https://www.opennet.me/openforum/vsluhforumID3/142366.html Координационный центр CERT (компьютерная группа реагирования на чрезвычайные ситуации), опубликовал предупреждение о выявлении уязвимостей, затрагивающих приложения и сайты, использующие библиотеку ImageMagick в конфигурации по умолчанию для обработки или преобразования изображений. Успешная эксплуатация позволяет атакующему читать и записывать файлы, насколько позволяют права доступа под которыми выполняется ImageMagick. Уязвимостям присвоено кодовое имя ImageTragick2, по аналогии с проблемой, выявленной в 2016 году...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66679<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#44 Fri, 13 Nov 2026 14:23:14 GMT &gt; Вообще-то, так и должно быть. Мало ли как называется файл, смотреть надо на сигнатуры, мэджик байтс.<br><br>Бред какой. Это значило бы что рандомный мусор может идентифицироваться как любой формат. У чего-то, надёжных сигнатур вообще нет, .ico например. Это требует декомпрессии для сжатого контента. Ещё миллион причин. Нормальный софт работает явно и детерминировано, значит смотрит на расширение или mime.<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#43 Fri, 13 Nov 2026 14:19:21 GMT &gt; С каждым годом отпадает желание держать свой сайт в интернете.<br><br>Не держи. Серьёзно, не должно быть в интернете ресурсов поддерживаемых морально неустойчивыми личностями, которые завтра могут из-за какой-то фигни хлопнуть дверью, опрокинув всех пользователей что имели глупость завязаться на их контент или сервис.<br><br>&gt; Твой сервер по умолчанию пытаются взломать боты.<br><br>И что? Во-первых, обновляй вовремя да и всё, 0-day у ботов не часто встретишь. Во-вторых, используй базовые админские практики - бэкапы и IaaC. Поэтому если и взломают - ты просто переналиваешь сервак за 10 минут и забываешь.<br><br>&gt; Время действий сертификата урезают.<br><br>И что? Он обновляется автоматом сертботом или кадди, ты в этом никак не участвуешь и тебе похрен, год у него срок действия или день. Хоть час, но тогда может понадобиться одну циферку в кронтабе поправить.<br><br>&gt; Чтобы купить домен, пройди еще верификацию.<br>&gt; А еще цены на все сервера улетели.<br><br>Не покупай хостинг и домены в россии, это же база.<br><br>&gt; Вот сегодня кого то взломают из https://www.opennet.me/openforum/vsluhforumID3/142366.html#42 Fri, 13 Nov 2026 13:27:05 GMT &gt;&gt;Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" <br>&gt; Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the <br>&gt; extensions that represent them <br><br>И ЧО? Васяны из freedesktop распространяют свою базюлю - молодцы какие! А с какого бодуна софтина должна её использовать? Или вот не xdg-mime, а /etc/mime.types? POSIX "расширение файла" как аттрибут есть? Нету? Что ты будешь делать.<br>Может какой RFC, обязывающий учитывать расширение файла как спецификатор содержимого найдется? Что, тоже нет? <br>Может где-то в стандартах про этот mime.types чего написано? Ой, опять не нашли. <br>Беда прям какая-то, правда?<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#41 Fri, 13 Nov 2026 13:12:24 GMT &gt;Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего"<br><br>Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the extensions that represent them<br><br><br><br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#40 Fri, 13 Nov 2026 13:07:39 GMT В самой ФС FAT расширения тоже не было, там было просто имя файла длиной 11 байт, последние 3 байта имени превращались в расширение уже силами ОС и утилит для работы с этой ФС.<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#39 Fri, 13 Nov 2026 13:03:26 GMT Зато не по барабану было для операционной системы MS DOS и её клонов.<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#38 Fri, 13 Nov 2026 12:47:04 GMT Дорогой друг, только представь что ты сам пишешь этот имагемажок или просто файловый манагер.<br><br>Вот у тебя есть 10005000 разных файлов разных форматов, твоя поделка сама их не обрабатывает, она только вызывает готовые обработчики.<br>Понятно что проще всего определять внешний обработчик по некоторой метаинфе предоставленной вместе с файлом.<br><br>Если ты хочешь сам написать детектор форматов - удачи тебе, пару подобных утилит я видел, работают они часто с некоторой вероятностью и не все форматы способны в принципе отличать.<br><br>Типа как ты отличишь .txt / .c / .js / .html?<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#37 Fri, 13 Nov 2026 12:46:40 GMT что равносильно сайту с доступом по инвайтам.<br> https://www.opennet.me/openforum/vsluhforumID3/142366.html#36 Fri, 13 Nov 2026 12:43:35 GMT Файловой системе DOS расширение тоже было по барабану.<br>