LINUX.ORG.RU

Исправления безопасности в языке Go

 ,


0

5

Go — язык программирования с открытым исходным кодом.

Вчера вышли версии 1.11.3 и 1.10.6, где закрыты три недавно обнаруженные проблемы безопасности.

Изменения:

  • устранена возможность удаленного выполнения команд с использованием команды go get -u;
  • исправлена уязвимость выхода за пределы каталога, позволявшая внедрять вредоносные файлы;
  • устранена возможность тратить вычислительные мощности, загружая в crypto/x509 цепочки сертификатов неограниченной длины.

>>> Подробности



Проверено: Shaman007 ()
Последнее исправление: cetjs2 (всего исправлений: 2)

Ответ на: комментарий от sekreti-gollivuda

На счёт того, что это зашквар, ты прав. Но это не отменяет того, что сам веб-сервер офигенный.

Это, в любом случае, опенсорс, не доверяешь сборкам автора, собирай сам. Ну замени ты седом одну строчку, делов-то, даже форк не нужен.

По-этому я держу зеркало репозитория в Gitea на всякий случай.

WitcherGeralt ★★
()
Ответ на: комментарий от sekreti-gollivuda

Я когда качаю с официального сайта то там СРАЗУ спрашивает какой режим телеметрии. Ставлю Off и все нормально. Мой докер образ собирается скачивая с URL без телеметрии. Проблемы нету особо. Плюс данные которые они шлют даже если бы я выбрал телеметрию анонимизированы как следует, читай их policy.

В любом случае, у меня без телеметрии все и усилий я на это потратил одну секунду. Не о чем говорить

vertexua ★★★★★
()
Последнее исправление: vertexua (всего исправлений: 1)
Ответ на: комментарий от vertexua

Ставлю Off и все нормально

Я только что страницу загрузок открывал, там даже ничего «ставить» не нужно, Off по-дефолту.

WitcherGeralt ★★
()
Ответ на: комментарий от sekreti-gollivuda

Не безопасен. В него встроена телеметрия.

А как телеметрия влияет на безопасность? Это же вопросы privacy.

Deleted
()
Ответ на: комментарий от router

Я всё же склонен полагать, что snap-овики локнули версии зависимостей во имя совместимости, а на безопасность чихать хотели.

anonymous
()
Ответ на: комментарий от WitcherGeralt

Python не навязывает парадигму программирования. Можно писать лапшу, а можно всё грамотно оформить. Если человек называет Питон скриптовым языком, он, очевидно, никогда не писал на нём классы. Что касается скорости, Питон - высокоуровневый язык со всеми вытекающими, С - нет. На десктопе разницы не будет. У меня из запущенных приложений половина - на Питоне + tkinter. И работают они сильно быстрее, чем другие приложения (сишные, кстати) на gtk3.

Deleted
()
Последнее исправление: Deleted (всего исправлений: 1)
Ответ на: комментарий от WitcherGeralt

Множество самого трендового опенсорса на Go написано, куда ни плюнь, везде он

трендового

как вы так разговариваете? я вот навскидку ничего не помню. может я прост не трендовый?

pihter ★★★★★
()
Ответ на: комментарий от anonymous

Goawk (скомпилированный стандартными средствами) по некоторым тестам превосходит gawk.

Я вообще не в теме, но такая формулировка попахивает подвохом.

Например, трактор Т-25 по некоторым тестам превосходит спортивные феррари. Из этого надо делать вывод что это сопоставимые по скорости машины?

pihter ★★★★★
()
Ответ на: комментарий от bread

Иначе это обертки вокруг сишных либ, а не скрипты. Питон (в широком смысле) на 90% состоит из таких оберток

А че такова? Клей — одна из самых главных задач скриптовых языков. Имхо, это очень правильный подход.

За питон не ведаю, но вот Lua прям так авторами и позиционируется, как плюшка для Си.

pihter ★★★★★
()
Ответ на: комментарий от vertexua

Я когда качаю с официального сайта то там СРАЗУ спрашивает какой режим телеметрии.

А когда я запускаю сборку «go get github.com/mholt/caddy/caddy» то у меня ничего не спрашивают.

sekreti-gollivuda
()
Ответ на: комментарий от Deleted

Если человек называет Питон скриптовым языком

Кто, где?

На десктопе разницы не будет

На десктопе какие-то другие законы физики?

И работают они сильно быстрее, чем другие приложения (сишные, кстати)

Ты лжец и идиот.

WitcherGeralt ★★
()

Скоро в asp Net core 3.0 тож будет мочь в один бинарник собираться без необходимости ставить рантайм на сервер. Так что посмотрим, может го уже будет ненужна

NetSurf
()
Ответ на: комментарий от pihter

может я прост не трендовый?

Видимо. Тренды мимо прещер обычно проходят, это нормально.

Мои личные фавориты: Docker, Caddy, Gogs / Gitea, Drone, Hugo.

Вот два больших списка проектов на Go:

Осторожно, я решил по ним пробежаться и залип на два часа.

WitcherGeralt ★★
()
Ответ на: комментарий от pihter

Да, луа правильная скриптота (хотя язык имхо фиговый).

bread
()
Ответ на: комментарий от Deleted

Если человек называет Питон скриптовым языком, он, очевидно, никогда не писал на нём классы.

Вот именно тот момент, когда выходишь за границы применимости. Понадобились кастомные классы в пистоне, считай уже провал (если это не прототип).

bread
()
Ответ на: комментарий от tailgunner

Остальные никак не завязаны непосредственно на Go и предназначены для широкой аудитории за его пределами. То, что ты лично о них не слышал, ещё ни о чём не говорит.

Caddy — веб-сервер, 19K звёзд на гитхабе. Drone — CI, 16K звёзд, я сам совсем недавно про него узнал, оказалось очень удобно. Hugo — фреймворк для быстрого создания статичных сайтиков на маркдауне, 31K звёзд.

И вообще, это же мои личные фавориты. Если бы я хотел назвать самое топое и общеупотребимое, то просто назвал бы Kubernetes, Consul и etcd.

WitcherGeralt ★★
()
Ответ на: комментарий от tailgunner

За пределами Go-коммунити известны... Docker и Gitea?

А также graphana, ethereum, etcd, git-lfs, ipfs, kubernetes, syncthing... и еще довольно много проектов.

Deleted
()

Go — язык программирования с открытым исходным кодом.

Как язык может быть с открытым или закрытым исходным кодом? Он может быть защищён или незащищён патентами или авторскими правами (если такое юридически возможно). А с открытым или закрытым исходным кодом может быть только реализация этого языка (компилятор или интерпретатор).

te111011010
()
Ответ на: комментарий от WitcherGeralt

Кто, где?

В треде.

На десктопе какие-то другие законы физики?

Глазу не заметно.

Ты лжец и идиот.

Я знаю людей, которые могут хамить в лицо и даже гордятся этим. Счастья это им не принесло. Я поделился личным опытом. Если у тебя от этого бомбит - уж извини.

Deleted
()
Ответ на: комментарий от bread

Что мешает переназначить __new__ или другие методы?

Deleted
()
Ответ на: комментарий от Deleted

Хамством это было бы, если бы было сказано безосновательно. Но ты же очень нагло лжешь и, наверняка, даже не краснеешь. У меня не бомбит, с чего бы, я сам на питоне пишу, просто я плохо переношу враньё, особенно такое тупое и бессмысленное.

За грубость прости. Просто выразился максимально лаконично, ничего личного.

WitcherGeralt ★★
()
Ответ на: комментарий от te111011010

Я думаю, что если ты против — тебе стоит создать issue в трекере Go, и объяснить Робу Пайку, что он не прав.

Описание в новости — калька с README.md.

anonymous
()
Ответ на: комментарий от anonymous

Количество проектов на Go растет в Гомерической прогрессии.

queen3 ★★★★★
()
Ответ на: комментарий от slamd64

Обычней не бывает. Ты либо ещё тупее чем я думал, либо троллишь. Если это троллинг, то слишком вялый и недостаточно тонкий. Похоже на обычный тупняк. Старайся лучше.

WitcherGeralt ★★
()
Последнее исправление: WitcherGeralt (всего исправлений: 1)
Ответ на: комментарий от WitcherGeralt

Но ты же очень нагло лжешь и, наверняка, даже не краснеешь.

А в чём враньё-то, в личном опыте, что ли? :-) Я же не утверждаю, что Питон быстрее C, такое может быть только в случае плохого кода. Я говорил, что Питон с лёгким тулкитом может быть быстрее C с тяжёлым тулкитом, поэтому на десктопе будет скорее видна разница в скорости работы тулкитов, а не логики на Питоне и C. Да, gtk3 - тормоз, в это так тяжело поверить?

Deleted
()
Ответ на: комментарий от Deleted

Глазом замерял. :) Пересел со старой версии gnumeric на новую. Теперь прорисовка окна уже загруженной программы занимает ~2 с на Intel Atom, подвисает иногда на 20 с. Так что всё дело не в ЯП, а в тулкитах.

Deleted
()
Ответ на: комментарий от Deleted

OK, это под нагрузкой. На глаз обычно переключение занимает 1-1,5 с, но, всё равно, в прошлой версии я задержки при переключении вообще не замечал.

Deleted
()
Последнее исправление: Deleted (всего исправлений: 1)
Ответ на: комментарий от pihter

Т-25 и Феррари. Goawk и gawk. Дам-с. Что там про формулировки ты говорил?

kostyarin_ ★★
()
Ответ на: комментарий от WitcherGeralt

И вообще, это же мои личные фавориты.

О чем и речь. У тебя слегка предвзятое восприятие.

19K звёзд
16K звёзд
31K звёзд

Не понял, метрикой чего это является. Вот у нишевого Sinatra 10K звезд, у Flask 40K. На этом основании можно считать, что Ruby жив, а Python рулит миром?

Если бы я хотел назвать самое топое и общеупотребимое, то просто назвал бы Kubernetes, Consul и etcd.

Вместо Consul можно смело называть Docker.

tailgunner ★★★★★
()
Ответ на: комментарий от tailgunner

Не понял, метрикой чего это является
За пределами Go-коммунити известны... Docker и Gitea?

Вот этого. Звёзд много, а значит вероятность того, что среди гоферов затесалось ещё много другого народа, очень велика.

WitcherGeralt ★★
()
Ответ на: комментарий от tailgunner

Про Caddy мне ещё только на момент его появления рассказал питонер, на drone наткнулся мой коллега, ни разу не гофер, по просто когда искал нам новую CI. А hugo — это любимый инструмент веберов-фрилансеров. Думаю, что ты ошибаешься.

WitcherGeralt ★★
()
Ответ на: комментарий от WitcherGeralt

Про Caddy мне ещё только на момент его появления рассказал питонер

Ну, городская легенда утверждает, что Google сделал Go на замену Python.

Думаю, что ты ошибаешься.

Возможно. Но судя по килозвездам локально-известного Flask...

tailgunner ★★★★★
()
Последнее исправление: tailgunner (всего исправлений: 1)

Go — язык программирования с открытым исходным кодом.

а у ЯП может быть закрытый исходный код? И вообще исходный код?

По-моему стоит разделять я.п. и средства которые его интерпретируют. А то аж глаза режет >.<

bonta ★★★★★
()
Ответ на: комментарий от NetSurf

Это ж сколько будет весить такой бинарник, если дуда весь .NET фреймворк впихнуть

Deleted
()
Ответ на: комментарий от tailgunner

Ну, городская легенда утверждает, что Google сделал Go на замену Python.

Это скорее defacto. Многие переписали проекты на Go с Python.

anonymous
()
Ответ на: комментарий от tailgunner

А мне кажется, это локальная известность.

Тебе фанатизм просто затмевает разум.

Go выстрелил, как бы тебе не хотелось обратного.

Выстрелил как идеальный промышленный язык.

anonymous
()
Ответ на: комментарий от anonymous

Выстрелил как идеальный промышленный язык.

Выстрелил, да, не спорю. Как инструмент индусов на плантациях гугла и персонажей, которые приравнивают себя к ним.

А насчет «промышленности» - увидим, что будет в Go2. Вдруг выяснится, что в промышленном языке должны быть хотя бы дженерики.

tailgunner ★★★★★
()
Последнее исправление: tailgunner (всего исправлений: 2)
Ответ на: комментарий от tailgunner

Выстрелил, да, не спорю. Как инструмент индусов в казематах гугла и персонажей, которые приравнивают себя к ним.

Типичное ЧСВ до небес. Ты на землю спустись.

Вдруг выяснится, что в промышленном языке должны быть хотя бы дженерики.

И как столько лет я на Си программировал без дженериков? Наверное, язык не промышленный был. Ну и ладно — не промышленный, так не промышленный.

Необходимость дженериков в Go — это больше мантра хейтеров, чем что-то, чего реально не хватает. Иначе столько проектов на Go бы просто не было, и еще больше не стартовало бы.

То, что действительно ждут от Go2 — меньшая многословность обработки ошибок, выше была ссылка на черновик нового варианта. А добавят или не добавят дженерики — мне как-то безразлично.

Deleted
()
Последнее исправление: Deleted (всего исправлений: 2)
Ответ на: комментарий от Deleted

столько лет я на Си программировал без дженериков

Мам, смотри, я без рук могу на велике. Вам правда нравится программировать на Си, или это доблесть уровня «не служил не мужык»? Но в го таки есть обобщенные структуры, иначе вы бы так дерзко не возбухали что дженерики не нужны. Когда все задачи укладываются в стандартнубюмапу, действительно не нужны. Хотя этот ваш аналог void даже в хеловордах вылазит, подозрительно.

bread
()
Ответ на: комментарий от Deleted

Типичное ЧСВ до небес. Ты на землю спустись.

Не переживай за меня. Я программировал на VB, так что ты не можешь рассказть мне о земле ничего такого, что я бы не знал.

И как столько лет я на Си программировал без дженериков?

https://www.anekdot.ru/id/461048/

tailgunner ★★★★★
()
Последнее исправление: tailgunner (всего исправлений: 1)
Ответ на: комментарий от bread

Вам правда нравится программировать на Си, или это доблесть уровня «не служил не мужык»?

А я не говорил, что мне нравится программировать на Си. Но я на нем много писал и пишу до сих пор, ввиду отсутствия альтернатив для многих задач.

вы бы так дерзко не возбухали что дженерики не нужны

И тут аналогично — «дженерики не нужны» я тоже не говорил. Дженерики — это хорошо, но о том, как плохо и отсутствие — я слышу в основном только от тех людей, которые на Go то и не пишут совсем. Понимаешь о чем я?

Deleted
()
Ответ на: комментарий от Deleted

Но я на нем много писал и пишу до сих пор, ввиду отсутствия альтернатив для многих задач.

Это для каких задач у чистого C нет альтернативы?

Хардкорная системщина под Linux/BSD?

Встраиваемое ПО для 8-битовых контроллеров?

Саппорт древних разработок, типа PostgreSQL?

eao197 ★★★★★
()
Ответ на: комментарий от tailgunner

у Flask 40K

Толще, чем у джанги, лол. Хайпометр такой. Можно смело делить оценки гошных и ржавых прожектов на 10.

bread
()
Ответ на: комментарий от bread

Хайпометр такой. Можно смело делить оценки гошных и ржавых прожектов на 10.

Если ты бессмысленное число разделишь на 10, то получишь еще одно бессмысленное число.

tailgunner ★★★★★
()
Ответ на: комментарий от eao197

Это для каких задач у чистого C нет альтернативы?

Хардкорная системщина под Linux/BSD?

В основном да.

Deleted
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.