Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В OpenBSD устранена локальная уявзимость, позволяющая получить права root"	+/–
Сообщение от opennews (??), 16-Июл-26, 09:57
Проект OpenBSD опубликовал исправление уязвимости (CVE-2026-57589) в ядре,  затрагивающей реализацию системных вызовов для работы с семафорами System V (sem). Проблема вызвана обращением к уже освобождённой памяти в функции sys_semget() и может эксплуатироваться для получения прав root непривилегированным локальным пользователем в конфигурации по умолчанию... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65867
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 16-Июл-26, 09:57	+1 +/–
Я так понимаю софт на Коболе 60 летней давности еще не охвачен. В рекламных целях, на безрыбье и лещ - рыба.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4

2. Сообщение от Смузихеб забывший пароль (?), 16-Июл-26, 10:04	–8 +/–
Как так академики поживают ? Докторскую на устранении этой уязвимости уже кому-то пообещали ?)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21

3. Сообщение от psv (??), 16-Июл-26, 10:06	–3 +/–
Ошибка внесена в 2023. Но почему нет последовательности "исправления" кода которая к ней привела? В том числе авторов патчей (со ссылками где они еще светились)?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #12

4. Сообщение от Аноним (4), 16-Июл-26, 10:11	+9 +/–
Там искать нечего, потому-что писали диды дидов, и это были боги. А боги - безгрешны и ошибок не делают по определению.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #19, #37

5. Сообщение от ryoken (ok), 16-Июл-26, 10:13	+/–
Отпечатков копыт ИИ не найдено?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #48

7. Сообщение от openssh_user (ok), 16-Июл-26, 10:25	+1 +/–
Странно, что для релизов выпуск исправлений затянулся
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #51

8. Сообщение от Аноним (8), 16-Июл-26, 10:39	+1 +/–
Перечитай еще раз. В 2003
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

9. Сообщение от Аноним (9), 16-Июл-26, 10:40	+2 +/–
> Локальная А ещё кто-то локально может подойти к моему компьютеру и стукнуть по нему молотком.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #11, #26

10. Сообщение от Аноним (8), 16-Июл-26, 10:45	+2 +/–
Либо попасть через другую дыру под пользователем nobody и стать рутом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

11. Сообщение от Аноним9000 (?), 16-Июл-26, 10:49	+1 +/–
Путаете локальный доступ и физический
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

12. Сообщение от Аноним (12), 16-Июл-26, 10:55	+5 +/–
претензии от человека, который прочитать без ошибок не может
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #38

13. Сообщение от EmmGold (ok), 16-Июл-26, 11:10	–2 +/–
Only  ̶t̶w̶o̶ three remote holes in the default install, in a heck of a long time!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #55

14. Сообщение от Аноним (14), 16-Июл-26, 11:47	+/–
Нет, она не remote, это же локально эксплуатируемая уязвимость.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #39

15. Сообщение от крокодил мимо.. (?), 16-Июл-26, 11:48	+/–
> Проблема вызвана обращением к уже освобождённой памяти в функции sys_semget() и может эксплуатироваться для получения прав root непривилегированным локальным пользователем в конфигурации по умолчанию. вариант эксплойта для подтверждения есть? судя по: https://ftp.openbsd.org/pub/OpenBSD/patches/7.9/common/005_s... не только и не столько sys_semget(), скорее "обычная" безалаберность.. что тоже не оправдание..
Ответить | Правка | Наверх | Cообщить модератору

16. Сообщение от Аноним (16), 16-Июл-26, 11:50	+3 +/–
Погодите. Это та самая бздя которая мега-защищенная и они всей командой наяривают на бижопашность как стая мартышек? Выходит не такая она крутая.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18, #41

17. Сообщение от Аноним (17), 16-Июл-26, 11:51	–2 +/–
Кто знает, насколько эта нейронка права?: Уязвимость находится в функции `semop` (строки 684–705) и представляет собой **гонку с использованием после освобождения (use-after-free)**. **Суть проблемы:** 1. Перед вызовом `tsleep_nsec()` процесс сохраняет локальный указатель `semaptr` на структуру набора семафоров. Затем он засыпает, отпуская блокировку семафорной подсистемы. 2. Пока процесс спит, другой поток/процесс может удалить этот набор семафоров через `IPC_RMID`. Память, на которую указывает `semaptr`, освобождается (`free` + `pool_put`), а элемент массива `sema[semid]` обнуляется. 3. Если после этого (до пробуждения первого процесса) создаётся *новый* набор семафоров с тем же идентификатором `semid` (реиспользование индекса), `sema[semid]` будет указывать уже на новую структуру. 4. Первый процесс просыпается, перезахватывает блокировку и выполняет проверку:    ```c    if (sema[semid] == NULL ||        semaptr->sem_perm.seq != IPCID_TO_SEQ(SCARG(uap, semid)))    ```    При этом `semaptr` **не обновляется** из `sema[semid]`, а продолжает указывать на уже освобождённую память. 5. Так как `sema[semid]` теперь не `NULL` (новый набор), короткого замыкания по первому условию не происходит, и код читает поле `sem_perm.seq` из освобождённой памяти — это **use-after-free**. 6. Если освобождённая память была переиспользована и злоумышленник смог записать туда старый номер последовательности, проверка может пройти, и дальнейшая логика продолжит работать с висячим указателем `semaptr`, что ведёт к контролируемому повреждению памяти ядра и потенциальному повышению привилегий. **Где именно в коде:** строки 693–700 — после `tsleep_nsec` используется `semaptr` без переприсваивания из `sema[semid]`. Исправление должно включать сброс `semaptr = sema[semid]` после пробуждения и соответствующую обработку `NULL`.
Ответить | Правка | Наверх | Cообщить модератору

18. Сообщение от Аноним (19), 16-Июл-26, 12:05	–1 +/–
Какая безопасность? Их обвиняли в прямой работе на ФБР.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #20

19. Сообщение от Аноним (19), 16-Июл-26, 12:06	–2 +/–
Проблема что уязвимый код уже и не на чем запустить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #23

20. Сообщение от Colorado_House_of_Representatives (?), 16-Июл-26, 12:13	+/–
Не их, а конкретного разработчика. И закладок после аудита не нашли.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #31, #36, #49

21. Сообщение от Аноним (21), 16-Июл-26, 12:26	+5 +/–
> Как так академики поживают ? > Докторскую на устранении этой уязвимости уже кому-то пообещали ?) То ли дело CopyFail в 7-8 варинтах за пару месяцев и бесспорное лидерство с огромным отрывом по CVEшкам... Но пустить метанчик в сторону бzдей - на опеннете это святое, да!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #22, #30, #47

22. Сообщение от Аноним (22), 16-Июл-26, 12:40    Скрыто ботом-модератором	–3 +/–
> То ли дело CopyFail в 7-8 варинтах за пару месяцев и бесспорное лидерство с огромным отрывом по CVEшкам... И не только по CVEшкам. А еще например по распространенности и кол-ву подедрживаенмого железа. > Но пустить метанчик в сторону бzдей - на опеннете это святое, да! Так в каждой теме про ядро бzдяди пускают газ в сторону ядра линукс. Причем с вcкукаpeками "а вот у нашей мегазащищенной опенБЗБ!!!". А она не защищенная, она недообследованная)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

23. Сообщение от Аноним (1), 16-Июл-26, 12:49	+2 +/–
>Проблема что уязвимый код уже и не на чем запустить.   Ви таки плохо думаете про американские банки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

24. Сообщение от gvf (??), 16-Июл-26, 12:53	+/–
Нихрена вы не понимаете! Это заговор ИИ-шек! Они под видом исправления наших уязвимостей вставляют свои чтобы захватить Мир!!!!!11111 Спасайся пока не поздно! 8))))))
Ответить | Правка | Наверх | Cообщить модератору

25. Сообщение от Аноним (-), 16-Июл-26, 13:06	+/–
>" Проблема вызвана обращением к уже освобождённой памяти" Опять память? Да чтож такое та!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

26. Сообщение от Аноним (26), 16-Июл-26, 13:09	+/–
Локальный - значит ты по SSH подключился не root'ом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

27. Сообщение от Аноним (27), 16-Июл-26, 13:49	+/–
двойное освобождение памяти и всякие рейс кондишены это проблема погромиста! Поэтому всегда нужна верификация корректности в таких алгоритмах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #28

28. Сообщение от Аноним (28), 16-Июл-26, 13:55	+/–
> двойное освобождение памяти и всякие рейс кондишены это проблема погромиста! Верно только отчасти. Пограммист себе код оттарабанил и пошел пить пиво. А в первую очередь это проблема пользователя у которого софт дырявый. > Поэтому всегда нужна верификация корректности в таких алгоритмах. Вы мышки станьте ежиками (с) Есть ли реалистичные предложения как это сделать? Или предотвратить "двойное освобождение памяти и всякие рейс кондишены", или хотя бы найти после написания овнокода, но ДО попадания к пользователям?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #32, #33

30. Сообщение от Смузихеб забывший пароль (?), 16-Июл-26, 14:13    Скрыто ботом-модератором	–1 +/–
это обычная ответная реакция на постоянный пиар бздей как кчего-то нереально секурного да академического и вообще "там академики всё тщательно продумывают и никуда не спешат"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

31. Сообщение от Смузихеб забывший пароль (?), 16-Июл-26, 14:14	–1 +/–
а зачем их находить ?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

32. Сообщение от Аноним (27), 16-Июл-26, 14:16	+/–
> А в первую очередь это проблема пользователя у которого софт дырявый. а тут дилемма обреченного, пользователю только такой софт и дан, другого нету, он обреченный по определению. > Есть ли реалистичные предложения как это сделать? Писать спеку на алгоритм и доказывать его корректность, 1000500 способов как это сделать. Этот процесс и называется по сути программированием, а то, что потом это имплементируют на том или ином ЯК (языке кодирования), называют - кодированием! В итого идет верификация корректности этой имплементации. > Или предотвратить "двойное освобождение памяти и всякие рейс кондишены", Предотвращают мозгами и доказательством. > или хотя бы найти после написания овнокода А этого не будет никогда если перед тобой изначально не стоит задача доказательство корректности, вот поэтому эти "уязвимости" находят другие, в том числе ЫЫ (ЫЫ тупо строит модель алгоритма, и пытается доказать корректность его, не может доказать, как следствие выявляет уязвимость). > но ДО попадания к пользователям? Пользователь - обреченный, это последнее о чем будет думать погромист, если бы он реально думал бы о конечном пользователе, и реально хотел бы сделать для этого "гр3банного мира что-то хорошее", то он бы следовал бы указаниям которые я дал выше, и это не моя выдумка, это то как должно быть в науке! CS - наука в первую очередь!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #35

33. Сообщение от Аноним (27), 16-Июл-26, 14:23	+/–
> Вы мышки станьте ежиками (с) Пробуйте писать крипто-алгоритмы без спеки и доказательства корректности :) Это яркий пример , а что говорить за системный код ОС или математические библиотеки?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

35. Сообщение от Аноним (35), 16-Июл-26, 14:32	+/–
> а тут дилемма обреченного, пользователю только такой софт и дан, другого нету, он обреченный по определению. Ну... как в анекдоте "а какая альтернатива? Утки!" А если серьезно, то пользователь может не знать, что вместо рекламируемых академиков код писали bunch of masturbating monkeys. > Писать спеку на алгоритм и доказывать его корректность, 1000500 способов как это сделать. Есть хороший пример sel4 - где 6к строк кода верифицировали 11 человеко-лет. Получилось невероятно надежно для СИшки, но очень-очень дорого. > Этот процесс и называется по сути программированием, а Думаешь в опенБСД есть спецы такого уровня? Не тяпляпнуть код, а разбираться в алгоритмах и их верификации. >  то, что потом это имплементируют на том или ином ЯК (языке кодирования), называют - кодированием! В итого идет верификация корректности этой имплементации. А потом в коньпиляторе поменяют СИшную UBшку (как произошлов C23) и код превратиться в ̶т̶ы̶к̶в̶у̶ не верифицированные буковки. > Предотвращают мозгами и доказательством. А где? Что ядро, что бсд оказались дырявыми. А к ним паравозом куча критических библиотек. > А этого не будет никогда если перед тобой изначально не стоит задача .... писать корректный код) Я чуть сократил твои рассуждения. Пресловутое AS IS когда пользователя ставят в положение "жричодали". И если на коммерцию есть хоть какие-то рычаги "исправьте баг, а то не увидите мои деньги", то на опенсорс - вообще никаких. > Пользователь - обреченный, это последнее о чем будет думать погромист Это можно решить законодательно. Примерно как с продажей пирожков, шаурмы или оказания услуг (например медицинских). opennet.me/opennews/art.shtml?num=60273 Но опенсорсники первые выступили против. Удивительно, не правда ли.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #42

36. Сообщение от Аноним (36), 16-Июл-26, 14:51	+1 +/–
>закладок после аудита не нашли. Значит хорошо спрятал.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

37. Сообщение от Аноним (37), 16-Июл-26, 15:29	–1 +/–
Апполон, например.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #46

38. Сообщение от Аноним (37), 16-Июл-26, 15:31	+1 +/–
Система образование, вероятно такой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

39. Сообщение от Аноним (39), 16-Июл-26, 15:42	+/–
Может превратиться из local в remote как только найдётся баг в юзерспейсном приложении, откуда можно будет попасть в шелл.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

40. Сообщение от Аноним (-), 16-Июл-26, 16:00	+/–
> AI-моделями Сколько новых РЕАЛЬНЫХ уязвимостей этот нейрослоп добавил после выявления "уязвимости", которую ни при каких обстоятельствах не затриггерить?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #43, #44

41. Сообщение от Аноним (-), 16-Июл-26, 16:02	–1 +/–
Была бы крутая, хотя бы где-то использовалась кроме виртуалок самих разработчиков.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #53

42. Сообщение от Аноним (27), 16-Июл-26, 16:06	+/–
> А если серьезно, то пользователь может не знать, что вместо рекламируемых академиков код писали bunch of masturbating monkeys. В "нормальных" странах есть защита прав потребителя, даже если под соусом опенсурса и отказа от ответственности вам в код сунут зловредный код, то вы спокойно можете подать в уголовный суд, правда все это дело надо будет доказать. > Есть хороший пример sel4 - где 6к строк кода верифицировали 11 человеко-лет. А сколько человеко-лет заняло доказательство "последней теоремы Ферма"? Это нормально, ты думаешь над алгоритмом, строишь модель, доказываешь корректность, потом пишешь имплементацию по спеке на том или ином ЯК (языке кодирования) под ту или иную аппаратную архитектуру, остается только верифицировать итог. Проблема возникает когда мы себя обманываем используя в качестве ЯК не машинные КОП, а некоторый формальный ЯК уровнем выше, тот же Си. И возникает резонный вопрос, а мы компилятор вообще верифицировали? Как мы можем говорить о выше сказанном, если компилятор у нас не верифицирован, и тут верифицировать уже не только Си-шный код надо, но и выхлоп (сам компилятор тоже) компилятора (получается двойная работа). Справедливости ради, щас даже аппаратуру (ЦПУ, и проч. выч. технику) фактически начали выпускать без должной верификации, куда там за ПО говорить. Таков путь! > Получилось невероятно надежно для СИшки, но очень-очень дорого. Дорого для кого? Почем стоит ваша жизнь? Готовы доверить свою жизнь "кетайским" (не прошедшим выше описанные этапы) медицинским оборудованиям? Готовы стать пассажиром самолета, у которого из-за бага разгерметизировался салон? А сгореть заживо в какой-то тесле, где в ПО контроллера аккумулятора что-то пошло не так? Понятно, что рынок это спрос и предложение, если тот обреченный пользователь не думает об этом, и не желает "качественной жизни", то и так сойдет, пусть "падает и горит", он обречен по определению, а погромист - не обязан, все верно. Все беды людские от ума! Каждый достоин ровно того, чего заслуживает. > Думаешь в опенБСД есть спецы такого уровня? > Не тяпляпнуть код, а разбираться в алгоритмах и их верификации. Хороших или плохих людей не бывает, бывают только хорошие и плохие поступки, они определяют человека. Если в опенБСД нет выше описанной практики (а ее во истину там нет), то с вероятностью 99.9999% и спецов возможно нет, но категорично говорить об этом нельзя, человек может знать и уметь, но не делать, потому-что и так за "дарма" (возможно, очередной АНБэшнйый "секурный" проект) делает, а потребителю плевать, что ему подадут на лопате. > А потом в коньпиляторе поменяют СИшную UBшку (как произошлов C23) и код превратиться в ̶т̶ы̶к̶в̶у̶ не верифицированные буковки. Все верно, выше я про это писал, не надо самообманываться, давайте признаем, что верифицированного ПО нет, так как нет верифицированной аппаратуры (ЦПУ и т.д.). Нельзя просто говорить о верификации опуская контекст аппаратный. Это связанные сущности. Даже если компилятор на выходе даст верифицированный результат не конкретной неверефицированной аппаратуры, а некоторой вычислительной модели (таже машина Тьюринга), то и это не показатель того, что на конкретной аппаратной архитектуре ПО будет считаться верифицированным. > А где? > Что ядро, что бсд оказались дырявыми. > А к ним паравозом куча критических библиотек. Не понял вопроса, что где? ОС - критическая система, от ее корректной работы зависит все прикладное ПО в том числе и критические библиотеки. Все взаимосвязано, выше указал, о связи еще с аппаратурой, если она не верифицирована, то что говорить о верификации ПО. > писать корректный код) > Я чуть сократил твои рассуждения. Так Си, вся индустрия опенсурса (криптография и т.д.) на то и расчет, чтобы не было корректно. Любой безопасный (криптографически стойкий) алгоритм шифрования это угроза нац. безопасТности, поэтому АНБ всячески саботируют ее (яркий пример). Любая безопасная ОС или ЦПУ в свободном доступе (можно и на продажу, отсюда и всякие экспортные ограничения вытекают)- на руку "условному врагу", следовательно - угроза нац. безопасТности. Это все ведь очевидно. А потребитель - обречен по определению. Все о чем я говорю, о практике верификации, поверьте, там где нужно так и поступают, и не жалеют на это ни копейки бюджетных денег. > Пресловутое AS IS когда пользователя ставят в положение "жричодали". > И если на коммерцию есть хоть какие-то рычаги "исправьте баг, а то не увидите мои деньги", то на опенсорс - вообще никаких. Чтобы такое сказать "а то не увидите мои деньги", надо иметь альтернативу на рынке, многие словца ради такое говорили "мелкомягким" - помогло? Не работает это, рынок - это кучка бандитов, порой сговариваются, порой симулируют конкуренцию, но всегда вертят вертят обывателя на сами знаете чем. > Это можно решить законодательно. Да, конечно, прописать ответственность за безответственность! :) > Примерно как с продажей пирожков, шаурмы или оказания услуг (например медицинских). Отравился и помер, жизнь не вернуть и что? Людей от голода больше гибнут чем от просроченных пирожков, вам ровно так и скажут, а самолеты самый безопасТный вид транспорта. > Но опенсорсники первые выступили против. > Удивительно, не правда ли. Ну а кто не против, даром ведь и не навязчиво, вон булыжник из речки достал и бросил валяться на дороге, кто-то взял и брякнул им кому-то по кумполу, кто виноват? Тот кто брякнул, скажем "мы", но булыжник ведь не должен валять на дороге. Короче, такая примитивная аналогия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #45

43. Сообщение от Аноним (43), 16-Июл-26, 16:18	+/–
> Сколько новых РЕАЛЬНЫХ уязвимостей А это типа нереальная? > этот нейрослоп добавил после выявления "уязвимости", Зачем ему добавлять? его дело найти и передать мясному - тот пусть сам исправляет. > которую ни при каких обстоятельствах не затриггерить? > ни при каких обстоятельствах Громкие, очень громкие бездоказательные бздохи в лужу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

44. Сообщение от Аноним (44), 16-Июл-26, 16:18	–1 +/–
Одна нейронка пишет код.другая находит. Нормальная конкуренция. Кожаный мешок может тихо удалиться на кофе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

45. Сообщение от Аноним (45), 16-Июл-26, 16:30	+/–
> В "нормальных" странах есть защита прав потребителя, даже если под соусом опенсурса и отказа от ответственности вам в код сунут зловредный код, то вы спокойно можете подать в уголовный суд, правда все это дело надо будет доказать. Ага. Последняя фраза всё портит. Как доказать что очередно выход за пределы буфера был намеренный? И ладно если условный врач забьет на стерилизацию инструмента или повар возьмет посуду с помойки - это доказуемо. А то что инструменты программиста родом из 70х и кривые-косые - тут начинаются крики "190+ UB в стандарте это нормально". >> Есть хороший пример sel4 - где 6к строк кода верифицировали 11 человеко-лет. > А сколько человеко-лет заняло доказательство "последней теоремы Ферма" Цифра просто для понимания "сколько уйдет времени на верификацию БСД или ядра линукс". > Справедливости ради, щас даже аппаратуру (ЦПУ, и проч. выч. технику) фактически начали выпускать без должной верификации, куда там за ПО говорить. Таков путь! И это печально. >> Получилось невероятно надежно для СИшки, но очень-очень дорого. > Дорого для кого? Почем стоит ваша жизнь? Я ее оцениваю недешево) > Все верно, выше я про это писал, не надо самообманываться, давайте признаем, что верифицированного ПО нет, так как нет верифицированной аппаратуры (ЦПУ и т.д.). Почему нет? Есть. Но дорого и долго. Значит надо направить CS (раз она наука) искать более быстрые способы проверки. > Чтобы такое сказать "а то не увидите мои деньги", надо иметь альтернативу на рынке, многие словца ради такое говорили "мелкомягким" - помогло? Да. Можно купить макбук)) > Не работает это, рынок - это кучка бандитов, порой сговариваются, порой симулируют конкуренцию, но всегда вертят вертят обывателя на сами знаете чем. Работает. Есть куча сервисов которые конкурирую между собой. >> Примерно как с продажей пирожков, шаурмы или оказания услуг (например медицинских). > Отравился и помер, жизнь не вернуть и что? Людей от голода больше гибнут чем от просроченных пирожков, Только потому что в развитых странах заставляют руки мыть поварам. Если посмотреть на средневековье или даже 19 век - то отїехать от дизентрерии как два палька обоcp... в общем думаю вы поняли. > вам ровно так и скажут, а самолеты самый безопасТный вид транспорта. Ну так статистика. Сколько померло на 1000км. Тут спорить сложно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #50

46. Сообщение от Аноним (46), 16-Июл-26, 16:53	+/–
Аполлон
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

47. Сообщение от Аноним (47), 16-Июл-26, 17:22	+/–
> То ли дело CopyFail в 7-8 варинтах за пару месяцев и бесспорное лидерство с огромным отрывом по CVEшкам Ну так то ж линукс, там академиков нет, подсказать некому, вот и мыкаются бедолаги. Но в OpenBSD, в самой™ защищённой™ бсд™ в™ мире™©®, с фокусом на безопасность™©® вообще всего -- как же так 23 года дыру никто не заметил? Или таки был прав Торвальдс, когда назвал этот загон для обиженных мастурбирующими обезьянами?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #56

48. Сообщение от Аноним (47), 16-Июл-26, 17:23	+1 +/–
Нет, это всё вручную сделано, с любовью. Крафтовые уязвимости.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

49. Сообщение от Аноним (47), 16-Июл-26, 17:24	+/–
> закладок после аудита не нашли А новость тогда о чём? Или это другое?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

50. Сообщение от Аноним (27), 16-Июл-26, 18:09	+/–
> Как доказать что очередно выход за пределы буфера был намеренный? > "190+ UB в стандарте это нормально". А тут стоит отдать должное спецслужбам, которые знают что любое их действие должно прикрываться понятием "двойное назначение (умысла)". Вот и проталкивают Си в качестве ЯП, или какой-либо дырявый алгоритм шифрования, ведь имплементатора привлечь к ответственности не получается, мы не можем доказать умысел, когда баг и бекдор это одно и тоже, просто умысел разный. В таком случае, законы должны работать иначе, то есть в требовательной и доказательной форме. К примеру, закон - алгоритм шифрования, стойкость которого должна быть доказана. Любой взломанный алгоритм - преступление. Или, ОС - должна отвечать этим (список) требованиям безопасности, найдена уязвимость - несут ответственность. И такие законы существуют в своих сферах, а опенсорс это просто свалка Г. И кого винить за то, что ты отравился испорченным пирожком (ПО с багами), который взял на свалке? Но опять таки, тоже можно придумать кучу законов, которые не допустят этой ситуации. И так далее, куча других законов на каждую ситуацию и получается какое-то мракобесие, кругом одни законы, а люди роботы лишенные всякой вольности действий. Отсюда, утопией является не возможность создания мира  по Мору, а утопией является - лишение воли человека, нельзя лишить человека воли!!! Это равносильно нарушению законов природы!!! > Значит надо направить CS (раз она наука) искать более быстрые способы проверки. Все верно, только надо ответить на главный вопрос, кто направляет (управляет)? > Да. Можно купить макбук)) У апла есть свой офис (ПО)? > Работает. Есть куча сервисов которые конкурирую между собой. :))) всегда легче сговориться, не вижу никакой причины конкурировать, банальное деление сфер влияния в преступных синдикатах. Можно математически (теорией игр) доказать, что сговор и прикрытая монополия выгодна всем, чем тратить ресурсы на конкуренцию ("ветряные мельницы"). > Только потому что в развитых странах заставляют руки мыть поварам. Ну мы же как потребители это верифицировать не можем! Мы обречены. Забыл совсем про один момент, который выше надо было указать в контексте опенсорса и верификации, главное о чем забыл, чтобы вся эта муть с верификацией работала необходимо ввести понятие "законченный (готовый) продукт", то есть вот версия ПО 1.0 прошла верификацию и все. Это ПО "законченно", в него больше никогда не придут никакие апдейты и т.д. изменения. А практика опенсорса  что нам показывает? х*як-х*як и в продакшен. Там нет понятия "законченный продукт".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

51. Сообщение от Аноним (47), 16-Июл-26, 18:26	+/–
Не могут решить как выгнуться, чтобы и дырку поправить, и своё no-AI policy не нарушить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

52. Сообщение от _ (??), 17-Июл-26, 02:56	+/–
Надо переписать OpenBSD на Rust. ЫЫ-шкой! :)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #54

53. Сообщение от openssh_user (ok), 17-Июл-26, 03:51	+1 +/–
Используется
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

54. Сообщение от openssh_user (ok), 17-Июл-26, 03:55	+/–
Что-то LLVM никто не переписывает на Rust ;) А тут целая ОСь
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

55. Сообщение от openssh_user (ok), 17-Июл-26, 03:56	+/–
Ключевое слово Remote
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

56. Сообщение от Иван (??), 17-Июл-26, 16:28	+/–
Эти символы относятся к Linux, кста. Бай зе вей: Лучше безопасность в ИзлИшке, чем ИИ код
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47

57. Сообщение от KRAKEN (?), 21-Июл-26, 10:45	+/–
Кто-то злорадствует, но вы только вдумайтесь - опеньку и нетку прогнали через все современные нейронки и не нашли практически ничего серьёзного. Всё это смех и статистическая погрешность на фоне того же линукса. Короче BSD держит марку качества!
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема