Спустя год уязвимость с удалённым выполнением кода в Opera остаётся незакрытой.

Проприетарное программное обеспечение, как оно есть. Столлман предупреждал.

Опера не нужна, операсты ССЗБ

4.2
Пофикшена через несколько часов после опубликования.

Update (2011/10/17): I want to explain that I do not have a specific date when Opera was reported. As I've explained in my report in spanish, probably it was 10 months ago. By the way, note that they fixed the known as «frameset exploit» in May. However, all the vulnerabilities were reported together.

10 months ago

http://www.opera.com/support/kb/view/1002/ оно?

> Opera Software has released Opera 11.52

Уже выпустили? Но пока не пнули в сми, год не шевелились.

Я тоже могу сказать, что зарепортил найденную вчера уязвимость 7 лет назад.

Они о ней и знать не знали, потому и не шевелились.

>10 months ago

http://my.opera.com/securitygroup/blog/2011/10/19/about-the-svg-font-manipula...

Только вот подтвердить не сможешь.

Ну так где пруфы того, что он ее репортил 10 месяцев назад?

Неосиляторы детектед.

Да, пост в блоге от 10 числа, так что в любом случае небыстро.

Как можно пользоваться браузером, у которого на логотипе... гм... «расширенное» очко?

Автор эксплойта идиот, а неосиляторы в Опере? Ололо.

пост в блоге от 10 числа

Таки главным делом пишутся блогопосты, ога. Совсем дурной или как?

Пройдись по ссылкам.

With our release today of Opera 11.52, we have a fix available for this issue, less than a week after being made aware of the relevant details.

less than a week

Врунишки. Пост в блоге и exploit-db был девять дней назад.

И, да, число 19ое, лол.

Хотя может ты про пост того идиота. Так это нормальный промежуток времени. Просто обычно добросовестные граждане не выбрасывают то, что знают в инет, а сообщают компаниям сначала, и потому ты об этом не узнаёшь заранее.

http://www.exploit-db.com/exploits/17960/
Published: 2011-10-10

а сообщают компаниям сначала

Ну так он сообщил. Если проприетарщики не смогли с этим разобраться, это проблема только их профессионализма.

*Facepalm.tar.gz*

9 дней назад

С каких пор 9 дней == 10 месяцам?
И да, дев-билд с фиксом был спустя пару часов после.

>Ну так он сообщил

Ты по ссылке не читал, да? Держу пари, что если бы такая же петрушка была с фуррифоксом/хромиумом ты бы сейчас на говно изошёл весь :}

>Ну так он сообщил
Где? Покажи. Третий раз уже спрашиваю.

И, да, опубликование экплойта через неделю о «сообщении» при том, что исправления не было и тебе это известно… за это надо за яйца подвешивать.

Ах да, сообщения то не было, так что не через неделю, а сразу :}

Какой извращенной фантазией надо обладать, чтобы в нормальной латинской букве «О» видеть красное очко?

Работа у человека такая, не мучай его :}

Ещё раз предлагаю пройтись по ссылкам. А за пруфам надо обращаться в opera, этому хакеру вы же не поверите.

About 6 months ago (April 2011), we were contacted by a security research group, on behalf of a researcher, giving details of a handful of bugs and issues that could be demonstrated in old releases of Opera. We confirmed most of these in the then-current releases, and fixed the exploitable ones. These fixes were released in a regular security update, Opera 11.11.

We passed these details back to the research group, asking for more details about the remaining issue that we could not reproduce, despite extensive testing, in the then-current Opera release. Among other things, we asked if there was a known way to reproduce it in then-current Opera releases. No further information could be obtained.

Fast-forward 6 months, and we find out that a researcher - presumably the same original researcher - has found a way to modify the vector, so that current Opera releases could be exploited.

> Ты по ссылке не читал, да?

Читал. И понимаю это так, что кое кто пытается сохранить лицо, делая вид что они «could not reproduce».

Чтобы избежать таких подозрений, достаточно опубликовать первое сообщение о уязвимости и сравнить его с нынешним. До тех пор см. выше.

Телепат в треде. А может ты и есть тот кулхацкер? :}

Это врата обливиона. Покайтесь, грешники!!!

Показания расходятся. То год, то 10 месяцев, то 6 месяцев, то 9 дней.
Определитесь уж.
К слову, прочти свою же цитату. Для одаренных переведу: именно ту уязвимость, о которой таки 6, а не 10 месяцев и не год назад отрапортовали - закрыли, сразу же. Нынешняя - аналогичная, но вектор атаки другой.
Я все еще жду пруфа репорта именно этой дыры год назад.
Бабки-сплетницы такие бабки-сплетницы.

> Показания расходятся.
А если подумать? В опере заявили про «less than a week» хотя эксплоит в паблике девять дней. Так что их словам веры немного.

К слову, прочти свою же цитату.

Спустя год уязвимость с удалённым выполнением кода в Opera остаётся незакрытой. (комментарий)

Нынешняя - аналогичная, но вектор атаки другой.

Т.е. они просто неосиляторы.

Я все еще жду пруфа репорта именно этой дыры год назад.

В паблик его никто не выкладывал, откуда взяться другим пруфам?

Урааааа, в Опере наконец-то нашли уязвимость! Теперь пользователи фаерфокса могут вздохнуть спокойно и не чувствовать себя такими неполноценными.

http://my.opera.com/securitygroup/blog/2011/10/19/about-the-svg-font-manipula... — там идёт основной холивар

Это наименешая из проблем оперы, на мой взгляд. Кривое, глючное, перегруженное и неудобное говно. И тесты скорости и соответствия стандартам она проходит в стиле ИЕ9 (идет специальная заточка под тесты, а в реальности сосет).

столько попоболи ффбоя в 3х предложениях.

>В опере заявили про «less than a week» хотя эксплоит в паблике девять дней
Сколько раз тебе надо рассказать про фикс в дев-ветке, чтоб до тебя дошло?

Т.е. они просто неосиляторы.

Ну да, вот тебе выломали дверь ломом. Ты на следующий день вставил железную. А через день тебе тем же ломом выставили окна. Неосилятор, чо.

В паблик его никто не выкладывал, откуда взяться другим пруфам?

Так был ли мальчик?

> про фикс в дев-ветке
Ей пользуются простые юзеры? Тогда какая разница.
И собственно про какой фикс речь? На http://my.opera.com/desktopteam/blog/2011/10/10/featherweight-and-plugin-inst... про svg не упоминается.

Неосилятор, чо.

Они пишут, что не могли связаться с этим хакером. Вот кем надо быть, чтобы поверить в такую отмазку? Явно - фанатом.

там идёт основной холивар

1. They failed to understand the issue. 2. They failed to communicate with the researcher who found it. 3. They failed to admit 2 above fails, and blamed the researcher, therefore making it less likely for people to cooperate with them, putting us all at risk.

+1

+1

Браузеры не нужны.

Доо. Они же ведь должны были через астрал «исследователя» найти и выпытать всё методом ректального криптоанализа.

По твоей же ссылке написано «I do not have a specific date when Opera was reported». Т.е. вместо того, чтобы написать email кулхацкер пошёл и выложил всё в сеть. И ты его поддерживаешь. Линупсоиды такие фанатики, не чураются любых средств :3

>> Браузеры не нужны.

Ричард, это вы?

Может хоть это подтолкнёт их к тому чтобы завести нормальную багзиллу и платить за найденные уязвимости, как это делают ff и chrome.
Было бы у проприетарщиков всё как у людей и хакер не пошёл бы «выкладывать всё в сеть», а уязвимости описал подробно. Сами виноваты :)

>нормальную багзиллу

В неё проблемы, связанные с проблема безопасности всё равно не попадут. Как и в других, даже свободных, проектах. Сюрприз?

http://www.mozilla.org/projects/security/security-bugs-policy.html

mozilla.org has adopted the following general policies for handling bug reports related to security vulnerabilities:

Security bug reports can be treated as special and handled differently than «normal» bugs. In particular, the mozilla.org Bugzilla system will allow bug reports related to security vulnerabilities to be marked as «Security-Sensitive,» and will have special access control features specifically for use with such bug reports. However a security bug can revert back to being a normal bug (by having the «Security-Sensitive» flag removed), in which case the access control restrictions will no longer be in effect.
Full information about security bugs will be restricted to a known group of people, using the Bugzilla access control restrictions described above. However that group can and will be expanded as necessary and appropriate.
As noted above, information about security bugs can be held confidential for some period of time; there is no pre-determined limit on how long that time period might be. However this is offset by the fact that the person reporting a bug has visibility into the activities (if any) being taken to address the bug, and has the power to open the bug report for public scrutiny.

>Full information about security bugs will be restricted to a known group of people

Куда входит запостивший уязвимость и он может отследить ситуацию.

В Опере когда репортишь тебе даётся email для твоего конкретного бага. Пишешь туда и получаешь профит.

И там реально можно узнать его статус? Судя по результатам это скорее отписки совок-стайл.