forum.opennet.ru - "Серия уязвимостей в клиентских библиотеках X.Org" (41)

"Серия уязвимостей в клиентских библиотеках X.Org"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Серия уязвимостей в клиентских библиотеках X.Org"	+/–
Сообщение от opennews (??), 05-Окт-16, 00:44
Один из участников проекта OpenBSD обнаружил (https://lists.freedesktop.org/archives/xorg/2016-October/058... несколько уязвимостей в различных клиентских библиотеках X.Org, проявляющихся в коде обработки ответов от сервера. Большинство уязвимостей позволяют инициировать запись данных злоумышленника за границы буфера, что может привести к выполнению кода на стороне X-клиента при взаимодействии с подконтрольным атакующему X-сервером. Проблемы вызваны отсутствием проверок корректности данных, передаваемых сервером. Обычно клиент и сервер выполняются на одной машине под одним пользователем или сервер работает с более высокими привилегиями, но существует ряд сценариев, при которых привилегированный клиент подсоединяется к непривилегированному стороннему серверу. Например, setuid X-клиент, такой как блокировщик экрана, может обращаться к подконтрольному другому пользователю виртуальному X-серверу, такому как Xvfb или Xephyr. Подверженные уязвимостям библиотеки и версии, в которых ожидается исправление: - libX11 1.6.4 - libXfixes 5.0.3 - libXi 1.7.7 - libXrandr 1.5.1 - libXrender 0.9.10 - libXtst 1.2.3 - libXv 1.0.11 - libXvMC 1.0.10 URL: https://lists.freedesktop.org/archives/xorg/2016-October/058... Новость: http://www.opennet.me/opennews/art.shtml?num=45275
Ответить \| Правка \| Cообщить модератору

Оглавление

В общем, сценарии атаки - адовая экзотика, Crazy Alex (??), 00:44 , 05-Окт-16, (1) +7

JFYI, разработчики DRI KMS и прочей инфраструктуы давно в курсе что иксы с точки, Аноним (-), 21:53 , 09-Окт-16, (48) –1

А как же SSP и NX-bit , iZEN (ok), 00:44 , 05-Окт-16, (2) –4

С ними всё в порядке, Нанобот (ok), 07:39 , 05-Окт-16, (5) +1

после исправления уязвимостей обязательно что-нить сломают , Адекват (ok), 06:52 , 05-Окт-16, (4)
В последнее время создаётся впечатление, что поиск уязвимостей превратился в б, Харли (?), 07:47 , 05-Окт-16, (6) +1

https hackerone com , sage (??), 09:26 , 05-Окт-16, (7) +1
На ближайшей ярмарке ответных частей , Michael Shigorin (ok), 09:59 , 05-Окт-16, (9) –1
Тем не менее, доступ за границы массива - это всё равно ошибка И надо бы её исп, anonymous (??), 10:55 , 05-Окт-16, (15) +5

безусловно, Харли (?), 12:26 , 05-Окт-16, (18)

OpenBSD ведёт свой проект Xenocara, портируя X org Логично, что они разбираются, бедный буратино (ok), 05:30 , 06-Окт-16, (40) –1
Так это и есть смысл большинства атак атакующий мыслит креативно и скармливает , Аноним (-), 22:00 , 09-Окт-16, (49)

Опять синюшники облажались Да, работа с буферами - не их конёк , iZEN (ok), 09:33 , 05-Окт-16, (8) –12

сказал -- и сдёрнул покрывало с собственной реализации графической подсистемы, Michael Shigorin (ok), 10:00 , 05-Окт-16, (10) +10

которая, правда, написана на яве и потому требует 8ГБ RAM что для современн, Аноним (-), 10:04 , 05-Окт-16, (12) +8

Щас вот патчил иксы в своём неофициальном репе Судя по предыдущим патчсетам, кр, Аноним (-), 12:48 , 05-Окт-16, (22) +1
У юзеров устаревших языков сильно пригорело, Аноним (-), 15:08 , 05-Окт-16, (27) –2

Это каких например Ada Oberton Smalltalk Cobalt , Аноним (-), 16:48 , 05-Окт-16, (34)

То что ты назвал не устаревшие, а вымершие Разговор про си и плюсы, Аноним (-), 15:28 , 06-Окт-16, (43) –4

Скажите это банкам , Аноним (-), 18:54 , 06-Окт-16, (44) –1
Устаревшие - это те, на которых написано почти всё , Клыкастый (ok), 14:04 , 10-Окт-16, (53)

Так покажи класс как это делать правильно Только имей в виду иксы даже на сях , Аноним (-), 22:04 , 09-Окт-16, (50) –1

Ждем новости OpenBSD прекращает поддержку X org в виду проблем с безопасностью, Аноним (-), 10:01 , 05-Окт-16, (11) +2

Они ребята суровые Скорее уж форкнут иксы как OpenSSL, выкинут большую часть и , Аноним (-), 13:48 , 05-Окт-16, (25) –2

http xenocara org https en wikipedia org wiki Xenocara, Аноним (-), 15:32 , 05-Окт-16, (32)
У них разработчики для этого есть Внутренности иксов ужасны чуть более чем полн, Аноним (-), 22:06 , 09-Окт-16, (51) –1

Ждём бэкпортов в RHEL, Аноним (-), 10:38 , 05-Окт-16, (14)
Вообще говоря, Matthieu Herb 8212 настолько же разработчик OpenBSD, насколько, Аноним (-), 11:35 , 05-Окт-16, (17) +5

я не знаю, что это значит, но что он разработчик OpenBSD - сомнений не вызывает,, бедный буратино (ok), 05:33 , 06-Окт-16, (41) –1

сетевая прозрачность очень нужная фича, говорили они , кельвин (?), 13:54 , 05-Окт-16, (26) –4

Да, нужная , Michael Shigorin (ok), 15:17 , 05-Окт-16, (29) +1

То что есть в иксах это исторический курьез и экспонат для кунсткамеры , Аноним (-), 16:16 , 05-Окт-16, (33) –1

Других вариантов пока не придумали - , Аноним (-), 20:28 , 05-Окт-16, (38)

Да вам вообще ничего кроме браузера не нужно Сетевая прозрачность - это хорошо , freehck (ok), 19:46 , 05-Окт-16, (37)

За более чем 10 лет юзания пингвинов ни разу не пользовался Какой-то жуткий оуве, iPony (?), 08:47 , 07-Окт-16, (45) –2

я постоянно пользуюсь ну, самое простое, это из OpenBSD использую VirtualBox kv, бедный буратино (ok), 17:18 , 07-Окт-16, (46) –1

ssh -tCY gw ssh -CY host VirtualBox , Michael Shigorin (ok), 19:03 , 07-Окт-16, (47)
Но при сколь-нибудь интенсивной отрисовке все это будет жесточайше тормозить Хо, Аноним (-), 03:34 , 10-Окт-16, (52)

1 не массивов, а потоков 2 попробуйте на досуге посмотреть, какой поток способ, Michael Shigorin (ok), 14:41 , 10-Окт-16, (54)

уже прилетело обновление в default distro, Аноним (-), 20:43 , 05-Окт-16, (39)

в OpenBSD уже несколько дней, как , бедный буратино (ok), 05:34 , 06-Окт-16, (42) –1

Сообщения [Сортировка по времени | RSS]

1. "Серия уязвимостей в клиентских библиотеках X.Org" +7 +/–

Сообщение от Crazy Alex (??), 05-Окт-16, 00:44

В общем, сценарии атаки - адовая экзотика

Ответить | Правка | Наверх | Cообщить модератору

48. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Аноним (-), 09-Окт-16, 21:53

JFYI, разработчики DRI/KMS и прочей инфраструктуы давно в курсе что иксы с точки зрения безопасности - EPIC FAIL. Через иксовые апи можно лазить по памяти чужих процессов, перехватывать ввод в любую программу и даже запустить иксы не из-под рута - отдельное приключения.

Ответить | Правка | Наверх | Cообщить модератору

2. "Серия уязвимостей в клиентских библиотеках X.Org" –4 +/–

Сообщение от iZEN (ok), 05-Окт-16, 00:44

А как же SSP и NX-bit?

Ответить | Правка | Наверх | Cообщить модератору

5. "Серия уязвимостей в клиентских библиотеках X.Org" +1 +/–

Сообщение от Нанобот (ok), 05-Окт-16, 07:39

С ними всё в порядке

Ответить | Правка | Наверх | Cообщить модератору

4. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Адекват (ok), 05-Окт-16, 06:52

после исправления уязвимостей обязательно что-нить сломают.

Ответить | Правка | Наверх | Cообщить модератору

6. "Серия уязвимостей в клиентских библиотеках X.Org" +1 +/–

Сообщение от Харли (?), 05-Окт-16, 07:47

В последнее время создаётся впечатление, что поиск "уязвимостей" превратился в бизнес (непонятно только где тут деньги) или в спорт (ВАДА, ау). Такие шизофренические сценарии "атак" изобретают, что кетайским кулхацкерам даже в наркотическом угаре не привидятся.

Ответить | Правка | Наверх | Cообщить модератору

7. "Серия уязвимостей в клиентских библиотеках X.Org" +1 +/–

Сообщение от sage (??), 05-Окт-16, 09:26

https://hackerone.com/

Ответить | Правка | Наверх | Cообщить модератору

9. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Michael Shigorin (ok), 05-Окт-16, 09:59

> В последнее время создаётся впечатление, что поиск "уязвимостей" превратился в бизнес
> (непонятно только где тут деньги)
На ближайшей ярмарке ответных частей...

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

15. "Серия уязвимостей в клиентских библиотеках X.Org" +5 +/–

Сообщение от anonymous (??), 05-Окт-16, 10:55

Тем не менее, доступ за границы массива - это всё равно ошибка. И надо бы её исправить. Даже если от этой ошибки не зависит безопасность.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

18. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Харли (?), 05-Окт-16, 12:26

безусловно

Ответить | Правка | Наверх | Cообщить модератору

40. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от бедный буратино (ok), 06-Окт-16, 05:30

OpenBSD ведёт свой проект Xenocara, портируя X.org. Логично, что они разбираются в коде, который портируют. Такое тоже бывает. Особенно в OpenBSD.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

49. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 09-Окт-16, 22:00

> сценарии "атак" изобретают, что кетайским кулхацкерам даже в наркотическом угаре не привидятся.
Так это и есть смысл большинства атак: атакующий мыслит креативно и скармливает программе что-нибудь очень нестандартное. Чаще всего оказывается что програмер был значительно менее предусмтрителен в обработке таких вещей чем укуренные китайские кулхацкеры. Программа идет вразнос, логика выполнения ломается. В лучшем случае хацкер извлекает с этого какие-то дивиденды.
Если хочешь посмотреть на что-нибудь этакое - как тебе Return Oriented Programming и прочие ret2libc? Хакеры могут заэнфорсить свою логику по кусочкам даже если свой код залить нельзя - используя кусочки уже существовавшего кода нецелевым образом. От такой наглости даже NX-бит не спасет.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

8. "Серия уязвимостей в клиентских библиотеках X.Org" –12 +/–

Сообщение от iZEN (ok), 05-Окт-16, 09:33

> Большинство уязвимостей позволяют инициировать запись данных злоумышленника за границы буфера
Опять синюшники облажались. Да, работа с буферами - не их конёк.

Ответить | Правка | Наверх | Cообщить модератору

10. "Серия уязвимостей в клиентских библиотеках X.Org" +10 +/–

Сообщение от Michael Shigorin (ok), 05-Окт-16, 10:00

> Да, работа с буферами - не их конёк.
...сказал -- и сдёрнул покрывало с собственной реализации графической подсистемы без единого гвоздя.

Ответить | Правка | Наверх | Cообщить модератору

12. "Серия уязвимостей в клиентских библиотеках X.Org" +8 +/–

Сообщение от Аноним (-), 05-Окт-16, 10:04

> собственной реализации графической подсистемы
... которая, правда, написана на яве и потому требует 8ГБ RAM (что для современного десктопа не много, так что проблем с этим нет), и работает пока только из PuTTY-сессии из Windows 8+ во FreeBSD (но работы по портированию уже ведутся).

Ответить | Правка | Наверх | Cообщить модератору

22. "Серия уязвимостей в клиентских библиотеках X.Org" +1 +/–

Сообщение от Аноним (-), 05-Окт-16, 12:48

Щас вот патчил иксы в своём неофициальном репе. Судя по предыдущим патчсетам, крупных факапов в иксах было немного за последние 5 лет.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

27. "Серия уязвимостей в клиентских библиотеках X.Org" –2 +/–

Сообщение от Аноним (-), 05-Окт-16, 15:08

У юзеров устаревших языков сильно пригорело

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

34. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 05-Окт-16, 16:48

> устаревших
Это каких например?
Ada? Oberton? Smalltalk? Cobalt?

Ответить | Правка | Наверх | Cообщить модератору

43. "Серия уязвимостей в клиентских библиотеках X.Org" –4 +/–

Сообщение от Аноним (-), 06-Окт-16, 15:28

То что ты назвал не устаревшие, а вымершие. Разговор про си и плюсы

Ответить | Правка | Наверх | Cообщить модератору

44. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Аноним (-), 06-Окт-16, 18:54

> вымершие
Скажите это банкам.

Ответить | Правка | Наверх | Cообщить модератору

53. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Клыкастый (ok), 10-Окт-16, 14:04

Устаревшие - это те, на которых написано почти всё?

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

50. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Аноним (-), 09-Окт-16, 22:04

> Опять синюшники облажались. Да, работа с буферами - не их конёк.
Так покажи класс как это делать правильно. Только имей в виду: иксы даже на сях то тормозные до неприличия.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

11. "Серия уязвимостей в клиентских библиотеках X.Org" +2 +/–

Сообщение от Аноним (-), 05-Окт-16, 10:01

Ждем новости: "OpenBSD прекращает поддержку X.org в виду проблем с безопасностью"

Ответить | Правка | Наверх | Cообщить модератору

25. "Серия уязвимостей в клиентских библиотеках X.Org" –2 +/–

Сообщение от Аноним (-), 05-Окт-16, 13:48

Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть и будут спокойно юзать дальше. Вейланд этот ваш после этого можно будет выкидывать, но вряд-ли кто-то расстроится.

Ответить | Правка | Наверх | Cообщить модератору

32. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 05-Окт-16, 15:32

> Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть
> и будут спокойно юзать дальше. Вейланд этот ваш после этого можно
> будет выкидывать, но вряд-ли кто-то расстроится.
http://xenocara.org/
https://en.wikipedia.org/wiki/Xenocara
> utilises a dedicated _x11 user by default to drop privileges and perform privilege separation
> in accordance to OpenBSDs least privilege policy.

Ответить | Правка | Наверх | Cообщить модератору

51. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Аноним (-), 09-Окт-16, 22:06

> Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть
У них разработчики для этого есть? Внутренности иксов ужасны чуть более чем полностью, не очень понятно где опенбсдшники ресурсы возьмут на ЭТО.

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

14. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 05-Окт-16, 10:38

Ждём бэкпортов в RHEL

Ответить | Правка | Наверх | Cообщить модератору

17. "Серия уязвимостей в клиентских библиотеках X.Org" +5 +/–

Сообщение от Аноним (-), 05-Окт-16, 11:35

Вообще говоря, Matthieu Herb — настолько же разработчик OpenBSD, насколько разработчик X, и фактический мейнтейнер Xenocara (X.org в OpenBSD).

Ответить | Правка | Наверх | Cообщить модератору

41. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от бедный буратино (ok), 06-Окт-16, 05:33

я не знаю, что это значит, но что он разработчик OpenBSD - сомнений не вызывает, очень часто мелькает везде. например:
http://obsd.gk11.ru/gzt/obsde_1.html#_%D0%BC%...
маловероятно, что dhcpv6 относится к X

Ответить | Правка | Наверх | Cообщить модератору

26. "Серия уязвимостей в клиентских библиотеках X.Org" –4 +/–

Сообщение от кельвин (?), 05-Окт-16, 13:54

сетевая прозрачность очень нужная фича, говорили они..

Ответить | Правка | Наверх | Cообщить модератору

29. "Серия уязвимостей в клиентских библиотеках X.Org" +1 +/–

Сообщение от Michael Shigorin (ok), 05-Окт-16, 15:17

> сетевая прозрачность очень нужная фича, говорили они..
Да, нужная.

Ответить | Правка | Наверх | Cообщить модератору

33. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от Аноним (-), 05-Окт-16, 16:16

То что есть в иксах это исторический курьез и экспонат для кунсткамеры.

Ответить | Правка | Наверх | Cообщить модератору

38. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 05-Окт-16, 20:28

Других вариантов пока не придумали :-(

Ответить | Правка | Наверх | Cообщить модератору

37. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от freehck (ok), 05-Окт-16, 19:46

> сетевая прозрачность очень нужная фича, говорили они...
Да вам вообще ничего кроме браузера не нужно.
Сетевая прозрачность - это хорошо. Я этим довольно часто пользуюсь в локалке.

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

45. "Серия уязвимостей в клиентских библиотеках X.Org" –2 +/–

Сообщение от iPony (?), 07-Окт-16, 08:47

За более чем 10 лет юзания пингвинов ни разу не пользовался.
Какой-то жуткий оуверхед с непонятным юзеркейсом.
Обычно всегда требуется соснольный коннект.

Ответить | Правка | Наверх | Cообщить модератору

46. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от бедный буратино (ok), 07-Окт-16, 17:18

я постоянно пользуюсь. ну, самое простое, это из OpenBSD использую VirtualBox/kvm с соседнего компьютера, на котором Debian (в OpenBSD, понятное дело, VirtualBox-а и kvm нет)
да, конечно, можно заранее подготовиться:
1. скачать проприетарный плюгин
2. установить его
3. настроить для КАЖДОЙ машины вывод в RDP
4. поставить на клиенте rdp-клиент
5. подбежать к той машине и нажать пимпочку start
6. подключиться rdp-клиентом
и всё равно иметь неудобства с настройкой и прочим
а можно просто ввести ssh -YC host, и безо всякой подготовки заранее, а сразу, получить на своём десктопе окно virtualbox. или любое другое. с 0 телодвижений по подготовке этого процесса.

Ответить | Правка | Наверх | Cообщить модератору

47. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Michael Shigorin (ok), 07-Окт-16, 19:03

> а можно просто ввести ssh -YC host
ssh -tCY gw ssh -CY host VirtualBox
:)

Ответить | Правка | Наверх | Cообщить модератору

52. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 10-Окт-16, 03:34

> а можно просто ввести ssh -YC host, и безо всякой подготовки заранее,
Но при сколь-нибудь интенсивной отрисовке все это будет жесточайше тормозить. Хотя-бы за счет шифрования огромных массивов данных.

Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

54. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Michael Shigorin (ok), 10-Окт-16, 14:41

>> а можно просто ввести ssh -YC host, и безо всякой подготовки заранее,
> Но при сколь-нибудь интенсивной отрисовке все это будет жесточайше тормозить.
> Хотя-бы за счет шифрования огромных массивов данных.
1) не массивов, а потоков;
2) попробуйте на досуге посмотреть, какой поток способен шифровать на лету Ваш компьютер.

Ответить | Правка | Наверх | Cообщить модератору

39. "Серия уязвимостей в клиентских библиотеках X.Org" +/–

Сообщение от Аноним (-), 05-Окт-16, 20:43

уже прилетело обновление в default distro

Ответить | Правка | Наверх | Cообщить модератору

42. "Серия уязвимостей в клиентских библиотеках X.Org" –1 +/–

Сообщение от бедный буратино (ok), 06-Окт-16, 05:34

> уже прилетело обновление в default distro
в OpenBSD? уже несколько дней, как :)

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Серия уязвимостей в клиентских библиотеках X.Org"	+7 +/–
Сообщение от Crazy Alex (??), 05-Окт-16, 00:44
В общем, сценарии атаки - адовая экзотика
Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от Аноним (-), 09-Окт-16, 21:53
	JFYI, разработчики DRI/KMS и прочей инфраструктуы давно в курсе что иксы с точки зрения безопасности - EPIC FAIL. Через иксовые апи можно лазить по памяти чужих процессов, перехватывать ввод в любую программу и даже запустить иксы не из-под рута - отдельное приключения.
	Ответить \| Правка \| Наверх \| Cообщить модератору

2. "Серия уязвимостей в клиентских библиотеках X.Org"	–4 +/–
Сообщение от iZEN (ok), 05-Окт-16, 00:44
А как же SSP и NX-bit?
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Серия уязвимостей в клиентских библиотеках X.Org"	+1 +/–
	Сообщение от Нанобот (ok), 05-Окт-16, 07:39
	С ними всё в порядке
	Ответить \| Правка \| Наверх \| Cообщить модератору

4. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
Сообщение от Адекват (ok), 05-Окт-16, 06:52
после исправления уязвимостей обязательно что-нить сломают.
Ответить \| Правка \| Наверх \| Cообщить модератору

6. "Серия уязвимостей в клиентских библиотеках X.Org"	+1 +/–
Сообщение от Харли (?), 05-Окт-16, 07:47
В последнее время создаётся впечатление, что поиск "уязвимостей" превратился в бизнес (непонятно только где тут деньги) или в спорт (ВАДА, ау). Такие шизофренические сценарии "атак" изобретают, что кетайским кулхацкерам даже в наркотическом угаре не привидятся.
Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Серия уязвимостей в клиентских библиотеках X.Org"	+1 +/–
	Сообщение от sage (??), 05-Окт-16, 09:26
	https://hackerone.com/
	Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от Michael Shigorin (ok), 05-Окт-16, 09:59
	> В последнее время создаётся впечатление, что поиск "уязвимостей" превратился в бизнес > (непонятно только где тут деньги) На ближайшей ярмарке ответных частей...
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	15. "Серия уязвимостей в клиентских библиотеках X.Org"	+5 +/–
	Сообщение от anonymous (??), 05-Окт-16, 10:55
	Тем не менее, доступ за границы массива - это всё равно ошибка. И надо бы её исправить. Даже если от этой ошибки не зависит безопасность.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	18. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
	Сообщение от Харли (?), 05-Окт-16, 12:26
	безусловно
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от бедный буратино (ok), 06-Окт-16, 05:30
	OpenBSD ведёт свой проект Xenocara, портируя X.org. Логично, что они разбираются в коде, который портируют. Такое тоже бывает. Особенно в OpenBSD.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	49. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
	Сообщение от Аноним (-), 09-Окт-16, 22:00
	> сценарии "атак" изобретают, что кетайским кулхацкерам даже в наркотическом угаре не привидятся. Так это и есть смысл большинства атак: атакующий мыслит креативно и скармливает программе что-нибудь очень нестандартное. Чаще всего оказывается что програмер был значительно менее предусмтрителен в обработке таких вещей чем укуренные китайские кулхацкеры. Программа идет вразнос, логика выполнения ломается. В лучшем случае хацкер извлекает с этого какие-то дивиденды. Если хочешь посмотреть на что-нибудь этакое - как тебе Return Oriented Programming и прочие ret2libc? Хакеры могут заэнфорсить свою логику по кусочкам даже если свой код залить нельзя - используя кусочки уже существовавшего кода нецелевым образом. От такой наглости даже NX-бит не спасет.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору

8. "Серия уязвимостей в клиентских библиотеках X.Org"	–12 +/–
Сообщение от iZEN (ok), 05-Окт-16, 09:33
> Большинство уязвимостей позволяют инициировать запись данных злоумышленника за границы буфера Опять синюшники облажались. Да, работа с буферами - не их конёк.
Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Серия уязвимостей в клиентских библиотеках X.Org"	+10 +/–
	Сообщение от Michael Shigorin (ok), 05-Окт-16, 10:00
	> Да, работа с буферами - не их конёк. ...сказал -- и сдёрнул покрывало с собственной реализации графической подсистемы без единого гвоздя.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Серия уязвимостей в клиентских библиотеках X.Org"	+8 +/–
	Сообщение от Аноним (-), 05-Окт-16, 10:04
	> собственной реализации графической подсистемы ... которая, правда, написана на яве и потому требует 8ГБ RAM (что для современного десктопа не много, так что проблем с этим нет), и работает пока только из PuTTY-сессии из Windows 8+ во FreeBSD (но работы по портированию уже ведутся).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Серия уязвимостей в клиентских библиотеках X.Org"	+1 +/–
	Сообщение от Аноним (-), 05-Окт-16, 12:48
	Щас вот патчил иксы в своём неофициальном репе. Судя по предыдущим патчсетам, крупных факапов в иксах было немного за последние 5 лет.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	27. "Серия уязвимостей в клиентских библиотеках X.Org"	–2 +/–
	Сообщение от Аноним (-), 05-Окт-16, 15:08
	У юзеров устаревших языков сильно пригорело
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	34. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
	Сообщение от Аноним (-), 05-Окт-16, 16:48
	> устаревших Это каких например? Ada? Oberton? Smalltalk? Cobalt?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	43. "Серия уязвимостей в клиентских библиотеках X.Org"	–4 +/–
	Сообщение от Аноним (-), 06-Окт-16, 15:28
	То что ты назвал не устаревшие, а вымершие. Разговор про си и плюсы
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от Аноним (-), 06-Окт-16, 18:54
	> вымершие Скажите это банкам.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
	Сообщение от Клыкастый (ok), 10-Окт-16, 14:04
	Устаревшие - это те, на которых написано почти всё?
	Ответить \| Правка \| К родителю #43 \| Наверх \| Cообщить модератору


	50. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от Аноним (-), 09-Окт-16, 22:04
	> Опять синюшники облажались. Да, работа с буферами - не их конёк. Так покажи класс как это делать правильно. Только имей в виду: иксы даже на сях то тормозные до неприличия.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору

11. "Серия уязвимостей в клиентских библиотеках X.Org"	+2 +/–
Сообщение от Аноним (-), 05-Окт-16, 10:01
Ждем новости: "OpenBSD прекращает поддержку X.org в виду проблем с безопасностью"
Ответить \| Правка \| Наверх \| Cообщить модератору


	25. "Серия уязвимостей в клиентских библиотеках X.Org"	–2 +/–
	Сообщение от Аноним (-), 05-Окт-16, 13:48
	Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть и будут спокойно юзать дальше. Вейланд этот ваш после этого можно будет выкидывать, но вряд-ли кто-то расстроится.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
	Сообщение от Аноним (-), 05-Окт-16, 15:32
	> Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть > и будут спокойно юзать дальше. Вейланд этот ваш после этого можно > будет выкидывать, но вряд-ли кто-то расстроится. http://xenocara.org/ https://en.wikipedia.org/wiki/Xenocara > utilises a dedicated _x11 user by default to drop privileges and perform privilege separation > in accordance to OpenBSDs least privilege policy.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от Аноним (-), 09-Окт-16, 22:06
	> Они ребята суровые. Скорее уж форкнут иксы как OpenSSL, выкинут большую часть У них разработчики для этого есть? Внутренности иксов ужасны чуть более чем полностью, не очень понятно где опенбсдшники ресурсы возьмут на ЭТО.
	Ответить \| Правка \| К родителю #25 \| Наверх \| Cообщить модератору

14. "Серия уязвимостей в клиентских библиотеках X.Org"	+/–
Сообщение от Аноним (-), 05-Окт-16, 10:38
Ждём бэкпортов в RHEL
Ответить \| Правка \| Наверх \| Cообщить модератору

17. "Серия уязвимостей в клиентских библиотеках X.Org"	+5 +/–
Сообщение от Аноним (-), 05-Окт-16, 11:35
Вообще говоря, Matthieu Herb — настолько же разработчик OpenBSD, насколько разработчик X, и фактический мейнтейнер Xenocara (X.org в OpenBSD).
Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Серия уязвимостей в клиентских библиотеках X.Org"	–1 +/–
	Сообщение от бедный буратино (ok), 06-Окт-16, 05:33
	я не знаю, что это значит, но что он разработчик OpenBSD - сомнений не вызывает, очень часто мелькает везде. например: http://obsd.gk11.ru/gzt/obsde_1.html#_%D0%BC%... маловероятно, что dhcpv6 относится к X
	Ответить \| Правка \| Наверх \| Cообщить модератору

26. "Серия уязвимостей в клиентских библиотеках X.Org"	–4 +/–
Сообщение от кельвин (?), 05-Окт-16, 13:54
сетевая прозрачность очень нужная фича, говорили они..
Ответить \| Правка \| Наверх \| Cообщить модератору