Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в Redis и Valkey, позволяющие выполнить код на сервере при наличии доступа к БД"	+/–
Сообщение от opennews (??), 09-Окт-25, 08:25
Исследователи из компании Wiz выявили в СУБД Redis уязвимость (CVE-2025-49844), позволяющую добиться удалённого выполнения кода (RCE) на сервере. Проблеме присвоен наивысший уровень опасности (CVSS score 10 из 10), при этом для эксплуатации уязвимости атакующий должен иметь возможность отправки запросов к СУБД Redis, допускающей  выполнение пользовательских Lua-скриптов... Подробнее: https://www.opennet.me/opennews/art.shtml?num=64022
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 09-Окт-25, 08:25	+/–
А говорили, с луа такого не случится, мол, это не питон.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

2. Сообщение от Константавр (ok), 09-Окт-25, 08:52	+5 +/–
>Предоставляемый проектом Redis официальный образ Docker-контейнера настроен для доступа без аутентификации по умолчанию. Они же понимал, что никто не будет это настраивать? Заработало, не падает и ура, в продакшен!!!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #25

3. Сообщение от Аноним (3), 09-Окт-25, 08:55	–4 +/–
> Уязвимость вызвана обращением к уже освобождённой памяти (use-after-free), > Проблема позволяет обойти sandbox-изоляцию Сишка настолько дыр... ОЙ! - мощный язык, что плевать ему на эти ваши сэндбоксы.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #52

4. Сообщение от Re4son (ok), 09-Окт-25, 08:59	+8 +/–
это как ругать экскаватор, а не экскаваторщика, за то, что он пока копал -- перебил водопровод.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #6, #9, #22, #51

5. Сообщение от Аноним (5), 09-Окт-25, 09:10	+1 +/–
> Уязвимость вызвана обращением к уже освобождённой памяти (use-after-free) Хм... Звучит как... Ну вы понели. Как характерная особенность одного хорошо известного всем языка. В программах на этом языке уязвимости такого рода выявляют по пачке в минуту. Любопытный факт: аббревиатура CVE уже включает в себя полное название этого языка, и даже две лишние буквы остаются. А вот еще любопытный факт: уже 50 лет подряд говорят, что язык не виноват, просто народ не тот^W^W^W программисты ненастоящие. Вот уж да: за 50 лет ни одного настоящего программиста не нашлось.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #8, #10, #11, #29

6. Сообщение от User (??), 09-Окт-25, 09:23	–8 +/–
Тут скорее болгарка об одной ручке без защитного кожуха, с однокнопочным включением и покоцанным диском. Можно работать? Можно. Можно добиться результата, аналогичного использованию _нормального_ инструмента? Конечно. Но рано или поздно (Скорее - рано) даже самый суперчудомастер окажется в, гм, интересной ситуации. Виноват ли в этом такой вот инструмент - которым _можно_ добиваться желаемых результатов - ну я даже и не знаю. Тут каждый сам для себя решает - если организация за него с какими-нибудь "Пять шагов к безопасности" заранее не подумала.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #23

7. Сообщение от User (??), 09-Окт-25, 09:25	+2 +/–
Но-но-но! Подождите часок - и тут целый перечень НАСТОЯЩИХ наберется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

8. Сообщение от Аноним (8), 09-Окт-25, 09:41	+/–
В таком случае непонятно почему безопасные языки, типа ржавчины, компилируется в еще менее безопасный чем Си язык ассемблера.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #13, #14

9. Сообщение от Аноним (3), 09-Окт-25, 09:42	+2 +/–
> это как ругать экскаватор, а не экскаваторщика, за то, что он пока копал -- перебил водопровод. Новые перлы от местных мастеров аналогий. 🤦 А чего про забивание гвоздей микроскопом не упомянули?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #70

10. Сообщение от похнапоха. (?), 09-Окт-25, 09:45	–1 +/–
Ну если это такой плохой ЯП, что ты даже боишься упоминать его название, как ботоксный дед имя одного ныне покойного деятеля, тогда почему use-after-free чиниться не сменой ЯП, а просто переписыванием кода на этом же самом ЯП? Из миллиардов строк текста, написанных на этом ЯП - use-after-free появляется не везде и не всегда, то есть дело не в ЯП, а в людях!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #16, #21, #46, #71

11. Сообщение от anonymous (??), 09-Окт-25, 09:45	+2 +/–
> Вот уж да: за 50 лет ни одного настоящего программиста не нашлось. А как же ваше любимые языки с управляемой памятью - java или python. Они ведь на си написаны. Если вы считаете что ни один программист не может справиться с си, и ошибки - неустранимое свойство самого языка, то почему вы призываете использовать другие языки, написанные на си.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #15, #17, #31

12. Сообщение от Аноним (12), 09-Окт-25, 09:46	+1 +/–
Дело не в самом языке Lua, а в Jit/Интерпретаторе встроенного LUA, коих бесчисленное множество.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #43

13. Сообщение от Аноним (12), 09-Окт-25, 09:49	–1 +/–
Если так думать - то ещё ниже уровнем электроны так вообще небезопасны, убить могут. АдОвайте код ментально у себя в голове запускать, так же безопасно...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

14. Сообщение от Аноним (3), 09-Окт-25, 09:50	+1 +/–
> почему безопасные языки, типа ржавчины, компилируется в еще менее безопасный чем Си язык ассемблера Где ты эту чушь вичитал? У Раста бэкенд - LLVM, и именно его IR, а не "язык ассемблера" переводиться в машинные коды. > В таком случае непонятно Даже если бы там был конкретно ассемблер в качестве промежуточного представления - фундаментальное различие было бы в том, что он не писался бы вручую. Что тут непонятного?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #18

15. Сообщение от Аноним (12), 09-Окт-25, 09:56	+/–
Лично я призываю использовать C#, у него давно ничего под капотом него кроме самого C#.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #54

16. Сообщение от Аноним (3), 09-Окт-25, 09:56	+1 +/–
> почему use-after-free чиниться не сменой ЯП, а просто переписыванием кода на этом же самом ЯП? Очередной горе-эксперт не видит разницы между борьбой с симптомами и борьбой с самой болезнью. Сменой ЯП оно не просто чинится - оно устраняется на корню.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

17. Сообщение от Аноним (3), 09-Окт-25, 09:58	+3 +/–
> то почему вы призываете использовать другие языки, написанные на си. Бери выше, эксперт: ядро ОСей написаны на дыряшке. Какой смысл тогда что-то улучшать, правильно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #75

18. Сообщение от Аноним (8), 09-Окт-25, 10:03	+/–
> У Раста бэкенд - LLVM Он же на небезопасном языке написан?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #19, #30

19. Сообщение от Аноним (3), 09-Окт-25, 10:06	+/–
Да, как и ядро ОС. 🫡
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

20. Сообщение от бочок (??), 09-Окт-25, 10:06	+/–
> score 10 из 10 > для эксплуатации уязвимости атакующий должен иметь возможность отправки запросов к СУБД Redis, допускающей выполнение пользовательских Lua-скриптов. Тьфу...
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

21. Сообщение от Аноним (22), 09-Окт-25, 10:23	+1 +/–
> Из миллиардов строк текста, написанных на этом ЯП - use-after-free появляется не везде и не всегда, то есть дело не в ЯП, а в людях! Нет, дело именно в ЯП. Потому что если дать ТЕМ ЖЕ людям нормальный язык, что use-after-free внезапно, больше появляется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

22. Сообщение от Аноним (22), 09-Окт-25, 10:25	+2 +/–
> это как ругать экскаватор, а не экскаваторщика, за то, что он пока копал -- перебил водопровод. Старое доброе "чтобы не было ошибок - не делайте ошибки".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

23. Сообщение от bOOster (ok), 09-Окт-25, 10:35	+3 +/–
Болгарку так-же пользует либо дурак, либо знающий человек. Дурак само собой последствий использования болгарки без кожуха не представляет. Поэтому для недопрограмистских дурачков и появляются языки типа Раста - в которых особо думать о последствиях не нужно, по словам этих же недопрограммистов. Хотя выход за пределы массива это частая проблема, но далеко не самая проблемная в целом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #24, #28

24. Сообщение от Анонимусс (-), 09-Окт-25, 10:45	–2 +/–
> для недопрограмистских дурачков Пока что "недопрограмистские дуpачки" на сишечке продолжают лепить дырени с выполнением произвольного кода. Причем это не зависит от проекта, вот в соседней новости про гимп такое же выполнение произвольного кода из-за луДших погромистов эвэр. > но далеко не самая проблемная в целом. Ну да, ну да)) Linux Kernel cvedetails.com/product/47/Linux-Linux-Kernel.html?vendor_id=33 Memory Corruption 2735 Overflow 365 Все остальные в сумме - 51 :) Да, "не самая проблемная"))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #26

25. Сообщение от нах. (?), 09-Окт-25, 10:52	+5 +/–
там диавол в деталях - особенности редисового AUTH таковы, что познакомившись поближе ты и расхочешь его настраивать. Это кривая нашлепка, сделанная видимо в последний момент, по многочисленным просьбам трудящихся. Правильная настройка редиса - это изолированная сеть, где чужие не ходят, а не бесполезный auth. Ну тебя же не огорчает что у мемкэша его в принципе нет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #34

26. Сообщение от bOOster (ok), 09-Окт-25, 10:54	+1 +/–
> Ну да, ну да)) > Linux Kernel > cvedetails.com/product/47/Linux-Linux-Kernel.html?vendor_id=33 > Memory Corruption 2735 > Overflow 365 > Все остальные в сумме - 51 :) > Да, "не самая проблемная")) Ты отлично показал свою недопрограммистскую сущность в целом. Ориентироваться на количество багов. А не их актуальное влияние на результат выполнения кода и его безопасность. 90% всего этого "счастья" выявлено посредством аудита, и использовать многие эти уязвимости в реальности нельзя. Они потенциальные.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #33

27. Сообщение от Аноним (-), 09-Окт-25, 10:58	–1 +/–
Воистинну, "C in CVE stands for C language" Дыpяшка делает дыpявым все к чему имеет хоть какое-то отношение. Вот узявимости "в LUA": CVE-2025-49844 - deps/lua/src/lparser.c CVE-2025-46817 - ‎deps/lua/src/lbaselib.c CVE-2025-46819 - deps/lua/src/llex.c CVE-2025-46818 - src/config.c, src/function_lua.c, ..., ну вы поняли :) А какие отличные были фиксы! github.com/redis/redis/commit/fc9abc775e308374f667fdf3e723ef4b7eb0e3ca - if (cast(unsigned int, key-1) < cast(unsigned int, t->sizearray)) + if (1 <= key && key <= t->sizearray) Опять бедняги не смогли правильно посчитать размер буфера. Причем они выше еще с типами нафакапили. Что не удивительно, ведь этот недоязык просто молча кастит инты туда-сюда. github.com/redis/redis/commit/3a1624da2449ac3dbfc4bdaed43adf77a0b7bfba - return (ls->current == s) ? count : (-count) - 1; + return (ls->current == s) ? count + 2 : (count == 0) ? 1 : 0; И опять не смогли! Да что же такое?!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38

28. Сообщение от User (??), 09-Окт-25, 10:59	–1 +/–
> Болгарку так-же пользует либо дурак, либо знающий человек. Дурак само собой последствий > использования болгарки без кожуха не представляет. > Поэтому для недопрограмистских дурачков и появляются языки типа Раста - в которых > особо думать о последствиях не нужно, по словам этих же недопрограммистов. > Хотя выход за пределы массива это частая проблема, но далеко не самая > проблемная в целом. О! Бывалый? ) А тут ниже жаловались, что повывелись НАСТОЯЩИЕ-то программисты - а вот гляди-ж ты - на месте. Хоть болгаркой без кожуха, хоть сишкой хеллврот (Но тут уже возможны варианты, если промпт неправильный...), хоть комментом по супостату! ... пока такие люди в стране советской есть!(Ц)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

29. Сообщение от Анонисссм (?), 09-Окт-25, 11:00	+/–
>Вот уж да: за 50 лет ни одного настоящего программиста не нашлось. я тебя плюсанул и поржал, спасибо. Но тут ты неправ, есть же всякие postfix-ы и qmail-ы
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #35

30. Сообщение от Аноним (-), 09-Окт-25, 11:01	+/–
> Он же на небезопасном языке написан? LLVM написан на современном C++17, а не убогосишке, так что даже сравнивайте. GCC, кстати, на сишке уже тоже не пишут.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

31. Сообщение от Анонисссм (?), 09-Окт-25, 11:03	+1 +/–
>А как же ваше любимые языки с управляемой памятью - java Если ты и вправду не понимаешь, объясню разок: jvm пишут профи, а сами проги на java среднячки (коих 95%). В итоге средний код на java всё равно безопаснее получается, потому что управление памятью писали профи, а среднячки только клей )
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #55

32. Сообщение от нах. (?), 09-Окт-25, 11:07	+/–
дык это практически любой экземпляр, который ты сумеешь найти в этих ваших интернетах. Там ненужно-lua со времен версии 2, по-моему.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

33. Сообщение от Анонимусс (-), 09-Окт-25, 11:10	–1 +/–
>  Ориентироваться на количество багов. Не на количество багов - их на порядки больше, а на количество CVE. На минуточку, это разные вещи. Но откуда "настоящему сишнику" об этом знать))) > использовать многие эти уязвимости в реальности нельзя. Они потенциальные. Ахаха, "ваши уязвимости не уязвимости". Ладно, давай заканчивая позориться, мы все уже поняли какой ты бракодел и 6ыdloкодер.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

34. Сообщение от Аноним (34), 09-Окт-25, 11:13	+1 +/–
> Правильная настройка редиса - это изолированная сеть, где чужие не ходят, а не бесполезный auth. И по умолчанию при деплое в docker compose это именно так. Но откуда же опеннетным админам локалхоста об этом знать, лол.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #36

35. Сообщение от Аноним (35), 09-Окт-25, 11:33	+/–
Мы говорим про тот самый qmail, в котором в 2020 году "показали возможность эксплуатации уязвимости в почтовом сервере qmail, известной ещё с 2005 года (CVE-2005-1513), но остававшейся неисправленной, так как автор qmail утверждал о нереалистичности создания работающего эксплоита" opennet.ru/opennews/art.shtml?num=52991 ? Отлично бекдор жил 15 лет!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

36. Сообщение от пох. (?), 09-Окт-25, 11:37	+1 +/–
> И по умолчанию при деплое в docker compose это именно так. Проблема что компостером пользоваться - харам даже для фанатов дыркера. Им подавай либо безбрежные поля облачков, либо дыркер run. Но тогда васян-сайт не работаит! Патамушта тоже не может подключиться. И они просто пишут -p  6379:6379 - ВО! Теперь работаит! СОФТ АСТРОЕ!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #37, #68

37. Сообщение от Аноним (34), 09-Окт-25, 11:41	+1 +/–
Я осознаю, что тут толстым слоем намазано иронией уровня /s/. Но все же интересно, как профессиональному разработчику, который часто деплоит свои разработки самостоятельно. Вот это вот > Проблема что компостером пользоваться - харам даже для фанатов дыркера. чем обусловлено?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #39, #40

38. Сообщение от Аноним (38), 09-Окт-25, 11:46	+/–
Тут главное помнить: сделал ошибку в Си на 10 баллов - неосилятор просто. Но вот если тебе не нравится синтаксис других языков где такую ошибку сделать гораздо труднее - ты передовой борец со всем плохим, а вовсе даже не неосилятор, неспособный выучить современный язык с какими-то неведомыми концепциями вроде "типы" и "проверка компилятром."
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #42, #58

39. Сообщение от User (??), 09-Окт-25, 11:55	+/–
Ээээ... так незачем уже, не? Тут даже docker-desktop (Докер-дысктоп, КАРЛ!!!) бубернетис предлагает ). Сейчас даже на "одноногом проде"(ТМ) проще k3s "в одну команду (Ну, вы её знаете - curl|sudo...)" поднять поимев с того унифицированный деплой, предсказуемое окружение и интеграцию с инфраструктурой\инструментами...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #41

40. Сообщение от пох. (?), 09-Окт-25, 12:12	+/–
тут две проблемы - во-первых, компостер зохаван и ... брошен. (Ну как и все что попадает в руки этих деятелей, покрутить, пару раз переделать и бросить, убежав за новым каким-то фуфлом) Т.е. это недоделок, который никогда доделан и не будет. (Как и сам докер, за пределами того что обеспечивает им приток деньгов - т.е. виндовый vm-based pro) При этом он пока был живой - без конца переделывался и сам с собой несовместим, поэтому выработал у профессиональных борцов с такими вот самостоятельными разработчиками и их заброшенными через два года продуктами четкую рвотную реакцию. Во-вторых оно не масштабируется. И если у тебя там что-то чуть более сложное чем десяток строчек - переносить это в какой-нибудь упаси Б-же попенштифт или не к ночи будь помянут k8s будет мучительно больно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

41. Сообщение от пох. (?), 09-Окт-25, 12:14	+1 +/–
> Сейчас даже на "одноногом проде"(ТМ) проще k3s "в одну команду (Ну, вы > её знаете - curl|sudo...)" вот за это вас и не любят. а компостер позволял все свое носить с собой, сравнительно компактно и без лишних торчащих концов. Но увы, все что попало в руки покойной docker inc имело предсказуемый конец.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #45

42. Сообщение от Аноним (42), 09-Окт-25, 12:21	+/–
В go синтаксис такой же. Но там почему-то подобные ошибки сделать не получится. Молча типы не приводит и в ручную память считать не нужно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

43. Сообщение от Аноним (43), 09-Окт-25, 12:34	+/–
А кто-то мне втирал недавно, что вм это изоляция. :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

44. Сообщение от Аноним (-), 09-Окт-25, 12:38	+/–
> уязвимость вызвана обращением к уже освобождённой памяти > проблема позволяет обойти sandbox-изоляцию > исследователи продемонстрировали рабочий эксплоит > ошибка оставалась незамеченной на протяжении 13 лет Просто шикарно! Сразу видно - типикАл сишечка :) Зачем нужны хитрые анбешные бекдоры, если можно "просто вот совсем ваще случайно" не проверить на null переменную?)))
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #47, #66

45. Сообщение от User (??), 09-Окт-25, 12:40	+/–
>> Сейчас даже на "одноногом проде"(ТМ) проще k3s "в одну команду (Ну, вы >> её знаете - curl|sudo...)" > вот за это вас и не любят. > а компостер позволял все свое носить с собой, сравнительно компактно и без > лишних торчащих концов. Но увы, все что попало в руки покойной > docker inc имело предсказуемый конец. Нуу... "да", но "нет". И условный k3s можно "с собой в закрытом контуре без доступа в Интернет" - штатная в общем-то, процедура; и первая же строчка в любой инструкции по доскеру - подключите вот отдельный репозиторий отсосдателей и скачайтераспоследнюю версию - а ту, которая у вас вот не кОчайте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #48

46. Сообщение от Аноним (43), 09-Окт-25, 12:44	+/–
> имя одного ныне покойного деятеля Чисто юридически, правильно делал, чтобы его же по судам не затаскали. Просто достаточно упомянуть имя и уже можно подавать иск за клевету, а дальше дело "экспертизы". Конечно,  но "кто же его посадит", вот и от греха подальше он не употреблял ни чьих имен, тупо рекомендация настоятельная адвокатов, хотя по психотипу и характеру ему это очень хотелось, он не то, чтобы имя, но и вслед еще трех этажный мат готов был высказать "на всю страну". пс: он один, даже в сортир не ходит, сами знаете почему :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

47. Сообщение от Аноним (43), 09-Окт-25, 12:47	+/–
> Зачем нужны хитрые анбешные бекдоры Для этого, самому анб нужны умные программисты, а для этого умную культуру программирования надо продвигать, а зачем это, если можно растить смузихлебов, вот вам и натуральные бекдоры.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #50

48. Сообщение от пох. (?), 09-Окт-25, 12:52	+/–
> по доскеру - подключите вот отдельный репозиторий отсосдателей и скачайтераспоследнюю > версию - а ту, которая у вас вот не кОчайте. вот если там компостер - то главное в этот момент остановиться, инструкцию закрыть нахрен, и посмотреть какой там ctime у компостной.ямлы Потому что может оказаться, что качать надо что-то совсем другое. (А то-которое-у-вас - тоже не работает по тыще и одной причине)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #49

49. Сообщение от User (??), 09-Окт-25, 13:00	+/–
>> по доскеру - подключите вот отдельный репозиторий отсосдателей и скачайтераспоследнюю >> версию - а ту, которая у вас вот не кОчайте. > вот если там компостер - то главное в этот момент остановиться, инструкцию > закрыть нахрен, и посмотреть какой там ctime у компостной.ямлы Угу. Если там compose, а не хотя бы podman - то всем на все уже пяток лет как покласть "И так сойдет!" > Потому что может оказаться, что качать надо что-то совсем другое. (А то-которое-у-вас > - тоже не работает по тыще и одной причине) Не-не. Технолохия уже дошла до уровня пригодности к эксплуатации без специально обученного ГУРУ (По тому, что если "дер вниз унд ниработаит!" - тот полугурка, что у тебя есть - один хрен, не поможет)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

50. Сообщение от Аноним (-), 09-Окт-25, 13:05    Скрыто ботом-модератором	+/–
> сли можно растить смузихлебов Получается чуваки, которые 13 лет назад сделали эту дырень, тоже были смузихлебами? Кто же тогде не смузихлебы? Диды которые еще в 80х код писали? Так они еще круче бракоделили!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #57

51. Сообщение от OpenEcho (?), 09-Окт-25, 13:50	+/–
> это как ругать экскаватор, а не экскаваторщика, за то, что он пока копал -- перебил водопровод. Именно поэтому и придумали руст, - отрубить 19 пальцев у эксковаторщика, и добавить девайс который держит его руку и дает нажимать оставшимся пальцем на элемнты управления не быстрее чем раз в 5 минут, и всё это чтоб заставить его думать, долго и упорно а не клацать по рычагам, правда секретную кнопочку всё таки оставили и рано или поздно он при жизненой необходимости всё равно нажмет на unsafe. И да, эксковатор то, как был мощным и способным разоравать трубу - так и остался
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #53

52. Сообщение от Аноним (-), 09-Окт-25, 13:53	+/–
Чтобы исключить ошибки, необходимо создать условия, при которых их совершение становится невозможным. Полагаться на дисциплину бесполезно: ресурс силы воли ограничен, а подсознание и бессознательные процессы сильнее сознательных усилий. Когда среда сама блокирует промахи, ресурсы силы воли на их предотвращение не расходуются — стратегия, основанная на внешних ограничениях, всегда эффективнее внутреннего самоконтроля.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

53. Сообщение от Аноним (-), 09-Окт-25, 14:24	+/–
> Именно поэтому и придумали руст, - отрубить 19 пальцев у эксковаторщика, АналОгия уровня "СИшник")) Раст это кольчужная перчатка у мясника или хирурга. Это две разнесенных кнопки у прессового оборудования или гильотины. Это датчики которые отключат станок при открытии кожуха или робота если человек зашел в зону производства. > И да, эксковатор то, как был мощным и способным разоравать трубу - так и остался Но чтобы разорвать трубу тебе нужно явно написать "хочу делать опасные вещи".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #59

54. Сообщение от OpenEcho (?), 09-Окт-25, 14:28	+1 +/–
> Лично я призываю использовать C#, у него давно ничего под капотом него кроме самого C#. Не забудьте зайти в бухгалтерию М$ за премией за рекламу, и да, будьте готовы что ваше любимое поделие будет работать со следующего релиза вашей любимой ОС, исключительно только после идентификации баранов, добровольно (уже почти не добровольно) сбегающихся в стойло на вашей любимой ОС. No more local accounts. Будете накормленны и счастливы... в пределах вашего стойла управлямого спецами из бангалора Бараны должны быть посчитанны, идентифицированны и управляемыми
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

55. Сообщение от OpenEcho (?), 09-Окт-25, 14:40	+/–
> Если ты и вправду не понимаешь, объясню разок: jvm пишут профи, а сами проги на java среднячки (коих 95%). Так то же самое и растом и го. И это в **принципе правильно**. Другое дело, что эти самые серяднячки начинают кичится и выдавать себя за крутизну, приписывая заслуги себе, не понимая, что их просто ограничили в свободе действий, потому как доверия что будут писать думая, тестируя - нет. Особенно сейчас, когда с помощью ИИ можно быстро стать "крутизной", не вникая в суть, и в итоге гитхаб полон "крутизны", но почему то без тестов, некогда им, у них мото - "двигаются быстро, ломают вещи", зато в тренде
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #56, #61

56. Сообщение от Аноним (-), 09-Окт-25, 14:45	+/–
> их просто ограничили в свободе действий А где вы увидели ограничение в свободе действий? Любой серяднячок может написать unsafe и абсолютно осознанно, и что еще важнее - явно, отстрелить себе ногу. Им всем, а не только серяднячокам, дали "предохранитель от невнимательности". И это отлично, потому что даже седовласые диды раз в год за пределы массива выходят. > но почему то без тестов Тесты тоже AI пишет))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #60

57. Сообщение от Аноним (43), 09-Окт-25, 14:50    Скрыто ботом-модератором	+/–
> Получается чуваки, которые 13 лет назад сделали эту дырень, тоже были смузихлебами? Верно подмечено, с начала массового использования С это и пошло, когда перестали писать на асм и понимать что есть память и вообще архитектура компухтера. Достаточно посмотреть на даты основания анб и использования Си. > Кто же тогде не смузихлебы? Диды которые еще в 80х код писали? Деды которые писали на асм - не смузихлебы - очевидно ведь. > Так они еще круче бракоделили! А вы думали я сишников тут выгораживать буду? кхе, кхе, кхе. Программисту не нужны "ваши" знания какого-либо ЯП, он придумывает алгоритм (описывает его), а вот уже инженер по выч. технике имплементирует его под ту или иную аппаратную архитектуру зная ее как свои два пальца. Где эти ваши аппаратные инженера? За еду во всяких интелах работают? Где хотя бы один аппаратный инженер, который скажет, что "чушь собачья вся ваша эта софтверная изоляция". Короче, опять кино про мере, устал смотреть (твердить).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

58. Сообщение от OpenEcho (?), 09-Окт-25, 14:51	+/–
> Но вот если тебе не нравится синтаксис других языков где такую ошибку сделать гораздо труднее - ты передовой борец со всем плохим Блин взрослые вроде люди... а спорят чья игрушка лучше, не понимая что всё это просто инструменты, где каждый хорош в своей области
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #62

59. Сообщение от OpenEcho (?), 09-Окт-25, 14:57	+/–
> АналОгия уровня "СИшник")) Если вы думаете что я не пользуюсь растом, то очень глубоко ошибаетесь > Раст это кольчужная перчатка у мясника или хирурга. Вам не кажется, что в принципе аналогии похожи, Ок соглашусь, ваша более красивая, но скоро халувин всё таки, вот и пришлось эксковаторщика "поукоротить" :) > Но чтобы разорвать трубу тебе нужно явно написать "хочу делать опасные вещи". Ну так я про тоже, про ту самую кнопочку :) Проблема только в том, кто сделает `cargo geiger` если вообще сделает
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

60. Сообщение от OpenEcho (?), 09-Окт-25, 15:11	+/–
> А где вы увидели ограничение в свободе действий? А вы напишите safe код, в котором вам специально **нужно** выходить за пределы буферов, делать переполнения, работать с железом напрямую и т.д. Проще и понятней (а значит более качественней) будет пользоваться правильным инструментом для таких задач, коим будет С или может даже ассемблер. Но если нет такой нужды, то раст однозначно поможет бить самому себе по рукам (и это в принципе правильно), другое дело скорость разрабоки падает, но тогда если нужна скорость разработки то проше, надежней и быстрей то наверное Го, если не смущает GC и отсутсвие приятных плюшек вроде нативной имутабилити, енумы и т.д. > Им всем, а не только серяднячокам, дали "предохранитель от невнимательности". Дать то дали, но с такой семантикой, что скорость разрабоки на нем очень тормозная. А если на расте не писать каждый день, то скорость разрабоки упадет еще больше, не говоря уже о суппорте
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #63, #72

61. Сообщение от Аноним (-), 09-Окт-25, 15:14	+/–
> серяднячки начинают кичится и выдавать себя за крутизну, приписывая заслуги себе, Кто и какие заслуги приписывает? > не понимая, что их просто ограничили в свободе действий, Это типа как "добавили ремни безопасности"? > потому как доверия что будут писать думая, тестируя - нет. Хахаха, а раньше все писали думая и тестирую. Чего тогда в супер важных проектах типа X11 дырени живут лет 20-30? А всякие дыры в SSL или ядре? Их же пишут самые профессиональные профи. На минуточку мы сейчас в теме про критическую дырень, которая жила в годами)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #64

62. Сообщение от Аноним (-), 09-Окт-25, 15:16	+/–
> а спорят чья игрушка лучше, не понимая что всё это просто инструменты Так спорят именно про интсрумент. Инструмент может быть неэффективным, может быть неудобным, устаревшим. И главное - инструмент может быть небезопасным. А раз вы сами привели такой пример... небезопасные инструменты в реальном мире замещают безопасными, а иногда даже запрещают использовать законодательно (т.е. дома вы можете убиваться как хотите, а вот при использовании на производстве вас за это просто сожрут госорганы).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #65

63. Сообщение от Аноним (-), 09-Окт-25, 15:25	+/–
> код, в котором вам специально **нужно** выходить за пределы буферов Просто интересно, в скольки % случаев это реально нужно. Это раз. А два - эта "проблема" решается одним зарезервированным словом. > другое дело скорость разрабоки падает Это требует доказательства :) Потому что тот же гугл писал, что раст команды эффективнее си команд. Особенно если считать не только разработку, а разработку+исправление багов за какой-то период. > А если на расте не писать каждый день, то скорость разрабоки упадет еще больше А если на си не писать каждый день, то сколько дыр на 1kLOC будет у такого хоббиста?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #67

64. Сообщение от OpenEcho (?), 09-Окт-25, 16:32	+/–
> Кто и какие заслуги приписывает? Вы здесь первый день что ли? Гадаят, обзываются друг на друга как малые дети > Это типа как "добавили ремни безопасности"? Ну да, только вот те же ремни из статистики делают (и опять - правильно), а не дай попасть в воду с водорослями и попытайся из них выпутаться > На минуточку мы сейчас в теме про критическую дырень, которая жила в годами) А были тогда такие safe инструменты когда это писали? Ну тогда и ничего на людей гнать. Вы им должны быть благодарны, что сейчас достигли сегодняшнего уровня. От того что вы блэймите людей за продукты написанные когда не было ни раста, ни го - это все равно что блэймить родителей ездивших на запорожцах и москвичах, понтуясь какие они лохи а вы такой крутой на Тесле
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

65. Сообщение от OpenEcho (?), 09-Окт-25, 16:34	+/–
> А раз вы сами привели такой пример... небезопасные инструменты в реальном мире замещают безопасными Ну так и замещайте! А что гнать на то, что было написанно когда небыло таких безопастных инструментов?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #69

66. Сообщение от Аноним (66), 09-Окт-25, 16:45	+/–
Надо пользовать написанное на более нормальных языках. Хотя бы https://www.opennet.me/opennews/art.shtml?num=60808
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

67. Сообщение от OpenEcho (?), 09-Окт-25, 16:48	–1 +/–
> Просто интересно, в скольки % случаев это реально нужно. Это смотря в какой области и цифр вам никто не даст > А два - эта "проблема" решается одним зарезервированным словом. И? Вы изобрели машины времени чтоб передать сэйв инстумент родичам чтоб на нем писали? Или предлагаете всем всё бросить и кинуться переписывать тонны кода с нуля? >> другое дело скорость разрабоки падает >Это требует доказательства :) Это слова, а у меня есть статистика по работе и найти того, кто будет сопровождать раст качественно и быстро - не так уж и много, а аутсорсить тем более головняк > Потому что тот же гугл писал, что раст команды эффективнее си команд. И что же тогда там доминирует Жаба да еще и в свой Го вложились и не хило так > А если на си не писать каждый день, то сколько дыр на 1kLOC будет у такого хоббиста? С не работая на ним пол года, С очень быстро вспоминается, т.к. семантика довольно простая, читаемя, в отличие от перло подобного, нечитаемого обычным человеком кода который состоит из кучи сокращений (наверное у истоков стоял кто-то не умел быстро печатать и заменил всё сокращениями, или кулхацкер думающий что он элита и кроме него никто не должен понимать что он там налабал), которые простым смертным быстро забываются
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #73

68. Сообщение от анон (?), 09-Окт-25, 17:13	+/–
>> И по умолчанию при деплое в docker compose это именно так. > Проблема что компостером пользоваться - харам даже для фанатов дыркера. Им подавай > либо безбрежные поля облачков, либо дыркер run. > Но тогда васян-сайт не работаит! Патамушта тоже не может подключиться. > И они просто пишут -p  6379:6379 - ВО! Теперь работаит! СОФТ > АСТРОЕ! Отсылка к фило? Зачёт)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

69. Сообщение от Аноним (-), 09-Окт-25, 17:19	+/–
> Ну так и замещайте! Так мы и замещаем) Вон раст в ядро добавляют, uutils делают по умолчанию, и в андроиде активно заменяют и пишут новый код.... Правда в каждой теме вопли "зачем? оно же работало! (как овно, но тем не менее)". > А что гнать на то, что было написанно когда небыло таких безопастных инструментов? А чего не гнать))? Если человек осознанно ездит на жигуляторе без подушек и ремней, то можно и нужно просто покрутить пальцем у виска. Или если он рассказывает что сортир "дырка в земле" это самое лучшее, ведь дед строил до появления нормальных компактов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

70. Сообщение от YetAnotherOnanym (ok), 09-Окт-25, 17:30	–1 +/–
Не упомянули, потому что, в отличие от тебя, понимают разницу между "человек, а не инструмент" и "не тот инструмент".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #74

71. Сообщение от Аноним (71), 09-Окт-25, 17:31	+/–
> дело не в ЯП, а в людях! То есть снова "неправильные сишники" попались?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

72. Сообщение от Аноним (71), 09-Окт-25, 17:34	+/–
> А вы напишите safe код, в котором вам специально **нужно** выходить за пределы буферов, делать переполнения Чушь не неси, подалуйста. Выходы за пределы буфера и переполнения чисто по определению не являются safe.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

73. Сообщение от Аноним (71), 09-Окт-25, 17:45	+/–
>>> > код, в котором вам специально **нужно** выходить за пределы буферов >> Просто интересно, в скольки % случаев это реально нужно. > Это смотря в какой области и цифр вам никто не даст Ты из любой области хотя бы один пример. Без этого твои заявления - не более чем дешевые набросы. > Вы изобрели машины времени чтоб передать сэйв инстумент родичам чтоб на нем писали? Проснись и пой. Сэйв интсрументы существуют и активно применяются в коммерческой разработке еще с конца 90х. > Или предлагаете всем всё бросить и кинуться переписывать тонны кода с нуля? Зачем переписывать? Достаточно не писать на сишке новый код. Собственно, как и давно делается с начала нулевых, а сейчас - и тем более. >> Потому что тот же гугл писал, что раст команды эффективнее си команд. > И что же тогда там доминирует Жаба да еще и в свой Го вложились и не хило так Потому что Раст/С применяются в обсолютно других предметных областях, чем Джава/Го. Ты там в адеквате вообще?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

74. Сообщение от Аноним (74), 09-Окт-25, 18:26	+/–
> Не упомянули, потому что, в отличие от тебя, понимают разницу между "человек, а не инструмент" и "не тот инструмент". Хочешь сказать, что проблема в микроскопе (не тот инструмент), а не в забивающем? Ведь выше, наоборот, предлагали винить экскаваторщика, а не экскаватор. Ты, бедняга, совсем запутался... 🤣
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70

75. Сообщение от Аноним (74), 09-Окт-25, 18:32    Скрыто ботом-модератором	+/–
> Бери выше, эксперт: ядро ОСей написаны на дыряшке. Какой смысл тогда что-то улучшать, правильно? Классика опернетного жанра. Воин так яростно воевал против Раста, что не заметил, как дескредитировал любимую Сишку. "Ложка нашей сишочки портит всю бочку ваших memory safe язычков. Выкусите, любители Раста!".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема