Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Ghostscript, эксплуатируемая через ImageMagick, opennews (??), 10-Сен-21, (0) [смотреть все] Делать текстовые документы Тьюринг-полными изначально было ошибкой , Аноним (1), 22:11 , 10-Сен-21, (1) +6 // Ну, не знаю Мне кажется, что ошибкой было и есть считать Postscript и PDF _те, Аноним (7), 22:51 , 10-Сен-21, (7) +22 // А ты хорош , РобинГуд (?), 04:03 , 11-Сен-21, (13) +6 Я старательно и методично удаляю ghostscript отовсюду , Аноним (2), 22:24 , 10-Сен-21, (2) // Все бы хорошо, но от него зависит CUPS , Kuromi (ok), 22:41 , 10-Сен-21, (4) +1 // Что-то вроде этого, если cups не используется code bin shcat tmp noop c , Аноним (2), 22:55 , 10-Сен-21, (8) +5 вернее cups-filters, макпыф (ok), 15:17 , 11-Сен-21, (24) –1 тогда нужно было писать так Я старательно и методично удаляю отовсюду , Админ Анонимов (?), 08:35 , 11-Сен-21, (15) fix Я старательно и методично удаляю xxx отовсюду , Админ Анонимов (?), 08:37 , 11-Сен-21, (16) // Не, тогда уж лучше, CUPS удалю, а XXX пусть останется Его и на экране смотреть , Аноним (52), 20:56 , 13-Сен-21, (52) Сезон дыр в Ghostscript снова открыт В прошлый раз уязвимости находили каждую н, Kuromi (ok), 22:33 , 10-Сен-21, (3) +5 // Осень , Аноним (20), 11:04 , 11-Сен-21, (20) Этот GhostScript - дырявое говно Нужно окончательное решение GhostScriptного во, Аноним (5), 22:46 , 10-Сен-21, (5) –3 // Rust Go , B (?), 23:23 , 10-Сен-21, (11) –4 // игогошечка не сможет волшебным образом санировать строчку pipe , и опять все бу, пох. (?), 09:09 , 11-Сен-21, (17) –1 Оба, Аноним (45), 14:16 , 12-Сен-21, (45) Лично я отгородился от этой штуки через редактирование etc ImageMagick-6 policy, Аноним (6), 22:47 , 10-Сен-21, (6) +2 // Выколол себе глаза, чтоб не видеть греха Уважаю , Отец Инквизитор (?), 23:03 , 10-Сен-21, (9) +17 // Давно так не смеялся, спасибо, Инквизитор , Аноним (51), 06:49 , 13-Сен-21, (51) Почему бы им не перейти уже на libvips im gm в разы медленнее и жрут больше пам, Аноним (19), 11:03 , 11-Сен-21, (19) // там же ImageMagick в зависимостях, Sw00p aka Jerom (?), 12:48 , 11-Сен-21, (21) // Ну так и говорю, сменить на libvips , Аноним (19), 18:03 , 11-Сен-21, (28) он optional - только для чтения форматов, не поддерживаемых самой vipsтам в обще, Аноним (30), 23:04 , 11-Сен-21, (30) +1   // так и есть, просто в тех же портах в бсд он списке Requiresvips-8 11 3Free image, Sw00p aka Jerom (?), 23:45 , 11-Сен-21, (31)   ну ты просто не застал времен, когда там и imagick скачивал для сборки себя весь, пох. (?), 00:12 , 12-Сен-21, (33)   Archive org содержит море сканов достойнейших книжек, качественные сканы там в J, timur.davletshin (ok), 07:43 , 12-Сен-21, (39) +1   ну оригинально выпендрились, чо Интересно, где они нашли этот сканер, производс, пох. (?), 09:04 , 12-Сен-21, (41)   Не 171 выпендрились 187 и не 171 извращенцы 187 , а стандартный формат I, Anonymoustus (ok), 10:43 , 12-Сен-21, (42)   Ну то есть белки-истерички как есть Борцуны со всем собственническим во славу н, пох. (?), 20:39 , 12-Сен-21, (46) –3   Об их мотивах я не осведомлён Что касается шва6оды, не обойтись без бутылки и за, Anonymoustus (ok), 22:08 , 12-Сен-21, (49)   Никто не мешает тебе и TIFF скачать в индивидуальных файлах, только в JPEG2000 з, timur.davletshin (ok), 11:54 , 12-Сен-21, (43)   вопрос в том, откуда у них вообще взялись такие уродливые оригиналы и зачем бы, пох. (?), 20:41 , 12-Сен-21, (47) –2   Я не знаю, откуда столько пафоса, ты просто явно не пользовался им Оригинальное, timur.davletshin (ok), 21:09 , 12-Сен-21, (48) +1   Ну так взять и спросить, если в самом деле интересно Если исторически уже есть, Tifereth (ok), 10:31 , 14-Сен-21, (54)   Ну какая туча всего Один весьма странный коллектив, слегка ушибленный открыт, пох. (?), 11:35 , 14-Сен-21, (55)   в те самые времена я из тарболов устанавливал, и плевался на порты, а щас ставлю, Sw00p aka Jerom (?), 14:12 , 12-Сен-21, (44)   Ghostscript - это драйвер принтеров, в том числе свободная реализация языка Post, Аноним (-), 16:46 , 11-Сен-21, (25) // Баги сажают, вы хотели сказать Этой проблемы нет в версиях до 9 50, когда что-т, Аноним (30), 19:36 , 11-Сен-21, (29) Кстати Эмиль молодец, сначала обнес компании на премии за уязвимости, а потом уж, Kuromi (ok), 17:11 , 11-Сен-21, (26) // да он вообще нормальный пацан, судя названиям проектов на гитхабеhttps github , OpenEcho (?), 17:41 , 11-Сен-21, (27) +7 // ну-ну , Аноним (50), 23:35 , 12-Сен-21, (50) +1 Никогда такого не было , sailorCat (?), 23:59 , 11-Сен-21, (32) –1 Я правильно понимаю, что т е если кто-то загрузит на нэкстклауд вредоносный фай, Аноним (40), 08:44 , 12-Сен-21, (40) +2 В Gentoo imagemagick уже с предложенными защитами поставляется их как с прошлог, Аноним (53), 23:48 , 13-Сен-21, (53) // в смысле со сломанной обработкой половины графических форматов Вам к отцу инкви, пох. (?), 11:37 , 14-Сен-21, (56) 1,2,3,5,6,19,25,26,32,40,53

Сообщения

[Сортировка по времени | RSS]

	30. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+1 +/–
	Сообщение от Аноним (30), 11-Сен-21, 23:04
	он optional - только для чтения форматов, не поддерживаемых самой vips там в общем все "optional" (как и у самой imagemagick - вовсе необязательно вкомпилировать туда gs если тебе не нужны pdf'ы) Но в целом - "вот когда в пехепе интегрируют, тогда и приходите".
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	31. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от Sw00p aka Jerom (?), 11-Сен-21, 23:45
	> он optional - только для чтения форматов, не поддерживаемых самой vips так и есть, просто в тех же портах в бсд он списке Requires vips-8.11.3 Free image processing system Description : Changes Maintained by: danilo@FreeBSD.org Requires: ImageMagick7-7.0.11.12_2, Imath-3.1.3 .... > Но в целом - "вот когда в пехепе интегрируют, тогда и приходите". If you are going to be using libvips with untrusted images, perhaps in a web server, for example, you should consider the security implications of enabling a package with such a large attack surface. вот это рассмешило :)
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от пох. (?), 12-Сен-21, 00:12
	> так и есть, просто в тех же портах в бсд он списке Requires ну ты просто не застал времен, когда там и imagick скачивал для сборки себя весь интернет ненужнейшего ненужно. У меня долго лежал среди прочих патч к мэйкфайлу, выпиливающий оттуда половину, типа никем и нигде не используемого jpeg2000. И еще дольше - трехстрочное заклинание для make делающее то же самое с мэйкфайлом следующего поколения, уже через дефайны. И только через еще несколько лет оно научилось в стандартный make config И эту лет через пять починют ;-) > вот это рассмешило :) да там половина пакетов при установке чем-то подобным радует глаз. "Исправить мы ничего не можем, но мы хотя бы предупредили". Особенно полезно когда это зависимость пятого порядка и никто в общей куче ничего уже не прочитает. традиция-с...
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+1 +/–
	Сообщение от timur.davletshin (ok), 12-Сен-21, 07:43
	> ... никем и нигде не используемого jpeg2000... Archive.org содержит море сканов достойнейших книжек, качественные сканы там в JPEG2000 (PDF из JBIG2 + JPEG2000). Не вижу причин для пережатия и ухудшения кач-ва. Более того, PDF по стандарту требует поддержки JPEG2000. Тот же Firefox, который не поддерживает JPEG2000 в web-контенте, вынужден был написать декодер на JS в своём PDF.js.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от пох. (?), 12-Сен-21, 09:04
	ну оригинально выпендрились, чо. Интересно, где они нашли этот сканер, производства позапрошлого века. И тот какими-то странными извращенцами, потому что и в прошлом веке сканеры использовали tiff в качестве универсального loosless формата, а не jpeg2000.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от Anonymoustus (ok), 12-Сен-21, 10:43
	Не «выпендрились» и не «извращенцы», а стандартный формат (ISO/IEC 15444) против изначально собственнического TIFF.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	–3 +/–
	Сообщение от пох. (?), 12-Сен-21, 20:39
	Ну то есть белки-истерички как есть. Борцуны со всем собственническим во славу ненужного шва6одного. Ну ооок...
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от Anonymoustus (ok), 12-Сен-21, 22:08
	Об их мотивах я не осведомлён. Что касается шва6оды, не обойтись без бутылки и заглядывания далеко в прошлое. В одном документе пишут ( http://www.diva-portal.org/smash/get/diva2:925474/FULLTEXT01... ): > 4.3. Conditions for Implementing Open and Formal Standards in Software >  > In this sub-section we present a review of four specific standards with respect to the definition of an open standard and populate the conceptual model with these standards. Of the four specific standards analysed, one informal (consortium) standard (SVG) is provided as a W3C standard (but not as an ISO standard). Further, one formal (ISO) standard (PNG) is included in the explicit list of open standards published in the Netherlands (Standaardisatie, 2014), wwhereas two other formal (ISO) standards (JPEG 2000 and TIFF/EP) are not included in the explicit list and are consequently considered to be closed standards. Возможно, девелоперз сабжа сохраняют ориентацию на оный стандарт потому, что JPEG 2000 с самого начала планировался, разрабатывался и принимался как стандарт, хотя дальше что-то пошло не так, разработчики браузеров его проигнорировали, ну и сегодня мало кто им пользуется.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от timur.davletshin (ok), 12-Сен-21, 11:54
	> И тот какими-то странными извращенцами, потому что и в прошлом веке сканеры > использовали tiff в качестве универсального loosless формата, а не jpeg2000. Никто не мешает тебе и TIFF скачать в индивидуальных файлах, только в JPEG2000 значительно меньше и намного качественнее, чем в простом JPEG. Для любителей и DJVU есть, но пожали его там отвратно. Если качественно хочется, то проще качнуть балком JPEG2000 и за пару секунд сконвертировать img2pdf'ом (формат от не меняет, просто "оборачивает" в PDF).
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	47. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	–2 +/–
	Сообщение от пох. (?), 12-Сен-21, 20:41
	> Никто не мешает тебе и TIFF скачать в индивидуальных файлах, только в > JPEG2000 значительно меньше и намного качественнее, чем в простом JPEG. Для вопрос в том, откуда у них вообще взялись такие уродливые "оригиналы" и зачем было их выкладывать вместо того, из чего они нагенерены - я вот уверен, что ни один сканер такого ужаса не порождает. Разьве что если специально сильно-сильно просить. Т.е. они специально в этот формат конвертили из чего-то и без того удобочитаемого.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+1 +/–
	Сообщение от timur.davletshin (ok), 12-Сен-21, 21:09
	> вопрос в том, откуда у них вообще взялись такие уродливые "оригиналы" и > зачем было их выкладывать вместо того, из чего они нагенерены - > я вот уверен, что ни один сканер такого ужаса не порождает. Я не знаю, откуда столько пафоса, ты просто явно не пользовался им. Оригинальное сканирование там сделано самими библиотеками, в т.ч. самыми большими в мире, зачастую с цветокалибровочной палитрой в конце. Чего тебе ещё не хватает?
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от Tifereth (ok), 14-Сен-21, 10:31
	Ну так взять и спросить, если в самом деле интересно. Если исторически *уже* есть туча всего в этом формате, что толку с умным видом говорить, что можно было иначе? Только чтобы пальцы лишний раз изящно растопырить, "а я Д'Артаньян"?
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	55. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от пох. (?), 14-Сен-21, 11:35
	Ну какая "туча всего"? Один весьма странный коллектив, слегка ушибленный "открытыми" стандартами, зачем-то сделал фигню. Вероятнее всего - переконвертив оригиналы, поскольку я по прежнему не верю в существование настолько уродливого сканерного софта. Вопрос был риторический, ответ очевиден.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость в Ghostscript, эксплуатируемая через ImageMagick"	+/–
	Сообщение от Sw00p aka Jerom (?), 12-Сен-21, 14:12
	> ну ты просто не застал времен, когда там и imagick скачивал для > сборки себя весь интернет ненужнейшего ненужно. в те самые времена я из тарболов устанавливал, и плевался на порты, а щас ставлю из портов и плююсь на пекеджи. > И эту лет через пять починют ;-) дай Бог (оптимистично) > традиция-с... потребительская традиция опенсоурса. Думают, раз кто-то написал зачем писать самим, давайте юзать. А если там баги, то это не их проблемы.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема