https://opennet.ru/openforum/vsluhforumID3/112107.html В библиотеке GDK-PixBuf (https://developer.gnome.org/gdk-pixbuf/), применяемой в GTK+ и Clutter для загрузки и обработки различных типов изображений, выявлены (http://blog.talosintelligence.com/2017/08/vuln-spotlight-multiple-gdk.html) две уязвимости, позволяющие организовать выполнение кода злоумышленника с правами текущего пользователя при обработке специально оформленных файлов в форматах TIFF (https://www.talosintelligence.com/vulnerability_reports/TALOS-2017-0377) (CVE-2017-2870 (https://security-tracker.debian.org/tracker/CVE-2017-2870)) и JPEG (https://www.talosintelligence.com/vulnerability_reports/TALOS-2017-0366) (CVE-2017-2862 (https://security-tracker.debian.org/tracker/CVE-2017-2862)). <br><br><br>Уязвимости в GDK-Pixbuf позволяют атаковать систему через такие приложения, как Chromium, Firefox, VLC и GNOME thumbnailer. Более того, применение GDK-Pixbuf в GNOME thumbnailer позволяет выполнить код в процессе автоматического построения пиктограмм с эскизами для новых файлов, т.е. для эксплуатации достаточн https://opennet.ru/openforum/vsluhforumID3/112107.html#68 Mon, 04 Sep 2017 12:34:13 GMT Компилер не виноват в том, что кто-то там решил, что перегружать 32-битное число допустимо.<br>Это не ошибка из серии "не заметил", типа<br><br>if (a = b) {<br>..<br>}<br><br>, грязный хак из серии "проверил - работает".<br><br>-----------<br>П.С: как думаешь, жабиные гуи используют GdkPixBuf ? А Сишарповские ? А питоновские?<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#67 Sun, 03 Sep 2017 08:48:48 GMT % pkg info -r tiff<br>tiff-4.0.8:<br>sane-backends-1.0.27<br>lcms2-2.8<br>webp-0.6.0_3<br>ghostscript9-agpl-base-9.16_5<br>netpbm-10.35.98<br>djvulibre-3.5.27_1<br>openjpeg15-1.5.2_1<br>mtpaint-3.40_8<br>libgxps-0.2.5<br>sdl_image-1.2.12_10<br>wx30-gtk2-3.0.2_6<br>imlib2-1.4.9,2<br>openjpeg-2.2.0<br>py27-pillow-3.4.2_1<br>poppler-0.57.0<br>poppler-glib-0.57.0<br>vigra-1.11.0_11<br>gdk-pixbuf2-2.36.9<br><br>- всё равно по зависимостям TIFF будет присутствовать в системе.<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#66 Sun, 03 Sep 2017 08:44:55 GMT % pkg info -x pixbuf<br>gdk-pixbuf2-2.36.9<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#65 Fri, 01 Sep 2017 06:41:21 GMT &gt; Эпично. Что-то даже такого сходу таких уязвимостей и не припомню сходу.<br><br>Почитай рассылки ядра линукс и коменты Торвальдса о подобных оптимизациях. Торвальдс и его шайка все это заметили наверное еще год назад.<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#64 Fri, 01 Sep 2017 02:25:54 GMT &gt;Это либо закладка (что скорее всего)<br><br>Мне ситуация напоминает когда кто-то из доблестных органов портачит, его увольняют вчерашним днём, делают покерфэйс и говорят, что "а он не из органов".<br><br>Итого: си клёвый, могучие сишники не ошибаются, а это был не сишник, а какой-то агент АНБ, вставляющий закладки в опенсорсное ПО.<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#63 Fri, 01 Sep 2017 00:27:45 GMT Если бы Дебиан что-то github'а/gitlab'а настроили, а то в https://anonscm.debian.org/git/ ничего кроме как почитать или клонировать не сделаешь. Разве что патчи слать, что иногда делаю. Но когда один раз кучу работы просто "не заметили", а потом сделали "сами" те же изменения, то это хорошенько демотивировало. Или когда шлёшь патч, а они да, говорят или не даже не говорят спасибо, и комитят под своим именем. Как такое называется!?<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#62 Fri, 01 Sep 2017 00:21:58 GMT ArchLinux и вот AltLinux - это просто исключения.<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#61 Fri, 01 Sep 2017 00:18:01 GMT Единственный баг, для которого Дебиан накладывает патч, потому что апстрим сказал, что не баг, а ядро со своим OOM виновато.<br><br>...The test fails because it can't allocate 5.7 gigs of RAM...<br>https://bugzilla.gnome.org/show_bug.cgi?id=765094<br><br>Опубликовано было в апреле 2016.<br><br>А проблема оказалась таки не в ядре, а как раз связана с rowstride.<br> https://opennet.ru/openforum/vsluhforumID3/112107.html#60 Thu, 31 Aug 2017 21:46:13 GMT &gt; для этого ли существуют дистрибутивы?<br><br>И для этого тоже. Дистрибутивам потенциальных контрибъюторов стимулировать как-то ж надо :)<br>