|
| 1.3, Нанобот (ok), 10:48, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +17 +/– |
 если между публикацией протрояненого обновления и его удалением прошло всего 2-3 часа, то это очень даже хороший показыватель...а ведь могли бы заметить через 2-3 недели
| | |
| 1.4, Аноним (4), 10:58, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
>Атаковавшие проявили осмотрительность и встроили бэкдор не в самую свежую ветку 3.4.x, последний выпуск которой насчитывает более 217 тысяч загрузок, а как обновление для прошлой ветки 3.2.x
возможно дело не в осмотрительности, а в том что они хотели взломать какой-то конкретный проект, использующий эту версию
| | |
| 1.6, Аноним (6), 11:04, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| –9 +/– |
Имя напоминает червя SASSer, я бы не стал такой либой пользоваться
| | |
| |
| 2.34, axredneck (?), 00:29, 06/04/2019 [^] [^^] [^^^] [ответить]
| +1 +/– |
Слова "git", "gimp", "cron", "grub" итд. тоже похожи на названия каких-то стремных малварей.
| | |
| |
| 3.38, Владимир (??), 10:34, 08/04/2019 [^] [^^] [^^^] [ответить]
| +/– |
 Или стихи Маяковского:
Били копыта,
Пели будто:
- Git.
Grub.
Cron.
Gimp.-
| | |
|
|
| 1.7, Аноним (7), 11:09, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Примечательно, что вредоносный код был опубликован только в финальном пакете, опубликованном в репозитории RubyGems, но не был внесён в исходные тексты в Git-репозитории.
Не понял ? Они что хотят что в RubyGems нет с гита заливается ?
Офигеть ... И как они тогда проверяют на соответсвие сорцам ссылку на которые они дают на своем сайте ?
Мда ....
| | |
| |
| 2.11, GentooBoy (ok), 11:17, 05/04/2019 [^] [^^] [^^^] [ответить]
| –1 +/– |
 Точно также как и везде, с чего оно должно с гита заливаться? Нужно сформировать пакет потом залить в репу. Так у всех. Ну то есть вообще у всех. Другое дело что ты можешь поставить build server и делать это автоматически.
| | |
| |
| 3.18, хм (?), 15:17, 05/04/2019 [^] [^^] [^^^] [ответить]
| +/– |
Packagist например просто трекает git-репозиторий и версия пакета там - это тег или ветка в гите. Так что подобное там вроде невозможно.
| | |
| 3.32, anonymous (??), 21:40, 05/04/2019 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Хз где это так - также где и везде.
Вот к примеру koji ты берешь spec и патчи кладешь на githab потом команда koji собирай. Он стягивает спек и патчи с гита и потом сырцы по указанию со спека и собирает пакет и кладет его в bodhi для теста. (fedora сборка рпм)
Хз как в дебиане - но поди также.
Я вообще удивлен что у них туда гемы грузят отдельно от сырцов.
| | |
|
|
| |
| 2.15, хотел спросить (?), 12:47, 05/04/2019 [^] [^^] [^^^] [ответить]
| –2 +/– |
да везде хватает подводных камней
в системном программировании их даже больше
разница только в том что в "мирке" мало не веб-макак
| | |
|
| |
| 2.36, mishaor (ok), 16:54, 07/04/2019 [^] [^^] [^^^] [ответить]
| +/– |
 ту же самую Bulma можно поставить, и сайт покрасивее будет, и лишнего JS не требует.
| | |
|
| 1.13, Анонимс (?), 11:50, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> пакет с бэкдором был загружен около 1500 раз
Ферма из 1500 узлов, интересно, это сколько же можно было намайнить битков и эфира?
| | |
| |
| 2.14, имя (?), 12:44, 05/04/2019 [^] [^^] [^^^] [ответить]
| +/– |
сейчас уже что-то другое майнят, биткоин вроде и вовсе не выгоден для майнинга, даже при "халявных" ресурсах
| | |
|
| 1.17, Аноним (17), 14:20, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
Я читал комменты и думал это только возможно в npm, а вот оно как оказывается.
| | |
| |
| 2.28, Марк Шаттлворт (?), 19:08, 05/04/2019 [^] [^^] [^^^] [ответить]
| +2 +/– |
Если по комментам ориентироваться, то можно на другие сайты не ходить - тут есть эксперты во всем и всегда тебе помогут с тем где ты неправ
| | |
|
| 1.22, Аноним (22), 17:14, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Примечательно, что вредоносный код был опубликован только в финальном пакете, опубликованном в репозитории RubyGems, но не был внесён в исходные тексты в Git-репозитории.
Получается пакеты в репозитории RubyGems собираются не из репозиториев с исходным кодом, а загружаются уже собранные? Очень странное решение авторов RubyGems.
| | |
| 1.29, J.L. (?), 19:37, 05/04/2019 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 > Информация о возможном бэкдоре была опубликована в системе отслеживания ошибок спустя несколько часов после размещения проблемного выпуска 3.2.0.3, после чего примерно через час мэйнтейнеры удалили проблемный выпуск из RubyGems и поменяли пароли для входа, но не учли, что удалённые версии ещё несколько дней могут оставаться доступными на зеркалах. 3 апреля был дополнительно сформирован выпуск 3.2.0.4, полностью аналогичный версии 3.2.0.2, который позволял избавиться от версии с бэкдором без перехода на новую ветку 3.4.
круты, всем хотя бы так оперативно действовать
| | |
| |
| 2.31, Онаним (?), 20:26, 05/04/2019 [^] [^^] [^^^] [ответить]
| +2 +/– |
Удивительно. Я уж думал тех, кто делает код ревью зависимостей, вообще не осталось.
| | |
|
|
