Критическая уязвимость сразу во всех распространённых браузерах

ЛОЛШТО?

Вопрос, какого-хрена браузеры со своим экзешником тащят libwebp в линуксе вместо того чтобы юзать системный? На фиг запретить это и для других либ тоже.

нет, конечно не в сишном стиле. Чтобы сделать подобное наверное юзают уязвимости в самой vm

У раста главная фича Safe memory space allocation

Браузеры поддерживают не только линукс, да и в зоопарке дистрибутивов линукс версии библиотек могут быть разные, поэтому единственный выход носить все с собой.

Гарвардская архитектура плохая, говорили они.

Я про переполнение буферов в яве. Это практически невозможно, если только ты не вызываешь нативный код через JNI или это косяк в коде JVM, который (сюрприз) написан на плюсах.

Браузеры поддерживают не только линукс, да и в зоопарке дистрибутивов линукс версии библиотек могут быть разные, поэтому единственный выход носить все с собой.

У другого софта с этим проблем нет. Не хотят юзать системные, пошли на фиг из deb пакетов, юзайте свой AppImage и прочее.

Вот ещё приколы, когда тащишь с собой в проекте либы:

 0:03.64    Compiling proc-macro2 v1.0.59
 0:03.70 error[E0635]: unknown feature `proc_macro_span_shrink`
 0:03.70   --> Distfiles/compile/firefox-117.0.1/third_party/rust/proc-macro2/src/lib.rs:92:30
 0:03.70    |
 0:03.70 92 |     feature(proc_macro_span, proc_macro_span_shrink)

и это на nighly версии раста.

Это практически невозможно

Уязвимости могут быть в самой jvm:
https://insinuator.net/2020/09/java-buffer-overflow-with-bytebuffer-cve-2020-...

У другого софта с этим проблем нет

Количество зависимостей не сопоставимо, если бы браузеры не шли со своими bundled либами, то пришлось бы не собирать браузер под дистрибутив, а дистрибутив под браузер.

Количество зависимостей не сопоставимо, если бы браузеры не шли со своими bundled либами, то пришлось бы не собирать браузер под дистрибутив, а дистрибутив под браузер.

Ну окей, но собирать либы статически - это конечно зашквар. А я бы заменил просто libfirefox-webp.so и всё, а теперь пересобирать и перепаковывать заново.

Динамические библиотеки занимают больше места, чем статические. И зачем пересобирать FireFox при наличии бинарного? Тем более есть инкрементальная компиляция.

уже отвечал человеку ниже

Фух, пронесло

Но вот что докатилось до GIMP и Inkscape с LO, вот это прям моё почтение.

Так если бы они не использовали libwebp, им бы пришлось закостылять свой велосипед.

разве нельзя сделать компьютер или ОС где буфер не может быть переполнен, если можно то это проблема компьютера/ОС , так ведь любая программа будущая-новая или старая может это делать каждый раз заного всегда.

webp это те всратые картинки с которыми хз что делать и поэтому приходится схоронять их скриншот? :3

Как бомбануло у ненавистников сишки :) Ведь они самые умные, уж точно умнее гугловцев, и пользуются своим браузером офисным пакетом на Java, Rust и других современных ЯП, и у них ни один буфер не переполняется. Ой, что это я размечтался… Ничего у них нет, а пользуются продуктом Гугла, бедненькие.

я еще в 2008 году говорил, что самый злобный троян на вашем ПК это браузер. Ибо это программа качает с интернета код и исполняет его. такое здоровое жирное RCE галактического масштаба. но никто не замечает…. все латают миллиард мелких дыршек в явескрипте.

Память у тебя девичья. https://securelist.ru/cve-2021-44228-vulnerability-in-apache-log4j-library/104144/ вроде и не переполнение и не в сишном стиле, а итог тот же

Это немного слишком. Бровзер запускается под своим юзверем и мало что может сделать. Вот если заюзать дыру и получить права другое дело

webp это те всратые картинки с которыми хз что делать и поэтому приходится схоронять их скриншот? :3

Проблема в том что эти картинки меньше размером чем какой-нибудь jpeg с сопоставимым качеством, поэтому много кто налепил кеширующих прокси-сервисов, которые на ходу перекодируют статику в webp и отдают если браузер - хром.

Это видно если гуглить картинки - из гугла часто будут отдаваться как раз в webp формате.

Мне нравится «сразу во всех браузерах» :D

разве нельзя сделать компьютер или ОС где буфер не может быть переполнен, если можно то это проблема компьютера/ОС , так ведь любая программа будущая-новая или старая может это делать каждый раз заного всегда.

Можно. Это называется Rust. На LOR его отрицают с пеной у рта. Видимо, на LOR любят когда хакеры пихают им в дыры свои экслоиты.

Динамические библиотеки занимают больше места, чем статические.

И эта разница в 10% она прям УУУХ какая важная при терабайтных дисках под систему, да? :D

мало что может сделать? нуну. для начала он как минимум может делать все то что может делать браузер. вкокашку свой профиль открыть можешь? а в сбер зайти? нс запрос послать? в роутер залесть? ну а дыры с эскалацией это просто ожидаемое следствие. Только не понятно зачем тебе эта эскалация нужна если в браузере и так есть все что тебе интересно.

обычно бровзеры оперативно реагируют на такую новость. Но я еще ни у одного браузера не видел выпуск с заплаткой. У фокса, например, последняя 117.0.1, но в фичах ничего про уязвимость

Самая мякотка-то не в этом. Самая мякотка в полудохлых электроновых приложениях, авторы которых должны ещё успеть просраться и понять что у них дыра :D

lastpass. Самое интересное лежит либо в lastpass, либо в bitwarden, либо ещё где-то рядом :D

а в сбер зайти

хочешь сказать, что браузеры делают это регулярно? Используют твои аккаунты и пароли для онлайн бэнкинга и шарятся по твой файловой системе и сети? Где такие случаи? Зачем хацкеры тогда мучаются и ищут возможности заюзать дыру когда можно украсть все и без этого?

Я бы спецов послушал, но таким никто не пугает

Кто-то спалил и слил на закрытых ресурсах закладку от гуюгла и тот быстренько решил поправить дабы свою репутацию не очернять. А зачем вообще этот webp нужен, когда есть png и с ним прекрасно столько лет жили.

Таки в телеграмме была уязвимость)

Можно. Это называется Rust. На LOR его отрицают с пеной у рта.

Чего ты стрелки переводишь? Про гугл говори, как там отрицают.

Чего ты стрелки переводишь? Про гугл говори, как там отрицают.

Потому что Rust отрицают на LOR’е, яростно дроча на C. Не так яростно, как на opennet, но довольно-таки.

GIMP сохраненный webp не открывает, но скопировать в браузере webp-пикчу и вставить её в GIMP получается без особых проблем.

Уже сделали, называется Эльбрус

А чем растоманы лучше? Они отрицают С, яростно дроча на Rust.

А чем растоманы лучше? Они отрицают С, яростно дроча на Rust.

Вопросы был: как не течь буфером. Ответ: Rust.

Уже сделали, называется Эльбрус

Каким образом Эльбрус мешает выйти за границы буфера?

Вопросы был: как не течь буфером. Ответ: Rust.

Ответ неправильный. Правильный ответ - умные указатели.

Ответ неправильный. Правильный ответ - умные указатели.

Проблема в том, что в плюсах оставили совместимость с C, сишными дырами, и добавили UB по самые помидоры. Так что нет, умные указатели тебя не спасут :D

Ну не буфера а стека, и если выйти за границы некоего буфера, то всёравно эксплоит хрен сделаеш

Ну не буфера а стека

А зачем выходить за границы стека, если все самое интересное находится в его границах? Например, адрес возврата?

и если выйти за границы некоего буфера, то всёравно эксплоит хрен сделаеш

Так, этот эксплоиты только на картинках видел, следующий!

Ну посмотри на ютубе про архитектуру эльбруса

Я уже понял что ты ничего не знаешь, проходи давай, тут очередь из защитников сишки.

Потому что Rust отрицают на LOR’е, яростно дроча на C.

Во-первых, это только часть аудитории, и при том небольшая, а с другой стороны есть фанаты раста. А во-вторых, Веб-Браузеры тоже яростные лоровцы разрабатывают?

Во-первых, это только часть аудитории, и при том небольшая, а с другой стороны есть фанаты раста.

Огромная. Тут огромная толпа ненавистников раста.

Одним багом больше, пора уже привыкнуть. Никто не перепишет гигатонны кода на С/С++ в ближайшие лет 50, поэтому факт того, что любая нетривиальная программа, включающая код на С, вероятно содержит уязвимости, надо просто принять и жить с этим. Если это неприемлемо, надо переписать нужную программу, но, конечно, с браузером это невероятно.

К слову, для всех тех, кто надеется на shadow stack: https://www.matteomalvica.com/blog/2022/09/22/bypassing-intel-cet-counterfeit-objects/

в браузере Mozilla Firefox, Gimp, Inkscape, LibreOffice, Telegram, Thunderbird, ffmpeg и другом программном обеспечении

офигеть

Где-то видел упоминание, что гугл в процессе разработки chromium очень любит использовать самые распоследние фичи C++, в том числе те, которых нет в стабильных версиях gcc и clang. Поэтому поддерживать сборку chromium в дистрибутивах может оказаться тем ещё удовольствием. По этой же причине тащить готовые сборки google chrome и chromium намного проще.