> Точно такой "баг", но c int вместо size_t, был и есть в
> оригинальном коде ядра в том же месте.Оригинальный код не падает от копипаста в терминал. Там "хак", но работает. Починка того что не сломано, с усугублением - с технической точки зрения про#б. А бан исследователя по IP, с такими коментами - фэйспалм.
> В данном случае происходит ложное срабатывание механизма защиты,
В данном случае произошла замена знакового на беззнаковое. Заведомо проблемное действие. А вот аудита логики которая предсказуемо отвалилась - не произошло. Наверное вопрос "почему?" достаточно правомерен.
> который и "роняет" систему, чтобы потенциальный злоумышленник не получил над ней контроль.
В данном случае непривилегированный пользователь может всю систему завалить. И Linux превращается, превращается линукс... в элегантный MS-DOS?
> Дело тут не в ЧСВ, а в том, что ложное срабатывание SIZEOVERFLOW,
> каких за год в grsecurity устраняется больше десятка в обычном порядке
Я не вижу чего этот исследователь сделал такого уж из ряда вон. Спросил почему у них так получается? Глядя на этот патч такой вопрос возникает.
> после получения багрепортов от пользователей, "исследователь" превратил в публичную драму,
Не вижу ничего драматичного в начальном сообщении. Обычное сообщение об ошибке с удивлением как такая ошибка вообще проскочила в таком проекте. Драма началась после бана. Это уже ожидаемо, поскольку такой реакции на репорт позавидует Oracle и Microsoft.
> по сути вылив очередной ушат помоев на проект, плодами которого сам
> годами пользовался совершенно бесплатно. Это просто стало последней каплей.
Для ушата это как-то слабовато. Ну и повод все-таки был. Бывает и хуже. Некоторым сразу CVE прилетает, а то и эксплойт в диком виде.
> Вот тут пишут, что твиттер @grsecurity теперь закрыт. На самом деле Brad
> Spengler удалил все свои сообщения
Поскольку доступ закрыт - это очевидно далеко не всем. А твиттер пишет что наоборот надо запрос оставить - и тогда может быть заfollow'ят.
> и теперь использует аккаунт только для чтения чужих сообщений.
А зачем для этого аккаунт вообще?
> А ограничение доступа поставлено, чтобы люди напрасно не фолловили.
С учетом того что там пишет твиттер и такого дурного пиара - думаю его напротив завалит запросами на follow, каждый будет пытаться поиграть в шпиона. Половина достаточно успешно - на реддите "шпионы" которых зафолловили отписываются.
> Что до здравого смысла, то плодами проекта пользуются все без исключения основные
> современные ОС общего назначения, включая коммерческие. Позиция в отношении "security
> circus" среди большинства разработчиков линукса продиктована скорее политикой и стратегией
> развития, в которой сделан акцент на быстродействие и расширение функциональности,
Да, их не устроит если их система резко превратится в MSDOS, который валится любой "недружелюбной" программой любого пользователя. И наверное в этом есть пойнт.
> а уязвимости замалчиваются или недооцениваются (в плане возможных последствий) регулярно.
Обычно локальное повышение прав. Бяка, но лучше или хуже ли это чем локальный DoS - интересный вопрос.
> При этом заявление о следовании принципам Full Disclosure в Documentation/SecurityBugs
> ядра никто не спешит исправлять (хотя это обсуждалось) - видимо, чтобы не создавать медиа-повода.
Они наверное догадываются что к этому стоит стремиться, но если слишком педалировать тему - потом недовольные пользователи спросят: как же так, вы секурити обещали, а тут MSDOS какой-то, когда Вася мне сервер роняет потому что у него шелл там есть.
> И что-то не слышно злорадных возгласов формуных аналитиков
> на этот счет. Двойные стандарты, господа?
Не то чтобы, просто те кто вокруг секурити получают более высокие ожидания аудитории и облом этих ожиданий чреват серьезным штормом. Что и произошло. Тому немало способствовала странная реакция. Забанить исследователя по IP - таки security circus.
