| 1.34, Аноним (34), 12:23, 17/10/2024 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
> Для 70% (97 из 138) из рассмотренных уязвимостей эксплоиты
> появились раньше, чем были предложены исправления в уязвимом ПО
Какой вывод можно сделать?
Что лучше вообще не добавлять уязвимости, чем пытаться быстренько все пофиксить на проде. Не получится.
| | |
| |
| 2.71, Ivan_83 (ok), 13:18, 17/10/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Вывод только один: растисты и прочие фонатики безопасности не умеют считать потому что не манагеры.
Уязвимость - разновидность деффекта ПО, читай бага.
Каждая такая бага имеет свою цену ущерба потенциального и реального, и цену исправления.
Как правило потенциальный ущерб оценивается в +бесконечность: миллиарды систем содержат ошибку. И фонатики с этим носятся как с концом света.
Реальный как правило весьма незначителен из за большой фрагментации экосистемы и прочих факторов которые митигируют возможность проявления/использования ошибки и её реальный ущерб.
Реальная ошибка принёсшая большой ущерб и неудобства - обнова краудстрайка.
Всякие там дырки когда можно было скачать закрытый ключ из за ошибки в опенссл - это фигня: серт перевыпустили, админы поработали лишних 5 минут за месяц.
А уж всякие там переполнения с рутом - да там реальный ущерб сремится в нулю.
| | |
| |
| 3.79, Аноним (-), 13:40, 17/10/2024 [^] [^^] [^^^] [ответить] | –2 +/– | Именно А еще затраты на QA, перепроверки и тд Ошибка ошибке рознь Когда можно... большой текст свёрнут, показать | | |
| |
| 4.85, Ivan_83 (ok), 13:59, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Подумай у скольких людей могла быть такая уязвимость
Я думаю у 1 - того кто её нашёл, и что дальше?)
> Открыл страничку, браузер тебя и сломал. Здорово, правда! (с)
Вы теоретик с фобиями.
Я ниже расписал что нужно не хило постаратся чтобы просто на монолитной венде это проэксплуатировать, а вы размахнулись сразу на всю галлактику.
> И заодно украли твои данные или подписали твоим ключем какой-то троян.
Вы вообще понимаете что пишите?
Та ошибка приводила к утечке закрытого ключа для TLS, максимум что можно было с ним сделать - поднять у себя такой же сайт/прокси и снифать трафик, только для этого нужно было взять под контроль DNS жертвы или встать на пути её траффика.
Если вам кажется что это легко - вам определённо кажется.
| | |
| |
| 5.87, Аноним (87), 15:00, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– | |
>к утечке закрытого ключа для TLS, максимум что можно было с ним сделать - поднять у себя такой же сайт/прокси
Послушай, дарагой! Закрытый ключ TLS - это не только про сертификаты Х509. Это еще про шифрование сессий HTTPS и VPN (SSL). Смена закрытого ключа, в случае его компроментации, защищает от расшифровки будущих сессий. А вот в случае отсутствия настройки Perfect forward secrecy (в реальности мало кто заботится), при утечке закрытого ключа *все* прошлые сессии подлежат расшифровке.
Вот где главная угроза! А ты про сертификаты...
| | |
|
|
|
|
| 1.37, Аноним (-), 12:26, 17/10/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А как они считали? Там суммарно больше 100%. Ну или новость так непонятно предоставили.
| | |
| |
| |
| 3.60, Аноним (60), 13:06, 17/10/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
да.
а вы как?
предложите свой способ складывания процентов! (146%)
| | |
|
| 2.61, Аноним (61), 13:07, 17/10/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
> А как они считали? Там суммарно больше 100%. Ну или новость так
> непонятно предоставили.
Они всё округлили в верхнюю сторону:
Twelve percent (5) of n-days were exploited within one day, 29% (12) were exploited within one week, and over half (56%) were exploited within one month. all but two (5%) n-days were exploited within six months.
12+29+56+5=102
| | |
| 2.74, Ivan_83 (ok), 13:23, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– |
Так же как адепты бизпасной разработки пишут обноснования: вот тут на нашем чудном языке вероятность ошибки будет на 10% ниже потому что язык компилит часами и проверяет кучу всего сам.
10% - это экономия 10005000 миллиардом долларов потому что наш софт установлен на милиардах девайсов и на каждом девайсе может быть очень ценная инфа которую потеряют/украдут, инфа сотка!
И того перемножаем 10005000 миллиардов на пару миллиардов девайсов и хотя бы по 100 баксов ущерба с девайса - вот мы вам тут своим чудным языком предотвратили ущербу на 10 годовых бюджетов сша, давайте нам премию и мы пошли дальше закорючки писать, результата не ждите, оно там проверят ошибки долго.
| | |
| |
| 3.80, Аноним (-), 13:43, 17/10/2024 [^] [^^] [^^^] [ответить]
| –1 +/– |
Прикинь, они в чем-то правы.
Критическая 0-day уязвимость в Chrome и libwebp, эксплуатируемая через изображения WebP
"позволяет выполнить свой код при обработке специально оформленных WebP-изображений. Опасность уязвимости усугубляет то, что в сети выявлен рабочий эксплоит, который уже применяется злоумышленниками для совершения атак (0-day)"
opennet.ru/opennews/art.shtml?num=59746
Проблемы затронули Chrome, Safari, Firefox, Thunderbird и многочисленные продукты, использующие libwebp, движок Chromium или платформу Electron.
И как вишенка на торте - оно уже использовалось.
А теперь прикинь сколько пользователей только у Хрома?
Но конечно проще писать дырявый внокод и рассказывать "авось пронесет".
Как хорошо, что такие как ты ни на что в большой разработке не влияют))
| | |
| |
| 4.83, Аноним (83), 13:51, 17/10/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
Как хорошо что в большой разработке про раст никто даже не слышал.
| | |
| 4.84, Ivan_83 (ok), 13:54, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– | |
Вы как раз из тех у кого ущерб от ошибки = колличество инсталляций где этот код есть * ххх.
А ничего что:
- в венде есть DEP, есть другие платформы где расположение в памяти будет совсем не такое как на машине где писали эксплоит, а какомнить OpenBSD вообще W^X и куча ещё всего.
- картинку ещё надо откуда то скачать, она сама себя не покажет
| | |
|
|
|
| |
| 2.62, Аноним (60), 13:08, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– |
Ну, иной вариант - как с опубликованными исходниками винампа ("обосрались").
Когда в их проприетарном софте ВНЕЗАПНО нашли куски кода лицензированного под GPL.
| | |
| |
| 3.63, Аноним (-), 13:09, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– |
> Ну, иной вариант - как с опубликованными исходниками винампа ("обосрались").
> Когда в их проприетарном софте ВНЕЗАПНО нашли куски кода лицензированного под GPL.
Та всем пофиг на жпл. Ну побухтит борода и что?
Там основная проблема, что они выложили проприетарные кода.
Именно за это репу и снесли.
| | |
|
| 2.65, Аноним (83), 13:13, 17/10/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Не то чтобы сайт им помогает. Хакеры сами стали быстрее кооперироваться и меньше шкеритья. Поэтому исследователи тоже раньше рабочие эксплоиты находят и заносят в базу.
| | |
| 2.68, Аноним (60), 13:16, 17/10/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ну ок, в чем проблема выложить проприетарные исходники?
Кто то где то запретил это делать?
Вряд ли.
Снесли их, из-за потока троллинга творящегося в иссуе, потому что посоны опоздали с этим лет эдак на 20.
| | |
| |
| 3.72, Аноним (-), 13:18, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Ну ок, в чем проблема выложить проприетарные исходники?
В том что за их "охрану" отвечают владельцы.
Которые зачастую активнее, чем аморфное сообщество и даже чем всякие НКО.
И которые готовы нанять юристов и напинать нарушителю.
Попробуй на гитахб выложить какие-то утекшие исходники и посмотрим как быстро тебя забанят.
| | |
|
|
| 1.66, Аноним (60), 13:13, 17/10/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>затрагивающие плагин WooCommerce Payments к WordPress
Привет из нулевых?
Кто то еще использует вордпресс, да еще и с плагинами?
>и Fortinet FortiOS.
эти походу вообще обосрались, ибо:
FortiOS — специализированная операционная система, разработанная компанией Fortinet и являющаяся основным средством управления для всех разрабатываемых компанией систем сетевой безопасности и защитных комплексов корпоративного уровня. Она обеспечивает комплексную безопасность на уровне сети, приложений и данных.
| | |
| |
| 2.88, Аноним (88), 15:17, 17/10/2024 [^] [^^] [^^^] [ответить]
| +/– |
а какие ещё есть способы сделать собственноручно свой магазин, прикрутить туда платёжный сервис и что-то продавать? (не в рф)
| | |
|
| 1.73, Аноним (60), 13:21, 17/10/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Странно, исходя из заголовка, подумалось что гугл опубликовали факапы своего софта.
Однако нет - больше похоже на "гасить конкурентов в зародыше"
| | |
|
