Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимости в ядре Linux, затрагивающие nftables и модуль tcindex, opennews (?), 08-Июл-23, (0) [смотреть все] Это же full house , Анонимусс (?), 22:36 , 08-Июл-23, (1) +9 // Опять не настоящие подставные сишники устроились на работу, а потом роняют конто, ИмяХ (?), 22:56 , 08-Июл-23, (4) –8 // опять любители безопасТных язычков ничего написать не смогли кроме драйвера мига, пох. (?), 23:45 , 08-Июл-23, (7) +8 // Так они уже написали целый видеодравер Печально другое Любители дыряшки так и н, Анонимусс (?), 23:56 , 08-Июл-23, (8) +4 Целый драйвер который никто не использует Вон карго как только начали использов, Аноним2 (?), 08:20 , 09-Июл-23, (18) Когда из карго прилетает 100500 пакетов, то ревьювить ещё легче, правда Как nod, FF (?), 10:05 , 09-Июл-23, (29) +1 А это кстати вопрос Что легче ревьювить - 20 атомарных маленьких пакетов, по 10, Анонимусс (?), 10:56 , 09-Июл-23, (37) +2 зачем это пользователю в чем проблема, когда есть разделение труда 20 пакетов -, Sw00p aka Jerom (?), 12:56 , 09-Июл-23, (48) А при чем тут пользователи Большинство даже не знает что такое либа, пакет или , Анонимусс (?), 13:03 , 09-Июл-23, (50) +1 А кто либой пользуется Я напишу код, а тестировшики проверят, хрен вам Культура, Sw00p aka Jerom (?), 06:17 , 10-Июл-23, (91) Что-то мне кажется что мы о разных вещах говорим У меня либой пользуются разрабы, Анонимусс (?), 10:48 , 10-Июл-23, (97) Никто тебе не мешает отобрать нужные тебе крейты с иерархией , скачать их л, Аноним (53), 15:14 , 09-Июл-23, (53) Я использую си только в мелких проектах В остальном Go или C редко , FF (?), 16:18 , 09-Июл-23, (58) Хорошо, что так можно На Го меня бесит перебивать через replace, банально когда, FF (?), 16:20 , 09-Июл-23, (59) Поэтому переписывать на пару столетий хватит , Аноним (64), 17:07 , 09-Июл-23, (64) Пох как обычно в своём стиле - из программ на Rust тебе следует обратить внимани, Аноним (24), 09:59 , 09-Июл-23, (24) о да, о да - это ненужное ненужно безусловно по сложности эквиваленты nftables , пох. (?), 11:06 , 09-Июл-23, (39) –1 Потому что nftables такое же ненужное ненужно Были нормальные iptables, но нет,, Аноним_5 (?), 11:48 , 09-Июл-23, (41) –1 Да как бы у iptables своих траблов хватало , Аноним (64), 17:08 , 09-Июл-23, (65) например вангую экзотическую нагрузку и пограничные случаи, гже не ступала нога, ivan_erohin (?), 09:08 , 10-Июл-23, (94) Ведь настоящие, не подставные сишники таких ошибок никогда не сделают , Аноним (17), 08:08 , 09-Июл-23, (17) +2 // А настоящие безопастноязычковые всё перепишут , Аноним (23), 09:58 , 09-Июл-23, (23) Начнут переписывать и сразу же все станет безопастно нет кода - нет опастност, пох. (?), 11:07 , 09-Июл-23, (40) +3 Только нужное и интересное им Ибо за многие десятилетия миллионы си-г внописате, Аноним (53), 15:20 , 09-Июл-23, (54) –2 Не любой софт одинаково полезен И к тому же, в опенсорсе очень много дубликатов, Аноним (98), 11:18 , 10-Июл-23, (98) +1 Не знаю какие сишники так говорят, но если бензопилой можно оттяпать ногу, то зн, FF (?), 16:24 , 09-Июл-23, (60) Уж ты-то таких ошибок не сделаешь, ты-то не лезешь писать на Си, потому что пони, YetAnotherOnanym (ok), 10:06 , 09-Июл-23, (32) +2 Ахаха, писать на си можно научить даже обезьяну, что мы собственно и наблюдаем У, Анонин (?), 16:14 , 09-Июл-23, (56) –1 А ничего не написать и обзывать всех обезьянами может только сын обезьяны, FF (?), 16:30 , 09-Июл-23, (61) +1 То есть, Аноним с опеннена даже не пытается браться за дело, которому можно науч, YetAnotherOnanym (ok), 18:22 , 09-Июл-23, (67) пора бы всем уяснить, что лтс - это не гвно мамонта это и есть стабильные верс, ИмяХ (?), 22:53 , 08-Июл-23, (2) –2 // Но 5 10 и 5 15 - тоже lts, а там эта бажина уже есть, причем 5 10 вообще SLTS Пр, Анонин (?), 23:37 , 08-Июл-23, (6) +5 Пора бы тебе уяснить, что лтс существует для корпоративных аутистов и по факту н, Аноним (9), 00:09 , 09-Июл-23, (9) Чё А что делать тем кто не на самом последнем ведре сидит или вообще модуль этот, Аноньимъ (ok), 03:45 , 09-Июл-23, (11) +2 nftablesДеды пользовались iptables, прадеды ipchains - всё было стабильно, пришл, Аноним (13), 04:07 , 09-Июл-23, (13) +1 // Сколько уязвимостей в пропёрженных дедами iptables история умалчивает, Парень твоего папы (?), 05:23 , 09-Июл-23, (14) Потому что nft, Geek (?), 09:13 , 09-Июл-23, (20) +2 Не хочу тебя шокировать, но nftables и iptables это netfilter и они разрабатываю, Аноним (44), 12:07 , 09-Июл-23, (44) +2 // Это не одни и те же люди Тех, оригинальных, выкрали смузихлёбы на гироскутерах , Аноним (72), 19:33 , 09-Июл-23, (72) // Да, я вечно забываю, что у местного населения вокруг сплошные хипстеры правда он, Аноним (44), 20:22 , 09-Июл-23, (77) ах, если бы, Аноним (88), 04:14 , 10-Июл-23, (88) Ну имена именами но что-то я сомневаюсь, что, во первых, им не лень пилить 2, 1 (??), 09:22 , 10-Июл-23, (95) –1 Враньё И деды и пределы и отцы пользовались pf и ipfw iptables это хипстеры устр, Аноньимъ (ok), 23:12 , 09-Июл-23, (83) // Эмм а ipf тогда кто , User (??), 09:05 , 10-Июл-23, (93) // прадеды, 1 (??), 10:24 , 10-Июл-23, (96) Не-не Там выше все ходы записаны - и деды, и прадеды - это pf ipfw, а я еще ч, User (??), 12:49 , 10-Июл-23, (99) CVE-2023-35001 - уязвимость в модуле nf_tables, позволяющая локальному пользова, Kuromi (ok), 05:42 , 09-Июл-23, (15) +1 // хз кто нам эти годы NFT мог юзать, в RHEL8 ещё есть iptables у меня на арче-дес, лютый арчешкольник... (?), 10:05 , 09-Июл-23, (31) –2 // Не хочу тебя расстраивать, но и в RHEL8, и у тебя в раче это не iptables, а nfta, Аноним (44), 18:24 , 09-Июл-23, (68) // С rhel ты не ошибся А в рачике вполне себеiptables -Viptables v1 8 9 legacy ls, лютый арчешкольник... (?), 21:11 , 09-Июл-23, (79) Ну видимо в раче единственный школьник не справился со сборкой, вот и юзают лега, Аноним (44), 21:48 , 09-Июл-23, (82) понтующийся бабуановец, пытающийся убедить себя в том, что насильно впаренный ем, лютый арчешкольник... (?), 16:09 , 10-Июл-23, (100) –1 Насколько я помню, nftables на порядок быстрее Заглянул в drop, куда автоматом , Аноним (21), 09:18 , 09-Июл-23, (21) // занимаешься хэрнёй, перевешай на другой порт sshd, если надписи мешают А подобр, лютый арчешкольник... (?), 10:07 , 09-Июл-23, (34) // Пароль , Аноним (43), 12:01 , 09-Июл-23, (43) +1 И ничего не изменится, потому что сканирование всего диапазона IPv4 занимает счи, Аноним (44), 12:10 , 09-Июл-23, (45) –1 // уверяю тебя, если у тебя брутят sshd где-то в 40000-50000, это не боты, а как ми, лютый арчешкольник... (?), 21:19 , 09-Июл-23, (80) Такие же ботыСлушай, ну я работаю с 97 года и когда-то тоже слушал советы про за, Аноним (44), 21:47 , 09-Июл-23, (81) а у меня не находят, десятки серверов торчат в инет годами никто ничего не пере, лютый арчешкольник... (?), 16:14 , 10-Июл-23, (101) –1 ipset прекрасно тянул все что угодно с fail2banВот в этом точно проблем нет и не, Аноним (44), 12:10 , 09-Июл-23, (46) да и больше, можете проверить -А, Sw00p aka Jerom (?), 12:59 , 09-Июл-23, (49) Тянули, причем я использую именно таблицы а не нечитаемый и неконтролирыемый ips, пох. (?), 14:06 , 09-Июл-23, (52) // Полотёр из подвального ДЦ не осилил хэш-мап Спешите видеть , Аноним (72), 19:37 , 09-Июл-23, (74) +1 // Он еще и ipset -L 124 grep или там ipset -L 124 awk не осилил, говорит, что п, Аноним (44), 20:23 , 09-Июл-23, (78) У iptables начинаются заметные проблемы в производительности в районе 10к правил, Аноним (72), 19:36 , 09-Июл-23, (73) // скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в пробл, пох. (?), 03:14 , 10-Июл-23, (85)   // С 10k правил на цепочку получаешь практически гарантированные проблемы и с тем, , Аноним (72), 20:51 , 10-Июл-23, (102)   Ну я не знаю чем там ебеме страдал - у меня оно было в 2012м и это ни разу не бы, пох. (?), 21:59 , 10-Июл-23, (104)   При чём тут это 171 Поделка 187 вызывает ровно тот же iptables и загружает , Аноним (72), 21:38 , 11-Июл-23, (106)   нет На этом, действительно, можно было бы и закончить То есть ты темой не влад, пох. (?), 22:16 , 11-Июл-23, (107)   В очередной раз удивляюсь, почему все так любят Си Да, в языке более мощные сре, Аноним (22), 09:32 , 09-Июл-23, (22) // Меньшая дружелюбность чем у кого Меньшая чем у ассемблера Старость даёт о себе, Аноним (23), 10:03 , 09-Июл-23, (26) +5 Это ты define обозвал средствами мета-программирования В древнючей сишке нет , Аноним_5 (?), 10:51 , 09-Июл-23, (36) +2 Сишечку любят за то, что у неё предельно низкий порог вхождения Язык же прост, , Аноним (17), 13:46 , 09-Июл-23, (51) –1 // Можно подумать твои буферы это то что кому то важно в софте Может от софта надо, Аноним (23), 16:34 , 09-Июл-23, (63) // А исправить получение рута через 13 лет после создания бага - это еще рано или у, Анонимусс (?), 19:18 , 09-Июл-23, (70) Чувак, если у тебя кто-то левый на сервере сначала получил простого юзера с CAP_, Аноним (44), 19:23 , 09-Июл-23, (71) Скажи это хостингам раздающим контейнеры Не обязательно иметь CAP_NET_ADMIN в с, Аноним (76), 20:08 , 09-Июл-23, (76) –1 В Си средства метапрограммирования Таблетки ненужно забывать пить И закусывать , Аноньимъ (ok), 23:18 , 09-Июл-23, (84) // так макросы же, Аноним (88), 04:17 , 10-Июл-23, (90) +1 Он имел ввиду макросы, Sw00p aka Jerom (?), 06:22 , 10-Июл-23, (92) Жир аж стекает с экрана В очередной раз удивляюсь, почему все так любят троллить, InuYasha (??), 20:31 , 11-Июл-23, (105) Ой, а что же случилось Валгринд, Cppcheck и Clang-analyze не помогли , Аноним (24), 10:01 , 09-Июл-23, (25) // Ой, а чего это ты на Redox не перешел до сих пор , Аноним (27), 10:03 , 09-Июл-23, (27) +2 // Зачем Скоро во всех линукс-ядрах Посмотрим, куда ты побежишь На Hurd, небос, Аноним (53), 15:26 , 09-Июл-23, (55) // Зачем ему куда-то бежать Как сидел на винде, так и будет сидеть , Аноним_5 (?), 16:15 , 09-Июл-23, (57) Почему винду не переписывают на безопастный языг , Аноним (23), 16:33 , 09-Июл-23, (62) https www theregister com 2023 04 27 microsoft_windows_rust Ой, Аноним (44), 18:19 , 09-Июл-23, (66) https www opennet ru 59044, Аноним (76), 18:32 , 09-Июл-23, (69) а если дочитать дальше заголовка but the Rust port is currently disabled То ест, пох. (?), 03:19 , 10-Июл-23, (86) Одно из достоинств Гарвардской архитектуры заключается в том, что повреждение па, Аноним (103), 21:48 , 10-Июл-23, (103) –1 1,2,11,13,15,21,22,25,103

Сообщения

[Сортировка по времени | RSS]

	85. "Уязвимости в ядре Linux, затрагивающие nftables и модуль tci..."	+/–
	Сообщение от пох. (?), 10-Июл-23, 03:14
	скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в проблемы. Но надо стараться. Большинство локалхостов местных васянов никак эту проблему не заметят - как тормозил их написанный в 2002м году perl скрипт счетчика, так и будет. Задержки от iptables на этом фоне никто даже не увидит.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Уязвимости в ядре Linux, затрагивающие nftables и модуль tci..."	+/–
	Сообщение от Аноним (72), 10-Июл-23, 20:51
	> скорее так - в районе 10k правил на цепочку _можно_ ухитриться вляпаться в проблемы. С 10k правил на цепочку получаешь практически гарантированные проблемы и с тем, что пакеты матчатся уже заметно долго, особенно для правил в хвосте цепочки, и с тем, что загрузка фаерволла в память занимает заметное на глаз время. IBM про это рассказывал ещё в 2019, в контексте массивных деплоев кубернетеса у их клиентов с тысячами и десятками тысяч сервисов на кластер.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Уязвимости в ядре Linux, затрагивающие nftables и модуль tci..."	+/–
	Сообщение от пох. (?), 10-Июл-23, 21:59
	Ну я не знаю чем там ебеме страдал - у меня оно было в 2012м и это ни разу не были поделки подобного типа. Возможно в этом и причина. Причем на железе казавшемся ретро уже в том 12м. (какой красочки украли...) Сколько оно там загружалось (в one true iptables, разумеется, а не в новой модной поделке) - не могу сказать, но ни разу не было поводов присматриваться. Проблемы со скоростью прохода по цепочке при желании можно было бы увидеть, но это надо было бы загрузить хост совершенно ему несвойственной деятельностью, а на том чем он был занят оно не отражалось, там своих совершенно других проблем хватало. (софтсвитчи у нас с такими правилами были, если что, т.е. это не результат деятельности fail2ban или еще чего безмозглого)
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Уязвимости в ядре Linux, затрагивающие nftables и модуль tci..."	+/–
	Сообщение от Аноним (72), 11-Июл-23, 21:38
	> поделки При чём тут это? «Поделка» вызывает ровно тот же iptables и загружает в него совершенно обычные правила, ровно так же, как ты это на баше делал в 2012. > Сколько оно там загружалось (в one true iptables, разумеется, а не в новой модной поделке) - не могу сказать На этом, в общем-то, можно и закончить. Что там было ты не знаешь, как работало не присматривался. А там того гляди выяснится, что правил у тебя было на два порядка меньше, и трафик измерялся в килобитах. Вся суть экспертизы поха: что-то как-то где-то было, но как именно, где и что за давностью лет уже не помнит, но по ощущениям — точно было лучше, чем сейчас, потому что тогда вообще всё было лучше.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Уязвимости в ядре Linux, затрагивающие nftables и модуль tci..."	+/–
	Сообщение от пох. (?), 11-Июл-23, 22:16
	> При чём тут это? «Поделка» вызывает ровно тот же iptables и загружает в него совершенно обычные > правила нет. На этом, действительно, можно было бы и закончить. То есть ты темой не владеешь абсолютно. > Что там было ты не знаешь, как работало не присматривался. я знаю что там было, но меня не интересовали замеры с секундомером. Вот число правил я знаю, потому что да, с некоторой опаской периодически пересчитывал - многовато будет. И присматривался я к работе системы, по ее основному профилю. Она работала, остальное - совершенно неинтересно. Траффик в килобитах - это вот _твой_ уровень экспертизы, потому что я назвал область применения. Да, тогда в целом было лучше почти все - наследие тех времен когда код писали (да и все остальное делали) еще свободные люди для себя или для самовыражения, а не галерные индусы. Сейчас оно практически полностью прое...но.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема