Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Переполнение буфера в OpenSSL, эксплуатируемое при проверке сертификатов X.509 , opennews (??), 01-Ноя-22, (0) [смотреть все] Опять ненастоящие Сишники, да что ж такое , Аноним (1), 20:00 , 01-Ноя-22, (1) +16 // Это, конечно, не вебмакаки Вебмакакам до такого уровня ещё деградировать и дегр, Аноним (1), 20:02 , 01-Ноя-22, (4) +2 // Ubuntu packages are built with stack protector, reducing theimpact of this CVE f, Аноним (53), 02:19 , 02-Ноя-22, (53) // Сишники настолько умные, относительно растоманов, что зачастую брезгуют любыми п, ВлезВТопик (?), 07:38 , 02-Ноя-22, (70) –1 Смени топик на майку , Аноним (116), 13:58 , 02-Ноя-22, (116) +1 Лучше на зайку, Аноним (147), 14:55 , 03-Ноя-22, (147) Что-то последнее время часто появляются уязвимости в НОВОМ коде, а в старых ве, Аноним (9), 20:16 , 01-Ноя-22, (9) +4 // Деградация, жертвы питона освоили C , Аноним (18), 20:40 , 01-Ноя-22, (18) у дидов обычно уязвимости на уровне спецификации протокола, Аноним (20), 20:42 , 01-Ноя-22, (20) +1 // то не уязвимость, а закладка от АНБ была , Аноним (9), 21:08 , 01-Ноя-22, (31) +4 Heartbleed такой - ну да, ну да , another_one (ok), 20:49 , 01-Ноя-22, (25) // Кстати, его всегда можно было отключать, или это потом уже придумали Там вообще, Аноним (44), 23:08 , 01-Ноя-22, (44) MS овская многоходовка , Аноним (59), 05:23 , 02-Ноя-22, (59) // Как только Лёня всплыл в проруби микрософта - уже ничему не удивляешься , Аноним (9), 09:54 , 02-Ноя-22, (89) +1 Не веб-макаки говоришь Ты фиксы смотрел Это хуже чем любой вебмакакинг - if, Аноним (19), 20:41 , 01-Ноя-22, (19) +3 // растаманы бы написали if written_out max_out , Аноним (9), 21:10 , 01-Ноя-22, (32) // Что бы сделали растаманы - твои маняфантазии А что сделали сишники - мы все уже , Аноним (107), 13:30 , 02-Ноя-22, (107) +2 Но и кода ты растик не показал, microsoft (?), 22:00 , 02-Ноя-22, (140) И что здесь такого Чел забыл, что чек происходит уже после того, как данные пиш, Аноним (61), 06:36 , 02-Ноя-22, (61)   // Точно известно А через неделю не забудешь Через месяц А коллегам не забудешь , Аноним (63), 06:57 , 02-Ноя-22, (63)   Если ограничиться фрагментом из патча и не вникать в остальной код, то written_o, n00by (ok), 09:33 , 02-Ноя-22, (82) –2   Ты про defensive programming слышал Опыт программирования, особенно на языках т, Аноним (126), 17:10 , 02-Ноя-22, (126) +1   ты на ник его посмотри и не задавай глупых вопросов, Аноним (141), 04:08 , 03-Ноя-22, (141) –1   Работает ведь Особенно зачётно, когда персонаж без имени такое пишет , n00by (ok), 09:47 , 03-Ноя-22, (145) +1   Я слышал, что господа теоретики очень любят грузить оппонента заумными buzzwords, n00by (ok), 09:29 , 03-Ноя-22, (144)   Ошибиться на 1 символ это самая частая ошибка, у людей нервная система так работ, Аноним (63), 06:53 , 02-Ноя-22, (62) +2 Что-то всё чаще и чаще мелькает бубнеж этой мантры Не надоело , Аноним (35), 21:13 , 01-Ноя-22, (35) –1 // Смотрите комментарий над проблемной функцией code - Pseudocode functio, n00by (ok), 09:47 , 02-Ноя-22, (87) –1 npm audit fixhttps vuldb com recent 202211, Без аргументов (?), 22:49 , 01-Ноя-22, (41) –1 // https vuldb com recent 202210, Без аргументов (?), 22:50 , 01-Ноя-22, (42) +2 Но вы же не веб-макака и знаете что такое шина адреса она вообще есть у совреме, Аноним (63), 10:06 , 02-Ноя-22, (90) –1 // Я просто возьму Qt WxWidgets, Pure JS как макаки называют отдельную технологию, Без аргументов (?), 13:46 , 02-Ноя-22, (108) не Pure, Vanilla JS точнее каких только не развели, Без аргументов (?), 13:55 , 02-Ноя-22, (113) Java Spring, наконец Это касательно с фронтендом, кроме Go , Без аргументов (?), 13:47 , 02-Ноя-22, (109) Я правильно понимаю вы пишете одновременно на 1 go2 qt c 3 WxWidgets c 4 j, Аноним (123), 16:28 , 02-Ноя-22, (123) Женщина-программист Чего только не выдумывают на опеннете , Аноним (-), 16:42 , 02-Ноя-22, (124) –1 У меня была сеньёрша по шарпам Реально Просто место работы надо менять, и выби, Без аргументов (?), 18:55 , 02-Ноя-22, (136) Если это не просто перечисление всех известных вам названий технологий, Аноним (123), 17:48 , 02-Ноя-22, (129) На Java меньше всего, даже забыл 9 лет назад Я просто знаю, что жили нормально, Без аргументов (?), 19:05 , 02-Ноя-22, (139) Мне 32 За компом с 9 игрушки мои компы не тянули На всём этом приходилось Н, Без аргументов (?), 18:50 , 02-Ноя-22, (132) Как здорово что на опеннет есть настоящие программисты способные писать сразу на, Аноним (63), 06:14 , 03-Ноя-22, (142) Про схемотехнику, органицию ЭВМ, ПЛИС, ассемблер -- я это всё универ с магистрат, Без аргументов (?), 18:52 , 02-Ноя-22, (134) Не кикбрейнс же проходил И да, PL SQL Oracle я тоже очень хорошо знал 3 года наз, Без аргументов (?), 18:53 , 02-Ноя-22, (135) +1 вот с JS я не осилил, признаюсь т к фрейморки это уже каждый из них космос, ко, Без аргументов (?), 18:58 , 02-Ноя-22, (137) Еще сайт делал полностью под ключ на PHP JQuery 5 лет пашет, никакого вебмака, Без аргументов (?), 18:59 , 02-Ноя-22, (138) Память у вас хорошая Касательно эмбеда верно Си на бэке Cortex M или Go Cor, Без аргументов (?), 13:51 , 02-Ноя-22, (110) кто делает сервер на cortex m, тот конечно тоже не совсем адекват, Без аргументов (?), 13:56 , 02-Ноя-22, (114) Про Раст не скажу, пока наблюдаю, Без аргументов (?), 13:51 , 02-Ноя-22, (111) это всё нужно для SPA-PWA и прочий клей момент с жирным клиентом , Без аргументов (?), 13:53 , 02-Ноя-22, (112) и кстати удачи в SEO со своими SPA, Без аргументов (?), 13:57 , 02-Ноя-22, (115) Опять где же настоящие растоманщики , истина в последней инстанции (?), 20:40 , 03-Ноя-22, (152) OpenSSL, который мы заслужили , Аноним (2), 20:01 , 01-Ноя-22, (2) –1 // Ну так для этого и ответвились - всё говно, которое Google не счёл экономически , Аноним (5), 20:05 , 01-Ноя-22, (5) +1 // У неё нет пользователей , Аноним (44), 23:09 , 01-Ноя-22, (45) +1 Причём тут GnuTLS Они с OpenSSL ни разу не родственники , Аноним (74), 08:42 , 02-Ноя-22, (74) // Часть софта при сборке из портов FreeBSD даёт выбор использовать GnuTLS или Open, iZEN (ok), 09:15 , 02-Ноя-22, (80) А из исходников, в большинстве случаев, ты можешь использовать что угодно, что L, bOOster (ok), 10:54 , 02-Ноя-22, (100) +1 В большинстве случаев нет, в софте должна быть явная поддержка в коде Я делал т, Аноним (44), 13:14 , 02-Ноя-22, (105) –1 А может 1 никто не проверяет просто Ведь не new shiny shit, прошлый век, непро, Аноним (5), 20:02 , 01-Ноя-22, (3) // Скорее всего проверяют, ветка 1 х на приватной поддержке вроде , Аноним (59), 05:25 , 02-Ноя-22, (60) https github com mesalock-linux mesalink - OpenSSL compatibility layer for the, Аноним (5), 20:07 , 01-Ноя-22, (6) –2 Как же достали эти уязвимости Пора переходить на RusTLS , DEF (?), 20:12 , 01-Ноя-22, (7) // Russian TLS , Аноним (2), 20:49 , 01-Ноя-22, (24) +7 Этого никогда не случиться Потому что вы его никогда не допишете , истина в последней инстанции (?), 20:42 , 03-Ноя-22, (153) А разве Rust защищает от переполнения буффера числа , Аноним (8), 20:13 , 01-Ноя-22, (8) +3 // Один из багов в FF показал, что в расте надо так же ручками проверять вхождение , Аноним (9), 20:24 , 01-Ноя-22, (12) // Пруфы в студию , Аноним (19), 20:42 , 01-Ноя-22, (21) // см багтрекер Мозилы, Аноним (9), 21:11 , 01-Ноя-22, (33) –1 Хаха, что и требовалось ожидать Ты только языком трепаться можешь , Аноним (19), 21:15 , 01-Ноя-22, (36) Не осиливаешь в поиск Как ты вообще русский язык в прошлом году в 8-ом классе с, Аноним (78), 09:00 , 02-Ноя-22, (78) А что происходит когда в расте ты таки обращаешься с массиву по неверному индекс, Анонн (?), 20:47 , 01-Ноя-22, (23) // в конкретно том случае всё делалось руками, в т ч кидание паники неуместное, е, Аноним (9), 21:12 , 01-Ноя-22, (34) Число просто переполняется и становится отрицательным больше ничего интересного , Аноним (78), 09:00 , 02-Ноя-22, (79) интересное происходит ПОТОМ, когда оно используется в вычислении смещений , Аноним (9), 09:50 , 02-Ноя-22, (88) Смотря как обращаешься Если вызываешь code get i code то этот метод возвра, freecoder (ok), 23:27 , 03-Ноя-22, (154) Один из ветров показал, что они дуют, потому что деревья качаются https git op, Аноним (-), 23:41 , 01-Ноя-22, (47) +1 Это одна из основных фитч, так-то , Rev (?), 20:32 , 01-Ноя-22, (14) –2 // читай выше , Аноним (9), 20:35 , 01-Ноя-22, (16) +1 // Ты же ссылку не привел, что читать Твои больные фантазии , Аноним (63), 07:02 , 02-Ноя-22, (64) Что-то не работают основные фичи Тогда спрашивается чем debug mode от динамич, Аноним (8), 20:50 , 01-Ноя-22, (26) –1 // Работают если знаешь как ошибка будет логическая, а не порча памяти , Анонн (?), 20:53 , 01-Ноя-22, (27) А почему ты объединяешь эти проблемы Переполнение числа и переполнение буфера а, Аноним (-), 22:28 , 01-Ноя-22, (40) +1 от него кровопролитиев ждали, а он чижика съел Ну и хорошо что так, зря тольк, anonymous (??), 20:19 , 01-Ноя-22, (10) +1 // Салтыков-Щедрин, Медведь на воеводстве , ryoken (ok), 08:00 , 02-Ноя-22, (71) +2 Хочешь не хочешь, а уже начинаешь верить в теории заговора, почему этот кусок кр, Самый умный из вас (?), 20:20 , 01-Ноя-22, (11) // Дорого плюс конеретно этот кусок используют все подряд, в нем уже залатали вс, Аноним (53), 02:24 , 02-Ноя-22, (55) Иксы уже переписали теперь имеется куча багов в новом модном wayland решен, Аноним (53), 02:26 , 02-Ноя-22, (56) +1 Пустозвимость, из-за которой задержали выпуск новой Федоры , Аноним (13), 20:25 , 01-Ноя-22, (13) –1 // RawHide в помощь, и ваша Федора всегда будет настолько новой, что прям дальше не, ryoken (ok), 08:01 , 02-Ноя-22, (72) ну наконец-то libressl может похвастаться что хотя бы этой проблемы у них нет п, Аноним (17), 20:37 , 01-Ноя-22, (17) // Вообще-то немало выявленных в OpenSSL уязвимостей не проявляются в LibreSSL Обр, Аноним (74), 08:46 , 02-Ноя-22, (75) +2 // И это нам показывает реальное положение дел, что вообще много всяких помоев в Li, bOOster (ok), 08:58 , 02-Ноя-22, (77) Ахаха, впрочем ничего нового Фикс с vs просто шикарен И это в штуке, н, Аноним (19), 20:44 , 01-Ноя-22, (22) +2 Дали сишнику два буфера за один он вышел, а второму use-after-free сделал , Аноним (30), 21:08 , 01-Ноя-22, (30) +3 // У Пети было 32 байта в буфере 24 он отдал Маше, а оставшиеся 128 8212 Ване , Аноним (20), 21:25 , 01-Ноя-22, (37) // у этой истории есть продолжение там где Петькины 24 байта застряли в Машкины, Аноним (38), 21:54 , 01-Ноя-22, (38) +4 Хочешь сказать у Вани буфера больше, чем у Маши , Онаним. (?), 23:57 , 01-Ноя-22, (50) +1 Петя вставил данных Маше на 24, а Ване - на 128 На каком языке пишет Петя , Аноним (9), 10:18 , 02-Ноя-22, (94) // скорее всего руби, Аноним (126), 16:06 , 02-Ноя-22, (121) +1 В Ф36 будет пакет openssl-3 0 5-2 fc36, а не 3 0 7Получается что это бэкпорт, и , penetrator (?), 22:03 , 01-Ноя-22, (39) // Пусть страдают , анонимус (??), 23:12 , 01-Ноя-22, (46) +1 Кросавчеги У любителей тащить в рот сертификаты автоматом очко на минус уже наве, Онаним. (?), 23:56 , 01-Ноя-22, (49) // Хотя там и клиентского будет достаточно К счастью, дело ограничилось 4 байтами , Онаним. (?), 23:58 , 01-Ноя-22, (51) // Эх, недоработали современные вебмакаки В версии 4 сделают побольше переполнен, Аноним (9), 09:46 , 02-Ноя-22, (86) А нельзя как-то добавить в C типы данных вроде срез и проверять переполнение, а , Аноним (52), 01:46 , 02-Ноя-22, (52) –2 // Зачем что-то добавлять оно уже давно есть, зовется с , Аноним (53), 02:21 , 02-Ноя-22, (54) // Из с нужно как-то убрать сишные указатели на начало последовательности элемент, Аноним (63), 07:11 , 02-Ноя-22, (65) –2 // std span, Аноним (73), 08:18 , 02-Ноя-22, (73) Если для ваших задач не нужен именно C , это не значит, что и всем остальным дл, Аноним (74), 08:53 , 02-Ноя-22, (76) как говорится никогда не говорите никогда master, slave, blacklist и кто зна, Аноним (83), 09:39 , 02-Ноя-22, (83) Причем здесь терминология Паскаль например тоже больше 50 лет назад появился Н, Аноним (63), 10:15 , 02-Ноя-22, (93) +1 А в С строки и вектора они появились только в стандарте C 2003, Аноним (63), 10:21 , 02-Ноя-22, (95) +1 В 2012 на С еще в каждой крупной библиотеке еще изобретали свои строки вместо , Аноним (63), 10:24 , 02-Ноя-22, (96) +1 Кутэ тому пример , Аноним (9), 10:50 , 02-Ноя-22, (99) +1 ладно qt, свои строки были даже в Ogre 3D и вроде бы wxwidget Ну вот зачем библи, Аноним (123), 16:04 , 02-Ноя-22, (120) Когда Qt разрабатывали std string ещё небыло , Аноним (131), 18:48 , 02-Ноя-22, (131) Это просто показывает насколько удобна, продумана и универсальна эталонная реали, Аноним (107), 13:28 , 02-Ноя-22, (106) Или то насколько сложно перевести уже существующий продукт на новую библиотеку с, Аноним (131), 18:50 , 02-Ноя-22, (133) Очень простой рецепт не используй указатели , Аноним (9), 09:41 , 02-Ноя-22, (84) Зачем убирать Просто не используй , Аноним (131), 18:44 , 02-Ноя-22, (130) Многого хотите - в Си ещё строки не определены в базовых типах До сих пор польз, iZEN (ok), 09:18 , 02-Ноя-22, (81) +4 // А паскаль-то не так уж и плох, как его ругают сишники , Аноним (9), 09:45 , 02-Ноя-22, (85) // Просто в Паскале компилятор самолично высчитывает длину строки А в Си компилято, Аноним (126), 16:14 , 03-Ноя-22, (150) На самом деле Си транслятор точно так же знает длину 171 строки 187 на этапе, n00by (ok), 17:25 , 03-Ноя-22, (151) Потому что строки это синтаксический сахар Есть только области памяти с данными,, Ivan_83 (ok), 11:09 , 02-Ноя-22, (101) // Ошибаешься , Аноним (9), 12:03 , 02-Ноя-22, (104) Он не ошибается А твоё умозаключение приведёт тебя прямиком в ООП языки , Аноним (126), 16:12 , 03-Ноя-22, (149) фу фу фу, не надо тогда нам этого сахара сегодня сахарка поюзал, а завтра уже с, Аноним (-), 02:00 , 04-Ноя-22, (155) Уязвимость не стали признавать критической только потому что в ubuntu и redhat в, Аноним (63), 10:09 , 02-Ноя-22, (91) +4 // И всё, точка , Аноним (9), 10:12 , 02-Ноя-22, (92) +3 Лично мне кажется что чем больше выполняется проверок компилятором и статическим, Аноним (63), 10:35 , 02-Ноя-22, (97) –1 // Теперь ты понимаешь, почему растаманы не смогли сделать очередной божественный я, Аноним (9), 10:48 , 02-Ноя-22, (98) +2 // мне всё равно что там не смогли сделать растоманы в kotlin очень много проверок, Аноним (123), 11:58 , 02-Ноя-22, (102) // софта на котлине - как на брейнфаке , Аноним (9), 12:02 , 02-Ноя-22, (103) +1 Это ты так решил , Аноним (117), 14:30 , 02-Ноя-22, (117) –1 Это котлята столько написали , Аноним (9), 17:16 , 02-Ноя-22, (127) Значительная часть мобильных приложений для андроид, некоторые для ios через kot, Аноним (123), 16:00 , 02-Ноя-22, (119) –2 В моей организации 100500 работников и 9000 манагеров - и никто котлин не исполь, Аноним (9), 17:18 , 02-Ноя-22, (128) +4 Переходим на bearssl Долой выделение памяти , Аноним (-), 16:27 , 02-Ноя-22, (122) Братья сишники спасайте, мне что теперь, от телефона отказываться In Android, Kl, Аноним (143), 08:12 , 03-Ноя-22, (143) +3 // Переходить на iphone, там нет ненавистного местным экспертам раста, Аноним (63), 15:32 , 03-Ноя-22, (148) +1 1,2,3,6,7,8,10,11,13,17,22,30,39,49,52,91,97,122,143

Сообщения

[Сортировка по времени | RSS]

	61. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	+/–
	Сообщение от Аноним (61), 02-Ноя-22, 06:36
	И что здесь такого? Чел забыл, что чек происходит уже после того, как данные пишутся в буффер, а не перед. По вашему было бы лучше обернуть код в кучу for циклов до такой степени, что он перестанет быть читаемым, потому что вам придётся следить за десятками проверок каждого цикла внутри цикла? Или лучше потратить рантайма на бесконечные проверки того, что нам как программисту и так уже известно, но пускай теперь эта проверка будет исполнятся каждую миллисекунду на миллиардах машин по всему миру?
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	63. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	+/–
	Сообщение от Аноним (63), 02-Ноя-22, 06:57
	Точно известно? А через неделю не забудешь? Через месяц? А коллегам не забудешь рассказывать? А для простых переборов всех элементов массива через foreach проверку во время выполнения можно не проводить
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	–2 +/–
	Сообщение от n00by (ok), 02-Ноя-22, 09:33
	Если ограничиться фрагментом из патча и не вникать в остальной код, то written_out инкрементируется на 1. Не понятно, зачем там вообще >. Достаточно было бы ==. В смысле, вместо > < <= >= == != выбор сужается до 2-х вариантов сравнения == или !=, и некорректный сразу не проходит тесты. Такому подходу учит концепция итераторов в плюсах, где operator>() может быть не определён.
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

	126. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	+1 +/–
	Сообщение от Аноним (126), 02-Ноя-22, 17:10
	> Не понятно, зачем там вообще >. Достаточно было бы ==. Ты про defensive programming слышал? Опыт программирования, особенно на языках типа C, приучает к такому стилю. Сейчас там может и достаточно было бы ==, а завтра придёт следующий, и за итерацию сделает ++ дважды, а проверку забудет поправить. Поэтому >=. > Такому подходу учит концепция итераторов в плюсах, где operator>() может быть не определён. Итератор и int -- это разные вещи, и обращаться с ними надо по-разному.
	Ответить | Правка | Наверх | Cообщить модератору

	141. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	–1 +/–
	Сообщение от Аноним (141), 03-Ноя-22, 04:08
	> Ты про defensive programming слышал? ты на ник его посмотри и не задавай глупых вопросов
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	+1 +/–
	Сообщение от n00by (ok), 03-Ноя-22, 09:47
	Работает ведь. Особенно зачётно, когда персонаж без имени такое пишет. ;)
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Переполнение буфера в OpenSSL, эксплуатируемое при проверке ..."	+/–
	Сообщение от n00by (ok), 03-Ноя-22, 09:29
	>> Не понятно, зачем там вообще >. Достаточно было бы ==. > Ты про defensive programming слышал? Я слышал, что господа теоретики очень любят грузить оппонента заумными buzzwords и обсуждать сферических коней в ваккуме. И видел вот прям сейчас, что на практике > привел к ошибке, которой бы не было при указанном мной подходе. И висела эта ошибка джва года. > Сейчас там может и достаточно было бы > ==, а завтра придёт следующий, и за итерацию сделает ++ дважды, > а проверку забудет поправить. Поэтому >=. Очевидно из кода, что не сделает. > Итератор и int -- это разные вещи, и обращаться с ними надо по-разному. Если я написал про отсуствие operator>(), наверное, я немного понимаю, что такое итератор. А если не понятно, что итератор приучает машинально писать везде ++i вместо i++, а в сложных случаях, когда это действительно надо, приходится задумываться и избегать вот таких ошибок, так пишите про это прямо.
	Ответить | Правка | К родителю #126 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема