Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в NPM-пакете node-netmask, применяемом в 270 тысячах проектах, opennews (ok), 29-Мрт-21, (0) [смотреть все] никогда не было и вот опять , Леголас (ok), 11:22 , 29-Мрт-21, (1) +12 // Никаких 127 0 0 1 в приличных системах быть не должно , Аноним (-), 11:53 , 29-Мрт-21, (12) –2 // ровно как и nodejs, Аноним (-), 11:53 , 29-Мрт-21, (13) +33 Как избавиться предлагаеш от 127 0 0 1 , валяйте (?), 19:42 , 29-Мрт-21, (83) +1 // заменить на , B (?), 19:16 , 30-Мрт-21, (102) Люблю эти Черномырдинки, Dzen Python (ok), 13:19 , 29-Мрт-21, (34) вот это не понял 0177 0 0 1 , которое соответствует 127 0 0 1 поясните пожалу, имятакое (?), 11:23 , 29-Мрт-21, (2) –1 // Восьмеричная запись начинается с нуля, Ононимус (?), 11:27 , 29-Мрт-21, (3) +2 0177 - восьмиричная система счисленияпереводим в 10-ю и получаем 127, Аноним (4), 11:28 , 29-Мрт-21, (4) 0 в начале числа по традиции у программистов означает 8-ричную систему счисления, A.Stahl (ok), 11:30 , 29-Мрт-21, (5) // Странная традицияДля интереса посмотрел що в жс как записывается все начинается, Lex (??), 12:15 , 29-Мрт-21, (22) // Кто писал на C, тот привык C появился на PDP-11, там восьмеричная система счисле, userd (ok), 12:49 , 29-Мрт-21, (27) +1 ping 0177 0 0 1PING 0177 0 0 1 127 0 0 1 56 84 bytes of data 64 bytes from , Аноним (6), 11:33 , 29-Мрт-21, (6) –1 // - поясните пожалуйста, почему это равно этому- да, смотри, это равно этому, Леголас (ok), 11:39 , 29-Мрт-21, (7) +8 // Потому что потому с , Аноним (15), 12:00 , 29-Мрт-21, (15) Для полноты картины нужно попинговать 0x7F 0 0 1 , 0x7f 1 , 0x7F000001 , 0177000, userd (ok), 12:19 , 29-Мрт-21, (23) +8 // А ведь работает даже под виндой , Tester (??), 15:18 , 29-Мрт-21, (62) oct - dec, anonymous (??), 12:15 , 29-Мрт-21, (21) // oct - nov - dec, неуч, Аноним (50), 14:10 , 29-Мрт-21, (50) +4 // Почему католические программисты путают Хеллоуин и Рождество Потому, что Oct 31 , Ыыы (??), 17:22 , 29-Мрт-21, (75) +3 Было большой ошибкой додуматься до включение восьмеричных чисел в спецификации I, Аноним (8), 11:39 , 29-Мрт-21, (8) –5 // Авторы спеков так видят , пойми Скажи спасибо еще римские цифры не добавили , Аноним (9), 11:42 , 29-Мрт-21, (9) –2 Для своих целей восьмиричные числа весьма наглядные , gogo (?), 14:50 , 29-Мрт-21, (57) +2 Обезьянки взяли спеки, и написали по спекам , как привыкли В реальном мире всё , Аноним (66), 16:36 , 29-Мрт-21, (66) Ваша способность выявлять ошибки вызывает сомнения, Аноним (76), 17:26 , 29-Мрт-21, (76) В ipv6 такая же ситуация , Аноним (15), 11:58 , 29-Мрт-21, (14) // Другая , Аноним (50), 14:11 , 29-Мрт-21, (51) +3 Зевнул Уже даже не смешно Норма для ноды, руби и прочих растов с композерами , Аноним (66), 12:01 , 29-Мрт-21, (16) // Дело не в ноде, а коде inet_aton на C который изначально нарушал стандарт , Аноним (15), 12:12 , 29-Мрт-21, (20) // Именно - дело в коде , Аноним (25), 12:29 , 29-Мрт-21, (25) +2 а можно детальнее - какой именно стандарт и в чем , Урри (ok), 13:04 , 29-Мрт-21, (30) +1 // Ну вот ссылка в статье есть на спецификациюhttps tools ietf org html draft-mai, Аноним (15), 13:14 , 29-Мрт-21, (31) de facto standardЭто и не стандарт вовсе, а так принято А стандарт допускает и, 1 (??), 13:47 , 29-Мрт-21, (42) Какие еще стандарты, там галимотья на кофескрипте конвертящая тупостроки Афтор , Аноним (45), 13:58 , 29-Мрт-21, (45) Если задача стояла конвертить строки, то логично что работа идёт в т числе и со , Аноним (15), 14:03 , 29-Мрт-21, (49) Ну еслиб тебя не роняли в детстве на голову так часто - то смог бы осилить айпи , Аноним (-), 15:42 , 29-Мрт-21, (63) +1 Если бы тебя не роняли в детстве, ты бы не писал чушь в комментариях, Аноним (92), 09:15 , 30-Мрт-21, (92) Не вижу нарушения Может подскажете где именно , Урри (ok), 17:13 , 29-Мрт-21, (74) Дело снова в отсутствии полноценной валидации входных данных То есть в кривых ру, Онаним (?), 14:23 , 29-Мрт-21, (52) +4 На Руби не гони, э https ideone com H0ewsRТут вам не питонжсы , Аноним (105), 22:13 , 02-Апр-21, (105) Магия и остроумие костыликов сделать просто - договориться о волшебном значении, Анонимно Аффтор (?), 12:03 , 29-Мрт-21, (17) +2 // Вы таки будете смеяться, но если в вендовой командной строке так что-то попингов, ryoken (ok), 15:12 , 29-Мрт-21, (60) // Поинт в другом Сокрытие настоящего типа объекта приводит к внезапности , Анонимно Аффтор (?), 16:07 , 29-Мрт-21, (65) +2 Вот они удивятся когда узнают что можно не только восьмеричные писать, но и 16-р, Аноним (15), 12:07 , 29-Мрт-21, (18) +8 // Ээээ слушай, канчай шатать наша вселенная нода жс да , Аноним (29), 13:03 , 29-Мрт-21, (29) +4 господа нодисты открыли ящик Пандоры, Леголас (ok), 13:29 , 29-Мрт-21, (37) +4 // Нее Тот ящик на всех подействовал И был чужим А эти сами себе всё делают , Аноним (61), 15:13 , 29-Мрт-21, (61) +1 Я пробежал указанный документ Из него следует что это не особо и то и вина разр, Аноним (15), 12:11 , 29-Мрт-21, (19) Забавно смотреть как поступи ничего из себя не представляющие обитатели местного, Посылатель нахер (?), 12:46 , 29-Мрт-21, (26) +1 // Уж больно есть что плохого в платформе Да Повлияла на индустрию Но мир внутри , Аноним (25), 13:44 , 29-Мрт-21, (39) +1 // нет, Аноним (-), 15:44 , 29-Мрт-21, (64) // Одинэсника ответ, Твой батя (?), 21:36 , 29-Мрт-21, (88) А мог быть и хуже Назови любой язык и я его обосру Толку то , Твой батя (?), 21:37 , 29-Мрт-21, (89) // rust, фас , Аноним (-), 16:35 , 30-Мрт-21, (101) На всех двух нормальных языках в природе Пакетный менеджер так не работает д, Аноним (41), 13:45 , 29-Мрт-21, (41) // Не пишешь эти два языка во избежание унижения , Твой батя (?), 21:39 , 29-Мрт-21, (90) Не только эти два указанных реальных IP могут обойти проверку Получается, любые, mymedia (ok), 13:03 , 29-Мрт-21, (28) –1 // А на авторов либы гоните Тут свою гений RUSTут , B (?), 19:24 , 30-Мрт-21, (103) А если ещё с шестнадцатеричными поиграться , Аноним (32), 13:16 , 29-Мрт-21, (32) В новом коде насчёт 16-ричных систем тоже баг https github com rs node-netmask, Аноним (15), 13:17 , 29-Мрт-21, (33) // Муахах блдажд Называется - footmade code , Онаним (?), 14:24 , 29-Мрт-21, (53) +1 Других программистов на ноде у нас нет , Аноним (36), 13:29 , 29-Мрт-21, (36) +1 // И не надо , Онаним (?), 14:25 , 29-Мрт-21, (54) +1 Либу писали кофескриптисты, не надо их примешать к нодистам , Аноним (87), 21:30 , 29-Мрт-21, (87) // Сорта, Noname (??), 13:24 , 30-Мрт-21, (96) // руби, Аноним (87), 16:23 , 30-Мрт-21, (100) это проблема не в node, а вообще во всех языках проверка if IP 127 0 0 1 , onanim (?), 13:35 , 29-Мрт-21, (38) +1 // и для строки вида 127 0 00 1 Сравнивать строковые представления ip адресов , Аноним (46), 13:58 , 29-Мрт-21, (46) +4 так что проверять юзерский инпут нужно не только на неравность строке 127 0, onanim (?), 13:59 , 29-Мрт-21, (47)   // А чо не так-то в моем юзерском инпуте Как по мне - норм же ж ip-адрес linups , пох. (?), 17:08 , 29-Мрт-21, (73) +2   Скажу крамольную, на данном сайте вещь Но даже сам великий и ужасный Раст не по, Аноним (41), 13:44 , 29-Мрт-21, (40) +3 // Писатели на расте никогда бы не написали код, который строится на допущении, что, Аноним (36), 13:50 , 29-Мрт-21, (43) –3 // Стандарт допускает восьмеричные числа в айпи-адресе , Аноним (68), 16:47 , 29-Мрт-21, (68) +1 println , 0177 0 0 1 parse Ipv4Addr Ok 177 0 0 1 , Аноним (77), 18:34 , 29-Мрт-21, (77) +2 0177 0 0 1 даже стандартная регулирочка из всех книжек по программированию не пр, Аноним (92), 20:02 , 29-Мрт-21, (86) не вижу в этом уязвимости Просто нормальное поведение преобразования адреса А кт, 1 (??), 13:51 , 29-Мрт-21, (44) +1 От кривых рук спасает только ампутация Да и вообще, с чего вы взяли, что Rust ч, Анонимъ (?), 15:09 , 29-Мрт-21, (59) // Это фракталята тут постоянно вещают Сами не знают о чем , Аноним (68), 16:48 , 29-Мрт-21, (69) +1 Точно У rust есть поддержка up адресов в стандартной библиотеке Вроде бы У ja, Аноним (92), 19:54 , 29-Мрт-21, (84) // Ip адресов, Аноним (92), 19:55 , 29-Мрт-21, (85) Дык, вот такая поддержка у них и есть Проблеме подвержена стандартная библиот, пох. (?), 10:02 , 30-Мрт-21, (94) В защиту JS могу сказать, что багованный код написан был НЕ на JavaScript , Аноним (15), 14:01 , 29-Мрт-21, (48) +1 Уязвимость NPM-пакет Предлагаю всем заучить эту формулу , Аноним (55), 14:32 , 29-Мрт-21, (55) +3 Если бы это была уязвимость, то обновление вышло бы как 1 0 7 А это явно фича, и, Аноним (56), 14:50 , 29-Мрт-21, (56) +1 // Точно Чтобы у те, кто хочет оставить себе этот баг в системе, могли не апдейтит, gogo (?), 14:57 , 29-Мрт-21, (58) // Так может у них код приложения именно так и написан чтобы эта либа принимала вос, Аноним (68), 16:51 , 29-Мрт-21, (70) С годоми уровень программеров очень упал , Аноним (67), 16:36 , 29-Мрт-21, (67) +1 // Больше кода больше багов Не надо грязи , Аноним (68), 16:51 , 29-Мрт-21, (71) –1 // Базовая, либсишная функция со времен появления айпи Откуда его вдруг за пол век, Аноним (-), 19:28 , 29-Мрт-21, (81) ребят, а как же говорили что Линукс, ГНУ, Опенсурс - это надежно, нет бакдоров, , Аноним (78), 19:00 , 29-Мрт-21, (78) // Тысячи глаз и нашли Обновись просто В npm выводит предупреждения, если есть vu, Аноним (91), 23:52 , 29-Мрт-21, (91) никто такого не говорил на гнуорг вообще обратное написано - что каждый думает , Аноним (-), 15:05 , 30-Мрт-21, (99) Кучу валидаторов писала и не знала об этом , Аноним (92), 19:21 , 29-Мрт-21, (79) // Так задача ж была валидатор писать, а не знать Чё не так- то , Noname (??), 13:53 , 30-Мрт-21, (98) +1 Это даже уязвимостью назвать нельзя Библиотека явно предполагает на входе IP-адр, Аноним (82), 19:30 , 29-Мрт-21, (82) +1 // и плевать что ее единственная задача - преобразование форматов Ну оок Давайте по, пох. (?), 09:42 , 30-Мрт-21, (93) +1 Что-то мне никак не хватает воображения представить эксплоит Типовая задача при, PnD (??), 11:43 , 30-Мрт-21, (95) +1 где-то в глубине используемых шелловых сценариев для таких случаев применяется s, Чолхан (ok), 13:49 , 30-Мрт-21, (97) А, напомните, почему атакующий не может просто запросить ресурс, указав значение, Chupaka (ok), 11:25 , 31-Мрт-21, (104) +1 171 в 270 тысячах проектОВ 187 , Аноним (106), 21:29 , 03-Апр-21, (106) 1,2,8,14,16,17,18,19,26,28,32,33,36,38,40,48,55,56,67,78,79,82,95,97,104,106

Сообщения

[Сортировка по времени | RSS]

	47. "Уязвимость в NPM-пакете node-netmask, применяемом в 270 тыся..."	+/–
	Сообщение от onanim (?), 29-Мрт-21, 13:59
	... так что проверять юзерский инпут нужно не только на неравность строке "127.0.0.1", но и что это вообще является IP адресом, а не неведомой бинарной фигнёй с кавычками и спецсимволами.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	73. "Уязвимость в NPM-пакете node-netmask, применяемом в 270 тыся..."	+2 +/–
	Сообщение от пох. (?), 29-Мрт-21, 17:08
	А чо не так-то в моем юзерском инпуте ? Как по мне - норм же ж ip-адрес?! linups:~> ping 0x7f.0.0.1 PING 0x7f.0.0.1 (127.0.0.1) 56(84) bytes of data. 64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.036 ms 64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.064 ms ^C --- 0x7f.0.0.1 ping statistics --- Всегда ж так пингую Вот додуматься сравнивать их как СТРОКИ - это действительно какие-то уникальные грибы у этих ребят уродились. Не надо таких жрать, а то так и останешься поехавшим. Ну и просто прекрасно именно то, что такой костылекод используется примерно везде, где они работают с адресами. Помнити npm leftpad!
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема