Исходное сообщение
"Проблемы с безопасностью в патчах, предложенных сотрудником ..." Отправлено пох., 14-Май-20 16:50
> Ситуация следующая - какой-то паренек запилил годноты, или же какая-то империя зла ситуация простая: под видом "безопастносте" подсунут код второгодника-первоклашки, с chmod 777 * и выводом в дмесж мусора с неправильным именем файла grsec вроде намекают, что они посмотрели чуть дальше - и остальной код вполне соответствует этому стилю, а детально его изучать такой - уже и незачем. > Этот модуль можно и не подгружать, его не навязывают. вот и спасибо грсеку за предупреждение что его подгружать и ненужно - безопасТность не появится, а проблемы вполне вероятны. > Код написан вполне читаемо, никакой обфускации не замечено. > Тот эксплойт, что описан в статье, требует рута, это значительно уменьшает его тот "эксплойт", что описан в статье - демонстрация нулевого если не отрицательного качества кода, и нулевого же ревью - видимо, никто в хуавее не рискует указывать секьюрити спецу 20lvl на его глупости. Вляпать маску 777 для файла в proc мог только второгодник, вообще не знающий, что такое права доступа в юникс- и скопипастивший этот мусор со стековерфлова, где-то из раздела "как установить вротпресс". Ни одному нормальному человеку в голову это просто не пришло бы. > Не понимаю, вобщем, паники. Никакой паники и нет - все ржут над плохой дорогой и ее экспертами безопастносте. Отдельно порадовало то что он постфактум (!) пытался замазать свою работу на хуавей, подделав дату в гите.