Найдено около 1200 уязвимостей в debian.

Патрик сам уже все доказал..
Слака
CFLAGS="-O2 -march=i486 -mtune=i686"
Арч
CFLAGS="-march=i686 -mtune=generic -O2 -pipe -fstack-protector --param=ssp-buffer-size=4 -D_FORTIFY_SOURCE=2 -fPIC"
:)

Не я начал не мне и опровергать.

т.е. ты желаешь, что-бы я тебе доказал наличие серверов под Debian sable?

На kernel.org одна стабильная текущей ветки еще несколько стабильных прошлых веток

заметь, что «стабильные прошлые ветки» активно развиваются. Как ты думаешь, почему так?

И разговор был о стабильной текущей ветки.

вообще-то их сейчас 8 штук. Или по твоему, 2.6.32.61 «не стабильная»?

segfault — правильное средство завершения программы? Серьёзно?

в сравнении с испорченными пользовательскими данными - 100%.

Плох тот программист, который при написании программы не учитывает вероятность потопа (с).

Тогда 80% всего кода будет обработчиками ошибок как в мультикс.

Патрик сам уже все доказал

дык во первых ему каждый день не нужно собирать, во вторых ему не нужно собирать всякое говно.

что неправильно, ибо есть и другие ошибки, кроме ENOENT.

Программа по любому должна завершиться если конфиг неправильный или оборудование не исправно.

Ошибки были найдены с помощью Mayhem

Пусть вначале свой Mayhem проверят. ЗЫ: Тюлька про Mayhem похожа на рекламную паузу.

т.е. ты желаешь, что-бы я тебе доказал наличие серверов под Debian sable?

ты уже слил и несколько раз

заметь, что «стабильные прошлые ветки» активно развиваются. Как ты думаешь, почему так?

«активно развивается» mainline а остальные фиксят найденные баги.

вообще-то их сейчас 8 штук. Или по твоему, 2.6.32.61 «не стабильная»?

по моему 2.6.32.61 это longterm из ветки 2. а так как текущая ветка - 3 то и стабильное в ней 3.9.8.

И кроме того 2.6.32.61 потянет старый udev который в свою очередь потянет и весь старый юзерспейс… и старый в данном случае это на данный момент уже настолько древний что он будет на несколько порядков в версиях древнее текущих стабильных версий.

лоровские дебианщики показали своё истинное лицо. вначале они смеются над всеми и утверждают, что их система стабильна и проверяется годами. когда же появляется сабж, они начинают кричать, что в других дистрибутивах ещё хуже или вообще, что стабильность, оказывается, никак не связана с ошибками в пакетах

в других дистрибутивах ещё хуже

Это правда, остальное нет.

Вот потому-то лучше сидеть на ubuntu, не то что ваш глючный дебиан.

Ты с какой звезды к нам прилетел?

что неправильно, ибо есть и другие ошибки, кроме ENOENT.

Программа по любому должна завершиться если конфиг неправильный или оборудование не исправно.

а если нет права чтения? А если файл был удалён после проверки но до открытия?

Mayhem

Ты кончаешь, создавая идиотские теги?

Я думаю этот парень просто блэк-металлист

https://www.kernel.org/

longterm: 3.4.51
longterm: 3.2.47
longterm: 3.0.84

Ты ничего не понимаешь в линуксах. Уходи.

https://www.kernel.org/

longterm: 3.4.51 longterm: 3.2.47 longterm: 3.0.84 longterm: 2.6.34.14 longterm: 2.6.32.61

anonymous а ты дно.

Ты ничего не понял. Арч это дебиан oldstable!

т.е. ты желаешь, что-бы я тебе доказал наличие серверов под Debian sable?

ты уже слил и несколько раз

ага. Нежеланием доказывать очевидное.

«активно развивается» mainline а остальные фиксят найденные баги.

этого разве мало? Ну вот есть у тебя сервер, всё работает. Ты туда будешь ВНЕЗАПНО ставить новое ядро, в котором есть скажем AppArmor, если в твоём текущем его нет?

И кроме того 2.6.32.61 потянет старый udev который в свою очередь потянет и весь старый юзерспейс… и старый в данном случае это на данный момент уже настолько древний что он будет на несколько порядков в версиях древнее текущих стабильных версий.

и что?

Слив засчитан. Жри свой блидинг эдж кактус и страдай, лол.

Как что? А дрочить?

В арче софт обновляется оперативней, а значит дырки и баги закрываются быстрее. Плюс там меньше шансов нарваться на дистроспецифичный баг из-за мейнтейнерских патчей,

софт обновляется оперативней, а значит дырки и баги появляются быстрее.

Плюс там больше шансов нарваться на НЕХ из-за мейнтейнерских патчей.

и не благодарите

ага. Нежеланием доказывать очевидное.

А я не вижу ничего очевидного в твоих голословных утверждениях.

этого разве мало?

Да зачастую мало потому что некоторые дыры активнее закрывают в новых версиях.

и что?

…и то что весь старый юзерспейс это еще +100500 старых пакетов с дырами

Слив засчитан. Жри свой блидинг эдж кактус и страдай, лол.

Я живу на текущих стабильных и не страдаю… А страдают вот как оказывается юзеры SlowwwwwBiana.

Думаю в коде Curiosity этот процент ещё выше. Ничего страшного. Главное, чтоб стабильно работало.

а если нет права чтения? А если файл был удалён после проверки но до открытия?

Безысходность. Зачем тогда вообще писать программы если они будут выполняться в таких условиях? Вспомнил про java2000.

см. также AEG http://security.ece.cmu.edu/aeg/ Из видео, кстати, видно что он основан на Klee, который основан на llvm.

Да зачастую мало потому что некоторые дыры активнее закрывают в новых версиях.

это потому-что их там больше.

…и то что весь старый юзерспейс это еще +100500 старых пакетов с дырами

ну и что? Зачем тебе этот старый удав на сервере? А на десктопе уютного локалхоста стабильный деб не нужен, это да. Кто-то заставляет?

А я не вижу ничего очевидного в твоих голословных утверждениях.

ну если ты считаешь, что мало серверов на Debian, то мне нечего тебе сказать. По моим данным — половина где-то. А остальное RH разные. Сейчас вот убунта появляется, но это не та убунта, которая в твоём компе, а ближе к стабильному дебу. Тоже старая и без иксов.

это потому-что их там больше.

голословно а особенно учитывая то что по крайней мере старых и хорошо изученных дыр уж всяко меньше а новые еще нужно найти…

ну и что? Зачем тебе этот старый удав на сервере? А на десктопе уютного локалхоста стабильный деб не нужен, это да. Кто-то заставляет?

ну и все.

ну если ты считаешь, что мало серверов на Debian, то мне нечего тебе сказать. По моим данным — половина где-то. А остальное RH разные. Сейчас вот убунта появляется, но это не та убунта, которая в твоём компе, а ближе к стабильному дебу. Тоже старая и без иксов.

Тут ты чо то попутал… У меня убунты так же как и SlowwwwwwBiana не было, нет и не будет.

segfault — средство завершение программы, но не со стороны программы, а со стороны операционной системы.

Я не спрашивал, что это такое и зачем нужно, это мне известно :)

exit() или уж abort() на крайний случай.

То есть ты предлагаешь переложить обработку всех тех ситуаций, которые вызывают ошибку сегментирования, на автора программы?

Эти же ребята, кстати, авторы BAP и Mayhem http://security.ece.cmu.edu/pubs.html так что работа основана поверх llvm с добавлением высокоуровневой логики на OCaml.

это потому-что их там больше.

голословно а особенно учитывая то что по крайней мере старых и хорошо изученных дыр уж всяко меньше а новые еще нужно найти…

твоё «активнее исправляют» не менее голословно.

Ну и дыры обычно специально не ищут, они сами вылезают в виде багов.

нет и не будет.

красношапко фанатег?

То есть ты предлагаешь переложить обработку всех тех ситуаций, которые вызывают ошибку сегментирования, на автора программы?

ну а что в этом плохого? Если программа ищет 100500й эл-т массива из 3х эл-тов, то кто, собственно виноват?

решето

d.o.s.

Зато там стабильнее.

Mayhem

Ты кончаешь, создавая идиотские теги?

Я думаю этот парень просто блэк-металлист

Или на акул мастурбирует.

Кроме «простых юзеров» людям ещё работать нужно. А собирать кусок lfs не хочется.

Если программа ищет 100500й эл-т массива из 3х эл-тов, то кто, собственно виноват?

Кто виноват понятно, но это не повод полагаться на совесть этого кого-то. Стукнуть такой программе по голове — вполне нормальное решение, на мой взгляд.

Он как бы намекает, что из-за мифичности безбажности соотношение преимущества/недостатки может перевешивать не в пользу деб.

Не думаю что это можно назвать эксплоитом в том смысле который вкладывают в это слово скрипткидсы.
Получишь ты например программку которая каким-то хитрым образом запускает ls таким образом что ls крешится. И чё?

Они не хотят расшатывать нежную психику некоторой части населения. Пропаганда суицида, все дела.

К твоему сведению, главный мантейнер ядра в Debian одновременно главный мантейнер ядра 3.2 на kernel.org. Но куда уж ему до тебя!

К твоему сведению, главный мантейнер ядра в Debian одновременно главный мантейнер ядра 3.2 на kernel.org. Но куда уж ему до тебя!

И это как то меняет тот факт что последнее стабильное ядро в 3й ветке это 3.9.8 ?

Обкатали уже, наверное. На самом деле, сижу на нём, потому что обновляться лень.

Как связана UNIX-way со стабильностью API & ABI? Это нормальная практика давно сгинувших ЪUNIXов. Походу ты путаешь «API stable is nonsence» от Линуса, того самого который разработчик и платформы со стабильными интерфейсами для организации производственного цикла, где разработка софта это сопровождающие работы для производства, а не конечный товар/услуга.

Никак не меняет. Но не меняет и того факта, что 3.2 официально поддерживается на kernel.org точно так же как и 3.9.

Никак не меняет. Но не меняет и того факта, что 3.2 официально поддерживается на kernel.org точно так же как и 3.9.

Ага так же как и 2.6.32.61 а дальше отматывай назад и читай про то где открытых известных проверенных и надежных дырок больше.

Найдено ... уязвимостей

thousands of crashes

желтовато. хотя баги надо закрывать

АПВС?

Для тупых повторю:
«На три порядка - это 1200000. В дебиане каков размер пакетной базы?»
Впрочем для вас это бесполезно, вы же все равно читать не умеете.

Чем Ubuntu хуже Debian?

То есть ты предлагаешь переложить обработку всех тех ситуаций, которые вызывают ошибку сегментирования, на автора программы?

Кроме аппаратных ошибок.

Еще раз, ошибка сегментации — это доступ по неверному адресу: использование неинициализированных переменных, выход за границы буфера, запись в память, доступную только для чтения. Если программист это допускает, это его косяк.

Стукнуть такой программе по голове — вполне нормальное решение, на мой взгляд.

Да, но это не повод перекладывать логические ошибки в коде на ОС. До тех пор, пока ОС прибьёт программу по сегфолту, может случится много неприятных вещей, в том числе и порча пользовательских данных. Соответственно, если программа не может обработать исключительную ситуацию, она должна авоститься, а не полагаться на то, что ось её прибьёт по сегфолту, если что пойдёт не так. Первое — нормальное решение, второе — потенциальная дыра в безопасности.