Уязвимости в systemd (CVE-2021-3997) и Flatpak (CVE-2021-43860)

В systemd выявлена уязвимость

А сколько таких дыр еще не выявлено. Решето.

а UNIX создавался хакерами для хакеров, т.е. цель была создать гибкий инструмент, где каждый при помощи кубиков типа lego мог «захачить» что-то необычное. он был простым не для простого пользователя, а для технически грамотного.

Может он и создавался для этого, но сейчас, картина совершенно другая, ввиду распространения всяких user-friendly дистрибутивов. Сейчас, нет такого, что «я не разобрался», потому что разбираться и не надо. Какой нибудь Mint или Ubuntu с установкой через 3 нажатия мыши и ввода логина с паролем тому подтверждение собственно. Да и к тому же, сейчас даже тот же arch, который по какой-то причине людьми считается сложным, ставиться буквально за 10 минут просто посматривая на документацию и особо понимать ничего не нужно, будто за ручку ведут.

в итоге вопрос, использовать или нет, зависит от того, какая цель.

И тут же собственно вытекает то, что для любого рядового пользователя systemd или нет - роли не играет. Максимальное целенаправленное взаимодействие с этим компонентом заканчивается на systemctl enable...

Скорее при загрузке. По FHS не обязано, кстати, это больше хороший тон и здравый смысл.

Когда уже люди наконец осознают, что писать программы без уязвимостей в принципе невозможно: нельзя за конечное время описать бесконечное количество состояний тьюринговской машины. Это как носить воду в решете.

Оправдывание касяков за счёт абстрактной бесконечности кейсов использования? У тебя две кнопки. Количество кейсов с ними бесконечно?

Когда уже люди наконец осознают, что писать программы без уязвимостей в принципе невозможно

Тогда детей воспитывайте )

Такую ошибку и компилятор отловит.

8-() Какую ошибку должен отловить конпелятор?

Здесь речь, скорее, про

Какое скорее ? Вы пытаетесь мне обьяснить, что я хотел сказать написав этот кусок? Вы не психоаналитик случайно? :)

Когда уже люди наконец осознают, что писать программы без уязвимостей в принципе невозможно

Тогда детей воспитывайте )

Пробовали за долго до... такая лажа получается. :)

У тебя две кнопки. Количество кейсов с ними бесконечно?

Я тебе больше скажу. Даже с одной кнопкой количество кейсов может быть бесконечно.

Вспоминаю тестовую программу Эдика (@EddyEm), где он не смог нормально описать состояние двух «кнопок» на МК. Лулзов тогда прилично нафармили xD

Здесь речь, скорее, про

Какое скорее ? Вы пытаетесь мне обьяснить, что я хотел сказать написав этот кусок?

Я имел в виду обсуждаемую тему и мой комментарий, на который ты отвечал. Но если хочешь вести монолог — я тебя не осуждаю.

8-() Какую ошибку должен отловить конпелятор?

$ gcc test.c 
test.c: In function ‘main’:
test.c:6:20: error: invalid type argument of unary ‘*’ (have ‘int’)
    6 |  int e = a + b; e =* c;
      |                    ^~~

Если ты не её имел в виду, тогда я не понял намёка. Попробуй объяснить доходчивее.

А, распарсил.

установка - это вообще дело десятое. важно, какой из него инструмент выходит.

для любого рядового пользователя systemd или нет - роли не играет.

для рядового пользователя вообще ничего роли не играет, лишь бы котиков смотреть можно было.

вопрос, является ли рядовой пользователь вообще аудиторией линукса. нет, рядовой пользователь не является аудиторией линукса. кроме студентов-энтузиастов, аудиторией являются инженеры, которым необходимо на основе гибкой системы создать решение «под ключ». как я выше написал, с утратой гибкости, теряется это его преимущество.

Ты нашёл «ошибку» в моём коде? :) Поздравляю.

Ааа блин, точно *= ну очепятался, посыпаю голову пеплом.

Это нормально :)

так это проблема эдиков, а не кейсов, не находишь?

А каково мнение intelfx по данному вопросу?

Повод, да. А причина - просто надо что-то ненавидеть, иначе ведь нельзя.

вопрос, является ли рядовой пользователь вообще аудиторией линукса. нет, рядовой пользователь не является аудиторией линукса.

Тогда я не понимаю для кого нужны user-friendly дистрибутивы. Все которые уже собраные, настроенные и с предустановленым ПО. Для кого это?

есть такая штука, которая называется проверка корректности, для этого используются самые разные способы включая гомотопическую теорию типов…

Когда то ученые доказывали, что Земля плоская и количество чертей на кончике иглы подсчитывали. Что с неба камни не могут падать и что коммунизм - научная теория)))

Это пытаться что-то доказать дураку.

Особенно, если сам доказывающий недалеко ушел и сам альтернативно богато одарен.)))

Особенно забавно, если учесть, что кроме ошибок самого кода есть еще ошибки оборудования, вероятность которых весьма велика. Достаточно почитать errata на любые процессоры, чтобы волосы встали дыбом. Что это еще как то работает

Доказать можно, если все происходит в идеальном мире в сферическом вакууме

Особенно когда к первому присоединяется ещё один дурак.

Тогда я не понимаю для кого нужны user-friendly дистрибутивы. Все которые уже собраные, настроенные и с предустановленым ПО. Для кого это?

Исторически это начиналось, когда стоял вопрос о распространении линукса как альтернативы винды на десктопе. (это уже на 10 лет после появления просто дистрибутивов типа slackware) Считалось, что если дать такой дистр в руки, то он автоматически заменит винду. Так, например, появился дистр ubuntu на деньги космонавта. В их трекере долгое время висел баг номер один «убунту не занимает лидирующего процента на десктопе», потом его тихонечко прикрыли. Сейчас они больше сосредоточены на юзер-френдли _серверном_ варианте и, возможно, получают с него какие-то деньги.

RedHat и OpenSuse традиционно используют юзерфрендли дистры для тестирования на доверчивых пользователях корпоративных решений, которые они потом будут предлагать за деньги. Правда, кому предлагаются десктопы на линуксе, точно не известно. У меня только слухи. Слышал, что в нефтяной промышленности на RHEL десктопе запускается специфический софт. Возможно, биржевой софт на крупнейших биржах. Да, это стабильно. В этом секторе давняя конкуренция с Solaris. Какой-то рендеринг в голливуде, возможно.

Кроме RedHat, есть бизнес импортозамещения в европе и в россии.

Определенный спрос на линукс-десктоп есть у разработчиков: веб-разработчиков, java-разработчиков... они могут тут же на линуксе поднять веб-сервер, есть нужный инструмент для тестирования и разработки. Но эта ниша активно вытеснялась Apple и с недавнего времени WSL (Windows Subsystem for Linux). Такому разработчику проще за Apple заплатить, чем линукс чинить. Это вот ближе всего к тому «простому» пользователю, которого ты имел ввиду изначально.

Все остальное (Gentoo, Arch, Void...) - это сборки от студентов и энтузиастов для таких же студентов и энтузиастов. Они just for fun и because we can.

Ну и вот если подвести всё вышесказанное, можно понять, что все перечисленные дистрибутивы используют systemd. Потому что для таких решений - это просто, доступно и понятно. Для тех, кто как раз таки собирает из кубиков свою систему для себя и своих задач это может и будет костылём, хоть и не для всех, но сугубо говоря таких людей на линуксе сейчас, катастрофически мало. Те 2% десктопных пользователей линукс в 1.5%, а то и в 1.7%, составляют как раз таки «простые» пользователи, которые пришли либо от того что у них слабое железо и они хотят с него больше производительности, либо из-за того что им рассказали как у них фреймрейт в играх повысится и им так же захотелось, либо же просто по причине «вендекапец» и «почему бы нет?..». Те остальные 0.5-0.3%, которые готовы полировать систему ради того, чтобы абсолютно точно знать что и как у них работает это может быть и была основная аудитория линукса ранее, но сейчас картина совершенно другая.

ты спросил, для кого юзерфрендли дистры. я ответил. ты сделал вывод о востребованности systemd вообще. не видишь нарушения логики?

Те 2% десктопных пользователей

но сугубо говоря таких людей на линуксе сейчас, катастрофически мало

потому что почему ты сделал такой вывод? ты что, думаешь, ты по лору будешь судить об использовании линукса в проф.среде? сюда заходит очень малая толика тех, кто с ним профессионально работает. при этом куча тех, кто использует его по приколу, а процент десктопных пользователей, это не процент инженеров по интеграции и сетевиков.

таки собирает из кубиков свою систему

ты ничего не понял. не систему он собирает из кубиков. систему только школьники-гентушники здесь собирают. из тех кубиков, что предоставляет система, инженер собирает решение для клиента.

Те остальные 0.5-0.3%, которые готовы полировать систему ради

еще раз. ты совсем не понял, о ком мы говорим. мы не говорим, о школьниках, которые компилируют генту. мы говорим об инженерах, которые на основе линукса настраивают нагруженные системы в интернете. и их не «катастрофически мало». это одна из основных групп профессиональных пользователей linux (и совсем не факт, что на десктопе у них та же ОС).

в этом треде я привожу пример задачи, которую systemd перестала решать.

Linux в 2021 из заморозки - вопросики (комментарий)

мы получаем ответ от systemd-админа, что это «неправильная задача» Linux в 2021 из заморозки - вопросики (комментарий)

* о проблемах сопровождения systemd: systemd 249 (комментарий)

* о том, как это происходило вообще: Релиз systemd-homed - нового компонента systemd (комментарий)

* о проблемах производительности: systemd-journald жрёт 80% цпу (комментарий)

* откуда вообще взялся systemd: InitWare — форк systemd для Linux, BSD и MacOS (комментарий)

либо из-за того что им рассказали как у них фреймрейт в играх

какие нафиг игры? ты о чем?? кто говорит об играх и линуксе вместе? забудь об этом. обычно это школьники, которые поставили линукс, чтобы стать особенными, а потом им захотелось поиграть.

которые пришли либо от того что у них слабое железо и они хотят с него больше производительности

это соверешенно устаревшие сведения. времена, когда на линукс приходили, потому что он был легче, давно прошли.

Производительность ниже, чем на офтопике (комментарий)

а когда я спрашиваю у лора, стоит ли мне ставить линукс людям на старый компьютер, меня активно отговаривают: Linux в подарок

а в конце выясняется, что в убунту баг десятилетней давности и вайфай не заводится в скоростном режиме.

странно. а почему у кнута получилось?

а сколько он добавочной стоимости создал?

Особенно когда к первому присоединяется ещё один дурак.

Патчик-то накатил?

Фига се, оно еще живо оказывается...

Не. Просто отголоски давнего срача. Бернштейн очень одиозный персонаж с манией величия. Где-то статья есть и про уязвимости qmail и реакцию на них (например в документации добавил параметры для запуска tcp server'а своего, не объяснив зачем, но уязвимость не признал). У многих пригорало от его поведения и нимба, который он сам себе повесил.
А так ванильный qmail всегда был бессмысленен без патчей, а за патчи Бернштейн не отвечает (и не принимает их).

ты что, думаешь, ты по лору будешь судить об использовании линукса в проф.среде

Ну так-то процент использования в проф. среде это совершенно не десктопный процент. Там людям он нужен для выполнения конкретных задач, на конкретном железе в конкретных условиях, как по мне это далеко от просмотра котиков и сериалов. Или я не прав?

ты ничего не понял. не систему он собирает из кубиков. систему только школьники-гентушники здесь собирают. из тех кубиков, что предоставляет система, инженер собирает решение для клиента.

Я из-за того-то и не понял наверное, что я говорю про десктопных пользователей, которые приходят домой и им на компьютере нужно котиков посмотреть и соц. сети полистать, а ты говоришь про людей, которые занимаються линуксом профессионально и собирают решения для клиента. Ну и ты сам же подтвердил мои слова тем что:

то одна из основных групп профессиональных пользователей linux (и совсем не факт, что на десктопе у них та же ОС).

Ну так проблема непонимая в том, что мы изначально говорили про systemd и я еще тогда сказал что это, возможно, костыль для тех кто занимается линуксом профессионально, но «обычному» пользователю которому нужны котики и сериалы попросту всё равно.

какие нафиг игры? ты о чем?? кто говорит об играх и линуксе вместе? забудь об этом. обычно это школьники, которые поставили линукс, чтобы стать особенными, а потом им захотелось поиграть.

Вот за это я слышал, но сам понятное дело, не пробовал, т.к всю жизнь играю в игрушку которая даже на тапке пойдёт. Но ты просто попробуй где-то поискать видео с бенчмарками линукс и виндовс. Там в некоторых играх и при некоторых условиях показывает больший фреймрейт и я смею предположить, что это могло стать для кого-то ключевым. Хотя и не ручаюсь.

это соверешенно устаревшие сведения. времена, когда на линукс приходили, потому что он был легче, давно прошли

Значит я ошибся.

мы изначально говорили про systemd и я еще тогда сказал что это, возможно, костыль для тех кто занимается линуксом профессионально, но «обычному» пользователю которому нужны котики и сериалы попросту всё равно.

так я и спросил тебя, а линукс вообще для кого? «обычного пользователя» там как такого нет. 2%? корпоративный десктоп под вопросом, потому что обслуживает его не сам пользователь. вообще линукс на десктопе под вопросом из-за отсутствия прикладного коммерческого софта. весь твой «обычный пользователь» - это веб-кодеры и студенты. первые переходят на платные беспроблемные ОС, вторые фактически пытаются запустить игры на ютубе и больше ни на что не влияют.

в то же время на серверах у линукса процент зашкаливает за 80%, в зависимости от сферы. понимаешь, к чему я это?

проблема в том, что systemd, скопированная с десктопного мака, внедряется сразу везде. на самом деле это нишевое решение, которое поддерживает основной внедрятор федоры Facebook, но его решили назвать универсальным и впихнуть везде. Далеко не все компании работают по тем же принципам, что Facebook.

Ситауция такая: куча серверов под линукс и армия админов,

* которая лет 20 исповедует UNIX-way,

* которой платят «чтобы все работало»,

* которая принимает решение, что использовать,

* которая все проблемы практического обслуживания серверов за 20 лет уже знает гораздо лучше, чем поттеринг,

* которая не «простой пользователь» и может исправить скрипт налету

* поттеринг, заметь, никогда не админил, не написал в своей жизни хорошего софта. все его достижение - задизайнировал аудиосистему, которую потом внедрили, а он бросил. баги фиксили уже другие. и через 15 лет признали недостаточно риалтаймовой.

* переделал не только init, но и все базовые компоненты. даже про переписывание glibc речь шла. причем, как я написал выше, без опыта работы в необходимой сфере.

выходит ситуация, которую я описал Релиз systemd-homed - нового компонента systemd (комментарий)

systemd, скопированная с десктопного мака

Дальше можно не читать. Я прочитал, и зря, там ещё хуже. Твои личные обиды на альфу и твоя боязнь вылететь из профессии уже надоела.

В каждом треде оставляешь десятки комментариев о (де-факто) своей выдуманной болезни, теперь ещё везде офигительные истории как ты на фрибсд переехал.

Форум вроде технический когда-то был, а теперь везде твои сопли и прочее.

Покажи свой код (с)

Значит я ошибся.

думаю, да. потому что кроме ссылки выше, вот уже и свежее мнение

Гном-ном-ном (комментарий)

Человек хочет, чтобы просто работало, как в винде и маке, и неважно, сколько ресурсов. Сложность в том, что Linux всеравно никогда не будет на том же уровне, что Windows и Mac, а из него пытаются сделать похожу ОС, только хуже. Поэтому вот такая вот попытка сидеть на двух стульях сразу: и сервер, и десктоп.

А когда я говорю, что у меня вместо гигабайтов занято всего 16 мб надо мной смеются

занято всего 16 мб

Сложно прокомментировать, не попав под удаление. Скажу так - ты лжешь.

Читайте внимательнее на что отвечаете. Таки в том случае про который упомянули cp+rm inode ещё как меняется.

Для кого это?

Для тех, кто их создаёт? Чтобы убедиться, что не совсем потеряны для общества? )

и что коммунизм - научная теория)))

Землянам ведь слабо́ в коммунизм. Только хардкор примитива.😶

Земляне могут в коммунизм. их просто уничтожить надо.

На самом деле очень грустно что всё именно так. Но к слову говоря, мне кажется, что линукс хотя бы даёт возможность уменьшения потребления ресурсов. Как ты и говорил 16мб ОЗУ и ведь это реально. Лично мне не нужно:

как в винде и маке, и неважно, сколько ресурсов.

Мне нужна система, которую я просто буду использовать. К примеру тот же арч у меня стоит давно и программы, де и всё остальное в нём не меняется, т.к мне больше ничего и не нужно. Потребление ресурсов меня вполне устраивает, а про виндовс я такого сказать не могу. Мы с тобой видимо не можем найти точек соприкосновения ведь ты в этой теме давно и понимаешь все тонкости и аспекты, а я их не понимаю, т.к не являюсь продвинутым в «технарьской» области (но, к слову, хотя бы могу это признать, в отличии от некоторых некомпетентных пользователей, которые даже на мои скромные знания пишут абсолютную ахинею). Я по факту говорю от лица человека, который никак не связан с серверными аспектами линукса, который поставил линукс чтобы сократить потребление ресурсов на старом железе и о чудо, это действительно так. Я сказал про то что линукс ставят из-за низкого потреблении, ресурсов не из воздуха, а из своего опыта. Наконец-то до меня дошла твоя мысль по поводу десктопных дистрибутивов. Спасибо за разъяснение.

Требую немедленной разблокировки комментариев в теме Первый в РФ центр обработки данных в основном с российским ПО построят во Владикавказе в течение 24 часов!

Несанкционированное, незаконное ограничение комментариев в вышеуказанной теме нарушает права человека в РФ, нарушает ключевые принципы свободного распространения информации и доступа к ней, в частности, граждане, лица без гражданства, гости столицы и физлица-иностранные агенты (с соблюдением установленной законом маркировки сообщений) произвольно и безосновательно лишаются возможности высказать своё восхищение мудрыми решениями правящей партии. Требую принять меры и прекратить нарушение законных прав и интересов россиян данным интернет-ресурсом в сети «Интернет».

Я просто хочу, чтобы у тебя сходу общая картина более объективная была. Помнишь, ты говорил, что тебя интересует subculture? Вот я тебе хотел объяснить, что нынешняя subculture линукса - это студенты-анимешники, веб-кодеры, и windows-like инженеры (сисадмины, девопс...). Короче, ты не в элите, а в мейнстриме.:) И systemd - это просто еще отражение тренда. А та интересная субкультура, где люди искали нестандартные решения, она не среди тех, кто на лоре выкладывает очередной скриншот с гномом, или разводит срачи или применил очередную хаутушку из инета.)

Как ты и говорил 16мб ОЗУ и ведь это реально

это старый софт 20 летней давности и такой же юзер:)

Сходил по ссылке, поржал. В 2005 году делал инфру с шифрованными дисками, root зашифрован, требование заказчика, расшифровка только после того как зайдешь по ssh и введешь пароль. А тут вона че, просто хомяк шифрованный без локального логина не катит ))

И еще нужно понимать, что опенсорс родился, когда ПО было меньше и проще. Фактически коммьюнити может тянуть только маленькую кодовую базу, маленькие проекты, которые собираются во что-то большое через интерфейсы. (Поэтому KDE хоть и раздроблено на кучу пакетов, вечно будет глючить). Корпорации типа IBM/RedHat меняют это. Они внедряют сложные, объемные по коду проекты, такие как systemd, которые может поддерживать только коллектив на зарплате. Все остальные в мире Linux вынуждены идти у них на поводу. Из некоммерческих у нас самое крупное - даже не FreeBSD, а OpenBSD. Насколько сложнее ее использовать в сравнении с как бы независимым арчем, ты легко поймешь, если попробуешь.

Вот я тебе хотел объяснить, что нынешняя subculture линукса - это студенты-анимешники, веб-кодеры, и windows-like инженеры (сисадмины, девопс...).

На самом-то деле меня интересовала конкретно эпоха другого времени, а именно:

интересная субкультура, где люди искали нестандартные решения

Ведь она в каком-то роде отражает мои интересы в других сферах: музыки, кино, пресловутого аниме (про андеграундные жанры которого уже любой интересующийся знает думаю).

Спасибо за разъяснение опять же, интересно было послушать человека, который воочию видел эту интересную «субкультуру».

это старый софт 20 летней давности и такой же юзер:)

всё же, то что можно в современных реалиях добиться такого результата мне очень импонирует.

Насколько сложнее ее использовать в сравнении с как бы независимым арчем, ты легко поймешь, если попробуешь.

Обязательно попробую, всё таки, мне интересно получится ли у меня использовать что-то более сложное чем арч, не прибегая к вечным компиляциям всяких генту.

И еще нужно понимать, что опенсорс родился, когда ПО было меньше и проще. Фактически коммьюнити может тянуть только маленькую кодовую базу, маленькие проекты, которые собираются во что-то большое через интерфейсы.

Я об этом знал, особенно когда до меня начало доходить, что если опенсурс проекты перерастают во что-то большое в том момент, когда его начинает спонсировать какая-нибудь крупная компания, а до того момента всё либо не двигается, либо двигается в сторону багфиксов.

да я тоже, если и застал, то совсем не то, что линус торвальдс и тео де рат)

пресловутого аниме (про андеграундные жанры которого уже любой интересующийся знает думаю)

я андеграундными жанрами (типа яой, да?) не интересуюсь:) но меня всегда интересовала рисовка 80х и еще больше 90х, до цифровой эпохи, «аналоговая». и если уж говорить о киноискусстве, то мои интересы резко ограничиваются «пленочной» эпохой, до 2003-2005 года.

отражает мои интересы в других сферах: музыки, кино

какое примерно время тебя интересует?

всё же, то что можно в современных реалиях добиться такого результата мне очень импонирует.

вот пока свободное время есть, и я решил откатиться еще дальше в прошлое на BSD, а рабочий стол просто переезжал все это время с начала 200х. еще немного и придется его выкинуть, т.к. не поддерживает wayland.

а до того момента всё либо не двигается, либо двигается в сторону багфиксов.

когда время подойдет, запощу в новости квартальный отчет FreeBSD о развитии. там обычно всегда пишут, что было сделано за счет компаний, а что в рамках сборов пожертвований и студ.работ.) ОС для меня тоже новая, тоже интерес проснулся)

Офтоп.

ЛОР, ты был хорошим форумом. Печально, что погиб.

Оставайся с полугномами и прочими интелфиксами.

Рип.