Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..., opennews (?), 15-Дек-18, (0) [смотреть все] Если вдруг не все в курсе, данные ваших гуглопрофилей локально хранятся в сабже , КГБ СССР (?), 10:19 , 15-Дек-18, (1) +5 // Firefox тоже хранит кое-что в сабже, только проблема не в этом И в новости это , Аноним (22), 14:11 , 15-Дек-18, (22) +5 // Ага В моих уже удалённых бдунами комментариях было про это вскользь про 2-й и , КГБ СССР (?), 14:15 , 15-Дек-18, (25) +1 // Небось как обычно, ругался хуже почтового грузчика , Аноним (-), 18:34 , 16-Дек-18, (70) Ну как тебе сказать Всего лишь честно и справедливо обнародовал о своих наблюде, КГБ СССР (?), 21:09 , 16-Дек-18, (73) +6 Насчет 3 вынужден согласиться - этот таки лоханулся по полной программе, не поня, Аноним (-), 01:44 , 18-Дек-18, (94) И что с того Ты будешь сам себя атаковать , Аноним (107), 14:46 , 18-Дек-18, (107) // А, сам въехал в чём косяк Ну Гуглу всё пофиг, к нему не липнет , Аноним (107), 14:50 , 18-Дек-18, (108) Всё-таки в Гугле уникальный заповедник альтернативно одарённых , КГБ СССР (?), 10:19 , 15-Дек-18, (2) –3 // ошибка в sqlite, а винован гугл по-моему кто-то сегодня забыл принять свои таб, Нанобот (ok), 10:31 , 15-Дек-18, (3) –11 // Гугл открыл почти прямой доступ из любых веб-страниц к чужому коду, который сам , dep346 (ok), 10:45 , 15-Дек-18, (6) +10 // Так приходится делать всем Все браузерные и небраузерные движки рендеринга испо, Аноним (9), 10:57 , 15-Дек-18, (9) +12 Это просто праздник какой-то , Аноним (11), 11:14 , 15-Дек-18, (11) Одно дело декодер какого-то формата, другое - язык с широкими возможностями для , dep346 (ok), 11:18 , 15-Дек-18, (13) И в чём же принципиальная разница , Аноним (15), 12:26 , 15-Дек-18, (15) +1 да никакой и то и то может ломануть твои данные и систему , аноним3 (?), 17:02 , 15-Дек-18, (37) В количестве вариантов действий у атакующего и возможности все это предсмотреть , Аноним (-), 15:17 , 16-Дек-18, (60) +1 SQLite - для десктопов и эмбеддеда В ванильной SQLite этого нет, и даже плагина , Аноним (9), 21:01 , 16-Дек-18, (72) +1 Это не помешало наворотить фич и в нем И Bobby Tables таки и на него распостран, Аноним (-), 01:53 , 18-Дек-18, (95) Ты думаешь, что Гугель глюпий и не знает, что делает Уверяю тебя, анон, они , КГБ СССР (?), 21:28 , 16-Дек-18, (77) +1 Да запросто Посмотри сколько проектов они сливают Они могут позволить себе пиж, Аноним (-), 01:54 , 18-Дек-18, (96) См тут же в статье про FF, который ТАК делать не стал Прекрасно понимая, куда , тоже Аноним (ok), 13:46 , 15-Дек-18, (20) +1 Нет, они просто любят Javascript Всё равно придётся делать API, которое позволи, irinat (ok), 17:02 , 15-Дек-18, (36) Вообще-то это просто понимание азов грамотной архитектуры на таком высоком уров, тоже Аноним (ok), 18:04 , 15-Дек-18, (44) Гораздо выше вероятность, что FF едва шевелится, чтобы внедрять экспериментальны, kai3341 (ok), 21:01 , 16-Дек-18, (71) –1 А потом на мобильном Хроме ваш сайт просто валится вместе с браузером от нехватк, тоже Аноним (ok), 09:52 , 17-Дек-18, (79) Вы правы, однако, как говорил Чапаев, есть один нюанс Приложение ворочается в и, kai3341 (ok), 14:13 , 17-Дек-18, (80) Этот нюанс говорит о том, что ваш клиент вообще совершенно необязательно было , тоже Аноним (ok), 14:58 , 17-Дек-18, (83) Спасибо, поржал Потом бегай по пользователям да обновляй А ещё делай клиента п, kai3341 (ok), 16:51 , 17-Дек-18, (86) –1 п-ц Вы только что видели ренгеновский снимок содержимого головы типового разраб, нах (?), 17:49 , 17-Дек-18, (87) Веб-морда как раз и позволяет держать весь функционал внутри сервера , Аноним (88), 19:11 , 17-Дек-18, (88) –1 Вот только товарищу при этом неудержимо требуется держать мегабайты состояния на, тоже Аноним (ok), 23:24 , 17-Дек-18, (92) +1 171 Память и працэсары нынче дишовае А ты чо, бедный, денех нету Или работат, КГБ СССР (?), 08:52 , 18-Дек-18, (103) Пока они пишут 171 клиенты под все платформы 187 , ещё не страшно Когда они , КГБ СССР (?), 19:20 , 17-Дек-18, (89) +1 Для россиян разработали инструкцию по поведению рядом с беспилотными автомобиля, topin89 (?), 23:19 , 17-Дек-18, (91) думаешь, в благословенной Америке инструкция какая-то другая ну хотя, да - сидя, нах (?), 12:37 , 18-Дек-18, (106) Софт для интранет-сервера В локалке с серверами Бегай Oook , тоже Аноним (ok), 23:17 , 17-Дек-18, (90) Хорошая попытка, но прав админа у меня не было, чтобы обновить приложение домено, kai3341 (ok), 01:09 , 18-Дек-18, (93) Ну так апдейтить наверное должны админы А так звучит как отчет очередного энике, Аноним (-), 02:13 , 18-Дек-18, (100) +1 Где админские права выдаются только прибежавшему Боже упаси , тоже Аноним (ok), 08:22 , 18-Дек-18, (102) +1 Вообще-то оптимальность выбора того и другого зависит от задачи И там дело дале, Аноним (-), 02:00 , 18-Дек-18, (98) +1 gt оверквотинг удален Два чаю вам за конструктивный комментарий Вы полностью , kai3341 (ok), 18:24 , 18-Дек-18, (111) Что-то они плохо поняли с своим 0day в смотрелке пдфок Казалось бы что им стоил, Аноним (-), 01:56 , 18-Дек-18, (97) вернее не в сишке, а в плюсах, Аноним (9), 14:30 , 15-Дек-18, (26) ты прав си как то позабыли все на ушли , аноним3 (?), 17:03 , 15-Дек-18, (38) –1 Отучаемся говорить за всех Особенно нагло смотрится в ветке про _сишную_ либу , Аноним (-), 01:17 , 16-Дек-18, (58) +1 не помню такой либы и вообще переходи на богомерзкий джаваскрипт и не мучай , аноним3 (?), 03:46 , 16-Дек-18, (59) –1 Я бы сказал что он скорее багомерзкий - из-за своего дизайна Чудно устроен - си, Аноним (-), 15:24 , 16-Дек-18, (62) +1 ну так по этой причине нормальные люди и проклинали изобретателей webненужно и п, пох (?), 15:38 , 15-Дек-18, (31) +7 ИЧСХ, это пропихнули в типа-стандарты https www w3 org TR webdatabase С пометк, КГБ СССР (?), 22:58 , 15-Дек-18, (55) Ян Сын Деревенщины, простигоспади hickIf you refer to someone as a I hick I , , Аноним (69), 16:25 , 16-Дек-18, (69) Этот Ян, на минуточку, автор тестов ACID Так что о некомпетентности речь вести , КГБ СССР (?), 21:16 , 16-Дек-18, (74) ну подумаешь, неполучилось в этот раз Зато сколько мусора пропихнули И застави, Ян собачий сын (?), 16:22 , 17-Дек-18, (84) Потому что гугль не смог запилить еще один SQLite, чтобы было несколько альтерна, Аноним (88), 15:41 , 08-Окт-19, (114) И поэтому единственный правильный ответ изобретателям новых веб-API и кодеков - , Аноним (51), 19:49 , 15-Дек-18, (51) Будь мужиком, смотри видео в MPEG-2 с пиратской DVDшки , Аноним (-), 02:08 , 18-Дек-18, (99) там еще и fts, который в sqlite требуется отдельно включать, и у которого куча с, пох (?), 15:33 , 15-Дек-18, (30) Экий ты хитрый А как тебе рекламеры неочевидные стелс-куки на манер флешкук тог, Аноним (-), 15:28 , 16-Дек-18, (63) +1 ошибка в sqlite, а виноват поцтеринк, гугл, сатья наделла, npm leftpad и так дал, Аноним (7), 10:49 , 15-Дек-18, (7) +3 // it s true , А (??), 11:34 , 15-Дек-18, (14) Я тоже иногда новости по диагонале читаю, бывает Для пропустивших Where is , OldFart (?), 16:58 , 15-Дек-18, (35) +2 нормальному браузеру не нужна sql-база это вообще извращение только дыр больше, аноним3 (?), 17:39 , 15-Дек-18, (39) +2 Кто сказал, что решение одной задачи должно быть оформлено именно в виде одного , Аноним (7), 17:56 , 15-Дек-18, (42) ну передачу данных их одного приложения никто не отменял учитывая тот же принц, аноним3 (?), 18:58 , 15-Дек-18, (48) Написано Но не написано , Аноним (7), 17:58 , 15-Дек-18, (43) https sqlite org src info 940f2adc8541a838 Вообще-то, раньше использование не, Аноним84701 (ok), 13:52 , 15-Дек-18, (21) +4   // Вы вообще хоть что нибудь смыслите в этом Инъёкция - это нарушение привилегий , kxmdk (?), 14:12 , 15-Дек-18, (23) –2   Да, давайте не путать термины Это не инъекция, это бэкдор , тоже Аноним (ok), 14:49 , 15-Дек-18, (27) +1   С каких пор это стало обязательным на опеннете при комментировании o_OНе знаю, , Аноним84701 (ok), 14:54 , 15-Дек-18, (28) +1   Ещё раз sql-инъекция - это то, что даёт возможность выполнять к базе произвольн, Аноним (9), 18:42 , 15-Дек-18, (47) +1   Всё верно В данном случае недоверенный код получает доступ к браузеру правлмерн, Аноним (51), 19:54 , 15-Дек-18, (52) +1   Опровергнуть, что это - бекдор, не могу, как и опровергнуть чайник Рассела Но за, jddjdj (?), 22:21 , 15-Дек-18, (54) +1   только нарк wгуглоиды могли такое придумать, Аноним (32), 16:11 , 15-Дек-18, (32) +3 А гугл виноват тем что додумался вывесить вебу SQLное двигло Далеко не лучшая и, Аноним (-), 01:05 , 16-Дек-18, (57) +1 А то, с особой извращенской любовью к впиливанию pre0 000alfa вещей в релизные в, Аноним (18), 12:47 , 15-Дек-18, (18) –1 Скулите и удаленно Хм А как называется сервер у скулите , anonymous (??), 12:42 , 15-Дек-18, (17) –3 // Google Chrome , Аноним (19), 12:50 , 15-Дек-18, (19) +3 // А причем тут скулите , anonymous (??), 16:35 , 15-Дек-18, (33) –1 // При том что он бэкэндом там прикручен, которому это скармливается, хыхы , Аноним (-), 15:33 , 16-Дек-18, (66) +1 Спасибо, я передумал делать удаленно подгружаемые sqlite файлы , Аноним (9), 14:13 , 15-Дек-18, (24) +1 // а гугль - не передумал, поэтому они у тебя будут подгружаться, хочешь ты этого и, пох (?), 15:26 , 15-Дек-18, (29) +3 Integer overflow в sqlite - это конечно не айс, но давать юзверям это ИМХО это -, OldFart (?), 16:35 , 15-Дек-18, (34) // Следующий шаг - по базе на каждую вкладку домен По процессу на вкладку уже ес, Аноним (61), 15:22 , 16-Дек-18, (61) Лажа 8212 это если 171 как-то само так получилось 187 А когда так и было, КГБ СССР (?), 21:31 , 16-Дек-18, (78) А зачем вообще SQL на клиентской стороне websql Итак же есть webstorage , Аноним (40), 17:44 , 15-Дек-18, (40) // так твои пароли проще паковать в гуглобазу отсюда и websql , аноним3 (?), 17:52 , 15-Дек-18, (41) // Гугля рискует что некоторое количество booby tables ов станет использовать очень, Аноним (-), 15:35 , 16-Дек-18, (67) // у нас нормально obfuscated код на вашей стороне - хрен вы разберетесь, чего имен, Ян собачий сын (?), 16:25 , 17-Дек-18, (85) А мы fuzzer а запустим Вот будет клево когда у гугля что-то где-то будет рандом, Аноним (-), 02:15 , 18-Дек-18, (101) да у нас и так регулярно - то ваша почта, то настройки, а админам в общем-то и п, гугель (?), 11:49 , 18-Дек-18, (105) Затем, зачем SQL вообще нужен -- для упрощения работы с данными , Аноним (107), 15:07 , 18-Дек-18, (109) Вопрос собcтвенно в том, почему Гугл после того как им с друзьями не удалось про, Kuromi (ok), 19:19 , 15-Дек-18, (50) +1 // и продавить таки, поскольку возражать им никто уже не будет, никого не осталось , пох (?), 20:33 , 15-Дек-18, (53) +1 Они к этому и стремились лол , Гит рулит (?), 14:22 , 17-Дек-18, (82) Что-то я не вижу, что она была исправлена Как вкладки в браузере Google-Chromiu, Аноним (68), 15:47 , 16-Дек-18, (68) // Спроси у Германа Львовича Стерлигова, он знает ответ - , КГБ СССР (?), 21:25 , 16-Дек-18, (76) –1 Ну и где любители фоселя от производителя сабжа Глядите каким рeшетом вы пользу, Гит рулит (?), 14:20 , 17-Дек-18, (81) –1 Лайт давно перестал быть Лайтом А зря , Аноним (107), 15:08 , 18-Дек-18, (110) закатайте старый добрый браузер без этих скулящихлайт и тому подобного желатель, Анонимчжан (?), 02:23 , 19-Дек-18, (112) удаленно и sqlite3 кто писал заголовок новости - расстрелять , Alex (??), 10:59 , 21-Дек-18, (113) +1 1,2,17,24,34,40,50,68,81,110,112,113

Сообщения

[Сортировка по времени | RSS]

	21. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+4 +/–
	Сообщение от Аноним84701 (ok), 15-Дек-18, 13:52
	> ошибка в sqlite, а винован гугл... https://sqlite.org/src/info/940f2adc8541a838 > Add extra defenses against strategically corrupt databases to fts3/4." >> в случае если приложение допускает передачу в SQLite SQL-конструкций, поступающих извне, или когда >> приложение допускает обработку подготовленных пользователем бинарных файлов с базой SQLite Вообще-то, раньше использование непроверенных данных из недоверенных источников (а прилетающие из тырьнета запросы ничем иным не являются) называли скромно "SQL injection" и считали виноватым разработчика приложения/сайта, но никак не разработчиков DB. Тем более: > if you follow the advice of the article[https://www.sqlite.org/security.html ] above and "PRAGMA quick_check" untrusted database files or set "PRAGMA cell_size_check=ON" then none of the recently found and fixed issues are reachable. >
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	23. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	–2 +/–
	Сообщение от kxmdk (?), 15-Дек-18, 14:12
	Вы вообще хоть что нибудь смыслите в этом? Инъёкция - это нарушение привилегий. У пользователя нет привилегии исполнять запросы в базе, но фактически есть. Тут же у пользователя изначально есть такие привилегии.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+1 +/–
	Сообщение от тоже Аноним (ok), 15-Дек-18, 14:49
	Да, давайте не путать термины. Это не инъекция, это бэкдор.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+1 +/–
	Сообщение от Аноним84701 (ok), 15-Дек-18, 14:54
	> Вы вообще хоть что нибудь смыслите в этом? С каких пор это стало обязательным на опеннете при комментировании? o_O > Инъёкция - это нарушение привилегий. У пользователя нет привилегии исполнять запросы в базе, но фактически есть.Тут же у пользователя изначально есть такие привилегии. Не знаю, в нашей реальности у пользователя  обычно есть привилегия исполнять запросы в базе по строгим шаблонам (ценник, наим. товара, рейтинг, отзывы). Иногда правда в проверке подставляемых в шаблоны данных, находят дыры - и шаблоны несколько видоизменяются,  позволяя пользователю выполнять другие варианты запросов. Все вместе: дыра в (или вообще отсутствие) проверке данных для шаблона запроса, позволяющая осуществить свой, "нехороший" вариант запроса -- у нас назвали "SQL injection/уязвимостью". Но в вашей реальности, если вы выполняете SQL запрос с левым вводом пользователя и этот запрос оказывается злонамеренным и делает совсем не то, что ожидалось, то это не называют инъекцией? Как интересно!
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	47. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+1 +/–
	Сообщение от Аноним (9), 15-Дек-18, 18:42
	Ещё раз. sql-инъекция - это то, что даёт возможность выполнять к базе произвольные запросы тому, у кого такой привилегии нет. shell-инъекция - это то, что даёт возможность выполнять команды командной строки. Но если такой доступ есть изначально, то это не инъекция, а ССЗБ.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+1 +/–
	Сообщение от Аноним (51), 15-Дек-18, 19:54
	Всё верно. В данном случае недоверенный код получает доступ к браузеру правлмерным путём; иными словами, — через внедрённый Гуглом бэкдор.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..."	+1 +/–
	Сообщение от jddjdj (?), 15-Дек-18, 22:21
	Опровергнуть, что это - бекдор, не могу, как и опровергнуть чайник Рассела. Но замечу, что SQLite - это база данных, и сам движок sqlite не позволяет выйти из песочницы. Вернее все думали, что не позволяет, потому что от него ожидалось, что не позволяет. Так чем же провинился Гугл? Тем что не натравил Project Zero на эту базу? Не волнуйтесь, теперь натравят.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема