https://www.opennet.ru/openforum/vsluhforumID3/83556.html Несколько недавно найденных уязвимостей:<br><br><br><br>- В корректирующих выпусках OpenSSL 0.9.8u и 1.0.0h (http://openssl.org/) устранена уязвимость (http://openssl.org/news/secadv_20120312.txt), вызванная ошибкой в коде декодирования CMS и PKCS #7. Ошибка делает возможным проведение атаки по определению содержимого одного исходного блока данных, зашифрованных с использованием CMS, PKCS #7 и S/MIME. С практической стороны атака может быть проведена для специализированных систем автоматической обработки запросов, так как для успешной эксплуатации уязвимости требуется отправить около 2^20 сообщений на атакуемую систему. Проблема не затрагивает подсистемы SSL/TLS, так как в них не используется код расшифровки PKCS#7 и CMS. Дополнительно отмечается (http://secunia.com/advisories/48153/) устранение DoS-уязвимости в коде декодирвоания MIME-заголовков, которая может быть использована для инициирования краха приложений, использующих OpenSSL;<br><br>- В systemd найдена уязвимость (https://bugzilla.novell.com/show_bug.cgi?id= https://www.opennet.ru/openforum/vsluhforumID3/83556.html#13 Tue, 13 Mar 2012 22:02:40 GMT &gt; еще не начали использовать а уже 2 дырки нашли..<br><br>Да нет, абсолютное большинство мейнстримных дистров уже давно на него перешли.<br>И тот факт, что за все это время нашли только две дыры, причем не очень критичных (для того, чтобы повышение привилегий заработало, нужна еще правильная фаза луны), говорит о довольно высоком качестве кода, и прозрачности принципов работы.<br><br>Вообще, прозрачность и логичность (а вовсе не какая-то там скорость) - это основная киллер-фича systemd по сравнению с sysvinit. С одной стороны, это упрощает разработку и отладку, и повышает надежность, с другой стороны - гораздо проще в освоении, потому что сделано по уму и без извратов.<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#12 Tue, 13 Mar 2012 19:42:22 GMT &gt; Начал читать комментарии, чтобы увидеть этот комент.<br><br>Да, он был немного предсказуем. Остальные дыры могут быть и более опасны, но все же не так вкусны с точки зрения срачегенерации :)<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#11 Tue, 13 Mar 2012 19:38:24 GMT &gt; systemd - начало.<br><br>Всем надо через это пройти :)<br>Избежать сией печальной, но почетной участи могут лишь те проекты, которые никто не использует.<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#10 Tue, 13 Mar 2012 19:36:48 GMT &gt; еще не начали использовать а уже 2 дырки нашли.. <br><br>Да вроде как уже используется в 90% линуксов.<br>Кстати, первая из этих дырок найдена в старинной версии 37, уже после того, как ее устранили при плановом рефакторинге кода в мейнстриме.<br><br>&gt; сколько же их там - у этого горе программиста.<br><br>Умиляют меня такие "ыксперты", прогуливающие школу, но при этом считающие себя умнее разработчиков редхата :)<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#9 Tue, 13 Mar 2012 18:29:35 GMT Да уж, куда ему до тебя то ...<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#8 Tue, 13 Mar 2012 13:19:28 GMT &gt; В systemd найдена уязвимость <br><br>еще не начали использовать а уже 2 дырки нашли.. сколько же их там - у этого горе программиста.<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#7 Tue, 13 Mar 2012 09:33:55 GMT Коммент конечно в стиле КО, но всё-таки правда.:)<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#6 Tue, 13 Mar 2012 09:07:42 GMT Начал читать комментарии, чтобы увидеть этот комент.<br> https://www.opennet.ru/openforum/vsluhforumID3/83556.html#4 Tue, 13 Mar 2012 09:03:34 GMT &gt; Дыра в DBD::Pg 2.19.2 эпическая, т.к. надо еще постараться найти "подконтрольной злоумышленнику <br>&gt; СУБД" )) <br><br>А зачем искать?<br>Можно ведь и "подменить" сервер в комплексной атаке<br>