Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в Apache httpd, зксплуатируемая для удалённого выполнения кода через HTTP/2"	+/–
Сообщение от opennews (??), 12-Ноя-26, 11:06
Опубликован релиз HTTP-сервера Apache 2.4.71, в котором устранена уязвимость  (CVE-2026-119618) в модуле mod_http2, которой присвоен критический уровень опасности. Уязвимость позволяет удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2. Уязвимость проявляется начиная с версий Apache httpd 2.4.55 и также затрагивает отдельный модуль mod_h2, распространяемый через GitHub. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах:  Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66673
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 12-Ноя-26, 11:06	–13 +/–
> Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers() из разных потоков для обработки общих ресурсов. При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера. Воистину "C" in CVE stands for C language. Интересно админы уже невидят ИИ за необходимость постоянно обновлять дырявые серваки?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #11, #19, #32

2. Сообщение от Аноним (2), 12-Ноя-26, 11:08	–5 +/–
К счастью, этот сервер не самый популярный, да и http/2, если верно припоминаю, было прикручено в нём соплями. А вот закладки в php, похоже, многих задели.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #8, #13

3. Сообщение от aname (ok), 12-Ноя-26, 11:08	–2 +/–
CVE-2025-68260 is the first prominent race condition vulnerability discovered in Rust code within the mainline Linux kernel, specifically affecting the Rust-based Android Binder driver. Или это другое?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #10

4. Сообщение от Аноним (1), 12-Ноя-26, 11:15	–2 +/–
Да, если бы вы разбирались в вопросе, то знали что уязвимось в биндере приводила к падению "can lead to system crashes and a denial of service". А дыpeнь в дыpяшкe приводит к возможности "удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2". Разница существенная. Падение сервера трудно не заметить. А вот взлом и внеренные бекдоры могут жить годами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #5, #9, #48, #90

5. Сообщение от aname (ok), 12-Ноя-26, 11:19	+6 +/–
Ну, т.е. не о6оcpaлиcь, а специально так было задумано. Ваши CVE не CVE, потому, что раст. Чего только не фанаты не оправдают
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #12, #68

6. Сообщение от LaunchWiskey (ok), 12-Ноя-26, 11:20	+2 +/–
Они смеялись над теми, у кого сайты до сих пор на HTTP. Ну и кто смеется последний? Им подобная уязвимость не страшна.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #29, #51

7. Сообщение от Аноним (1), 12-Ноя-26, 11:22	–2 +/–
> К счастью, этот сервер не самый популярный К несчастью самый популярный тоже написан на дряхе и так же дыряв 🤷🏻‍♂️ opennet.me/opennews/art.shtml?num=66473 opennet.me/opennews/art.shtml?num=66288 opennet.me/opennews/art.shtml?num=65910
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

8. Сообщение от Аноним (11), 12-Ноя-26, 11:22	+1 +/–
>этот сервер не самый популярный https://www.netcraft.com/blog/september-2026-web-server-survey
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от Аноним (9), 12-Ноя-26, 11:23	+1 +/–
> Разница существенная. Падение сервера трудно не заметить. Особенно если это binder в андроиде, ахахах
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

10. Сообщение от Аноним (10), 12-Ноя-26, 11:28	+/–
Между RCE и DoS разница огромная, Rust в том случае как раз защитил. https://opennet.ru/64439-kernel "При успешной эксплуатации уязвимость в Binder ограничивается аварийным завершением и не приводит к повреждению памяти."
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #14

11. Сообщение от Аноним (11), 12-Ноя-26, 11:28	–1 +/–
Стройте на Pingora: https://github.com/cloudflare/pingora
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #73, #85

12. Сообщение от Аноним (12), 12-Ноя-26, 11:31	+3 +/–
> Ваши CVE не CVE, потому, что раст. Не нужно припсывать мне свои фантазии. CVE есть CVE, но CVE CVE рознь :) CVE-2025-68260 - 7.8 HIGH А эта 9.8 CRITICAL, да еще и с удаленным выполнением кода.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #15

13. Сообщение от Анонимный аноним (?), 12-Ноя-26, 11:38	+/–
Почти у всех хостеров apache сидит за nginx. apache хорошо обслуживают много разных сайтов с разными настройками, которые сидят на одной машине.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #16, #18

14. Сообщение от Имя (?), 12-Ноя-26, 11:45	+/–
> Между RCE и DoS разница огромная, Rust в том случае как раз защитил. Если тебя устраивает отказ в обслуживании - это благо, то почему бы не обесточить устройство и не получить тем самым ганатированную защиту от RCE?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #22

15. Сообщение от aname (ok), 12-Ноя-26, 11:48	–2 +/–
Но ведь: "Воистину "C" in CVE stands for C language. " © А что случилось?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #23

16. Сообщение от Аноним (2), 12-Ноя-26, 11:50	–5 +/–
Хостеры это что-то из 90х. Там ещё php3 комплектом был.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

17. Сообщение от Аноним (17), 12-Ноя-26, 11:51	+8 +/–
Зачем юзать половинчатый HTTP/2 когда есть полный HTTP/1.0?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #53

18. Сообщение от Аноним (18), 12-Ноя-26, 11:52	+2 +/–
А какая разница, что он сидит за nginx? Пакет то пройдёт через nginx в Apache.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #21, #30

19. Сообщение от MihaNix (ok), 12-Ноя-26, 11:59	+3 +/–
Жить стало веселее! Искусственный интеллект добрался до документов о внедрённых бэкдорах и теперь постепенно их обнародует. ;)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

20. Сообщение от Аноним (20), 12-Ноя-26, 12:05	+1 +/–
Хорошо хоть в пакетах Debian/Ubuntu поддержка HTTP/2 у Apache не включена по умолчанию.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24, #26, #43

21. Сообщение от Аноним (2), 12-Ноя-26, 12:12	+2 +/–
> А какая разница, что он сидит за nginx? Пакет то пройдёт через > nginx в Apache. Он имеет в виду, что оценить степень популярности не представляется возможным. Если честно, сомнительно -- чем больше компонентов, тем хуже.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #61

22. Сообщение от Аноним (22), 12-Ноя-26, 12:17	+2 +/–
> Если тебя устраивает отказ в обслуживании Тебя никто не спрашивает. Но если есть выбор из двух зол - то лучше выбирать меньшее. Отказ в обслуживании сложно не заметить. А медленно утекающие данные легко. А если хочется чтобы не было ни того, ни другого - "просто" оплатите формальную верификацию))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

23. Сообщение от Аноним (23), 12-Ноя-26, 12:25	+1 +/–
> А что случилось? Да ничего не случилось, тоже не понимаю люди недовольны сишной классикой. CVE бывают в всех языках, но мало кто может хотя бы минимально приблизится к дырявости сишки. Поэтому вполне заслуженное утверждение. Хотя можно было бы добавить что "S in C stands for security"))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #25, #38

24. Сообщение от нах.. (?), 12-Ноя-26, 12:35	–3 +/–
для этого у нас есть девляпсы с нескучным пихонскриптом наперевес. Включат в лудшем виде, не сумлевайтесь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #27

25. Сообщение от aname (ok), 12-Ноя-26, 12:48	+/–
Т.е. безопасТные CVE- это хорошо. CVE-2025-62518 тоже хорошо, видимо.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

26. Сообщение от Аноним (26), 12-Ноя-26, 12:54	+2 +/–
> не включена по умолчанию Настоящее время: "ИИ, настрой мне апач!"...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #37

27. Сообщение от User (??), 12-Ноя-26, 12:56	+/–
Не, ну так-то где grpc, а где apache - но разница в производительности, если что - вполне измеримая даже у меня, а не у гугла...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

28. Сообщение от Аноним (28), 12-Ноя-26, 13:04	+/–
> При успешной эксплуатации атакующий может добиться > изменения памяти вне выделенного буфера. "Никогда такого не было и вот опять!" (с) > Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google. Ну надо же, ыскуственный ыдъйот оказался уменее чем мясные мешки))
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #35, #50

29. Сообщение от Аноним (29), 12-Ноя-26, 13:38	+1 +/–
> Им подобная уязвимость не страшна. Зато страшна подстановка рекламы, телеметрии и в целом слежки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #31, #33

30. Сообщение от 0xdc09 (?), 12-Ноя-26, 13:47	+2 +/–
Apache в таком сетапе вряд ли хендлит HTTP/2, а слушает локально по обычному оттестированному HTTP/1.1 и без TLS. Более того, nginx нормализует всякие хедеры и пути в HTTP, не позволяя эксплуатировать ещё кучу разных потенциальных проблем парсера. Но в таком случае у нас два парсера с разной кодовой базой, что позволяет использовать *другую* категорию уязвимостей...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

31. Сообщение от 0xdc09 (?), 12-Ноя-26, 13:50	+/–
Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs новых бинарных со сжатием
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #49

32. Сообщение от Tron is Whistling (?), 12-Ноя-26, 14:16	–1 +/–
Почему больше всего CVE на C(++/#/...) и PHP, наверное догадываешься смутно? Просто неуловимые Джо да, неуловимы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #44

33. Сообщение от LaunchWiskey (ok), 12-Ноя-26, 14:17	+/–
Либо я переоценил очевидность сарказма в своём сообщении, либо времена и люди сейчас слишком серьёзные.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

35. Сообщение от LaunchWiskey (ok), 12-Ноя-26, 14:29	+/–
Ну не умнее. Вы ещё скажите, что машина умнее, потому что систему из 1000 дифференциальных уравнений может решить, а кожаный нет - ему банально времени не хватит. С уязвимостями аналогично - комбинаций и условий много, машине не сложно их все перебрать, чего не скажешь о кожаном. Но это всё работает только с известными механизмами. Кожаный может найти или изобрести новый, машина - нет, она только пережёвывает то, чему её научил кожаный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

37. Сообщение от нах.. (?), 12-Ноя-26, 14:36	+/–
попросил ЫЫ оценить пользу от http2 в конкретном use-case - onlyoffice (грузящий мильен мелких жс на первом соединении и сам внутри бэкэнда умеющий в 2) человек на 200. "разница - скорее десятки миллисекунд чем секунды, и то на первом подключении с пустым кэшем, а вот посмотри сколько в нем новых прекрасных уязвимостей за последние пол-года!" так что ыы попродвинутей (этот - алиса) настроит правильно - никаких ненужно2. Неплохо было бы и из 1.1 повыпилить все то что туда напихали укушенные девляпсами (100-continue и безумным chunked место очевидно в помойке) - но это, к сожалению, настройками не лечится.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #59, #63

38. Сообщение от Аноним (38), 12-Ноя-26, 14:42	+/–
> минимально приблизится к дырявости сишки а что раст и корутилс не показатель? полтора проекта написали и сразу дыры поперли, ой, вы не понимаете, это другое, ну да ну да
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #40

40. Сообщение от Аноним (40), 12-Ноя-26, 15:00	+/–
Судя по последним месяцам, на одну раст ошибку приходится полторы тысячи сишных. Да, неудобно получилось.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #80

43. Сообщение от Энтомолог_русолог (ok), 12-Ноя-26, 15:33	–1 +/–
Апач вообще практически мертв, а там где еще дрыгается там он прикрыт nginx, который отвечает по http/2, а дальше к апачу по http/1.1 обращается, потому что в апаче до сих пор http/2 считается нестабильным и не используется
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #71

44. Сообщение от Аноним (44), 12-Ноя-26, 15:34	–2 +/–
> Почему больше всего CVE на C При этом это касается ядра ОС, криптографии или прошивки в роутере. > C++ Та покалеченная с рождения же фигня что и СИшка. > C# И много новостей про про CVE в шишарпе ты слышал? > и PHP ВНЕЗАПНО в пыхе проблема в файлах .с Потому что СИшка дыpявая)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #58

48. Сообщение от Аноним (-), 12-Ноя-26, 16:32	+/–
> Да, если бы вы разбирались в вопросе, > то знали что уязвимось в биндере приводила к падению > "can lead to system crashes and a denial of service". А, ну то-есть если я продрав глаза по утру (или по ору системы алертов) - надо сказать что "это другое" - и с спокойной совестью идти досыпать дальше. Беспокоиться же не о чем, все под контролем. А почему DoS считают "атакой" и CVE какие-то назначают - сам не понимаю, безопасно же все?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

49. Сообщение от Аноним (49), 12-Ноя-26, 16:38	+/–
> Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs > новых бинарных со сжатием Ты просто не видел сколько в этом классическом, текстовом - "request smuggling" и прочего счастья. Когда можно полностью перехватить допустим админку сайта просто врезав свой запрос - как якобы админский. Кто по разному CR/LF понимает, кто на upper/lower case, кто на пробелах, разделении header от body, и чем там еще... а учитывая что часто есть минимум фронт и бэк, и они запросами и хидерами обмениваются - вероятность поимения такой конструкции чуть менее 100%.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

50. Сообщение от Tron is Whistling (?), 12-Ноя-26, 16:42	+/–
Э нет, есть и тут более умные мешки. Они найденной с помощью искусственного идиота - в CVE не публикуют :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

51. Сообщение от Аноним (51), 12-Ноя-26, 16:43	+/–
>Им подобная уязвимость не страшна Ошибаешься. HTTP/2 прекрасно работает без HTTPS. Попробуй: curl --http2 http://domain.ru
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

53. Сообщение от Аноним (11), 12-Ноя-26, 16:55	+/–
>когда есть полный https://radar.cloudflare.com/adoption-and-usage
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

56. Сообщение от Аноним (56), 12-Ноя-26, 17:45	+/–
прикольно, nmap скрипт_апдейт получит. нет ссылок на репы потемнее?
Ответить | Правка | Наверх | Cообщить модератору

58. Сообщение от Аноним (58), 12-Ноя-26, 18:07	+4 +/–
Дырявые программы, а не сишка. Си делает ровно то, что обещает. Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете. И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #64

59. Сообщение от Tron is Whistling (?), 12-Ноя-26, 18:13	+/–
Не, PUT без 100-continue - это ахтунг. Потребует буферизации пухлого контента до отработки приёмника. Ну и chunked - тоже тема - а как ещё в HTTP/1.1 передать контент заранее не известной длины так, чтобы отделять мух от котлет, то есть простите, один запрос от другого... Но да, за пределами 1.1 жизнь есть только разве что на DSL.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #66

61. Сообщение от Анонимный аноним (?), 12-Ноя-26, 18:27	+/–
> Если честно, сомнительно -- чем больше компонентов, тем хуже. Пожалуй с этим нельзя не согласиться. Тем не менее ситуация изменится только тогда, когда nginx или какой-нибудь другой новой веб-сервер научится в .htaccess. Или хотя бы придумает что-то свое такое гибкое и кастомизируемое. Пока что в этом своем свойстве уникален, за что его и любят. За все остальное может и ненавидят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #75, #86

62. Сообщение от Аноним (26), 12-Ноя-26, 18:28	+1 +/–
Как удачно новые технологии заходят! Хорошо, что их (пока) можно отключить.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #67

63. Сообщение от Аноним (26), 12-Ноя-26, 18:32	–1 +/–
> этот - алиса Твоя алиса ничего и не делала, просто процитировала какие-то форумные посиделки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

64. Сообщение от Аноним (64), 12-Ноя-26, 18:54	–1 +/–
> Дырявые программы, а не сишка. Си делает ровно то, что обещает. Поэтому в стандарте то ли 9, то ли 11 страниц UB. Великие срандартизаторы даже не смогли решить как правильно сложить два числа > Вместо того, чтобы писать на своем идеальном языке вы забрались на сцену и что-то кому-то доказываете. Неа, большая часть тредов началась с "ахахаа, ну и лопухи!))))" > И очень похоже, что доказываете вы в первую очередь самому себе, ведь ругать язык куда приятнее, чем себя, дыродела. Эм? У вас какие-то странные ассоциации. Попахивает проэцированием)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #65

65. Сообщение от Аноним (58), 12-Ноя-26, 19:10	+/–
> Поэтому в стандарте то ли 9, то ли 11 страниц UB. А вам обязательно нужно сделать то, что сказали не делать? Чтобы что? Смиритесь, язык с таким порогом входа не для вас.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #74, #79

66. Сообщение от нах.. (?), 12-Ноя-26, 19:24	+/–
и откуда ж у нас берется контент "неизвестной длинны"? Правильно - ниоткуда. То есть почти всегда это троянский кал. Браузер практически никогда не использует, там все идет с Content-Length, бэкэнды в редких случаях. Лучше этот случай перехватить и буферизировать. (а может еще и проверитьчто там) Как и 100-continue. Если ты не собираешься через http сохранять на свой диск гигабайты (в случае OO точно не, я б еще и лимит прикрутил) - он не нужен совсем. Избавиться полностью не получится, но не пропускать к бэкэнду вполне. На чем все попытки поиграть с параметрами и обламываются.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #69

67. Сообщение от Аноним (-), 12-Ноя-26, 19:49	+/–
> под управлением Apache httpd работает около 170 млн сайтов (11.56%) карл
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #82

68. Сообщение от laindono (ok), 12-Ноя-26, 19:54	+/–
50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал, это вы сами придумали. Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом. Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента появления в кодовой базе до исправления. И как оно распределено по языкам.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #72, #76

69. Сообщение от Аноним (88), 12-Ноя-26, 22:53	+/–
> и откуда ж у нас берется контент "неизвестной длинны"? Из-под хвоста^W^WГенерируется в реальном времени.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66 Ответы: #70

70. Сообщение от Ivan_83 (ok), 12-Ноя-26, 23:06	+/–
Для такого есть connection close - отдавать без размера пока соединение не будет закрыто.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

71. Сообщение от FM (??), 12-Ноя-26, 23:27	+/–
11% это мертв? Тогда он мертвее распространенности linux на десктопах, или FF браузера
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

72. Сообщение от Инопланетянин (?), 13-Ноя-26, 00:00	+/–
> Даже полная верификация кода не даёт 100% гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут оказаться некорректны весьма неочевидным образом. В высказывании логическая ошибка. > которые могут оказаться некорректны весьма неочевидным образом. Как компилятор раста или нижележащий ллвм, да? А кстати на чем он? Оу щит...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #78

73. Сообщение от Инопланетянин (?), 13-Ноя-26, 00:01	+/–
Ты нам тут пингору не показывай. Мы не такие.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

74. Сообщение от Аноним (88), 13-Ноя-26, 00:04	+/–
Судя по потоку найденных уязвимостей, этот "язык" ни для кого вообще.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

75. Сообщение от Аноним (88), 13-Ноя-26, 00:05	+/–
> какой-нибудь другой новой веб-сервер научится в .htaccess Или горе-разработчики научатся не пользоваться этим костылём.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

76. Сообщение от aname (ok), 13-Ноя-26, 00:09	+/–
> 50-70% CVE предотвращаются переписыванием с сишечки на раст. 100% никто не обещал, > это вы сами придумали. Даже полная верификация кода не даёт 100% > гарантии, поскольку помимо языка и его инструментария есть алгоритмы, которые могут > оказаться некорректны весьма неочевидным образом. > Кстати мне было бы интересно сравнение времени жизни этих CVE. От момента > появления в кодовой базе до исправления. И как оно распределено по > языкам. Сколько ты переписал, чтоб давать верифицированную статистику в с "50-70%"? > 100% никто не обещал, это вы сами придумали. Ну, т.е. безопасТно! Но вы сами придумали. > Даже полная верификация кода не даёт 100% Просто нормально верифицируйте на 100% И прочее словоблудие
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #77

77. Сообщение от laindono (ok), 13-Ноя-26, 01:25	+/–
> Сколько ты Не очень много, но достаточно, чтоб иметь общее представление. Мною написано где-то около миллиона строк на Rust. > Но вы сами придумали. Общая идея в том, чтоб интегрировать компилятор и анализатор. Работает очень хорошо. Однако ничего магического не происходит от такого слияния. Чем является и чем не является Rust на самом деле ты можешь почерпнуть из документации. Да, полагаю, непривычно, что существует документация, которая отвечает большинство вопросов, но ты попробуй.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #87

78. Сообщение от laindono (ok), 13-Ноя-26, 01:27	+/–
Если тебя интересует бекенд раста, написанный на расте, то такой тоже есть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #81

79. Сообщение от Аноним (79), 13-Ноя-26, 01:32	–1 +/–
Он называют дефекты дизайна порогом входа, Карл! Тогда уж надо было сразу на brainfuk писать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

80. Сообщение от Аноним (-), 13-Ноя-26, 01:40    Скрыто ботом-модератором	+/–
ну так и раст - свежее хДДД
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

81. Сообщение от Инопланетянин (?), 13-Ноя-26, 01:50	+1 +/–
> Если тебя интересует бекенд раста, написанный на расте, то такой тоже есть. Кроме wasm он где-то используется?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #78

82. Сообщение от Аноним (26), 13-Ноя-26, 02:55	+/–
На чём тогда работает подавляющее большинство сайтов - 88,44% ?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

83. Сообщение от Знатоки (?), 13-Ноя-26, 03:47	+/–
Я до сих пор не могу понять, как можно выполнить где-то выполнить код путем нахреначивания джампов в память. Ну вот даже если эта память выполнится цпу, а не просто в ней хранится фотка твоей мамы, как она будет вызовы вызывать там же ldd должен символы разрулить или что. Звучит как что-то что давно можно было на уровне ос исключить 101 способом
Ответить | Правка | Наверх | Cообщить модератору

85. Сообщение от Ivan_83 (ok), 13-Ноя-26, 11:22	+/–
Строить на чужих технологиях - такое себе. Они в один прекрасный момент просто начнуть ломать те фичи которые дают тебе конкуретное преимущество а ими не особо используются, либо разделят версии на приватную и публичную, в публичной будет меньше всего и сломато. И ты будешь мучатся с этим, в итоге придётся либо форкнуть и пилить самому либо сделать с нуля по нормальному. МС так ни один бизнесс сломало который пытался конкурировать с ними на их же поляне.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #89

86. Сообщение от Роман (??), 13-Ноя-26, 12:22	+/–
ну litespeed положим умеет, не только Апач :) даже вживую несколько раз его видел
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

87. Сообщение от aname (ok), 13-Ноя-26, 13:16	+/–
> Общая идея в том, чтоб интегрировать компилятор и анализатор. И чем это отличается от анализаторов? Коих не один. Да, понимаю, тебе не привычно пользоваться поисковиками, но ты попробуй. А с появлением нейросетей дела пошли и того интереснее.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77 Ответы: #88

88. Сообщение от Аноним (88), 13-Ноя-26, 16:33	+/–
> чем это отличается от анализаторов Тем, что его нельзя не использовать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #87

89. Сообщение от Аноним (88), 13-Ноя-26, 16:37	+/–
> Строить на чужих технологиях - такое себе. У тебя NIH-синдром. Свою ОС уже написал? Железо со своей собственной архитектурой сделал? Или все твои неуязвимые чруты всего лишь "такая себе" чужая технология, запущенная на чужих технологиях?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #85

90. Сообщение от Setcap (?), 15-Ноя-26, 11:20	+/–
Там что-то сеткап сшрут и код выполнить не получится. Они в большинстве своем не харденят контейнеры, отсюда и проблемы. Там таких состояний гонки еще 500+
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема