Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Переполнение буфера в OpenSSL, эксплуатируемое при проверке сертификатов X.509 , opennews (??), 01-Ноя-22, (0) [смотреть все] Опять ненастоящие Сишники, да что ж такое , Аноним (1), 20:00 , 01-Ноя-22, (1) +16 // Это, конечно, не вебмакаки Вебмакакам до такого уровня ещё деградировать и дегр, Аноним (1), 20:02 , 01-Ноя-22, (4) +2 // Ubuntu packages are built with stack protector, reducing theimpact of this CVE f, Аноним (53), 02:19 , 02-Ноя-22, (53) // Сишники настолько умные, относительно растоманов, что зачастую брезгуют любыми п, ВлезВТопик (?), 07:38 , 02-Ноя-22, (70) –1 Смени топик на майку , Аноним (116), 13:58 , 02-Ноя-22, (116) +1 Лучше на зайку, Аноним (147), 14:55 , 03-Ноя-22, (147) Что-то последнее время часто появляются уязвимости в НОВОМ коде, а в старых ве, Аноним (9), 20:16 , 01-Ноя-22, (9) +4 // Деградация, жертвы питона освоили C , Аноним (18), 20:40 , 01-Ноя-22, (18) у дидов обычно уязвимости на уровне спецификации протокола, Аноним (20), 20:42 , 01-Ноя-22, (20) +1 // то не уязвимость, а закладка от АНБ была , Аноним (9), 21:08 , 01-Ноя-22, (31) +4 Heartbleed такой - ну да, ну да , another_one (ok), 20:49 , 01-Ноя-22, (25) // Кстати, его всегда можно было отключать, или это потом уже придумали Там вообще, Аноним (44), 23:08 , 01-Ноя-22, (44) MS овская многоходовка , Аноним (59), 05:23 , 02-Ноя-22, (59) // Как только Лёня всплыл в проруби микрософта - уже ничему не удивляешься , Аноним (9), 09:54 , 02-Ноя-22, (89) +1 Не веб-макаки говоришь Ты фиксы смотрел Это хуже чем любой вебмакакинг - if, Аноним (19), 20:41 , 01-Ноя-22, (19) +3 // растаманы бы написали if written_out max_out , Аноним (9), 21:10 , 01-Ноя-22, (32) // Что бы сделали растаманы - твои маняфантазии А что сделали сишники - мы все уже , Аноним (107), 13:30 , 02-Ноя-22, (107) +2 Но и кода ты растик не показал, microsoft (?), 22:00 , 02-Ноя-22, (140) И что здесь такого Чел забыл, что чек происходит уже после того, как данные пиш, Аноним (61), 06:36 , 02-Ноя-22, (61) // Точно известно А через неделю не забудешь Через месяц А коллегам не забудешь , Аноним (63), 06:57 , 02-Ноя-22, (63) Если ограничиться фрагментом из патча и не вникать в остальной код, то written_o, n00by (ok), 09:33 , 02-Ноя-22, (82) –2 Ты про defensive programming слышал Опыт программирования, особенно на языках т, Аноним (126), 17:10 , 02-Ноя-22, (126) +1 ты на ник его посмотри и не задавай глупых вопросов, Аноним (141), 04:08 , 03-Ноя-22, (141) –1 Работает ведь Особенно зачётно, когда персонаж без имени такое пишет , n00by (ok), 09:47 , 03-Ноя-22, (145) +1 Я слышал, что господа теоретики очень любят грузить оппонента заумными buzzwords, n00by (ok), 09:29 , 03-Ноя-22, (144) Ошибиться на 1 символ это самая частая ошибка, у людей нервная система так работ, Аноним (63), 06:53 , 02-Ноя-22, (62) +2 Что-то всё чаще и чаще мелькает бубнеж этой мантры Не надоело , Аноним (35), 21:13 , 01-Ноя-22, (35) –1   // Смотрите комментарий над проблемной функцией code - Pseudocode functio, n00by (ok), 09:47 , 02-Ноя-22, (87) –1   npm audit fixhttps vuldb com recent 202211, Без аргументов (?), 22:49 , 01-Ноя-22, (41) –1 // https vuldb com recent 202210, Без аргументов (?), 22:50 , 01-Ноя-22, (42) +2 Но вы же не веб-макака и знаете что такое шина адреса она вообще есть у совреме, Аноним (63), 10:06 , 02-Ноя-22, (90) –1 // Я просто возьму Qt WxWidgets, Pure JS как макаки называют отдельную технологию, Без аргументов (?), 13:46 , 02-Ноя-22, (108) не Pure, Vanilla JS точнее каких только не развели, Без аргументов (?), 13:55 , 02-Ноя-22, (113) Java Spring, наконец Это касательно с фронтендом, кроме Go , Без аргументов (?), 13:47 , 02-Ноя-22, (109) Я правильно понимаю вы пишете одновременно на 1 go2 qt c 3 WxWidgets c 4 j, Аноним (123), 16:28 , 02-Ноя-22, (123) Женщина-программист Чего только не выдумывают на опеннете , Аноним (-), 16:42 , 02-Ноя-22, (124) –1 У меня была сеньёрша по шарпам Реально Просто место работы надо менять, и выби, Без аргументов (?), 18:55 , 02-Ноя-22, (136) Если это не просто перечисление всех известных вам названий технологий, Аноним (123), 17:48 , 02-Ноя-22, (129) На Java меньше всего, даже забыл 9 лет назад Я просто знаю, что жили нормально, Без аргументов (?), 19:05 , 02-Ноя-22, (139) Мне 32 За компом с 9 игрушки мои компы не тянули На всём этом приходилось Н, Без аргументов (?), 18:50 , 02-Ноя-22, (132) Как здорово что на опеннет есть настоящие программисты способные писать сразу на, Аноним (63), 06:14 , 03-Ноя-22, (142) Про схемотехнику, органицию ЭВМ, ПЛИС, ассемблер -- я это всё универ с магистрат, Без аргументов (?), 18:52 , 02-Ноя-22, (134) Не кикбрейнс же проходил И да, PL SQL Oracle я тоже очень хорошо знал 3 года наз, Без аргументов (?), 18:53 , 02-Ноя-22, (135) +1 вот с JS я не осилил, признаюсь т к фрейморки это уже каждый из них космос, ко, Без аргументов (?), 18:58 , 02-Ноя-22, (137) Еще сайт делал полностью под ключ на PHP JQuery 5 лет пашет, никакого вебмака, Без аргументов (?), 18:59 , 02-Ноя-22, (138) Память у вас хорошая Касательно эмбеда верно Си на бэке Cortex M или Go Cor, Без аргументов (?), 13:51 , 02-Ноя-22, (110) кто делает сервер на cortex m, тот конечно тоже не совсем адекват, Без аргументов (?), 13:56 , 02-Ноя-22, (114) Про Раст не скажу, пока наблюдаю, Без аргументов (?), 13:51 , 02-Ноя-22, (111) это всё нужно для SPA-PWA и прочий клей момент с жирным клиентом , Без аргументов (?), 13:53 , 02-Ноя-22, (112) и кстати удачи в SEO со своими SPA, Без аргументов (?), 13:57 , 02-Ноя-22, (115) Опять где же настоящие растоманщики , истина в последней инстанции (?), 20:40 , 03-Ноя-22, (152) OpenSSL, который мы заслужили , Аноним (2), 20:01 , 01-Ноя-22, (2) –1 // Ну так для этого и ответвились - всё говно, которое Google не счёл экономически , Аноним (5), 20:05 , 01-Ноя-22, (5) +1 // У неё нет пользователей , Аноним (44), 23:09 , 01-Ноя-22, (45) +1 Причём тут GnuTLS Они с OpenSSL ни разу не родственники , Аноним (74), 08:42 , 02-Ноя-22, (74) // Часть софта при сборке из портов FreeBSD даёт выбор использовать GnuTLS или Open, iZEN (ok), 09:15 , 02-Ноя-22, (80) А из исходников, в большинстве случаев, ты можешь использовать что угодно, что L, bOOster (ok), 10:54 , 02-Ноя-22, (100) +1 В большинстве случаев нет, в софте должна быть явная поддержка в коде Я делал т, Аноним (44), 13:14 , 02-Ноя-22, (105) –1 А может 1 никто не проверяет просто Ведь не new shiny shit, прошлый век, непро, Аноним (5), 20:02 , 01-Ноя-22, (3) // Скорее всего проверяют, ветка 1 х на приватной поддержке вроде , Аноним (59), 05:25 , 02-Ноя-22, (60) https github com mesalock-linux mesalink - OpenSSL compatibility layer for the, Аноним (5), 20:07 , 01-Ноя-22, (6) –2 Как же достали эти уязвимости Пора переходить на RusTLS , DEF (?), 20:12 , 01-Ноя-22, (7) // Russian TLS , Аноним (2), 20:49 , 01-Ноя-22, (24) +7 Этого никогда не случиться Потому что вы его никогда не допишете , истина в последней инстанции (?), 20:42 , 03-Ноя-22, (153) А разве Rust защищает от переполнения буффера числа , Аноним (8), 20:13 , 01-Ноя-22, (8) +3 // Один из багов в FF показал, что в расте надо так же ручками проверять вхождение , Аноним (9), 20:24 , 01-Ноя-22, (12) // Пруфы в студию , Аноним (19), 20:42 , 01-Ноя-22, (21) // см багтрекер Мозилы, Аноним (9), 21:11 , 01-Ноя-22, (33) –1 Хаха, что и требовалось ожидать Ты только языком трепаться можешь , Аноним (19), 21:15 , 01-Ноя-22, (36) Не осиливаешь в поиск Как ты вообще русский язык в прошлом году в 8-ом классе с, Аноним (78), 09:00 , 02-Ноя-22, (78) А что происходит когда в расте ты таки обращаешься с массиву по неверному индекс, Анонн (?), 20:47 , 01-Ноя-22, (23) // в конкретно том случае всё делалось руками, в т ч кидание паники неуместное, е, Аноним (9), 21:12 , 01-Ноя-22, (34) Число просто переполняется и становится отрицательным больше ничего интересного , Аноним (78), 09:00 , 02-Ноя-22, (79) интересное происходит ПОТОМ, когда оно используется в вычислении смещений , Аноним (9), 09:50 , 02-Ноя-22, (88) Смотря как обращаешься Если вызываешь code get i code то этот метод возвра, freecoder (ok), 23:27 , 03-Ноя-22, (154) Один из ветров показал, что они дуют, потому что деревья качаются https git op, Аноним (-), 23:41 , 01-Ноя-22, (47) +1 Это одна из основных фитч, так-то , Rev (?), 20:32 , 01-Ноя-22, (14) –2 // читай выше , Аноним (9), 20:35 , 01-Ноя-22, (16) +1 // Ты же ссылку не привел, что читать Твои больные фантазии , Аноним (63), 07:02 , 02-Ноя-22, (64) Что-то не работают основные фичи Тогда спрашивается чем debug mode от динамич, Аноним (8), 20:50 , 01-Ноя-22, (26) –1 // Работают если знаешь как ошибка будет логическая, а не порча памяти , Анонн (?), 20:53 , 01-Ноя-22, (27) А почему ты объединяешь эти проблемы Переполнение числа и переполнение буфера а, Аноним (-), 22:28 , 01-Ноя-22, (40) +1 от него кровопролитиев ждали, а он чижика съел Ну и хорошо что так, зря тольк, anonymous (??), 20:19 , 01-Ноя-22, (10) +1 // Салтыков-Щедрин, Медведь на воеводстве , ryoken (ok), 08:00 , 02-Ноя-22, (71) +2 Хочешь не хочешь, а уже начинаешь верить в теории заговора, почему этот кусок кр, Самый умный из вас (?), 20:20 , 01-Ноя-22, (11) // Дорого плюс конеретно этот кусок используют все подряд, в нем уже залатали вс, Аноним (53), 02:24 , 02-Ноя-22, (55) Иксы уже переписали теперь имеется куча багов в новом модном wayland решен, Аноним (53), 02:26 , 02-Ноя-22, (56) +1 Пустозвимость, из-за которой задержали выпуск новой Федоры , Аноним (13), 20:25 , 01-Ноя-22, (13) –1 // RawHide в помощь, и ваша Федора всегда будет настолько новой, что прям дальше не, ryoken (ok), 08:01 , 02-Ноя-22, (72) ну наконец-то libressl может похвастаться что хотя бы этой проблемы у них нет п, Аноним (17), 20:37 , 01-Ноя-22, (17) // Вообще-то немало выявленных в OpenSSL уязвимостей не проявляются в LibreSSL Обр, Аноним (74), 08:46 , 02-Ноя-22, (75) +2 // И это нам показывает реальное положение дел, что вообще много всяких помоев в Li, bOOster (ok), 08:58 , 02-Ноя-22, (77) Ахаха, впрочем ничего нового Фикс с vs просто шикарен И это в штуке, н, Аноним (19), 20:44 , 01-Ноя-22, (22) +2 Дали сишнику два буфера за один он вышел, а второму use-after-free сделал , Аноним (30), 21:08 , 01-Ноя-22, (30) +3 // У Пети было 32 байта в буфере 24 он отдал Маше, а оставшиеся 128 8212 Ване , Аноним (20), 21:25 , 01-Ноя-22, (37) // у этой истории есть продолжение там где Петькины 24 байта застряли в Машкины, Аноним (38), 21:54 , 01-Ноя-22, (38) +4 Хочешь сказать у Вани буфера больше, чем у Маши , Онаним. (?), 23:57 , 01-Ноя-22, (50) +1 Петя вставил данных Маше на 24, а Ване - на 128 На каком языке пишет Петя , Аноним (9), 10:18 , 02-Ноя-22, (94) // скорее всего руби, Аноним (126), 16:06 , 02-Ноя-22, (121) +1 В Ф36 будет пакет openssl-3 0 5-2 fc36, а не 3 0 7Получается что это бэкпорт, и , penetrator (?), 22:03 , 01-Ноя-22, (39) // Пусть страдают , анонимус (??), 23:12 , 01-Ноя-22, (46) +1 Кросавчеги У любителей тащить в рот сертификаты автоматом очко на минус уже наве, Онаним. (?), 23:56 , 01-Ноя-22, (49) // Хотя там и клиентского будет достаточно К счастью, дело ограничилось 4 байтами , Онаним. (?), 23:58 , 01-Ноя-22, (51) // Эх, недоработали современные вебмакаки В версии 4 сделают побольше переполнен, Аноним (9), 09:46 , 02-Ноя-22, (86) А нельзя как-то добавить в C типы данных вроде срез и проверять переполнение, а , Аноним (52), 01:46 , 02-Ноя-22, (52) –2 // Зачем что-то добавлять оно уже давно есть, зовется с , Аноним (53), 02:21 , 02-Ноя-22, (54) // Из с нужно как-то убрать сишные указатели на начало последовательности элемент, Аноним (63), 07:11 , 02-Ноя-22, (65) –2 // std span, Аноним (73), 08:18 , 02-Ноя-22, (73) Если для ваших задач не нужен именно C , это не значит, что и всем остальным дл, Аноним (74), 08:53 , 02-Ноя-22, (76) как говорится никогда не говорите никогда master, slave, blacklist и кто зна, Аноним (83), 09:39 , 02-Ноя-22, (83) Причем здесь терминология Паскаль например тоже больше 50 лет назад появился Н, Аноним (63), 10:15 , 02-Ноя-22, (93) +1 А в С строки и вектора они появились только в стандарте C 2003, Аноним (63), 10:21 , 02-Ноя-22, (95) +1 В 2012 на С еще в каждой крупной библиотеке еще изобретали свои строки вместо , Аноним (63), 10:24 , 02-Ноя-22, (96) +1 Кутэ тому пример , Аноним (9), 10:50 , 02-Ноя-22, (99) +1 ладно qt, свои строки были даже в Ogre 3D и вроде бы wxwidget Ну вот зачем библи, Аноним (123), 16:04 , 02-Ноя-22, (120) Когда Qt разрабатывали std string ещё небыло , Аноним (131), 18:48 , 02-Ноя-22, (131) Это просто показывает насколько удобна, продумана и универсальна эталонная реали, Аноним (107), 13:28 , 02-Ноя-22, (106) Или то насколько сложно перевести уже существующий продукт на новую библиотеку с, Аноним (131), 18:50 , 02-Ноя-22, (133) Очень простой рецепт не используй указатели , Аноним (9), 09:41 , 02-Ноя-22, (84) Зачем убирать Просто не используй , Аноним (131), 18:44 , 02-Ноя-22, (130) Многого хотите - в Си ещё строки не определены в базовых типах До сих пор польз, iZEN (ok), 09:18 , 02-Ноя-22, (81) +4 // А паскаль-то не так уж и плох, как его ругают сишники , Аноним (9), 09:45 , 02-Ноя-22, (85) // Просто в Паскале компилятор самолично высчитывает длину строки А в Си компилято, Аноним (126), 16:14 , 03-Ноя-22, (150) На самом деле Си транслятор точно так же знает длину 171 строки 187 на этапе, n00by (ok), 17:25 , 03-Ноя-22, (151) Потому что строки это синтаксический сахар Есть только области памяти с данными,, Ivan_83 (ok), 11:09 , 02-Ноя-22, (101) // Ошибаешься , Аноним (9), 12:03 , 02-Ноя-22, (104) Он не ошибается А твоё умозаключение приведёт тебя прямиком в ООП языки , Аноним (126), 16:12 , 03-Ноя-22, (149) фу фу фу, не надо тогда нам этого сахара сегодня сахарка поюзал, а завтра уже с, Аноним (-), 02:00 , 04-Ноя-22, (155) Уязвимость не стали признавать критической только потому что в ubuntu и redhat в, Аноним (63), 10:09 , 02-Ноя-22, (91) +4 // И всё, точка , Аноним (9), 10:12 , 02-Ноя-22, (92) +3 Лично мне кажется что чем больше выполняется проверок компилятором и статическим, Аноним (63), 10:35 , 02-Ноя-22, (97) –1 // Теперь ты понимаешь, почему растаманы не смогли сделать очередной божественный я, Аноним (9), 10:48 , 02-Ноя-22, (98) +2 // мне всё равно что там не смогли сделать растоманы в kotlin очень много проверок, Аноним (123), 11:58 , 02-Ноя-22, (102) // софта на котлине - как на брейнфаке , Аноним (9), 12:02 , 02-Ноя-22, (103) +1 Это ты так решил , Аноним (117), 14:30 , 02-Ноя-22, (117) –1 Это котлята столько написали , Аноним (9), 17:16 , 02-Ноя-22, (127) Значительная часть мобильных приложений для андроид, некоторые для ios через kot, Аноним (123), 16:00 , 02-Ноя-22, (119) –2 В моей организации 100500 работников и 9000 манагеров - и никто котлин не исполь, Аноним (9), 17:18 , 02-Ноя-22, (128) +4 Переходим на bearssl Долой выделение памяти , Аноним (-), 16:27 , 02-Ноя-22, (122) Братья сишники спасайте, мне что теперь, от телефона отказываться In Android, Kl, Аноним (143), 08:12 , 03-Ноя-22, (143) +3 // Переходить на iphone, там нет ненавистного местным экспертам раста, Аноним (63), 15:32 , 03-Ноя-22, (148) +1 1,2,3,6,7,8,10,11,13,17,22,30,39,49,52,91,97,122,143

Сообщения

[Сортировка по времени | RSS]

	35. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	–1 +/–
	Сообщение от Аноним (35), 01-Ноя-22, 21:13
	> ненастоящие Сишники Что-то всё чаще и чаще мелькает бубнеж этой мантры. Не надоело?
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	87. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	–1 +/–
	Сообщение от n00by (ok), 02-Ноя-22, 09:47
	>> ненастоящие Сишники > Что-то всё чаще и чаще мелькает бубнеж этой мантры. Не надоело? Смотрите комментарий над проблемной функцией: /*- * Pseudocode: * * function ossl_punycode_decode *  let n = initial_n *  let i = 0 *  let bias = initial_bias *  let output = an empty string indexed from 0 *  consume all code points before the last delimiter (if there is one) *    and copy them to output, fail on any non-basic code point *  if more than zero code points were consumed then consume one more *    (which will be the last delimiter) *  while the input is not exhausted do begin *    let oldi = i *    let w = 1 *    for k = base to infinity in steps of base do begin *      consume a code point, or fail if there was none to consume *      let digit = the code point's digit-value, fail if it has none *      let i = i + digit * w, fail on overflow *      let t = tmin if k <= bias {+ tmin}, or *              tmax if k >= bias + tmax, or k - bias otherwise *      if digit < t then break *      let w = w * (base - t), fail on overflow *    end *    let bias = adapt(i - oldi, length(output) + 1, test oldi is 0?) *    let n = n + i div (length(output) + 1), fail on overflow *    let i = i mod (length(output) + 1) *    {if n is a basic code point then fail} *    insert n into output at position i *    increment i *  end */
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема