https://www.opennet.ru/openforum/vsluhforumID3/113280.html В стандартной библиотеке Glibc выявлена (https://www.halfdog.net/Security/2017/LibcRealpathBufferUnderflow/) уязвимость (CVE-2018-1000001 (https://security-tracker.debian.org/tracker/CVE-2018-1000001)), вызванная переполнением через нижнюю границу буфера в функции realpath(), проявляющимся при возврате относительного пути системным вызовом getcwd(). Изначально ядро Linux возвращало в getcwd() только абсолютные пути, но затем в ядре 2.6.36 поведение было изменено, но функции Glibc не были адаптированы на обработку относительных путей. <br><br><br>Относительные пути возвращаются при достаточно редкой ситуации, когда процесс не меняет текущую директорию после выполнения вызова chroot и путь к корню оказывается вне области текущего дерева каталогов. Начиная с ядра Linux 2.6.36 начальная часть такого пути заменяется на строку "(unreachable)". Непривилегированный пользователь может добиться аналогичного эффекта сменив текущую директорию процесса на путь в другом пространстве имён. Так как в Glibc не производится провер https://www.opennet.ru/openforum/vsluhforumID3/113280.html#79 Wed, 17 Jan 2018 15:34:15 GMT &gt; Java может и нет. А тормозное памятежручее г@вно - есть. Так какая <br>&gt; разница?<br>&gt; P.S. Если что-то пишется - как жаба,тормозит - как жаба, память жрет <br>&gt; - как жаба и глючит - как жаба, то это жаба <br>&gt; и есть!<br><br>JVM написана на C++. Ничего уж тут не поделаешь.<br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#78 Wed, 17 Jan 2018 15:05:26 GMT Java может и нет. А тормозное памятежручее г@вно - есть. Так какая разница?<br><br>P.S. Если что-то пишется - как жаба,тормозит - как жаба, память жрет - как жаба и глючит - как жаба, то это жаба и есть!<br><br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#77 Tue, 16 Jan 2018 21:43:41 GMT &gt; А причём тут питон? Да хоть на Java - jython, например - <br>&gt; это не изменит его интерпретативной сущности.<br><br>Да какая разница? Валять дурака на левых входных данных можно и на питоне и на яве. Особенно если тебе внезапно кернел отгрузит какую-то фигню а хакер воспользуется недоразумением.<br><br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#76 Tue, 16 Jan 2018 20:48:36 GMT &gt; Всем срочно переходить на musl?<br><br>В нем тоже CVE случаются. Переходить надо на другой глобус, где програмисты не ошибаются.<br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#75 Tue, 16 Jan 2018 20:36:43 GMT Подстава случилась тогда когда придумали относительные пути, со всякими .. и проч :). На этом столько серверов погорело. И до сих пор наивные чукотские юноши не знают что ремота может .. прислать. Кто угодно тырит /etc/passwd в результате. Да и остальное.<br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#74 Tue, 16 Jan 2018 18:03:35 GMT &gt; Ты Мастер разбирающийся в сортах(Tm)!<br>&gt; Остальным пох, жаба она и в дройдах - жаба! :-р <br>&gt; И она такое же Г как и на пизюках.<br>&gt; Не - ну очередные "склад-магазины" клепать - самое оно! Хуже жабы - <br>&gt; лучше нет! Но системное что то на ней лепить ... надо <br>&gt; быть iZEN-ом на всю голову :-Р<br><br>А вот интересно, как вы разделяете, Oracle Access Manager системное или несистемное ПО?<br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#73 Tue, 16 Jan 2018 14:22:59 GMT Ты Мастер разбирающийся в сортах(Tm)! <br>Остальным пох, жаба она и в дройдах - жаба! :-р<br>И она такое же Г как и на пизюках. <br>Не - ну очередные "склад-магазины" клепать - самое оно! Хуже жабы - лучше нет! Но системное что то на ней лепить ... надо быть iZEN-ом на всю голову :-Р<br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#72 Tue, 16 Jan 2018 11:29:48 GMT &gt; по ходу только переписывание glibc на rust спасёт ситуацию <br><br>Вы не понимаете, что значат буковки "glibc".<br> https://www.opennet.ru/openforum/vsluhforumID3/113280.html#71 Mon, 15 Jan 2018 15:41:06 GMT Как оно спасёт? Все имеющиеся там функции должны делать ровно то, что они делают сейчас. И ни грамма больше, ни меьше, иначе сломается совместимость с существующим прикладным софтом. Так что, для совместимости, если фунция не проверяет каких-то границ, она не должна их проверять, независимо, на каком языке написана.<br>