forum.opennet.ru - "Уязвимость в libcue, приводящая к выполнению кода при загрузке файлов в GNOME" (87)

"Уязвимость в libcue, приводящая к выполнению кода при загрузке файлов в GNOME"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в libcue, приводящая к выполнению кода при загрузке файлов в GNOME"	+/–
Сообщение от opennews (??), 09-Окт-23, 22:44
В библиотеке libcue, используемой для разбора метаданных cо сведениями о порядке и длительности звуковых треков, выявлена уязвимость (CVE-2023-43641), позволяющая организовать выполнение кода при обработке специально оформленных cue-файлов. Библиотека используется в некоторых мультимедийных проигрывателях и звуковых редакторах, включая Audacious, и может быть использована для компрометации системы при открытии в них непроверенных данных... Подробнее: https://www.opennet.me/opennews/art.shtml?num=59896
Ответить \| Правка \| Cообщить модератору

Оглавление

Ох, эта libcue такая кривая дрянь, вы таки не поверите По-моему даже если файл , Аноним (1), 22:44 , 09-Окт-23, (1) +3

О, да Я помню как долго с этим бился Бывало, отредактируешь cue sheet в винде , коньюктивит (?), 23:31 , 09-Окт-23, (6) +1

Ты будешь смеяться, но это пофиксили Буквально пару недель назадhttps github , Карлос Сношайтилис (ok), 23:48 , 09-Окт-23, (11) +6

Мне не смешно Code taken from https stackoverflow com questions 1756275 bison, Аноним (68), 16:54 , 10-Окт-23, (68)

Причем тут Linux , Аноним (12), 23:49 , 09-Окт-23, (12) +3

Потому что в Linux написал скрипт баше, и уже программист , Аноним (68), 06:51 , 10-Окт-23, (38)

Скрыто модератором, Аноним (-), 13:41 , 10-Окт-23, (60) –1

Скрыто модератором, Аноним (68), 16:20 , 10-Окт-23, (64)

Текстовый файл -- это последовательность строк Строка -- это последовательность, Аноним (21), 01:27 , 10-Окт-23, (21) +2

Фубару и Аимпу в винде и андроиде пофиг Мне тоже , коньюктивит (?), 01:39 , 10-Окт-23, (22) –3

Я специально удаляю конец последней строки в файле, потому что мне пофик , Аноним (25), 01:43 , 10-Окт-23, (25) +4

Можно ещё сказать, что когда убираешь символ конца строки после последней строки, Аноним (25), 01:40 , 10-Окт-23, (23) +1

Но для этого вы должны использовать специальную библиотеку Libcue называется , коньюктивит (?), 01:48 , 10-Окт-23, (26) +2
Бесконечных вещей всего две Вселенная и человеческая глупость , Аноним (68), 06:58 , 10-Окт-23, (41) +1

Есть теория, согласно которой Вселенная конечна, но постоянно расширяется, так ч, ryoken (ok), 08:06 , 10-Окт-23, (43)

С глупостью то же самое , Герострат (?), 10:58 , 10-Окт-23, (51) +1

Ну почему жеКонца глупости таки можно достичь - в конце тоннеля или в отдельном , Бывалый смузихлёб (?), 16:40 , 10-Окт-23, (66)

И да, держи формальное определение , коньюктивит (?), 01:42 , 10-Окт-23, (24)
Странно, я всегда думал что файл - это просто набор байт, который можно интерпре, Аноним (27), 02:56 , 10-Окт-23, (27) +3

А ещё в конце файла обязательно должен быть байт 0x1A в Windows кстати copy , Аноним (44), 08:55 , 10-Окт-23, (44) +1

n 8212 это не часть строки Это разделитель строк Зачем он нужен в конце фа, Аноним (28), 03:12 , 10-Окт-23, (28) +5

Потому что при склейке файлов утилитой cat уютный мирок кекспертов по строкам на, Аноним (68), 06:55 , 10-Окт-23, (40) +3

Бред какой-то , Аноним (12), 05:39 , 10-Окт-23, (32) +2
А теперь предоставь ссылку на компетентный источник , Аноним (68), 06:53 , 10-Окт-23, (39)

https pubs opengroup org onlinepubs 9699919799 basedefs V1_chap03 html , Rootlexx (?), 16:21 , 10-Окт-23, (65)

Although POSIX 1-2017 does not distinguish between text files and binary files , Аноним (68), 16:43 , 10-Окт-23, (67)

И в чем противоречие При чтении строки выделяется буфер, длинна строки включая , MaleDog (?), 18:32 , 10-Окт-23, (70) +1

С этимКакому такому стандарту и при чём тут вообще POSIX File format Cuesheet fi, Аноним (68), 16:56 , 11-Окт-23, (89)

При том, что когда-то давно, когда безупречная работа компьютеров и сетей не гар, MaleDog (?), 21:41 , 28-Окт-23, (95)

Ну то есть для юниксов, то есть для линуксов Алё За их пределами жизнь есть Пр, Аноним (28), 20:24 , 10-Окт-23, (72)

POSIX И те кто его соблюдает не будут испытывать проблем с парсингом текстовых , MaleDog (?), 00:45 , 11-Окт-23, (77)

Может за пределами linux жизнь и есть, но весьма печальная У каждого в доме ест, MaleDog (?), 01:01 , 11-Окт-23, (78) +1

В 90 офисов уборщица есть, но не она правила устанавливает , Аноним (84), 03:33 , 11-Окт-23, (84) +2

За их пределами и возник этот Cuesheet The cue sheet format was invented by Jeff, Аноним (68), 17:20 , 11-Окт-23, (90)

Что ни день, то новая уязвимость Терпим , Простой Пользователь (?), 23:03 , 09-Окт-23, (2)
Господи, это же просто тестовый файл Как можно написать кривой код, его читающи, Карлос Сношайтилис (ok), 23:21 , 09-Окт-23, (4) –3

Там сгенерированный си-парсер Т е дело не в си, а в том, как этот парсер описа, Аноним (1), 23:29 , 09-Окт-23, (5)

Там грамматика для бизона, насколько я понимаю, Карлос Сношайтилис (ok), 23:42 , 09-Окт-23, (9)
Дело и в криворуких кодерах, которые в парсере использовали signed int, а в trac, Анонин (?), 23:42 , 09-Окт-23, (10) +1

тут как раз свой велосипед был бы к месту, я даже сейчас её не использую в Go , FF (?), 11:40 , 10-Окт-23, (53)

C 76 5 Не удивительно Типичное integer overflow С ядерным Ганди, это было весел, Аноним (7), 23:35 , 09-Окт-23, (7) +2

Ядерный Ганди это придуманная байка вроде, Аноним (44), 08:56 , 10-Окт-23, (45)

Да, возможно веселая придуманная байка А это реальная невеселая уязвимость Приче, Аноним (7), 10:34 , 10-Окт-23, (49)

Написать свою реализацию Increase Decrease Да не, мы пару тактов процессора сэк, Аноним (84), 03:30 , 11-Окт-23, (83)

Нафига они вообще использовали int для INDEX Разве cue sheet допускает там отриц, Анонин (?), 23:38 , 09-Окт-23, (8) +3

Ошиблись Идеальных разработчиков не бывает Кто-то чаще лажает, кто-то реже Про, Карлос Сношайтилис (ok), 23:53 , 09-Окт-23, (13) +1

Так водителей всех идеальных тоже не бывает Зато как получат штраф в 5-10 от ср, Аноним (7), 00:11 , 10-Окт-23, (15) +1

Чтобы устанавливать штрафы, нужно начать платить зарплату тем, чей код бесплатно, Аноним (36), 06:13 , 10-Окт-23, (36)

Так многим и платят, посмотри сколько разрабов ядра и других крупных проектов на, Аноним (7), 11:15 , 10-Окт-23, (52)

Тем не менее, использование signed int налево и направо 8212 ужасно плохая пр, Аноним (28), 00:14 , 10-Окт-23, (17) +4

я наоборот использую signed даже где будет только unsigned, чтобы потом наоборот, FF (?), 11:45 , 10-Окт-23, (55)

Но ты же добавляешь проверки, что значение не отрицательное перед использованием, Анонин (?), 12:05 , 10-Окт-23, (56) +1

Разумеется Особенно после того как стал работать на Go - там эти бесячьи провер, FF (?), 21:41 , 10-Окт-23, (76)

Воот, лень про это было писать в 16-битную эпоху ещё экономили, в 32-битную рас, Аноним (28), 13:49 , 10-Окт-23, (62) +1

Иногда signed int используется для того чтобы положительным результатом вернуть , MaleDog (?), 18:58 , 10-Окт-23, (71)

Вот за это сишников надо не то что убивать, а пытать бесконечно Значение должно , Аноним (28), 20:26 , 10-Окт-23, (73) –1

Не все сишники пишут под x64_86 и не то чтобы было большой проблемой проверить н, MaleDog (?), 01:38 , 11-Окт-23, (80)

Это совершенно не важно, подо что они пишут Передача кода ошибки и самого факт, Аноним (84), 03:26 , 11-Окт-23, (81) +1

Ага, а потом вот такие программисты пишут жирный код и десять байтов накапли, Аноним (87), 13:36 , 11-Окт-23, (87)

проблема в электричестве, которое питает железо, позволяющее выполнять машинные , FF (?), 11:42 , 10-Окт-23, (54)

Ты не поверишь, но да, бывают - в особенности встречаетсая на дисках с непрерывн, Anonymous_3680 (?), 15:12 , 12-Окт-23, (91)

Вы обратили внимание сколько сервисов надо остановить чтобы это отключить Syste, Аноним (16), 00:12 , 10-Окт-23, (16) –1

Так это же unix way для каждой мелочи делать свою программуWrite programs that d, Аноним (7), 00:26 , 10-Окт-23, (18)

Вот именно, что well Ну а сейчас есть одно системпшшш, которое портянками юнитов, Аноним (20), 01:17 , 10-Окт-23, (20) –2
Этот unix way для каждой мелочи делать свою программу как то не довел до добра с, Neon (??), 03:59 , 15-Окт-23, (94)

ну хоть что-то стабильно и работает , Анонимусс (?), 01:03 , 10-Окт-23, (19) +3
Почему они tracker-miner в bwrap не завернули, как thumbnailer , Аноним (36), 03:24 , 10-Окт-23, (29)
Я думал, это в винде такая порочная мода, пихать паразитные фоновые задачи живущ, Аноним (31), 04:45 , 10-Окт-23, (31)

Предварительный индекс ускоряет поиск файлов Так делают и в Gnome tracker , и , Аноним (36), 06:04 , 10-Окт-23, (34) +2

И, традиционно, это первые кандидаты на отключение , Аноним (50), 10:41 , 10-Окт-23, (50) +2

Чел, спасибо что ты есть Столько телеметрии поставлено, и для чего Им будто пл, Аноним (57), 12:18 , 10-Окт-23, (57)

да, отключение baloo и аналогов в винде не только освободили мне до трети ЦПУ по, InuYasha (??), 17:46 , 13-Окт-23, (92)

Помню как этот гном трекер наглухо подвешивал систему при закачке фильмов на hdd, Аноним (35), 06:05 , 10-Окт-23, (35) +2
Чтобы ты ввёл только слово, и сразу нашлось А не как в Windows XP 8212 смотри, iPony129412 (?), 10:12 , 10-Окт-23, (48)

Всегда отключаю эти 171 супер-пупер-интеллектуальные 187 фоновые индексации , Аноним (44), 12:26 , 10-Окт-23, (58) +2

Нормальный индексатор просканирует диск один раз и успокоится Но это если норма, Аноним (28), 13:54 , 10-Окт-23, (63) –1

А где вы нормальные-то видели В винде то же самое , anonblmus (?), 20:42 , 10-Окт-23, (74)

А что не так в винде Там он действительно один раз просканировал и норм , Аноним (28), 20:44 , 10-Окт-23, (75)

Ага, скачал новую собачку - и заверте- Простите, счас у всех ССД, они не вертятс, InuYasha (??), 17:47 , 13-Окт-23, (93)

Заткнись с ка, я сам знаю что мне делать с моими файлами c Вряд ли большинст, MaleDog (?), 01:14 , 11-Окт-23, (79)

Мне просто абзац как нужна Правда, не по содержимому, а по именам, но в линуксе, Аноним (84), 03:28 , 11-Окт-23, (82)

fzf вполне быстро ищет , _ (??), 14:31 , 11-Окт-23, (88)

Удивительно На днях на компе к которому подключаюсь ssh раньше был десктопом , Аноним (33), 05:59 , 10-Окт-23, (33) –1
Я этот tracker-miner забыл с какой версии убунты в обязательном пришибаю при уст, anonblmus (?), 09:00 , 10-Окт-23, (46) +1
Смысла во всех этих индексёрах, построителей превьюшек и кучи всего остального , хрю (?), 12:32 , 10-Окт-23, (59)

Не спасет Были уже там и косяки с разбором аргументов, и выедание всей памяти, , MaleDog (?), 18:21 , 10-Окт-23, (69)

Процессоры по пять гигагерц, но у погромистов по-прежнему узкие места для обрабо, Аноним (84), 07:29 , 11-Окт-23, (86) +1

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Аноним (1), 09-Окт-23, 22:44

Ох, эта libcue такая кривая дрянь, вы таки не поверите. По-моему даже если файл не заканчивается пустой строкой сегфолтится. Использовать её для автоматического разбора файлов несколько опрометчиво (хотя вполне ожидаемо для гномеров).

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от коньюктивит (?), 09-Окт-23, 23:31

О, да. Я помню как долго с этим бился. Бывало, отредактируешь cue sheet в винде из foobar как тебе нужно и всё зашибись. Но потом в линуксе опа! и этот куй не читается? Я дооолго не мог понять в чём дело. Кодировка? Нет. Тогда почему? Голову сломал. И только как-то невзначай до меня вдруг дошло, что я при редактировании всегда убираю пустую строку в конце. Ну а нахер она нужна? Некрасиво же. А вот невменяемому линуксу оказывается она жизненно необходима! И смех и грех.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +6 +/–

Сообщение от Карлос Сношайтилис (ok), 09-Окт-23, 23:48

Ты будешь смеяться, но это пофиксили. Буквально пару недель назад
https://github.com/lipnitsk/libcue/commit/11e006a9a086e312a0...

Ответить | Правка | Наверх | Cообщить модератору

68. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 10-Окт-23, 16:54

Мне не смешно  Code taken from https://stackoverflow.com/questions/1756275/bison-end-of-file

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Аноним (12), 09-Окт-23, 23:49

Причем тут Linux?

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

38. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 10-Окт-23, 06:51

Потому что в Linux написал скрипт баше, и уже программист.

Ответить | Правка | Наверх | Cообщить модератору

60. Скрыто модератором –1 +/–

Сообщение от Аноним (-), 10-Окт-23, 13:41

Прикол в том, что вантузники никогда не смогут осилить GNU bash.

Ответить | Правка | Наверх | Cообщить модератору

64. Скрыто модератором +/–

Сообщение от Аноним (68), 10-Окт-23, 16:20

И правильно делают. Я бы на их месте тоже не стал менять язык программирования на скриптоту, рассчитанную на написание максимум 10-ти строк.

Ответить | Правка | Наверх | Cообщить модератору

21. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (21), 10-Окт-23, 01:27

> при редактировании всегда убираю пустую строку в конце. Ну а нахер она нужна?
Текстовый файл -- это последовательность строк. Строка -- это последовательность символов, завершающихся символом "\n". Держи формальное определение:
    TEXT := LINE*
    LINE := [^\n]* "\n"
Когда убираешь пустую строку в конце непустого файла, файл перестает быть текстовым и становится... бинарным. По определению.

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

22. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –3 +/–

Сообщение от коньюктивит (?), 10-Окт-23, 01:39

Фубару и Аимпу в винде и андроиде пофиг. Мне тоже.

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +4 +/–

Сообщение от Аноним (25), 10-Окт-23, 01:43

> я при редактировании всегда убираю пустую строку в конце
> пофиг. Мне тоже.
Я специально удаляю конец последней строки в файле, потому что мне пофик.

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (25), 10-Окт-23, 01:40

Можно ещё сказать, что когда убираешь символ конца строки после последней строки, последняя строка становится бесКОНЕЧной, и падение библиотеки при её парсинге неудивительно (кроме случаев, когда у пользователя бесконечное количество оперативной памяти).

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

26. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от коньюктивит (?), 10-Окт-23, 01:48

Но для этого вы должны использовать специальную библиотеку. Libcue называется.

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (68), 10-Окт-23, 06:58

> Можно ещё сказать, что когда убираешь символ конца строки после последней строки,
> последняя строка становится бесКОНЕЧной
Бесконечных вещей всего две: Вселенная и человеческая глупость.

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

43. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от ryoken (ok), 10-Окт-23, 08:06

>>Бесконечных вещей всего две: Вселенная
Есть теория, согласно которой Вселенная конечна, но постоянно расширяется, так что до края не доберёшься.

Ответить | Правка | Наверх | Cообщить модератору

51. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Герострат (?), 10-Окт-23, 10:58

С глупостью то же самое)

Ответить | Правка | Наверх | Cообщить модератору

66. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Бывалый смузихлёб (?), 10-Окт-23, 16:40

Ну почему же
Конца глупости таки можно достичь - в конце тоннеля или в отдельном котле, смотря на чём кодил

Ответить | Правка | Наверх | Cообщить модератору

24. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от коньюктивит (?), 10-Окт-23, 01:42

И да, держи формальное определение:
> Ты будешь смеяться, но это пофиксили.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

27. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Аноним (27), 10-Окт-23, 02:56

> файл перестает быть текстовым и становится... бинарным
Странно, я всегда думал что файл - это просто набор байт, который можно интерпретировать как угодно. Это какой-то очередной бессмысленный атавизм из 70-х, вроде символа возврата каретки или символа звона телетайпа (bell character). Многие повторяют, и лупят других чтобы тоже повторяли, хотя уже не помнят почему и зачем, как в эксперименте с обезьянами и поливальным шлангом.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

44. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (44), 10-Окт-23, 08:55

А ещё в конце файла обязательно должен быть байт 0x1A!!! (в Windows кстати copy file1+file2 filenew вроде до сих пор его добавляет)

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +5 +/–

Сообщение от Аноним (28), 10-Окт-23, 03:12

\n — это не часть строки. Это разделитель строк. Зачем он нужен в конце файла — решительно непонтяно.
Причём он разный бывает — у кого \n, у кого \r\n, а у кого и вовсе \r.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

40. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Аноним (68), 10-Окт-23, 06:55

Потому что при склейке файлов утилитой cat уютный мирок кекспертов по строкам начинает сыпаться.

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (12), 10-Окт-23, 05:39

Бред какой-то..

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

39. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 10-Окт-23, 06:53

> Держи формальное определение:
>     TEXT := LINE*
>     LINE := [^\n]* "\n"
А теперь предоставь ссылку на компетентный источник.

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

65. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Rootlexx (?), 10-Окт-23, 16:21

https://pubs.opengroup.org/onlinepubs/9699919799/basedefs/V1...:
> Text File
>
> A file that contains characters organized into zero or more lines.
> Line
>
> A sequence of zero or more non- <newline> characters plus a terminating <newline> character.

Ответить | Правка | Наверх | Cообщить модератору

67. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 10-Окт-23, 16:43

> https://pubs.opengroup.org/onlinepubs/9699919799/basedefs/V1...:
>> Text File
>>
>> A file that contains characters organized into zero or more lines.
Although POSIX.1-2017 does not distinguish between text files and binary files (see the ISO C standard), many utilities only produce predictable or meaningful output when operating on text files. The standard utilities that have such restrictions always specify "text files" in their STDIN or INPUT FILES sections.
>> Line
>>
>> A sequence of zero or more non- <newline> characters plus a terminating <newline> character.
The lines do not contain NUL characters and none can exceed {LINE_MAX} bytes in length, including the <newline> character.
Упс. Какой же пункт прав?

Ответить | Правка | Наверх | Cообщить модератору

70. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от MaleDog (?), 10-Окт-23, 18:32

И в чем противоречие? При чтении строки выделяется буфер, длинна строки включая '\n' не должна превышать размер буфера. LINE_MAX обычно 2048 байт. Дальше программист сам решает что делать с огрызком меньше 2048, но не закончившимся '\n'.
Можно выбросить, можно на ской страх и риск добавить '\n'. А можно выбросить и весь файл, как не соответствующий стандарту или поврежденный. Ведь такой файл вполне может получиться при аварийном обрыве записи, например при записи вырубили питание или прибили процесс, или при передаче сеть отвалилась.

Ответить | Правка | Наверх | Cообщить модератору

89. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 11-Окт-23, 16:56

> И в чем противоречие? При чтении строки выделяется буфер, длинна строки включая
> '\n' не должна превышать размер буфера. LINE_MAX обычно 2048 байт.
С этим
>>> Держи формальное определение:
>>>     TEXT := LINE*
>>>     LINE := [^\n]* "\n"
> Дальше
> программист сам решает что делать с огрызком меньше 2048, но не
> закончившимся '\n'.
> Можно выбросить, можно на ской страх и риск добавить '\n'. А можно
> выбросить и весь файл, как не соответствующий стандарту или поврежденный. Ведь
> такой файл вполне может получиться при аварийном обрыве записи, например при
> записи вырубили питание или прибили процесс, или при передаче сеть отвалилась.
Какому такому стандарту и при чём тут вообще POSIX?
File format
Cuesheet files are standard text (ASCII) files. You can use any text
editor, such as Notepad or Wordpad, to edit your cuesheet. Do not
save your cuesheet in any non-text format. The recommended file
extensions for your cuesheet are.cue or.txt.

Ответить | Правка | Наверх | Cообщить модератору

95. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 28-Окт-23, 21:41

При том, что когда-то давно, когда безупречная работа компьютеров и сетей не гарантировалась, а ресурсы были не бесконечные, некие ребята решили. А давайте хоть как-то сделаем текстовый файл читаемым в случае аварии при записи. И придумали такие правила: Длинна строк в текстовом файле конечна и файл обязательно заканчивается символом перевода строки. Так в случае если файл битый мы прочитаем все целые строки, а если целый и мы прочитаем его до конца, то мы можем убедиться в его целостности тем что в его конце будет строка нулевой длинны. Большинство конфигов в linux и прочих unix-like текстовые. Те кто писал разбор cue-файлов для просто решили следовать стандартам. Так он мог использовать стандартные библиотеки для чтения текстовых файлов. Не нравится - вы конечно всегда можете пропатчить разбор cue в нужном вам плеере.
Конечно вариант с пустой строкой в конце не идеальный, но альтернативой было бы рассчитывать контрольную сумму от содержимого и как-то помещать ее в текстовый файл, что делало бы уже этот файл не таким уж и текстовым.

Ответить | Правка | Наверх | Cообщить модератору

72. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (28), 10-Окт-23, 20:24

> POSIX
Ну то есть для юниксов, то есть для линуксов. Алё! За их пределами жизнь есть!
Про {LINE_MAX} особенно понравилось. Это-то вообще из какого стандарта?

Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

77. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 11-Окт-23, 00:45

POSIX. И те кто его соблюдает не будут испытывать проблем с парсингом текстовых файлов совместимых с POSIX. Вне зависимости от того какую систему они используют. Linux, unix, bsd и т.п. даже windows и macos кмк. Остальные... ну можно теоретически ездить и по левой стороне дороги, и кто-то из встречных даже будет уворачиваться, но рано или поздно возможно столкновение с камазом.
Кстати, современные приложения пытаются как могут и даже подстраиваются к строкам гораздо длиннее LINE_MAX, но последнюю строку без терминатора в большинстве случаев игнорируют.

Ответить | Правка | Наверх | Cообщить модератору

78. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от MaleDog (?), 11-Окт-23, 01:01

Может за пределами linux жизнь и есть, но весьма печальная. У каждого в доме есть роутер и он на 99% под linux. Более 70 % сайтов в интернете либо отдаются целиком nginx под linux(под windows он полноценно и работать не сможет), либо проксируются им же. Более 60% почтовых серверов exim, более  30% postfix.Т. е. вся сетевая инфраструктура работает под linux. ПО принтеров тоже в большинстве своем linux. Windows только у админов локалхоста, либо в корпоративных сетях за периметром из linux.

Ответить | Правка | Наверх | Cообщить модератору

84. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (84), 11-Окт-23, 03:33

В 90% офисов уборщица есть, но не она правила устанавливает.

Ответить | Правка | Наверх | Cообщить модератору

90. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (68), 11-Окт-23, 17:20

>> POSIX
> Ну то есть для юниксов, то есть для линуксов. Алё! За их
> пределами жизнь есть!
За их пределами и возник этот Cuesheet:
The cue sheet format was invented by Jeff Arnold of GoldenHawk Technology for use with his DAO (Disc At Once) and CDRWIN applications. The format has since been adopted as the de facto standard, and is used by various other applications, including the audio player foobar2000. The official cue sheet specification is widely accepted to be Appendix A of the CDRWIN User's Guide.
> Про {LINE_MAX} особенно понравилось. Это-то вообще из какого стандарта?
Ну что не ясно, всякая программа должна вызвать баш и выполнить getconf LINE_MAX, а потом работать по стандарту.)))

Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

2. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Простой Пользователь (?), 09-Окт-23, 23:03

Что ни день, то новая уязвимость.
Терпим.

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –3 +/–

Сообщение от Карлос Сношайтилис (ok), 09-Окт-23, 23:21

Господи, это же просто тестовый файл! Как можно написать кривой код, его читающий?!
Надо проверить как они строки читают, нет ли там кастомной либы для преобразования строк. Это в стиле сишников – изобретать своё уникальное решение на каждую задачу...

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (1), 09-Окт-23, 23:29

Там сгенерированный си-парсер. Т.е. дело не в си, а в том, как этот парсер описан в большей мере. На деле это намного хуже, чем звучит. Но довольно эфективно, этого не отнять.

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Карлос Сношайтилис (ok), 09-Окт-23, 23:42

Там грамматика для бизона, насколько я понимаю

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Анонин (?), 09-Окт-23, 23:42

Дело и в криворуких кодерах, которые в парсере использовали signed int, а в track_set_index не добавили проверку "i >= 0". И в сишке, которая не проверяет выход за границы массива.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

53. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от FF (?), 10-Окт-23, 11:40

> Это в стиле противосишников – изобретать своё уникальное решение на каждую задачу, уже реализованную на Си...
> Для преобразования строки в число используется функция atoi
тут как раз свой велосипед был бы к месту, я даже сейчас её не использую (в Go)

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

7. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (7), 09-Окт-23, 23:35

C 76.5%
Не удивительно. Типичное integer overflow.
С ядерным Ганди, это было веселее, а тут как-то грустно((

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (44), 10-Окт-23, 08:56

Ядерный Ганди это придуманная байка вроде

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (7), 10-Окт-23, 10:34

Да, возможно веселая придуманная байка.
А это реальная невеселая уязвимость.
Причем ошибка детская (обе ошибки, архитектурная с выбором типа и пропущенная проверка).
Можно было бы попробовать включать -ftrapv или -fwrapv хотя бы в дебаге и тестах.
Но вторая опция кажется не очень надежная, а тесты надо делать fuzzy...
В общем задача совсем не тривиальная ((

Ответить | Правка | Наверх | Cообщить модератору

83. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (84), 11-Окт-23, 03:30

Написать свою реализацию Increase/Decrease? Да не, мы пару тактов процессора сэкономим.

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Анонин (?), 09-Окт-23, 23:38

Нафига они вообще использовали int для INDEX?
Разве cue sheet допускает там отрицательные индексы?
Чем им unsigned не подошел?

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Карлос Сношайтилис (ok), 09-Окт-23, 23:53

Ошиблись. Идеальных разработчиков не бывает. Кто-то чаще лажает, кто-то реже.
Проблема в языке, который позволяет такие примитивные ошибки

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (7), 10-Окт-23, 00:11

Так водителей всех идеальных тоже не бывает.
Зато как получат штраф в 5-10% от средней зарплаты, сразу улучшаются навыки и распознавания знаков, и внимательность для всех цветов светофоров.
Но да, заборчики отделяющие проезжую часть от тротуара тоже важны.

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (36), 10-Окт-23, 06:13

Чтобы устанавливать штрафы, нужно начать платить зарплату тем, чей код бесплатно используешь. А кому это надо?

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (7), 10-Окт-23, 11:15

Так многим и платят, посмотри сколько разрабов ядра и других крупных проектов на зряплате корпов.
Но ты прав, штраф тут не помогут.
А вот введение каких-то правил... Что-то типа мисры, но не настолько сложное.
Или внедрить проверки на этап компиляции.
Например
- Каждая с либа которая используется в нашем проекте должна проходить Valgrind или другой стат. анализатор
- Если собираем Clangʼом используем -fcatch-undefined-behavior для тестов
- Для CI крутим разные стат и fuzzy тесты
Но это реально сложно(

Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +4 +/–

Сообщение от Аноним (28), 10-Окт-23, 00:14

Тем не менее, использование signed int налево и направо — ужасно плохая практика. Это только вопрос времени, когда она вылезет где-нибудь боком.

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

55. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от FF (?), 10-Окт-23, 11:45

я наоборот использую signed даже где будет только unsigned, чтобы потом наоборот в ожидаемое unsigned не залетело signed. благо 64 бит хватает, в отличие от 32.

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Анонин (?), 10-Окт-23, 12:05

Но ты же добавляешь проверки, что значение не отрицательное перед использованием? Правда же?

Ответить | Правка | Наверх | Cообщить модератору

76. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от FF (?), 10-Окт-23, 21:41

Разумеется. Особенно после того как стал работать на Go - там эти бесячьи проверки порой 80% строк функции

Ответить | Правка | Наверх | Cообщить модератору

62. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (28), 10-Окт-23, 13:49

> благо 64 бит хватает, в отличие от 32
Воот, лень про это было писать: в 16-битную эпоху ещё экономили, в 32-битную расслабились, а теперь и вовсе…

Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

71. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 10-Окт-23, 18:58

Иногда signed int используется для того чтобы положительным результатом вернуть значение, а отрицательным код ошибки. Иначе придется возвращать значение через указатель. Компиляторы кстати могут предупреждать о преобразованиях:
test.c:9:14: warning: conversion to ‘uint32_t’ {aka ‘unsigned int’} from ‘int32_t’ {aka ‘int’} may change the sign of the result [-Wsign-conversion]
Кто бы еще за этим следил бы. Обычно наоборот включают блокировку таких сообщений.

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

73. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –1 +/–

Сообщение от Аноним (28), 10-Окт-23, 20:26

> Иногда signed int используется для того чтобы положительным результатом вернуть значение, а отрицательным код ошибки.
Вот за это сишников надо не то что убивать, а пытать бесконечно.
Значение должно использоваться для того, чтобы вернуть значение, И ВСЁ.
Но нет, они же до сих пор полтора регистра и десять байтов памяти экономят.

Ответить | Правка | Наверх | Cообщить модератору

80. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 11-Окт-23, 01:38

Не все сишники пишут под x64_86 и не то чтобы было большой проблемой проверить на >0 и привести к нужному типу. Ну и не все представляют, что завтра его либа станет использоваться в миллионе проектов ее использование расширится за пределы заложенные разработчиком.
Ну и есть люди, которые портируют не разбираясь в вопросе. К примеру кто-то написал драйвер датчика i2c под arduino, а следом кто-то пишет модуль ядра linux.

Ответить | Правка | Наверх | Cообщить модератору

81. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (84), 11-Окт-23, 03:26

> Не все сишники пишут под x64_86 и не то чтобы было большой проблемой проверить на >0 и привести к нужному типу.
Это совершенно не важно, подо что они пишут. Передача кода ошибки (и самого факта ошибки) в результатах вызова функции — это даже в ассемблере 8086 было экономией на спичках (и в нормальных языках не использовалось).
У нас есть куча регистров. У нас есть миллион мегабайт памяти (которую мы бездарно транжирим). Но в бутылочное горлышко eax (ax, rax) мы постараемся протащить всё!

Ответить | Правка | Наверх | Cообщить модератору

87. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (87), 11-Окт-23, 13:36

> Но нет, они же до сих пор полтора регистра и десять байтов памяти экономят.
Ага, а потом вот такие "программисты" пишут жирный код и "десять байтов" накапливаются по всему кода в разных частях, затем в разных программах и тд. А потом удивляемся чего это новые программы столько жрут при том же функционале.

Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

54. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от FF (?), 10-Окт-23, 11:42

проблема в электричестве, которое питает железо, позволяющее выполнять машинные инструкции без проверки границы буфера

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

91. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Anonymous_3680 (?), 12-Окт-23, 15:12

Ты не поверишь, но да, бывают - в особенности встречаетсая на дисках с непрерывным переходом из одного трека в другой.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

16. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –1 +/–

Сообщение от Аноним (16), 10-Окт-23, 00:12

Вы обратили внимание сколько сервисов надо остановить чтобы это отключить? Systemd развращает и поощряет, если ты сделал софтину и не создал для нее 15 сервисов, то потратил время зря. С баш-портянками никто такого бы не наворотил. Ну если и наворотил, то оно само по себе сломалось бы.

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (7), 10-Окт-23, 00:26

Так это же unix way для каждой мелочи делать свою программу
Write programs that do one thing and do it well.
Так и тут, каждый сервис делает что-то одно.

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –2 +/–

Сообщение от Аноним (20), 10-Окт-23, 01:17

> Write programs that do one thing and do it well.
Вот именно, что well.
Ну а сейчас есть одно системпшшш, которое портянками юнитов делает не well.

Ответить | Правка | Наверх | Cообщить модератору

94. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Neon (??), 15-Окт-23, 03:59

Этот unix way для каждой мелочи делать свою программу как то не довел до добра сам Unix.

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

19. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +3 +/–

Сообщение от Анонимусс (?), 10-Окт-23, 01:03

> Эксплоит стабилен в работе
ну хоть что-то стабильно и работает!

Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (36), 10-Окт-23, 03:24

Почему они tracker-miner в bwrap не завернули, как thumbnailer?

Ответить | Правка | Наверх | Cообщить модератору

31. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (31), 10-Окт-23, 04:45

Я думал, это в винде такая порочная мода, пихать паразитные фоновые задачи живущие своей жизнью и жрущие, а оказывается в линуксе то же самое. По умолчанию индексатор, ха, даже еще CUE-файлов, господи, зачем? Ха-ха-ха.

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (36), 10-Окт-23, 06:04

Предварительный индекс ускоряет поиск файлов. Так делают и в Gnome (tracker), и в KDE (baloo), и в Винде (как минимум с Vista).

Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (50), 10-Окт-23, 10:41

И, традиционно, это первые кандидаты на отключение.

Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (57), 10-Окт-23, 12:18

Чел, спасибо что ты есть. Столько телеметрии поставлено, и для чего? Им будто плевать на пользователя.

Ответить | Правка | Наверх | Cообщить модератору

92. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от InuYasha (??), 13-Окт-23, 17:46

да, отключение baloo и аналогов в винде не только освободили мне до трети ЦПУ после загрузки, но и продлило жизнь ПЗУ.

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (35), 10-Окт-23, 06:05

Помню как этот гном трекер наглухо подвешивал систему при закачке фильмов на hdd.
Он пытался сканировать недокачанные файлы, получал где-то ошибку (файл-то еще не готов) и потом повторял заново
Бесконечный доступ к медленному диску блокировал все остальные операции, и при этом он в цпу себе не отказывал и жрал под 90%.

Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

48. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от iPony129412 (?), 10-Окт-23, 10:12

Чтобы ты ввёл только слово, и сразу нашлось.
А не как в Windows XP — смотри на собачку 🐕
Тоже самое и касается и превьюшек файлов, с которыми несколько раз находили уязвимости в линуксах. Выполняются сами.
Такое больше десяти лет.

Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

58. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +2 +/–

Сообщение от Аноним (44), 10-Окт-23, 12:26

Всегда отключаю эти «супер-пупер-интеллектуальные» фоновые индексации.
Лучше я посмотрю на собачку пару минут, чем компьютер будет тормозить остальные 24 часа.

Ответить | Правка | Наверх | Cообщить модератору

63. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –1 +/–

Сообщение от Аноним (28), 10-Окт-23, 13:54

Нормальный индексатор просканирует диск один раз и успокоится. Но это если нормальный.

Ответить | Правка | Наверх | Cообщить модератору

74. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от anonblmus (?), 10-Окт-23, 20:42

А где вы нормальные-то видели? В винде то же самое.

Ответить | Правка | Наверх | Cообщить модератору

75. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (28), 10-Окт-23, 20:44

А что не так в винде? Там он действительно один раз просканировал и норм.

Ответить | Правка | Наверх | Cообщить модератору

93. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от InuYasha (??), 13-Окт-23, 17:47

Ага, скачал новую собачку - и заверте- Простите, счас у всех ССД, они не вертятся (

Ответить | Правка | Наверх | Cообщить модератору

79. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 11-Окт-23, 01:14

"Заткнись с*ка, я сам знаю что мне делать с моими файлами."(c) Вряд ли большинству линуксоидов нужна функция мгновенного поиска везде и во всем. Если нужен поиск чего-то конкретного, то они либо заранее продумают как разместить файлы чтобы их было просто искать. либо напишут или подберут свою систему индексации, что будет в 100 раз эффективнее "универсальной системы". Вот я несколько лет назад писал систему индексирования почтовых архивов, где среди нескольких миллионов писем нужно было найти письма отправленные и полученные неким пользователем. И не то чтобы прям так сложно .eml распарсить.

Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

82. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от Аноним (84), 11-Окт-23, 03:28

Мне просто абзац как нужна. Правда, не по содержимому, а по именам, но в линуксе и того нет, убогий fsearch ни разу не замена everything.

Ответить | Правка | Наверх | Cообщить модератору

88. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от _ (??), 11-Окт-23, 14:31

fzf вполне быстро ищет

Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." –1 +/–

Сообщение от Аноним (33), 10-Окт-23, 05:59

Удивительно!!!
На днях на компе к которому подключаюсь ssh (раньше был десктопом) посмотрел какие процессы запускаются у пользователя. О ужас!
Пришлось сносить всякий shit!
А сегодня такая новость. АААААА, они за мной следят!!!!!!!1111111ААААААА

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от anonblmus (?), 10-Окт-23, 09:00

Я этот tracker-miner забыл с какой версии убунты в обязательном пришибаю при установках и dist-upgrade. Просто потому, что польза от этой индексации околонулевая, а ресурсов оно отжирает при каждом запуске, как свинолошадь.

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от хрю (?), 10-Окт-23, 12:32

Смысла во всех этих индексёрах, построителей превьюшек и кучи всего остального "удобного", строго нулевая. А тут ещё и дырявая. Я, конечно, понимаю что ошибаются все, но это блин текстовый файл - как можно одырявится, при работе с текстом. Это что ж тогда с бинарными происходит?!
Может действительно только хруст спасёт от расстрелов? +)

Ответить | Правка | Наверх | Cообщить модератору

69. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +/–

Сообщение от MaleDog (?), 10-Окт-23, 18:21

Не спасет. Были уже там и косяки с разбором аргументов, и выедание всей памяти, когда память под разбор HTTP-запроса выделяли по "Content-Length". Уйдут только проблемы с памятью, и то не факт, учитывая что на 100% все не перепишут, а так и будут тягать сишные библиотеки через unsafe. А даже если и перепишут, то всегда останутся узкие места, где для ускорения потребуется код на С или ASM. То же самое и к go относится.

Ответить | Правка | Наверх | Cообщить модератору

86. "Уязвимость в libcue, приводящая к выполнению кода при загруз..." +1 +/–

Сообщение от Аноним (84), 11-Окт-23, 07:29

> А даже если и перепишут, то всегда останутся узкие места, где для ускорения потребуется код на С или ASM.
Процессоры по пять гигагерц, но у погромистов по-прежнему узкие места для обработки строк. Ну и не только.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+3 +/–
Сообщение от Аноним (1), 09-Окт-23, 22:44
Ох, эта libcue такая кривая дрянь, вы таки не поверите. По-моему даже если файл не заканчивается пустой строкой сегфолтится. Использовать её для автоматического разбора файлов несколько опрометчиво (хотя вполне ожидаемо для гномеров).
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от коньюктивит (?), 09-Окт-23, 23:31
	О, да. Я помню как долго с этим бился. Бывало, отредактируешь cue sheet в винде из foobar как тебе нужно и всё зашибись. Но потом в линуксе опа! и этот куй не читается? Я дооолго не мог понять в чём дело. Кодировка? Нет. Тогда почему? Голову сломал. И только как-то невзначай до меня вдруг дошло, что я при редактировании всегда убираю пустую строку в конце. Ну а нахер она нужна? Некрасиво же. А вот невменяемому линуксу оказывается она жизненно необходима! И смех и грех.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+6 +/–
	Сообщение от Карлос Сношайтилис (ok), 09-Окт-23, 23:48
	Ты будешь смеяться, но это пофиксили. Буквально пару недель назад https://github.com/lipnitsk/libcue/commit/11e006a9a086e312a0...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	68. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (68), 10-Окт-23, 16:54
	Мне не смешно Code taken from https://stackoverflow.com/questions/1756275/bison-end-of-file
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+3 +/–
	Сообщение от Аноним (12), 09-Окт-23, 23:49
	Причем тут Linux?
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	38. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (68), 10-Окт-23, 06:51
	Потому что в Linux написал скрипт баше, и уже программист.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	60. Скрыто модератором	–1 +/–
	Сообщение от Аноним (-), 10-Окт-23, 13:41
	Прикол в том, что вантузники никогда не смогут осилить GNU bash.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. Скрыто модератором	+/–
	Сообщение от Аноним (68), 10-Окт-23, 16:20
	И правильно делают. Я бы на их месте тоже не стал менять язык программирования на скриптоту, рассчитанную на написание максимум 10-ти строк.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	21. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+2 +/–
	Сообщение от Аноним (21), 10-Окт-23, 01:27
	> при редактировании всегда убираю пустую строку в конце. Ну а нахер она нужна? Текстовый файл -- это последовательность строк. Строка -- это последовательность символов, завершающихся символом "\n". Держи формальное определение: TEXT := LINE* LINE := [^\n]* "\n" Когда убираешь пустую строку в конце непустого файла, файл перестает быть текстовым и становится... бинарным. По определению.
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	22. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	–3 +/–
	Сообщение от коньюктивит (?), 10-Окт-23, 01:39
	Фубару и Аимпу в винде и андроиде пофиг. Мне тоже.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	25. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+4 +/–
	Сообщение от Аноним (25), 10-Окт-23, 01:43
	> я при редактировании всегда убираю пустую строку в конце > пофиг. Мне тоже. Я специально удаляю конец последней строки в файле, потому что мне пофик.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от Аноним (25), 10-Окт-23, 01:40
	Можно ещё сказать, что когда убираешь символ конца строки после последней строки, последняя строка становится бесКОНЕЧной, и падение библиотеки при её парсинге неудивительно (кроме случаев, когда у пользователя бесконечное количество оперативной памяти).
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	26. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+2 +/–
	Сообщение от коньюктивит (?), 10-Окт-23, 01:48
	Но для этого вы должны использовать специальную библиотеку. Libcue называется.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от Аноним (68), 10-Окт-23, 06:58
	> Можно ещё сказать, что когда убираешь символ конца строки после последней строки, > последняя строка становится бесКОНЕЧной Бесконечных вещей всего две: Вселенная и человеческая глупость.
	Ответить \| Правка \| К родителю #23 \| Наверх \| Cообщить модератору


	43. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от ryoken (ok), 10-Окт-23, 08:06
	>>Бесконечных вещей всего две: Вселенная Есть теория, согласно которой Вселенная конечна, но постоянно расширяется, так что до края не доберёшься.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от Герострат (?), 10-Окт-23, 10:58
	С глупостью то же самое)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Бывалый смузихлёб (?), 10-Окт-23, 16:40
	Ну почему же Конца глупости таки можно достичь - в конце тоннеля или в отдельном котле, смотря на чём кодил
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от коньюктивит (?), 10-Окт-23, 01:42
	И да, держи формальное определение: > Ты будешь смеяться, но это пофиксили.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	27. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+3 +/–
	Сообщение от Аноним (27), 10-Окт-23, 02:56
	> файл перестает быть текстовым и становится... бинарным Странно, я всегда думал что файл - это просто набор байт, который можно интерпретировать как угодно. Это какой-то очередной бессмысленный атавизм из 70-х, вроде символа возврата каретки или символа звона телетайпа (bell character). Многие повторяют, и лупят других чтобы тоже повторяли, хотя уже не помнят почему и зачем, как в эксперименте с обезьянами и поливальным шлангом.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	44. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от Аноним (44), 10-Окт-23, 08:55
	А ещё в конце файла обязательно должен быть байт 0x1A!!! (в Windows кстати copy file1+file2 filenew вроде до сих пор его добавляет)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+5 +/–
	Сообщение от Аноним (28), 10-Окт-23, 03:12
	\n — это не часть строки. Это разделитель строк. Зачем он нужен в конце файла — решительно непонтяно. Причём он разный бывает — у кого \n, у кого \r\n, а у кого и вовсе \r.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	40. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+3 +/–
	Сообщение от Аноним (68), 10-Окт-23, 06:55
	Потому что при склейке файлов утилитой cat уютный мирок кекспертов по строкам начинает сыпаться.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+2 +/–
	Сообщение от Аноним (12), 10-Окт-23, 05:39
	Бред какой-то..
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	39. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (68), 10-Окт-23, 06:53
	> Держи формальное определение: > TEXT := LINE* > LINE := [^\n]* "\n" А теперь предоставь ссылку на компетентный источник.
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	65. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Rootlexx (?), 10-Окт-23, 16:21
	https://pubs.opengroup.org/onlinepubs/9699919799/basedefs/V1...: > Text File > > A file that contains characters organized into zero or more lines. > Line > > A sequence of zero or more non- <newline> characters plus a terminating <newline> character.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (68), 10-Окт-23, 16:43
	> https://pubs.opengroup.org/onlinepubs/9699919799/basedefs/V1...: >> Text File >> >> A file that contains characters organized into zero or more lines. Although POSIX.1-2017 does not distinguish between text files and binary files (see the ISO C standard), many utilities only produce predictable or meaningful output when operating on text files. The standard utilities that have such restrictions always specify "text files" in their STDIN or INPUT FILES sections. >> Line >> >> A sequence of zero or more non- <newline> characters plus a terminating <newline> character. The lines do not contain NUL characters and none can exceed {LINE_MAX} bytes in length, including the <newline> character. Упс. Какой же пункт прав?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	70. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+1 +/–
	Сообщение от MaleDog (?), 10-Окт-23, 18:32
	И в чем противоречие? При чтении строки выделяется буфер, длинна строки включая '\n' не должна превышать размер буфера. LINE_MAX обычно 2048 байт. Дальше программист сам решает что делать с огрызком меньше 2048, но не закончившимся '\n'. Можно выбросить, можно на ской страх и риск добавить '\n'. А можно выбросить и весь файл, как не соответствующий стандарту или поврежденный. Ведь такой файл вполне может получиться при аварийном обрыве записи, например при записи вырубили питание или прибили процесс, или при передаче сеть отвалилась.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	89. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (68), 11-Окт-23, 16:56
	> И в чем противоречие? При чтении строки выделяется буфер, длинна строки включая > '\n' не должна превышать размер буфера. LINE_MAX обычно 2048 байт. С этим >>> Держи формальное определение: >>> TEXT := LINE* >>> LINE := [^\n]* "\n" > Дальше > программист сам решает что делать с огрызком меньше 2048, но не > закончившимся '\n'. > Можно выбросить, можно на ской страх и риск добавить '\n'. А можно > выбросить и весь файл, как не соответствующий стандарту или поврежденный. Ведь > такой файл вполне может получиться при аварийном обрыве записи, например при > записи вырубили питание или прибили процесс, или при передаче сеть отвалилась. Какому такому стандарту и при чём тут вообще POSIX? File format Cuesheet files are standard text (ASCII) files. You can use any text editor, such as Notepad or Wordpad, to edit your cuesheet. Do not save your cuesheet in any non-text format. The recommended file extensions for your cuesheet are.cue or.txt.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	95. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от MaleDog (?), 28-Окт-23, 21:41
	При том, что когда-то давно, когда безупречная работа компьютеров и сетей не гарантировалась, а ресурсы были не бесконечные, некие ребята решили. А давайте хоть как-то сделаем текстовый файл читаемым в случае аварии при записи. И придумали такие правила: Длинна строк в текстовом файле конечна и файл обязательно заканчивается символом перевода строки. Так в случае если файл битый мы прочитаем все целые строки, а если целый и мы прочитаем его до конца, то мы можем убедиться в его целостности тем что в его конце будет строка нулевой длинны. Большинство конфигов в linux и прочих unix-like текстовые. Те кто писал разбор cue-файлов для просто решили следовать стандартам. Так он мог использовать стандартные библиотеки для чтения текстовых файлов. Не нравится - вы конечно всегда можете пропатчить разбор cue в нужном вам плеере. Конечно вариант с пустой строкой в конце не идеальный, но альтернативой было бы рассчитывать контрольную сумму от содержимого и как-то помещать ее в текстовый файл, что делало бы уже этот файл не таким уж и текстовым.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	72. "Уязвимость в libcue, приводящая к выполнению кода при загруз..."	+/–
	Сообщение от Аноним (28), 10-Окт-23, 20:24
	> POSIX Ну то есть для юниксов, то есть для линуксов. Алё! За их пределами жизнь есть! Про {LINE_MAX} особенно понравилось. Это-то вообще из какого стандарта?
	Ответить \| Правка \| К родителю #65 \| Наверх \| Cообщить модератору