В файрфоксе кстати какой-то кусок кода на расте занимается чтением метаданных из медиафайлов.

«И, как я понял, удаление даже одной libgme в убунте понятент за собой кучу пакетов (вот что мешало сделать её рекомендуемой, а не требуемой?»

«The following packages will be REMOVED: gstreamer0.10-plugins-bad gstreamer1.0-plugins-bad libgme0»

и не соглашаться ставить пакеты gstreamer*ugly*

Достаточно же gstreamer*bad*

У меня он тянет за собой ffmpeg kdenlive libav-tools obs-studio openmw pitivi и ещё какой-то трешачёк

а для opensuse выпущены обновления?

Пишут на говне вроде ссей, а потом удивляются. Этот ваш сси вообще был придуман Страус-Тупом чтобы порог входа в программирование задрать

Ещё одна причина перейти с Firefox, где этот небезопасный GStreamer используется на Chrom{e,ium}

Firefox тоже перешел на ffmpeg по дефолту.

https://bugzilla.mozilla.org/show_bug.cgi?id=1207429

Very much like SOSNOOLEY.

Любители автоплея должны страдать. А у меня

media.autoplay.enabled = false;

Good.

Надеюсь, GStreamer скоро вообще закопают.

И на чём же нужно писать, мой маленький, зелёный друг?

Очевидно же - на Fortran Sharp.

Какой жирный плевок в лицо GNOMEрам и шикарное пиршество мамкиным троллям, на год жратвы хватит :-P

Этой новости более месяца

Ещё и на Debian 8 простые смертные обитают). Во всяком случае я на ПК для работы держу этот дистр, и как минимум ещё один мой приятель). А так да, на ноуте со времён 9.04 на убунте. А с 11.04 на xubuntu и уже пять лет только с LTS на LTS.

вообще мимо, и не относится к сути новости

Какой жирный плевок в лицо GNOMEрам

Толсто. Во всех бы так «плевались». С такими исследованиями, и с подробным описанием сути по коду.

веб-сайта, который автоматически проигрывает

проигрывает браузер, который занимается не своим делом

Насмешили.

ничего кроме посещения веб-сайта

Он без JavaScript-то загрузится?

который автоматически проигрывает «плохой» аудио-файл

Как? У меня стоит media.autoplay.enabled false. Отключено воспроизведение мультимедиа в броузере.

что позволяет злоумышленнику получить доступ ко всем данным, которые может прочитать веб-браузер

Много он увидит из контейнера?

В случае с медиа-проигрывателем Totem, контроль над системой достигается после открытия «плохого» mp3-файла.

Кто-то еще не переел на Opus/FLAC?

Толсто.

И не думал троллить (честно), просто факт.

Кто-то еще не переел на Opus/FLAC?

Толсто. Для flac тоже делали что-то подобное. Вообще особо кодек не принципиален, все же зависит от безопасности написания софта, которое обрабатывает входные данные.

Ну плохие у тебя факты...

Смотрю у меня в системе ffmpeg версии 2.8 стоит, но когда ещё ставился Xubuntu Restricted Extras, у меня подтянулись пакеты «gstreamer1.0-fluendo-mp3_0.10.32.debian-1_amd64», «gstreamer1.0-plugins-bad_1.8.2-1ubuntu0.1_amd64», «gstreamer1.0-plugins-bad-faad_1.8.2-1ubuntu0.1_amd64», «gstreamer1.0-plugins-bad-videoparsers_1.8.2-1ubuntu0.1_amd64», «gstreamer1.0-plugins-ugly_1.8.2-1ubuntu0.1_amd64» и «gstreamer1.0-plugins-ugly-amr_1.8.2-1ubuntu0.1_amd64». Что это? Или это и есть тот самый gstreamer в виде нескольких частей? Понять не могу... И в общем эти пакеты всего лишь 1,8 метра, что маловато для набора кодеков. В тоже время вроде как используется связка VLC+ffmpeg.

что позволяет злоумышленнику получить доступ ко всем данным, которые может прочитать веб-браузер

Новость наркоман какой-то писал. Читай оригинал, короче.

1.8 mb хватит на штук 20 кодеков вполне

У меня при попытке снести gstreamer-plugins-bad по зависимостям пытается вынести кеды и еще кучу хороших вещей :(

[breezy@localhost ~]$ sudo dnf remove gstreamer1-plugins-bad-*
[sudo] password for breezy: 
Dependencies resolved.
================================================================================
 Package                          Arch   Version         Repository        Size
================================================================================

Removing:

...
kwin                             x86_64 5.8.4-1.fc25    @updates          67 k
...
plasma-desktop                   x86_64 5.8.4-1.fc25    @updates          27 M
...
libgit2                          x86_64 0.24.3-1.fc25   @updates         1.0 M
...

Transaction Summary
=================================================================================================================================
Remove  118 Packages

Installed size: 406 M
Is this ok [y/N]:

пока читал все 100500 вкладок открытых в фоксе гном предложил мне обновится. ребутнулся, зашёл на видос на ютубе, перепечатал адрес, ничего не запустилось. расходимся

на языках которые рухнут, но не дадут выйти за пределы массива/указателя по которуму уже освобождена память.

по зависимостям пытается вынести кеды и еще кучу хороших вещей :(

переходи на гном^͜^

Я думал ffmpeg и gstreamer не могут находится одновременно в системе... Видимо сейчас могут, потому как года 2 или 3 назад был конфликт в каких-то зависимостях, от чего я по рекомендации друга ставил ff.

Лучше на Xfce!

А эти языки точно подойдут для написания этих ваших кодеков и эмуляции процессора SNES?

Зато уязвимостей не будет! и потом, какая разница, что тормозит - хром или кодек? А если серьёзно, то я смотрел на go но не нашёл причин его учить, а rust оттолкнул своей философией.

Минусы DE-комбайнов как они есть. У юзеров консоли и WM'ов без задействования всякой DE-гадости от этого иммунитет.

а rust оттолкнул своей философией

Вот-таки в Rust хорошая философия, все эти проверки делать «умным компилятором». Был бы он ещё по скорости на уровне C/C++

я про наследование. мне не нравится объём кода требуемый для этого. сейчас я размышляю над тем как можно получить в каком диапазоне может быть i для циклов for(проверка на этапе компиляции). пока что толковых идей нет.

Баг три дня как пофикшен

Открыл сегодня баг репорт 1650523 на launchpad.net.

К вечеру выяснилось, что баг во всех поддерживаемых версиях Ubuntu пофикшен в пакете game-music-emu:

We've released security updates to address this issue for all supported
Ubuntu releases:

https://launchpad.net/ubuntu/ source/game-music-emu/0.6.0-3ubuntu0.16.10.1
https://launchpad.net/ubuntu/ source/game-music-emu/0.6.0-3ubuntu0.16.04.1
https://launchpad.net/ubuntu/ source/game-music-emu/0.5.5-2ubuntu0.14.04.1
https://launchpad.net/ubuntu/ source/game-music-emu/0.5.5-2ubuntu0.12.04.1

Please make sure that you've applied all security updates. Thanks!

Так что можно не волноваться.

Глинакс!

Ждём альтернативную реализацию в clang или gcc.

Я писал уже это в прошлый раз, по поводу предыдущей дыры, но повторюсь: в почти всех кодеках таких дыр десятки, если не сотни. Не патчатся десятилетиями.

Пора познать всю силу USE-флагов.

РЕШЕТО!

РЕШЕТО!

Блин, красиво всё-таки чувак поимел это днище.

Зачем же по твоему существуют node.js и подобные? Внутри браузера js живет в песочнице.

gstreamer*ugly*

Не ugly, а bad.

Не используется в фирефохэ gstreamer. Если бы использовался, было бы аппаратное декодирование.

Да причём тут это? Гстримеру не нужно de.

Как это, если сам gstreamer мог подхватывать ffmpeg?

Гстримеру не нужно de

Не нужно. Но, сами по себе бинарники и библиотеки в системе ничего не делают. Как-то же они должны быть вызваны чтобы что-то произошло. Ну, скачал, допустим юзер файлы, а дальше что? Они могут дальше у него просто лежать и слушаться хоть mpg123, хоть xmms'ом. При чём тут gstreamer? А вот именно при том, что каким-то DE нужно делать превьюшки для всего файла. И вот тут оно вызывает gstreamer. В новости написано же.

С тем же успехом я могу без DE проиграть файл плеером, использующим gstreamer. И с тем же успехом de для превьюшек может пользоваться другим мультимедиа-движком.