Уязвимость в Glibc, эксплуатируемая через скрипты на PHP

Несмотря на то, что эксплуатация подобной уязвимости для выполнения кода кажется маловероятной, по заявлению выявившего проблему исследователя этого оказалось достаточно для подготовки нескольких прототипов эксплоитов для удалённой атаки на PHP-приложения, приводящей к выполнению кода.

это второй раз когда у меня проблемы Glibc с кодировками, может плюнуть на локали и кодировки и строки считать набором байт и не пытатся их както интерпретировать как тот же musl делает?

Ну и как после этого слушать мнения о ненужности rust?

musl, baby

CVE-2020-28928 In musl libc through 1.2.1, wcsnrtombs mishandles particular combinations of destination buffer size and source character limit, as demonstrated by an invalid write access (buffer overflow).

why, baby?

https://www.opennet.ru/opennews/art.shtml?num=56551

Соринка != бревно.
Бревно != соринка.

По твоей ссылке рассказ про уязвимость из серии https://en.wikipedia.org/wiki/Time-of-check_to_time-of-use

А тред про уязвимость из-за некорректной работы с памятью. Именно такие уязвимости количественно доминируют среди всего, что выявляется в современном ПО.

Имеем очередную дырку в ключевой системной библиотеке. Дырку, которая оставалась незамеченной на протяжении 24 лет, расползлась по всему земному шару. Дырку, которой могло бы не быть, если бы это была не сишка, а растишка..

Знаешь, почему раст самый безопасный и в нём не существует уязвимостей? Потому, что если баг в коде на си, то это сишная дырень, а если на расте - то логическая ошибка.

Уязвимостей в коде на расте полным-полно, разумеется. Но вот самый популярный класс уязвимостей - ошибки при работе с памятью - растишка позволяет исключить, при желании.

Почитай методички - уязвимостей на расте не бывает! Там только логические ошибки!

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-rust-vmm-sys-util-cve-2023-50711/

Охренеть.

ША-ПИ-ТО.

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-rust-vmm-sys-...

Угу, unsafe код

Фанатики раста совсем поехали.

Представил себе, как в 1987-м «ключевую системную библиотеку» писали на расте. Ага.

Знаешь, почему я буду злорадствовать? Потому что, во-1, про раст жужжат из каждого утюга и это маленько раздражает, да, а во-2, я считаю, что раст именно пропихивают. Например, потому, что есть языки, типа ада. Где-то я слышал заявление, что мол ада плохо подходит для прикладного программирования, но аргументов не было приведено. Возможно, если местные растофанатики соизволят дать развёрнутый ответ по этому поводу?

Например, потому, что есть языки, типа ада

И как, ты уже пишешь на аде или так и продолжаешь плодить сишные дырени?

Конечно сишные дырени! Если переписать всё на расте, то форумные тролли сдохнут с голоду! Я что, изверг по-твоему что ли? 0_0

А если серьёзно, то раньше я писал на сишке. Потом уже узнал про аду, но пока идей для программирования нет, так что сейчас я вообще ни на чём не пишу.

Заявлено, что проблема затрагивает всю экосистему PHP

PHP — ненужно уже лет дцать.

Весь цимес в том, что если бы это была стандартная библиотека плюсов и речь шла о уязвимости кода, написанного по последнему писку моды (c++23, всё по гайдлайнам Страуструпа, плюс статические анализаторы), то да, можно было бы сказать, типа а могли бы взять Раст.

Но тут сишка и ПХП. И как бы сам факт того, что уязвимости почти 25 лет, и её только недавно закрыли, говорит, что это неуловимый Джо, и аргумент с растишкой не в кассу. Тем более, что 25 лет назад не то что растишки не было, плюсы ещё не прочно на ногах стояли.

Где-то я слышал заявление, что мол ада плохо подходит для прикладного программирования, но аргументов не было приведено

Сто раз уже этот вопрос задавался в сети, и сто раз был дан ответ.

А если серьёзно, то раньше я писал на сишке. Потом уже узнал про аду, но пока идей для программирования нет, так что сейчас я вообще ни на чём не пишу

Эх, ну как же так? Каждый раз, когда слышишь о новой вундервафле в мире ЯП, ожидаешь услышать саксесс сториз, как смог с помощью неё создать более качественный продукт или как смог оптимизировать зарплаты, уволив половину программистов. А там оказывается, либо самопиар, либо Джаст фор фан…

Развёрнутого с аргументами не находил.

Ну спроси хотя бы у GPT

Ну вот я об этом и говорю. Везде только заявления, а аргументов по делу нет ;)

Тогда давай своё определение «аргумента».

То есть ты серьёзно считаешь, что ответы в духе

Сто раз уже этот вопрос задавался в сети, и сто раз был дан ответ.

Ну спроси хотя бы у GPT

считаются развёрнутыми ответами на вопрос «зачем изобретать безопасный яп, если есть, например, ада?»? Ты явно на приколе :)

Ну т.е. определения «аргумент» не будет, а тебе просто скучно, и хочется с кем-то поболтать?

Ну т.е. определения «аргумент» не будет

Ровно как и ответа на мой вопрос. По карейней мере, мне так кажется.

а тебе просто скучно, и хочется с кем-то поболтать?

Как будто что-то плохое :) Форумы в том числе служат и для общения тоже, верно?

«аргумент», оно же «говно» - определение набора колюще-режущего инструментария в разборке джунов, общеизвестно, что сеньеры приходят на такие разборки с огнестрельными аргументами.

Фанатики раста

А вот это было обидно. К расту в его нынешнем виде я скорее скептически отношусь (но гораздо лучше, чем к Си и к С++, с их ворохом проблем). Слишком много дрочки вокруг лайфтаймов, код замусорен ими (как если бы кому-то не хватало дрочки вокруг системы типов c/c++).

Представил себе, как в 1987-м «ключевую системную библиотеку» писали на расте

Лучше представь параллельную реальность, где вместо сишки повсеместно используется растишка. Лучше было бы, или хуже?

я считаю, что раст именно пропихивают

Пропихивают, можно не сомневаться. Есть заинтересанты, которые несут заметные издержки из-за уязвимостей. И хотели бы эти издержки подснизить.

Но тут сишка и ПХП. И как бы сам факт того, что уязвимости почти 25 лет, и её только недавно закрыли, говорит, что это неуловимый Джо

Удалённое выполнение кода - это нифига не «неуловимый Джо». И откуда уверенность, что оно ни на чём кроме пыха не выстрелит? А то, что нашли только сейчас, говорит о том, что выявлять нифига не просто.

Википедия вроде все ещё на пыхе, а не на движке лора

PHP — ненужно уже лет дцать.

Откуда информация?

Из надёжных источников. Уже всё схвачено. Нужно только подождать и не бухтеть.

Нужно только подождать

Уже лет дцать ждём :)

На похапе вообще что то кроме говнокода возможно?

Плохому танцору…