forum.opennet.ru - "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому повреждению памяти процесса" (49)

"Уязвимость в OpenSSL 3.0.4, приводящая к удалённому повреждению памяти процесса"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в OpenSSL 3.0.4, приводящая к удалённому повреждению памяти процесса"	+/–
Сообщение от opennews (ok), 27-Июн-22, 22:28
В криптографической библиотеке OpenSSL выявлена уязвимость (CVE пока не назначен), при помощи которой удалённый атакующий может повредить содержимое памяти процесса через отправку специальной оформленных данных в момент установки TLS-соединения. Пока не ясно, может ли проблема привести к выполнению кода атакующего и утечке данных из памяти процесса, или она ограничивается только аварийным завершением работы... Подробнее: https://www.opennet.me/opennews/art.shtml?num=57415
Ответить \| Правка \| Cообщить модератору

Оглавление

Сишное переполнение Как неожиданно , QwertyReg (ok), 22:28 , 27-Июн-22, (1) –9

Я бы скорее сказал openssl-щики опять нагамнокодили При том как видим - тольк, Аноним (23), 01:31 , 28-Июн-22, (23) +5

Действительно, в других сишных прогах же не бывает дыр из-за переполнения 1285, Fracta1L (ok), 07:49 , 28-Июн-22, (29) –5

С другой стороны, у конкретно openssl щиков такой ассортимент ситостроения, что , Аноним (-), 08:54 , 28-Июн-22, (30)
Действительно в растовых прогах дыр же не бывает , Аноним (41), 16:40 , 28-Июн-22, (41) –2

Ну да, про кого еще вспомнить когда сишники обoс лись, Анонн (?), 19:28 , 28-Июн-22, (47)

Угу, а до этого нагамнокодили писаЙтели ядра, а до них BFS, а до них zip, а до н, Аноним (-), 19:31 , 28-Июн-22, (50)

HeartBleed 2 0 , Аноним (4), 23:05 , 27-Июн-22, (4)

3 нигде не используется ещё Предусмотрительно сломали совместимость, молодцы , Аноним (8), 23:30 , 27-Июн-22, (8) +2

Кстати, меньше чем за неделю нашли , Аноним (8), 23:31 , 27-Июн-22, (9) +1
В последнем релизе Ubuntu OpenSSL 3 0 2 , Аноним (15), 23:51 , 27-Июн-22, (15)

Софт-то не жалуется https bugs gentoo org 797325, Аноним (8), 23:53 , 27-Июн-22, (16)

Посмотрел несколько ошибок, фиксятся тривиально На сломали совместимость всё-, Аноним (15), 00:15 , 28-Июн-22, (19) +1

Тут ты зря Много чего deprecated, но все ещё работает , Аноним (15), 23:55 , 27-Июн-22, (17)

Нет Прикинь Ниразу не сишное , кубрик (?), 23:39 , 27-Июн-22, (12) +1

Как-же уже ДОСТАЛИ эти коновалы из openssl Они умеют только несовместимо менять, Аноним (6), 23:16 , 27-Июн-22, (6)

Учись постоянно, и тогда мозги у тебя будут всегда нормальные , ИмяХ (?), 23:23 , 27-Июн-22, (7) –5

Каждые 2 года менять расположение педалей и приборов в автомобиле для поддержани, Аноним (6), 23:39 , 27-Июн-22, (11) +6

Почему несовместимо SSL_connect всё с теми же параметрами вызывается , Аноним (15), 00:18 , 28-Июн-22, (20)

А теперь попробуй какую-то реалистичную программу без патчинга собрать, тогда и , Аноним (23), 01:32 , 28-Июн-22, (24) –1

Ну вот Apache собирается c OpenSSL 3 Без патчинга, да Достаточно реалистичная , Аноним (15), 02:32 , 28-Июн-22, (26)

Он без патчинга собирается только потому что патчинг его кодеры вместо вас отпед, Аноним (-), 08:57 , 28-Июн-22, (31) –1

Ещё раз для специалистов по булкам Apache с офсайта, вот этот файл https dlc, Аноним (15), 12:58 , 28-Июн-22, (37)

Главная беда у openssl нет альтернатив GnuTLS - ожирел до невозможности, плюс к, Аноним (6), 23:36 , 27-Июн-22, (10)

А в чём беда Прекрасная либа, все программы на свете, кроме разве что браузеров, Аноним (8), 23:51 , 27-Июн-22, (14) +1
Последний релиз либра был месяц назад, в Фонд опёнка Гугл, Мета и Майкрософт баш, Ан (??), 17:06 , 28-Июн-22, (46)
BearSSL хороша Минималистична, и устойчива к timing-based атакам , qweo (?), 07:23 , 05-Июл-22, (58) +1
Дело за малым - склепать замену для TLS , nuclight (??), 12:15 , 16-Июл-22, (59)

Затронуло 0 человек Всем спать b , Аноним (13), 23:49 , 27-Июн-22, (13) –6

Споки , Корец (?), 00:02 , 28-Июн-22, (18) +4
Ни фига ты не Нео Спи спокойно, бро , Брат Анон (ok), 07:33 , 28-Июн-22, (27) +2

Ни фига ты не Нео, Карл, Ooiiii (?), 08:59 , 28-Июн-22, (32) –1

Какой же это Карл на аватарку посмотрим это Владимир , Аноним (35), 10:56 , 28-Июн-22, (35) +2

Угу Вот и выросло поколение, которое не отличает Карла от Владимира Марксовича , Брат Анон (ok), 09:15 , 29-Июн-22, (55) +3

TLS SSL - это гнилой перераздутый изменчивый стандарт, дырень для корпораций и м, Аноним (22), 00:48 , 28-Июн-22, (22) –1
Забавно, только на днях на Форониксе все хвалили AVX512 из-за того что он позвол, Kuromi (ok), 01:36 , 28-Июн-22, (25)

но , Аноним (-), 09:24 , 28-Июн-22, (33)

но , Аноним (35), 10:55 , 28-Июн-22, (34)
но осадочек остался , Аноним (38), 13:09 , 28-Июн-22, (38)

Не осадочек, но понимание что разрабы еще не очень умеют с ней нормально работат, Kuromi (ok), 17:00 , 28-Июн-22, (44)

Абсолютное ненужно, по крайней мере в ближайшие лет 10 , Аноним (40), 15:35 , 28-Июн-22, (40) +3

Ну раз аноним на опеннете сказал не нужно , значит и правда не нужно , Аноним (53), 02:37 , 29-Июн-22, (53) –1

Опенсорсное сообщество само по себе очень консервативное и не нужно оправдано , Аноним (54), 04:14 , 29-Июн-22, (54) +1

Т е , как это вещественные векторы помогают парсить тексториентированне файлы , Аноним (45), 17:02 , 28-Июн-22, (45) +1

Тайна покрытая мраком , microsoft (?), 21:02 , 28-Июн-22, (52)

говорил же григри на своем конале что все новое это баги и уязвимости , кто то п, USD (?), 11:43 , 28-Июн-22, (36)

Насколько новое Я видел тему от года вроде 2015 почему OpenH264 использует инст, Анонним (?), 19:29 , 28-Июн-22, (48)

А я не знаю почму они использовали ММX только предположение , Анонним (?), 19:30 , 28-Июн-22, (49)

Удобная программа для передачи данных пользователя через интернет , Аноним (57), 14:36 , 30-Июн-22, (57)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –9 +/–

Сообщение от QwertyReg (ok), 27-Июн-22, 22:28

> исправлением
>     OPENSSL_cleanse(storage, sizeof(storage));
>    OPENSSL_cleanse(tmp, sizeof(tmp));
Сишное переполнение?! Как неожиданно!

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +5 +/–

Сообщение от Аноним (23), 28-Июн-22, 01:31

Я бы скорее сказал "openssl-щики опять нагамнокодили". При том как видим - только они. С очередным "улучшением" их чудной высококачественной либы.
И поверьте, качество и компетентность кодеров этой гадости лезет не только в этом. Эти утырки при запросе хардварной акселерации напрямую RNG проца выгружают, codename фичи, очевидно, "NSA FTW". И это типа не баг у них. Более того, они и чисто логические баги зачотные фигачили, типа проехавшей валидации с ... абсолютно левым ключом. И от этого никакой хруст или что там еще не поможет. В общем вон тем господам противопоказано своими лапками крипто трогать.

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –5 +/–

Сообщение от Fracta1L (ok), 28-Июн-22, 07:49

> При том как видим - только они
Действительно, в других сишных прогах же не бывает дыр из-за переполнения 😆

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (-), 28-Июн-22, 08:54

С другой стороны, у конкретно openssl'щиков такой ассортимент ситостроения, что переполнения там лишь одна из многочисленных проблем. И даже если от нее отделаться, это не сильно поможет данным господам. В последнее время, кстати, переполнения у них довольно редко бывают. Не мешает патчам на эту гамнолибу стабильно валиться минмум раз в месяц с дюжинами других CVE всех мастей и направлений.
p.s. а ты можешь уже морально готовиться канпилять хруст при сборен ядра, "девочка имела счастье" :)))

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –2 +/–

Сообщение от Аноним (41), 28-Июн-22, 16:40

Действительно в растовых прогах дыр же не бывает.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

47. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Анонн (?), 28-Июн-22, 19:28

Ну да, про кого еще вспомнить когда сишники обoс##лись

Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (-), 28-Июн-22, 19:31

Угу, а до этого нагамнокодили писаЙтели ядра, а до них BFS, а до них zip, а до них... да тут каждую неделю кто в очередной раз не сумел в работу с памятью
Развелось гамнакодеров!

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

4. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (4), 27-Июн-22, 23:05

>ошибки в коде, в результате которого может быть перезаписано или прочитано до 8192 байт данных за пределами выделенного буфера.
HeartBleed 2.0?

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +2 +/–

Сообщение от Аноним (8), 27-Июн-22, 23:30

3 нигде не используется ещё. Предусмотрительно сломали совместимость, молодцы.

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от Аноним (8), 27-Июн-22, 23:31

Кстати, меньше чем за неделю нашли?

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (15), 27-Июн-22, 23:51

В последнем релизе Ubuntu OpenSSL 3.0.2.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

16. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (8), 27-Июн-22, 23:53

Софт-то не жалуется? https://bugs.gentoo.org/797325

Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от Аноним (15), 28-Июн-22, 00:15

Посмотрел несколько ошибок, фиксятся тривиально. На "сломали совместимость" всё-таки не тянет, просто удалили несколько депрекейтнутых функций или дефайнов. Например, относящихся к SSL 2.0. Некоторые ошибки - попытка неправильно вызывать новые функции OpenSSL 3, с неправильным количеством параметров. В Убунте эти ошибки не проявляются. Либо мейнтейнеры пофиксили, либо апстрим. В Генте, получается, проявляются, ибо софт собирается на машине пользователя.

Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (15), 27-Июн-22, 23:55

> Предусмотрительно сломали совместимость, молодцы.
Тут ты зря. Много чего deprecated, но все ещё работает.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

12. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от кубрик (?), 27-Июн-22, 23:39

Нет. Прикинь. Ниразу не сишное.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

6. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (6), 27-Июн-22, 23:16

>некорректным исправлением ошибки в коде
Как-же уже ДОСТАЛИ эти коновалы из openssl! Они умеют только несовместимо менять API каждые 2 года

Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –5 +/–

Сообщение от ИмяХ (?), 27-Июн-22, 23:23

Учись постоянно, и тогда мозги у тебя будут всегда нормальные.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +6 +/–

Сообщение от Аноним (6), 27-Июн-22, 23:39

>Учись постоянно, и тогда мозги у тебя будут всегда нормальные.
Каждые 2 года менять расположение педалей и приборов в автомобиле для поддержания мозгового тонуса. Нормально? Ну-ну...

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (15), 28-Июн-22, 00:18

Почему несовместимо? SSL_connect() всё с теми же параметрами вызывается.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

24. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –1 +/–

Сообщение от Аноним (23), 28-Июн-22, 01:32

А теперь попробуй какую-то реалистичную программу без патчинга собрать, тогда и узнаешь почему. При том ладно б апи вменяемее стал, но ведь как был полный булшит так и остался.

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (15), 28-Июн-22, 02:32

Ну вот Apache собирается c OpenSSL 3. Без патчинга, да. Достаточно реалистичная программа?
Можешь сказать, какие *важные* API в OpenSSL 3 несовместимо поменяли? Я тебе привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.

Ответить | Правка | Наверх | Cообщить модератору

31. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –1 +/–

Сообщение от Аноним (-), 28-Июн-22, 08:57

Он без патчинга собирается только потому что патчинг его кодеры вместо вас отпедалили. А еще, только подумайте, булки не растут на деревьях.

Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (15), 28-Июн-22, 12:58

Ещё раз для специалистов по булкам. Apache с офсайта, вот этот файл: https://dlcdn.apache.org/httpd/httpd-2.4.54.tar.gz, собирается с OpenSSL 3 без патчей.
И как там насчёт конкретики? Какие *важные* API в OpenSSL 3 несовместимо поменяли? Я привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (6), 27-Июн-22, 23:36

Главная беда: у openssl нет альтернатив.
GnuTLS - ожирел до невозможности, плюс куча внешних зависимостей. NSS - не менее монструозен и похоже умирает потихоньку. LibreSSL (а какая классная идея была!) - остается маргинальным и тоже умирает (потеряли титульного спонсора). Остальная братия еще более маргинальная

Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от Аноним (8), 27-Июн-22, 23:51

А в чём беда? Прекрасная либа, все программы на свете, кроме разве что браузеров, пользуются именно ей. Браузеры пользуются её форками.

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Ан (??), 28-Июн-22, 17:06

Последний релиз либра был месяц назад, в Фонд опёнка Гугл, Мета и Майкрософт башляют стабильно, так  что непонятны опасения: https://www.openbsdfoundation.org/contributors.html

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

58. "Альтернатива" +1 +/–

Сообщение от qweo (?), 05-Июл-22, 07:23

BearSSL хороша. Минималистична, и устойчива к timing-based атакам.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

59. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от nuclight (??), 16-Июл-22, 12:15

Дело за малым - склепать замену для TLS.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

13. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –6 +/–

Сообщение от Аноним (13), 27-Июн-22, 23:49

> OpenSSL version 3.0.4, released on June 21th 2022, is susceptible to remote memory corruption which can be triggered trivially by an attacker. BoringSSL, LibreSSL and the OpenSSL 1.1.1 branch are not affected. Furthermore, only x64 systems with AVX512 support are affected. The bug is fixed in the repository but a new release is still pending.
Затронуло 0 человек.
Всем спать.
// b.

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +4 +/–

Сообщение от Корец (?), 28-Июн-22, 00:02

>Всем спать.
Споки.

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +2 +/–

Сообщение от Брат Анон (ok), 28-Июн-22, 07:33

Ни фига ты не Нео. Спи спокойно, бро.

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

32. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –1 +/–

Сообщение от Ooiiii (?), 28-Июн-22, 08:59

Ни фига ты не Нео, Карл

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +2 +/–

Сообщение от Аноним (35), 28-Июн-22, 10:56

Какой же это Карл на аватарку посмотрим это Владимир.

Ответить | Правка | Наверх | Cообщить модератору

55. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +3 +/–

Сообщение от Брат Анон (ok), 29-Июн-22, 09:15

> Какой же это Карл на аватарку посмотрим это Владимир.
Угу. Вот и выросло поколение, которое не отличает Карла от Владимира Марксовича.

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –1 +/–

Сообщение от Аноним (22), 28-Июн-22, 00:48

> в момент установки TLS-соединения
TLS/SSL - это гнилой перераздутый изменчивый стандарт, дырень для корпораций и майёра.
Поэтому нужно использовать только базовые функции OpenSSL (хэширование и шифрование), в них пока не находили гадостей.

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Kuromi (ok), 28-Июн-22, 01:36

Забавно, только на днях на Форониксе все хвалили AVX512 из-за того что он позволяет парсить JSON  со скоростью гигабайты в секунду и всех в комментах посылали купить проц с AVX512,а  тут рраз и упс...
Проблема конечно не в инструкции, но...

Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (-), 28-Июн-22, 09:24

но..?

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (35), 28-Июн-22, 10:55

но!

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (38), 28-Июн-22, 13:09

...но осадочек остался.

Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

44. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Kuromi (ok), 28-Июн-22, 17:00

> ...но осадочек остался.
Не осадочек, но понимание что разрабы еще не очень умеют с ней нормально работать. Вероятные ништяки нивелируются вот такими невероятными косяками.

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +3 +/–

Сообщение от Аноним (40), 28-Июн-22, 15:35

> AVX512
Абсолютное ненужно, по крайней мере в ближайшие лет 10.

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

53. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." –1 +/–

Сообщение от Аноним (53), 29-Июн-22, 02:37

Ну раз аноним на опеннете сказал "не нужно", значит и правда не нужно.

Ответить | Правка | Наверх | Cообщить модератору

54. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от Аноним (54), 29-Июн-22, 04:14

Опенсорсное сообщество само по себе очень консервативное и "не нужно" оправдано в 90% случаев.

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +1 +/–

Сообщение от Аноним (45), 28-Июн-22, 17:02

Т.е., как это вещественные векторы помогают парсить тексториентированне файлы?

Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

52. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от microsoft (?), 28-Июн-22, 21:02

Тайна покрытая мраком.

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от USD (?), 28-Июн-22, 11:43

говорил же григри на своем конале что все новое это баги и уязвимости , кто то просто продолжает начатое изломление в угоду маикам как же он четко все разложил

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Анонним (?), 28-Июн-22, 19:29

Насколько новое? Я видел тему от года вроде 2015 почему OpenH264 использует инструкции MMX, а не новые. Нати не могу. Помню так. Ответ мне не нужен. Это призадуматся.

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Анонним (?), 28-Июн-22, 19:30

А я не знаю почму они использовали ММX только предположение.

Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..." +/–

Сообщение от Аноним (57), 30-Июн-22, 14:36

Удобная программа для передачи данных пользователя через интернет?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–9 +/–
Сообщение от QwertyReg (ok), 27-Июн-22, 22:28
> исправлением > OPENSSL_cleanse(storage, sizeof(storage)); > OPENSSL_cleanse(tmp, sizeof(tmp)); Сишное переполнение?! Как неожиданно!
Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+5 +/–
	Сообщение от Аноним (23), 28-Июн-22, 01:31
	Я бы скорее сказал "openssl-щики опять нагамнокодили". При том как видим - только они. С очередным "улучшением" их чудной высококачественной либы. И поверьте, качество и компетентность кодеров этой гадости лезет не только в этом. Эти утырки при запросе хардварной акселерации напрямую RNG проца выгружают, codename фичи, очевидно, "NSA FTW". И это типа не баг у них. Более того, они и чисто логические баги зачотные фигачили, типа проехавшей валидации с ... абсолютно левым ключом. И от этого никакой хруст или что там еще не поможет. В общем вон тем господам противопоказано своими лапками крипто трогать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–5 +/–
	Сообщение от Fracta1L (ok), 28-Июн-22, 07:49
	> При том как видим - только они Действительно, в других сишных прогах же не бывает дыр из-за переполнения 😆
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (-), 28-Июн-22, 08:54
	С другой стороны, у конкретно openssl'щиков такой ассортимент ситостроения, что переполнения там лишь одна из многочисленных проблем. И даже если от нее отделаться, это не сильно поможет данным господам. В последнее время, кстати, переполнения у них довольно редко бывают. Не мешает патчам на эту гамнолибу стабильно валиться минмум раз в месяц с дюжинами других CVE всех мастей и направлений. p.s. а ты можешь уже морально готовиться канпилять хруст при сборен ядра, "девочка имела счастье" :)))
	Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–2 +/–
	Сообщение от Аноним (41), 28-Июн-22, 16:40
	Действительно в растовых прогах дыр же не бывает.
	Ответить \| Правка \| К родителю #29 \| Наверх \| Cообщить модератору


	47. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Анонн (?), 28-Июн-22, 19:28
	Ну да, про кого еще вспомнить когда сишники обoс##лись
	Ответить \| Правка \| Наверх \| Cообщить модератору


	50. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (-), 28-Июн-22, 19:31
	Угу, а до этого нагамнокодили писаЙтели ядра, а до них BFS, а до них zip, а до них... да тут каждую неделю кто в очередной раз не сумел в работу с памятью Развелось гамнакодеров!
	Ответить \| Правка \| К родителю #23 \| Наверх \| Cообщить модератору

4. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
Сообщение от Аноним (4), 27-Июн-22, 23:05
>ошибки в коде, в результате которого может быть перезаписано или прочитано до 8192 байт данных за пределами выделенного буфера. HeartBleed 2.0?
Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+2 +/–
	Сообщение от Аноним (8), 27-Июн-22, 23:30
	3 нигде не используется ещё. Предусмотрительно сломали совместимость, молодцы.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+1 +/–
	Сообщение от Аноним (8), 27-Июн-22, 23:31
	Кстати, меньше чем за неделю нашли?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	15. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (15), 27-Июн-22, 23:51
	В последнем релизе Ubuntu OpenSSL 3.0.2.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	16. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (8), 27-Июн-22, 23:53
	Софт-то не жалуется? https://bugs.gentoo.org/797325
	Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+1 +/–
	Сообщение от Аноним (15), 28-Июн-22, 00:15
	Посмотрел несколько ошибок, фиксятся тривиально. На "сломали совместимость" всё-таки не тянет, просто удалили несколько депрекейтнутых функций или дефайнов. Например, относящихся к SSL 2.0. Некоторые ошибки - попытка неправильно вызывать новые функции OpenSSL 3, с неправильным количеством параметров. В Убунте эти ошибки не проявляются. Либо мейнтейнеры пофиксили, либо апстрим. В Генте, получается, проявляются, ибо софт собирается на машине пользователя.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (15), 27-Июн-22, 23:55
	> Предусмотрительно сломали совместимость, молодцы. Тут ты зря. Много чего deprecated, но все ещё работает.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	12. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+1 +/–
	Сообщение от кубрик (?), 27-Июн-22, 23:39
	Нет. Прикинь. Ниразу не сишное.
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору

6. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
Сообщение от Аноним (6), 27-Июн-22, 23:16
>некорректным исправлением ошибки в коде Как-же уже ДОСТАЛИ эти коновалы из openssl! Они умеют только несовместимо менять API каждые 2 года
Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–5 +/–
	Сообщение от ИмяХ (?), 27-Июн-22, 23:23
	Учись постоянно, и тогда мозги у тебя будут всегда нормальные.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+6 +/–
	Сообщение от Аноним (6), 27-Июн-22, 23:39
	>Учись постоянно, и тогда мозги у тебя будут всегда нормальные. Каждые 2 года менять расположение педалей и приборов в автомобиле для поддержания мозгового тонуса. Нормально? Ну-ну...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (15), 28-Июн-22, 00:18
	Почему несовместимо? SSL_connect() всё с теми же параметрами вызывается.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	24. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–1 +/–
	Сообщение от Аноним (23), 28-Июн-22, 01:32
	А теперь попробуй какую-то реалистичную программу без патчинга собрать, тогда и узнаешь почему. При том ладно б апи вменяемее стал, но ведь как был полный булшит так и остался.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (15), 28-Июн-22, 02:32
	Ну вот Apache собирается c OpenSSL 3. Без патчинга, да. Достаточно реалистичная программа? Можешь сказать, какие важные API в OpenSSL 3 несовместимо поменяли? Я тебе привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	31. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–1 +/–
	Сообщение от Аноним (-), 28-Июн-22, 08:57
	Он без патчинга собирается только потому что патчинг его кодеры вместо вас отпедалили. А еще, только подумайте, булки не растут на деревьях.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Аноним (15), 28-Июн-22, 12:58
	Ещё раз для специалистов по булкам. Apache с офсайта, вот этот файл: https://dlcdn.apache.org/httpd/httpd-2.4.54.tar.gz, собирается с OpenSSL 3 без патчей. И как там насчёт конкретики? Какие важные API в OpenSSL 3 несовместимо поменяли? Я привёл пример довольно важного API, SSL_connect(), которое не поменяли. Приведи тоже пример важного API, которое поменяли, при чём несовместимо.
	Ответить \| Правка \| Наверх \| Cообщить модератору

10. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
Сообщение от Аноним (6), 27-Июн-22, 23:36
Главная беда: у openssl нет альтернатив. GnuTLS - ожирел до невозможности, плюс куча внешних зависимостей. NSS - не менее монструозен и похоже умирает потихоньку. LibreSSL (а какая классная идея была!) - остается маргинальным и тоже умирает (потеряли титульного спонсора). Остальная братия еще более маргинальная
Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+1 +/–
	Сообщение от Аноним (8), 27-Июн-22, 23:51
	А в чём беда? Прекрасная либа, все программы на свете, кроме разве что браузеров, пользуются именно ей. Браузеры пользуются её форками.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от Ан (??), 28-Июн-22, 17:06
	Последний релиз либра был месяц назад, в Фонд опёнка Гугл, Мета и Майкрософт башляют стабильно, так что непонятны опасения: https://www.openbsdfoundation.org/contributors.html
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	58. "Альтернатива"	+1 +/–
	Сообщение от qweo (?), 05-Июл-22, 07:23
	BearSSL хороша. Минималистична, и устойчива к timing-based атакам.
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору


	59. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+/–
	Сообщение от nuclight (??), 16-Июл-22, 12:15
	Дело за малым - склепать замену для TLS.
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору

13. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	–6 +/–
Сообщение от Аноним (13), 27-Июн-22, 23:49
> OpenSSL version 3.0.4, released on June 21th 2022, is susceptible to remote memory corruption which can be triggered trivially by an attacker. BoringSSL, LibreSSL and the OpenSSL 1.1.1 branch are not affected. Furthermore, only x64 systems with AVX512 support are affected. The bug is fixed in the repository but a new release is still pending. Затронуло 0 человек. Всем спать. // b.
Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимость в OpenSSL 3.0.4, приводящая к удалённому поврежде..."	+4 +/–
	Сообщение от Корец (?), 28-Июн-22, 00:02
	>Всем спать. Споки.
	Ответить \| Правка \| Наверх \| Cообщить модератору