| 1.1, Аноним (1), 11:06, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –9 +/– | |
> Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers() из разных потоков для обработки общих ресурсов. При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера.
Воистину "C" in CVE stands for C language.
Интересно админы уже невидят ИИ за необходимость постоянно обновлять дырявые серваки?
| | |
| |
| 2.3, aname (ok), 11:08, 12/11/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
 CVE-2025-68260 is the first prominent race condition vulnerability discovered in Rust code within the mainline Linux kernel, specifically affecting the Rust-based Android Binder driver.
Или это другое?
| | |
| |
| 3.4, Аноним (1), 11:15, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Да, если бы вы разбирались в вопросе,
то знали что уязвимось в биндере приводила к падению
"can lead to system crashes and a denial of service".
А дыpeнь в дыpяшкe приводит к возможности "удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2".
Разница существенная. Падение сервера трудно не заметить.
А вот взлом и внеренные бекдоры могут жить годами.
| | |
| |
| 4.5, aname (ok), 11:19, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну, т.е. не о6оcpaлиcь, а специально так было задумано.
Ваши CVE не CVE, потому, что раст.
Чего только не фанаты не оправдают
| | |
| |
| 5.12, Аноним (12), 11:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Ваши CVE не CVE, потому, что раст.
Не нужно припсывать мне свои фантазии.
CVE есть CVE, но CVE CVE рознь :)
CVE-2025-68260 - 7.8 HIGH
А эта 9.8 CRITICAL, да еще и с удаленным выполнением кода.
| | |
| |
| 6.15, aname (ok), 11:48, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Но ведь: "Воистину "C" in CVE stands for C language. " ©
А что случилось?
| | |
| |
| 7.23, Аноним (23), 12:25, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А что случилось?
Да ничего не случилось, тоже не понимаю люди недовольны сишной классикой.
CVE бывают в всех языках, но мало кто может хотя бы минимально приблизится к дырявости сишки. Поэтому вполне заслуженное утверждение.
Хотя можно было бы добавить что "S in C stands for security"))
| | |
|
|
|
| 4.9, Аноним (9), 11:23, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Разница существенная. Падение сервера трудно не заметить.
Особенно если это binder в андроиде, ахахах
| | |
|
| 3.10, Аноним (10), 11:28, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Между RCE и DoS разница огромная, Rust в том случае как раз защитил.
https://opennet.ru/64439-kernel "При успешной эксплуатации уязвимость в Binder ограничивается аварийным завершением и не приводит к повреждению памяти."
| | |
| |
| 4.14, Имя (?), 11:45, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Между RCE и DoS разница огромная, Rust в том случае как раз защитил.
Если тебя устраивает отказ в обслуживании - это благо, то почему бы не обесточить устройство и не получить тем самым ганатированную защиту от RCE?
| | |
| |
| 5.22, Аноним (22), 12:17, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Если тебя устраивает отказ в обслуживании
Тебя никто не спрашивает.
Но если есть выбор из двух зол - то лучше выбирать меньшее.
Отказ в обслуживании сложно не заметить. А медленно утекающие данные легко.
А если хочется чтобы не было ни того, ни другого - "просто" оплатите формальную верификацию))
| | |
|
|
|
| 2.19, MihaNix (ok), 11:59, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Жить стало веселее!
Искусственный интеллект добрался до документов о внедрённых бэкдорах и теперь постепенно их обнародует. ;)
| | |
| 2.32, Tron is Whistling (?), 14:16, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Почему больше всего CVE на C(++/#/...) и PHP, наверное догадываешься смутно?
Просто неуловимые Джо да, неуловимы.
| | |
|
| 1.2, Аноним (2), 11:08, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
К счастью, этот сервер не самый популярный, да и http/2, если верно припоминаю, было прикручено в нём соплями. А вот закладки в php, похоже, многих задели.
| | |
| |
| 2.7, Аноним (1), 11:22, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> К счастью, этот сервер не самый популярный
К несчастью самый популярный тоже написан на дряхе и так же дыряв 🤷🏻♂️
opennet.me/opennews/art.shtml?num=66473
opennet.me/opennews/art.shtml?num=66288
opennet.me/opennews/art.shtml?num=65910
| | |
| 2.13, Анонимный аноним (?), 11:38, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Почти у всех хостеров apache сидит за nginx. apache хорошо обслуживают много разных сайтов с разными настройками, которые сидят на одной машине.
| | |
| |
| 3.18, Аноним (18), 11:52, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
А какая разница, что он сидит за nginx? Пакет то пройдёт через nginx в Apache.
| | |
| |
| 4.21, Аноним (2), 12:12, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> А какая разница, что он сидит за nginx? Пакет то пройдёт через
> nginx в Apache.
Он имеет в виду, что оценить степень популярности не представляется возможным. Если честно, сомнительно -- чем больше компонентов, тем хуже.
| | |
| 4.30, 0xdc09 (?), 13:47, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Apache в таком сетапе вряд ли хендлит HTTP/2, а слушает локально по обычному оттестированному HTTP/1.1 и без TLS. Более того, nginx нормализует всякие хедеры и пути в HTTP, не позволяя эксплуатировать ещё кучу разных потенциальных проблем парсера. Но в таком случае у нас два парсера с разной кодовой базой, что позволяет использовать *другую* категорию уязвимостей...
| | |
|
|
|
| 1.6, LaunchWiskey (ok), 11:20, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
 Они смеялись над теми, у кого сайты до сих пор на HTTP. Ну и кто смеется последний? Им подобная уязвимость не страшна.
| | |
| |
| 2.29, Аноним (29), 13:38, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Им подобная уязвимость не страшна.
Зато страшна подстановка рекламы, телеметрии и в целом слежки.
| | |
| |
| 3.31, 0xdc09 (?), 13:50, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Речь не о TLS, а о классической плейнтекстовой первой версии HTTP vs новых бинарных со сжатием
| | |
|
|
| 1.20, Аноним (20), 12:05, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Хорошо хоть в пакетах Debian/Ubuntu поддержка HTTP/2 у Apache не включена по умолчанию.
| | |
| |
| 2.24, нах.. (?), 12:35, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
для этого у нас есть девляпсы с нескучным пихонскриптом наперевес. Включат в лудшем виде, не сумлевайтесь.
| | |
| |
| 3.27, User (??), 12:56, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Не, ну так-то где grpc, а где apache - но разница в производительности, если что - вполне измеримая даже у меня, а не у гугла...
| | |
|
| 2.26, Аноним (26), 12:54, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> не включена по умолчанию
Настоящее время: "ИИ, настрой мне апач!"...
| | |
|
| 1.28, Аноним (28), 13:04, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> При успешной эксплуатации атакующий может добиться
> изменения памяти вне выделенного буфера.
"Никогда такого не было и вот опять!" (с)
> Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google.
Ну надо же, ыскуственный ыдъйот оказался уменее чем мясные мешки))
| | |
|
