Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd"	+/–
Сообщение от opennews (ok), 29-Мрт-24, 22:43
В пакете XZ Utils, включающем библиотеку liblzma и утилиты для работы со сжатыми данными в формате ".xz", выявлен бэкдор (CVE-2024-3094), позволяющий перехватывать и модифицировать данные, обрабатываемые приложениями, связанными с библиотекой liblzma. Основной целью бэкдора является сервер OpenSSH, в котором используется liblzma. Связывание  sshd  с уязвимой библиотекой позволяет злоумышленникам получить доступ к SSH-серверу без аутентификации... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=60877
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
Сообщение от semester (ok), 29-Мрт-24, 22:43
И как понять что тот бекдор успел натворить? Если он больше месяца существует.
Ответить | Правка | Наверх | Cообщить модератору

	4. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Bonbon (?), 29-Мрт-24, 22:50
	For our openSUSE Tumbleweed users where SSH is exposed to the internet we recommend installing fresh, as it’s unknown if the backdoor has been exploited. Due to the sophisticated nature of the backdoor an on-system detection of a breach is likely not possible. Also rotation of any credentials that could have been fetched from the system is highly recommended. https://news.opensuse.org/2024/03/29/xz-backdoor/
	Ответить | Правка | Наверх | Cообщить модератору

	9. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+11 +/–
	Сообщение от Alexander_R (ok), 29-Мрт-24, 22:59
	Не просто больше месяца существует - автор бэкдора 2 года в проекте (!!) и отправлял к нему многочисленные патчи с исправлениями (в том числе для повышения скрытности). При этом явно предпринималась попытка замаскировать полную компроментацию проекта xz под "всего лишь" компроментацию тарболов, а сам бэкдор не активировался если запускать исполняемые файлы с поражённой liblzma в терминале. Не известно, единственный ли это бэкдор или были другие (а ещё аккаунт автора вовлечён в разработку кучи других проектов, таких как java-версия xz...) Не исключено, что к моменту публикации новости аффтар уже почистил за собой все следы и перезагрузил за вас ваши сервера 0_o
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	10. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–4 +/–
	Сообщение от Ано ним (?), 29-Мрт-24, 23:14
	откуда дровишки?
	Ответить | Правка | Наверх | Cообщить модератору

	14. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Alexander_R (ok), 29-Мрт-24, 23:24
	В обсуждении на openwall много чего есть из не упомянутого в новости.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (98), 30-Мрт-24, 07:55
	> И как понять что тот бекдор успел натворить? Если он больше месяца существует. Audit + Accounting + MAC и логи на другой сервер, который без бекдора с xz. Тогда есть шанс что-то увидеть.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	101. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (98), 30-Мрт-24, 08:04
	https://www.opennet.ru/openforum/vsluhforumID10/5622.html Написал скриптик и подправил /etc/inittab для исследования CAP. В результате теперь pscap не имеет процессов с full привилегиями. Все процессы пользователя root в системе имеют только необходимые и достаточные привилегии для своей работы. В логах: zgrep -h 'Operation not permmited' /var/log/* |sort |uniq появляются сообщения о привышении процессом необходимых ему привилегий.
	Ответить | Правка | Наверх | Cообщить модератору

	333. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от semester (ok), 30-Мрт-24, 22:05
	Accounting это какие примеры?
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

5. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–14 +/–
Сообщение от FSA (??), 29-Мрт-24, 22:51
Короче. Инцидент был и он в дистрибутивах был, которые никто в здравом уме не будет ставить на прод. А ломать домашние машины... которые по какой-то причине выставлены в сеть... ну это цель нужна и ждать подходящего момента... сомнительное удовольствие.
Ответить | Правка | Наверх | Cообщить модератору

	7. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (7), 29-Мрт-24, 22:56
	Создать ботнет и наехать на "конкретных" , не ?
	Ответить | Правка | Наверх | Cообщить модератору

	161. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним324 (ok), 30-Мрт-24, 11:03
	Все современные ботнеты, они исключительно иот. А там как всегда протухшая на 5-7 лет версия ядра.
	Ответить | Правка | Наверх | Cообщить модератору

	174. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (174), 30-Мрт-24, 11:21
	Не надо себя убаюкивать . Ботнеты на всём , что удасться взломать . И чем круче железка - тем больше вероятность что тебя же и заподозрят .
	Ответить | Правка | Наверх | Cообщить модератору

	411. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 04-Апр-24, 01:05
	> Все современные ботнеты, они исключительно иот. А там как всегда протухшая на 5-7 > лет версия ядра. Именно поэтому у меня воооон там в логах немеряно левака с каких-то маздаев таких как ты васянов и прочих дырохостингов с суперблохами - где водятся баги. Отовсюду лезут на самом деле. Все что можно использовать нашару - используют. Нахаляву и уксус сладкий.
	Ответить | Правка | К родителю #161 | Наверх | Cообщить модератору

	119. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от NameName (?), 30-Мрт-24, 09:31
	На домашних машинах может быть столько криптовалюты что целой группе авторов хватит до конца жизни
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	162. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–3 +/–
	Сообщение от Аноним324 (ok), 30-Мрт-24, 11:03
	Какой идиот хранит крипту на компе?
	Ответить | Правка | Наверх | Cообщить модератору

	311. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от а (?), 30-Мрт-24, 17:50
	я извиняюсь, а где?
	Ответить | Правка | Наверх | Cообщить модератору

	323. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от сщта (?), 30-Мрт-24, 19:17
	Малинку заведите. И спрятать эту Тамогочу в кладовку с донорскими платами чтобы никто не узнал.)
	Ответить | Правка | Наверх | Cообщить модератору

	328. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним324 (ok), 30-Мрт-24, 20:30
	> я извиняюсь, а где? Есть такие устройства, кошельки называются, можешь даже сам такой сделать, штучка которая выглядит как флешка, которая не имеет доступа в интернет и защищена шифрованием, паролями, биометрией чем угодно.
	Ответить | Правка | К родителю #311 | Наверх | Cообщить модератору

	330. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от namenotfound (?), 30-Мрт-24, 21:35
	да, а потом как с неё деньги выводить обратно? не через интернет ли случаем?
	Ответить | Правка | Наверх | Cообщить модератору

	364. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (364), 31-Мрт-24, 15:53
	А потом этот кошелек выходит из строя и привет. Такое уже было.
	Ответить | Правка | К родителю #328 | Наверх | Cообщить модератору

	141. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:19
	> Короче. Инцидент был и он в дистрибутивах был, которые никто в здравом > уме не будет ставить на прод. А ломать домашние машины... которые > по какой-то причине выставлены в сеть... ну это цель нужна и > ждать подходящего момента... сомнительное удовольствие. Протроянить Васяна, который собирает пакетики для "прода" - тянет на цель? rosa2023.1-5.6.1-2 2024.03.30     rosa2023.1-5.6.1-1 2024.03.09     rosa2023.1-5.6.0-1 2024.02.25     rosa2023.1-5.2.9-1 2022.12.07
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	220. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Всем Анонимам Аноним (?), 30-Мрт-24, 12:28
	Ну так цель то ясна, Васяна наняли для конктретного дележа денег, пока государство целенаправленно это собирание спонсирует и навязывает.
	Ответить | Правка | Наверх | Cообщить модератору

	404. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от Аноним (-), 01-Апр-24, 14:13
	Про воспроизводимые сборки в НТЦ ИТ Роса никто и не слышал.
	Ответить | Правка | К родителю #141 | Наверх | Cообщить модератору

6. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
Сообщение от Перастерос (ok), 29-Мрт-24, 22:52
найти и наказать гада — это одно, не допускать такого в принципе — другое..
Ответить | Правка | Наверх | Cообщить модератору

	33. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (33), 30-Мрт-24, 00:18
	Во! Если уж бэкдор, то только хардварный, только хардкор! Не допускать васянство!
	Ответить | Правка | Наверх | Cообщить модератору

	392. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (-), 01-Апр-24, 06:43
	> Во! Если уж бэкдор, то только хардварный, только хардкор! Не допускать васянство! Intel ME вместе с PSP передать просили - ALL YOUR BASE ARE BELONGS TO US!
	Ответить | Правка | Наверх | Cообщить модератору

	79. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (79), 30-Мрт-24, 02:57
	Нужно заставить гада извиниться на камеру
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	105. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Sw00p aka Jerom (?), 30-Мрт-24, 08:24
	ну попробуй, заставь сотрудника правительственной связи ее величества это сделать :)
	Ответить | Правка | Наверх | Cообщить модератору

	281. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (281), 30-Мрт-24, 14:21
	Что так слабо? Заставь её величество извиниться!
	Ответить | Правка | Наверх | Cообщить модератору

	290. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Прохожий (??), 30-Мрт-24, 15:31
	Почему её? Его же, ну
	Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

	317. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (317), 30-Мрт-24, 18:35
	Её интереснее. Расскажет, как там климат, на чём жарят - на масле или на голой сковороде
	Ответить | Правка | Наверх | Cообщить модератору

	381. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от adolfus (ok), 31-Мрт-24, 20:32
	Какой, извиниться? Его валить нужно. А если есть семья, то и семью.
	Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

	410. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от vantoo (ok), 02-Апр-24, 15:43
	И отрезать ему ухо!
	Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

8. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от kusb (?), 29-Мрт-24, 22:58
хз-utils, ну что, уважаемо, эпично. Эта библиотека есть прям везде. И самое дурное, ведь архиватору не нужен доступ почти ни к чему. Но такой изоляции нет.
Ответить | Правка | Наверх | Cообщить модератору

	13. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–7 +/–
	Сообщение от sesto (?), 29-Мрт-24, 23:23
	Да что ты говоришь? Это же чушь несусветная. RHEL или MS напрямую у тебя берут данные и отдают кому надо. А здесь ты можешь смотреть, что и происходит. Так Базар и развивается, а за Собором в MS.
	Ответить | Правка | Наверх | Cообщить модератору

	144. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:22
	Эпично, что "гуманитарий" уловил суть, а "технарь", слегка подвинутый на идеологии, пытается спорить.
	Ответить | Правка | Наверх | Cообщить модератору

	365. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (364), 31-Мрт-24, 15:56
	Но он прав в том, что один бэкдор в мире Linux был относительно быстро обнаружен вызвал скандал, а закрытая Windows может быть нашпигована по самое нехочу но ничего поделать с этим нельзя.
	Ответить | Правка | Наверх | Cообщить модератору

	375. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 17:35
	"Может быть" ключевое слово, а "ничего поделать с этим нельзя" следует читать как "ничего не умею". Например вот эту штука http://www.online-solutions.ru/products/osss-security-suite.... много чего могла на тех ОС, где работала.
	Ответить | Правка | Наверх | Cообщить модератору

	417. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (417), 26-Апр-24, 11:02
	Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально все - мимо. Ключевое слово - "есть", а именно не может не быть, но ты же споришь с очевидным. Можешь обнаруживать там что угодно, но что сделаешь с этим? Пофиксишь в hex-editor? Особенно когда срок поддержки завершен - отложите все дела, устанавливаются новые уязвимости, и все по новому.
	Ответить | Правка | Наверх | Cообщить модератору

	420. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 28-Апр-24, 09:01
	> Да, читать нужно уметь, но не так альтернативно одаренно, по итгу буквально > все - мимо. Ну почему же всё? "итгу" - годный пример, что читать надо уметь. Особенно, что сам пишешь. > Ключевое слово - "есть", а именно не может > не быть, но ты же споришь с очевидным. Очевидно, что в сообщении, на которое я отвечал, слово "есть" тебе померещилось. Ты можешь нажать в браузере Ctrl+F и убедиться. > Можешь обнаруживать там > что угодно, но что сделаешь с этим? Пофиксишь в hex-editor? Особенно > когда срок поддержки завершен - отложите все дела, устанавливаются новые уязвимости, > и все по новому. Что бы ты мог суметь представить, что _я_ сделаю, тебе необходим хоть какой-то опыт, помимо поиска патчей и сборки готовых пракетиков. Например, ты можешь прочитать про Miсrosoft Detours -- для затравки.
	Ответить | Правка | Наверх | Cообщить модератору

	354. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (354), 31-Мрт-24, 09:53
	Ага, уже пошёл смотреть все сорсы всех либ, используемых в моем дистре, начиная с ядра. Сколько там, терабайт наберётся на почитать?
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	312. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от pelmaniac (?), 30-Мрт-24, 18:03
	>Эта библиотека есть прям везде в дебианах (даже 12м) нет пока сам не поставишь. на rhel сильно старое. нашёл среди своего хозяйства только на арче, но кто ж там что важное будет хранить?
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	320. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от myster (ok), 30-Мрт-24, 18:53
	> только на арче Arch не был подвержен этому вектору атаки, там openssh не использовал liblzma, в отличие от DEB и RPM дистрибутивов. Так что даже забекдорить с уязвимой версией xz, Arch бы не удалось.
	Ответить | Правка | Наверх | Cообщить модератору

11. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–24 +/–
Сообщение от birdie (ok), 29-Мрт-24, 23:15
Я уже много лет говорю об этой проблеме и о том, как плохо обстоят дела с безопасностью в Linux. Я знал, что что-то подобное случится, и это случилось. Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен. Хуже того, независимые мейнтейнеры, назначенные для работы с пакетами, часто даже не являются разработчиками, так что у них нет ни возможностей, ни квалификации, чтобы прочитать код и убедиться, что он по-прежнему заслуживает доверия. Часто сопровождающие отвечают за несколько пакетов, и в то же время это не является их основной работой или тем, за что они получают зарплату, поэтому они практически не заинтересованы в том, чтобы все было правильно. В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал. Можно ли решить эту проблему? Понятия не имею. Дистрибутивы Linux должны предпринять согласованные усилия по проверке пакетов и отмечать их как "доверенные". Я никогда не слышал ни о чем подобном, за исключением RHEL, который не является настольным дистрибутивом и, кроме того, сильно ограничил свои связи с сообществом. Это не проблема XZ. Это проблема всей экосистемы Linux. Вопрос безопасности, надежности, доверия и проверяемости.
Ответить | Правка | Наверх | Cообщить модератору

	15. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+10 +/–
	Сообщение от Аноним (15), 29-Мрт-24, 23:27
	Все ок, но про одобрение каждой строчки кода уже слишком жирно
	Ответить | Правка | Наверх | Cообщить модератору

	24. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от birdie (ok), 29-Мрт-24, 23:49
	Да, примерно так. Причём код проверяет не один человек, а несколько. Жирно - это к open source. На первой странице Opennet это уже вторая (!) новость про то, что ни черта никто не проверяет, а эту уязвимость просто случайно (!) обнаружили, потому что код трояна был кривой и вызывал задержки в работе SSHD.
	Ответить | Правка | Наверх | Cообщить модератору

	125. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от Аноним (125), 30-Мрт-24, 10:00
	Ты лично видел, как проверяли всей оргией каждую строчку кода? Готов имена назвать конкретных тимлидов, которые всё-всё проверили и последствия их кодинга никогда не обсуждались на каком-нибудь Black Hat? Проблема очевидная - недостаток ментейнеров (или их квалификации) в дистрибутивах, раз уж это дошло до апстрима. Хочешь побыть Линусом, одобряя каждую версию пакета, подставляя свою репутацию и убивая в это время? Вперёд, никто не держит. Мы потом всем опеннетом вместе посмеёмся.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+10 +/–
	Сообщение от Аноним (18), 29-Мрт-24, 23:29
	Каким боком здесь безопасность линукса? Это не дыра в ядре, не эскалация привилегий, а банальный троян в пользовательском приложении. В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	19. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от semester (ok), 29-Мрт-24, 23:33
	ну объективно говоря от этого приложения зависит пол системы. Может я не прав, но получается ты ставишь "winrar" и половина винды от него зависит.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (18), 30-Мрт-24, 00:02
	Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет лишь в том, что копия вирусной dll-ки будет лежать в комплекте у каждого отдельного приложения. Что кстати ЗНАЧИТЕЛЬНО усложняет процесс обезвреживания, ведь нельзя просто обновить 1 пакет, а придется обновлять КАЖДОЕ приложение у которого эта dll в комплекте.
	Ответить | Правка | Наверх | Cообщить модератору

	148. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:31
	> Да, но если так же скомпрометировать популярную библиотеку на винде, разница будет > лишь в том Разница в том, что для верности аналогии тебе придётся скомпрометировать библиотеку advapi32.dll. Так что вперёд.
	Ответить | Правка | Наверх | Cообщить модератору

	146. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:27
	> ну объективно говоря от этого приложения зависит пол системы. Может я не > прав В формулировке ошибка: это компонент системы, а не приложение, как его пытался выставить анонимный тролль. По существу всё верно.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	313. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от pelmaniac (?), 30-Мрт-24, 18:05
	>объективно говоря от этого приложения зависит пол системы да откуда вы такие беретесь? не зависит от xz ничего, его даже поставить надо руками.
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	327. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (327), 30-Мрт-24, 20:25
	apt autopurge xz-utils Чтение списков пакетов… Готово Построение дерева зависимостей… Готово Чтение информации о состоянии… Готово         Следующие пакеты будут УДАЛЕНЫ:   build-essential* dkms* dpkg-dev* g++* g++-13* g++-13-x86-64-linux-gnu* g++-x86-64-linux-gnu* gcc* gcc-13*   gcc-13-x86-64-linux-gnu* gcc-x86-64-linux-gnu* libalgorithm-diff-perl* libalgorithm-diff-xs-perl*   libalgorithm-merge-perl* libasan8* libatomic1* libc-dev-bin* libc-devtools* libc6-dev* libcc1-0*   libcrypt-dev* libdpkg-perl* libfile-fcntllock-perl* libgcc-13-dev* libhwasan0* libitm1* liblsan0*   libnsl-dev* libquadmath0* libstdc++-13-dev* libtirpc-dev* libtsan2* libubsan1* linux-libc-dev*   manpages-dev* rpcsvc-proto* sysstat* xz-utils* Обновлено 0 пакетов, установлено 0 новых пакетов, для удаления отмечено 38 пакетов, и 0 пакетов не обновлено. После данной операции объём занятого дискового пространства уменьшится на 217 MB. Хотите продолжить? [Д/н]
	Ответить | Правка | Наверх | Cообщить модератору

	20. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–13 +/–
	Сообщение от birdie (ok), 29-Мрт-24, 23:46
	> В винде же троянов не бывает, а майкрософт лично проверяет код каждого экзешника в интернете. Не забудь принять таблетки. Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют. > а майкрософт лично проверяет код каждого экзешника в интернете Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет". Начните с умения читать и понимать написанное - у вас с этим проблемы. > Не забудь принять таблетки. Попробуй мне это в лицо сказать, анонимный тролль.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	25. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (18), 29-Мрт-24, 23:56
	> Примеры backdoors в продуктах Microsoft в студию. Сначала ты примеры backdoors в продуктах Linux Foundation в студию. > Я говорил про software, который создаёт и распространяет сама MS официально. Мне плевать на то, кто и что "распространяет в Интернет". То есть все люди на винде пользуются исключительно приложениями от MS и никакими другими? Ну-ну.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (40), 30-Мрт-24, 00:32
	Ну вот буквально несколько дней назад нашли в Fedora (продукте redhat, платинового спонсора lf). Прув: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi?az=p...
	Ответить | Правка | Наверх | Cообщить модератору

	45. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от Fyjy (-), 30-Мрт-24, 00:37
	Да легко! Как насчет Bvp47 ? По слухам связан с NSA, но проверить естественно невозможно. "287 organizations in 45 countries and went largely undetected for over 10 years" Вот оно качество поделок от линукс фаундейшн, не зря же Линус получай лям в месяц, ну.. от уважаемых партнеров. А еще можно вспомнить уязвимости в драйверах. Да практически каждую вторую RCE в ядре с получением рута можно считать бекдором, замаскированным под "сишник опять обделался и вышез за границы буфера"
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

	51. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+6 +/–
	Сообщение от Аноним (18), 30-Мрт-24, 00:45
	Так падажи, но если считать дыры за умышленные бэкдоры, то винда тогда по этому критерию чемпион вне конкуренции получается. А если еще учесть, что довольно много кода в ядро вносят работники MS... Тут как говорится, если слишком тщательно расследовать дело, то можно случайно выйти на себя.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–3 +/–
	Сообщение от Fyjy (-), 30-Мрт-24, 01:06
	А про Bvp47 есть что сказать? > то винда тогда по этому критерию чемпион вне конкуренции получается. Эм... как-то не получается... Linux Kernel - 3876 vulnerabilities found cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.html Windows 10 - 3080 vulnerabilities found cvedetails.com/vulnerability-list/vendor_id-26/product_id-32238/Microsoft-Windows-10.html Windows 11 - 600 vulnerabilities found сvedetails.com/vulnerability-list/vendor_id-26/product_id-102217/Microsoft-Windows-11.html Правда если брать CVSS 8+, то ситуация чуть другая - 222 vs 634 vs 125 и ядро занимает уже второе место, а не первое. Но, это только кернел в сравнении со всей виндой. Ведь кроме кернела есть еще куча штук, которые есть в любом линуксе. Вроде исков. Или либс. А вель есть еще куча DE разной степени популярности и качества кода. Так что твое утверждение совсем неоднозначное.
	Ответить | Правка | Наверх | Cообщить модератору

	61. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (18), 30-Мрт-24, 01:18
	Здесь стоит опять же учитывать, что например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS. Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от Fyjy (-), 30-Мрт-24, 01:27
	> например злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками, написан для протокола от MS и сопровождается людьми из того же MS. Ну так не принимайте от них модули. А то уже был прецедент с деревянным конем в подарок.. > Хотя опять же, выдавать уязвимости за умышленные бэкдоры это удел конспиролухов. В такое лучше не скатываться. Я и не собирался) Просто почти в каждой теме про RCE в ядре, начинаются споры "а это просто факап или намеренный бекдор". Понятно что не стоит считать злым умыслом обычную глупость или невнимательность, но даже кол-во обычных ошибок просто удручает.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (18), 30-Мрт-24, 01:43
	> Ну так не принимайте от них модули. Не, это не выход, так можно вообще перестать любой код принимать. Есть жирный плюс в том, что пока модуль не загружен, наличие в нем дыр не имеет значения. То есть всем кто не пользуется SMB от его существования ни холодно ни жарко. Зато если модуль выкинуть, то прямо пострадают те, кому SMB таки нужен.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от iPony129412 (?), 30-Мрт-24, 03:25
	> злополучный ядерный модуль ksmbd, в котором уязвимости находят пачками сопровождается людьми из того же HMS Нет. Это не Microsoft пишет его. И не более злополучен чем остальное ядро.
	Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

	67. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от твёрдый ветер (?), 30-Мрт-24, 01:38
	так уязвимости ведь разные бывают - DoS (Denial of Service / отказ в обслуживании) ( эксплойт уязвимости приводит к DoS устройства); - Обход чего-либо (например, пароля для входа в систему); - Исполнение кода (возможность злоумышленником выполнить какую-то команду на устройстве жертвы); - Повреждение памяти; - Доступ к информации (имеется в виду секретная информация, полученная за счет уязвимости); - Увеличение привилегий (в частности для вредоносного ПО); - Переполнение (буфера); у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации.
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	75. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 01:54
	> у линукса их больше но это по большей части отказ в обслуживании что неприятно но терпимо, в то время как у винды доминирует увеличение привилегий и доступ к информации. Если честно, мне лень искать и считать сколько у кого RCE, сколько privilege escalation. Как это сделать быстро я не нашел. Поэтому поверю вам на слово. Но в ядре хватает и того и другого. А это только чистое ядро.
	Ответить | Правка | Наверх | Cообщить модератору

	121. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (121), 30-Мрт-24, 09:44
	Стоп, а почему по Винде ты взял только две последние версии? Опять подгоняешь условия задачи под нужный ответ?
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	147. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (147), 30-Мрт-24, 10:30
	Потому что более ранние версии - EOL. Мы же не считаем дырки в ненужном начиная с первоядра 1991 года?
	Ответить | Правка | Наверх | Cообщить модератору

	28. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (28), 30-Мрт-24, 00:07
	> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, что они существуют. Вы серьёзно? Тут даже сложно комментировать ибо вы похоже очень многое пропустили... Вы хоть знаете фамилию президанта РФ? :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	286. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Вася (??), 30-Мрт-24, 14:51
	это константа
	Ответить | Правка | Наверх | Cообщить модератору

	36. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (36), 30-Мрт-24, 00:28
	Держи. Не захлебнись только. https://www.cvedetails.com/vulnerability-list/vendor_id-26/p...
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	50. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от birdie (ok), 30-Мрт-24, 00:45
	Разницу между malware/backdoor и vulnerability чувствуете? Видимо, вообще нисколько.
	Ответить | Правка | Наверх | Cообщить модератору

	71. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 30-Мрт-24, 01:44
	> Держи. Не захлебнись только. Linux Kernel обгоняет винду десятку на 796 CVE cvedetails.com/vulnerability-list/vendor_id-33/product_id-47/Linux-Linux-Kernel.html Так что пример явно так себе))
	Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

	83. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Skullnet (ok), 30-Мрт-24, 03:44
	Мы не знаем сколько на самом деле CVE в винде, потому что винда не open-source. Скорее всего в 10 раз больше. К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 09:01
	> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет. Ну да, а доверие к опенсорс софту  - есть?)) У нас тут новость про бекдор, вообще-то! Который не заметило ни 'сообщество', ни мейнтейнеры, которые по идее должны быть более компетентные) Это раз. Исходники винды закрыты весьма условно. Во-первых, кому надо их отдают на аудит. Во-вторых, исходники винды утекали и не раз. Но даже после этого никто не нашел там бекдоров и заявил об этом. Это два. Ну а три - твоя оценка в 10 раз с потолка. Никто не знает сколько багов ядра были потенциальными CVE которые просто исправили. Это как раз пример, что (и) в опенсорсе никто ни за что не отвечает и доверять им нельзя, не смотря что код дают на блюдечке.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (125), 30-Мрт-24, 10:06
	Фишка опенсорса в том, что за тебя сделали работу по реализации функционала и отдали тебе КОД. Берёшь и переписываешь его так, как тебе надо, и никто тебе ничего не сделает, пока как отдельный продукт выставлять не будешь в случае с GPL. Под MIT, BSD и публичным доменом всё ещё проще. А теперь покажи, как ты поправишь майкрософтский драйвер или сетевой стек под виндовое ядро, без кода то.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 10:13
	> Берёшь и переписываешь его так, как тебе надо > А теперь покажи, как ты поправишь майкрософтский драйвер Стоп-стоп. Мы сейчас не про достоинства опенсорса. А про то что аргумент "опенсорс безопаснее закрытого софта" мягко говоря спорный, хотя его используют практически все визионеры. Потому что опенсорс - такое же {#}, если не большее.
	Ответить | Правка | Наверх | Cообщить модератору

	329. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (327), 30-Мрт-24, 20:47
	Это не фишка, а насадка на зависимость )
	Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

	214. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Skullnet (ok), 30-Мрт-24, 12:13
	>> К тому же доверия closed-source софту, а особенно софту от биг-корпораций нет. > Исходники винды закрыты весьма условно. Исходники Шрёдингера. > Во-первых, кому надо их отдают на аудит. И бекдоры тоже добавляет тот кому надо. > Во-вторых, исходники винды утекали и не раз. Ага, утекали исходники, чтобы дураки потеряли бдительность, что в винде всё окей, никаких троянов нет, а на самом деле мы даже и не знаем, потому что бекдоры могут быть только в специальных релизных версиях, которые не комитятся.
	Ответить | Правка | К родителю #110 | Наверх | Cообщить модератору

	223. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:35
	> бекдоры могут быть только в специальных релизных версиях, которые не комитятся Ты это про винду? Или про те бинарники, которые тебе в пакетный менеджер прилетают? Или про те исходники, которые тебе отдаются в виде tar.gz для компиляции локально и которые ты не сверяешь построчно с оригиналом? Хватит уже неси параноидальную чушь. Эта новость - прекрасный пример как открытые исходники спасают от бекдоров))
	Ответить | Правка | Наверх | Cообщить модератору

	347. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Skullnet (ok), 31-Мрт-24, 03:09
	> Эта новость - прекрасный пример как открытые исходники спасают от бекдоров)) Спасают, бекдор исправили, а в винде хз, наверное ещё даже не нашли. А про бекдоры там знают те, кому нужно...
	Ответить | Правка | Наверх | Cообщить модератору

	360. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (360), 31-Мрт-24, 10:44
	И фарфоровый чайник на орбите летает, да?
	Ответить | Правка | Наверх | Cообщить модератору

	84. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+5 +/–
	Сообщение от Аноним (84), 30-Мрт-24, 04:05
	>Linux Kernel обгоняет винду десятку на 796 CVE Абсолютно "кривая" логика. Если сравнивать *конкретную* версию винды (Win10), то надо брать *конкретную* версию ядра, например 4.19.х, выпущенную примерно одновременно с 10-кой. А если хочешь сравнить колличество CVE для всех Linux Kernel, то и для винды надо считать CVE для всех, начиная с Win95. ИМХО так будет корректно.
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	120. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Анонин (-), 30-Мрт-24, 09:38
	Абсолютно "кривая" логика. Сравнивать только ядро с полноценной операционной системой. Нужно брать конкретную десктоп версию дистрибутива, например Дебиан или Федора. И суммировать все CVE в софте, который идет из коробки и без которого он неюзабелен. Потому что в список винды попадает всякая фигня вроде Windows Contacts и Windows Fax Compose Form. А в список ядра даже уязвимости в иксах/вейланде не попадают. ИМХО так будет корректно.
	Ответить | Правка | Наверх | Cообщить модератору

	38. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (38), 30-Мрт-24, 00:28
	"Предполагаемый автор бэкдора" и у MS отметился https://learn.microsoft.com/en-US/cpp/overview/whats-new-cpp...
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	77. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от birdie (ok), 30-Мрт-24, 01:57
	Ужасы. С этого момента все его коммиты за последние пару лет раз 10 будут проверять :-)
	Ответить | Правка | Наверх | Cообщить модератору

	116. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от ss (??), 30-Мрт-24, 09:27
	"история про неусыпное око миллионов наблюдающее за исходным кодом 2.0"
	Ответить | Правка | Наверх | Cообщить модератору

	172. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Jh (?), 30-Мрт-24, 11:18
	Да вся винда бэкдор для МС. Хотят качают телеметрию от пользователя, хотят ставят рекламу в меню пуск пользователю. Сделать на твоей системе они могут что угодно.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	217. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (84), 30-Мрт-24, 12:20
	>Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет Как-то утек в открытый доступ сервис пак для NT с неудаленными отладочными символами. Там некоторые ключи назывались NSA_key. Не бекдор, конечно..
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	412. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 04-Апр-24, 01:08
	> Примеры backdoors в продуктах Microsoft в студию. Хотя бы один за 40 с лишним лет, > что они существуют. Всякие ремотные активации с "customer experience improvement" с отсылкой нажатий кнопок на клаве интеречно что по вашему? Фича чтоли? Ну тогда кардер разувающий вашу кредитку - благодетель, вероятно. А грабитель - так и вообще клевый чувак.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	68. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (68), 30-Мрт-24, 01:39
	Ну да, ядро же оно само по себе существует, ему же вообще ничего не нужно. Прикладное ПО? Зачем оно пользователям линукса? А пока остаётся только ставить линукс и приговаривать: "This is fine"
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	413. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 04-Апр-24, 01:10
	> А пока остаётся только ставить линукс и приговаривать: "This is fine" Ну так в стабильных дистро - "all systems online". Ну в васяны с роллингами как раз и побегали по минному полю - а они разве не на это подписывались? :)
	Ответить | Правка | Наверх | Cообщить модератору

	23. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от твёрдый ветер (?), 29-Мрт-24, 23:48
	>В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту можно поподробнее о том как крупные корпорации одобряют каждую строчку кода ?
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	118. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от ss (??), 30-Мрт-24, 09:28
	Джобс считал что так надо делать. Как там сейчас - хз
	Ответить | Правка | Наверх | Cообщить модератору

	100. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Bonbon (?), 30-Мрт-24, 08:04
	> Почти все дистрибутивы, за исключением, может быть, RHEL, торопятся выложить пакеты из upstream, никогда не проверяя, что исходный код не был затроянен. К вопросу о RHEL: (1) We built 5.6.0 for Fedora 40 & 41.  Jia Tan was very insistent in emails that we should update. (2) We got reports later of a valgrind test failure.  I also saw it myself in my own projects that use liblzma.  We notified Jia Tan of this. (3) Since the valgrind failure pointed to something with ifuncs, using './configure --disable-ifuncs' was used to fix this in F40 & F41. (4) xz 5.6.1 was released with a fix for the valgrind failure. (5) Fedora 40 was now in beta so we kept 5.6.0 + --disable-ifuncs. Fedora 41 was updated to 5.6.1 (enabling ifuncs again). And now with the benefit of hindsight ... In step (1) we worked in good faith with upstream.  Given how obfuscated the injection is, it's very unlikely we would have found the problem even if we'd spent days inspecting the tarball.  (And the initial step of injection is *not* in git, so forget about reviewing git commits.) The valgrind failure (2) was caused by a bug in the back door. Disabling ifuncs in (3) disabled the back door, because I think it relies on ifuncs to do its malware, but in any case the obfuscated injection script explicitly skips injection if ifuncs are disabled. Step (4) fixed the back door valgrind failure. The Fedora 40 beta freeze in (5) meant we got lucky for F40, not so much for F41. https://lists.fedoraproject.org/archives/list/devel@lis.../
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	168. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (40), 30-Мрт-24, 11:14
	Что интересно, в светлой голове мейнтейнера даже мысли не возникло, почему ПРИКЛАДНОЙ код написан так, что верификаторы ругаются на всякие низкоуровневые ifuncs. Даже если бы они там были реально нужны - этот говнокодинг ушёл бы в продакшн без возражений, я так понимаю?
	Ответить | Правка | Наверх | Cообщить модератору

	117. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (117), 30-Мрт-24, 09:27
	> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. Ага, наивный. Работал я в крупных компаниях. Строчки там одобряют неглядя(за редким исключением), потому что вчера надо было. И всегда есть с десяток бекдоров как обойти это ревью или прислать изменение от другого сотрудника. Например как-то отклонил ревью у коллеги потому что он делал ерунду, велел все переделать, он нашёл другого коллегу из смежного отдела, который не стал париться и просто заапрувил. Не говоря уже о бекдорах которые сами эти крупные компании вставляют. Что у эппла, что у мелкософта было гораздо больше казусов пожестче xz. Гугл и сам на линуксе сидит. Очевидно, проблема принципиально не решаема. Как писать простой код который будет легко проверить, собрать и верифицировать - никто не знает. Читать простыни и выискивать трояны никто не согласен, да и с таким объёмом кода невозможно. А от минимализма уже давно отказались.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	199. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от ProfessorNavigator (ok), 30-Мрт-24, 11:46
	> Очевидно, проблема принципиально не решаема. Решаемая, просто для начала её стоит правильно сформулировать. Правильная же, на мой взгляд, формулировка в следующем: невозможно людей контролировать, единственный способ заставить всё работать более-менее нормально - сделать так, чтобы люди сами захотели делать как следует. Почему имеем случаи, подобные обсуждаемому? Ответ прост - стремление к личной выгоде. Почему есть стремление к личной выгоде? Опять же ответ прост - конкурентная борьба за ресурсы между людьми. Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице без средств к существованию и сдохнуть от голода. Как это прекратить? Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой, но также жильём, медициной, образованием и т.д.). Как создать подобное общество? Вопрос достаточно сложный, но опять же решаемый - одна попытка уже была. В чём-то успешная, в чём-то - нет, однако правильность подхода можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться, почему не получилось, и попробовать создать правильную версию.
	Ответить | Правка | Наверх | Cообщить модератору

	386. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (386), 31-Мрт-24, 23:04
	>[оверквотинг удален] > Опять же ответ прост - конкурентная борьба за ресурсы между людьми. > Чем больше ты контролируешь ресурсов, тем меньше шанс оказаться на улице > без средств к существованию и сдохнуть от голода. Как это прекратить? > Дать каждому уверенность, что чтобы не случилось, его обеспечат работой и > гарантированным минимумом необходимых для жизни ресурсов (не только водой и едой, > но также жильём, медициной, образованием и т.д.). Как создать подобное общество? > Вопрос достаточно сложный, но опять же решаемый - одна попытка уже > была. В чём-то успешная, в чём-то - нет, однако правильность подхода > можно считать доказанной. Осталось лишь сделать работу над ошибками - разобраться, > почему не получилось, и попробовать создать правильную версию. хорошая попытка, но нет.
	Ответить | Правка | Наверх | Cообщить модератору

	388. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от ProfessorNavigator (ok), 01-Апр-24, 00:30
	> хорошая попытка, но нет. Что именно и почему?
	Ответить | Правка | Наверх | Cообщить модератору

	211. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (211), 30-Мрт-24, 12:04
	Cisco достаточно крупная корпорация? Все же помним доступ по curl? А исправление бекдора в виде запрета доступа по... юзерагенту curl?
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	241. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (121), 30-Мрт-24, 13:07
	> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту, в мире Linux такого не существует. И дело не только в Linux, FreeBSD тоже страдает от этого. Я не уверен насчет OpenBSD/NetBSD, поскольку никогда их не использовал. Тем временем https://overclockers.ru/blog/Docent2006/show/20835/v_routera... В 2013 году разоблачения немецкой газеты Der Spiegel показали, что АНБ использует некоторые бэкдоры в маршрутизаторах Cisco. Cisco опровергла обвинения в том, что она работает с АНБ для внедрения этих бэкдоров. В 2014 году в маршрутизаторах Cisco для малого бизнеса был обнаружен новый недокументированный бэкдор, который может позволить злоумышленникам получить доступ к учётным данным пользователя и выполнять произвольные команды с повышенными привилегиями. В 2015 году группа злоумышленников, поддерживаемых государством, начала установку вредоносного бэкдора в маршрутизаторах Cisco, воспользовавшись многими маршрутизаторами, которые сохраняли учётные данные администратора по умолчанию, вместо того, чтобы изменять их на что-то ещё. В 2017 году Cisco с помощью утечки данных Wikileaks обнаружила уязвимость в своих собственных маршрутизаторах, которая позволила ЦРУ удаленно управлять более чем 300 коммутационными моделями Cisco. Ждем твой комментарий с этодругином.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	288. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (288), 30-Мрт-24, 15:26
	Вы прекрасно нарыли дыры у networking equipment vendor. Прекрасно. Но какое Cisco имеет отношение к компаниям, которые перечислил птичка? Даже если переставить буквы, Cisco не получится. Увы.
	Ответить | Правка | Наверх | Cообщить модератору

	305. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (121), 30-Мрт-24, 16:07
	> Но какое Cisco имеет отношение к компаниям, которые перечислил птичка? А если прочесть его сообщение внимательней? > В то время как крупные корпорации, такие как Cisco разве перестала быть корпорацией, с проприетарной продукцией?
	Ответить | Правка | Наверх | Cообщить модератору

	363. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (363), 31-Мрт-24, 12:43
	Гнутое точно такая же проприетарщина потому что требует передачи авторских прав, но ведь это не считается? Я про www.gnu.org/licenses/why-assign.ru.html говорю.
	Ответить | Правка | Наверх | Cообщить модератору

	248. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 13:15
	> Я уже много лет говорю [...] Я знал > В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту Ох, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал. Откуда у тебя при этом столько спеси?
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	289. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (288), 30-Мрт-24, 15:28
	>> Я уже много лет говорю [...] Я знал >> В то время как крупные корпорации, такие как Microsoft, Google или Apple, одобряют каждую строчку кода, которая попадает к вам как к клиенту > Ох, лол. Чел, ты же, очевидно, в коммерческой разработке никогда не участвовал. > Откуда у тебя при этом столько спеси? Давно/много работаете в указанных выше компаниях или ваша "коммерческая разработка" ограничена шаражкой на 200 человек от силы?
	Ответить | Правка | Наверх | Cообщить модератору

	252. Скрыто модератором	+2 +/–
	Сообщение от Anonimous (?), 30-Мрт-24, 13:22
	https://www.phoronix.com/forums/forum/phoronix/latest-phoron... слово в слово...
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	287. Скрыто модератором	+/–
	Сообщение от birdie (ok), 30-Мрт-24, 15:24
	Ну не совсем, я как ни старался, не смог перевести на русский полноценно :-) Но автор, да, один - если вы про это. Тут английский не в почёте.
	Ответить | Правка | Наверх | Cообщить модератору

12. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Ано ним (?), 29-Мрт-24, 23:17
> сервер OpenSSH, в котором используется liblzma Это не правда. В sshd не используется liblzma. SSHd _можно_ собрать, слинковав с libsystemd, который в свою очередь, зависит от liblzma. Читайте оригинал сообщения https://www.openwall.com/lists/oss-security/2024/03/29/4
Ответить | Правка | Наверх | Cообщить модератору

	17. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–5 +/–
	Сообщение от birdie (ok), 29-Мрт-24, 23:29
	sshd дёргает метод из systemd, который дёргает liblzma. То, что вы в своём Gentoo/LFS/Devuan извращаетесь, не имеет отношения к новости. Она про Fedora 40/Rawhide/Debian SID, и they are all f*cked.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+8 +/–
	Сообщение от Аноним (30), 30-Мрт-24, 00:10
	Учитывая, что разрабатывают openssh разработчики openbsd, то вопрос кто тут извращается с libsystemd, остаётся открытым
	Ответить | Правка | Наверх | Cообщить модератору

	43. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+14 +/–
	Сообщение от Аноним (43), 30-Мрт-24, 00:34
	Нету в проекте openssh никаких обращений к libsystemd и тем более "методов". Умники-разумники из популярных дистро вместо того, чтобы самим реализовать достаточную часть протокола — вызвать getenv("NOTIFY_SOCKET"), открыть указанный там сокет, написать туда в нужный момент 8 байт ("READY=1\n"), закрыть сокет и вызвать unsetenv() — решили слинковаться с libsystemd ради одной функции, совершающей вышеперечисленные шаги, и притащили в адресное пространство вагон зависимостей этой libsystemd вроде libcurl, liblzma, libmount и ещё десятка чего-то там. Этим бекдор и пользуется, вмешиваясь в работу dynamic linker, о чём довольно подробно написано в рассылке oss-security. Умник №1: https://salsa.debian.org/ssh-team/openssh/-/commit/59d17e908... Умник №2: https://src.fedoraproject.org/rpms/openssh/blob/176421c4e42b... Функция sd_notify() не дёргает liblzma, для бекдора этого не надо. Т. н. "systemd notifications" можно реализовать без libsystemd, и этот протокол применяется не только в systemd (ещё в QEMU). Извращение добавили те дистро, что впатчили сборку с libsystemd. Прежде чем писать, сначала лучше проверяйте сведения.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	106. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 08:27
	Ты всё юлишь, но не хочешь сказать правду, что systemd и есть бекдор. Всё об этом знали уже очень давно, но нмкто не хочет признавать.
	Ответить | Правка | Наверх | Cообщить модератору

	332. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от namenotfound (?), 30-Мрт-24, 21:38
	да-да, власти скрывают, голуби следят
	Ответить | Правка | Наверх | Cообщить модератору

	58. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (40), 30-Мрт-24, 01:06
	> То, что вы в своём Gentoo/LFS/Devuan извращаетесь, не имеет отношения к новости. Красиво подгорает! Перечитываю снова и снова, не могу налюбоваться!
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	108. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (98), 30-Мрт-24, 08:38
	Gentoo: "Newer releases were signed by a potentially compromised upstream maintainer"! Забанили все релизы подписанные этим автором: https://packages.gentoo.org/packages/app-arch/xz-utils
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	114. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от сщта (?), 30-Мрт-24, 09:23
	Системд нет,екзедутилс 5.4.6-r1. Все норм.Бггг.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от сщта (?), 30-Мрт-24, 09:45
	Кажется откатывается на 5.4.2
	Ответить | Правка | Наверх | Cообщить модератору

	53. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Ivan_83 (ok), 30-Мрт-24, 00:50
	Тоже не понимал причём тут xz, пришлось читать оригинал: > openssh does not directly use liblzma. However debian and several other > distributions patch openssh to support systemd notification, and libsystemd > does depend on lzma.
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	239. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от НяшМяш (ok), 30-Мрт-24, 13:01
	Тот самый момент, когда арч лучше дебиана.
	Ответить | Правка | Наверх | Cообщить модератору

	380. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (380), 31-Мрт-24, 18:58
	buster - 5.2.4
	Ответить | Правка | Наверх | Cообщить модератору

16. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
Сообщение от Аноним (15), 29-Мрт-24, 23:29
Вообще xz это зло: https://www.nongnu.org/lzip/xz_inadequate.html
Ответить | Правка | Наверх | Cообщить модератору

	41. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (40), 30-Мрт-24, 00:34
	А что насчёт zstd? Бяка типа xz или что-то приятное типа gz/lz? Есть информация?
	Ответить | Правка | Наверх | Cообщить модератору

	82. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Bklrexte (ok), 30-Мрт-24, 03:38
	У lz4 и zstd один и тот же автор, так что скорее приятное.
	Ответить | Правка | Наверх | Cообщить модератору

	233. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от майнеймис (?), 30-Мрт-24, 12:53
	стоящая вещь, только софт некоторый отсталый, а всякие mc вообще не могут без тарбола распаковать. тарболы зло, т.к. при открытии приходится все прогружать ради одного файлика из архива или просмотра списка.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	42. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (42), 30-Мрт-24, 00:34
	Слишком много букв. А что они там предлагают для long-term archiving?
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	55. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (18), 30-Мрт-24, 01:04
	Ничего конкретного. Но вообще любой шарящий в теме человек знает, что для действительно длительного и надежного хранения данных нужна избыточность. То есть желательно использовать что-то типа Parchive.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (40), 30-Мрт-24, 01:21
	Они говорят, что gzip, bzip2 и lzip "в разы" лучше в плане детекта различного рода проблем, появляющихся в архивах со временем, чем xz (детект ошибок в битых архивах и прочее подобное).
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	258. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от й (?), 30-Мрт-24, 13:29
	Ленту. В трех экземплярах.
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

22. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+6 +/–
Сообщение от Аноним (28), 29-Мрт-24, 23:47
Gentoo проблема с sshd не аффектит, так как там не используют патчи для systemd-notify: https://bugs.gentoo.org/show_bug.cgi?id=CVE-2024-3094#c3
Ответить | Правка | Наверх | Cообщить модератору

	407. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от burjui (ok), 01-Апр-24, 22:34
	> Gentoo трабл с sshd не аффектит, так как там не юзаются патчи для systemd-notify Пофиксил, ё велком
	Ответить | Правка | Наверх | Cообщить модератору

29. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (33), 30-Мрт-24, 00:07
> Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться на версию 5.4.6. xz --version xz (XZ Utils) 5.4.1 liblzma 5.4.1 Хакеры 0 : 1 Debian stable
Ответить | Правка | Наверх | Cообщить модератору

	35. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Skullnet (ok), 30-Мрт-24, 00:25
	xz --version xz (XZ Utils) 5.2.5 liblzma 5.2.5 У меня ещё древнее.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (48), 30-Мрт-24, 00:40
	А вот у тебя 4 летняя, но сидеть на старостабильной ветке и не ставить на неё обновления старостабильной ветки тоже аутизм
	Ответить | Правка | Наверх | Cообщить модератору

	65. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Skullnet (ok), 30-Мрт-24, 01:30
	> А вот у тебя 4 летняя, но сидеть на старостабильной ветке и > не ставить на неё обновления старостабильной ветки тоже аутизм У меня самый свежий Linux Mint вообще-то.
	Ответить | Правка | Наверх | Cообщить модератору

	221. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (221), 30-Мрт-24, 12:33
	Основанный на покрывшейся плесенью Ubuntu 22.04 LTS. Ничего, в этом году должен выйти новый LTS выпуск.
	Ответить | Правка | Наверх | Cообщить модератору

	283. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (281), 30-Мрт-24, 14:28
	Псс, Ubuntu 22.04.4 LTS вышел достаточно недавно и софты в нём достаточно свежие. А главное всё работает. Новый LTS до первых фиксиков вообще лучше палкой не трогать будет. Надо сказать санитарам, что ты опять обделался
	Ответить | Правка | Наверх | Cообщить модератору

	46. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 00:38
	Все версии за 2 года содержат код этого автора, у тебя слишком сырая версия.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	86. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (86), 30-Мрт-24, 04:08
	Угу. > He has been part of the xz project for 2 years, adding all sorts of binary test files, and to be honest with this level of sophistication I would be suspicious of even older versions of xz until proven otherwise. > Debian is currently looking into downgrading it even further, before the first contribution from the known bad actor, which may be an older 5.2 release (later ones were also cut by them), then reapplying only the security fixes that came later on top manually, for now. OpenNet: "Я в безопасности, меня не касается, проблемы нет!!"
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

32. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (30), 30-Мрт-24, 00:15
В pkgsrc уже откатились - https://pkgsrc.se/archivers/xz Но в самом образе NetBSD вообще 5.2.4 версия
Ответить | Правка | Наверх | Cообщить модератору

	385. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (385), 31-Мрт-24, 22:59
	>[ ! $(uname) = "Linux" ] && exit 0 так BSD и так в безопасносте
	Ответить | Правка | Наверх | Cообщить модератору

34. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+21 +/–
Сообщение от Аноним (34), 30-Мрт-24, 00:20
Чувак не виноват, ему просто copilot сделал автоподстановку и он случайно нажал на Tab
Ответить | Правка | Наверх | Cообщить модератору

	95. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (95), 30-Мрт-24, 07:40
	Да да, приходиш в жкх, а почему вы мне так много начислили? А это не мы, это программа так сделала ;)
	Ответить | Правка | Наверх | Cообщить модератору

	208. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 12:00
	Шутки шутками, но такое реально бывало: https://en.m.wikipedia.org/wiki/British_Post_Office_scandal
	Ответить | Правка | Наверх | Cообщить модератору

39. Скрыто модератором	+/–
Сообщение от Аноним (-), 30-Мрт-24, 00:32
> В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd Бекдору больше месяца. Вышло две версии, которые даже успели порастаскивать в дисты. А куда смотрели тысячи глаз? Ведь код же открыт, каждый мог его посмотреть и убедиться в его надежности. Неужели свидетели надежности опенсорса не читают сорцы при обновлении?
Ответить | Правка | Наверх | Cообщить модератору

44. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от birdie (ok), 30-Мрт-24, 00:36
Всё ещё веселей: https://github.com/google/oss-fuzz/issues/11760#issuecomment...
Ответить | Правка | Наверх | Cообщить модератору

	250. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (248), 30-Мрт-24, 13:15
	Погоди-ка, но ты же выше писал, что Google проверят каждую строчку кода? Как же так вышло-то? https://github.com/google/oss-fuzz/pull/10667#pullrequestrev...
	Ответить | Правка | Наверх | Cообщить модератору

47. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (47), 30-Мрт-24, 00:39
fedora $ xz --version xz (XZ Utils) 5.4.4 liblzma 5.4.4 ubuntu $ xz --version xz (XZ Utils) 5.2.5 liblzma 5.2.5 debian $ xz --version xz (XZ Utils) 5.4.1 liblzma 5.4.1 Фух. Пронесло =)
Ответить | Правка | Наверх | Cообщить модератору

49. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (42), 30-Мрт-24, 00:41
> Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться на версию 5.4.6. Ну, ладно. > https://security.archlinux.org/ASA-202403-1 А эти пишут, что "The problem has been fixed upstream in version 5.6.1."
Ответить | Правка | Наверх | Cообщить модератору

	54. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (40), 30-Мрт-24, 00:55
	"Эти" рекомендуют ставить не просто 5.6.1, а 5.6.1-2 , в которой бинарник собирается из архива, взятого непосредственно с гитхаба, а не из официального источника. Судя по новости, этот бинарник без проблем. См. https://gitlab.archlinux.org/archlinux/packaging/packages/xz...
	Ответить | Правка | Наверх | Cообщить модератору

	60. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Fyjy (-), 30-Мрт-24, 01:16
	Я буду громко смеяться, если в "пофикшенном" бинарнике будет второй бекдор, но более качественный. Напоминает плохо спрятанный мелкий косяк, который естественно находится, а потом начинаются торги, извинения и заглаживания вины. Хотя сейчас вообще непонятно откуда код более проверенный.
	Ответить | Правка | Наверх | Cообщить модератору

	63. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (40), 30-Мрт-24, 01:27
	В принципе вы правы. Но тогда уж откатываться на версию двухлетней давности. Интересно, за эти два года там были изменения, которые реально полезны, а не просто "рефакторинг в свободное время"?
	Ответить | Правка | Наверх | Cообщить модератору

56. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (56), 30-Мрт-24, 01:04
Хорошо, что использую Debian stable, где, как говорят "эксперты", все протухло и он не нужен.
Ответить | Правка | Наверх | Cообщить модератору

	59. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+15 +/–
	Сообщение от Аноним (40), 30-Мрт-24, 01:16
	Хорошо или нет, но именно дебиан (среди прочих) пропатчил исходники openssh таким образом, что sshd стал уязвим. У тех, кто не считает себя умнее разработчиков openssh и не оверпатчит изначальный софт вдоль и поперёк, проблемы нет.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (18), 30-Мрт-24, 01:49
	Да заметили бы, только уже при расследовании реальных взломов. Но автор конечно действительно прокололся на мелочи.
	Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

	85. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (86), 30-Мрт-24, 04:07
	> He has been part of the xz project for 2 years, adding all sorts of binary test files, and to be honest with this level of sophistication I would be suspicious of even older versions of xz until proven otherwise. > Debian is currently looking into downgrading it even further, before the first contribution from the known bad actor, which may be an older 5.2 release (later ones were also cut by them), then reapplying only the security fixes that came later on top manually, for now. OpenNet: "Я в безопасности, меня не касается, проблемы нет!!"
	Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

66. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
Сообщение от Аноним (66), 30-Мрт-24, 01:36
Ну так себе, для любителей всяких current/testing/unstable версий. Хорошо что выявили довольно быстро, если бэкдор имел более скрытые особенности могло бы годами так лежать незаметно. После такого проекту вообще нельзя больше доверять и надо его исключить из состава топ дистров.
Ответить | Правка | Наверх | Cообщить модератору

	72. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (68), 30-Мрт-24, 01:45
	Тут цельное селинукс кровавой црушнёй писано, да не смутит вас ник злыдня "под китайца"...
	Ответить | Правка | Наверх | Cообщить модератору

	78. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (66), 30-Мрт-24, 02:17
	Матчасть бы изучил, умник. Селинукс изобрели в АНБ, и по словам Сноудена они как раз конкурируют с црушниками в плане ИБ. У первых цель - безопасность, а у вторых внедрение зондов и шпионаж. Но для среднего васяна - все западные агенства это одна большая конспирология.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (68), 30-Мрт-24, 07:44
	Вот и сам изучи матчасть, "безопасность" -- морковка для ослика, а вот поди разгадай как меняется логика функций в зависимости от последовательности данных и условий во времени. Это тебе не васян-троян, это ещё могшие на логическую обфускацию индусы. И слово "безопасности" в названии конторы это не про вашу безопасность.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (125), 30-Мрт-24, 10:12
	Тогда почему ты пишешь от Анонима, а не зарегистрировался на форуме по телефону и паспорту, как порядочный гражданин?
	Ответить | Правка | Наверх | Cообщить модератору

	142. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 10:20
	> И слово "безопасности" в названии конторы это не про вашу безопасность. Разумеется! Но свою безопасность им тоже нужно как-то организовывать. Например от коллег из дружественного Китая и РФ. А раз им приходится пользоваться линуксом, который дыряв как носки срочника, то с этим пришлось что-то делать.
	Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

	140. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Анонм (?), 30-Мрт-24, 10:17
	Сноудену безоговорочно верить, себя не уважать. Учитывая где он сейчас. А то как-то получается, что почти все борцуны за большую свободу, в итоге оказываются с крепкой рукой в заднице от какого-то диктаторского или тоталитарного режима.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	152. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:48
	> Матчасть бы изучил, умник. > Селинукс изобрели в АНБ, и по словам Сноудена Начинаем учить матчасть: 1. Сноуден, прежде всего, предатель. Кто не понимает, что это значит, утрирую: люди ему поверили, но он их обманул. 2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"? 3. Могли ли его действия просчитать и подсунуть "куклу" - это вопрос для тех, кто хоть что-то понимает.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	159. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (159), 30-Мрт-24, 10:56
	> Начинаем учить матчасть: > 1. Сноуден, прежде всего, предатель Кому-то самому не мешало бы поучить матчасть. Сноуден исходит из мнения что службы воюют против собственного народа. А согласно их законам имеют право на восстание. Он помогает чем может. Свой народ по его личному мнению он не продавал. > 2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"? Издание рейтерс пойдет? Комментарий главы АНБ. WASHINGTON (Reuters) - Former U.S. National Security Agency contractor Edward Snowden leaked as many as 200,000 classified U.S. documents to the media, according to little-noticed public remarks by the eavesdropping agency's chief late last month. Факты компетентности главы АНБ надо приводить?
	Ответить | Правка | Наверх | Cообщить модератору

	189. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 11:32
	>> Начинаем учить матчасть: >> 1. Сноуден, прежде всего, предатель > Кому-то самому не мешало бы поучить матчасть. Сноуден исходит из мнения что > службы воюют против собственного народа. А согласно их законам имеют право > на восстание. Он помогает чем может. Свой народ по его личному > мнению он не продавал. Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке. >> 2. Где факты, подтверждающие его компетентность, кроме как "у Эйнштейна тоже был тройбан по физике"? > Издание рейтерс пойдет? Комментарий главы АНБ. > WASHINGTON (Reuters) - Former U.S. National Security Agency contractor Edward Snowden leaked > as many as 200,000 classified U.S. documents to the media, according > to little-noticed public remarks by the eavesdropping agency's chief late last > month. Вижу факт: contractor. Работник по контракту. А в контракте что написано? Полы подметал? > Факты компетентности главы АНБ надо приводить? Нет, ты ведь не осилил вопрос номер 3.
	Ответить | Правка | Наверх | Cообщить модератору

	200. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (200), 30-Мрт-24, 11:47
	> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке. Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово  линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство населения ит должно избавиться от идолопоклонничества мс? Так как там с правом народа на восстание? А что ООН пишет по поводу борьбы народа с властью что преступает закон? А по поводу исполнения преступных приказов ты тоже не слышал? Ну раз ты такой за.тый технарь жду технического определения когда народ имеет право на восстание и неподчинение законам. Что там надо? Проценты недовольства икрой, использование продукции мс на пк больше 94% людей, личное авторитетное мнение нуби? > Вижу факт: contractor. Работник по контракту. А в контракте что написано? Полы подметал? Расскажи как относится компетентность лично Сноудена, которую ты сам ни шиша не знаешь, к факту утечки 200К документов безопасности? Специально упростил задачу - вывел компетентность человека из неё. А ты мне грибные трипы с полами подсовываешь. > Нет, ты ведь не осилил вопрос номер 3. Зачем его осиливать? Судя по твоим совершенно детским комментариям по пункту 1 и 2 ты его у одноклассника на страничке в контакте взял.
	Ответить | Правка | Наверх | Cообщить модератору

	262. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 13:33
	>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке. > Что же ты юлишь то? Я объясняю тебе смысл слов, поскольку ты сам далёк от понимания своей писанины. > Так как там с правом народа на восстание? Не вижу смысла дальше читать унылую демагогию.
	Ответить | Правка | Наверх | Cообщить модератору

	270. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (270), 30-Мрт-24, 13:47
	Ливнул, как ожидаемо. Ни одного своего лживого утверждения не смог обосновать. Под анонимом лучше такое пиши, а то все благодаря интернету теперь знают что ты недалекий, а не только сосед.
	Ответить | Правка | Наверх | Cообщить модератору

	351. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 08:35
	> Ливнул, как ожидаемо. Ни одного своего лживого утверждения не смог обосновать. Уговорил, объясняю вот это за тебя. Проекция - механическая псих.защита, характерная для недалёких индивидов. Я тебе это уже неоднократно писал, ведь так? > Под анонимом лучше такое пиши, а то все благодаря интернету теперь знают > что ты недалекий, а не только сосед. И без оправданий понятно, почему ты пишешь под Анонимом.
	Ответить | Правка | Наверх | Cообщить модератору

	359. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (360), 31-Мрт-24, 10:37
	> Я тебе это уже неоднократно писал, ведь так? Про 12 приёмов Чапека тебе наверное уже ленивый не писал. Успокойся, здесь люди не твоего уровня и такие передерги видели уже давным давно. > Уговорил, объясняю вот это за тебя. Проекция - механическая псих.защита, характерная для недалёких индивидов. А суд сша тоже с псих.защитой? Или это у тебя мания величия сейчас раздувается? Ну давай, попроси ещё 5К за консультацию, хехе. > И без оправданий понятно, почему ты пишешь под Анонимом. Ну вот видишь как прекрасно. Никаких оправданий. Все видят как ты по этой теме сел в лужу. Это один простой анонимный комментатор устроил. В остатке всех твоих посещений опеннета будет: склочный, недалекий, мнительный человек. Пытается всё время показать превосходство используя 12 приемов полемики Чапека. Что никогда не выходит - потому что знаний у него почти нигде нет. В результате постоянно садится в лужу. Отказывается принимать реальность когда ему дают ссылки на компетентные источники информации.
	Ответить | Правка | Наверх | Cообщить модератору

	376. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 17:38
	>> Я тебе это уже неоднократно писал, ведь так? > Про 12 приёмов Чапека тебе наверное уже ленивый не писал. Первый раз такое тут вижу. > Успокойся, здесь > люди не твоего уровня и такие передерги видели уже давным давно. А это постоянно. Когда оратор плавает в вопросе, он резко принимается выступать от лица "всех". Советую тебе отказаться от подобной риторики, поскольку ты сам тебя обнуляешь.
	Ответить | Правка | Наверх | Cообщить модератору

	382. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (382), 31-Мрт-24, 20:57
	Так кто прав? Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби? Сливайся.
	Ответить | Правка | Наверх | Cообщить модератору

	395. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 01-Апр-24, 07:47
	Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
	Ответить | Правка | К родителю #382 | Наверх | Cообщить модератору

	406. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (360), 01-Апр-24, 18:43
	Прямо эталон по впрыгиванию в жир ногами показал. И дальше крутишься как на сковородке, против решения суда сша. Самому то не стремно так опозориться и ещё упорствовать? Это риторический вопрос, тебе то уже ничего не поможет. Чао, альтернативный.
	Ответить | Правка | К родителю #395 | Наверх | Cообщить модератору

	408. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 02-Апр-24, 11:03
	> против решения суда сша. Итак, Анонимный эксперт настойчиво утверждает, что некий окружной суд Жмеринки признал деятельность АНБ незаконной. Почему же все эти агенты Смиты всё ещё на свободе? Почему имущество конторы не опечатано судебными приставами? Что же хочет сказать всем этим эксперт? Что решения окружного суда Жмеринки не имеют юридической силы? Или что эксперт совершенно разучился думать? > Самому то не стремно так > опозориться и ещё упорствовать? Тебе, очевидно, нет. Ведь всякое отрицание ученья гуру является доказательством его правоты.
	Ответить | Правка | К родителю #406 | Наверх | Cообщить модератору

	336. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от TSO (?), 30-Мрт-24, 22:59
	>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке. > Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово   > линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство > населения ит должно избавиться от идолопоклонничества мс? По его разумению, я так понимаю, аглийское слово opinion ("мение") происходит от слова opium.
	Ответить | Правка | К родителю #200 | Наверх | Cообщить модератору

	350. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 08:33
	>>> Действительно, учить, так учить. Однокоренные слова к "мнение": мнить, мнимый. Маня-мирок, если выражаться на принятом здесь языке. >> Что же ты юлишь то? Очередного задорнова-фоменко косплеишь неубедительно. А слово >> линух происходит от слов Ли Нух? Наверное смысл что абсолютное большинство >> населения ит должно избавиться от идолопоклонничества мс? > По его разумению, я так понимаю, аглийское слово opinion ("мение") происходит от > слова opium. Некоторым быть в танке недостаточно, в качестве дополнительной защиты прибегают к проекциям. Ты можешь заниматься любой этимологией, но пока не придёшь к латинскому слову fact, она останется демагогией.
	Ответить | Правка | Наверх | Cообщить модератору

	160. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от ОШИБКА Отсутствуют данные в поле Name (?), 30-Мрт-24, 10:57
	Не хочешь быть соучастником преступлений, о "необходимости" совершения которых тебя поставили перед фактом = предатель. Вау. Хочу ещё больше таких размышлений.
	Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

	191. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 11:35
	> Не хочешь быть соучастником преступлений, о "необходимости" совершения которых тебя поставили > перед фактом = предатель. Вау. Хочу ещё больше таких размышлений. Каких преступлений? Он отказался облучать народ марсианскими технологиями, потому что средний американец не носит шапочку из фольги?
	Ответить | Правка | Наверх | Cообщить модератору

	205. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (205), 30-Мрт-24, 11:58
	Ты с мат частью всё-таки ознакомишься может? Слежка за любым гражданином без санкций. I will be satisfied if the federation of secret law, unequal pardon and irresistible executive powers that rule the world that I love are revealed even for an instant. Now increasingly we see that it's happening domestically. And to do that, they, the NSA specifically, targets the communications of everyone. Not all analysts have the ability to target everything, but I, sitting at my desk, certainly had the authorities to wiretap anyone, from you or your accountant, to a federal judge, to even the President, if I had a personal email.
	Ответить | Правка | Наверх | Cообщить модератору

	266. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 13:39
	Что это за текст, кто его автор и зачем ты мне его отправляешь в ответ? Я лучше почитаю, как Александр Христофорович Бенкендорф, будучи начальником Тайной канцелярии, совершенно случайно оказался главой масонской ложи Amis Reunis.
	Ответить | Правка | Наверх | Cообщить модератору

	268. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (270), 30-Мрт-24, 13:46
	Ты с матчастью ознакомься. Это цитата Сноудена в интервью гуардиану. Сбор данных без санкции суда на обычных граждан считается в сша очень крупным нарушением. Сливайся уже, малой
	Ответить | Правка | Наверх | Cообщить модератору

	352. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 08:41
	> Ты с матчастью ознакомься. > Это цитата Сноудена в интервью гуардиану. С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не подтверждена? Видишь ли, твоя паранойя по этому поводу недостаточно заразительна. > Сбор данных без санкции суда на обычных граждан считается в сша очень > крупным нарушением. > Сливайся уже, малой Для теба это нарушения, а для той конторы рутина. Если ты пытаешься меня убедить, что Столлман не понимал задачи и методы конторы, куда трудоустраивался, после того как облажался в пехоте, я тебе поздравляю - ты "подтвердил" его компетентность.
	Ответить | Правка | Наверх | Cообщить модератору

	357. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (360), 31-Мрт-24, 10:23
	> С какого перепугу я должен верить персонажу, чья компетенция в вопросе никак не подтверждена? Seven years after former National Security Agency contractor Edward Snowden blew the whistle on the mass surveillance of Americans’ telephone records, an appeals court has found the program was unlawful С этим можно ознакомиться хоть в отечественных сми, хоть в американских. Так же на вики существует куча отсылок на  официальные действия сша. И все идут в сторону что поправка четвертая была нарушена. Ты письмо их суду уже написал что они некомпетентны. > Видишь ли, твоя паранойя по этому поводу недостаточно заразительна. Ты решил все приемы Чамека здесь вывалить? На меня это не действует. С твоей стороны какое-то высасывание из пальца. С моей стороны опубликованные документы, решение суда, законы что были приняты после этого и имели обратную силу(что бы под суд не угодило много компаний). А вот твоя беготня с росой по всем веткам она характерна. Вон они тебе как оо разработали в ОО в нике. До сих пор горит. Вмажь что-нибудь от болей себе уже и успокойся. > Для теба это нарушения, а для той конторы рутина. In a ruling handed down on Wednesday, the U.S. Court of Appeals for the Ninth Circuit said the warrantless telephone dragnet that secretly collected millions of Americans’ telephone records violated the Foreign Intelligence Surveillance Act and may well have been unconstitutional. > Если ты пытаешься меня убедить, что Столлман не понимал задачи и методы конторы, куда трудоустраивался, после того как облажался в пехоте, я тебе поздравляю - ты "подтвердил" его компетентность. Свою компетентность ты уже здесь всем показал. Никто не прав вплоть до американского суда, а ты лучше них такой знаешь что такое нарушение и как должна работать та контора.
	Ответить | Правка | Наверх | Cообщить модератору

	377. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 17:41
	> всем показал. А ты _мне_ вот этим показал, что сам себя лично ни во что не ставишь.
	Ответить | Правка | Наверх | Cообщить модератору

	383. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (382), 31-Мрт-24, 20:58
	Итак кто прав. Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби? Сливайся.
	Ответить | Правка | Наверх | Cообщить модератору

	396. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 01-Апр-24, 07:49
	Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
	Ответить | Правка | К родителю #383 | Наверх | Cообщить модератору

	246. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (246), 30-Мрт-24, 13:13
	Извините за занудство, но 1. Сноуден сам пошёл в контору. Взрослый мужчина, не мог не знать, какого рода делами занимается контора. То есть сам изъявил желание поучаствовать. 2. Сам принял гражданство РФ. Поэтому все эти морализаторские аргументы - лицемерие.
	Ответить | Правка | К родителю #160 | Наверх | Cообщить модератору

	264. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 13:35
	Тут кстати некоторые не очень рады, что он принял наше гражданство. Потому что в истории был похожий персонаж, звали его Ли Харви Освальд. Теперь есть опасения, что его обратно выкрадут.
	Ответить | Правка | Наверх | Cообщить модератору

	337. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от TSO (?), 30-Мрт-24, 23:02
	> в истории был похожий персонаж, звали его Ли Харви Освальд. Вау, о сколько нам открытий чудных!.. А можно поинтересоваться — какого такого американского президента убил г-н Сноуден?
	Ответить | Правка | Наверх | Cообщить модератору

	349. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 08:31
	>> в истории был похожий персонаж, звали его Ли Харви Освальд. > Вау, о сколько нам открытий чудных!.. А можно поинтересоваться — какого такого > американского президента убил г-н Сноуден? Я вижу, ты не в курсе, что Освальд перед тем попросил политическое убежище в СССР и успел тут жениться? Зато решил сострить, поздравляю.
	Ответить | Правка | Наверх | Cообщить модератору

	274. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (270), 30-Мрт-24, 13:54
	> Сноуден сам пошёл в контору. Взрослый мужчина, не мог не знать, какого рода делами занимается контора. То есть сам изъявил желание поучаствовать. Контора занимался незаконной деятельностью за пределами сша. Это его устраивало. Потом она начала заниматься незаконной деятельностью на территории сша. Против своих граждан. Он решил помещать как может. Так сложно это понять? Если бы они не начали по своим работать шиш бы он куда сбежал. Так бы радостно и работал на страну.
	Ответить | Правка | К родителю #246 | Наверх | Cообщить модератору

	378. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 31-Мрт-24, 17:44
	Так ты Патриотический Акт почитай. Может последуешь примеру своего кумира и перестанешь на них работать. ;)
	Ответить | Правка | Наверх | Cообщить модератору

	384. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (382), 31-Мрт-24, 20:58
	Так кто прав? Американский суд признавший преступным слежку за своими гражданами или опеннетовский нуби? Сливайся.
	Ответить | Правка | Наверх | Cообщить модератору

	397. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 01-Апр-24, 07:49
	Зачем ты задаёшь мне все эти глупые вопросы? Ты хочешь меня убедить, что я не прав? Мне плевать на мнение персонажа, боящегося подписаться под своими словами. Ты хочешь себя убедить, что ты прав? Тебе одной веры в слова гуру секты недостаточно?
	Ответить | Правка | Наверх | Cообщить модератору

	153. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (159), 30-Мрт-24, 10:49
	То самое анб что протолкнуло свою поделку вместо рсбак и пах-грсек? Хотя они были уже готовы. А потом в анб признали ошибку и переписали кусок с лсм? https://www.rsbac.org/documentation/why_rsbac_does_not_use_lsm
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

70. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+9 +/–
Сообщение от Аноним (68), 30-Мрт-24, 01:44
Надо было xz на расте писать, с его наркохипанским синтаксисом никто ничего никогда бы не нашёл.
Ответить | Правка | Наверх | Cообщить модератору

	187. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+6 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 11:29
	> на расте писать, с его наркохипанским синтаксисом никто ничего никогда бы не нашёл. То есть синтаксис m4 портянки из новости тебя не смутил, да?
	Ответить | Правка | Наверх | Cообщить модератору

	366. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (364), 31-Мрт-24, 16:30
	Так даже у m4 синтаксис лучше чем у Раста.
	Ответить | Правка | Наверх | Cообщить модератору

	265. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 13:38
	Это хорошо что вы открыто говорите о своих проблемах. Ну не удалось вам понять как работают лайфтаймы в Расте, ну что поделаешь, бывает. Многие даже Си осилить не могут, так до сих пор и ходят [под себя] за пределы буфера.
	Ответить | Правка | К родителю #70 | Наверх | Cообщить модератору

74. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
Сообщение от Лутту (?), 30-Мрт-24, 01:51
m4??? Невероятно.
Ответить | Правка | Наверх | Cообщить модератору

	154. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аннон (?), 30-Мрт-24, 10:49
	Ещё одно доказательство, что Automake место на свалке. Не читаемый набор скриптов, который невозможно отревьювить
	Ответить | Правка | Наверх | Cообщить модератору

	292. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:44
	Если скрипты намеренно не читать, их и нельзя будет отревьюить.
	Ответить | Правка | Наверх | Cообщить модератору

76. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–2 +/–
Сообщение от Oe (?), 30-Мрт-24, 01:54
Какого черта какой то ноунейм liblzma либе доступно чтение и запись в любую область памяти sshd? Это безопасность линукс такая? Ей богу лучше бы javascript использовали пользы было бы больше чем на сях писать.
Ответить | Правка | Наверх | Cообщить модератору

	137. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (125), 30-Мрт-24, 10:15
	Иди сурсы читай. sshd напрямую эту библиотеку и не использует, просто какие-то гении присобачили к sshd systemd, а эта хрень уже тащит с собой чуть ли не весь интернет в зависимости. Просто sshd тут оказался апетитной добычей, а так по-факту под контроль можно взять всю твою систему, если подменить при линковке нужные функции уже в самом systemd.
	Ответить | Правка | Наверх | Cообщить модератору

	219. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–5 +/–
	Сообщение от Oe (?), 30-Мрт-24, 12:24
	Вопрос по прежнему открыт: почему ноунейм прилинкованная либа имеет доступ к памяти sshd? Почему в 2024 году память sshd не зашифрована аппаратно? По логике любой либе скармливаются входные данные и она отдает выходные, ни в какие иные области памяти она читать и тем более писать не имеет право. До вас еще не дошло, что вся эта десктопная архитектура и код под неё мертв и не обеспечивает должной безопасности? Это детские баги уровня виндоус 95
	Ответить | Правка | Наверх | Cообщить модератору

	243. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (243), 30-Мрт-24, 13:11
	> По логике любой либе скармливаются входные данные в виде указателя на область памяти... Ты представляешь производительность того же хрома, который на каждый библиотечный вызов будет сериализовать нагрузку и передавать ее через какой-то спец интерфейс?
	Ответить | Правка | Наверх | Cообщить модератору

	273. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от n00by (ok), 30-Мрт-24, 13:51
	> будет сериализовать нагрузку А я предлагаю наконец научиться кодить, почитать про mmap, например.
	Ответить | Правка | Наверх | Cообщить модератору

	322. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (322), 30-Мрт-24, 18:59
	>Почему в 2024 году память sshd не зашифрована аппаратно? Так и запишем - пособник копирастов-тивоизастов и устаревастов.
	Ответить | Правка | К родителю #219 | Наверх | Cообщить модератору

	358. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Легивон (?), 31-Мрт-24, 10:26
	>ноунейм прилинкованная либа имеет доступ к памяти sshd? Иди книжку почитай: как работает линковка и для чего она нужна.
	Ответить | Правка | К родителю #219 | Наверх | Cообщить модератору

	405. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (317), 01-Апр-24, 14:43
	> Вопрос по прежнему открыт: почему ноунейм прилинкованная либа имеет доступ к памяти sshd? Это претензии к операционным системам, я надеюсь, а не к разработчикам прикладной программы? Потому что все широкораспространенные операционки загружают разделяемые библиотеки в область памяти процесса и все они (и программа и прилинкованные библиотеки) на аппаратном уровне имеют равные права обращаться куда угодно в пределах этой области, хоть это и категорически нежелательно, в частности в свете того, что в программе и библиотеках всунуты разные менеджеры памяти? >  Почему в 2024 году память sshd не зашифрована аппаратно? По логике любой либе скармливаются входные данные и она отдает выходные, ни в какие иные области памяти она читать и тем более писать не имеет право Да пожалуйста, они бы и без доступа к памяти sshd обошлись, хватило бы и своей собственной выделенной, главное, чтобы sshd подтянул либу и запустил ее код, особенно со своими sshd-ными правами. А дальше они уже сами разберутся. Мало что ли там находят локальных уязвимостей с поднятием привилегий.
	Ответить | Правка | К родителю #219 | Наверх | Cообщить модератору

	158. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 10:54
	Ловите его скорее, а то он и NIH-синдром поставит под сомнение! ;)
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

81. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от soarin (ok), 30-Мрт-24, 03:34
brew upgrade xz 5.6.1 -> 5.4.6 https://github.com/Homebrew/homebrew-core/pull/167512
Ответить | Правка | Наверх | Cообщить модератору

87. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
Сообщение от Аноним (87), 30-Мрт-24, 04:14
> This repository has been disabled. Посжимали и хватит. F
Ответить | Правка | Наверх | Cообщить модератору

88. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (88), 30-Мрт-24, 05:08
>патч для поддержки systemd-notify, приводящий к связыванию sshd к liblzma Я так понимаю, что если был любой другой инит, а не системда + патч, то этот бекдор не проблема? Сами дураки, поставили инит в котором пропатчив один из модулей подвергают атаке все сразу.
Ответить | Правка | Наверх | Cообщить модератору

	90. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от glad_valakas (?), 30-Мрт-24, 05:23
	вот devuan, какой-то рудимент от systemd имеется: S ldd /usr/sbin/sshd         linux-vdso.so.1 (0x00007fffc09b0000)         libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007f5395d58000)         libwrap.so.0 => /usr/lib/x86_64-linux-gnu/libwrap.so.0 (0x00007f5395d4c000)         libaudit.so.1 => /lib/x86_64-linux-gnu/libaudit.so.1 (0x00007f5395d1b000)         libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0 (0x00007f5395d09000)         libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0 (0x00007f5395c62000)         libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007f5395c32000)         libgssapi_krb5.so.2 => /usr/lib/x86_64-linux-gnu/libgssapi_krb5.so.2 (0x00007f5395be0000)         libkrb5.so.3 => /usr/lib/x86_64-linux-gnu/libkrb5.so.3 (0x00007f5395b06000)         libcom_err.so.2 => /lib/x86_64-linux-gnu/libcom_err.so.2 (0x00007f5395b00000)         libcrypto.so.3 => /usr/lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007f539567e000)         libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007f539565f000)         libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f539547c000)         libnsl.so.2 => /usr/lib/x86_64-linux-gnu/libnsl.so.2 (0x00007f5395461000)         libcap-ng.so.0 => /lib/x86_64-linux-gnu/libcap-ng.so.0 (0x00007f5395459000)         libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f539544d000)         libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f5395448000)         /lib64/ld-linux-x86-64.so.2 (0x00007f5395ee6000)         libpcre2-8.so.0 => /usr/lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007f53953ac000)         libk5crypto.so.3 => /usr/lib/x86_64-linux-gnu/libk5crypto.so.3 (0x00007f539537f000)         libkrb5support.so.0 => /usr/lib/x86_64-linux-gnu/libkrb5support.so.0 (0x00007f5395371000)         libkeyutils.so.1 => /lib/x86_64-linux-gnu/libkeyutils.so.1 (0x00007f539536a000)         libresolv.so.2 => /lib/x86_64-linux-gnu/libresolv.so.2 (0x00007f5395359000)         libtirpc.so.3 => /lib/x86_64-linux-gnu/libtirpc.so.3 (0x00007f5395329000)
	Ответить | Правка | Наверх | Cообщить модератору

	113. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (48), 30-Мрт-24, 09:15
	Сколько же там дерьма напихано, фу. Правильное у меня мнение было об этом дистре. Вот в генту без лишнего ldd /usr/sbin/sshd         linux-vdso.so.1 (0x00007ffe63093000)         libcrypt.so.2 => /usr/lib64/libcrypt.so.2 (0x00007f787309d000)         libcrypto.so.3 => /usr/lib64/libcrypto.so.3 (0x00007f7872a00000)         libz.so.1 => /usr/lib64/libz.so.1 (0x00007f7873083000)         libc.so.6 => /lib64/libc.so.6 (0x00007f7872824000)         /lib64/ld-linux-x86-64.so.2 (0x00007f78731e9000)
	Ответить | Правка | Наверх | Cообщить модератору

	196. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (196), 30-Мрт-24, 11:42
	В Debian: ldd /usr/bin/ssh     linux-vdso.so.1 (0x00007ffd6d9fb000)     libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007fd28feae000)     libgssapi_krb5.so.2 => /lib/x86_64-linux-gnu/libgssapi_krb5.so.2 (0x00007fd28fe5c000)     libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3 (0x00007fd28f800000)     libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007fd28fe3d000)     libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fd28f61f000)     libpcre2-8.so.0 => /lib/x86_64-linux-gnu/libpcre2-8.so.0 (0x00007fd28fda1000)     /lib64/ld-linux-x86-64.so.2 (0x00007fd290002000)     libkrb5.so.3 => /lib/x86_64-linux-gnu/libkrb5.so.3 (0x00007fd28fcc7000)     libk5crypto.so.3 => /lib/x86_64-linux-gnu/libk5crypto.so.3 (0x00007fd28fc9a000)     libcom_err.so.2 => /lib/x86_64-linux-gnu/libcom_err.so.2 (0x00007fd28fc94000)     libkrb5support.so.0 => /lib/x86_64-linux-gnu/libkrb5support.so.0 (0x00007fd28fc86000)     libkeyutils.so.1 => /lib/x86_64-linux-gnu/libkeyutils.so.1 (0x00007fd28f618000)     libresolv.so.2 => /lib/x86_64-linux-gnu/libresolv.so.2 (0x00007fd28f607000)
	Ответить | Правка | Наверх | Cообщить модератору

	244. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (243), 30-Мрт-24, 13:13
	так разговор про sshd,а не про ssh
	Ответить | Правка | Наверх | Cообщить модератору

	242. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от НяшМяш (ok), 30-Мрт-24, 13:09
	Даже в арче не додумались до такого ldd /usr/sbin/sshd         linux-vdso.so.1 (0x00007fff03d35000)         libcrypt.so.2 => /usr/lib/libcrypt.so.2 (0x000077e4d841b000)         libpam.so.0 => /usr/lib/libpam.so.0 (0x000077e4d840a000)         libgssapi_krb5.so.2 => /usr/lib/libgssapi_krb5.so.2 (0x000077e4d83b6000)         libkrb5.so.3 => /usr/lib/libkrb5.so.3 (0x000077e4d82de000)         libcrypto.so.3 => /usr/lib/libcrypto.so.3 (0x000077e4d7c00000)         libz.so.1 => /usr/lib/libz.so.1 (0x000077e4d82c4000)         libc.so.6 => /usr/lib/libc.so.6 (0x000077e4d7a1e000)         libaudit.so.1 => /usr/lib/libaudit.so.1 (0x000077e4d8295000)         libk5crypto.so.3 => /usr/lib/libk5crypto.so.3 (0x000077e4d8267000)         libcom_err.so.2 => /usr/lib/libcom_err.so.2 (0x000077e4d8261000)         libkrb5support.so.0 => /usr/lib/libkrb5support.so.0 (0x000077e4d8253000)         libkeyutils.so.1 => /usr/lib/libkeyutils.so.1 (0x000077e4d824c000)         libresolv.so.2 => /usr/lib/libresolv.so.2 (0x000077e4d8239000)         /lib64/ld-linux-x86-64.so.2 => /usr/lib64/ld-linux-x86-64.so.2 (0x000077e4d856a000)         libcap-ng.so.0 => /usr/lib/libcap-ng.so.0 (0x000077e4d8231000)
	Ответить | Правка | К родителю #113 | Наверх | Cообщить модератору

	362. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (362), 31-Мрт-24, 12:20
	В арче не принято обмазывать исходники пакетов коричневой субстанцией^W^W патчами, как в дебиане
	Ответить | Правка | Наверх | Cообщить модератору

	225. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от нах. (?), 30-Мрт-24, 12:42
	> вот devuan, какой-то рудимент от systemd имеется: Это не рудимент, это весь systemd и есть. С чем и поздравляю борцунов с системдрянью не умеющих кодить. Но ты можешь не переживать - твой локалхост не подвержен уязвимости, поскольку является клоном де6иллиана, супергероя, успешно защищающего мир от слишком нового софта. Два года назад? Птьфу, это не слишком новый, это вообще гость из будущего.... для де6иллиана - довольно далекого. А пользуемые федорой пусть страдают, страдание очищает.
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	279. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от glad_valakas (-), 30-Мрт-24, 14:15
	>> вот devuan, какой-то рудимент от systemd имеется: > Это не рудимент, это весь systemd и есть. чушь. 1) процесса systemd нет. 2) сравни с нормальным дебианом: ldd /lib/x86_64-linux-gnu/libsystemd.so.0         linux-vdso.so.1 (0x00007ffcf25f3000)         libcap.so.2 => /lib/x86_64-linux-gnu/libcap.so.2 (0x00007f59e532f000)         libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007f59e532a000)         libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f59e5149000)         /lib64/ld-linux-x86-64.so.2 (0x00007f59e53fb000)
	Ответить | Правка | Наверх | Cообщить модератору

	91. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (91), 30-Мрт-24, 05:24
	Да
	Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

89. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (89), 30-Мрт-24, 05:20
А сколько таких, которые не попались?!
Ответить | Правка | Наверх | Cообщить модератору

	93. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от BrainFucker (ok), 30-Мрт-24, 06:33
	А я-то думаю чего с годами потребление памяти и другая требовательность к ресурсам растёт даже у консольных утилит...
	Ответить | Правка | Наверх | Cообщить модератору

	166. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (166), 30-Мрт-24, 11:14
	Так их переписывают просто. То на Питончик, то на Раст...
	Ответить | Правка | Наверх | Cообщить модератору

92. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (92), 30-Мрт-24, 05:38
a/xz-5.6.1-x86_64-2.txz: Rebuilt.        Seems like a good idea to build this from a git pull rather than the signed        release tarballs. :-)        The liblzma in the previous packages were not found to be vulnerable by the        detection script, but I'd rather not carry the bad m4 files in our sources.        Here's a test script for anyone wanting to try it:        if hexdump -ve '1/1 "%.2x"' /lib*/liblzma.so.5 | grep -q f30f1efa554889f54c89ce5389fb81e7000000804883ec28488954241848894c2410 ; then        echo probably vulnerable        else        echo probably not vulnerable        fi Вот вам код для проверки от Патрика.
Ответить | Правка | Наверх | Cообщить модератору

97. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+5 +/–
Сообщение от Аноним (98), 30-Мрт-24, 07:51
> в прошлом году Jia Tan внёс изменения, несовместимые с режимом проверки "-fsanitize=address", что привело к его отключению при fuzzing-тестировании. Вот! В этом месте и надо отлавливать вредителей. Ещё одно место это JIT код который не собирается с -fPIE надо искоренить.
Ответить | Правка | Наверх | Cообщить модератору

99. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
Сообщение от iCat (ok), 30-Мрт-24, 07:57
libsystemd Для меня это уже повод насторожиться
Ответить | Правка | Наверх | Cообщить модератору

	103. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (98), 30-Мрт-24, 08:07
	А для меня расслабится. Использую дистр без сысды, дбас, полкитды, вяленого.
	Ответить | Правка | Наверх | Cообщить модератору

	284. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (281), 30-Мрт-24, 14:32
	Расслабился - смой за собой
	Ответить | Правка | Наверх | Cообщить модератору

	294. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:47
	Так он же сказал: >Использую дистр без сысды, дбас, полкитды, вяленого.
	Ответить | Правка | Наверх | Cообщить модератору

102. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от вася (??), 30-Мрт-24, 08:04
Интересно, на сколько лет посадят писателя этого бэкдора?
Ответить | Правка | Наверх | Cообщить модератору

	104. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Вова (?), 30-Мрт-24, 08:12
	Закон дышло, чужого - посадим, своего - наградим: https://tass.ru/obschestvo/17021313 "действующие в интересах РФ на ее территории и за рубежом, должны быть освобождены от ответственности, этот вопрос планируется проработать" У них тоже, наверно так. Распространявшего бекдор в интересах спецслужбы непосадят. Он же не шпион, а разведчик.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Sw00p aka Jerom (?), 30-Мрт-24, 08:35
	>Он же не ну да, прям как, чтобы ликвидировать кучку ТТ, надо было потравить тучу хостейдж, ага медальку дайте.
	Ответить | Правка | Наверх | Cообщить модератору

	210. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (248), 30-Мрт-24, 12:04
	> Интересно, на сколько лет посадят писателя этого бэкдора? Ни на сколько, потому что в лицензии либы есть отказ от каких либо обязательств.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	227. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от нах. (?), 30-Мрт-24, 12:44
	Кто ж посадит действующего члена КПК? Судя по имячку - он прям оттуда и кодил.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

109. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (106), 30-Мрт-24, 08:40
Хомы начинают прозревать, а вдруг не все выходы за границы буфера это просто ошибка? И никакой р-ст не спасёт от злонамеренного использования.
Ответить | Правка | Наверх | Cообщить модератору

111. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–7 +/–
Сообщение от Аноним (-), 30-Мрт-24, 09:09
Какой позор для опенсорса... Внезапно оказалось, что открытый код и контролируемые репозитории не спасают от бекдоров... У фанатиков срочный перерыв на переписывание методичек))
Ответить | Правка | Наверх | Cообщить модератору

	134. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (121), 30-Мрт-24, 10:13
	Так бекдор, внезапно, в бинарнике! Вот тебе и закрытый код.
	Ответить | Правка | Наверх | Cообщить модератору

	175. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от n00by (ok), 30-Мрт-24, 11:21
	Бэкдор в библиотеке с открытым кодом. Ты думал, что его ещё и прокомментируют в исходнике? Что бы можно было делать grep -R B4CKD0R * ?
	Ответить | Правка | Наверх | Cообщить модератору

	306. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (121), 30-Мрт-24, 16:15
	Ты точно читал новость? Архивы давно перестали быть бинарными файлами? При сборке в ходе выполнения запутанных обфусцированных операций на основе архивов bad-3-corrupt_lzma2.xz и good-large_compressed.lzma, добавленных под предлогом использования в тестах корректности работы распаковщика, формировался объектный файл с вредоносным кодом, который включался в состав библиотеки liblzma и изменял логику работы некоторых её функций.
	Ответить | Правка | Наверх | Cообщить модератору

	342. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (342), 30-Мрт-24, 23:31
	Бэкдор не в коде программы, а в её сборочных скриптах. Это определенно всё меняет.
	Ответить | Правка | Наверх | Cообщить модератору

	353. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от n00by (ok), 31-Мрт-24, 08:53
	Я не только читал новость, но и краем уха слышал, чем полиморфные движки отличаются от метаморфных. А ты не только сейчас полезешь гуглить эти слова, но и моё сообщение для тебя оказалось недостаточно понятным. Попробую упростить: никто не принесёт тебе бэкдор на блюдечке.
	Ответить | Правка | К родителю #306 | Наверх | Cообщить модератору

	367. Скрыто модератором	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 16:45
	Не стыдно гуглить новое, стыдно бросатся умными словами без понимания их значения, строя из себя эксперта.
	Ответить | Правка | Наверх | Cообщить модератору

	398. Скрыто модератором	+/–
	Сообщение от n00by (ok), 01-Апр-24, 08:09
	Ну так и не пиши больше "запутанных обфусцированных операций" и прочее "масло маслянное". Пиши понятные простые слова: "что-то намудрил", "намутил", "нафигачил", например.
	Ответить | Правка | Наверх | Cообщить модератору

	418. Скрыто модератором	+/–
	Сообщение от Аноним (417), 26-Апр-24, 11:09
	Ты уже совсем съехал и собеседников между собой путаешь, враждебный мир он такой, все есть заговор против тебя.
	Ответить | Правка | К родителю #353 | Наверх | Cообщить модератору

	419. Скрыто модератором	+/–
	Сообщение от n00by (ok), 28-Апр-24, 08:53
	> Ты уже совсем съехал и собеседников между собой путаешь, Сообщение от Аноним (121), 30-Мрт-24 Сообщение от n00by (ok), 30-Мрт-24 Сообщение от Аноним (121), 30-Мрт-24 Сообщение от n00by (ok), 31-Мрт-24, Сообщение от Аноним (417), 26-Апр-24 Ты месяц за мной бежал, что бы сообщить мне, что я перепутал Анонима (121) и Анонима (121)? > враждебный мир он такой, все есть заговор против тебя. Или тебя месяц подержали во враждебном мире заговорщики, а теперь выпустили?
	Ответить | Правка | Наверх | Cообщить модератору

	192. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 11:36
	> Внезапно оказалось, что открытый код и контролируемые репозитории не спасают от бекдоров... Ты с логикой дружишь? Бэкдор найден через месяц после внедрения, в репе по комитам нашли автора. А теперь представь, что было бы при подобной ситауции в проприетари.
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

	307. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
	Сообщение от Аноним (121), 30-Мрт-24, 16:18
	> А теперь представь, что было бы при подобной ситауции в проприетари. А ничего бы не было, в Cisco до сих пор не расказали, кто на наоставлял вагон бекдоров, несмотря на все скандалы (но запретили Huawei, что иронично).
	Ответить | Правка | Наверх | Cообщить модератору

123. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
Сообщение от Аноним (123), 30-Мрт-24, 09:51
>Код активации бэкдора был спрятан в m4-макросах из файла build-to-host.m4 Не удивлюсь, если во всех проектах на automake, включая rpm и firejail, такое происходит. Потому что automake - это специальное говно, к которому никто прикасаться и даже смотреть не будет. А те, кто упорствует в своей ереси по использованию automake - пособники бэкдорщиков.
Ответить | Правка | Наверх | Cообщить модератору

	296. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:49
	В ninja тем более смотреть не будет никто. А в automake очень даже.
	Ответить | Правка | Наверх | Cообщить модератору

	325. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Анонми (?), 30-Мрт-24, 20:09
	> В ninja тем более смотреть не будет никто. А в automake очень даже. Makefile для ninja никто руками не пишет, и, соответственно, не заливает в репы/тарболы. Они генерятся тулзами типа meson и CMake.
	Ответить | Правка | Наверх | Cообщить модератору

	334. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (334), 30-Мрт-24, 22:27
	Очень даже пишут. Иногда. В очень нишевых кейсах. Они даже читаемыми получаются. Главные их проблемы - гвоздями прибиты к компилятору, флагам и окружению.
	Ответить | Правка | Наверх | Cообщить модератору

124. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
Сообщение от Аноним (123), 30-Мрт-24, 09:53
>Активирующие бэкдор m4-макросы входили в состав tar-архивов релизов, но отсутствовали в Git-репозитории. Но идиотские дистры вроде Дебиана продолжат собирарь из архивов.
Ответить | Правка | Наверх | Cообщить модератору

	193. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (248), 30-Мрт-24, 11:38
	> Но идиотские дистры вроде Дебиана продолжат собирарь из архивов. Ага, а надо из апстрим репы исходного кода, да прямо из master ветки...
	Ответить | Правка | Наверх | Cообщить модератору

	230. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (230), 30-Мрт-24, 12:48
	man git-checkout
	Ответить | Правка | Наверх | Cообщить модератору

	275. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от n00by (ok), 30-Мрт-24, 13:58
	>> Но идиотские дистры вроде Дебиана продолжат собирарь из архивов. > Ага, а надо из апстрим репы исходного кода, да прямо из master > ветки... Расскажи, в каком дистрибутиве ты собираешь пакетики. Страна должна знать своих героев.
	Ответить | Правка | К родителю #193 | Наверх | Cообщить модератору

	195. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (195), 30-Мрт-24, 11:40
	Fedora, OpenSUSE тоже идиотские дистрибутивы?)
	Ответить | Правка | К родителю #124 | Наверх | Cообщить модератору

	228. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (230), 30-Мрт-24, 12:47
	Эти - особенно.
	Ответить | Правка | Наверх | Cообщить модератору

126. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от сщта (?), 30-Мрт-24, 10:06
Так это в Сид каком-нибудь только прилетело,навряд ли в обычный Дебиан попало.
Ответить | Правка | Наверх | Cообщить модератору

128. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (-), 30-Мрт-24, 10:08
Эта либа себя дискредитировала. Jia Tan коммитил в течение для двух лет и любой из этих коммитов не вызывает доверия. Нужна замена. Более надежная. Например написанная на расте.
Ответить | Правка | Наверх | Cообщить модератору

	130. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (166), 30-Мрт-24, 10:09
	В расте и обфусцировать бэкдор не надо будет - в коде просто никто и так не разберётся...
	Ответить | Правка | Наверх | Cообщить модератору

	132. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (106), 30-Мрт-24, 10:11
	Код уже написан и уже внедрен в какой-то мутный драйвер из 100 строк.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 10:17
	В расте нет такого древнего легаси как m4 скрипты. Там нормальная человекочитаемая система сборки. > в коде просто никто и так не разберётся Не судите, пожалуйста, по себе. Если вы неосилятор, это не значит всё тоже неосиляторы. Кто захочет - тот в разберется в коде.
	Ответить | Правка | К родителю #130 | Наверх | Cообщить модератору

	183. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (106), 30-Мрт-24, 11:27
	Ты хотел сказать что на рсте вообще нет никакого продакшн кода.
	Ответить | Правка | Наверх | Cообщить модератору

	247. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от НяшМяш (ok), 30-Мрт-24, 13:14
	Гугл с андроидом и не в курсе. И ещё с десяток крупных компаний.
	Ответить | Правка | Наверх | Cообщить модератору

	308. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (106), 30-Мрт-24, 16:44
	Это все происходит только в твоём воображении и каких то маловнятных новостях. Которые копнуть глубже и ясно что новость пшик.
	Ответить | Правка | Наверх | Cообщить модератору

	297. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:52
	>Там нормальная человекочитаемая система сборки. Тянущая всё с гитхабчика, ага. Ночью по CET/PST дядя Ляо сделал git push, дядя Ли запустил сборку растопакетика, маякнул Ляо сделать git push --force с отменой коммита и всё шито-крыто.
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	321. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (321), 30-Мрт-24, 18:55
	>Там нормальная человекочитаемая система сборки ... 1. сама тянущая все зависимости, какие укажут разработчики пакетов укажут. и собирающая их -> гигантское дерево зависимостей совершенно произвольных версий, прибытых гвоздями, в нескольких экземпларах, и зачастую совершенно не нужных для программы, просто где-то указанных в зависимостях, а не пакетов из дистра. Не нравится - перепиши всю экосистему. 2. выполняющая произвольный код вов время сборки, какой разработчик любой зависимости укажет -> компрометация сборочной системы с инфицированием всего софта, на ней собираемого 3. статическая линковка —> огроменные жрущие бинари, в которых невозможно разобраться, проще выкинуть.
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	368. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (364), 31-Мрт-24, 16:50
	Кто захочет писать безопасно на Си - тот будет писать безопасно на Си. Неосиляторам же ничто не поможет, даже новый язык.
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	373. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от jsforever (ok), 31-Мрт-24, 17:26
	Не переживай, раст и прочая скриптуха также подвержена подобным проблемам. И дело не в синтаксисе, а в макросне. Любая макросня - это уже обфускация.
	Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

	157. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 10:54
	В расте не смогут разобраться только неосиляторы. Там гугл переучивает разработчиков которые писали на Го (на ГО, Карл!) и они осваивают раст за 2-3 месяца. И пишут нормальный код. Зато в расте не будет отстоя тим м4 и пробашпортянок.
	Ответить | Правка | К родителю #130 | Наверх | Cообщить модератору

	194. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (195), 30-Мрт-24, 11:38
	Умник, ты хоть посмотри для чего использовался bash. Или ты из очередных "не читал, но осуждаю"?
	Ответить | Правка | Наверх | Cообщить модератору

	369. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 16:52
	Использование Хруста как-то мешает использовать в проекте m4 и bash? Выдыхай, бобер.
	Ответить | Правка | К родителю #157 | Наверх | Cообщить модератору

	374. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от jsforever (ok), 31-Мрт-24, 17:28
	Там уже есть весь этот отстой - это макросы. Проблемы всё те же, что и у баш/м4.
	Ответить | Правка | К родителю #157 | Наверх | Cообщить модератору

	341. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от microcoder (ok), 30-Мрт-24, 23:26
	На Питоне замучаешься обфуцировать. Вот это язык так язык! Хех-хех )))))
	Ответить | Правка | К родителю #128 | Наверх | Cообщить модератору

136. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+5 +/–
Сообщение от Анонм (?), 30-Мрт-24, 10:14
m4-макрос, дата редиза - 1977 год Конечно использовать инструменты полувековой давно так безопасно! Которые в последствии порождают (хотя честнее сказать высрыают) баш портянку такого вида export i="((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +724)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31265|tr "\5-\51\204-\377\52-\115\132-\203\0-\4\116-\131" "\0-\377")|xz -F raw --lzma1 -dc|/bin/sh-dc|/bin/sh Да за такой код, без комментариев "чего оно делает", нужно просто закрывать ПР без разговоров. Хотя я вообще сомневаюсь, что этот кал кто-то читал.
Ответить | Правка | Наверх | Cообщить модератору

	231. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от нах. (?), 30-Мрт-24, 12:50
	> Конечно использовать инструменты полувековой давно так безопасно! если ты не можешь прочитать простенький код на m4 - каковы твои шансы что-то заметить в кодомусорке для модных систем сборки на десяти нескучных языках? А если просто не хочешь - то хоть на чем пиши.
	Ответить | Правка | Наверх | Cообщить модератору

	299. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:55
	>Которые в последствии порождают (хотя честнее сказать высрыают) баш портянку такого вида Так ты не порождай. >Да за такой код, без комментариев "чего оно делает", нужно просто закрывать ПР без разговоров. Ты часом не питонист?
	Ответить | Правка | К родителю #136 | Наверх | Cообщить модератору

	319. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (319), 30-Мрт-24, 18:49
	И питонист, и сторонник Дяди Боба. А вы можете продолжать знать только JavaScript.
	Ответить | Правка | Наверх | Cообщить модератору

138. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (166), 30-Мрт-24, 10:16
Тысячи глаз!
Ответить | Правка | Наверх | Cообщить модератору

	143. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от сщта (?), 30-Мрт-24, 10:20
	Бывают и злые Васяны,ничего тут не сделаешь. Вон в Кеды тоже свину подложили и нчё всем нравится. Зато не Винда.
	Ответить | Правка | Наверх | Cообщить модератору

	150. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+8 +/–
	Сообщение от sqrt (?), 30-Мрт-24, 10:32
	Как раз эти пресловутые "тысячи глаз" и сработали. Поймал не человек, занимающийся безопасностью специально, а опытный и любознательный пользователь, который заметил подтормаживания. Бэкдор был в сборочных скриптах, которые, в случае проприетарщины, были бы ни в каком виде не доступны. Если и искать пример для опровержения принципа "тысячи глаз" — надо брать какой-нибудь heartbleed или log4j, хотя там бекдорственность не так очевидно, скорее просто некачественный код.
	Ответить | Правка | К родителю #138 | Наверх | Cообщить модератору

	164. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–3 +/–
	Сообщение от Аноним (159), 30-Мрт-24, 11:09
	Сработали??? Ни один из копавшихся в исходниках этого не нашёл за два года. Эстонские глаза что ли?
	Ответить | Правка | Наверх | Cообщить модератору

	178. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (123), 30-Мрт-24, 11:24
	5.6.0 Mon, 26 Feb 2024 07:47:01 +0100 - из чейнджлога Debian Sid. Где тут 2 года?
	Ответить | Правка | Наверх | Cообщить модератору

	212. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (205), 30-Мрт-24, 12:07
	Почти год назад он отключил это. ifunc is not compatible with -fsanitize=address, so this should be disabled for fuzzing builds. Два года как он коммитит в этот проект. Зачем ты мне ченджлоги дебиан сид подбрасываешь? Мы про сам проект и тыщи глаз разговариваем.
	Ответить | Правка | Наверх | Cообщить модератору

	278. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (246), 30-Мрт-24, 14:12
	Там была проведена многолетняя подготовка к внедрению бэкдора. Легендирование и всё такое, чем спецслужбы играются. Как видим не особо помогло - спустя ~месяц годы трудов псу под хвост пустили. Хотя я уверен, что всех, ради кого бекдор внедряли, уже поломали.
	Ответить | Правка | Наверх | Cообщить модератору

	285. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (285), 30-Мрт-24, 14:45
	Так они только играются. Возьми несколько летней давности историю с университетом миннесоты. Сравни насколько схема была примитивней чем здесь. Здесь они даже пытались устранить последствия косяка из-за которого их могли заметить выпустив новую версию. Случайно человек заинтересовался почему сбои и случайно вышел на бэкдор. Этого могло и не быть. Возможно это просто очередной тестовый проект как внедрять бэкдоры. Работают начиная от технической части и заканчивая социальной. Дальше они наберут статистику и получат какими действиями, какими технологиями, за какое время посадить бэкдор с определённой вероятностью на срок ХХ лет.
	Ответить | Правка | Наверх | Cообщить модератору

	293. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (293), 30-Мрт-24, 15:44
	Ненадёжно. Бэкдор в программе можно выпилить. А вот бэкдор в спецификации или экосистеме выпилить невозможно — вся экосистема сломается и её всю придётся переписать, а переписывать - лет 10, и всё это время придётся пользоваться забекдоренной. При этом обязательно найдутся те, кто скажут, что их бекдор ни капли не беспокоит, и будут делать свои дела дальше, получая преимущество и развивая забекдоренную экосистему.
	Ответить | Правка | Наверх | Cообщить модератору

	180. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 11:25
	А в проприетарных типа всё всегда находится? Ты это, переставай употреблять!
	Ответить | Правка | К родителю #164 | Наверх | Cообщить модератору

	188. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 30-Мрт-24, 11:30
	> А в проприетарных типа всё всегда находится? А какая нам разница что там у проприетарных? И почему тебя это вообще беспокоит? Ты что виндузятник? Или вообще маковод??
	Ответить | Правка | Наверх | Cообщить модератору

	309. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (106), 30-Мрт-24, 16:47
	В том что метод тысячи глаз работает и сработал. То что у него есть время реакции ненулевое так это у всего в этом мире так. А в проприетари уязвимости бай дизайн и даже такие каких производитель не закладывал.
	Ответить | Правка | Наверх | Cообщить модератору

	340. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (340), 30-Мрт-24, 23:20
	Двойные стандарты что бы защитить свой мирок? Понимаю. Там нашли бэкдор и опубликовали у мс - да всем понятно, сколько ещё скрыто никто не найдёт. Случайно наткнулись. Не то что в опенсорс. Там нашли бэкдор в опенсорсе - видите как тысяча глаз работает, случайно случайный человек полез и нашёл закрытый бинарник. Некоторые скаллнеты пошли дальше. Вообще напрямую обвиняют мс - они же и подсаживают баги в опенсурс. Твоё байдизайн не выдерживает никакой критики. Точно так же можно сказать про дыры в ПО и вообще дыры в голове тех кто делает опенсурс. А  ещё фарфоровый чайничек летает на орбите. Это процесс построен как Г. Где глаза тех кто участвовал в разработке совместно с этим Ли? Где глаза тех что отключали проверки? Где глаза тех кто забирал это в дистрибутивы и собирал? Где глаза тех кто патчил ссш для втягивание туда системд? Где наконец-то глаза тех тысяч случайных людей которые всегда могут посмотреть с целью интереса в исходники и понять что там? А всё открыл человек из мс который пошёл смотреть интересную ситуацию, по совершенно не его задаче. И пошёл он смотреть не в исходники в начале.
	Ответить | Правка | Наверх | Cообщить модератору

	151. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 10:39
	Не, тут к сожалению не только это. Чел сначала предложил коммит с отключением фаззинг тестирования. И его конечно  ̶з̶а̶р̶е̶д̶ж̶е̶к̶т̶и̶л̶и̶ ̶и̶ ̶п̶о̶п̶р̶о̶с̶и̶л̶и̶ ̶и̶с̶п̶р̶а̶в̶и̶т̶ь̶ ̶е̶г̶о̶ ̶к̶о̶д̶ приняли. Ну а фигли? Зачем нам тестирование!? Мы ж профи, а профи ошибок не делают. Потом он добавлял коммит с таким комментарием: The original files were generated with random local to my machine. To better reproduce these files in the future, a constant seed was used to recreate these files. И это тоже никого не смутило. Я уже молчу про использование инструментов, которые старше половины опеннета (m4) и создание с их помощью просто вырвиглазных баш-портянок. А вот тысяча глаз тут уже на последнем месте. Они смогли всего за 2 месяца обнаружить)
	Ответить | Правка | К родителю #138 | Наверх | Cообщить модератору

145. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от zeecape (ok), 30-Мрт-24, 10:27
"GitHub полностью заблокировал репозитории xz, xz-java и xz-embedded, которые теперь недоступны для анализа и загрузки прошлых версий" Microsoft: Какой эксплойт? Вам просто показалось! ("Незаметно" убрали эксплойт)
Ответить | Правка | Наверх | Cообщить модератору

	232. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от нах. (?), 30-Мрт-24, 12:52
	не только эксплойт но и доступ к версиям, вредительских правок еще не содержавших. (впрочем, да, один forced push и наша супер система по подделке истории комитов отлично себя оправдает. Может, кстати, потому и заблокировали.)
	Ответить | Правка | Наверх | Cообщить модератору

149. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Анонм (-), 30-Мрт-24, 10:32
> Кроме того, в прошлом году Jia Tan внёс изменения, несовместимые с режимом проверки "-fsanitize=address", что привело к его отключению при fuzzing-тестировании. Хахаха, а теперь расскажите мне, как в (типа) серьезных проектах используют автотесты, санитайзеры и фаззинг. А никак! Если есть какая-то возможность их отключить, то их отключают, по просьбе какого-то васяна и это апрувит создатель проекта. ps уверен потом такие же клооуны будут бухтеть "зачем пихать проверки в компилятор? есть же куча санитайзеров и прочих инструментов, надо просто их использовать и будет вам счастье"
Ответить | Правка | Наверх | Cообщить модератору

	167. Скрыто модератором	+/–
	Сообщение от Аноним (-), 30-Мрт-24, 11:14
	Ты нам только что рассказал о плачевном состоянии программирования в России, спасибо тебе.
	Ответить | Правка | Наверх | Cообщить модератору

	177. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (106), 30-Мрт-24, 11:23
	Сказать то чего хотел. Если тот же самый китаец захотел бы внедрит бекдор в коде на рсте он бы его внедрил. Точно так же некто бы и слова не сказал.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

	370. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 16:58
	Так по просьбе какого-то васяна и unsafe-обертки заапрувят и вся хваленая безопасность псу под хвост.
	Ответить | Правка | К родителю #149 | Наверх | Cообщить модератору

155. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (-), 30-Мрт-24, 10:51
О, история становится еще интереснее! Чел поучаствовал во многих проектах. Например в libarchive. Где он создал ПР в котором заменил safe_fprintf на fprintf. https://github.com/libarchive/libarchive/pull/1609/files ИЧСХ этот ПР приняли! Вообще без какого-то обсуждения. А не спросили "какого?!". Но для проекта C 89.6%.. впрочем, я совершенно не удивлен)) И оно жило спокойно с ноября 2021 года, до сегодняю. Код ревертнули девять часов назад.
Ответить | Правка | Наверх | Cообщить модератору

	165. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 11:10
	Ну, libarchive кривое, не страшно. Её никто в своём уме не будет использовать. А вот от сабжа зависят примерно все, круче только zlib.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (123), 30-Мрт-24, 11:18
	Я использую. Потому что иначе мне придётся свою такую же, но хуже, написать.
	Ответить | Правка | Наверх | Cообщить модератору

	170. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (166), 30-Мрт-24, 11:17
	>ИЧСХ этот ПР приняли! Вообще без какого-то обсуждения. "самое слабое звено в системе безопасности — это человек" (с) Кевин Митник
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	190. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (195), 30-Мрт-24, 11:34
	>Но для проекта C 89.6%.. впрочем, я совершенно не удивлен)) Это же какую логику нужно иметь, чтобы связать прием патча с изменения в коде с языком программирования? Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек?
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	198. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (248), 30-Мрт-24, 11:44
	> Типа в проектах на Си патчи не проверяют, а в проектах на Go, Rust каждый патч с лупой проверяет 100500 человек? Типа если люди пишут на Си, им как правило, глубоко плевать на безопаснось.
	Ответить | Правка | Наверх | Cообщить модератору

	371. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 17:02
	Звучит как теория заговора.
	Ответить | Правка | Наверх | Cообщить модератору

	201. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 11:49
	Не знаю как в GO, но в раст все принты по умолчанию safe. А чтобы сделать ансейф принт, нужно внезапно писать unsafe и потом еще хорошо постараться.
	Ответить | Правка | К родителю #190 | Наверх | Cообщить модератору

	209. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 12:01
	Думаешь китаец испугался бы слова unsafe и не сделал бы коммит? БезопасТность уровень желтая ленточка.
	Ответить | Правка | Наверх | Cообщить модератору

	216. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:19
	А это зависит от разных вариантов. Например есть либы (в расте) которые помечены #![forbid(unsafe_code)] что запрещает использование unsafe. Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером.
	Ответить | Правка | Наверх | Cообщить модератору

	300. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 15:57
	>Понятно это не защитит от "автор либы сам внес бекдор", но Но тебе захотелось попиариться, вот же ж незадача.
	Ответить | Правка | Наверх | Cообщить модератору

	372. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (364), 31-Мрт-24, 17:04
	>это не защитит от "автор либы сам внес бекдор" На этом обсуждение можно было и закончить.
	Ответить | Правка | К родителю #216 | Наверх | Cообщить модератору

	379. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от jsforever (ok), 31-Мрт-24, 18:42
	> Например есть либы (в расте) которые помечены #![forbid(unsafe_code)] что запрещает использование unsafe. > Понятно это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером Например есль скрипты (в баше) которые просто пускают команды, без каких-либо подстановок, либо с минимальной долей что делает невозможной небезопасные действия/обфускацию/т. п. Понятно, это не защитит от "автор либы сам внес бекдор", но тут чел был не главным мейнтенером. Не позорься.
	Ответить | Правка | К родителю #216 | Наверх | Cообщить модератору

	213. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:08
	- Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF/TCP из состава ядра Linux opennet.ru/opennews/art.shtml?num=59940 - Уязвимости в модуле ksmbd ядра Linux, позволяющие удалённо выполнить свой код opennet.ru/opennews/art.shtml?num=59189 - Уязвимость в NTFS-драйвере из состава GRUB2, позволяющая выполнить код https://www.opennet.ru/opennews/art.shtml?num=59868 - Обход шифрования диска в Linux через непрерывное нажатие клавиши Enter https://www.opennet.ru/opennews/art.shtml?num=59702 Как вообще такой код проходил ПР? Возможно разработчики на определенных языках действительно забивают на безопасность?
	Ответить | Правка | К родителю #190 | Наверх | Cообщить модератору

	301. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (292), 30-Мрт-24, 16:00
	>Как вообще такой код проходил ПР? Всё просто - в ПР/МР делают придирки к неймингу, стилю кодирования, не сопадающим с таковым у автора, стикерам на макбуке, а на то, чтобы код работал хоть до, хоть после предложений ревьюера, обычно не смотрят. На какую-либо безопасность не смотрят тем более.
	Ответить | Правка | Наверх | Cообщить модератору

	234. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Oe (?), 30-Мрт-24, 12:53
	Любая сторонняя либа это потенциальный источник трояна, соответственно код либы должен исполняться в изолированном контейнере, а входные данные подаваться зашифроваными. И только потом модерация кода либы.
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

	339. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (339), 30-Мрт-24, 23:18
	Эту историю читаешь и плакать хочется. Один из коммитов етого псевдокитайца в oss-fuzz: ревьювер: LGBT^WLGTM (прошло два года, гром грянул, мужик^Wревьювер перекрестился) тот же ревьювер: actually, it's no LGTM. Ну вот и чо им скажешь, кроме как застрелиться у них на глазах?
	Ответить | Правка | К родителю #155 | Наверх | Cообщить модератору

169. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (123), 30-Мрт-24, 11:17
Заметьте: изменения были введены после обязательного введения 2FA на GitHub (не подумайте, что с целью усиления "безопасности", до очень недавнего времени без активации 2FA можно было пушить в репозитории, к которым есть доступ, да и сейчас наверное при пуше используется только 1 фактор, а с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрии). Как я и предупреждал, от сопровождающего-вредителя, а равно — коммерсанта, продавшего проект за круглую сумму, а равно "патриота" государства, в котором живёт и получает зарплату ничего не поможет, а равно просто фраера-лоха, которому сделали предложение, от которого невозможно отказаться: в общем случае от supply chain-атаки, где "легитимный" сопровождающий делает вредоносные изменения, не спасёт ничего. А "Jia Tan" — это просто кукла из носка, которая на руку одевается, как в "Улице Сезам", чтобы смягчить последствия для сопровождающих, что типа Шоколад ни в чём не уиноуат! Все авторы забекдоренных проектов должны рассматриваться как соучастники.
Ответить | Правка | Наверх | Cообщить модератору

	179. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (48), 30-Мрт-24, 11:25
	Вполне вероятно, что и петрушка, и вероятно даже не один действовал, но при чём тут авторы? Будто, это впервые происходит. Хоть решение отключить проверки и защиты выглядит подозрительно, но этого недостаточно, чтобы что-либо утверждать.
	Ответить | Правка | Наверх | Cообщить модератору

	197. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+4 +/–
	Сообщение от Аноним (123), 30-Мрт-24, 11:42
	>этого недостаточно, чтобы что-либо утверждать. А это не мы должны предоставлять железобетонные доказательства, что автор/сопровождающий сохранил свою репутацию. Это его репутация — ему её и беречь. А он — не сберёг. С нашей же стороны мы вольны руководствоваться его репутацией для принятия решений. И совершенно не важно, виноват ли сопровождающий в действительности, или его подставили. Нам ведь плевать на сопровождающего, "кого иппёт чужое горе", нам важна наша безопасность. При таком подходе имеет смысл исключать компонент, несущий риски, вне зависимости от того, виновен ли он в действительности, или просто халатен — было бы выгодно полное закрытие скомпрометированных проектов, либо переход их под более ответственных сопровождающих. К сожалению рынок внесёт коррективы: по демпинговым ценам ($0, бесплатно, даром, бойтесь данайцев, дары приносящих) большинство устроит и заведомо забекдоренный проект, а конторы для себя и форк сделают, и с сообществом не поделятся.
	Ответить | Правка | Наверх | Cообщить модератору

	202. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (202), 30-Мрт-24, 11:50
	Насчёт закрытия — я всегда думал, что liblzma - это часть 7zip. Особенно учитывая то, что автор алгоритма LZMA - это Игорь Павлов. Почему эта либа до сих пор ставится не из первоисточника, не из форка-порта первоисточника p7zip, а из мутного порта не пойми кого — вопрос открытый. Что не отменяет необходимость упразднения autotools в 7zip.
	Ответить | Правка | Наверх | Cообщить модератору

	206. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (106), 30-Мрт-24, 11:59
	Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе был. Если троян был это кого надо троян. И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя.
	Ответить | Правка | Наверх | Cообщить модератору

	215. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (215), 30-Мрт-24, 12:17
	>И они его ещё раз вставят куда надо и ты его никогда не найдешь за обозримое время. По сути проблема исполнителя. Именно, поэтому авторам xz, libarchive и прочим скомпрометированным — никакого доверия.
	Ответить | Правка | Наверх | Cообщить модератору

	222. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–3 +/–
	Сообщение от Oe (?), 30-Мрт-24, 12:35
	Как вообще в либе для архивации может быть троян? Она принимает входные данные, выдает выходные, больше у нее прав быть не должно, максимум попытаться использовать уязвимость процессора. Чтобы предотвратить встраивание трояна в выходные данные эти самые данные должны подаваться на вход зашифрованными, это же логично, да?
	Ответить | Правка | Наверх | Cообщить модератору

	237. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 12:56
	Ты не понимаешь, как программы работают. То, что ты хочешь, недостижимо практически с современными технологиями, либо осуществимо, но принесёт неоправданно большие накладные расходы. Да и, к примеру, в микроядерных системах в памяти может быть независимый изолированный декодер сжатых данных, но доверяться ему софту всё равно придётся: ты не можешь проконтролировать, что данные не были изменены в процессе. Аппаратное шифрование тут особенно помогает заметать следы и нет возможности проконтролировать происходящее.
	Ответить | Правка | Наверх | Cообщить модератору

	218. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (218), 30-Мрт-24, 12:22
	>Похоже ты не понимаешь сути проблемы в сабже. Проблема что в трояне был баг, который аффектил в валгриде, а не то что троян впринципе был Это - для бекдорщиков проблема, что обнаружили. Проблемы индейцев шерифа не волнуют. А для нас же проблема, что 1) были созданы условия для скрытия бэкдора - сопровождающим 2) бэкдор был внедрён 3) при участии сопровождающего.
	Ответить | Правка | К родителю #206 | Наверх | Cообщить модератору

	224. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Oe (?), 30-Мрт-24, 12:39
	То есть тебя не смущает что были созданы все условия чтобы бэкдор работал? Не удивлюсь если либа архивации еще и в интернет выходить может, давайте еще ей права записи во флешку биоса предоставим, что уж мелочиться.
	Ответить | Правка | Наверх | Cообщить модератору

	236. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (246), 30-Мрт-24, 12:54
	Нет, не смущает, так как права выдаются не либе, а процессу, а в одном контексте разделение привелегий аппаратно не предусмотрено. Выдачу прав либам в принципе можно сделать, если избавиться от native-кода, но вам такое решение не понравится.
	Ответить | Правка | Наверх | Cообщить модератору

	240. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (248), 30-Мрт-24, 13:05
	> после обязательного введения 2FA на GitHub [...] с целью продвижения FIDO2 - бэкдорнутого стандарта, придуманного с целью навязывания продуктов членов Альянса, завязывания аутентификации на них и сбора биометрии Подавляющее количество людей использует TOTP для 2FA. Где ты тут учуял продвижение FIDO2? > Как я и предупреждал, от сопровождающего-вредителя [...] ничего не поможет Ну так 2FA и не для этого нужен. К чему ты его упомянул?
	Ответить | Правка | К родителю #169 | Наверх | Cообщить модератору

	251. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (246), 30-Мрт-24, 13:21
	>Где ты тут учуял продвижение FIDO2? Использование TOTP сделано максимально неудобным, а в случае с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором" (устройство, либо программная реализация с поддержкой passkeys) по стандарту. То есть оказывают давление, чтобы использовали именно FIDO2. А Micro$oft - сама стейкхолдер на рынке FIDO2-аутентификаторов и их компонентов. >Ну так 2FA и не для этого нужен. К чему ты его упомянул? 2FA никак не поможет защититься от атаки на цепочку поставки. Но именно под предлогом "обезопашивания цепочек поставки" его навязывают на GitHub, вместо того, чтобы явно сказать, что у M$ есть свои бизнес-интересы в трансформации экосистемы и сообщества нужным для M$ образом, и что M$ не гнушаются потратить ценность GitHubа как хостинга исходников на этот проект.
	Ответить | Правка | Наверх | Cообщить модератору

	326. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Анонми (?), 30-Мрт-24, 20:22
	> Использование TOTP сделано максимально неудобным Скопипастить код - это, по твоему, максимально неудобно? > с FIDO2 вообще разрешено обходиттся одним фактором — "аутентификатором" Лол. Устройство-аутентификатор и есть второй фактор. Чисто по определению.
	Ответить | Правка | Наверх | Cообщить модератору

	343. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (343), 31-Мрт-24, 01:05
	1. Да, неудобно. Можно на JS написать аутентификатор, но лучше свалить из этого б.......о цирка, чем быть клоуном у п.......в. 2. При "пасскеях" устройство-аутентификатор есть единственный фактор, пароль не нужен, главное чтобы от нужного вендора был.
	Ответить | Правка | Наверх | Cообщить модератору

186. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (186), 30-Мрт-24, 11:29
Libselinux также поддерживает liblzma и связывается с гораздо большим количеством программ, чем libsystemd.
Ответить | Правка | Наверх | Cообщить модератору

229. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (288), 30-Мрт-24, 12:48
Накалякал в Федору: https://pagure.io/fesco/issue/3185 Посмотрим что из этого выйдет. Думаю, что закроют и скажут, "нет ресурсов/не наше дело/да по фигу".
Ответить | Правка | Наверх | Cообщить модератору

	235. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (-), 30-Мрт-24, 12:53
	Смешно если честно, это предложение больше на вброс или троллинг похоже. > There must be a website or a central authority Сейчас же набегут со словами "а почему мы вообще должны доверять шапке?" И начнут делить кому можно доверять, а кому нет. > which includes known to be good/safe/verified/vetted open source packages Кто их будет верифицировать? Даже у RHEL нет таких ресурсов. > along with e.g. SHA256/384/512/whatever hashes of the source tarballs. Как это поможет, если из затрояненых сорцов будет собран такой же бинарь? Суммы все сойдутся, а толку будет ноль. Я бы закрыл такое предложение "А давайте чтобы было хорошо и не было плохо" как notabug
	Ответить | Правка | Наверх | Cообщить модератору

	277. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (277), 30-Мрт-24, 14:09
	> Я бы закрыл такое предложение "А давайте чтобы было хорошо и не было плохо" как notabug Более того, "А давайте *вы там кто-нибудь* сделаете, чтобы было хорошо, *а мне неохота даже разбираться* кому и как это предложение направить." Да и само предложение нерабочее, т.к. разные дистрибутивы могут иметь разные критерии по включению тех или иных пакетов. А на роль "козлов отпущения" с верифицированным адресом желающих, ясное дело, не найдется.
	Ответить | Правка | Наверх | Cообщить модератору

238. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от Аноним (238), 30-Мрт-24, 13:00
> бэкдор был спрятан в m4-макросах .. инструментарием automake Вот он - Linux way!
Ответить | Правка | Наверх | Cообщить модератору

	255. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	–1 +/–
	Сообщение от Аноним (255), 30-Мрт-24, 13:24
	А во FreeBSD automake не используется? ;)
	Ответить | Правка | Наверх | Cообщить модератору

	344. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (344), 31-Мрт-24, 01:22
	Там юниксовый make.
	Ответить | Правка | Наверх | Cообщить модератору

	345. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (345), 31-Мрт-24, 02:43
	Оглянись, вдруг у тебя что-то торчит.
	Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

253. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+3 +/–
Сообщение от й (?), 30-Мрт-24, 13:23
Люди, которые считают,что в PID 1 непременно нужно вкрячить библиотеку компрессии (а также картину корзину картонку и маленькую собачонку) - должны быть готовы к таким сюрпризам и не жаловаться. Птушо за время пути собака будет расти.
Ответить | Правка | Наверх | Cообщить модератору

254. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от crypt (ok), 30-Мрт-24, 13:24
атака классная. респект китайцу. жаль, быстро спалили. сижу, жую попкорн: $ xz --version xz (XZ Utils) 5.4.5 liblzma 5.4.5 $ freebsd-version 13.3-RELEASE
Ответить | Правка | Наверх | Cообщить модератору

257. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (84), 30-Мрт-24, 13:27
>В 2021 году Jia Tan передал изменение в проект libarchive Microsoft has signaled it will add native support for tar, 7-zip, rar, gz and "many other" archive file formats to Windows - it's used the libarchive open source project https://www.theregister.com/2023/05/24/microsoft_rar_support.../ >Jia Tan несколько дней назад был включён в число мэйнтейнеров проекта XZ Embedded, используемого в ядре Linux Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека.
Ответить | Правка | Наверх | Cообщить модератору

	261. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (48), 30-Мрт-24, 13:33
	А почему китайской? Скорее всего околополяки какие-нибудь, как обычно.
	Ответить | Правка | Наверх | Cообщить модератору

	267. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от товарищ майор (?), 30-Мрт-24, 13:44
	Китайский-китайский, не сомневайтесь.
	Ответить | Правка | Наверх | Cообщить модератору

	269. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (84), 30-Мрт-24, 13:47
	>А почему китайской? Судя по виртуозной схеме внедрения бекдора в sshd, работали серьезные профи.
	Ответить | Правка | К родителю #261 | Наверх | Cообщить модератору

	280. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от mikhailnov (ok), 30-Мрт-24, 14:17
	> Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека. До того, как Github заблокировал репозиторий xz, мне почему-то мимолетно показалось, что тексты в коммитах этого "китайца" написаны скорее носителем языка, чем китайцем, но это с большой вероятностью может быть ошибочным впечатлением. Зачем заблокировали репозитории? Из ЦРУ поступило указание, чтоб подумать, как замести следы..?
	Ответить | Правка | К родителю #257 | Наверх | Cообщить модератору

	303. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 16:05
	>что тексты в коммитах этого "китайца" написаны скорее носителем языка, чем китайцем Вы наводите поклёп на страну, в которой в куче детсадов по прикомандированному к детям европейцу, который их учит английскому.
	Ответить | Правка | Наверх | Cообщить модератору

	415. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Пользователь чебурнета (?), 08-Апр-24, 12:26
	Может это американец китайского происхождения? Азиато-американец.
	Ответить | Правка | Наверх | Cообщить модератору

	338. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+2 +/–
	Сообщение от Аноним (339), 30-Мрт-24, 23:04
	> Однако, это серьезный провал китайской киберразведки. Столько сил и лет потрачено на внедрение своего человека. Единственно, что свой человек время  от времени лажался и коммитил с таймзоной EET и сопутствующими переводами часов. А также чтил христианские праздники типа рождества. А китайские, наоборот, не соблюдал. А так вылитый китаец, чо.
	Ответить | Правка | К родителю #257 | Наверх | Cообщить модератору

259. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (48), 30-Мрт-24, 13:30
То, что никто не проверяет соответствие релизных архивов реальным данным в дереве, достаточно удивительно на самом деле. Хотя и не это проблема тут, но изменение моментально бы обнаружилось. А то до воспроизводимых сборок и подписанных блобов додумались, а до воспроизводимых блобов с исходниками нет.
Ответить | Правка | Наверх | Cообщить модератору

	271. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
	Сообщение от Аноним (271), 30-Мрт-24, 13:48
	Несоотвествие в порядке вещей для autocrap. Там при подготовке релизного архива всегда куча мусора напихивается. Реально десятки тысяч строк скриптов могут добавиться. Идеальное место, чтобы вот такое спрятать.
	Ответить | Правка | Наверх | Cообщить модератору

	276. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (246), 30-Мрт-24, 14:05
	А зачем проверять, если можно просто git юзать? Но ведь не юзают. Чую, когда так начнут делать, может вылезти уязвимость с коллизиями в SHA-1: все форки в GitHub на самом деле живут в одном репозитории, соответственно интересно, что произойдёт, если форкнуть репозиторий и force push коллизию в свою ветку, по идее подменится в апстриме. Нужно срочно на 256 переходить, а в git так и не реализовали передачу таких репозиториев по сети.
	Ответить | Правка | К родителю #259 | Наверх | Cообщить модератору

291. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+1 +/–
Сообщение от Аноним (84), 30-Мрт-24, 15:39
Проблема "зашита" в libsystemd: ldd /lib/x86_64-linux-gnu/libsystemd.so.0     linux-vdso.so.1 (0x00007ffea1bfd000)     librt.so.1 => /lib/x86_64-linux-gnu/librt.so.1 (0x00007fe963f05000)     liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007fe963edc000)     liblz4.so.1 => /lib/x86_64-linux-gnu/liblz4.so.1 (0x00007fe963ebb000)     libgcrypt.so.20 => /lib/x86_64-linux-gnu/libgcrypt.so.20 (0x00007fe963d9d000)     libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007fe963d7a000)     libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fe963b88000)     /lib64/ld-linux-x86-64.so.2 (0x00007fe963fd6000)     libgpg-error.so.0 => /lib/x86_64-linux-gnu/libgpg-error.so.0 (0x00007fe963b63000) Т.е. аналогичный бакдор можно было внедрить в liblz4.so, или libgpg-error.so. Этой схеме подвержены любые сервисы, слинкованные с libsystemd.so и выполняющие авторизацию pubkey. При загрузке libsystemd.so загружаются зависимые либы и, в случае трояненой liblzma.so, происходила подмена для sshd функции "RSA_public_decrypt" (низкий поклон systemd). Просто автор бакдора ограничил работу только sshd (проверка argv[0] = /usr/sbin/sshd)
Ответить | Правка | Наверх | Cообщить модератору

	295. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (293), 30-Мрт-24, 15:47
	Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфликтующими именами символов кроме как через LD_PRELOAD. Разумеется, не поможет, ибо сплайсинг никто не отменял, но всё же.
	Ответить | Правка | Наверх | Cообщить модератору

	298. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Ананоним (?), 30-Мрт-24, 15:53
	Нужно использовать простое и доверенное ПО. Но это в идеальном мире, а в реальном делайте 1000 заборов, а потом постоянно с ними "работайте".
	Ответить | Правка | Наверх | Cообщить модератору

	304. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (292), 30-Мрт-24, 16:06
	>Нужно решение на базе линкера, запрещающее динамически линковать 2 либы с конфликтующими именами символов кроме как через LD_PRELOAD. А как я буду malloc заменять?
	Ответить | Правка | К родителю #295 | Наверх | Cообщить модератору

	310. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (310), 30-Мрт-24, 17:03
	если хочешь менять на уровне линкинга либы - то управление памятью надо вынести в отдельную либу. Но в glibc как всегда помойка. Небольшая проблема.
	Ответить | Правка | Наверх | Cообщить модератору

	315. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (84), 30-Мрт-24, 18:33
	>запрещающее динамически линковать 2 либы с конфликтующими именами символов Ты думаешь, что когда при сборке sshd с ним линковался libsystemd.so, ликер будет смотреть символы во вторично зависимой liblzma.so.5?
	Ответить | Правка | К родителю #295 | Наверх | Cообщить модератору

	318. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (319), 30-Мрт-24, 18:47
	динамический линкер, линкующий при загрузке бинарей в память.
	Ответить | Правка | Наверх | Cообщить модератору

316. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Аноним (316), 30-Мрт-24, 18:34
Всегда знал, что баш-портянки, регулярные выражения и всякие прочие нечитаемые недоязыки (типа Makefike) - это зло. Если бы выкинули это легаси родом из 70-х и пререшли на нормальную систему сборки (хоть CMake) - проблемы бы не было. Вообще легаси нужно чистить периодически, а то в мусорной куче заводятся крысы и прочие паразиты.
Ответить | Правка | Наверх | Cообщить модератору

	346. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (345), 31-Мрт-24, 02:45
	Всегда знал, и не исправил... Может ты специально ничего не зделал?
	Ответить | Правка | Наверх | Cообщить модератору

	409. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (409), 02-Апр-24, 15:33
	пособник
	Ответить | Правка | Наверх | Cообщить модератору

	361. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Легивон (?), 31-Мрт-24, 10:59
	Что не так с Makefile?
	Ответить | Правка | К родителю #316 | Наверх | Cообщить модератору

	389. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (316), 01-Апр-24, 03:02
	Ископаемый язык, который никто сейчас даже трогать не хочет ввиду его ужасного и запутанного синтаксиса, не то что изучать. Зато крякеры обожают всякое подобное легаси, что и используется в примере.
	Ответить | Правка | Наверх | Cообщить модератору

	403. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (-), 01-Апр-24, 12:36
	> Если бы выкинули это легаси родом из 70-х и пререшли > на нормальную систему сборки (хоть CMake) - проблемы бы не было. Ваш CMake также поимели, даже не используя никакие регулярные выражения https://www.opennet.ru/opennews/art.shtml?num=60888
	Ответить | Правка | К родителю #316 | Наверх | Cообщить модератору

348. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Berkut (??), 31-Мрт-24, 03:22
В Tumbleweed сегодня из-за этого весь репозиторий пересобрали. Прилетело обновление на 4500 пакетов. Осталось поменять пароли и жить спокойно.
Ответить | Правка | Наверх | Cообщить модератору

355. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от IdeaFix (ok), 31-Мрт-24, 10:07
Интересно, как оно в ЧПУКС работает...
Ответить | Правка | Наверх | Cообщить модератору

	394. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от Аноним (394), 01-Апр-24, 07:30
	чпукс кому-то ещё нужен?
	Ответить | Правка | Наверх | Cообщить модератору

	402. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
	Сообщение от IdeaFix (ok), 01-Апр-24, 10:04
	> чпукс кому-то ещё нужен? Как сказать... я прикупил очень дешево (ибо первый раз в жизни увидел) b2600, а там только нетбсд плохо работает и 11-й чпукс хорошо... другое дело что чпукс для воркстейшонов закопали еще раньше чем для серверов... а для hp-pa еще-еще раньше. Блин, чпукс никому не нужен.
	Ответить | Правка | Наверх | Cообщить модератору

400. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Пряник (?), 01-Апр-24, 09:59
Видимо xz настолько заброшен, что никто однострочник с eval не увидел.
Ответить | Правка | Наверх | Cообщить модератору

401. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..."	+/–
Сообщение от Пряник (?), 01-Апр-24, 10:01
Так вот зачем китайцы стучатся по SSH!
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема