ sudoedit -s '\' `perl -e 'print "A" x 65536'` Ошибка сегментирования
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (77), 27-Янв-21, 13:46
	Молодец. Теперь вооружись книжечкой - Эриксон. Хакинг. Исскуство эксплоита. - и постигни глубину этой кроличей норы. В книжке такие же примеры, только приложение скомпилированно для имения уязвимости. А здесь судьба прям на блюдечке принесла - sudo.
	Ответить | Правка | Наверх | Cообщить модератору

	97. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (97), 27-Янв-21, 14:17
	> не обычный файл xx@xxЛинукс:~$ судоредактировать -ы / судоредактировать: /: не обычный файл xx@xxЛинукс:~$ судоредактировать -ы '\' `перл -ы 'распечатать "Ф" x 65536'` Ошибка сегментирования
	Ответить | Правка | К родителю #66 | Наверх | Cообщить модератору

	92. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Брат Анон (ok), 27-Янв-21, 14:13
	Пробовал. Не работает. Не уверен, что уже с утра не обновился.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	320. "Все смеются, а кто-нибудь попробовал проверить?"	+/–
	Сообщение от Aplay (ok), 28-Янв-21, 05:41
	Проверил: sudoedit требует повышенных привилегий, последнюю неделю обновы не приходили.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	323. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (323), 28-Янв-21, 08:11
	sudoedit -s / [sudo] пароль для testuser: testuser is not in the sudoers file.  This incident will be reported. rpm -qa | grep sudo sudo-1.8.23-10.el7.x86_64 так что далеко не все так однозначно.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

64. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (64), 27-Янв-21, 13:14
Опять локальная уязвимость, а шуму сколько, будто Вася Пупкин из Цюрупинска за тысячу километров может поломать эту вашу убунту.
Ответить | Правка | Наверх | Cообщить модератору

	67. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (67), 27-Янв-21, 13:23
	Админов локалхоста этот топик волновать не должен.
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (45), 27-Янв-21, 13:30
	Тогда норм. Йа спокоен. D
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (64), 27-Янв-21, 13:56
	> Админов локалхоста этот топик волновать не должен. Грамотных и не ленивых не должна, но если дурак то ССЗБ
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

68. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Нанобот (ok), 27-Янв-21, 13:24
даже не знал о существовании sudoedit...так что `chmod 000 /usr/bin/sudoedit` как временное решение мне с головой хватит
Ответить | Правка | Наверх | Cообщить модератору

	88. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Кися (?), 27-Янв-21, 14:06
	Так само sudo сломается
	Ответить | Правка | Наверх | Cообщить модератору

	129. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от пох. (?), 27-Янв-21, 15:01
	> Так само sudo сломается модераторы, спрячьте срочно! Лохи должны ж страдать!
	Ответить | Правка | Наверх | Cообщить модератору

	389. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Нанобот (ok), 29-Янв-21, 13:24
	> Так само sudo сломается ой, и правда сломалось
	Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

	112. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Гы (?), 27-Янв-21, 14:40
	Шутку оценил )
	Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

	268. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Михрютка (ok), 27-Янв-21, 22:04
	у меня был знакомый, он так оракл секьюрил chown -R root:wheel /oracle chmod -R 644 /oracle
	Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

70. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
Сообщение от Ordu (ok), 27-Янв-21, 13:26
Мне нравится эта дыра. Переменные окружения, использующиеся как глобальные переменные. Неудавшееся экранирование. И всё это отполировано сверху выходом за границы буфера. Редко попадаются настолько кристаллизованные юниксвейные дыры.
Ответить | Правка | Наверх | Cообщить модератору

	153. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+10 +/–
	Сообщение от Аноним (321), 27-Янв-21, 16:34
	Настоящая юниксвейная дыра должна обеспечивать только одну уязвимость, но зато делать это хорошо:)
	Ответить | Правка | Наверх | Cообщить модератору

	306. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (306), 28-Янв-21, 01:12
	А набор багов обязательно должен эксплуатироваться пайпом
	Ответить | Правка | Наверх | Cообщить модератору

	319. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (319), 28-Янв-21, 04:04
	С перенаправлением stderr
	Ответить | Правка | Наверх | Cообщить модератору

75. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–9 +/–
Сообщение от Аноним (77), 27-Янв-21, 13:43
Аффтор жжот или тормоз. Ты неуспел написать статейку, а уязвимость была уже пофиксена. Как минимум сегодня в 6 утра. В дебиане и армбиане. Если неумело работать с судо то это дыра, дефолты надо просмотреть хотя бы. А потом раздать себе и другим то чего душа возжелает.
Ответить | Правка | Наверх | Cообщить модератору

	141. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноньимъ (ok), 27-Янв-21, 15:42
	>Если неумело работать с судо то это дыра Это говорит о плохом дизайне. Это как сказать что если неумело работать с фонариком то он будет взрывать уличные фонари, или поглощать свет. >дефолты надо просмотреть хотя бы. Они должны быть разумны, если это не помоечный софт.
	Ответить | Правка | Наверх | Cообщить модератору

	202. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+8 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 18:37
	Вот все у вас так: то что упало, но было "быстро" (10 лет) подобрано, упавшим не считается.
	Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

83. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Иваня (?), 27-Янв-21, 13:59
Снова уязвимость, неужели нет нормальной альтернативы sudo ? :/
Ответить | Правка | Наверх | Cообщить модератору

	85. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Сейд (ok), 27-Янв-21, 14:01
	su
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Брат Анон (ok), 27-Янв-21, 14:16
	Это плохая альтернатива.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Сейд (ok), 27-Янв-21, 14:40
	SELinux?
	Ответить | Правка | Наверх | Cообщить модератору

	349. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (349), 28-Янв-21, 13:26
	Никто пока не жаловался...
	Ответить | Правка | К родителю #95 | Наверх | Cообщить модератору

	183. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:18
	Есть отличная альтернатива: всегда работай, как root. Всё эти дырявые костыли только психику напрягают и время теряют!
	Ответить | Правка | К родителю #83 | Наверх | Cообщить модератору

	191. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Коммунист (?), 27-Янв-21, 17:58
	Двачую! Костыли не нужны. Ты хозяин своего компа. Только рут, только хардкор! 🌚
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 18:10
	Какой хардкор на своём домашнем десктопе? Наоборот, облегчение. И тебе рекомендую, сам видишь, какая мнимая безопасность с этими костылями, 10 лет одну проблему решали!
	Ответить | Правка | Наверх | Cообщить модератору

	203. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 18:39
	А они ее и не решали. "Фичи" пилили. ИБД.
	Ответить | Правка | Наверх | Cообщить модератору

	251. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от пох. (?), 27-Янв-21, 21:35
	> А они ее и не решали. "Фичи" пилили. ИБД. донейт сам собой не упадет! Комитить нада! А че комитить, если все и так работает?! Срочна-срочна надо что-то поулучшайкать!
	Ответить | Правка | Наверх | Cообщить модератору

93. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
Сообщение от AnonAnon (?), 27-Янв-21, 14:13
Похоже на антирекламу Ubuntu, Debian и Fedora. После того как нагадила шапка ей нужно показать, что остальные еще хуже.
Ответить | Правка | Наверх | Cообщить модератору

	117. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (117), 27-Янв-21, 14:42
	Опять ты ... Fedora-то её.
	Ответить | Правка | Наверх | Cообщить модератору

	274. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:13
	причем тут убунту...федора... это вообще базовый пакет для многих линукс, наоборот флагманские дистриы оперативно выпустили обновляшку, apt update && apt upgrade -- Каноникал хоть не спят, суетятся, а в каком-нить хипстер-дистре ты не нужен никому.
	Ответить | Правка | К родителю #93 | Наверх | Cообщить модератору

98. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от YetAnotherOnanym (ok), 27-Янв-21, 14:17
Гы... Вспоминаю своего начотдела, фаната sudo, который меня за привычку к su считал чуть ли не умственно отсталым.
Ответить | Правка | Наверх | Cообщить модератору

	118. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (117), 27-Янв-21, 14:42
	А как оказалось на самом деле?
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от YetAnotherOnanym (ok), 27-Янв-21, 15:02
	> А как оказалось на самом деле? Как видишь.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Baltic (ok), 27-Янв-21, 15:51
	ждём-с открытие второго фронта с дыркой в su - оба с начальником ещё не знаете, какые дырки имеете
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

	205. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 18:44
	Заставь дурака богу молиться, он себе лоб расшибет. Про твоего начотдела.
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

115. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (117), 27-Янв-21, 14:41
И что?
Ответить | Правка | Наверх | Cообщить модератору

122. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
Сообщение от Аноним (122), 27-Янв-21, 14:46
Садо без мазо всегда уязвимо.
Ответить | Правка | Наверх | Cообщить модератору

125. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (125), 27-Янв-21, 14:51
А в 1.7.10p9 не работает. Нафига они из простого инструмента сделали дырявый комбайн? doas рулит.
Ответить | Правка | Наверх | Cообщить модератору

131. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от слакавод (?), 27-Янв-21, 15:03
мдя... нет слов...
Ответить | Правка | Наверх | Cообщить модератору

132. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
Сообщение от Аноним (132), 27-Янв-21, 15:10
ура. я сейчас буду рутом :)
Ответить | Правка | Наверх | Cообщить модератору

137. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от Аноньимъ (ok), 27-Янв-21, 15:36
>Критическая уязвимость в sudo, позволяющая получить привилегии root Разве это не предназначение sudo? Получается я баг как фичу юзал всё это время. Вот это поворот!
Ответить | Правка | Наверх | Cообщить модератору

	302. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от kissmyass (?), 28-Янв-21, 00:19
	так теперь кто хочет может получить привелегии а не тот кто должен разве нет?
	Ответить | Правка | Наверх | Cообщить модератору

143. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Baltic (ok), 27-Янв-21, 15:48
мдам - не прошло и скоко лет, как дырку в трусах обнаружили
Ответить | Правка | Наверх | Cообщить модератору

149. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
Сообщение от Аноним (149), 27-Янв-21, 16:22
Opennet, все-таки, забавное место. Очередной очевидный кейс, демонстрирующий, зачем нужен Rust, но и из этого анонимусы как-то делают вывод, что это все Rust и виноват, и вообще все криворучки и смузихлебы, а к программированию нужно допускать только два с половиной человека с мозгом размером с автобус и тогда заживем. Причем ведь это даже не какой-то баг прикладной программы, а элементарная уязвимость, ставящая под угрозу миллионы машин по всей планете. Хотя баранья принципиальность местного анонимуса с его гегелевской позицией "если факты противоречат моей теории - тем хуже для фактов", наверное, заслуживает некоторого уважения.
Ответить | Правка | Наверх | Cообщить модератору

	150. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
	Сообщение от Аноним (125), 27-Янв-21, 16:29
	ой, столько раз уже silver bullet кем только не предлагалась... когда, казалось бы, сложное сделает простым. да только сложность и неочевидность каждый раз при этом возрастала. не противник rust и go, но brilliant brain по-прежнему рулит больше, чем golden hammer.
	Ответить | Правка | Наверх | Cообщить модератору

	154. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
	Сообщение от Аноним (149), 27-Янв-21, 16:37
	Rust и не silver bullet, просто так выглядит на фоне других языков. У него дофига проблем и личных болячек, а само наличие unsafe как явления действительно выводит Rust из статуса языка со 100%-ными гарантиями memory safety. Однако контракт на интерфейс между safe и unsafe кодом в Rust дает очень высокую вероятность memory safety, плюс дает возможность правильно делегировать ответственность: не ты накосячил, используя какой-то написанный на unsafe примитив, как оно в C++, где ты должен знать, как можно, а как нелья использовать даже тот же банальный vector, а виноват разраб примитива и его нужно пинать ишуями и пулл реквастами, чтобы довел интерфейс примитива до безопасного состояния в рамках safe-семантики. Если язык вместо 100%-й гарантии, что где-то у тебя обязательно будет UB (C/C++), дает тебе хотя бы 80%-ную гарантию, что его у тебя вообще не будет - я буду использовать второй язык. А делать заявления уровня: "ну раз гарантии не 100%-е - значит не нужно" - детский максимализм.
	Ответить | Правка | Наверх | Cообщить модератору

	397. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от red75prim (?), 30-Янв-21, 05:30
	>  а само наличие unsafe как явления Вообще-то нет ни одного юзабельного языка, который не позволял бы что-то вроде unsafe. Даже в Coq есть Admitted.
	Ответить | Правка | Наверх | Cообщить модератору

	151. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (149), 27-Янв-21, 16:29
	P.S. Хотя есть у меня предположение, что большая часть местных крикунов, которые уверяют, что живой человек может писать memory-safe код на C/C++, ничего на этих языках и не писали практически, потому что банальный личный опыт избавил бы их от подобных заблуждений.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

	208. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 27-Янв-21, 18:50
	Вы залюбили уже своим растом. Замечательный он, прекрасный, лучше всех!! А теперь возьмите и напишите на нем хотя бы аналог su (судо Раст не спасет, дефективное на уровне задумки). Вот тогда с вас не будут так громко ржать.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

	226. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (149), 27-Янв-21, 19:52
	На самом деле звучит как неплохая мысль. Попробую в свободное время. А насчет "залюбили" - я бы вообще ничего сюда не писал, если бы не потоки хейта, которые тут как обычно начались. Я вообще никакой ненависти не испытваю к C или C++ и с большим уважением отношусь к настоящим специалистам в этих языках: на своих плечах эти ребята построили современный мир. Если внимательно присмотритесь, то все растосрачи здесь начинают растохейтеры и пара троллей, типа Fracta1L-а. Но при этом фанатики здесь почему-то люди, которым нравится Rust. Ну ок, как скажете, фанатики так фанатики.
	Ответить | Правка | Наверх | Cообщить модератору

	352. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от ОШИБКА Отсутствуют данные в поле Name (?), 28-Янв-21, 14:51
	Перепишешь хотя бы PHP на хрусте - приходи.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

152. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+9 +/–
Сообщение от Аноним (321), 27-Янв-21, 16:31
Миллиарды кpacных глаз, пялящиеся в код по графику 24/7 снова не смогли 10 лет увидеть критичную дырень? Привычненько, чоужтам
Ответить | Правка | Наверх | Cообщить модератору

	163. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Аноним (163), 27-Янв-21, 16:59
	То ли дело проприетарный код, на который в лучшем случае полтора глаза смотрит.
	Ответить | Правка | Наверх | Cообщить модератору

	181. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+5 +/–
	Сообщение от Анончик9999 (?), 27-Янв-21, 17:15
	А ответить толком нечем.
	Ответить | Правка | Наверх | Cообщить модератору

	229. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (321), 27-Янв-21, 20:11
	Дружище, я тебе страшную тайну открою: в проприетарном коде проблем не меньше. Но вот в чем мякотка: именно впoпeнcopсники имеют привычку верещать что открытый код, в который пялятся миллиарды бapaнoв надежно от такой фигни защищают: хоть один да нехорошее заметит.
	Ответить | Правка | К родителю #163 | Наверх | Cообщить модератору

	370. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от randomizer (?), 28-Янв-21, 18:40
	Ну так нашли же. В закрытом коде могли бы вообще не найти до самого загибания компании-разработчика.
	Ответить | Правка | Наверх | Cообщить модератору

	373. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (321), 28-Янв-21, 19:33
	Могли и не найти, спору нет. Но не найденная дырка по определению не эксплуатируема и потому пофиг.
	Ответить | Правка | Наверх | Cообщить модератору

	377. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от randomizer (?), 28-Янв-21, 23:05
	Доооо, а как же с успехом эксплуатируемые zero day в винде?
	Ответить | Правка | Наверх | Cообщить модератору

	379. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от OpenEcho (?), 28-Янв-21, 23:48
	> в который пялятся миллиарды бapaнoв Я бы очень сильно хотел увидеть хотя бы десяток, не то что миллионы баранов... Святая вера большинства Гентушников и БСД-шков в то, что если они компилят программы, а не юзают готовые скомпилировые бинарники и это их автоматом спасает - это как вы понимаете мягко говоря фигня. Все надеются, что кто там "миллионы баранов" уж точно просматривают сырцы перед каждым апдейтом, но на деле этим занимаются единицы и по большому счету за денюжку в закрытых конторах, т.к. на это нужно массу времени, и то, гарантии что у просматривающего даже за бабло достаточно квалификации - нет.
	Ответить | Правка | К родителю #229 | Наверх | Cообщить модератору

	256. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (256), 27-Янв-21, 21:50
	Сверхобобщение — когнитивная ошибка, при которой мы делаем глобальные выводы из одного или нескольких событий.
	Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

	293. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (321), 27-Янв-21, 23:08
	Куча - это сколько? Я не просто так написал "привычненько", ибо это не первая попенсорсная дыра, висевшая лет 10.
	Ответить | Правка | Наверх | Cообщить модератору

	344. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (344), 28-Янв-21, 11:28
	Уязвимости в открытых проектах всё-таки находят, как раз благодаря открытости кода. Рано или поздно. В закрытом коде, если уязвимость не найдут во время разработки, значит и за двести лет не найдут. Никто не будет искать. Кроме злоумышленника. До того момента пока уязвимость не начнут очень-очень активно эксплуатировать.
	Ответить | Правка | Наверх | Cообщить модератору

	348. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (321), 28-Янв-21, 12:52
	>Уязвимости в открытых проектах всё-таки находят, как раз благодаря открытости кода. И активно эксплуатируют, пока у разрабов руки не дойдут починить. Я напомню про Dirty Cow: патч аж из семи строк писали 10 лет, хотя Линус еще в 2005 году говорил: ребята, тут нездоровая фигня. Багтрекеры читают не только правильные и хорошие люди есличо. >Никто не будет искать. Кроме злоумышленника. Которому по причине закрытости сорцов найти дырку будет сложнее: одно дело в ворд сорцы скопипастить и в нем же их читать (уровень основной массы типа l33t h4X0rz), а другое - ковыряться в миллионах строк, которые тебе та же IDA выдаст
	Ответить | Правка | Наверх | Cообщить модератору

155. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (256), 27-Янв-21, 16:43
А тем временем, зеркало http(s)://archlinux.org/mirrors/rol.ru не обновлялось уже неделю. Если оно окажется верхним в списке зеркал /etc/pacman.d/mirrorlist, то обновлений на прорву найденных за неделю уязвимостей, включая эту, вы не получите. Будьте бдительны, арчеводы!
Ответить | Правка | Наверх | Cообщить модератору

	204. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (2), 27-Янв-21, 18:42
	У меня такое каждый день с генту. Чё такого, российские зеркала мусор ни для кого не секрет (да тындекс тоже). Я обычно выбираю зеркало нидерладского вузика.
	Ответить | Правка | Наверх | Cообщить модератору

	265. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (265), 27-Янв-21, 21:59
	> У меня такое каждый день с генту. Чё такого, российские зеркала мусор > ни для кого не секрет (да тындекс тоже). Я обычно выбираю > зеркало нидерладского вузика. а из гита не?
	Ответить | Правка | Наверх | Cообщить модератору

173. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Alexander (ok), 27-Янв-21, 17:06
/bin/rm /usr/bin/sudoedit
Ответить | Правка | Наверх | Cообщить модератору

	174. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Аноним (256), 27-Янв-21, 17:06
	stat /usr/bin/sudoedit   File: /usr/bin/sudoedit -> sudo
	Ответить | Правка | Наверх | Cообщить модератору

	228. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Alexander (ok), 27-Янв-21, 20:06
	> stat /usr/bin/sudoedit >   File: /usr/bin/sudoedit -> sudo Все верно. Так что удалив символическую ссылку, работа sudo не должна быть нарушена
	Ответить | Правка | Наверх | Cообщить модератору

	248. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (256), 27-Янв-21, 21:26
	Но и работа уязвимости ведь тоже не будет нарушена? sudo -e ...
	Ответить | Правка | Наверх | Cообщить модератору

	260. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от PnD (??), 27-Янв-21, 21:55
	Опередили.
	Ответить | Правка | Наверх | Cообщить модератору

	259. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от PnD (??), 27-Янв-21, 21:54
	Но есть нюанс: запуск под именем "sudoedit" включает режим "sudo -e". Примерно как "egrep" → "grep -e". Так что да, работа sudo на 100% сохраняется. Включая слой совместимости с эксплоитом, так сказать.
	Ответить | Правка | К родителю #228 | Наверх | Cообщить модератору

	345. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Alexander (ok), 28-Янв-21, 11:47
	Я ориентировался вот на это: "Суть проблемы в том, что при штатном запуске утилита sudo экранирует специальные символы при указании опций "-i" и "-s", но при запуске утилиты sudoedit экранирования параметров не происходит" Но, как показали выше, в этом действительно нет смысла, т.к. юзер может сам симлинк поставить и воспользоваться уязвимостью.
	Ответить | Правка | Наверх | Cообщить модератору

180. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+6 +/–
Сообщение от Аноним (180), 27-Янв-21, 17:15
Фрактал кукумбер.
Ответить | Правка | Наверх | Cообщить модератору

	405. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от uis (ok), 05-Фев-21, 09:54
	Чайный гриб
	Ответить | Правка | Наверх | Cообщить модератору

186. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от риокор (?), 27-Янв-21, 17:41
да, существенно
Ответить | Правка | Наверх | Cообщить модератору

196. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Wilem82 (ok), 27-Янв-21, 18:19
Да просто надо уметь на Си писать, вот же лохи.
Ответить | Правка | Наверх | Cообщить модератору

	249. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (256), 27-Янв-21, 21:31
	Все так говорят, пока уязвимость не находят у них.
	Ответить | Правка | Наверх | Cообщить модератору

198. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
Сообщение от Аноним (198), 27-Янв-21, 18:29
А не опасно таким уязвимостям придавать огласку, а не по-тихому репортить? После таких новостей же может пойти волна взломов?
Ответить | Правка | Наверх | Cообщить модератору

	211. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+9 +/–
	Сообщение от вжух и ты рут (?), 27-Янв-21, 19:03
	> А не опасно таким уязвимостям придавать огласку, а не по-тихому репортить? После таких новостей же может пойти волна взломов? Не переживай, кому надо почти 10 лет использовали эту дырень и им надоело, ведь за это время появилось столько новых удалённых...
	Ответить | Правка | Наверх | Cообщить модератору

	239. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 20:49
	>может пойти волна взломов Ну и что? Что в этом плохого?
	Ответить | Правка | К родителю #198 | Наверх | Cообщить модератору

	276. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:15
	Огласку дают после выпуска патча, патч в обновлении уже был на момент выпуска статьи. Так сейчас и делают.
	Ответить | Правка | К родителю #198 | Наверх | Cообщить модератору

199. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от Аноним (199), 27-Янв-21, 18:30
work@work:~$  sudoedit -s '\' `perl -e 'print "A" x 65536'` malloc(): corrupted top size Аварийный останов work@work:~$ uname -a Linux work 5.4.0-64-generic #72-Ubuntu SMP Fri Jan 15 10:27:54 UTC 2021 x86_64 x86_64 x86_64 GNU/Linux work@work:~$ cat /etc/lsb-release DISTRIB_ID=LinuxMint DISTRIB_RELEASE=20.1 DISTRIB_CODENAME=ulyssa DISTRIB_DESCRIPTION="Linux Mint 20.1 Ulyssa" work@work:~$
Ответить | Правка | Наверх | Cообщить модератору

	215. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:17
	Total Facepalm :/  жесть
	Ответить | Правка | Наверх | Cообщить модератору

	216. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:18
	Убунта не убунта, роли нет, одна херня эта везде от Debian до Fedora
	Ответить | Правка | К родителю #199 | Наверх | Cообщить модератору

	217. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:23
	А подожди или это наоборот, хорошо же, сработало исключение
	Ответить | Правка | К родителю #199 | Наверх | Cообщить модератору

	221. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 19:39
	Не, malloc() это нифига не хорошо :) Но вот челу ниже на LXD повезло больше.
	Ответить | Правка | Наверх | Cообщить модератору

	222. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 19:40
	А это вы один и есть xD
	Ответить | Правка | Наверх | Cообщить модератору

	218. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:25
	Или нет? У меня не вызывает переполнения в LXD-серверном дистре который очень давно не обновлялся root@patient-starfish:~# sudoedit -s '\' 'perl -e 'print "A" x 65536'' 5 files to edit sudoedit: \ unchanged sudoedit: perl -e print unchanged sudoedit: A unchanged sudoedit: x unchanged sudoedit: 65536 unchanged root@patient-starfish:~# cat /etc/*-release DISTRIB_ID=Ubuntu DISTRIB_RELEASE=18.04 DISTRIB_CODENAME=bionic DISTRIB_DESCRIPTION="Ubuntu 18.04.5 LTS" NAME="Ubuntu" VERSION="18.04.5 LTS (Bionic Beaver)" - Взлетел нормально vim с редактированием sudoedit
	Ответить | Правка | К родителю #199 | Наверх | Cообщить модератору

	220. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+7 +/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 19:37
	Тебя спасла эшелонированная защита, таки Canonical не зря свой хлеб ест, работа с памятью у lxd/lxc изначально затвикана против ескейпинга из контейнера, вот оно и пригодилось.
	Ответить | Правка | Наверх | Cообщить модератору

	244. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:04
	Точно млин, какой я молодец )) что корневая система у меня только lxd-гипервизор славься Каноникал, еще ругали его. сказал, $ apt update && apt upgrade The following packages will be upgraded:   libaudit-common libaudit1 libnetplan0 libnss-systemd libpam-systemd libsystemd0 libudev1 netplan.io nplan sudo ... ага вот и sudo касатик обновляться прилетел P.S.: Перл настолько уродлив, что люди даже перешли с него на не менее ужасный PHP, в эпоху зарождения Веба... но он все еще живет в продакшене в ключевых местах системы...
	Ответить | Правка | Наверх | Cообщить модератору

	309. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноньимъ (ok), 28-Янв-21, 01:46
	>lxd/lxc Извиняюсь за свою дремучесть. А что это такое?
	Ответить | Правка | К родителю #220 | Наверх | Cообщить модератору

	313. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Телепоня (?), 28-Янв-21, 02:05
	В гугле забанили? linuxcontainers . org легковесные контейнеры (паравиртуализация) разработанные в Canonical (ubuntu) черт знает когда уже и взятые на вооружение от Арча до МакОСи и Хромбуков. Для host-guest системы Linux-Linux, работает якобы вообще с самым минимальным накладным футпринтом и без потерь в производительности.
	Ответить | Правка | Наверх | Cообщить модератору

	362. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноньимъ (ok), 28-Янв-21, 16:45
	Понятно, просто разговор шел в таком духе что это какой-то секурный линукс от каноникал, скачал и пользуйся. А это оказывается джейлы кто-то для себя открыл.
	Ответить | Правка | Наверх | Cообщить модератору

	234. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Онаним (?), 27-Янв-21, 20:40
	Вот так напиши sudoedit -s '\' "perl -e 'print \"A\" x 65536'" Исходная командочка для теста кривенькая, и у меня в C8 выдала примерно то же, что и у тебя - потому что экранирования нет у '. А вот вариант с правильными кавычками выпал в malloc()
	Ответить | Правка | К родителю #218 | Наверх | Cообщить модератору

	277. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:23
	Вспомнил еще необновленную машину (тоже виртуалка, под Proxmox-ом хостера, но проксмокс LXC использует для линукс машин). Барабанная дробь... xxxx@vm8901:~$ sudo sudoedit -s '\' "perl -e 'print \"A\" x 65536'" sudo: sudoedit doesn't need to be run via sudo sudo: -s: editing files in a writable directory is not permitted sudo: \: editing files in a writable directory is not permitted sudo: perl -e 'print "A" x 65536': editing files in a writable directory is not permitted xxxx@vm8901:~$ cat /etc/*-release DISTRIB_ID=Ubuntu DISTRIB_RELEASE=20.04 DISTRIB_CODENAME=focal DISTRIB_DESCRIPTION="Ubuntu 20.04 LTS" NAME="Ubuntu" VERSION="20.04 LTS (Focal Fossa)" ID=ubuntu ID_LIKE=debian PRETTY_NAME="Ubuntu 20.04 LTS" VERSION_ID="20.04" Фигушки... LXC/LXD спит спокойно. Шах и мат красношляпые (или вы уже IBM-нутые).
	Ответить | Правка | Наверх | Cообщить модератору

	281. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 22:27
	Пародон, не предваряя sudo под юзером: xxxx@vm8901:~$ sudoedit -s '\' "perl -e 'print \"A\" x 65536'" sudoedit: \: editing files in a writable directory is not permitted sudoedit: perl -e 'print "A" x 65536': editing files in a writable directory is not permitted а если под рутом вообще: root@vm8901:~$ sudoedit -s '\' "perl -e 'print \"A\" x 65536'" sudoedit: \ unchanged sudoedit: perl -e 'print "A" x 65536' unchanged запустился vim штатно... нихера под LXC под Убунтами это не работает, ни 18.04 ни 20.04
	Ответить | Правка | Наверх | Cообщить модератору

	298. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Онаним (?), 27-Янв-21, 23:44
	Не эскейпится ' как \' внутри ', опять косячная команда.
	Ответить | Правка | К родителю #277 | Наверх | Cообщить модератору

	299. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Онаним (?), 27-Янв-21, 23:45
	А, фак, сорян, это я косячный, '" не посчитал. Но что-то всё равно не то, потому что вывод странный.
	Ответить | Правка | Наверх | Cообщить модератору

	316. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Телепоня (?), 28-Янв-21, 02:10
	Контейнерные lxc-дистры они отличаются, вполне ожидаемо.
	Ответить | Правка | Наверх | Cообщить модератору

	240. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+3 +/–
	Сообщение от Аноним (240), 27-Янв-21, 20:49
	Подтверждаю, в lxc не работает
	Ответить | Правка | К родителю #218 | Наверх | Cообщить модератору

	245. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ruberoid (?), 27-Янв-21, 21:06
	Вот так попробуй говорят: sudoedit -s '\' "perl -e 'print \"A\" x 65536'" Я уже нечеянно обновился... и в принципе не могу проверить
	Ответить | Правка | Наверх | Cообщить модератору

	289. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 22:42
	Пробовали по всякому, lxd/lxc не воспроизводит баг.
	Ответить | Правка | Наверх | Cообщить модератору

	219. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от Ruberoid (?), 27-Янв-21, 19:27
	LTS надо на всяк пожарный юзать... как минимум. 20.04 ж есть, нафига вам 20.10 эта с протуханием в Апреле
	Ответить | Правка | К родителю #199 | Наверх | Cообщить модератору

	350. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от пох. (?), 28-Янв-21, 13:42
	Жги, Г-ди, тут уже ничего не поправить! Шесть (или три? Кто их разберет...) разных оленя, не умеющих пользоваться шеллом, неспособных понять в чем смысл теста на эксплойт, зато уверенных, что lxc их защитит-защитит (или, вот, убунточка, главное, правильно молиться и поститься, и ни в коем случае не знать, что означают эти кавычки).
	Ответить | Правка | К родителю #199 | Наверх | Cообщить модератору

225. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (-), 27-Янв-21, 19:45
Дебиан 10. Не срабатывает. Обновления еще не ставил.
Ответить | Правка | Наверх | Cообщить модератору

227. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (227), 27-Янв-21, 20:03
Переписать на c#
Ответить | Правка | Наверх | Cообщить модератору

230. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Онаним (?), 27-Янв-21, 20:34
Шерето. И ведь не выкинешь это судно из системы.
Ответить | Правка | Наверх | Cообщить модератору

	241. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от псевдонимус (?), 27-Янв-21, 20:53
	Кто не даёт выкинуть?
	Ответить | Правка | Наверх | Cообщить модератору

	242. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Онаним (?), 27-Янв-21, 20:57
	dnf не даёт Error: Problem: The operation would result in removing the following protected packages: sudo (try to add '--skip-broken' to skip uninstallable packages or '--nobest' to use not only best candidate packages) Надо через rpm -e попробовать, но это через задницу гланды удалять.
	Ответить | Правка | Наверх | Cообщить модератору

	374. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от псевдонимус (?), 28-Янв-21, 20:15
	А мимо пакетменеджера бяку не выпилить?
	Ответить | Правка | Наверх | Cообщить модератору

	385. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Онаним (?), 29-Янв-21, 10:03
	На локалхосте я бы рискнул. А так - надо сначала всю систему проанализировать, что на эту дрянь завязано.
	Ответить | Правка | Наверх | Cообщить модератору

233. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Онаним (?), 27-Янв-21, 20:38
Чёрт, а оракель то обновился. В центосе нет пока. Надо на OEL переползать.
Ответить | Правка | Наверх | Cообщить модератору

	290. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от ОхотникНаОленей (?), 27-Янв-21, 22:44
	CentOS не пока, а уже нет xD
	Ответить | Правка | Наверх | Cообщить модератору

	317. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (317), 28-Янв-21, 02:21
	$ rpm -q sudo sudo-1.8.23-10.el7_9.1.x86_64
	Ответить | Правка | К родителю #233 | Наверх | Cообщить модератору

	342. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (342), 28-Янв-21, 11:12
	Да, обновился. В C8 прилетел 1.8.29-6, теперь usage: sudoedit [-AknS] [-r role] [-t type] [-C num] [-g group] [-h host] [-p prompt] [-T timeout] [-u user] file ...
	Ответить | Правка | Наверх | Cообщить модератору

262. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Ilya Indigo (ok), 27-Янв-21, 21:57
Охренеть! Только пол месяца назад про sudoedit узнал, так оказалось что этот костыль ещё систему нагибает... Сделал sudo rm /usr/bin/sudoedit на всех серверах. P.S. Надеюсь sudo -e != sudoedit, иначе бесполезно. :-(
Ответить | Правка | Наверх | Cообщить модератору

	275. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Михрютка (ok), 27-Янв-21, 22:13
	> Сделал sudo rm /usr/bin/sudoedit на всех серверах. > P.S. Надеюсь sudo -e != sudoedit, иначе бесполезно. :-( rm -rf / сделал? иначе бесполезно.
	Ответить | Правка | Наверх | Cообщить модератору

	279. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Ilya Indigo (ok), 27-Янв-21, 22:25
	> rm -rf / сделал? 1 Без sudo бессмысленно. 2 Эта команда даже от рута не пройдёт. 3 Что сказать-то хотел?
	Ответить | Правка | Наверх | Cообщить модератору

	372. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (372), 28-Янв-21, 19:31
	Алень
	Ответить | Правка | К родителю #275 | Наверх | Cообщить модератору

	304. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (322), 28-Янв-21, 00:31
	sudoedit - это всего лишь симлинк на sudo
	Ответить | Правка | К родителю #262 | Наверх | Cообщить модератору

266. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–2 +/–
Сообщение от Аноним (266), 27-Янв-21, 22:02
Садо-мазо близнецы братья. Кто более матери истории ценен?
Ответить | Правка | Наверх | Cообщить модератору

269. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (269), 27-Янв-21, 22:04
Мужики, я нуб. Как запустить консоль?
Ответить | Правка | Наверх | Cообщить модератору

	280. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+4 +/–
	Сообщение от Ilya Indigo (ok), 27-Янв-21, 22:27
	> Мужики, я нуб. Как запустить консоль? Ctrl+Alt+F1 обратно в X-ы Alt+F7.
	Ответить | Правка | Наверх | Cообщить модератору

	337. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от commiethebeastie (ok), 28-Янв-21, 09:52
	На F1 уже давно болтается systemd или wayland.
	Ответить | Правка | Наверх | Cообщить модератору

	354. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Ilya Indigo (ok), 28-Янв-21, 15:51
	> На F1 уже давно болтается systemd или wayland. Возможно playmoth там болтается. Я этим дерьмом не пользуюсь и у меня там чисто.
	Ответить | Правка | Наверх | Cообщить модератору

	391. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от commiethebeastie (ok), 29-Янв-21, 15:15
	>> На F1 уже давно болтается systemd или wayland. > Возможно playmoth там болтается. Я этим дерьмом не пользуюсь и у меня > там чисто. У меня его тоже нет. Он только в aur есть.
	Ответить | Правка | Наверх | Cообщить модератору

294. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (294), 27-Янв-21, 23:09
sudoedit -s '\' "perl -e 'print \"A\" x 65536'" malloc(): invalid size (unsorted) Аварийный останов (стек памяти сброшен на диск)
Ответить | Правка | Наверх | Cообщить модератору

295. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (295), 27-Янв-21, 23:12
Фикс на всю жизнь: rm /usr/bin/sudoedit не благодарите
Ответить | Правка | Наверх | Cообщить модератору

	296. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 27-Янв-21, 23:27
	diff -Nuar sudo-1.9.5p2.orig/src/Makefile.in sudo-1.9.5p2/src/Makefile.in --- sudo-1.9.5p2.orig/src/Makefile.in   2021-01-09 22:12:16.000000000 +0200 +++ sudo-1.9.5p2/src/Makefile.in        2021-01-27 22:20:52.449923407 +0200 @@ -225,7 +225,7 @@ install-binaries: install-dirs $(PROGS)         INSTALL_BACKUP='$(INSTALL_BACKUP)' $(LIBTOOL) $(LTFLAGS) --mode=install $(INSTALL) $(INSTALL_OWNER) -m 04755 sudo $(DESTDIR)$(bindir)/sudo         rm -f $(DESTDIR)$(bindir)/sudoedit -       ln -s sudo $(DESTDIR)$(bindir)/sudoedit +#      ln -s sudo $(DESTDIR)$(bindir)/sudoedit         if [ -f sesh ]; then \             INSTALL_BACKUP='$(INSTALL_BACKUP)' $(LIBTOOL) $(LTFLAGS) --mode=install $(INSTALL) $(INSTALL_OWNER) -m 0755 sesh $(DESTDIR)$(libexecdir)/sudo/sesh; \         fi diff -Nuar sudo-1.9.5p2.orig/src/parse_args.c sudo-1.9.5p2/src/parse_args.c --- sudo-1.9.5p2.orig/src/parse_args.c  2021-01-23 17:45:11.000000000 +0200 +++ sudo-1.9.5p2/src/parse_args.c       2021-01-27 22:19:03.219923472 +0200 @@ -261,12 +261,12 @@      /* First, check to see if we were invoked as "sudoedit". */      proglen = strlen(progname); -    if (proglen > 4 && strcmp(progname + proglen - 4, "edit") == 0) { -       progname = "sudoedit"; -       mode = MODE_EDIT; -       sudo_settings[ARG_SUDOEDIT].value = "true"; -       valid_flags = EDIT_VALID_FLAGS; -    } +/*    if (proglen > 4 && strcmp(progname + proglen - 4, "edit") == 0) {*/ +/*     progname = "sudoedit";*/ +/*     mode = MODE_EDIT;*/ +/*     sudo_settings[ARG_SUDOEDIT].value = "true";*/ +/*     valid_flags = EDIT_VALID_FLAGS;*/ +/*    }*/      /* Load local IP addresses and masks. */      if (get_net_ifs(&cp) > 0) @@ -365,11 +365,13 @@                     }                     break;                 case 'e': -                   if (mode && mode != MODE_EDIT) -                       usage_excl(); -                   mode = MODE_EDIT; -                   sudo_settings[ARG_SUDOEDIT].value = "true"; -                   valid_flags = EDIT_VALID_FLAGS; +/*                 if (mode && mode != MODE_EDIT)*/ +/*                     usage_excl();*/ +/*                 mode = MODE_EDIT;*/ +/*                 sudo_settings[ARG_SUDOEDIT].value = "true";*/ +/*                 valid_flags = EDIT_VALID_FLAGS;*/ +        printf("disabled\n"); +        exit(EXIT_SUCCESS);                     break;                 case 'g':                     assert(optarg != NULL);
	Ответить | Правка | Наверх | Cообщить модератору

	308. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (308), 28-Янв-21, 01:27
	Код коментят, а не удоляют только мдаки.
	Ответить | Правка | Наверх | Cообщить модератору

	367. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 28-Янв-21, 17:42
	Оно и видно по твоему коменту.
	Ответить | Правка | Наверх | Cообщить модератору

	303. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (322), 28-Янв-21, 00:27
	Тебе ещё надо запретить зверям где бы то ни было создавать линки... в хомяках там, в /tmp... Внезапно, sudoedit - это симлинк на sudo.
	Ответить | Правка | К родителю #295 | Наверх | Cообщить модератору

	351. "Критическая уязвимость в sudo, позволяющая получить привилег..."	–1 +/–
	Сообщение от Аноним (351), 28-Янв-21, 13:51
	там патч вообще-то ниже
	Ответить | Правка | Наверх | Cообщить модератору

	382. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (322), 29-Янв-21, 02:19
	Глаза разуй, кому я отвечал. И больше не путай ветки.
	Ответить | Правка | Наверх | Cообщить модератору

310. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от bird (??), 28-Янв-21, 01:51
chmod -s /usr/bin/sudoedit
Ответить | Правка | Наверх | Cообщить модератору

	318. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (322), 28-Янв-21, 03:01
	ты хоть посмотри, что есть sudoedit... это всего лишь симлинк.
	Ответить | Правка | Наверх | Cообщить модератору

	328. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (328), 28-Янв-21, 09:20
	Там и sudo не нужен...
	Ответить | Правка | Наверх | Cообщить модератору

327. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от onanim (?), 28-Янв-21, 09:13
в centos 6 апдейтов нет :(
Ответить | Правка | Наверх | Cообщить модератору

	401. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от RM (ok), 30-Янв-21, 13:08
	>в centos 6 апдейтов бесплатных нет :( а так-то как минимум три варианта
	Ответить | Правка | Наверх | Cообщить модератору

331. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
Сообщение от Аноним (328), 28-Янв-21, 09:23
Если уязвимость в sudo слили, то что же теперь у них взамен? Наверное, dbus, или вообще system-ненужно-d?
Ответить | Правка | Наверх | Cообщить модератору

340. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от onanim (?), 28-Янв-21, 10:19
странно, у меня на 2 серверах из 10 уязвимость не сработала. везде разные версии судо и ядер, от совсем старых до совсем новых. причём уязвимость проявлялась как на более старых, так и на более новых судо/ядрах, чем в этих двух случаях. bash-4.2# sudoedit -s '\' (запустился вим с файлом в /tmp/, закрываю) sudoedit: \ unchanged 3.10.0-1062.1.2.el7.x86_64 ---s--x--x. 1 root root 147320 Aug  9  2019 /usr/bin/sudo sudo-1.8.23-4.el7 3.10.0-1127.8.2.el7.x86_64 ---s--x--x. 1 root root 147336 Apr  1  2020 /usr/bin/sudo sudo-1.8.23-9.el7 что ещё может влиять на работу уязвимости? модель процессора? мб включённый/выключенный Hyperthreading? набор софта везде одинаковый, дистрибуция Minimal без каких-либо Security Profile, SELinux везде выключен, никаких дополнительных патчей типа grsecurity не установлено. все сервера железные, не виртуалки.
Ответить | Правка | Наверх | Cообщить модератору

341. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от Аноним (341), 28-Янв-21, 11:03
Ну получили рут права на моём серваке, я даже пароль от рута дам, но первая же команда от рута пошлет тебя нафиг, ибо правильно настроенный рут и права доступа, а также ряд маленьких хитростей, решают большую часть проблем.
Ответить | Правка | Наверх | Cообщить модератору

	366. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
	Сообщение от Аноним (-), 28-Янв-21, 17:41
	На серваке любой дурак сможет . А вот так вот чтоб на любой рандомной машине работало и не мешало, слабо ? То то же, писькомеряние безопасностью наитупейшее занятие
	Ответить | Правка | Наверх | Cообщить модератору

	380. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
	Сообщение от OpenEcho (?), 29-Янв-21, 00:05
	А можно на список "маленьких хитростей" подивиться ? А то говорят, - "век живи..."
	Ответить | Правка | К родителю #341 | Наверх | Cообщить модератору

371. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+/–
Сообщение от Аноним (371), 28-Янв-21, 19:26
Насколько я помню sudo в debian не устанавливается по умолчанию. Ну, если иксы не ставить. Впрочем, я sudo не пользуюсь. Удаляю нафиг. Во-первых, не могу запомнить пароли сложнее 12345, во вторых, как показывает практика...
Ответить | Правка | Наверх | Cообщить модератору

375. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+2 +/–
Сообщение от еман (?), 28-Янв-21, 21:57
>переполнением буфера никогда такого небыло прежде! как же так? я думал, что программисты C - самые умные и не делают ошибок! похоже я ошибался! как прискорбно! как непредвиденно!
Ответить | Правка | Наверх | Cообщить модератору

	378. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (-), 28-Янв-21, 23:35
	Честно говоря, для подобных, таксичных уродов - кодить можно было бы и похуже. гулг и мц поняли фишку и бабло рубят
	Ответить | Правка | Наверх | Cообщить модератору

	381. "Критическая уязвимость в sudo, позволяющая получить привилег..."	+1 +/–
	Сообщение от Аноним (322), 29-Янв-21, 02:16
	> думал, что программисты C - самые умные У "самых умных" до сих пор нет нормальных строк... Что такое "размер буфера" - для них магия. Используют #0 в конце О_о. Но иногда про него забывают и перешагивают, как вот сейчас: \#0.
	Ответить | Правка | К родителю #375 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема