Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd, opennews (ok), 29-Мрт-24, (0) [смотреть все] И как понять что тот бекдор успел натворить Если он больше месяца существует , semester (ok), 22:43 , 29-Мрт-24, (1) +2 // For our openSUSE Tumbleweed users where SSH is exposed to the internet we recomm, Bonbon (?), 22:50 , 29-Мрт-24, (4) +1 Не просто больше месяца существует - автор бэкдора 2 года в проекте и отпра, Alexander_R (ok), 22:59 , 29-Мрт-24, (9) +11 // откуда дровишки , Ано ним (?), 23:14 , 29-Мрт-24, (10) –4 // В обсуждении на openwall много чего есть из не упомянутого в новости , Alexander_R (ok), 23:24 , 29-Мрт-24, (14) +3 Audit Accounting MAC и логи на другой сервер, который без бекдора с xz Тогд, Аноним (98), 07:55 , 30-Мрт-24, (98) +1 // https www opennet ru openforum vsluhforumID10 5622 htmlНаписал скриптик и подп, Аноним (98), 08:04 , 30-Мрт-24, (101) Accounting это какие примеры , semester (ok), 22:05 , 30-Мрт-24, (333) Короче Инцидент был и он в дистрибутивах был, которые никто в здравом уме не бу, FSA (??), 22:51 , 29-Мрт-24, (5) –14 // Создать ботнет и наехать на конкретных , не , Аноним (7), 22:56 , 29-Мрт-24, (7) +4 // Все современные ботнеты, они исключительно иот А там как всегда протухшая на 5-, Аноним324 (ok), 11:03 , 30-Мрт-24, (161) +1 // Не надо себя убаюкивать Ботнеты на всём , что удасться взломать И чем круче , Аноним (174), 11:21 , 30-Мрт-24, (174) +3 Именно поэтому у меня воооон там в логах немеряно левака с каких-то маздаев таки, Аноним (-), 01:05 , 04-Апр-24, (411) На домашних машинах может быть столько криптовалюты что целой группе авторов хва, NameName (?), 09:31 , 30-Мрт-24, (119) // Какой идиот хранит крипту на компе , Аноним324 (ok), 11:03 , 30-Мрт-24, (162) –3 // я извиняюсь, а где , а (?), 17:50 , 30-Мрт-24, (311) +2 Малинку заведите И спрятать эту Тамогочу в кладовку с донорскими платами чтобы , сщта (?), 19:17 , 30-Мрт-24, (323) –1 Есть такие устройства, кошельки называются, можешь даже сам такой сделать, штучк, Аноним324 (ok), 20:30 , 30-Мрт-24, (328) да, а потом как с неё деньги выводить обратно не через интернет ли случаем , namenotfound (?), 21:35 , 30-Мрт-24, (330) +3 А потом этот кошелек выходит из строя и привет Такое уже было , Аноним (364), 15:53 , 31-Мрт-24, (364) +2 Протроянить Васяна, который собирает пакетики для прода - тянет на цель rosa20, n00by (ok), 10:19 , 30-Мрт-24, (141) +4 // Ну так цель то ясна, Васяна наняли для конктретного дележа денег, пока государст, Всем Анонимам Аноним (?), 12:28 , 30-Мрт-24, (220) Про воспроизводимые сборки в НТЦ ИТ Роса никто и не слышал , Аноним (-), 14:13 , 01-Апр-24, (404) –2 найти и наказать гада 8212 это одно, не допускать такого в принципе 8212 д, Перастерос (ok), 22:52 , 29-Мрт-24, (6) +2 // Во Если уж бэкдор, то только хардварный, только хардкор Не допускать васянство, Аноним (33), 00:18 , 30-Мрт-24, (33) +4 // Intel ME вместе с PSP передать просили - ALL YOUR BASE ARE BELONGS TO US , Аноним (-), 06:43 , 01-Апр-24, (392) +2 Нужно заставить гада извиниться на камеру, Аноним (79), 02:57 , 30-Мрт-24, (79) +1 // ну попробуй, заставь сотрудника правительственной связи ее величества это сделат, Sw00p aka Jerom (?), 08:24 , 30-Мрт-24, (105) +2 // Что так слабо Заставь её величество извиниться , Аноним (281), 14:21 , 30-Мрт-24, (281) Почему её Его же, ну, Прохожий (??), 15:31 , 30-Мрт-24, (290) Её интереснее Расскажет, как там климат, на чём жарят - на масле или на голой с, Аноним (317), 18:35 , 30-Мрт-24, (317) +1 Какой, извиниться Его валить нужно А если есть семья, то и семью , adolfus (ok), 20:32 , 31-Мрт-24, (381) –2 И отрезать ему ухо , vantoo (ok), 15:43 , 02-Апр-24, (410) хз-utils, ну что, уважаемо, эпично Эта библиотека есть прям везде И самое дурн, kusb (?), 22:58 , 29-Мрт-24, (8) +3 // Да что ты говоришь Это же чушь несусветная RHEL или MS напрямую у тебя берут д, sesto (?), 23:23 , 29-Мрт-24, (13) –7 // Эпично, что гуманитарий уловил суть, а технарь , слегка подвинутый на идеолог, n00by (ok), 10:22 , 30-Мрт-24, (144) // Но он прав в том, что один бэкдор в мире Linux был относительно быстро обнаружен, Аноним (364), 15:56 , 31-Мрт-24, (365) +1 Может быть ключевое слово, а ничего поделать с этим нельзя следует читать ка, n00by (ok), 17:35 , 31-Мрт-24, (375) Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально все , Аноним (417), 11:02 , 26-Апр-24, (417) Ну почему же всё итгу - годный пример, что читать надо уметь Особенно, что с, n00by (ok), 09:01 , 28-Апр-24, (420) Ага, уже пошёл смотреть все сорсы всех либ, используемых в моем дистре, начиная , Аноним (354), 09:53 , 31-Мрт-24, (354) +1 в дебианах даже 12м нет пока сам не поставишь на rhel сильно старое нашёл ср, pelmaniac (?), 18:03 , 30-Мрт-24, (312) –1 // Arch не был подвержен этому вектору атаки, там openssh не использовал liblzma, в, myster (ok), 18:53 , 30-Мрт-24, (320) +2 Я уже много лет говорю об этой проблеме и о том, как плохо обстоят дела с безопа, birdie (ok), 23:15 , 29-Мрт-24, (11) –24 // Все ок, но про одобрение каждой строчки кода уже слишком жирно, Аноним (15), 23:27 , 29-Мрт-24, (15) +10 // Да, примерно так Причём код проверяет не один человек, а несколько Жирно - это к, birdie (ok), 23:49 , 29-Мрт-24, (24) –1 // Ты лично видел, как проверяли всей оргией каждую строчку кода Готов имена назва, Аноним (125), 10:00 , 30-Мрт-24, (125) –2 Каким боком здесь безопасность линукса Это не дыра в ядре, не эскалация привиле, Аноним (18), 23:29 , 29-Мрт-24, (18) +10 // ну объективно говоря от этого приложения зависит пол системы Может я не прав, н, semester (ok), 23:33 , 29-Мрт-24, (19) +1 // Да, но если так же скомпрометировать популярную библиотеку на винде, разница буд, Аноним (18), 00:02 , 30-Мрт-24, (27) +2 Разница в том, что для верности аналогии тебе придётся скомпрометировать библиот, n00by (ok), 10:31 , 30-Мрт-24, (148) В формулировке ошибка это компонент системы, а не приложение, как его пытался в, n00by (ok), 10:27 , 30-Мрт-24, (146) да откуда вы такие беретесь не зависит от xz ничего, его даже поставить надо ру, pelmaniac (?), 18:05 , 30-Мрт-24, (313) apt autopurge xz-utilsЧтение списков пакетов 8230 ГотовоПостроение дерева зави, Аноним (327), 20:25 , 30-Мрт-24, (327) +3 Примеры backdoors в продуктах Microsoft в студию Хотя бы один за 40 с лишним ле, birdie (ok), 23:46 , 29-Мрт-24, (20) –13 // Сначала ты примеры backdoors в продуктах Linux Foundation в студию То есть все л, Аноним (18), 23:56 , 29-Мрт-24, (25) +4 Ну вот буквально несколько дней назад нашли в Fedora продукте redhat, платиново, Аноним (40), 00:32 , 30-Мрт-24, (40) Да легко Как насчет Bvp47 По слухам связан с NSA, но проверить естественно нево, Fyjy (-), 00:37 , 30-Мрт-24, (45) –2 Так падажи, но если считать дыры за умышленные бэкдоры, то винда тогда по этому , Аноним (18), 00:45 , 30-Мрт-24, (51) +6 А про Bvp47 есть что сказать Эм как-то не получается Linux Kernel - 3876 vu, Fyjy (-), 01:06 , 30-Мрт-24, (57) –3 Здесь стоит опять же учитывать, что например злополучный ядерный модуль ksmbd, в, Аноним (18), 01:18 , 30-Мрт-24, (61) +3 Ну так не принимайте от них модули А то уже был прецедент с деревянным конем в п, Fyjy (-), 01:27 , 30-Мрт-24, (64) –2 Не, это не выход, так можно вообще перестать любой код принимать Есть жирный плю, Аноним (18), 01:43 , 30-Мрт-24, (69) +2 Нет Это не Microsoft пишет его И не более злополучен чем остальное ядро , iPony129412 (?), 03:25 , 30-Мрт-24, (80) +1 так уязвимости ведь разные бывают- DoS Denial of Service отказ в обслуживании, твёрдый ветер (?), 01:38 , 30-Мрт-24, (67) +1 Если честно, мне лень искать и считать сколько у кого RCE, сколько privilege esc, Аноним (-), 01:54 , 30-Мрт-24, (75) –1 Стоп, а почему по Винде ты взял только две последние версии Опять подгоняешь ус, Аноним (121), 09:44 , 30-Мрт-24, (121) Потому что более ранние версии - EOL Мы же не считаем дырки в ненужном начиная , Аноним (147), 10:30 , 30-Мрт-24, (147) Вы серьёзно Тут даже сложно комментировать ибо вы похоже очень многое пропустил, Аноним (28), 00:07 , 30-Мрт-24, (28) +1 это константа, Вася (??), 14:51 , 30-Мрт-24, (286) Держи Не захлебнись только https www cvedetails com vulnerability-list vendor, Аноним (36), 00:28 , 30-Мрт-24, (36) Разницу между malware backdoor и vulnerability чувствуете Видимо, вообще нискол, birdie (ok), 00:45 , 30-Мрт-24, (50) +1 Linux Kernel обгоняет винду десятку на 796 CVEcvedetails com vulnerability-list , Аноним (-), 01:44 , 30-Мрт-24, (71) Мы не знаем сколько на самом деле CVE в винде, потому что винда не open-source , Skullnet (ok), 03:44 , 30-Мрт-24, (83) Ну да, а доверие к опенсорс софту - есть У нас тут новость про бекдор, вообще, Аноним (-), 09:01 , 30-Мрт-24, (110) +2 Фишка опенсорса в том, что за тебя сделали работу по реализации функционала и от, Аноним (125), 10:06 , 30-Мрт-24, (127) Стоп-стоп Мы сейчас не про достоинства опенсорса А про то что аргумент опенсор, Аноним (-), 10:13 , 30-Мрт-24, (135) –1 Это не фишка, а насадка на зависимость , Аноним (327), 20:47 , 30-Мрт-24, (329) +1 Исходники Шрёдингера И бекдоры тоже добавляет тот кому надо Ага, утекали исходни, Skullnet (ok), 12:13 , 30-Мрт-24, (214) +1 Ты это про винду Или про те бинарники, которые тебе в пакетный менеджер прилетаю, Аноним (-), 12:35 , 30-Мрт-24, (223) –1 Спасают, бекдор исправили, а в винде хз, наверное ещё даже не нашли А про бекдо, Skullnet (ok), 03:09 , 31-Мрт-24, (347) +1 И фарфоровый чайник на орбите летает, да , Аноним (360), 10:44 , 31-Мрт-24, (360) –1 Абсолютно кривая логика Если сравнивать конкретную версию винды Win10 , то, Аноним (84), 04:05 , 30-Мрт-24, (84) +5 Абсолютно кривая логика Сравнивать только ядро с полноценной операционной сис, Анонин (-), 09:38 , 30-Мрт-24, (120) +1 Предполагаемый автор бэкдора и у MS отметилсяhttps learn microsoft com en-US, Аноним (38), 00:28 , 30-Мрт-24, (38) +1 Ужасы С этого момента все его коммиты за последние пару лет раз 10 будут проверя, birdie (ok), 01:57 , 30-Мрт-24, (77) история про неусыпное око миллионов наблюдающее за исходным кодом 2 0 , ss (??), 09:27 , 30-Мрт-24, (116) Да вся винда бэкдор для МС Хотят качают телеметрию от пользователя, хотят ставя, Jh (?), 11:18 , 30-Мрт-24, (172) –1 Как-то утек в открытый доступ сервис пак для NT с неудаленными отладочными симво, Аноним (84), 12:20 , 30-Мрт-24, (217) –1 Всякие ремотные активации с customer experience improvement с отсылкой нажатий, Аноним (-), 01:08 , 04-Апр-24, (412) Ну да, ядро же оно само по себе существует, ему же вообще ничего не нужно Прикл, Аноним (68), 01:39 , 30-Мрт-24, (68) // Ну так в стабильных дистро - all systems online Ну в васяны с роллингами как , Аноним (-), 01:10 , 04-Апр-24, (413) можно поподробнее о том как крупные корпорации одобряют каждую строчку кода , твёрдый ветер (?), 23:48 , 29-Мрт-24, (23) +1 // Джобс считал что так надо делать Как там сейчас - хз, ss (??), 09:28 , 30-Мрт-24, (118) К вопросу о RHEL 1 We built 5 6 0 for Fedora 40 41 Jia Tan was very insist, Bonbon (?), 08:04 , 30-Мрт-24, (100) +1 // Что интересно, в светлой голове мейнтейнера даже мысли не возникло, почему ПРИКЛ, Аноним (40), 11:14 , 30-Мрт-24, (168) Ага, наивный Работал я в крупных компаниях Строчки там одобряют неглядя за ред, Аноним (117), 09:27 , 30-Мрт-24, (117) // Решаемая, просто для начала её стоит правильно сформулировать Правильная же, на, ProfessorNavigator (ok), 11:46 , 30-Мрт-24, (199) // gt оверквотинг удален хорошая попытка, но нет , Аноним (386), 23:04 , 31-Мрт-24, (386) Что именно и почему , ProfessorNavigator (ok), 00:30 , 01-Апр-24, (388) Cisco достаточно крупная корпорация Все же помним доступ по curl А исправление, Аноним (211), 12:04 , 30-Мрт-24, (211) Тем временем https overclockers ru blog Docent2006 show 20835 v_routerah_cisco, Аноним (121), 13:07 , 30-Мрт-24, (241) // Вы прекрасно нарыли дыры у networking equipment vendor Прекрасно Но какое Cisco, Аноним (288), 15:26 , 30-Мрт-24, (288) –1 // А если прочесть его сообщение внимательней Cisco разве перестала быть корпорацие, Аноним (121), 16:07 , 30-Мрт-24, (305) Гнутое точно такая же проприетарщина потому что требует передачи авторских прав,, Аноним (363), 12:43 , 31-Мрт-24, (363) Ох, лол Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал , Аноним (248), 13:15 , 30-Мрт-24, (248) +1 // Давно много работаете в указанных выше компаниях или ваша коммерческая разработ, Аноним (288), 15:28 , 30-Мрт-24, (289) Скрыто модератором, Anonimous (?), 13:22 , 30-Мрт-24, (252) +2 // Скрыто модератором, birdie (ok), 15:24 , 30-Мрт-24, (287) Это не правда В sshd не используется liblzma SSHd _можно_ собрать, слинковав с, Ано ним (?), 23:17 , 29-Мрт-24, (12) +1 // sshd дёргает метод из systemd, который дёргает liblzma То, что вы в своём Gentoo, birdie (ok), 23:29 , 29-Мрт-24, (17) –5 // Учитывая, что разрабатывают openssh разработчики openbsd, то вопрос кто тут извр, Аноним (30), 00:10 , 30-Мрт-24, (30) +8 Нету в проекте openssh никаких обращений к libsystemd и тем более методов Умни, Аноним (43), 00:34 , 30-Мрт-24, (43) +14 // Ты всё юлишь, но не хочешь сказать правду, что systemd и есть бекдор Всё об это, Аноним (106), 08:27 , 30-Мрт-24, (106) +2 да-да, власти скрывают, голуби следят, namenotfound (?), 21:38 , 30-Мрт-24, (332) +3 Красиво подгорает Перечитываю снова и снова, не могу налюбоваться , Аноним (40), 01:06 , 30-Мрт-24, (58) +4 Gentoo Newer releases were signed by a potentially compromised upstream mainta, Аноним (98), 08:38 , 30-Мрт-24, (108) +1 // Системд нет,екзедутилс 5 4 6-r1 Все норм Бггг , сщта (?), 09:23 , 30-Мрт-24, (114) Кажется откатывается на 5 4 2, сщта (?), 09:45 , 30-Мрт-24, (122) Тоже не понимал причём тут xz, пришлось читать оригинал , Ivan_83 (ok), 00:50 , 30-Мрт-24, (53) +2 // Тот самый момент, когда арч лучше дебиана , НяшМяш (ok), 13:01 , 30-Мрт-24, (239) // buster - 5 2 4, Аноним (380), 18:58 , 31-Мрт-24, (380) Вообще xz это зло https www nongnu org lzip xz_inadequate html, Аноним (15), 23:29 , 29-Мрт-24, (16) +4 // А что насчёт zstd Бяка типа xz или что-то приятное типа gz lz Есть информация , Аноним (40), 00:34 , 30-Мрт-24, (41) +1 // У lz4 и zstd один и тот же автор, так что скорее приятное , Bklrexte (ok), 03:38 , 30-Мрт-24, (82) +1 стоящая вещь, только софт некоторый отсталый, а всякие mc вообще не могут без та, майнеймис (?), 12:53 , 30-Мрт-24, (233) Слишком много букв А что они там предлагают для long-term archiving , Аноним (42), 00:34 , 30-Мрт-24, (42) // Ничего конкретного Но вообще любой шарящий в теме человек знает, что для действи, Аноним (18), 01:04 , 30-Мрт-24, (55) +1 Они говорят, что gzip, bzip2 и lzip в разы лучше в плане детекта различного ро, Аноним (40), 01:21 , 30-Мрт-24, (62) Ленту В трех экземплярах , й (?), 13:29 , 30-Мрт-24, (258) Gentoo проблема с sshd не аффектит, так как там не используют патчи для systemd-, Аноним (28), 23:47 , 29-Мрт-24, (22) +6 // Пофиксил, ё велком, burjui (ok), 22:34 , 01-Апр-24, (407) xz --versionxz XZ Utils 5 4 1liblzma 5 4 1Хакеры 0 1 Debian stable, Аноним (33), 00:07 , 30-Мрт-24, (29) // xz --versionxz XZ Utils 5 2 5liblzma 5 2 5У меня ещё древнее , Skullnet (ok), 00:25 , 30-Мрт-24, (35) +1 // А вот у тебя 4 летняя, но сидеть на старостабильной ветке и не ставить на неё об, Аноним (48), 00:40 , 30-Мрт-24, (48) –1 // У меня самый свежий Linux Mint вообще-то , Skullnet (ok), 01:30 , 30-Мрт-24, (65) +1 Основанный на покрывшейся плесенью Ubuntu 22 04 LTS Ничего, в этом году должен , Аноним (221), 12:33 , 30-Мрт-24, (221) +1 Псс, Ubuntu 22 04 4 LTS вышел достаточно недавно и софты в нём достаточно свежие, Аноним (281), 14:28 , 30-Мрт-24, (283) +2 Все версии за 2 года содержат код этого автора, у тебя слишком сырая версия , Аноним (48), 00:38 , 30-Мрт-24, (46) Угу OpenNet Я в безопасности, меня не касается, проблемы нет , Аноним (86), 04:08 , 30-Мрт-24, (86) +1 В pkgsrc уже откатились - https pkgsrc se archivers xzНо в самом образе NetBSD, Аноним (30), 00:15 , 30-Мрт-24, (32) // так BSD и так в безопасносте, Аноним (385), 22:59 , 31-Мрт-24, (385) +1 Чувак не виноват, ему просто copilot сделал автоподстановку и он случайно нажал , Аноним (34), 00:20 , 30-Мрт-24, (34) +21 // Да да, приходиш в жкх, а почему вы мне так много начислили А это не мы, это про, Аноним (95), 07:40 , 30-Мрт-24, (95) +1 // Шутки шутками, но такое реально бывало https en m wikipedia org wiki British_P, Аноним (248), 12:00 , 30-Мрт-24, (208) +2 Скрыто модератором, Аноним (-), 00:32 , 30-Мрт-24, (39) Всё ещё веселей https github com google oss-fuzz issues 11760 issuecomment-20, birdie (ok), 00:36 , 30-Мрт-24, (44) +3 // Погоди-ка, но ты же выше писал, что Google проверят каждую строчку кода Как же , Аноним (248), 13:15 , 30-Мрт-24, (250) fedora xz --versionxz XZ Utils 5 4 4liblzma 5 4 4ubuntu xz --versionxz XZ , Аноним (47), 00:39 , 30-Мрт-24, (47) Ну, ладно А эти пишут, что The problem has been fixed upstream in version 5 6 1, Аноним (42), 00:41 , 30-Мрт-24, (49) // Эти рекомендуют ставить не просто 5 6 1, а 5 6 1-2 , в которой бинарник собира, Аноним (40), 00:55 , 30-Мрт-24, (54) +3 // Я буду громко смеяться, если в пофикшенном бинарнике будет второй бекдор, но б, Fyjy (-), 01:16 , 30-Мрт-24, (60) +2 // В принципе вы правы Но тогда уж откатываться на версию двухлетней давности Инт, Аноним (40), 01:27 , 30-Мрт-24, (63) Хорошо, что использую Debian stable, где, как говорят эксперты , все протухло и, Аноним (56), 01:04 , 30-Мрт-24, (56) +1 // Хорошо или нет, но именно дебиан среди прочих пропатчил исходники openssh таки, Аноним (40), 01:16 , 30-Мрт-24, (59) +15 Да заметили бы, только уже при расследовании реальных взломов Но автор конечно , Аноним (18), 01:49 , 30-Мрт-24, (73) OpenNet Я в безопасности, меня не касается, проблемы нет , Аноним (86), 04:07 , 30-Мрт-24, (85) +1 Ну так себе, для любителей всяких current testing unstable версий Хорошо что выя, Аноним (66), 01:36 , 30-Мрт-24, (66) –2 // Тут цельное селинукс кровавой црушнёй писано, да не смутит вас ник злыдня под к, Аноним (68), 01:45 , 30-Мрт-24, (72) +2 // Матчасть бы изучил, умник Селинукс изобрели в АНБ, и по словам Сноудена они как , Аноним (66), 02:17 , 30-Мрт-24, (78) –1 // Вот и сам изучи матчасть, безопасность -- морковка для ослика, а вот поди разг, Аноним (68), 07:44 , 30-Мрт-24, (96) +2 Тогда почему ты пишешь от Анонима, а не зарегистрировался на форуме по телефону , Аноним (125), 10:12 , 30-Мрт-24, (133) +2 Разумеется Но свою безопасность им тоже нужно как-то организовывать Например от, Аноним (-), 10:20 , 30-Мрт-24, (142) –1 Сноудену безоговорочно верить, себя не уважать Учитывая где он сейчас А то как-т, Анонм (?), 10:17 , 30-Мрт-24, (140) Начинаем учить матчасть 1 Сноуден, прежде всего, предатель Кто не понимает, чт, n00by (ok), 10:48 , 30-Мрт-24, (152) –2 Кому-то самому не мешало бы поучить матчасть Сноуден исходит из мнения что служ, Аноним (159), 10:56 , 30-Мрт-24, (159) Действительно, учить, так учить Однокоренные слова к мнение мнить, мнимый М, n00by (ok), 11:32 , 30-Мрт-24, (189) Что же ты юлишь то Очередного задорнова-фоменко косплеишь неубедительно А слов, Аноним (200), 11:47 , 30-Мрт-24, (200) Я объясняю тебе смысл слов, поскольку ты сам далёк от понимания своей писанины Н, n00by (ok), 13:33 , 30-Мрт-24, (262) Ливнул, как ожидаемо Ни одного своего лживого утверждения не смог обосновать По, Аноним (270), 13:47 , 30-Мрт-24, (270) +1 Уговорил, объясняю вот это за тебя Проекция - механическая псих защита, характе, n00by (ok), 08:35 , 31-Мрт-24, (351) Про 12 приёмов Чапека тебе наверное уже ленивый не писал Успокойся, здесь люди , Аноним (360), 10:37 , 31-Мрт-24, (359) Первый раз такое тут вижу А это постоянно Когда оратор плавает в вопросе, он ре, n00by (ok), 17:38 , 31-Мрт-24, (376) Так кто прав Американский суд признавший преступным слежку за своими гражданами , Аноним (382), 20:57 , 31-Мрт-24, (382) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:47 , 01-Апр-24, (395) Прямо эталон по впрыгиванию в жир ногами показал И дальше крутишься как на сков, Аноним (360), 18:43 , 01-Апр-24, (406) Итак, Анонимный эксперт настойчиво утверждает, что некий окружной суд Жмеринки п, n00by (ok), 11:03 , 02-Апр-24, (408) По его разумению, я так понимаю, аглийское слово opinion мение происходит от, TSO (?), 22:59 , 30-Мрт-24, (336) Некоторым быть в танке недостаточно, в качестве дополнительной защиты прибегают , n00by (ok), 08:33 , 31-Мрт-24, (350) Не хочешь быть соучастником преступлений, о необходимости совершения которых т, ОШИБКА Отсутствуют данные в поле Name (?), 10:57 , 30-Мрт-24, (160) Каких преступлений Он отказался облучать народ марсианскими технологиями, потом, n00by (ok), 11:35 , 30-Мрт-24, (191) Ты с мат частью всё-таки ознакомишься может Слежка за любым гражданином без санк, Аноним (205), 11:58 , 30-Мрт-24, (205) Что это за текст, кто его автор и зачем ты мне его отправляешь в ответ Я лучше , n00by (ok), 13:39 , 30-Мрт-24, (266) Ты с матчастью ознакомься Это цитата Сноудена в интервью гуардиану Сбор данных б, Аноним (270), 13:46 , 30-Мрт-24, (268) С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не , n00by (ok), 08:41 , 31-Мрт-24, (352) Seven years after former National Security Agency contractor Edward Snowden blew, Аноним (360), 10:23 , 31-Мрт-24, (357) А ты _мне_ вот этим показал, что сам себя лично ни во что не ставишь , n00by (ok), 17:41 , 31-Мрт-24, (377) Итак кто прав Американский суд признавший преступным слежку за своими гражданами, Аноним (382), 20:58 , 31-Мрт-24, (383) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:49 , 01-Апр-24, (396) Извините за занудство, но1 Сноуден сам пошёл в контору Взрослый мужчина, не мо, Аноним (246), 13:13 , 30-Мрт-24, (246) +1 Тут кстати некоторые не очень рады, что он принял наше гражданство Потому что в, n00by (ok), 13:35 , 30-Мрт-24, (264) Вау, о сколько нам открытий чудных А можно поинтересоваться 8212 какого та, TSO (?), 23:02 , 30-Мрт-24, (337) Я вижу, ты не в курсе, что Освальд перед тем попросил политическое убежище в ССС, n00by (ok), 08:31 , 31-Мрт-24, (349) Контора занимался незаконной деятельностью за пределами сша Это его устраивало , Аноним (270), 13:54 , 30-Мрт-24, (274) Так ты Патриотический Акт почитай Может последуешь примеру своего кумира и пере, n00by (ok), 17:44 , 31-Мрт-24, (378) Так кто прав Американский суд признавший преступным слежку за своими гражданами , Аноним (382), 20:58 , 31-Мрт-24, (384) Зачем ты задаёшь мне все эти глупые вопросы Ты хочешь меня убедить, что я не пр, n00by (ok), 07:49 , 01-Апр-24, (397) То самое анб что протолкнуло свою поделку вместо рсбак и пах-грсек Хотя они был, Аноним (159), 10:49 , 30-Мрт-24, (153) +1 Надо было xz на расте писать, с его наркохипанским синтаксисом никто ничего нико, Аноним (68), 01:44 , 30-Мрт-24, (70) +9 // То есть синтаксис m4 портянки из новости тебя не смутил, да , Аноним (248), 11:29 , 30-Мрт-24, (187) +6 // Так даже у m4 синтаксис лучше чем у Раста , Аноним (364), 16:30 , 31-Мрт-24, (366) +1 Это хорошо что вы открыто говорите о своих проблемах Ну не удалось вам понять ка, Аноним (-), 13:38 , 30-Мрт-24, (265) +1 m4 Невероятно , Лутту (?), 01:51 , 30-Мрт-24, (74) +2 // Ещё одно доказательство, что Automake место на свалке Не читаемый набор скрипто, Аннон (?), 10:49 , 30-Мрт-24, (154) +4 // Если скрипты намеренно не читать, их и нельзя будет отревьюить , Аноним (292), 15:44 , 30-Мрт-24, (292) Какого черта какой то ноунейм liblzma либе доступно чтение и запись в любую обла, Oe (?), 01:54 , 30-Мрт-24, (76) –2 // Иди сурсы читай sshd напрямую эту библиотеку и не использует, просто какие-то г, Аноним (125), 10:15 , 30-Мрт-24, (137) +2 // Вопрос по прежнему открыт почему ноунейм прилинкованная либа имеет доступ к пам, Oe (?), 12:24 , 30-Мрт-24, (219) –5 // в виде указателя на область памяти Ты представляешь производительность того ж, Аноним (243), 13:11 , 30-Мрт-24, (243) А я предлагаю наконец научиться кодить, почитать про mmap, например , n00by (ok), 13:51 , 30-Мрт-24, (273) +1 Так и запишем - пособник копирастов-тивоизастов и устаревастов , Аноним (322), 18:59 , 30-Мрт-24, (322) +1 Иди книжку почитай как работает линковка и для чего она нужна , Легивон (?), 10:26 , 31-Мрт-24, (358) +1 Это претензии к операционным системам, я надеюсь, а не к разработчикам прикладно, Аноним (317), 14:43 , 01-Апр-24, (405) Ловите его скорее, а то он и NIH-синдром поставит под сомнение , n00by (ok), 10:54 , 30-Мрт-24, (158) brew upgradexz 5 6 1 - 5 4 6https github com Homebrew homebrew-core pull 1675, soarin (ok), 03:34 , 30-Мрт-24, (81) Посжимали и хватит F, Аноним (87), 04:14 , 30-Мрт-24, (87) –1 Я так понимаю, что если был любой другой инит, а не системда патч, то этот бек, Аноним (88), 05:08 , 30-Мрт-24, (88) +1 // вот devuan, какой-то рудимент от systemd имеется S ldd usr sbin sshd lin, glad_valakas (?), 05:23 , 30-Мрт-24, (90) // Сколько же там дерьма напихано, фу Правильное у меня мнение было об этом дистре, Аноним (48), 09:15 , 30-Мрт-24, (113) +3 // В Debian ldd usr bin ssh linux-vdso so 1 0x00007ffd6d9fb000 libselinux so 1 , Аноним (196), 11:42 , 30-Мрт-24, (196) так разговор про sshd,а не про ssh, Аноним (243), 13:13 , 30-Мрт-24, (244) Даже в арче не додумались до такогоldd usr sbin sshd linux-vdso so 1 0x, НяшМяш (ok), 13:09 , 30-Мрт-24, (242) В арче не принято обмазывать исходники пакетов коричневой субстанцией W W патчам, Аноним (362), 12:20 , 31-Мрт-24, (362) Это не рудимент, это весь systemd и есть С чем и поздравляю борцунов с системдр, нах. (?), 12:42 , 30-Мрт-24, (225) // чушь 1 процесса systemd нет 2 сравни с нормальным дебианом ldd lib x86_64-li, glad_valakas (-), 14:15 , 30-Мрт-24, (279) Да, Аноним (91), 05:24 , 30-Мрт-24, (91) А сколько таких, которые не попались , Аноним (89), 05:20 , 30-Мрт-24, (89) +3 // А я-то думаю чего с годами потребление памяти и другая требовательность к ресурс, BrainFucker (ok), 06:33 , 30-Мрт-24, (93) +1 // Так их переписывают просто То на Питончик, то на Раст , Аноним (166), 11:14 , 30-Мрт-24, (166) a xz-5 6 1-x86_64-2 txz Rebuilt Seems like a good idea to build this fro, Аноним (92), 05:38 , 30-Мрт-24, (92) +3 Вот В этом месте и надо отлавливать вредителей Ещё одно место это JIT код котор, Аноним (98), 07:51 , 30-Мрт-24, (97) +5 libsystemdДля меня это уже повод насторожиться, iCat (ok), 07:57 , 30-Мрт-24, (99) –1 // А для меня расслабится Использую дистр без сысды, дбас, полкитды, вяленого , Аноним (98), 08:07 , 30-Мрт-24, (103) // Расслабился - смой за собой, Аноним (281), 14:32 , 30-Мрт-24, (284) // Так он же сказал , Аноним (292), 15:47 , 30-Мрт-24, (294) Интересно, на сколько лет посадят писателя этого бэкдора , вася (??), 08:04 , 30-Мрт-24, (102) // Закон дышло, чужого - посадим, своего - наградим https tass ru obschestvo 170, Вова (?), 08:12 , 30-Мрт-24, (104) // ну да, прям как, чтобы ликвидировать кучку ТТ, надо было потравить тучу хостейдж, Sw00p aka Jerom (?), 08:35 , 30-Мрт-24, (107) Ни на сколько, потому что в лицензии либы есть отказ от каких либо обязательств , Аноним (248), 12:04 , 30-Мрт-24, (210) Кто ж посадит действующего члена КПК Судя по имячку - он прям оттуда и кодил , нах. (?), 12:44 , 30-Мрт-24, (227) +1 Хомы начинают прозревать, а вдруг не все выходы за границы буфера это просто оши, Аноним (106), 08:40 , 30-Мрт-24, (109) +1 Какой позор для опенсорса Внезапно оказалось, что открытый код и контролируемы, Аноним (-), 09:09 , 30-Мрт-24, (111) –7 // Так бекдор, внезапно, в бинарнике Вот тебе и закрытый код , Аноним (121), 10:13 , 30-Мрт-24, (134) +1 // Бэкдор в библиотеке с открытым кодом Ты думал, что его ещё и прокомментируют в , n00by (ok), 11:21 , 30-Мрт-24, (175) // Ты точно читал новость Архивы давно перестали быть бинарными файлами При сборке, Аноним (121), 16:15 , 30-Мрт-24, (306) Бэкдор не в коде программы, а в её сборочных скриптах Это определенно всё меняе, Аноним (342), 23:31 , 30-Мрт-24, (342) Я не только читал новость, но и краем уха слышал, чем полиморфные движки отличаю, n00by (ok), 08:53 , 31-Мрт-24, (353) –1 Скрыто модератором, Аноним (364), 16:45 , 31-Мрт-24, (367) Скрыто модератором, n00by (ok), 08:09 , 01-Апр-24, (398) Скрыто модератором, Аноним (417), 11:09 , 26-Апр-24, (418) Скрыто модератором, n00by (ok), 08:53 , 28-Апр-24, (419) Ты с логикой дружишь Бэкдор найден через месяц после внедрения, в репе по комит, Аноним (248), 11:36 , 30-Мрт-24, (192) +3 // А ничего бы не было, в Cisco до сих пор не расказали, кто на наоставлял вагон бе, Аноним (121), 16:18 , 30-Мрт-24, (307) +3 Не удивлюсь, если во всех проектах на automake, включая rpm и firejail, такое пр, Аноним (123), 09:51 , 30-Мрт-24, (123) +4 // В ninja тем более смотреть не будет никто А в automake очень даже , Аноним (292), 15:49 , 30-Мрт-24, (296) –1 // Makefile для ninja никто руками не пишет, и, соответственно, не заливает в репы , Анонми (?), 20:09 , 30-Мрт-24, (325) // Очень даже пишут Иногда В очень нишевых кейсах Они даже читаемыми получаются , Аноним (334), 22:27 , 30-Мрт-24, (334) Но идиотские дистры вроде Дебиана продолжат собирарь из архивов , Аноним (123), 09:53 , 30-Мрт-24, (124) –1 // Ага, а надо из апстрим репы исходного кода, да прямо из master ветки , Аноним (248), 11:38 , 30-Мрт-24, (193) // man git-checkout, Аноним (230), 12:48 , 30-Мрт-24, (230) +2 Расскажи, в каком дистрибутиве ты собираешь пакетики Страна должна знать своих , n00by (ok), 13:58 , 30-Мрт-24, (275) +1 Fedora, OpenSUSE тоже идиотские дистрибутивы , Аноним (195), 11:40 , 30-Мрт-24, (195) –1 // Эти - особенно , Аноним (230), 12:47 , 30-Мрт-24, (228) +2 Так это в Сид каком-нибудь только прилетело,навряд ли в обычный Дебиан попало , сщта (?), 10:06 , 30-Мрт-24, (126) +1 Эта либа себя дискредитировала Jia Tan коммитил в течение для двух лет и любой и, Аноним (-), 10:08 , 30-Мрт-24, (128) +3 // В расте и обфусцировать бэкдор не надо будет - в коде просто никто и так не разб, Аноним (166), 10:09 , 30-Мрт-24, (130) +1 // Код уже написан и уже внедрен в какой-то мутный драйвер из 100 строк , Аноним (106), 10:11 , 30-Мрт-24, (132) В расте нет такого древнего легаси как m4 скрипты Там нормальная человекочитаема, Аноним (-), 10:17 , 30-Мрт-24, (139) +2 // Ты хотел сказать что на рсте вообще нет никакого продакшн кода , Аноним (106), 11:27 , 30-Мрт-24, (183) Гугл с андроидом и не в курсе И ещё с десяток крупных компаний , НяшМяш (ok), 13:14 , 30-Мрт-24, (247) Это все происходит только в твоём воображении и каких то маловнятных новостях К, Аноним (106), 16:44 , 30-Мрт-24, (308) Тянущая всё с гитхабчика, ага Ночью по CET PST дядя Ляо сделал git push, дядя Л, Аноним (292), 15:52 , 30-Мрт-24, (297) +1 1 сама тянущая все зависимости, какие укажут разработчики пакетов укажут и , Аноним (321), 18:55 , 30-Мрт-24, (321) +1 Кто захочет писать безопасно на Си - тот будет писать безопасно на Си Неосилято, Аноним (364), 16:50 , 31-Мрт-24, (368) +1 Не переживай, раст и прочая скриптуха также подвержена подобным проблемам И дел, jsforever (ok), 17:26 , 31-Мрт-24, (373) В расте не смогут разобраться только неосиляторы Там гугл переучивает разработчи, Аноним (-), 10:54 , 30-Мрт-24, (157) –1 // Умник, ты хоть посмотри для чего использовался bash Или ты из очередных не чит, Аноним (195), 11:38 , 30-Мрт-24, (194) Использование Хруста как-то мешает использовать в проекте m4 и bash Выдыхай, бо, Аноним (364), 16:52 , 31-Мрт-24, (369) Там уже есть весь этот отстой - это макросы Проблемы всё те же, что и у баш м4 , jsforever (ok), 17:28 , 31-Мрт-24, (374) На Питоне замучаешься обфуцировать Вот это язык так язык Хех-хех , microcoder (ok), 23:26 , 30-Мрт-24, (341) m4-макрос, дата редиза - 1977 годКонечно использовать инструменты полувековой да, Анонм (?), 10:14 , 30-Мрт-24, (136) +5 // если ты не можешь прочитать простенький код на m4 - каковы твои шансы что-то зам, нах. (?), 12:50 , 30-Мрт-24, (231) Так ты не порождай Ты часом не питонист , Аноним (292), 15:55 , 30-Мрт-24, (299) // И питонист, и сторонник Дяди Боба А вы можете продолжать знать только JavaScrip, Аноним (319), 18:49 , 30-Мрт-24, (319) Тысячи глаз , Аноним (166), 10:16 , 30-Мрт-24, (138) // Бывают и злые Васяны,ничего тут не сделаешь Вон в Кеды тоже свину подложили и н, сщта (?), 10:20 , 30-Мрт-24, (143) Как раз эти пресловутые тысячи глаз и сработали Поймал не человек, занимающий, sqrt (?), 10:32 , 30-Мрт-24, (150) +8 // Сработали Ни один из копавшихся в исходниках этого не нашёл за два года Эстон, Аноним (159), 11:09 , 30-Мрт-24, (164) –3 // 5 6 0 Mon, 26 Feb 2024 07 47 01 0100 - из чейнджлога Debian Sid Где тут 2 года, Аноним (123), 11:24 , 30-Мрт-24, (178) +1 Почти год назад он отключил это ifunc is not compatible with -fsanitize address,, Аноним (205), 12:07 , 30-Мрт-24, (212) –1 Там была проведена многолетняя подготовка к внедрению бэкдора Легендирование и , Аноним (246), 14:12 , 30-Мрт-24, (278) Так они только играются Возьми несколько летней давности историю с университето, Аноним (285), 14:45 , 30-Мрт-24, (285) +1 Ненадёжно Бэкдор в программе можно выпилить А вот бэкдор в спецификации или эк, Аноним (293), 15:44 , 30-Мрт-24, (293) А в проприетарных типа всё всегда находится Ты это, переставай употреблять , Аноним (106), 11:25 , 30-Мрт-24, (180) +1 А какая нам разница что там у проприетарных И почему тебя это вообще беспокоит Т, Аноним (-), 11:30 , 30-Мрт-24, (188) В том что метод тысячи глаз работает и сработал То что у него есть время реакци, Аноним (106), 16:47 , 30-Мрт-24, (309) Двойные стандарты что бы защитить свой мирок Понимаю Там нашли бэкдор и опублик, Аноним (340), 23:20 , 30-Мрт-24, (340) +1 Не, тут к сожалению не только это Чел сначала предложил коммит с отключением фаз, Аноним (-), 10:39 , 30-Мрт-24, (151) +1 GitHub полностью заблокировал репозитории xz, xz-java и xz-embedded, которые те, zeecape (ok), 10:27 , 30-Мрт-24, (145) +3 // не только эксплойт но и доступ к версиям, вредительских правок еще не содержавши, нах. (?), 12:52 , 30-Мрт-24, (232) +2 Хахаха, а теперь расскажите мне, как в типа серьезных проектах используют авто, Анонм (-), 10:32 , 30-Мрт-24, (149) // Скрыто модератором, Аноним (-), 11:14 , 30-Мрт-24, (167) Сказать то чего хотел Если тот же самый китаец захотел бы внедрит бекдор в коде, Аноним (106), 11:23 , 30-Мрт-24, (177) Так по просьбе какого-то васяна и unsafe-обертки заапрувят и вся хваленая безопа, Аноним (364), 16:58 , 31-Мрт-24, (370) О, история становится еще интереснее Чел поучаствовал во многих проектах Наприме, Аноним (-), 10:51 , 30-Мрт-24, (155) +3 // Ну, libarchive кривое, не страшно Её никто в своём уме не будет использовать А, Аноним (48), 11:10 , 30-Мрт-24, (165) // Я использую Потому что иначе мне придётся свою такую же, но хуже, написать , Аноним (123), 11:18 , 30-Мрт-24, (171) самое слабое звено в системе безопасности 8212 это человек с Кевин Митник, Аноним (166), 11:17 , 30-Мрт-24, (170) +2 Это же какую логику нужно иметь, чтобы связать прием патча с изменения в коде с , Аноним (195), 11:34 , 30-Мрт-24, (190) // Типа если люди пишут на Си, им как правило, глубоко плевать на безопаснось , Аноним (248), 11:44 , 30-Мрт-24, (198) // Звучит как теория заговора , Аноним (364), 17:02 , 31-Мрт-24, (371) Не знаю как в GO, но в раст все принты по умолчанию safe А чтобы сделать ансейф , Аноним (-), 11:49 , 30-Мрт-24, (201) –1 // Думаешь китаец испугался бы слова unsafe и не сделал бы коммит БезопасТность ур, Аноним (106), 12:01 , 30-Мрт-24, (209) +1 А это зависит от разных вариантов Например есть либы в расте которые помечены , Аноним (-), 12:19 , 30-Мрт-24, (216) –1 Но тебе захотелось попиариться, вот же ж незадача , Аноним (292), 15:57 , 30-Мрт-24, (300) На этом обсуждение можно было и закончить , Аноним (364), 17:04 , 31-Мрт-24, (372) Например есль скрипты в баше которые просто пускают команды, без каких-либо по, jsforever (ok), 18:42 , 31-Мрт-24, (379) - Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF TCP из состава ядра Lin, Аноним (-), 12:08 , 30-Мрт-24, (213) –1 // Всё просто - в ПР МР делают придирки к неймингу, стилю кодирования, не сопадающи, Аноним (292), 16:00 , 30-Мрт-24, (301) +1 Любая сторонняя либа это потенциальный источник трояна, соответственно код либы , Oe (?), 12:53 , 30-Мрт-24, (234) –1 Эту историю читаешь и плакать хочется Один из коммитов етого псевдокитайца в oss, Аноним (339), 23:18 , 30-Мрт-24, (339) Заметьте изменения были введены после обязательного введения 2FA на GitHub не , Аноним (123), 11:17 , 30-Мрт-24, (169)   // Вполне вероятно, что и петрушка, и вероятно даже не один действовал, но при чём , Аноним (48), 11:25 , 30-Мрт-24, (179) –1   // А это не мы должны предоставлять железобетонные доказательства, что автор сопров, Аноним (123), 11:42 , 30-Мрт-24, (197) +4   // Насчёт закрытия 8212 я всегда думал, что liblzma - это часть 7zip Особенно у, Аноним (202), 11:50 , 30-Мрт-24, (202) +1   Похоже ты не понимаешь сути проблемы в сабже Проблема что в трояне был баг, кот, Аноним (106), 11:59 , 30-Мрт-24, (206) +1   Именно, поэтому авторам xz, libarchive и прочим скомпрометированным 8212 ника, Аноним (215), 12:17 , 30-Мрт-24, (215)   Как вообще в либе для архивации может быть троян Она принимает входные данные, , Oe (?), 12:35 , 30-Мрт-24, (222) –3   Ты не понимаешь, как программы работают То, что ты хочешь, недостижимо практиче, Аноним (48), 12:56 , 30-Мрт-24, (237)   Это - для бекдорщиков проблема, что обнаружили Проблемы индейцев шерифа не волн, Аноним (218), 12:22 , 30-Мрт-24, (218)   То есть тебя не смущает что были созданы все условия чтобы бэкдор работал Не уд, Oe (?), 12:39 , 30-Мрт-24, (224)   Нет, не смущает, так как права выдаются не либе, а процессу, а в одном контексте, Аноним (246), 12:54 , 30-Мрт-24, (236)   Подавляющее количество людей использует TOTP для 2FA Где ты тут учуял продвижен, Аноним (248), 13:05 , 30-Мрт-24, (240) +2   // Использование TOTP сделано максимально неудобным, а в случае с FIDO2 вообще разр, Аноним (246), 13:21 , 30-Мрт-24, (251) –1   // Скопипастить код - это, по твоему, максимально неудобно Лол Устройство-аутентиф, Анонми (?), 20:22 , 30-Мрт-24, (326)   1 Да, неудобно Можно на JS написать аутентификатор, но лучше свалить из этого , Аноним (343), 01:05 , 31-Мрт-24, (343)   Libselinux также поддерживает liblzma и связывается с гораздо большим количество, Аноним (186), 11:29 , 30-Мрт-24, (186) Накалякал в Федору https pagure io fesco issue 3185Посмотрим что из этого вый, Аноним (288), 12:48 , 30-Мрт-24, (229) // Смешно если честно, это предложение больше на вброс или троллинг похоже Сейчас ж, Аноним (-), 12:53 , 30-Мрт-24, (235) +1 // Более того, А давайте вы там кто-нибудь сделаете, чтобы было хорошо, а мне н, Аноним (277), 14:09 , 30-Мрт-24, (277) Вот он - Linux way , Аноним (238), 13:00 , 30-Мрт-24, (238) +3 // А во FreeBSD automake не используется , Аноним (255), 13:24 , 30-Мрт-24, (255) –1 // Там юниксовый make , Аноним (344), 01:22 , 31-Мрт-24, (344) Оглянись, вдруг у тебя что-то торчит , Аноним (345), 02:43 , 31-Мрт-24, (345) Люди, которые считают,что в PID 1 непременно нужно вкрячить библиотеку компресси, й (?), 13:23 , 30-Мрт-24, (253) +3 атака классная респект китайцу жаль, быстро спалили сижу, жую попкорн xz --, crypt (ok), 13:24 , 30-Мрт-24, (254) +1 Microsoft has signaled it will add native support for tar, 7-zip, rar, gz and m, Аноним (84), 13:27 , 30-Мрт-24, (257) +1 // А почему китайской Скорее всего околополяки какие-нибудь, как обычно , Аноним (48), 13:33 , 30-Мрт-24, (261) // Китайский-китайский, не сомневайтесь , товарищ майор (?), 13:44 , 30-Мрт-24, (267) Судя по виртуозной схеме внедрения бекдора в sshd, работали серьезные профи , Аноним (84), 13:47 , 30-Мрт-24, (269) До того, как Github заблокировал репозиторий xz, мне почему-то мимолетно показал, mikhailnov (ok), 14:17 , 30-Мрт-24, (280) // Вы наводите поклёп на страну, в которой в куче детсадов по прикомандированному к, Аноним (292), 16:05 , 30-Мрт-24, (303) // Может это американец китайского происхождения Азиато-американец , Пользователь чебурнета (?), 12:26 , 08-Апр-24, (415) Единственно, что свой человек время от времени лажался и коммитил с таймзоной E, Аноним (339), 23:04 , 30-Мрт-24, (338) +2 То, что никто не проверяет соответствие релизных архивов реальным данным в дерев, Аноним (48), 13:30 , 30-Мрт-24, (259) +1 // Несоотвествие в порядке вещей для autocrap Там при подготовке релизного архива , Аноним (271), 13:48 , 30-Мрт-24, (271) +1 А зачем проверять, если можно просто git юзать Но ведь не юзают Чую, когда так, Аноним (246), 14:05 , 30-Мрт-24, (276) Проблема зашита в libsystemd ldd lib x86_64-linux-gnu libsystemd so 0 linux-v, Аноним (84), 15:39 , 30-Мрт-24, (291) +1 // Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфли, Аноним (293), 15:47 , 30-Мрт-24, (295) // Нужно использовать простое и доверенное ПО Но это в идеальном мире, а в реально, Ананоним (?), 15:53 , 30-Мрт-24, (298) А как я буду malloc заменять , Аноним (292), 16:06 , 30-Мрт-24, (304) // если хочешь менять на уровне линкинга либы - то управление памятью надо вынести , Аноним (310), 17:03 , 30-Мрт-24, (310) Ты думаешь, что когда при сборке sshd с ним линковался libsystemd so, ликер буде, Аноним (84), 18:33 , 30-Мрт-24, (315) // динамический линкер, линкующий при загрузке бинарей в память , Аноним (319), 18:47 , 30-Мрт-24, (318) Всегда знал, что баш-портянки, регулярные выражения и всякие прочие нечитаемые н, Аноним (316), 18:34 , 30-Мрт-24, (316) // Всегда знал, и не исправил Может ты специально ничего не зделал , Аноним (345), 02:45 , 31-Мрт-24, (346) // пособник, Аноним (409), 15:33 , 02-Апр-24, (409) Что не так с Makefile , Легивон (?), 10:59 , 31-Мрт-24, (361) // Ископаемый язык, который никто сейчас даже трогать не хочет ввиду его ужасного и, Аноним (316), 03:02 , 01-Апр-24, (389) Ваш CMake также поимели, даже не используя никакие регулярные выраженияhttps w, Аноним (-), 12:36 , 01-Апр-24, (403) В Tumbleweed сегодня из-за этого весь репозиторий пересобрали Прилетело обновле, Berkut (??), 03:22 , 31-Мрт-24, (348) Интересно, как оно в ЧПУКС работает , IdeaFix (ok), 10:07 , 31-Мрт-24, (355) // чпукс кому-то ещё нужен , Аноним (394), 07:30 , 01-Апр-24, (394) // Как сказать я прикупил очень дешево ибо первый раз в жизни увидел b2600, а , IdeaFix (ok), 10:04 , 01-Апр-24, (402) Видимо xz настолько заброшен, что никто однострочник с eval не увидел , Пряник (?), 09:59 , 01-Апр-24, (400) Так вот зачем китайцы стучатся по SSH , Пряник (?), 10:01 , 01-Апр-24, (401) 1,5,6,8,11,12,16,22,29,32,34,44,47,49,56,66,70,74,76,81,87,88,89,92,97,99,102,109,111,123,124,126,128,136,138,145,149,155,169,186,229,238,253,254,257,259,291,316,348,355,400,401

Сообщения

[Сортировка по времени | RSS]

169. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (123), 30-Мрт-24, 11:17
Заметьте: изменения были введены после обязательного введения 2FA на GitHub (не подумайте, что с целью усиления "безопасности", до очень недавнего времени без активации 2FA можно было пушить в репозитории, к которым есть доступ, да и сейчас наверное при пуше используется только 1 фактор, а с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрии). Как я и предупреждал, от сопровождающего-вредителя, а равно — коммерсанта, продавшего проект за круглую сумму, а равно "патриота" государства, в котором живёт и получает зарплату ничего не поможет, а равно просто фраера-лоха, которому сделали предложение, от которого невозможно отказаться: в общем случае от supply chain-атаки, где "легитимный" сопровождающий делает вредоносные изменения, не спасёт ничего. А "Jia Tan" — это просто кукла из носка, которая на руку одевается, как в "Улице Сезам", чтобы смягчить последствия для сопровождающих, что типа Шоколад ни в чём не уиноуат! Все авторы забекдоренных проектов должны рассматриваться как соучастники.
Ответить | Правка | Наверх | Cообщить модератору

	179. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (48), 30-Мрт-24, 11:25
	Вполне вероятно, что и петрушка, и вероятно даже не один действовал, но при чём тут авторы? Будто, это впервые происходит. Хоть решение отключить проверки и защиты выглядит подозрительно, но этого недостаточно, чтобы что-либо утверждать.
	Ответить | Правка | Наверх | Cообщить модератору

	197. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (123), 30-Мрт-24, 11:42
	>этого недостаточно, чтобы что-либо утверждать. А это не мы должны предоставлять железобетонные доказательства, что автор/сопровождающий сохранил свою репутацию. Это его репутация — ему её и беречь. А он — не сберёг. С нашей же стороны мы вольны руководствоваться его репутацией для принятия решений. И совершенно не важно, виноват ли сопровождающий в действительности, или его подставили. Нам ведь плевать на сопровождающего, "кого иппёт чужое горе", нам важна наша безопасность. При таком подходе имеет смысл исключать компонент, несущий риски, вне зависимости от того, виновен ли он в действительности, или просто халатен — было бы выгодно полное закрытие скомпрометированных проектов, либо переход их под более ответственных сопровождающих. К сожалению рынок внесёт коррективы: по демпинговым ценам ($0, бесплатно, даром, бойтесь данайцев, дары приносящих) большинство устроит и заведомо забекдоренный проект, а конторы для себя и форк сделают, и с сообществом не поделятся.
	Ответить | Правка | Наверх | Cообщить модератору

	202. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (202), 30-Мрт-24, 11:50
	Насчёт закрытия — я всегда думал, что liblzma - это часть 7zip. Особенно учитывая то, что автор алгоритма LZMA - это Игорь Павлов. Почему эта либа до сих пор ставится не из первоисточника, не из форка-порта первоисточника p7zip, а из мутного порта не пойми кого — вопрос открытый. Что не отменяет необходимость упразднения autotools в 7zip.
	Ответить | Правка | Наверх | Cообщить модератору

	206. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 11:59
	Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе был. Если троян был это кого надо троян. И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя.
	Ответить | Правка | Наверх | Cообщить модератору

	215. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (215), 30-Мрт-24, 12:17
	>И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя. Именно, поэтому авторам xz, libarchive и прочим скомпрометированным — никакого доверия.
	Ответить | Правка | Наверх | Cообщить модератору

	222. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–3 +/–
	Сообщение от Oe (?), 30-Мрт-24, 12:35
	Как вообще в либе для архивации может быть троян? Она принимает входные данные, выдает выходные, больше у нее прав быть не должно, максимум попытаться использовать уязвимость процессора. Чтобы предотвратить встраивание трояна в выходные данные эти самые данные должны подаваться на вход зашифрованными, это же логично, да?
	Ответить | Правка | Наверх | Cообщить модератору

	237. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 12:56
	Ты не понимаешь, как программы работают. То, что ты хочешь, недостижимо практически с современными технологиями, либо осуществимо, но принесёт неоправданно большие накладные расходы. Да и, к примеру, в микроядерных системах в памяти может быть независимый изолированный декодер сжатых данных, но доверяться ему софту всё равно придётся: ты не можешь проконтролировать, что данные не были изменены в процессе. Аппаратное шифрование тут особенно помогает заметать следы и нет возможности проконтролировать происходящее.
	Ответить | Правка | Наверх | Cообщить модератору

	218. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (218), 30-Мрт-24, 12:22
	>Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе был Это - для бекдорщиков проблема, что обнаружили. Проблемы индейцев шерифа не волнуют. А для нас же проблема, что 1) были созданы условия для скрытия бэкдора - сопровождающим 2) бэкдор был внедрён 3) при участии сопровождающего.
	Ответить | Правка | К родителю #206 | Наверх | Cообщить модератору

	224. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Oe (?), 30-Мрт-24, 12:39
	То есть тебя не смущает что были созданы все условия чтобы бэкдор работал? Не удивлюсь если либа архивации еще и в интернет выходить может, давайте еще ей права записи во флешку биоса предоставим, что уж мелочиться.
	Ответить | Правка | Наверх | Cообщить модератору

	236. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (246), 30-Мрт-24, 12:54
	Нет, не смущает, так как права выдаются не либе, а процессу, а в одном контексте разделение привелегий аппаратно не предусмотрено. Выдачу прав либам в принципе можно сделать, если избавиться от native-кода, но вам такое решение не понравится.
	Ответить | Правка | Наверх | Cообщить модератору

	240. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 13:05
	> после обязательного введения 2FA на GitHub [...] с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрии Подавляющее количество людей использует TOTP для 2FA. Где ты тут учуял продвижение FIDO2? > Как я и предупреждал, от сопровождающего-вредителя [...] ничего не поможет Ну так 2FA и не для этого нужен. К чему ты его упомянул?
	Ответить | Правка | К родителю #169 | Наверх | Cообщить модератору

	251. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (246), 30-Мрт-24, 13:21
	>Где ты тут учуял продвижение FIDO2? Использование TOTP сделано максимально неудобным, а в случае с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором" (устройство, либо программная реализация с поддержкой passkeys) по стандарту. То есть оказывают давление, чтобы использовали именно FIDO2. А Micro$oft - сама стейкхолдер на рынке FIDO2-аутентификаторов и их компонентов. >Ну так 2FA и не для этого нужен. К чему ты его упомянул? 2FA никак не поможет защититься от атаки на цепочку поставки. Но именно под предлогом "обезопашивания цепочек поставки" его навязывают на GitHub, вместо того, чтобы явно сказать, что у M$ есть свои бизнес-интересы в трансформации экосистемы и сообщества нужным для M$ образом, и что M$ не гнушаются потратить ценность GitHubа как хостинга исходников на этот проект.
	Ответить | Правка | Наверх | Cообщить модератору

	326. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Анонми (?), 30-Мрт-24, 20:22
	> Использование TOTP сделано максимально неудобным Скопипастить код - это, по твоему, максимально неудобно? > с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором" Лол. Устройство-аутентификатор и есть второй фактор. Чисто по определению.
	Ответить | Правка | Наверх | Cообщить модератору

	343. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (343), 31-Мрт-24, 01:05
	1. Да, неудобно. Можно на JS написать аутентификатор, но лучше свалить из этого б.......о цирка, чем быть клоуном у п.......в. 2. При "пасскеях" устройство-аутентификатор есть единственный фактор, пароль не нужен, главное чтобы от нужного вендора был.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема