Целочисленное переполнение буфера в OpenBSD

Ну что, понеслась? :)

fine =)

неуловимый джо кому-то понадобился?

А уязвимость-то локальная.

> А уязвимость-то локальная.

пока не написали трояна

А напишут?

А на амд64 пойдёт?

Ой, опять дырочка в самой безопасной ОС...

> Ну что, понеслась? :)

Давно уже несётся. Си - один из ненадёжных языков. И чтобы сделать программы, написаннные на нём, надёжными, необходимо прикладывать титанические усилия, как то: 1) Компиляция с ассертами в нужных местах с целью последующей отладки; 2) Опытная эксплуатация ПО в течение продолжительного срока; 3) Сдача ПО в эксплуатацию, сопряжённая с немалым риском отказов.

И обычно на всё это наслаивается определённой тулкит по исправлению мелких проблем в ходе эксплуатации (компилятор и отладчик). Так, невозможность перекомпилировать ядро и динамической загрузить его модули превратили бы системы типа *BSD (и Linux) в бездыханных, крайне неэффективных монстров.

че то помню времена, когда опенбсдя хвасталась что в ней небыло ни одной уязвимости с момента основания... могу ошибаться, но что то подобное было... Как времена меняются... :)

Господа, вы имели честь прослушать горячечный бред полуграмотного индийского кодера, в целом сводимого к "дайте еды".

>Си - один из ненадёжных языков. И чтобы сделать программы, написаннные на нём, надёжными, необходимо прикладывать титанические усилия, как то:

Ага, чтобы сдеалть программы, вобще необходимо прикладывать титанические услилия --- топтать клаву или жать батоны, а еще думать надо :))

>И обычно на всё это наслаивается определённой тулкит по исправлению мелких проблем в ходе эксплуатации (компилятор и отладчик). Так, невозможность перекомпилировать ядро и динамической загрузить его модули превратили бы системы типа *BSD (и Linux) в бездыханных, крайне неэффективных монстров.

Это ты вобще о чем? Причем тут модули ядра???

А новость хорошая, хватить OpenBSDишникам бить себя пяткой в грудь и кричать, что у них самая лучшая ОС.

>существует в реализации BSD UNIX systrace()

Ну что за бред, systrace в OpenBSD выполняет совсем другие функции.

>Си - один из ненадёжных языков.
вы бредите товарищ?
ниасилили что-ли?
мощная трава...

1)Что-то последнее время в "самой надежной оси" находят просто детские ошибки.

2)Может мне кто-нить объяснить какой смысл во фразе "Целочисленное переполнение буфера в OpenBSD" имеет слово "Целочисленное"? :)

КТО продырявил BSD?!??
бошку атарву!

> Может мне кто-нить объяснить какой смысл во фразе "Целочисленное переполнение буфера в OpenBSD" имеет слово "Целочисленное"? :)

А там ошибка. В оригинале просто "целочисленное переполнение".

> 2)Может мне кто-нить объяснить какой смысл во фразе "Целочисленное переполнение буфера в OpenBSD" имеет слово "Целочисленное"? :)

Полтора баяна порвать невозможно - либо два, либо один.

Перевод о....ь 8(.

Локальных уязвимостей полно в любых системах.

OpenBSD хвастается, что у неё только одна удалённая дыра в инсталляции по-умолчания за 10 лет. ("Only one remote hole in the default install, in more than 10 years!", http://www.openbsd.org/)

> 2)Может мне кто-нить объяснить какой смысл во фразе "Целочисленное переполнение буфера в OpenBSD" имеет слово "Целочисленное"?

Ну ещё же ведь бывает переполнение с плавающей точкой ;)

видать опёнок совсем мало кому интересен, раз такие уязвимости на паблик выкладывают :(

Всё, что написано на С имеет дыры. Если дыру не нашли, то это не значит, что её нет. Яву для этого и придумали, чтобы избавиться от болезней С, только получилось не очень.

P.S. А кто орёт "ниасилил" тот болеше, чем "Hello world" не писал.

но ведь есть же доказательное программирование, микроядра.. выходит "ниасилили"? :)

безопасный язык!.. небезопасный язык!... ну кагдети ейбогу! безопасность <---I---> применимость_на_практике ненужное зачеркнуть . ну ладно, сдвинуть ползунок на желаемую позицию, но потом уж не физдипеть! - что выбрал, то выбрал =)

>Всё, что написано на С имеет дыры.
бредятина.
на любом языке можно написать дырявый код... если руки из жопы.

> Яву для этого и придумали, чтобы избавиться от болезней С,

Только для того чтобы избавиться от болезней человека а не C...

>P.S. А кто орёт "ниасилил" тот болеше, чем "Hello world" не писал.
сцылку в студию на ваши бессмертные творения... а иначе не пи*дите и идите обратно в песочек играться

>OpenBSD хвастается, что у неё только одна удалённая дыра в инсталляции по-умолчания за 10 лет. ("Only one remote hole in the default install, in more than 10 years!", http://www.openbsd.org/)

а недавно с openssh что было?

Ну вот и хорошо! Ещё одну дырку залатают. Ещё на одну ошибку станет меньше!

+1

А где разница в словах OpenBSD и OpenSSH?

у удава дают в аренду плакат "ДОКОЛЕ!?!", недорого, постоянным клиентам и студентам - скидка и т.д.

Ну да, проблема в отдельных небезопасных библиотеках обрабатывающие напр. массивы. Есть безопасные, которые естественно несколько медленее работают. Все эти "переполнения буферов" какраз оттуда (небезопасные библиотеки) и расут.

Если-бы ОС писали не на Си, то проблем было меньше. Но вот насколько они были-бы шустрыми?

там была дыра в portable openssh (версия OpenSSH для других ОС)

все вышесказанное - полный бред
учите матчасть (с)

акститесь красноглазые
в ляпиксе дыр больше и они намного разнооборазней, так что не надо гнать на obsd

rtfm integer overflow умник, прежде чем смеяться, подучись немного

не переживай, это осеннее обострение. :-)
я уже предлагал составить список найденных дыр в самых распостранненных дистрибах линукса и всех bsd, причем обязательно с сервисами. потому что, народ читает: а вот нашлась дырка в bsd (в дистрибе), а вот нашлась дырка в кернеле линукса (плюс дырки в дистрибе), и сравнивают, а кто дальше летит слоны или муравьи?

>Если-бы ОС писали не на Си, то проблем было меньше. Но вот насколько они были-бы шустрыми?

А вот как раз по этому вопросу флеймят тут: http://www.linux.org.ru/view-message.jsp?msgid=1603324

>А где разница в словах OpenBSD и OpenSSH?

что-то я вас не понял ;) вы хотите сказать что OpenSSH не имеет отношения к OpenBSD ? :)))

Сказали же уже, речь о portable...

>вы бредите товарищ? ниасилили что-ли? мощная трава...

А чего он такого сказал? Использование Asm/Си/C++ оборачивается ошибками, позволяющими выполнить произвольный код в системе, что практически невозможно в тех же Java-программах.

> бредятина. на любом языке можно написать дырявый код... если руки из жопы.

Сначала попробуй на Java написать код с переполнением буфера на стеке, с переполнением буфера на хипе, с целочисленным переполнением или переполнение с помощью форматной строки. Си, в отличие от безопасных языков, предлагает огромный ассортимент любезно разложенных под ногами граблей.

>любезно разложенных под ногами граблей.
а вы на них не наступайте... научитесь безопасно программировать и будет вам счастье.

>Использование Asm/Си/C++ оборачивается ошибками...
добавлю "неумелое".
т.е. эти языки не для быдлокодеров.

Я задал вопрос и получил в ответ снова вопрос, спасибо за ответ, читайте лучше что вам пишут.

>Ну вот и хорошо! Ещё одну дырку залатают. Ещё на одну ошибку станет меньше!

Патч уже давно доступен...

> Си, в отличие от безопасных языков, предлагает огромный ассортимент любезно разложенных под ногами граблей.

А вот Си++ - вообще ночной кошмар прикладников (ядра к операционкам на нём вряд ли кто пишет). Там столько граблей раскидано и разных, что нескольких талмудов для полного описания стандарта языка и всех его нелепейших несуразностей НЕДОСТАТОЧНО.

Pascal - отличный безопасный язык... для обучения, тем не менее использовался Apple для прикладного программирования, API MacOS до девятой версии было на ObjectPascal (соглашения по передаче значений при вызовах функций, кто отчечает за очистку стэка и т.д.).

Таких граблей, как в Си, в Pascal или Ada просто напросто нет, они не были предусмотрены изначально. :)

Примем ка должное, что подавляющее число прикладных(!!!) программистов использует язык Си не по назначению, а именно: для написания прикладного кода. Си - это "высокоуровневый ассемблер для переноса операционных систем и компилятора на другие аппаратные платформы" - именно для этого и ничего другого задумывался этот язык Керниганом и Ритчи. В те времена Томпсон, создатель UNIX, для которого, собственно, создавался этот язык, использовал p-код системы UCSD для решения прикладных задач.

>Я задал вопрос и получил в ответ снова вопрос, спасибо за ответ, читайте лучше что вам пишут.

полубуйтесь в зеркало

я первый задал вопрос и получил в ответ вопрос ;)))