forum.opennet.ru - "Уязвимости в Rust-библиотеках zip-rs и librsvg" (50)

"Уязвимости в Rust-библиотеках zip-rs и librsvg"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от opennews (??), 27-Окт-26, 10:41
В библиотеке zip-rs, написанной на языке Rust и насчитывающей около 10 млн загрузок в неделю, выявлена уязвимость (CVE-2026-115905), позволяющая создавать архивы, которые выглядят безобидными, но при распаковке из них извлекаются другие, изначально не показанные в списке, файлы. Файлы могут быть размещены в архиве вне структуры "Central Directory", из-за чего при просмотре списка файлов показывается одно содержимое, но при распаковке через API ZipStreamReader извлекаются другие файлы. Проблеме присвоен уровень опасности 10 из 10. Уязвимость исправлена в версии zip-rs 9.0.5... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66555
Ответить \| Правка \| Cообщить модератору

Оглавление

Не, ну это 10 из 10, Аноним (1), 10:41 , 27-Окт-26, (1) +8

Бери выше, Метрика (?), 11:27 , 27-Окт-26, (46) –1
Скрыто модератором, Аноним (61), 11:49 , 27-Окт-26, (61)

я надеюсь что подобных уязвимостей будет всё больше, так как это значит что Rust, warlock66613 (ok), 10:47 , 27-Окт-26, (5)

Просто ржавчина начала с языка осыпаться, оголив миру его дырявое нутро, Метрика (?), 11:13 , 27-Окт-26, (34) –2

Скрыто модератором, Аноним (71), 12:00 , 27-Окт-26, (71)

То есть важно не отсутствие уязвимостей, а просто чтобы всё было на расте Ну я , Аноним (57), 11:43 , 27-Окт-26, (57) +1

Я так понимаю, уязвимость в самой libxml2, а не librsvg, и вопрос - а в libxml2, Аноним (6), 10:48 , 27-Окт-26, (6) –2

Расто-программисты даже не могут память не могут правильно освободить, когда при, Аноним (1), 10:51 , 27-Окт-26, (9) +3

Сишники не могут правильно освободить память в своем же ЯП, VVVVVV (?), 10:56 , 27-Окт-26, (13) +2

Их этого можно сделать вывод, что в растовики не умеют работать с памятью, но ко, Аноним (32), 11:12 , 27-Окт-26, (32) –3
100500 разных инструментов давно придумали для выявления таких технических багов, Год лунпуса на десктопе (?), 11:21 , 27-Окт-26, (41) +1

как ты смеешь нападать на священный емакс с вскодом, а (?), 11:35 , 27-Окт-26, (50) –1

Жизнь ржавого состоит в том, чтобы юзать си-либы и вопить какие они небезопасные, Метрика (?), 11:37 , 27-Окт-26, (52) +1

Именно поэтому дырявые либы переписываются Но от слова ПЕРЕПИСЫВАНИЕ у СИшников , Аноним (72), 12:02 , 27-Окт-26, (72)

Кроме того, что её не сущестововало, и не факт, что она и сейчас имеет требуемую, Аноним (32), 12:10 , 27-Окт-26, (77)

На поддержку libxml2 забили , faa (?), 11:56 , 27-Окт-26, (69)

Странно как-то, уязвимость позволяющая создавать архивы, которые выглядят безоб, Аноним (7), 10:49 , 27-Окт-26, (7) +1

это не уязвимость либы, это кривой формат zip-архива, либы правильно работают , Аноним (55), 11:39 , 27-Окт-26, (55)

Нескучные уязвимости А то заколебали уже сишные дыры в памяти Скучно , Аноним (8), 10:50 , 27-Окт-26, (8)

Ну компилятор недоглядел, бывает, отвлекся или устал, главное верить, Метрика (?), 11:26 , 27-Окт-26, (44) –2

Ребенок, когда его ловят на шкодстве, тоже ссылается на маму, на папу, на любого, динур (?), 11:26 , 27-Окт-26, (45) +2

Но это ведь делается безопасно для памяти и без UB , Смузихеб забывший пароль (?), 10:54 , 27-Окт-26, (11) +2

Что смешного Сишная проблема протекла в ансейф блок Растоманы прагматичны и мн, Аноним (18), 11:03 , 27-Окт-26, (18)
Да, RCE должно быть полностью безопасным для пользователя И всегда иметь полнос, Жироватт (ok), 11:04 , 27-Окт-26, (22) –1

Ошибки были в ансейв-коде , Аноним (18), 10:56 , 27-Окт-26, (12) +1

Та не, просто им токенов не хватило, чтобы усе было в ажуре, Метрика (?), 11:16 , 27-Окт-26, (36) –1

ну как же так-то, а оказывается, на расте тоже можно плохокодить им, видимо, на, Аноним (26), 11:09 , 27-Окт-26, (26) +1

Тут ошибки вполне нормальные, на плохое качество кода они не указывают , warlock66613 (ok), 11:22 , 27-Окт-26, (42)

Боже какой позор Срочно выписать этих недоумков из растеров и приговорить к напи, Аноним (37), 11:16 , 27-Окт-26, (37)

Скажу больше если у тебя под капотом любого ЯП крутится машинный код которому гл, Метрика (?), 11:19 , 27-Окт-26, (40)

Машинный код под капотом берется из святого духа Или создается по инструкциям к, Аноним (48), 11:31 , 27-Окт-26, (48)

Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются, т, Метрика (?), 11:34 , 27-Окт-26, (49)

И чтобы ошибатся меньше, они используют дополнительные инструменты С 1 1 до 2 4 , Аноним (48), 11:54 , 27-Окт-26, (67)

Ну вот и всё, волшебная таблетка оказалась обычным сахаром Ни от чего раст , xsignal (ok), 11:38 , 27-Окт-26, (53)

Это сразу было ясно, когда ни один крупный производитель софта не пересел на ржа, Метрика (?), 11:40 , 27-Окт-26, (56)

Гугл, не AWS Мелкомягкие со своим азуром Может, НВидия Про каких производителе, Аноним (76), 12:05 , 27-Окт-26, (76)

Как же не спасает 10 из 10 же логическая, а не с памятью, LOL , Аноним (58), 11:44 , 27-Окт-26, (58) +1

А, ну тогда норм, можно даже и не исправлять, раз не с памятью , Аноним (57), 11:50 , 27-Окт-26, (63)

Скрыто модератором, Аноним (66), 11:53 , 27-Окт-26, (66)

Совсем-совсем А как же избавление от СИшников В новости речь про 2 грубейших ош, Аноним (48), 11:48 , 27-Окт-26, (59)

То есть от сишников избавились, а других не завезли То есть раст не про то, что, Аноним (57), 11:51 , 27-Окт-26, (64) +1

Каких других А кто написал тот убогий код, про который мы читаем новость Програ, Аноним (70), 11:59 , 27-Окт-26, (70)

Отвратительно Как они вообще додумались использовать libxml2 на богомерзкой, зн, Аноним (58), 11:39 , 27-Окт-26, (54)

Причем pure-rust аналог можно было с 822 п 822 и 822 з 822 позаимствовать п, Аноним (48), 11:49 , 27-Окт-26, (62)

забавно, кажется rust становится популярным Матереет однако , Аноним (60), 11:48 , 27-Окт-26, (60)
и почему в этот раз не добавлена мантра про язык, который мол обеспечивает безоп, Аноним (65), 11:52 , 27-Окт-26, (65)

Скрыто модератором, Аноним (76), 12:03 , 27-Окт-26, (73)

Надо переходить на php с этого дырявого раста , Mik Foxi (ok), 12:05 , 27-Окт-26, (74)
Такие скрытые возможности есть у какого-нибудь архиватора, ну, кроме zip-rs С в, Аноним (75), 12:05 , 27-Окт-26, (75)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +8 +/–

Сообщение от Аноним (1), 27-Окт-26, 10:41

Не, ну это 10 из 10

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –1 +/–

Сообщение от Метрика (?), 27-Окт-26, 11:27

Бери выше

Ответить | Правка | Наверх | Cообщить модератору

61. Скрыто модератором +/–

Сообщение от Аноним (61), 27-Окт-26, 11:49

уязвимость года по версии журнала растомания

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

5. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от warlock66613 (ok), 27-Окт-26, 10:47

я надеюсь что подобных уязвимостей будет всё больше, так как это значит что Rust используется всё более активно.

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –2 +/–

Сообщение от Метрика (?), 27-Окт-26, 11:13

Просто ржавчина начала с языка осыпаться, оголив миру его дырявое нутро

Ответить | Правка | Наверх | Cообщить модератору

71. Скрыто модератором +/–

Сообщение от Аноним (71), 27-Окт-26, 12:00

Ты про либхтм2))?
Да, тут растеры очень затупили, использовав такой кусок багованного кода.
Будет им наука!

Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (57), 27-Окт-26, 11:43

То есть важно не отсутствие уязвимостей, а просто чтобы всё было на расте? Ну я догадывался.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

6. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –2 +/–

Сообщение от Аноним (6), 27-Окт-26, 10:48

> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2
Я так понимаю, уязвимость в самой libxml2, а не librsvg, и вопрос - а в libxml2 это исправлять не стали?

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +3 +/–

Сообщение от Аноним (1), 27-Окт-26, 10:51

> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2.
Расто-программисты даже не могут память не могут правильно освободить, когда приходится с другими ЯП взаимодействовать.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +2 +/–

Сообщение от VVVVVV (?), 27-Окт-26, 10:56

Сишники не могут правильно освободить память в своем же ЯП

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –3 +/–

Сообщение от Аноним (32), 27-Окт-26, 11:12

Их этого можно сделать вывод, что в растовики не умеют работать с памятью, но компоненты, которым не надо работать с памятью, написать не спешат, и полагаются на код для взрослых людей. При чём тут ЯП не ясно.

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Год лунпуса на десктопе (?), 27-Окт-26, 11:21

100500 разных инструментов давно придумали для выявления таких технических багов (и я говорю не про ИИ - оно часто даже избыточно), просто не пиши код в блокноте.

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

50. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –1 +/–

Сообщение от а (?), 27-Окт-26, 11:35

как ты смеешь нападать на священный емакс с вскодом

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Метрика (?), 27-Окт-26, 11:37

Жизнь ржавого состоит в том, чтобы юзать си-либы и вопить какие они небезопасные, вечная борьба со здравым смыслом

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

72. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (72), 27-Окт-26, 12:02

Именно поэтому дырявые либы переписываются.
Но от слова ПЕРЕПИСЫВАНИЕ у СИшников начинаются приступы бешенства и пена у рта.
Конкретно в этом случае ничего не мешало взять гугловую либу.

Ответить | Правка | Наверх | Cообщить модератору

77. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (32), 27-Окт-26, 12:10

Кроме того, что её не сущестововало, и не факт, что она и сейчас имеет требуемую функциональность (и когда-нибудь будет иметь).

Ответить | Правка | Наверх | Cообщить модератору

69. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от faa (?), 27-Окт-26, 11:56

На поддержку libxml2 забили.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

7. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (7), 27-Окт-26, 10:49

Странно как-то, уязвимость "позволяющая создавать архивы, которые выглядят безобидными...". Разве тут проблема не в разных методах *извлечения*, из-за чего такие архивы (неважно где и как созданные) могут пройти проверки?

Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (55), 27-Окт-26, 11:39

это не уязвимость либы, это кривой формат zip-архива, либы правильно работают

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (8), 27-Окт-26, 10:50

Нескучные уязвимости. А то заколебали уже сишные дыры в памяти. Скучно.

Ответить | Правка | Наверх | Cообщить модератору

44. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –2 +/–

Сообщение от Метрика (?), 27-Окт-26, 11:26

Ну компилятор недоглядел, бывает, отвлекся или устал, главное верить

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +2 +/–

Сообщение от динур (?), 27-Окт-26, 11:26

Ребенок, когда его ловят на шкодстве, тоже ссылается на маму, на папу, на любого, но только не на себя.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +2 +/–

Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 10:54

> использованием разных заголовков при произвольном доступе
> к архиву при помощи API ZipArchive и ...
> API ZipStreamReader
Но это ведь делается безопасно для памяти и без UB ?

> librsvg...происходит обращение
> к памяти после её освобождения
:)))

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (18), 27-Окт-26, 11:03

> :)))
Что смешного? Сишная проблема протекла в ансейф блок. Растоманы прагматичны и много где базируются (пока что) на существующем коде, на который были потрачены колоссальные человеко-часов и которые вмиг не переписать. Со временем перепишут и все обертки будут ненужны

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –1 +/–

Сообщение от Жироватт (ok), 27-Окт-26, 11:04

Да, RCE должно быть полностью безопасным для пользователя. И всегда иметь полностью предсказуемое поведение

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

12. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (18), 27-Окт-26, 10:56

Ошибки были в ансейв-коде?

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимости в Rust-библиотеках zip-rs и librsvg" –1 +/–

Сообщение от Метрика (?), 27-Окт-26, 11:16

Та не, просто им токенов не хватило, чтобы усе было в ажуре

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (26), 27-Окт-26, 11:09

ну как же так-то, а? оказывается, на расте тоже можно плохокодить.
им, видимо, надо перед компиляцией, автоматически на ревизию к ИА код отправлять

Ответить | Правка | Наверх | Cообщить модератору

42. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от warlock66613 (ok), 27-Окт-26, 11:22

Тут ошибки вполне нормальные, на плохое качество кода они не указывают.

Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (37), 27-Окт-26, 11:16

> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2.
Боже какой позор!
Срочно выписать этих недоумков из растеров и приговорить к написанию кода на СИшке на 10 лет.
Впрочем показательно - если у тебя в проекте есть СИшный код, то ошибки памяти обеспечены.

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Метрика (?), 27-Окт-26, 11:19

Скажу больше если у тебя под капотом любого ЯП крутится машинный код которому глубоко пофиг на границы массивов и типизацию, ошибки обеспечены

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (48), 27-Окт-26, 11:31

Машинный код под капотом берется из святого духа?
Или создается по инструкциям (код), в которых ошибка в типизации или границе массива потом может привести к крешу (в лучшем случае).

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Метрика (?), 27-Окт-26, 11:34

Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются, так кто эти инструкции транслирует? Святой дух?

Ответить | Правка | Наверх | Cообщить модератору

67. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (48), 27-Окт-26, 11:54

> Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются
И чтобы ошибатся меньше, они используют дополнительные инструменты
"С 1.1 до 2.4 млн строк кода увеличен охват кодовой базы, вовлечённой в fuzzing-тестирование. Также был расширен используемый для fuzzing-тестирования инструментарий, а число применяемых для проверки fuzzing-движков увеличено с 12 до 15"
(opennet.ru/opennews/art.shtml?num=60707)
У разработчиков компилятора есть ресурсы это делать и тем не менее находятся ошибки.

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от xsignal (ok), 27-Окт-26, 11:38

Ну вот и всё, "волшебная таблетка" оказалась обычным сахаром... Ни от чего раст не избавляет, ни от чего не спасает.

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Метрика (?), 27-Окт-26, 11:40

Это сразу было ясно, когда ни один крупный производитель софта не пересел на ржавого

Ответить | Правка | Наверх | Cообщить модератору

76. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (76), 27-Окт-26, 12:05

> Это сразу было ясно, когда ни один крупный производитель софта
Гугл, не? AWS?
Мелкомягкие со своим азуром?
Может, НВидия?
Про каких производителей софта идет речь?))

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (58), 27-Окт-26, 11:44

> Ни от чего раст не избавляет, ни от чего не спасает.
Как же не спасает?
10 из 10 же логическая, а не с памятью, LOL))

Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

63. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (57), 27-Окт-26, 11:50

> 10 из 10 же логическая, а не с памятью
А, ну тогда норм, можно даже и не исправлять, раз не с памятью.

Ответить | Правка | Наверх | Cообщить модератору

66. Скрыто модератором +/–

Сообщение от Аноним (66), 27-Окт-26, 11:53

> можно даже и не исправлять
Так исправили же.
> раз не с памятью
А на это гарантий и не давали))

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (48), 27-Окт-26, 11:48

> Ни от чего раст не избавляет, ни от чего не спасает.
Совсем-совсем? А как же избавление от СИшников?
В новости речь про 2 грубейших ошибки:
- игнорирование части данных: логическая или, скорее, архитектураная проблема
- использование дырявой либхмл2
К сожалению раст тут бессилен.

Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

64. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +1 +/–

Сообщение от Аноним (57), 27-Окт-26, 11:51

То есть от сишников избавились, а других не завезли? То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих?

Ответить | Правка | Наверх | Cообщить модератору

70. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (70), 27-Окт-26, 11:59

> То есть от сишников избавились, а других не завезли?
Каких других? А кто написал тот убогий код, про который мы читаем новость?
Программисты везде одинаковые. Вопрос в средствах их контроля.
> То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих?
Раст про то, чтобы уменьшить кол-во ошибок с памятью.
Так как в новости речь про логическую ошибку и ошибку памяти в СИшной либе - то цель вроде выполняется.

Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (58), 27-Окт-26, 11:39

> используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2
Отвратительно!
Как они вообще додумались использовать libxml2 на богомерзкой, зная насколько он дыряв. Взяли бы pure-rust аналог и не проблемы бы не было.

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (48), 27-Окт-26, 11:49

Причем pure-rust аналог можно было с̶п̶и̶з̶ позаимствовать прямо их репозитория Хрома.
Гугл уже провел работу по выкидыванию дыpяшечной libxml2 и замены на правильную.
Вот к чему приводит лень.

Ответить | Правка | Наверх | Cообщить модератору

60. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (60), 27-Окт-26, 11:48

забавно, кажется rust становится популярным. Матереет однако =)

Ответить | Правка | Наверх | Cообщить модератору

65. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (65), 27-Окт-26, 11:52

и почему в этот раз не добавлена мантра про язык, который мол обеспечивает безопасную работу с памятью и тд и тп, которую на каждое обновление языка постили?

Ответить | Правка | Наверх | Cообщить модератору

73. Скрыто модератором +/–

Сообщение от Аноним (76), 27-Окт-26, 12:03

Давай подумаем логически: возможно это писали разные авторы, не?
Но тут бы я добавил эту мантру.
Она бы хорошо смотрелась на фоне двух логических ошибок: не использовани метадаты при распаковке и использования либы на СИшке, которая обеспечина дырень.
С дислеймером "В вашем Раст проекте есть СИшка? Значит он дыpяßый".

Ответить | Правка | Наверх | Cообщить модератору

74. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Mik Foxi (ok), 27-Окт-26, 12:05

Надо переходить на php с этого дырявого раста.

Ответить | Правка | Наверх | Cообщить модератору

75. "Уязвимости в Rust-библиотеках zip-rs и librsvg" +/–

Сообщение от Аноним (75), 27-Окт-26, 12:05

> Уязвимость может использоваться для обхода почтовых фильтров, антивирусных сканеров и прочих систем проверки безопасности.
Такие скрытые возможности есть у какого-нибудь архиватора, ну, кроме zip-rs? С виду безобидный архив, а на деле... Время от времени может пригодиться.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Хоcтинг:

1. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+8 +/–
Сообщение от Аноним (1), 27-Окт-26, 10:41
Не, ну это 10 из 10
Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:27
	Бери выше
	Ответить \| Правка \| Наверх \| Cообщить модератору


	61. Скрыто модератором	+/–
	Сообщение от Аноним (61), 27-Окт-26, 11:49
	уязвимость года по версии журнала растомания
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

5. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от warlock66613 (ok), 27-Окт-26, 10:47
я надеюсь что подобных уязвимостей будет всё больше, так как это значит что Rust используется всё более активно.
Ответить \| Правка \| Наверх \| Cообщить модератору


	34. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:13
	Просто ржавчина начала с языка осыпаться, оголив миру его дырявое нутро
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. Скрыто модератором	+/–
	Сообщение от Аноним (71), 27-Окт-26, 12:00
	Ты про либхтм2))? Да, тут растеры очень затупили, использовав такой кусок багованного кода. Будет им наука!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (57), 27-Окт-26, 11:43
	То есть важно не отсутствие уязвимостей, а просто чтобы всё было на расте? Ну я догадывался.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору

6. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
Сообщение от Аноним (6), 27-Окт-26, 10:48
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2 Я так понимаю, уязвимость в самой libxml2, а не librsvg, и вопрос - а в libxml2 это исправлять не стали?
Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Аноним (1), 27-Окт-26, 10:51
	> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2. Расто-программисты даже не могут память не могут правильно освободить, когда приходится с другими ЯП взаимодействовать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от VVVVVV (?), 27-Окт-26, 10:56
	Сишники не могут правильно освободить память в своем же ЯП
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–3 +/–
	Сообщение от Аноним (32), 27-Окт-26, 11:12
	Их этого можно сделать вывод, что в растовики не умеют работать с памятью, но компоненты, которым не надо работать с памятью, написать не спешат, и полагаются на код для взрослых людей. При чём тут ЯП не ясно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Год лунпуса на десктопе (?), 27-Окт-26, 11:21
	100500 разных инструментов давно придумали для выявления таких технических багов (и я говорю не про ИИ - оно часто даже избыточно), просто не пиши код в блокноте.
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору


	50. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от а (?), 27-Окт-26, 11:35
	как ты смеешь нападать на священный емакс с вскодом
	Ответить \| Правка \| Наверх \| Cообщить модератору


	52. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:37
	Жизнь ржавого состоит в том, чтобы юзать си-либы и вопить какие они небезопасные, вечная борьба со здравым смыслом
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору


	72. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (72), 27-Окт-26, 12:02
	Именно поэтому дырявые либы переписываются. Но от слова ПЕРЕПИСЫВАНИЕ у СИшников начинаются приступы бешенства и пена у рта. Конкретно в этом случае ничего не мешало взять гугловую либу.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	77. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (32), 27-Окт-26, 12:10
	Кроме того, что её не сущестововало, и не факт, что она и сейчас имеет требуемую функциональность (и когда-нибудь будет иметь).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от faa (?), 27-Окт-26, 11:56
	На поддержку libxml2 забили.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору

7. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от Аноним (7), 27-Окт-26, 10:49
Странно как-то, уязвимость "позволяющая создавать архивы, которые выглядят безобидными...". Разве тут проблема не в разных методах извлечения, из-за чего такие архивы (неважно где и как созданные) могут пройти проверки?
Ответить \| Правка \| Наверх \| Cообщить модератору


	55. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (55), 27-Окт-26, 11:39
	это не уязвимость либы, это кривой формат zip-архива, либы правильно работают
	Ответить \| Правка \| Наверх \| Cообщить модератору

8. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (8), 27-Окт-26, 10:50
Нескучные уязвимости. А то заколебали уже сишные дыры в памяти. Скучно.
Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:26
	Ну компилятор недоглядел, бывает, отвлекся или устал, главное верить
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от динур (?), 27-Окт-26, 11:26
	Ребенок, когда его ловят на шкодстве, тоже ссылается на маму, на папу, на любого, но только не на себя.
	Ответить \| Правка \| Наверх \| Cообщить модератору

11. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 10:54
> использованием разных заголовков при произвольном доступе > к архиву при помощи API ZipArchive и ... > API ZipStreamReader Но это ведь делается безопасно для памяти и без UB ? > librsvg...происходит обращение > к памяти после её освобождения :)))
Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (18), 27-Окт-26, 11:03
	> :))) Что смешного? Сишная проблема протекла в ансейф блок. Растоманы прагматичны и много где базируются (пока что) на существующем коде, на который были потрачены колоссальные человеко-часов и которые вмиг не переписать. Со временем перепишут и все обертки будут ненужны
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Жироватт (ok), 27-Окт-26, 11:04
	Да, RCE должно быть полностью безопасным для пользователя. И всегда иметь полностью предсказуемое поведение
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору

12. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от Аноним (18), 27-Окт-26, 10:56
Ошибки были в ансейв-коде?
Ответить \| Правка \| Наверх \| Cообщить модератору


	36. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:16
	Та не, просто им токенов не хватило, чтобы усе было в ажуре
	Ответить \| Правка \| Наверх \| Cообщить модератору

26. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от Аноним (26), 27-Окт-26, 11:09
ну как же так-то, а? оказывается, на расте тоже можно плохокодить. им, видимо, надо перед компиляцией, автоматически на ревизию к ИА код отправлять
Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 11:22
	Тут ошибки вполне нормальные, на плохое качество кода они не указывают.
	Ответить \| Правка \| Наверх \| Cообщить модератору

37. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (37), 27-Окт-26, 11:16
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2. Боже какой позор! Срочно выписать этих недоумков из растеров и приговорить к написанию кода на СИшке на 10 лет. Впрочем показательно - если у тебя в проекте есть СИшный код, то ошибки памяти обеспечены.
Ответить \| Правка \| Наверх \| Cообщить модератору