[mdk-re] Fw: Re: The Bat! - information request

[mdk-re] Fw: Re: The Bat! - information request

[Serge Skorokhodov]

Зравствуйте!

Получил ответ от Тануркова по поводу связанной с zlib уязвимости
TheBat! Ответ ниже:)

Begin forwarded message:

Date: Tue, 26 Mar 2002 00:10:00 +0200
From: Stefan Tanurkov <info@thebat.net>
To: Serge Skorokhodov <suralis-s@mtu-net.ru>
Subject: Re: The Bat! - information request


SS> У меня вопрос в связи с недавно обнаруженной уязвимости
SS> библиотеки zlib. Затрагивает ли это пользователей
SS> TheBat!?

Нет.

End forwarde message:)

Как говориться: "Без комментариев, за что купил, за то и продаю". Вот только письмо в сильфиде пришлось править "ручками" -- не хочет она до сих пор правильно обрабатывать форматирование абзацев с цитатами:( А так -- отличный мейлер:)

-- 
Serge Skorokhodov aka suralis

Re: [mdk-re] Fw: Re: The Bat! - information request

[Aleksey Novodvorsky]

Serge Skorokhodov wrote:

> Зравствуйте!
>
> Получил ответ от Тануркова по поводу связанной с zlib уязвимости
> TheBat! Ответ ниже:)
>
> Begin forwarded message:
>
> Date: Tue, 26 Mar 2002 00:10:00 +0200
> From: Stefan Tanurkov <info@thebat.net>
> To: Serge Skorokhodov <suralis-s@mtu-net.ru>
> Subject: Re: The Bat! - information request
>
> SS> У меня вопрос в связи с недавно обнаруженной уязвимости
> SS> библиотеки zlib. Затрагивает ли это пользователей
> SS> TheBat!?
>
> Нет.
>
> End forwarde message:)
>
> Как говориться: "Без комментариев, за что купил, за то и продаю". Вот только письмо в сильфиде пришлось править "ручками" -- не хочет она до сих пор правильно обрабатывать форматирование абзацев с цитатами:( А так -- отличный мейлер:)
>

Сергей, я послылал сюда скрипт для проверки на наличие кода zlib. Вы не проверили им The Bat! ?

Rgrds, AEN

Re[2]: [mdk-re] Fw: Re: The Bat! - information request

[Sergey Krivulja]

Hello Aleksey,

Tuesday, March 26, 2002, 1:43:10 PM, you wrote:

AN> Сергей, я послылал сюда скрипт для проверки на наличие кода zlib.
AN> Вы не проверили им The Bat! ?
А еще разок можно, или на мыло мне, не откажусь ;)

-- 
Best regards,
 Sergey                            mailto:skrivulja@erec.ru

Re: [mdk-re] Fw: Re: The Bat! - information request

[Aleksey Novodvorsky]

Sergey Krivulja wrote:

> Hello Aleksey,
>
> Tuesday, March 26, 2002, 1:43:10 PM, you wrote:
>
> AN> Сергей, я послылал сюда скрипт для проверки на наличие кода zlib.
> AN> Вы не проверили им The Bat! ?
> А еще разок можно, или на мыло мне, не откажусь ;)

http://cert.uni-stuttgart.de/files/fw/find-zlib

http://www.gzip.org/zlib/apps.html

Rgrds, AEN

Re[2]: [mdk-re] The Bat! - information request

[Serge Skorokhodov]

Здравствуйте!

>> Получил ответ от Тануркова по поводу связанной с zlib
>> уязвимости TheBat! Ответ ниже:)
>>
>> Begin forwarded message:
>>
>> Date: Tue, 26 Mar 2002 00:10:00 +0200
>> From: Stefan Tanurkov <info@thebat.net>
>> To: Serge Skorokhodov <suralis-s@mtu-net.ru>
>> Subject: Re: The Bat! - information request
>>
>> SS> У меня вопрос в связи с недавно обнаруженной уязвимости
>> SS> библиотеки zlib. Затрагивает ли это пользователей
>> SS> TheBat!?
>>
>> Нет.
>>
>> End forwarde message:)
>>
>> Как говориться: "Без комментариев, за что купил, за то и
>> продаю". Вот только письмо в сильфиде пришлось править
>> "ручками" -- не хочет она до сих пор правильно обрабатывать
>> форматирование абзацев с цитатами:( А так -- отличный мейлер:)
>>

AN> Сергей, я послылал сюда скрипт для проверки на наличие кода
AN> zlib. Вы не проверили им The Bat! ?

Признаться, пропустил (в смысле скрипта не видел). С
удовольствием проверю, можете послать в приват (а на чем скрипт?)

-- 
Serge Skorokhodov aka suralis
26.03.2002 suralis-s@mtu-net.ru

Re: [mdk-re] The Bat! - information request

[Aleksey Novodvorsky]

Serge Skorokhodov wrote:

> Здравствуйте!
>
> >> Получил ответ от Тануркова по поводу связанной с zlib
> >> уязвимости TheBat! Ответ ниже:)
> >>
> >> Begin forwarded message:
> >>
> >> Date: Tue, 26 Mar 2002 00:10:00 +0200
> >> From: Stefan Tanurkov <info@thebat.net>
> >> To: Serge Skorokhodov <suralis-s@mtu-net.ru>
> >> Subject: Re: The Bat! - information request
> >>
> >> SS> У меня вопрос в связи с недавно обнаруженной уязвимости
> >> SS> библиотеки zlib. Затрагивает ли это пользователей
> >> SS> TheBat!?
> >>
> >> Нет.
> >>
> >> End forwarde message:)
> >>
> >> Как говориться: "Без комментариев, за что купил, за то и
> >> продаю". Вот только письмо в сильфиде пришлось править
> >> "ручками" -- не хочет она до сих пор правильно обрабатывать
> >> форматирование абзацев с цитатами:( А так -- отличный мейлер:)
> >>
>
> AN> Сергей, я послылал сюда скрипт для проверки на наличие кода
> AN> zlib. Вы не проверили им The Bat! ?
>
> Признаться, пропустил (в смысле скрипта не видел). С
> удовольствием проверю, можете послать в приват (а на чем скрипт?)
>

На перле. Уже послал. По сслыкам с zlib.org легко находится.

Rgrds, AEN

Re[2]: [mdk-re] The Bat! - information request

[Serge Skorokhodov]

[-- Attachment #1: Type: text/plain, Size: 1233 bytes --]

Здравствуйте!

>>>> Получил ответ от Тануркова по поводу связанной с zlib
>>>> уязвимости TheBat! Ответ ниже:)
>>>>
>>>> Begin forwarded message:
>>>>
>>>> Date: Tue, 26 Mar 2002 00:10:00 +0200
>>>> From: Stefan Tanurkov <info@thebat.net>
>>>> To: Serge Skorokhodov <suralis-s@mtu-net.ru>
>>>> Subject: Re: The Bat! - information request
>>>>
>>>> SS> У меня вопрос в связи с недавно обнаруженной уязвимости
>>>> SS> библиотеки zlib. Затрагивает ли это пользователей
>>>> SS> TheBat!?
>>>>
>>>> Нет.
>>>>
>>>> End forwarde message:)
>>>>
>>>> Как говориться: "Без комментариев, за что купил, за то и
>>>> продаю". Вот только письмо в сильфиде пришлось править
>>>> "ручками" -- не хочет она до сих пор правильно обрабатывать
>>>> форматирование абзацев с цитатами:( А так -- отличный мейлер:)
>>>>
>>
>>> Сергей, я послылал сюда скрипт для проверки на наличие кода
>>> zlib. Вы не проверили им The Bat! ?
>>
>> Признаться, пропустил (в смысле скрипта не видел). С
>> удовольствием проверю, можете послать в приват (а на чем скрипт?)
>>

AN> На перле. Уже послал. По сслыкам с zlib.org легко находится.

Вывод в аттаче. Что это означает? Есть, что написать Тануркову?

-- 
Serge Skorokhodov aka suralis
26.03.2002 suralis-s@mtu-net.ru

[-- Attachment #2: thebat.exe.test.txt --]
[-- Type: text/plain, Size: 102 bytes --]

thebat.exe: zlib cplens table, little endian
thebat.exe: zlib cplext table (version 1.0.5 to 1.1.4)

Re[2]: [mdk-re] The Bat! - information request

[Sergey Krivulja]

Hello Aleksey,

Tuesday, March 26, 2002, 2:37:51 PM, you wrote:

>> AN> Сергей, я послылал сюда скрипт для проверки на наличие кода
>> AN> zlib. Вы не проверили им The Bat! ?
>>
>> Признаться, пропустил (в смысле скрипта не видел). С
>> удовольствием проверю, можете послать в приват (а на чем скрипт?)
AN> На перле. Уже послал. По сслыкам с zlib.org легко находится.

вот вывод скрипта

thebat.exe: zlib cplens table, little endian
thebat.exe: zlib cplext table (version 1.0.5 to 1.1.4)
thebat.exe: zlib configuration table, little endian, 32 bit
thebat.exe: 16 out of 18 messages

-- 
Best regards,
 Sergey                            mailto:skrivulja@erec.ru

Re: [mdk-re] The Bat! - information request

[Aleksey Novodvorsky]

Serge Skorokhodov wrote:

> Здравствуйте!
>
> >>>> Получил ответ от Тануркова по поводу связанной с zlib
> >>>> уязвимости TheBat! Ответ ниже:)
> >>>>
> >>>> Begin forwarded message:
> >>>>
> >>>> Date: Tue, 26 Mar 2002 00:10:00 +0200
> >>>> From: Stefan Tanurkov <info@thebat.net>
> >>>> To: Serge Skorokhodov <suralis-s@mtu-net.ru>
> >>>> Subject: Re: The Bat! - information request
> >>>>
> >>>> SS> У меня вопрос в связи с недавно обнаруженной уязвимости
> >>>> SS> библиотеки zlib. Затрагивает ли это пользователей
> >>>> SS> TheBat!?
> >>>>
> >>>> Нет.
> >>>>
> >>>> End forwarde message:)
> >>>>
> >>>> Как говориться: "Без комментариев, за что купил, за то и
> >>>> продаю". Вот только письмо в сильфиде пришлось править
> >>>> "ручками" -- не хочет она до сих пор правильно обрабатывать
> >>>> форматирование абзацев с цитатами:( А так -- отличный мейлер:)
> >>>>
> >>
> >>> Сергей, я послылал сюда скрипт для проверки на наличие кода
> >>> zlib. Вы не проверили им The Bat! ?
> >>
> >> Признаться, пропустил (в смысле скрипта не видел). С
> >> удовольствием проверю, можете послать в приват (а на чем скрипт?)
> >>
>
> AN> На перле. Уже послал. По сслыкам с zlib.org легко находится.
>
> Вывод в аттаче. Что это означает? Есть, что написать Тануркову?
>

Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
должны выпустить обновление, так как это очень просто.
Если же, что более вероятно, он внесен авторами третьих
библиотек./приложений, то можно прямо спросить авторов TB!, что это за
приложения и есть ли официальные сообщения от их авторов, что код zlib в них
безопасен.
Собственно, произошло ровно то, о чем я писал ранее. Увы.

Rgrds, AEN

Re[2]: [mdk-re] The Bat! - information request

[Sergey Sokolov]

Hello Aleksey,

Tuesday, March 26, 2002, 4:21:04 PM, you wrote:


AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
AN> должны выпустить обновление, так как это очень просто.
AN> Если же, что более вероятно, он внесен авторами третьих
AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
AN> безопасен.
AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.

Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
"проблемы 2000"?


-- 
Best regards,
 Sergey                            mailto:renar@inbox.ru

Silence...

[mdk-re] Re: The Bat! - information request

[Artem K. Jouravsky]

On Tue, Mar 26, 2002 at 05:01:06PM +0300, Sergey Sokolov wrote:
> Hello Aleksey,
> 
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
> 
> 
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
> 
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?
К проблеме 2000 долго готовились, поэтому она почти никак себя не
проявила. Здесь всё хуже - пока никто не расстарался на экплойты, можно
говорить об академичности, потом станет поздно. Ровно такая же история
была с IIS год назад - производитель уверял, что его продукт "не
подвержен" и "безопасен" , пока червячки не поползли. Тучами.

-- 
Best wishes,
Artem K. Jouravsky,
iFirst Ltd, System Administrator.
-----------------------
You can't fall off the floor.

Re: Re[2]: [mdk-re] The Bat! - information request

[AVL]

On Tue, 26 Mar 2002 17:01:06 +0300
"Sergey Sokolov" <renar@inbox.ru> wrote:

> Hello Aleksey,
> 
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
> 
> 
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
> 
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?
когда полмира поляжет от такой "академичнойи теоретичной" проблемы - тогда будет поздно размахивать руками. 

речь идет:
1)о масштабе проблемы, при котором даже границ не видно.
2)об обмане производителя.
3)о мерах и механизмах преодоления подобных катастроф в дальнейшем.

На вашем месте, я бы не беспокоился, потому что волков боятся - в лес не ходить.
других вариантов поведения у вас все равно нет, только нервы себе трепать и жизнь укорачивать.

Re: [mdk-re] The Bat! - information request

[Aleksey Novodvorsky]

Sergey Sokolov wrote:

> Hello Aleksey,
>
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
>
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
>
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?

Проблема 2000 была очень серьезна, хотя ее, конечно же, раздули.
Речь  у нас  не только о проблеме zlib, хотя этот баг по мнению экспертов относится
к разряду взламываемых.
Речь о том, что многие фирмы-производители коммерческого софта, в котором
содержится "плохой" zlib до сих пор не ответили на вопрос, опасен ли он для их
софта.  Только они могут ответить, раздута проблема или нет, никакие прочие мнения
не могут быть приняты во внимание. И  упорное  молчание разработчиков не дает
повода для оптимизма.
Плохо небольшим программистским фирмам, так как баг этот импортирован ими из
средств разработки, а фирмы, создавшие эти средства разработки, молчат.
Еще хуже тем, кто использует софт, созданный неподдерживаемыми ныне закрытыми
средствами разработки. Его придется использовать на свой страх и риск.

Сегодня к Mozilla-0.9.9 добавился Netscape 6.2.2. Это два броузера/мейлера с GUI,
которые можно  спокойно использовать под Win32.
Лица, использующие другие программы, могут пока лишь надеяться на удачу и ждать
сообщений от разработчиков.


Rgrds, AEN

[mdk-re] [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)

[Michael Shigorin]

On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> К проблеме 2000 долго готовились, поэтому она почти никак себя не
> проявила.
Ой-ха-эха-хха :)  Общеизвестно, что это была акция "лохи-2000" =)

> Здесь всё хуже - пока никто не расстарался на экплойты, можно
> говорить об академичности, потом станет поздно. Ровно такая же история
> была с IIS год назад - производитель уверял, что его продукт "не
> подвержен" и "безопасен" , пока червячки не поползли. Тучами.
Угу.  Только вот в открытую про exploitability виндового маллока
я пока не слыхал (правда, и не прислушивался особо).

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ http://visa.chem.univ.kiev.ua/~mike/

Re: [mdk-re] zlib [JT]

[Sergey S. Skulachenko]

On Tue, 26 Mar 2002 17:18:15 +0300
AVL <avl@l14.ru> wrote:

>> Хм, мне кажется, что проблема надумана и раздута. Неужели
>>реально есть
>> какие-то проблемы? Или это всё глубоко теоретично и
>>академично, вроде
>> "проблемы 2000"?
> когда полмира поляжет от такой "академичнойи теоретичной"
> проблемы - тогда будет поздно размахивать руками. 

Как поразительна вера в русский "авось" даже у людей с, казалось
бы, техническим образованием! 

> речь идет:
> 1)о масштабе проблемы, при котором даже границ не видно.

Я тут уже осторожно высказывался на эту тему, выдавая
предположение, что джина не выпускают из бутылки, так как не
могут научить его избирательности. Он начнёт косить всех подряд,
в том числе, и создателей. (А мой домашний сервер благодаря
команде ALT защищён уже через сутки после объявления тревоги. Вот
так.)
На эту тему вчера в гостях я беседовал со своим родственником,
кандидатом технических наук, который в возрасте около 70 лет
взял, да и стал доктором философии, увлёкшись проблемой
виртуальной реальности. Я в очень энергичных выражениях описал
ему возможную катастрофу. На что он мне ответил, что "Катастрофы
не будет, а проблема будет быстро локализована. Попутно погибнет
миллион народа из-за самопроизвольных пусков изделий, взрывов
энергетических объектов, дезорганизации движения и т.д. Но это же
не катастрофа! Побегут сотни тысяч админов, и всё починят." Вам
стало спокойнее? 

> 2)об обмане производителя.

На эту тему в той же беседе, я предположил крах Империи в
ближайший год, так как она неминуемо оказывается в центре
скандала. Ответ был таков: "Не произойдёт. Капитал столь велик,
что скупит всех адвокатов в 25 и всех последующих штатах. Задавит
всех непомерным богатством."
Супротив моей казны ничто не устоит. (с) Аксаков

> 3)о мерах и механизмах преодоления подобных катастроф в
> дальнейшем.

> На вашем месте, я бы не беспокоился, потому что волков боятся -
> в лес не ходить.
> других вариантов поведения у вас все равно нет, только нервы
> себе трепать и жизнь укорачивать.

Но надо выращивать свой собственный сад. (с) Вольтер
____________
С уважением,
С.С.Скулаченко

Re: [mdk-re] zlib [JT]

[Любимов А.В.]

> > 1)о масштабе проблемы, при котором даже границ не видно.
> 
> Я тут уже осторожно высказывался на эту тему, выдавая
> предположение, что джина не выпускают из бутылки, так как не
> могут научить его избирательности. Он начнёт косить всех подряд,
> в том числе, и создателей. 
скорее, те кто имеет достаточно мозгов и информации не могут себе позволить такое.
а те, кто может морально, не может физически.
но в любой момент все может измениться, маленькая течь и пошло сметать....

> ему возможную катастрофу. На что он мне ответил, что "Катастрофы
> не будет, а проблема будет быстро локализована. Попутно погибнет
> миллион народа из-за самопроизвольных пусков изделий, взрывов
> энергетических объектов, дезорганизации движения и т.д. Но это же
> не катастрофа! Побегут сотни тысяч админов, и всё починят." Вам
> стало спокойнее? 

я это всегда знал и поэтому действительно спокоен.

> > 2)об обмане производителя.
> 
> На эту тему в той же беседе, я предположил крах Империи в
> ближайший год, так как она неминуемо оказывается в центре
> скандала. Ответ был таков: "Не произойдёт. Капитал столь велик,
> что скупит всех адвокатов в 25 и всех последующих штатах. Задавит
> всех непомерным богатством."
> Супротив моей казны ничто не устоит. (с) Аксаков

имхо, все проще. нельзя отгрызть себе руки в борьбе за эфемерную справедливость. Вот когда будет накоплена критическая масса самодостаточности без продуктов МС, можно будет ее судить, а до тех пор речь идет только о небольших компенсациях обществу за пострадавших. 
не более.

> 
> > 3)о мерах и механизмах преодоления подобных катастроф в
> > дальнейшем.
> 
> > На вашем месте, я бы не беспокоился, потому что волков боятся -
> > в лес не ходить.
> > других вариантов поведения у вас все равно нет, только нервы
> > себе трепать и жизнь укорачивать.
> 
> Но надо выращивать свой собственный сад. (с) Вольтер

Господа в сад! Все в сад! (по моему Чехов)

-- 
С уважением,Любимов А.В.

[mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)

[Mikhail Zabaluev]

Hello Michael,

On Tue, Mar 26, 2002 at 09:27:11PM +0200, Michael Shigorin wrote:
>
> On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> > К проблеме 2000 долго готовились, поэтому она почти никак себя не
> > проявила.
> Ой-ха-эха-хха :)  Общеизвестно, что это была акция "лохи-2000" =)

Вы не видели снимок табло в некоем новозеландском аэропорту, на
котором было написано: "1 Jan 100. Все системы аэропорта работают 
нормально"? :)

> > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > говорить об академичности, потом станет поздно. Ровно такая же история
> > была с IIS год назад - производитель уверял, что его продукт "не
> > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> Угу.  Только вот в открытую про exploitability виндового маллока
> я пока не слыхал (правда, и не прислушивался особо).

free() там переживает двойное высвобождение (за счёт небольшой потери
производительности, но ведь для нашего же блага). Но это не спасает,
если между двумя free() было ещё что-нибудь выделено:

a = (ptrtype)malloc(N);
free(a);
b = (ptrtype)malloc(N);  /* b получает тот же блок */
free(a);                 /* высвобождается блок под b */
c = (ptrtype)malloc(N);  /* c получает тот же блок, что и b */
*b = thing;              /* модифицируются данные в блоке под c */

Конечно, это exploitable с большим трудом и малой вероятностью,
но всё же.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
If the shoe fits, it's ugly.

[mdk-re] Re: [JT] [JT!] Y2K и другие приколы нашего городка (was: The Bat! - information request)

[Michael Shigorin]

On Wed, Mar 27, 2002 at 10:46:03AM +0300, Mikhail Zabaluev wrote:
> котором было написано: "1 Jan 100. Все системы аэропорта работают 
> нормально"? :)
Я ж и говорю -- "лохи-2000".  Денег сняли, но даже _реальную_
проблему не забороли, все ушли на фронт ветряных мельницц :)

> free() там переживает двойное высвобождение (за счёт небольшой потери
Знаю... и ниже -- знаю :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ http://visa.chem.univ.kiev.ua/~mike/

Re: [mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)

[Aleksey Novodvorsky]

Mikhail Zabaluev wrote:

> > > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > > говорить об академичности, потом станет поздно. Ровно такая же история
> > > была с IIS год назад - производитель уверял, что его продукт "не
> > > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> > Угу.  Только вот в открытую про exploitability виндового маллока
> > я пока не слыхал (правда, и не прислушивался особо).
>
> free() там переживает двойное высвобождение (за счёт небольшой потери
> производительности, но ведь для нашего же блага). Но это не спасает,
> если между двумя free() было ещё что-нибудь выделено:
>
> a = (ptrtype)malloc(N);
> free(a);
> b = (ptrtype)malloc(N);  /* b получает тот же блок */
> free(a);                 /* высвобождается блок под b */
> c = (ptrtype)malloc(N);  /* c получает тот же блок, что и b */
> *b = thing;              /* модифицируются данные в блоке под c */
>
> Конечно, это exploitable с большим трудом и малой вероятностью,
> но всё же.

Характерно, в первую очередь, отсутствие официальных комментариев. Для
проприетращиков ошибки -- проблема PR, а не проблема безопасности
пользователей.  Они молчат или ограничиваются лаконичным "Нет", как в случае
с TB!
Rgrds, AEN

[mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)

[Artem K. Jouravsky]

On Tue, Mar 26, 2002 at 09:27:11PM +0200, Michael Shigorin wrote:
> On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> > К проблеме 2000 долго готовились, поэтому она почти никак себя не
> > проявила.
> Ой-ха-эха-хха :)  Общеизвестно, что это была акция "лохи-2000" =)
Раздули, конечно же.

> > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > говорить об академичности, потом станет поздно. Ровно такая же история
> > была с IIS год назад - производитель уверял, что его продукт "не
> > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> Угу.  Только вот в открытую про exploitability виндового маллока
> я пока не слыхал (правда, и не прислушивался особо).
Я тоже пока не слышал :)
А если таки услышим? Придёт в сетку новый червь по почте, не распознается
антивирем... Предпочитаю переGNUть палку, пугая пользователей
последствиями, чем ощутить эти последствия на своей шкуре, несмотря даже 
на то, что моя машина (хех) вряд ли пострадает.

-- 
Best wishes,
Artem K. Jouravsky,
iFirst Ltd, System Administrator.
-----------------------
Don't hit the keys so hard, it hurts.