The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  правила/FAQ  поиск  регистрация  вход/выход  слежка  RSS
"Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от opennews (??) on 31-Авг-17, 09:14 
В библиотеке GDK-PixBuf (https://developer.gnome.org/gdk-pixbuf/), применяемой в GTK+ и Clutter для загрузки и обработки различных типов изображений, выявлены (http://blog.talosintelligence.com/2017/08/vuln-spotlight-mul...) две уязвимости, позволяющие организовать выполнение кода злоумышленника с правами текущего пользователя при обработке специально оформленных файлов в форматах TIFF (https://www.talosintelligence.com/vulnerability_reports/TALO...) (CVE-2017-2870 (https://security-tracker.debian.org/tracker/CVE-2017-2870)) и JPEG (https://www.talosintelligence.com/vulnerability_reports/TALO...) (CVE-2017-2862 (https://security-tracker.debian.org/tracker/CVE-2017-2862)).


Уязвимости в GDK-Pixbuf позволяют атаковать систему через такие приложения, как Chromium, Firefox, VLC и GNOME thumbnailer. Более того, применение GDK-Pixbuf в GNOME thumbnailer позволяет выполнить код в процессе автоматического построения пиктограмм с эскизами для новых файлов, т.е. для эксплуатации достаточно просмотреть список файлов в файловом менеджере GNOME, без явного открытия файлов пользователем. Также имеется возможность свершить атаку (https://www.opennet.ru/opennews/art.shtml?num=45543) при открытии специально оформленной web-страницы в браузерах.


Первая уязвимость вызвана (https://www.talosintelligence.com/vulnerability_reports/TALO...) целочисленным переполнением в функции tiff_image_parse, которое при обработке специально оформленного файла в формате TIFF может привести к переполнению кучи. Опасность проблемы смягчает то, что она проявляется только при сборке библиотеки с флагом оптимизации "-O3", который редко применяется для финальных сборок.
Примечательно, что в коде библиотеки есть проверки на переполнение, но при использовании флага "-O3" компилятор (проверено в clang) относит (https://bugzilla.gnome.org/show_bug.cgi?id=770986) их к коду с неопределённым поведением ("Undefined Behavior") и удаляет как излишний код.


Вторая уязвимость связана (https://www.talosintelligence.com/vulnerability_reports/TALO...) возможностью инициирования переполнения кучи в функции gdk_pixbuf__jpeg_image_load_increment в процессе разбора некорректного JPEG-изображения. Проблема вызвана неправильным расчётом размера выходного буфера, который в дальнейшем используется при выполнении преобразования null_convert в libjpeg.

Уязвимости устранены (https://git.gnome.org/browse/gdk-pixbuf/commit/?id=31a6cff) в выпуске GDK-Pixbuf 2.36.7 (https://ftp.gnome.org/pub/gnome/sources/gdk-pixbuf/2.36/). Уязвимости пока остаются неисправленными в  Debian (https://security-tracker.debian.org/tracker/CVE-2017-2870), Ubuntu (https://usn.ubuntu.com/usn/), RHEL (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-2870), SUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2017-2870), openSUSE (https://lists.opensuse.org/opensuse-security-announce/2017-08/), FreeBSD (http://www.vuxml.org/freebsd/), Fedora (https://bodhi.fedoraproject.org/updates/?releases=F26&type=s...).


URL: http://blog.talosintelligence.com/2017/08/vuln-spotlight-mul...
Новость: https://www.opennet.ru/opennews/art.shtml?num=47104

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –2 +/
Сообщение от Аноним (??) on 31-Авг-17, 09:14 
> в коде библиотеки есть проверки на переполнение, но при использовании флага "-O3" компилятор (проверено в clang) относит их к коду с неопределённым поведением ("Undefined Behavior") и удаляет как излишний код.

Шикарный баг! Небось signed/unsigned намешали в кучу...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

18. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Crazy Alex (ok) on 31-Авг-17, 11:18 
Ну, примерно. Тащат то, что заведомо unsigned, в int.
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +5 +/
Сообщение от хрю on 31-Авг-17, 09:28 
> относит их к коду с неопределённым поведением ("Undefined Behavior") и удаляет как излишний код.

Эпично. Что-то даже такого сходу таких уязвимостей и не припомню сходу.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от пох on 31-Авг-17, 09:55 
> Эпично. Что-то даже такого сходу таких уязвимостей и не припомню сходу.

просто до них редко доходят руки у исследователей и еще реже это выносят на свет.

См. сравнительно недавнее "исправление" в nginx, не решившее до конца проблему.
https://www.opennet.ru/openforum/vsluhforumID3/111703.html#10
заметьте - Дюнин о нем не в курсе по сей день.

в конце-концов, бестолковые любители -O6 должны страдать.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

12. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Аноним (??) on 31-Авг-17, 10:22 
> бестолковые любители -O6 должны страдать.

что же, как не pixbuf, стоит собираться с -O3 ? Риторический вопрос, но может у тебя на него есть ответ.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

25. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от пох on 31-Авг-17, 12:31 
> что же, как не pixbuf, стоит собираться с -O3

только то, что проверено разработчиком именно на такую сборку - -O3 может ломать и не только проверки переполнения.

> но может у тебя на него есть ответ.

ну вот ffdk-aac, помнится, утверждали что им - можно (хз только, сколько лет никто не трогал этот код и можно ли с современными компиляторами ;-) x264 - your mileage may vary ;-)

в общем-то выгоды от O3 обычному коду нет, но тут, каэцца, ломалось и при -O2, а это гораздо забавнее, учитывая что у многих систем это дефолтны

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

27. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от пох on 31-Авг-17, 12:32 

> и при -O2, а это гораздо забавнее, учитывая что у многих
> систем это дефолтны

сорри, убежало недописанным-  что у многих систем это дефолтный CFLAGS, с которым собирается все, где не указано специально.


Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

13. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от Аноним (??) on 31-Авг-17, 10:25 
> сравнительно недавнее "исправление" в nginx, не решившее до конца проблему

использование "++" внутри выражений - прерогатива мамкиных какеров, с ущемленным чувством собственного достоинства.

> start = start * 10 + *p++ - '0';

это же так по-хакерски! все пацаны обзавидутся. И не важно, что пацанам и какеру уже пятый десяток пошел, на самом деле, даже если и так.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

44. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Vkni (ok) on 31-Авг-17, 17:32 
> использование "++" внутри выражений - прерогатива мамкиных какеров, с ущемленным чувством
> собственного достоинства.

Ну почему же? Можно использовать ++ внутри выражений:

main = do
  putStrLn $ "Hello " ++ "world!"

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

19. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Аноним (??) on 31-Авг-17, 11:20 
В mainline исправлено, скобки добавили.
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

24. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от пох on 31-Авг-17, 12:27 
wow, Comdiv молодец, значит. Или кто-то еще, кто не поленился донести до разработчиков.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

41. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +4 +/
Сообщение от trolleybus email on 31-Авг-17, 14:22 
> бестолковые любители -O6 должны страдать

Возьмём это самое слово -O5.
Зачем мы его произносим,
Когда мы свободно могли бы сказать
“-O6”, и “-O7”, и “-O8”?
(c) Винни-Пух и Джи-Си-Си. Глава 12-я, в которой Хромик очень занят и мы впервые встречаемся с Пятнистым GDK-Pixbuf'ом

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

33. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от Аноним (??) on 31-Авг-17, 13:24 
> Что-то даже такого сходу таких уязвимостей и не припомню сходу.

Потому что очень мало кто использует clang с -O3. Практически все основные дистрибутивы GNU/Linux собираются gcc с -O2.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

39. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от НяшМяш (ok) on 31-Авг-17, 13:41 
это ж как надо было написать проверки, чтобы компилятор их как UB распознал
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

58. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Аноним (??) on 31-Авг-17, 22:43 
Интереснее как можно так написать компилятор, что он выкидывает значащий код работающий с int.
Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

65. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от Аноним (??) on 01-Сен-17, 09:41 
> Эпично. Что-то даже такого сходу таких уязвимостей и не припомню сходу.

Почитай рассылки ядра линукс и коменты Торвальдса о подобных оптимизациях. Торвальдс и его шайка все это заметили наверное еще год назад.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +2 +/
Сообщение от Аноним (??) on 31-Авг-17, 09:37 
А не в clang все нормально?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –3 +/
Сообщение от Аноним (??) on 31-Авг-17, 09:49 
В дельфи еще лучше - он при таких UB в рантайме exception'ы генерирует (ну при определенных настройках).
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +2 +/
Сообщение от Andrey Mitrofanov on 31-Авг-17, 09:52 
> А не в clang все нормально?

"When this code is compiled with GCC 6.1 or Clang 3.8 with "-O2" flag, the
overflow check (rowstride / channels != width) is eliminated completely by the
compiler."
--https://bugzilla.gnome.org/show_bug.cgi?id=770986#c0

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +2 +/
Сообщение от anonimus on 31-Авг-17, 09:55 

А в тикете написано

When this code is compiled with GCC 6.1 or Clang 3.8 with "-O2" flag, the
overflow check (rowstride / channels != width) is eliminated completely by the
compiler.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +3 +/
Сообщение от anonimus on 31-Авг-17, 09:59 
А ещё интересно то, что он открыт уже год...
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

11. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от пох on 31-Авг-17, 10:01 
> А в тикете написано
> When this code is compiled with GCC 6.1 or Clang 3.8 with
> "-O2" flag, the

о, занятненько. Кстати, и пофкисить у них получилось со второй попытки:
https://bugzilla.gnome.org/show_bug.cgi?id=770986#c3
https://bugzilla.gnome.org/show_bug.cgi?id=780269
причем в этой второй - сохранена возможность вторично наступить на грабли int/unsigned

чем меньше в твоей программе и твоей системе кода, начинающегося на g*, тем спокойнее спишь.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

8. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –5 +/
Сообщение от Fidel Castro on 31-Авг-17, 09:55 
"Опасность проблемы смягчает то, что она проявляется только при сборке библиотеки с флагом оптимизации "-O3", который редко применяется для финальных сборок."

Так большинство использует -O2, так что и исправлять нечего.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от z (??) on 31-Авг-17, 10:51 
Ага, там потому нормальный список дистров
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

57. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Fidel Castro on 31-Авг-17, 22:43 
и что? они используют -O2, а значит проблеме не подвержены.
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

23. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Аноним (??) on 31-Авг-17, 12:04 
Без разницы:
https://godbolt.org/g/Prpbrv
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

14. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –4 +/
Сообщение от Аноним (??) on 31-Авг-17, 10:47 
Может не надо ничего из кода удалять компиляторам? Развели ИИ в переводчике, а теперь страдаем что неверно нас понимает комп ...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –4 +/
Сообщение от z (??) on 31-Авг-17, 10:54 
> Может не надо ничего из кода удалять компиляторам? Развели ИИ в переводчике,
> а теперь страдаем что неверно нас понимает комп ...

Я вот тоже не пойму косяк компилятора, а баг а либе

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

26. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Andrey Mitrofanov on 31-Авг-17, 12:31 
>> Может не надо ничего из кода удалять компиляторам? Развели ИИ в переводчике,
>> а теперь страдаем что неверно нас понимает комп ...
> Я вот тоже не пойму косяк компилятора, а баг а либе

Жена Це ^W^W Стандарт компилятооа вне подозрений.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

17. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Аноним (??) on 31-Авг-17, 10:58 
Тогда половина нагoвнoкоженного вообще перестанет собираться.
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от h31 (ok) on 31-Авг-17, 11:52 
Без проблем. Собирай всё с -O0, расскажешь нам о результатах. Особенно о производительности. По моим наблюдениям - снизится раза в 2.
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

37. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Аноним (??) on 31-Авг-17, 13:31 
> Может не надо ничего из кода удалять компиляторам? Развели ИИ в переводчике,
> а теперь страдаем что неверно нас понимает комп ...

Компилятор делает всё правильно. Если поведение не определено, может творить что хочет. Разумеется, не забывая плюнуть варнинг.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

50. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –2 +/
Сообщение от УЖАС СОВКА on 31-Авг-17, 20:42 
Ага. Выполнять rm -rf / . А чо, по стандарту же !
Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

51. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от УЖАС СОВКА on 31-Авг-17, 20:44 
И никаких warning's Настоящие погроммисты погроммируют согласно стандрту и безошибочно , аки Папа Римский .

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

20. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от VINRARUS (ok) on 31-Авг-17, 11:48 
Может проще перейти на Qt?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

30. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от iPony on 31-Авг-17, 12:52 
Вряд ли.
https://access.redhat.com/security/cve/CVE-2015-1858
https://access.redhat.com/security/cve/CVE-2015-0295
https://access.redhat.com/security/cve/CVE-2015-1860
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

52. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от УЖАС СОВКА on 31-Авг-17, 20:45 
> Может проще перейти на Qt?

На Rust же, в этом году модно переходить на Rust

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

54. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от VINRARUS (ok) on 31-Авг-17, 21:21 
Под Qt готовые графические библиотеки и вообще всё вылизывается силами KDE.
А Rust пишется под Firefox, вот когда перейдут тогда и посмотрим.
Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

28. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Аноним (??) on 31-Авг-17, 12:34 
И снова дырявые GTK с гнумом
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

29. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Хряк on 31-Авг-17, 12:49 
Да, что характерно, про кде-софт не появляется новостей о закрытии уязвимости.
Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

31. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –2 +/
Сообщение от iPony on 31-Авг-17, 12:57 
Ну так потому что оно не особо кому надо.
А так https://www.kde.org/info/security/

PS: и естественно, если приложение падает и глючит (как раз КДЕ вспоминается), то это как раз говорит о том, что не очень хорошая обработка различных ситуаций, что и значит хорошие шансы на поиск уязвимостей.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

32. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от лютый жабист__ on 31-Авг-17, 13:22 
Хи-хи.... Буквально позавчера местные сишные эксперты уверяли, что в си всё под контролем, а -O3 и "Undefined Behavior это фантастика и кривые руки".


Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

36. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от Аноним (??) on 31-Авг-17, 13:29 
Так и есть. Если не читаешь документацию к любому компилятору - ССЗБ.
Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

38. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +3 +/
Сообщение от Аноним (??) on 31-Авг-17, 13:38 
> "Undefined Behavior это фантастика и кривые руки".

Это не фантастика, но да, кривые руки.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

48. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от УЖАС СОВКА on 31-Авг-17, 19:37 
Ага ага
70-е
Языки и компилляторы не виноваты, что программисты путаются скача с goto по меткам  в спагетти коде . Нафих структурное программирование.
90-е.
Сборщик мусора нужен тем программистам, которым нужны костыли для мозгов, нафиг java
10-е
Всем программистам вот нефиг делать,кроме ошибок в алгоритмах, также  отлавливать undefined behaivour по стандартам на 700 страниц. Надо весь код с дизасемблером проверять, но gcc - лучший !!
Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

55. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от pripolz on 31-Авг-17, 21:57 
Чтобы ты понимал, что там произошло: программер проявил некомпетентность, проверяя УБ уже после УБ, вместо того, чтобы его не допустить. Это либо закладка (что скорее всего), либо кривые руки, и да, компилятор тут абсолютно ни при чём.
Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

64. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –2 +/
Сообщение от лютый жабист__ on 01-Сен-17, 05:25 
>Это либо закладка (что скорее всего)

Мне ситуация напоминает когда кто-то из доблестных органов портачит, его увольняют вчерашним днём, делают покерфэйс и говорят, что "а он не из органов".

Итого: си клёвый, могучие сишники не ошибаются, а это был не сишник, а какой-то агент АНБ, вставляющий закладки в опенсорсное ПО.

Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

68. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от pripolz on 04-Сен-17, 15:34 
Компилер не виноват в том, что кто-то там решил, что перегружать 32-битное число допустимо.
Это не ошибка из серии "не заметил", типа

if (a = b) {
..
}

, грязный хак из серии "проверил - работает".

-----------
П.С: как думаешь, жабиные гуи используют GdkPixBuf ? А Сишарповские ? А питоновские?

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

35. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от ыть (ok) on 31-Авг-17, 13:28 
Обновление   : gdk-pixbuf2-2.36.9-1.fc25.x86_64 в fedora25 исправлено
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

45. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Хряк on 31-Авг-17, 17:36 
Да, чего-то автор наврал про fedora. И ссылка левая. У меня тоже: gdk-pixbuf2-2.36.9-1.fc26
Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

46. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от 0x0 on 31-Авг-17, 18:05 
Действительно. Оставались неисправленными где-то с месяц назад:

https://bodhi.fedoraproject.org/updates/?packages=gdk-pixbuf2

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

47. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от 0x0 on 31-Авг-17, 18:11 
Наверное, это потому, что в Fedora gdk-pixbuf бывает только mingw-)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-69f35f32f5

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

42. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –2 +/
Сообщение от Аноним (??) on 31-Авг-17, 14:52 
А можно в Debian, Ubuntu, RHEL, SUSE, openSUSE, FreeBSD и Fedora GTK будет собран без поддержки TIFF? Никто же не использует текстурки TIFF в своих программах. Пусть Глаз Гнома вызывает напрямую libtiff.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

67. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от iZEN (ok) on 03-Сен-17, 11:48 
% pkg info -r tiff
tiff-4.0.8:
    sane-backends-1.0.27
    lcms2-2.8
    webp-0.6.0_3
    ghostscript9-agpl-base-9.16_5
    netpbm-10.35.98
    djvulibre-3.5.27_1
    openjpeg15-1.5.2_1
    mtpaint-3.40_8
    libgxps-0.2.5
    sdl_image-1.2.12_10
    wx30-gtk2-3.0.2_6
    imlib2-1.4.9,2
    openjpeg-2.2.0
    py27-pillow-3.4.2_1
    poppler-0.57.0
    poppler-glib-0.57.0
    vigra-1.11.0_11
    gdk-pixbuf2-2.36.9

- всё равно по зависимостям TIFF будет присутствовать в системе.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

43. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от fidaj (ok) on 31-Авг-17, 15:26 
"Сенсация! Канпелятор создает уязвимости при помощи определенных флагов!" :D
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

53. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +1 +/
Сообщение от Андрей (??) on 31-Авг-17, 21:06 
> Уязвимости устранены в выпуске GDK-Pixbuf 2.36.7. Уязвимости пока остаются неисправленными в Debian, Ubuntu, RHEL, SUSE, openSUSE, FreeBSD, Fedora.

А релиз 2.36.7 был 18 июля, т.е. уже полтора месяца назад всё исправлено и пылится в архивах. А дистрибутивам плевать на обновления. А тут ещё оказывается, что один фикс как раз привлёк внимание хакеров (и, наверняка, крэкеров тоже). Просто замечательно :( Придётся пересобирать дебиан-пакет самому, ведь так просто. Но неужели каждый должен это делать сам вручную, не для этого ли существуют дистрибутивы?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

59. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Michael Shigorin email(ok) on 01-Сен-17, 00:40 
>> Уязвимости устранены в выпуске GDK-Pixbuf 2.36.7. Уязвимости пока остаются
>> неисправленными в Debian, Ubuntu, RHEL, SUSE, openSUSE, FreeBSD, Fedora.
> А релиз 2.36.7 был 18 июля, т.е. уже полтора месяца назад всё
> исправлено и пылится в архивах. А дистрибутивам плевать на обновления.

Вот не надо обобщать: https://packages.altlinux.org/ru/p8/srpms/libgdk-pixbuf/chan...

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

62. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Андрей (??) on 01-Сен-17, 03:21 
ArchLinux и вот AltLinux - это просто исключения.
Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

60. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от 0x0 on 01-Сен-17, 00:46 
> для этого ли существуют дистрибутивы?

И для этого тоже. Дистрибутивам потенциальных контрибъюторов стимулировать как-то ж надо :)

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

63. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от Андрей (??) on 01-Сен-17, 03:27 
Если бы Дебиан что-то github'а/gitlab'а настроили, а то в https://anonscm.debian.org/git/ ничего кроме как почитать или клонировать не сделаешь. Разве что патчи слать, что иногда делаю. Но когда один раз кучу работы просто "не заметили", а потом сделали "сами" те же изменения, то это хорошенько демотивировало. Или когда шлёшь патч, а они да, говорят или не даже не говорят спасибо, и комитят под своим именем. Как такое называется!?
Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

61. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  +/
Сообщение от Андрей (??) on 01-Сен-17, 03:18 
Единственный баг, для которого Дебиан накладывает патч, потому что апстрим сказал, что не баг, а ядро со своим OOM виновато.

...The test fails because it can't allocate 5.7 gigs of RAM...
https://bugzilla.gnome.org/show_bug.cgi?id=765094

Опубликовано было в апреле 2016.

А проблема оказалась таки не в ядре, а как раз связана с rowstride.

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

66. "Уязвимости в GDK-Pixbuf, затрагивающие Chromium, Firefox, VL..."  –1 +/
Сообщение от iZEN (ok) on 03-Сен-17, 11:44 
% pkg info -x pixbuf
gdk-pixbuf2-2.36.9
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Слёрм
Inferno Solutions
Hosting by Ihor
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2019 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру