Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в libcue, приводящая к выполнению кода при загрузке файлов в GNOME, opennews (??), 09-Окт-23, (0) [смотреть все] Ох, эта libcue такая кривая дрянь, вы таки не поверите По-моему даже если файл , Аноним (1), 22:44 , 09-Окт-23, (1) +3 // О, да Я помню как долго с этим бился Бывало, отредактируешь cue sheet в винде , коньюктивит (?), 23:31 , 09-Окт-23, (6) +1 // Ты будешь смеяться, но это пофиксили Буквально пару недель назадhttps github , Карлос Сношайтилис (ok), 23:48 , 09-Окт-23, (11) +6 // Мне не смешно Code taken from https stackoverflow com questions 1756275 bison, Аноним (68), 16:54 , 10-Окт-23, (68) Причем тут Linux , Аноним (12), 23:49 , 09-Окт-23, (12) +3 // Потому что в Linux написал скрипт баше, и уже программист , Аноним (68), 06:51 , 10-Окт-23, (38) Скрыто модератором, Аноним (-), 13:41 , 10-Окт-23, (60) –1 Скрыто модератором, Аноним (68), 16:20 , 10-Окт-23, (64) Текстовый файл -- это последовательность строк Строка -- это последовательность, Аноним (21), 01:27 , 10-Окт-23, (21) +2 // Фубару и Аимпу в винде и андроиде пофиг Мне тоже , коньюктивит (?), 01:39 , 10-Окт-23, (22) –3 Я специально удаляю конец последней строки в файле, потому что мне пофик , Аноним (25), 01:43 , 10-Окт-23, (25) +4 Можно ещё сказать, что когда убираешь символ конца строки после последней строки, Аноним (25), 01:40 , 10-Окт-23, (23) +1 Но для этого вы должны использовать специальную библиотеку Libcue называется , коньюктивит (?), 01:48 , 10-Окт-23, (26) +2 Бесконечных вещей всего две Вселенная и человеческая глупость , Аноним (68), 06:58 , 10-Окт-23, (41) +1 Есть теория, согласно которой Вселенная конечна, но постоянно расширяется, так ч, ryoken (ok), 08:06 , 10-Окт-23, (43) С глупостью то же самое , Герострат (?), 10:58 , 10-Окт-23, (51) +1 Ну почему жеКонца глупости таки можно достичь - в конце тоннеля или в отдельном , Бывалый смузихлёб (?), 16:40 , 10-Окт-23, (66) И да, держи формальное определение , коньюктивит (?), 01:42 , 10-Окт-23, (24) Странно, я всегда думал что файл - это просто набор байт, который можно интерпре, Аноним (27), 02:56 , 10-Окт-23, (27) +3 А ещё в конце файла обязательно должен быть байт 0x1A в Windows кстати copy , Аноним (44), 08:55 , 10-Окт-23, (44) +1 n 8212 это не часть строки Это разделитель строк Зачем он нужен в конце фа, Аноним (28), 03:12 , 10-Окт-23, (28) +5 Потому что при склейке файлов утилитой cat уютный мирок кекспертов по строкам на, Аноним (68), 06:55 , 10-Окт-23, (40) +3 Бред какой-то , Аноним (12), 05:39 , 10-Окт-23, (32) +2 А теперь предоставь ссылку на компетентный источник , Аноним (68), 06:53 , 10-Окт-23, (39) https pubs opengroup org onlinepubs 9699919799 basedefs V1_chap03 html , Rootlexx (?), 16:21 , 10-Окт-23, (65) Although POSIX 1-2017 does not distinguish between text files and binary files , Аноним (68), 16:43 , 10-Окт-23, (67) И в чем противоречие При чтении строки выделяется буфер, длинна строки включая , MaleDog (?), 18:32 , 10-Окт-23, (70) +1 С этимКакому такому стандарту и при чём тут вообще POSIX File format Cuesheet fi, Аноним (68), 16:56 , 11-Окт-23, (89) При том, что когда-то давно, когда безупречная работа компьютеров и сетей не гар, MaleDog (?), 21:41 , 28-Окт-23, (95) Ну то есть для юниксов, то есть для линуксов Алё За их пределами жизнь есть Пр, Аноним (28), 20:24 , 10-Окт-23, (72) POSIX И те кто его соблюдает не будут испытывать проблем с парсингом текстовых , MaleDog (?), 00:45 , 11-Окт-23, (77) Может за пределами linux жизнь и есть, но весьма печальная У каждого в доме ест, MaleDog (?), 01:01 , 11-Окт-23, (78) +1 В 90 офисов уборщица есть, но не она правила устанавливает , Аноним (84), 03:33 , 11-Окт-23, (84) +2 За их пределами и возник этот Cuesheet The cue sheet format was invented by Jeff, Аноним (68), 17:20 , 11-Окт-23, (90) Что ни день, то новая уязвимость Терпим , Простой Пользователь (?), 23:03 , 09-Окт-23, (2) Господи, это же просто тестовый файл Как можно написать кривой код, его читающи, Карлос Сношайтилис (ok), 23:21 , 09-Окт-23, (4) –3 // Там сгенерированный си-парсер Т е дело не в си, а в том, как этот парсер описа, Аноним (1), 23:29 , 09-Окт-23, (5) // Там грамматика для бизона, насколько я понимаю, Карлос Сношайтилис (ok), 23:42 , 09-Окт-23, (9) Дело и в криворуких кодерах, которые в парсере использовали signed int, а в trac, Анонин (?), 23:42 , 09-Окт-23, (10) +1 тут как раз свой велосипед был бы к месту, я даже сейчас её не использую в Go , FF (?), 11:40 , 10-Окт-23, (53) C 76 5 Не удивительно Типичное integer overflow С ядерным Ганди, это было весел, Аноним (7), 23:35 , 09-Окт-23, (7) +2   // Ядерный Ганди это придуманная байка вроде, Аноним (44), 08:56 , 10-Окт-23, (45)   // Да, возможно веселая придуманная байка А это реальная невеселая уязвимость Приче, Аноним (7), 10:34 , 10-Окт-23, (49)   // Написать свою реализацию Increase Decrease Да не, мы пару тактов процессора сэк, Аноним (84), 03:30 , 11-Окт-23, (83)   Нафига они вообще использовали int для INDEX Разве cue sheet допускает там отриц, Анонин (?), 23:38 , 09-Окт-23, (8) +3 // Ошиблись Идеальных разработчиков не бывает Кто-то чаще лажает, кто-то реже Про, Карлос Сношайтилис (ok), 23:53 , 09-Окт-23, (13) +1 // Так водителей всех идеальных тоже не бывает Зато как получат штраф в 5-10 от ср, Аноним (7), 00:11 , 10-Окт-23, (15) +1 // Чтобы устанавливать штрафы, нужно начать платить зарплату тем, чей код бесплатно, Аноним (36), 06:13 , 10-Окт-23, (36) Так многим и платят, посмотри сколько разрабов ядра и других крупных проектов на, Аноним (7), 11:15 , 10-Окт-23, (52) Тем не менее, использование signed int налево и направо 8212 ужасно плохая пр, Аноним (28), 00:14 , 10-Окт-23, (17) +4 // я наоборот использую signed даже где будет только unsigned, чтобы потом наоборот, FF (?), 11:45 , 10-Окт-23, (55) Но ты же добавляешь проверки, что значение не отрицательное перед использованием, Анонин (?), 12:05 , 10-Окт-23, (56) +1 Разумеется Особенно после того как стал работать на Go - там эти бесячьи провер, FF (?), 21:41 , 10-Окт-23, (76) Воот, лень про это было писать в 16-битную эпоху ещё экономили, в 32-битную рас, Аноним (28), 13:49 , 10-Окт-23, (62) +1 Иногда signed int используется для того чтобы положительным результатом вернуть , MaleDog (?), 18:58 , 10-Окт-23, (71) Вот за это сишников надо не то что убивать, а пытать бесконечно Значение должно , Аноним (28), 20:26 , 10-Окт-23, (73) –1 Не все сишники пишут под x64_86 и не то чтобы было большой проблемой проверить н, MaleDog (?), 01:38 , 11-Окт-23, (80) Это совершенно не важно, подо что они пишут Передача кода ошибки и самого факт, Аноним (84), 03:26 , 11-Окт-23, (81) +1 Ага, а потом вот такие программисты пишут жирный код и десять байтов накапли, Аноним (87), 13:36 , 11-Окт-23, (87) проблема в электричестве, которое питает железо, позволяющее выполнять машинные , FF (?), 11:42 , 10-Окт-23, (54) Ты не поверишь, но да, бывают - в особенности встречаетсая на дисках с непрерывн, Anonymous_3680 (?), 15:12 , 12-Окт-23, (91) Вы обратили внимание сколько сервисов надо остановить чтобы это отключить Syste, Аноним (16), 00:12 , 10-Окт-23, (16) –1 // Так это же unix way для каждой мелочи делать свою программуWrite programs that d, Аноним (7), 00:26 , 10-Окт-23, (18) // Вот именно, что well Ну а сейчас есть одно системпшшш, которое портянками юнитов, Аноним (20), 01:17 , 10-Окт-23, (20) –2 Этот unix way для каждой мелочи делать свою программу как то не довел до добра с, Neon (??), 03:59 , 15-Окт-23, (94) ну хоть что-то стабильно и работает , Анонимусс (?), 01:03 , 10-Окт-23, (19) +3 Почему они tracker-miner в bwrap не завернули, как thumbnailer , Аноним (36), 03:24 , 10-Окт-23, (29) Я думал, это в винде такая порочная мода, пихать паразитные фоновые задачи живущ, Аноним (31), 04:45 , 10-Окт-23, (31) // Предварительный индекс ускоряет поиск файлов Так делают и в Gnome tracker , и , Аноним (36), 06:04 , 10-Окт-23, (34) +2 // И, традиционно, это первые кандидаты на отключение , Аноним (50), 10:41 , 10-Окт-23, (50) +2 // Чел, спасибо что ты есть Столько телеметрии поставлено, и для чего Им будто пл, Аноним (57), 12:18 , 10-Окт-23, (57) да, отключение baloo и аналогов в винде не только освободили мне до трети ЦПУ по, InuYasha (??), 17:46 , 13-Окт-23, (92) Помню как этот гном трекер наглухо подвешивал систему при закачке фильмов на hdd, Аноним (35), 06:05 , 10-Окт-23, (35) +2 Чтобы ты ввёл только слово, и сразу нашлось А не как в Windows XP 8212 смотри, iPony129412 (?), 10:12 , 10-Окт-23, (48) // Всегда отключаю эти 171 супер-пупер-интеллектуальные 187 фоновые индексации , Аноним (44), 12:26 , 10-Окт-23, (58) +2 // Нормальный индексатор просканирует диск один раз и успокоится Но это если норма, Аноним (28), 13:54 , 10-Окт-23, (63) –1 А где вы нормальные-то видели В винде то же самое , anonblmus (?), 20:42 , 10-Окт-23, (74) А что не так в винде Там он действительно один раз просканировал и норм , Аноним (28), 20:44 , 10-Окт-23, (75) Ага, скачал новую собачку - и заверте- Простите, счас у всех ССД, они не вертятс, InuYasha (??), 17:47 , 13-Окт-23, (93) Заткнись с ка, я сам знаю что мне делать с моими файлами c Вряд ли большинст, MaleDog (?), 01:14 , 11-Окт-23, (79) // Мне просто абзац как нужна Правда, не по содержимому, а по именам, но в линуксе, Аноним (84), 03:28 , 11-Окт-23, (82) fzf вполне быстро ищет , _ (??), 14:31 , 11-Окт-23, (88) Удивительно На днях на компе к которому подключаюсь ssh раньше был десктопом , Аноним (33), 05:59 , 10-Окт-23, (33) –1 Я этот tracker-miner забыл с какой версии убунты в обязательном пришибаю при уст, anonblmus (?), 09:00 , 10-Окт-23, (46) +1 Смысла во всех этих индексёрах, построителей превьюшек и кучи всего остального , хрю (?), 12:32 , 10-Окт-23, (59) // Не спасет Были уже там и косяки с разбором аргументов, и выедание всей памяти, , MaleDog (?), 18:21 , 10-Окт-23, (69) // Процессоры по пять гигагерц, но у погромистов по-прежнему узкие места для обрабо, Аноним (84), 07:29 , 11-Окт-23, (86) +1 1,2,4,7,8,16,19,29,31,33,46,59

Сообщения

[Сортировка по времени | RSS]

7. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+2 +/–
Сообщение от Аноним (7), 09-Окт-23, 23:35
C 76.5% Не удивительно. Типичное integer overflow. С ядерным Ганди, это было веселее, а тут как-то грустно((
Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (44), 10-Окт-23, 08:56
	Ядерный Ганди это придуманная байка вроде
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (7), 10-Окт-23, 10:34
	Да, возможно веселая придуманная байка. А это реальная невеселая уязвимость. Причем ошибка детская (обе ошибки, архитектурная с выбором типа и пропущенная проверка). Можно было бы попробовать включать -ftrapv или -fwrapv хотя бы в дебаге и тестах. Но вторая опция кажется не очень надежная, а тесты надо делать fuzzy... В общем задача совсем не тривиальная ((
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (84), 11-Окт-23, 03:30
	Написать свою реализацию Increase/Decrease? Да не, мы пару тактов процессора сэкономим.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема