* [mdk-re] Re: The Bat! - information request
2002-03-26 17:03 ` Re[2]: " Sergey Sokolov
@ 2002-03-26 17:15 ` Artem K. Jouravsky
2002-03-26 22:30 ` [mdk-re] [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request) Michael Shigorin
2002-03-26 17:16 ` Re[2]: [mdk-re] The Bat! - information request AVL
2002-03-26 18:08 ` [mdk-re] The Bat! - information request Aleksey Novodvorsky
2 siblings, 1 reply; 20+ messages in thread
From: Artem K. Jouravsky @ 2002-03-26 17:15 UTC (permalink / raw)
To: Aleksey Novodvorsky
On Tue, Mar 26, 2002 at 05:01:06PM +0300, Sergey Sokolov wrote:
> Hello Aleksey,
>
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
>
>
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
>
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?
К проблеме 2000 долго готовились, поэтому она почти никак себя не
проявила. Здесь всё хуже - пока никто не расстарался на экплойты, можно
говорить об академичности, потом станет поздно. Ровно такая же история
была с IIS год назад - производитель уверял, что его продукт "не
подвержен" и "безопасен" , пока червячки не поползли. Тучами.
--
Best wishes,
Artem K. Jouravsky,
iFirst Ltd, System Administrator.
-----------------------
You can't fall off the floor.
^ permalink raw reply [flat|nested] 20+ messages in thread
* [mdk-re] [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)
2002-03-26 17:15 ` [mdk-re] " Artem K. Jouravsky
@ 2002-03-26 22:30 ` Michael Shigorin
2002-03-27 10:43 ` [mdk-re] " Mikhail Zabaluev
2002-03-27 13:39 ` Artem K. Jouravsky
0 siblings, 2 replies; 20+ messages in thread
From: Michael Shigorin @ 2002-03-26 22:30 UTC (permalink / raw)
To: mandrake-russian
On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> К проблеме 2000 долго готовились, поэтому она почти никак себя не
> проявила.
Ой-ха-эха-хха :) Общеизвестно, что это была акция "лохи-2000" =)
> Здесь всё хуже - пока никто не расстарался на экплойты, можно
> говорить об академичности, потом станет поздно. Ровно такая же история
> была с IIS год назад - производитель уверял, что его продукт "не
> подвержен" и "безопасен" , пока червячки не поползли. Тучами.
Угу. Только вот в открытую про exploitability виндового маллока
я пока не слыхал (правда, и не прислушивался особо).
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ http://visa.chem.univ.kiev.ua/~mike/
^ permalink raw reply [flat|nested] 20+ messages in thread
* [mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)
2002-03-26 22:30 ` [mdk-re] [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request) Michael Shigorin
@ 2002-03-27 10:43 ` Mikhail Zabaluev
2002-03-27 12:37 ` [mdk-re] Re: [JT] [JT!] " Michael Shigorin
2002-03-27 13:36 ` [mdk-re] Re: [JT] " Aleksey Novodvorsky
2002-03-27 13:39 ` Artem K. Jouravsky
1 sibling, 2 replies; 20+ messages in thread
From: Mikhail Zabaluev @ 2002-03-27 10:43 UTC (permalink / raw)
To: mandrake-russian
Hello Michael,
On Tue, Mar 26, 2002 at 09:27:11PM +0200, Michael Shigorin wrote:
>
> On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> > К проблеме 2000 долго готовились, поэтому она почти никак себя не
> > проявила.
> Ой-ха-эха-хха :) Общеизвестно, что это была акция "лохи-2000" =)
Вы не видели снимок табло в некоем новозеландском аэропорту, на
котором было написано: "1 Jan 100. Все системы аэропорта работают
нормально"? :)
> > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > говорить об академичности, потом станет поздно. Ровно такая же история
> > была с IIS год назад - производитель уверял, что его продукт "не
> > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> Угу. Только вот в открытую про exploitability виндового маллока
> я пока не слыхал (правда, и не прислушивался особо).
free() там переживает двойное высвобождение (за счёт небольшой потери
производительности, но ведь для нашего же блага). Но это не спасает,
если между двумя free() было ещё что-нибудь выделено:
a = (ptrtype)malloc(N);
free(a);
b = (ptrtype)malloc(N); /* b получает тот же блок */
free(a); /* высвобождается блок под b */
c = (ptrtype)malloc(N); /* c получает тот же блок, что и b */
*b = thing; /* модифицируются данные в блоке под c */
Конечно, это exploitable с большим трудом и малой вероятностью,
но всё же.
--
Stay tuned,
MhZ JID: mookid@jabber.org
___________
If the shoe fits, it's ugly.
^ permalink raw reply [flat|nested] 20+ messages in thread
* [mdk-re] Re: [JT] [JT!] Y2K и другие приколы нашего городка (was: The Bat! - information request)
2002-03-27 10:43 ` [mdk-re] " Mikhail Zabaluev
@ 2002-03-27 12:37 ` Michael Shigorin
2002-03-27 13:36 ` [mdk-re] Re: [JT] " Aleksey Novodvorsky
1 sibling, 0 replies; 20+ messages in thread
From: Michael Shigorin @ 2002-03-27 12:37 UTC (permalink / raw)
To: mandrake-russian
On Wed, Mar 27, 2002 at 10:46:03AM +0300, Mikhail Zabaluev wrote:
> котором было написано: "1 Jan 100. Все системы аэропорта работают
> нормально"? :)
Я ж и говорю -- "лохи-2000". Денег сняли, но даже _реальную_
проблему не забороли, все ушли на фронт ветряных мельницц :)
> free() там переживает двойное высвобождение (за счёт небольшой потери
Знаю... и ниже -- знаю :)
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ http://visa.chem.univ.kiev.ua/~mike/
^ permalink raw reply [flat|nested] 20+ messages in thread
* Re: [mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)
2002-03-27 10:43 ` [mdk-re] " Mikhail Zabaluev
2002-03-27 12:37 ` [mdk-re] Re: [JT] [JT!] " Michael Shigorin
@ 2002-03-27 13:36 ` Aleksey Novodvorsky
1 sibling, 0 replies; 20+ messages in thread
From: Aleksey Novodvorsky @ 2002-03-27 13:36 UTC (permalink / raw)
To: mandrake-russian
Mikhail Zabaluev wrote:
> > > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > > говорить об академичности, потом станет поздно. Ровно такая же история
> > > была с IIS год назад - производитель уверял, что его продукт "не
> > > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> > Угу. Только вот в открытую про exploitability виндового маллока
> > я пока не слыхал (правда, и не прислушивался особо).
>
> free() там переживает двойное высвобождение (за счёт небольшой потери
> производительности, но ведь для нашего же блага). Но это не спасает,
> если между двумя free() было ещё что-нибудь выделено:
>
> a = (ptrtype)malloc(N);
> free(a);
> b = (ptrtype)malloc(N); /* b получает тот же блок */
> free(a); /* высвобождается блок под b */
> c = (ptrtype)malloc(N); /* c получает тот же блок, что и b */
> *b = thing; /* модифицируются данные в блоке под c */
>
> Конечно, это exploitable с большим трудом и малой вероятностью,
> но всё же.
Характерно, в первую очередь, отсутствие официальных комментариев. Для
проприетращиков ошибки -- проблема PR, а не проблема безопасности
пользователей. Они молчат или ограничиваются лаконичным "Нет", как в случае
с TB!
Rgrds, AEN
^ permalink raw reply [flat|nested] 20+ messages in thread
* [mdk-re] Re: [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request)
2002-03-26 22:30 ` [mdk-re] [JT] Y2K и другие приколы нашего городка (was: The Bat! - information request) Michael Shigorin
2002-03-27 10:43 ` [mdk-re] " Mikhail Zabaluev
@ 2002-03-27 13:39 ` Artem K. Jouravsky
1 sibling, 0 replies; 20+ messages in thread
From: Artem K. Jouravsky @ 2002-03-27 13:39 UTC (permalink / raw)
To: mandrake-russian
On Tue, Mar 26, 2002 at 09:27:11PM +0200, Michael Shigorin wrote:
> On Tue, Mar 26, 2002 at 05:21:40PM +0300, Artem K. Jouravsky wrote:
> > К проблеме 2000 долго готовились, поэтому она почти никак себя не
> > проявила.
> Ой-ха-эха-хха :) Общеизвестно, что это была акция "лохи-2000" =)
Раздули, конечно же.
> > Здесь всё хуже - пока никто не расстарался на экплойты, можно
> > говорить об академичности, потом станет поздно. Ровно такая же история
> > была с IIS год назад - производитель уверял, что его продукт "не
> > подвержен" и "безопасен" , пока червячки не поползли. Тучами.
> Угу. Только вот в открытую про exploitability виндового маллока
> я пока не слыхал (правда, и не прислушивался особо).
Я тоже пока не слышал :)
А если таки услышим? Придёт в сетку новый червь по почте, не распознается
антивирем... Предпочитаю переGNUть палку, пугая пользователей
последствиями, чем ощутить эти последствия на своей шкуре, несмотря даже
на то, что моя машина (хех) вряд ли пострадает.
--
Best wishes,
Artem K. Jouravsky,
iFirst Ltd, System Administrator.
-----------------------
Don't hit the keys so hard, it hurts.
^ permalink raw reply [flat|nested] 20+ messages in thread
* Re: Re[2]: [mdk-re] The Bat! - information request
2002-03-26 17:03 ` Re[2]: " Sergey Sokolov
2002-03-26 17:15 ` [mdk-re] " Artem K. Jouravsky
@ 2002-03-26 17:16 ` AVL
2002-03-26 22:47 ` [mdk-re] zlib [JT] Sergey S. Skulachenko
2002-03-26 18:08 ` [mdk-re] The Bat! - information request Aleksey Novodvorsky
2 siblings, 1 reply; 20+ messages in thread
From: AVL @ 2002-03-26 17:16 UTC (permalink / raw)
To: mandrake-russian
On Tue, 26 Mar 2002 17:01:06 +0300
"Sergey Sokolov" <renar@inbox.ru> wrote:
> Hello Aleksey,
>
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
>
>
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
>
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?
когда полмира поляжет от такой "академичнойи теоретичной" проблемы - тогда будет поздно размахивать руками.
речь идет:
1)о масштабе проблемы, при котором даже границ не видно.
2)об обмане производителя.
3)о мерах и механизмах преодоления подобных катастроф в дальнейшем.
На вашем месте, я бы не беспокоился, потому что волков боятся - в лес не ходить.
других вариантов поведения у вас все равно нет, только нервы себе трепать и жизнь укорачивать.
^ permalink raw reply [flat|nested] 20+ messages in thread
* Re: [mdk-re] zlib [JT]
2002-03-26 17:16 ` Re[2]: [mdk-re] The Bat! - information request AVL
@ 2002-03-26 22:47 ` Sergey S. Skulachenko
2002-03-26 23:00 ` Любимов А.В.
0 siblings, 1 reply; 20+ messages in thread
From: Sergey S. Skulachenko @ 2002-03-26 22:47 UTC (permalink / raw)
To: mandrake-russian
On Tue, 26 Mar 2002 17:18:15 +0300
AVL <avl@l14.ru> wrote:
>> Хм, мне кажется, что проблема надумана и раздута. Неужели
>>реально есть
>> какие-то проблемы? Или это всё глубоко теоретично и
>>академично, вроде
>> "проблемы 2000"?
> когда полмира поляжет от такой "академичнойи теоретичной"
> проблемы - тогда будет поздно размахивать руками.
Как поразительна вера в русский "авось" даже у людей с, казалось
бы, техническим образованием!
> речь идет:
> 1)о масштабе проблемы, при котором даже границ не видно.
Я тут уже осторожно высказывался на эту тему, выдавая
предположение, что джина не выпускают из бутылки, так как не
могут научить его избирательности. Он начнёт косить всех подряд,
в том числе, и создателей. (А мой домашний сервер благодаря
команде ALT защищён уже через сутки после объявления тревоги. Вот
так.)
На эту тему вчера в гостях я беседовал со своим родственником,
кандидатом технических наук, который в возрасте около 70 лет
взял, да и стал доктором философии, увлёкшись проблемой
виртуальной реальности. Я в очень энергичных выражениях описал
ему возможную катастрофу. На что он мне ответил, что "Катастрофы
не будет, а проблема будет быстро локализована. Попутно погибнет
миллион народа из-за самопроизвольных пусков изделий, взрывов
энергетических объектов, дезорганизации движения и т.д. Но это же
не катастрофа! Побегут сотни тысяч админов, и всё починят." Вам
стало спокойнее?
> 2)об обмане производителя.
На эту тему в той же беседе, я предположил крах Империи в
ближайший год, так как она неминуемо оказывается в центре
скандала. Ответ был таков: "Не произойдёт. Капитал столь велик,
что скупит всех адвокатов в 25 и всех последующих штатах. Задавит
всех непомерным богатством."
Супротив моей казны ничто не устоит. (с) Аксаков
> 3)о мерах и механизмах преодоления подобных катастроф в
> дальнейшем.
> На вашем месте, я бы не беспокоился, потому что волков боятся -
> в лес не ходить.
> других вариантов поведения у вас все равно нет, только нервы
> себе трепать и жизнь укорачивать.
Но надо выращивать свой собственный сад. (с) Вольтер
____________
С уважением,
С.С.Скулаченко
^ permalink raw reply [flat|nested] 20+ messages in thread
* Re: [mdk-re] zlib [JT]
2002-03-26 22:47 ` [mdk-re] zlib [JT] Sergey S. Skulachenko
@ 2002-03-26 23:00 ` Любимов А.В.
0 siblings, 0 replies; 20+ messages in thread
From: Любимов А.В. @ 2002-03-26 23:00 UTC (permalink / raw)
To: mandrake-russian
> > 1)о масштабе проблемы, при котором даже границ не видно.
>
> Я тут уже осторожно высказывался на эту тему, выдавая
> предположение, что джина не выпускают из бутылки, так как не
> могут научить его избирательности. Он начнёт косить всех подряд,
> в том числе, и создателей.
скорее, те кто имеет достаточно мозгов и информации не могут себе позволить такое.
а те, кто может морально, не может физически.
но в любой момент все может измениться, маленькая течь и пошло сметать....
> ему возможную катастрофу. На что он мне ответил, что "Катастрофы
> не будет, а проблема будет быстро локализована. Попутно погибнет
> миллион народа из-за самопроизвольных пусков изделий, взрывов
> энергетических объектов, дезорганизации движения и т.д. Но это же
> не катастрофа! Побегут сотни тысяч админов, и всё починят." Вам
> стало спокойнее?
я это всегда знал и поэтому действительно спокоен.
> > 2)об обмане производителя.
>
> На эту тему в той же беседе, я предположил крах Империи в
> ближайший год, так как она неминуемо оказывается в центре
> скандала. Ответ был таков: "Не произойдёт. Капитал столь велик,
> что скупит всех адвокатов в 25 и всех последующих штатах. Задавит
> всех непомерным богатством."
> Супротив моей казны ничто не устоит. (с) Аксаков
имхо, все проще. нельзя отгрызть себе руки в борьбе за эфемерную справедливость. Вот когда будет накоплена критическая масса самодостаточности без продуктов МС, можно будет ее судить, а до тех пор речь идет только о небольших компенсациях обществу за пострадавших.
не более.
>
> > 3)о мерах и механизмах преодоления подобных катастроф в
> > дальнейшем.
>
> > На вашем месте, я бы не беспокоился, потому что волков боятся -
> > в лес не ходить.
> > других вариантов поведения у вас все равно нет, только нервы
> > себе трепать и жизнь укорачивать.
>
> Но надо выращивать свой собственный сад. (с) Вольтер
Господа в сад! Все в сад! (по моему Чехов)
--
С уважением,Любимов А.В.
^ permalink raw reply [flat|nested] 20+ messages in thread
* Re: [mdk-re] The Bat! - information request
2002-03-26 17:03 ` Re[2]: " Sergey Sokolov
2002-03-26 17:15 ` [mdk-re] " Artem K. Jouravsky
2002-03-26 17:16 ` Re[2]: [mdk-re] The Bat! - information request AVL
@ 2002-03-26 18:08 ` Aleksey Novodvorsky
2 siblings, 0 replies; 20+ messages in thread
From: Aleksey Novodvorsky @ 2002-03-26 18:08 UTC (permalink / raw)
To: mandrake-russian
Sergey Sokolov wrote:
> Hello Aleksey,
>
> Tuesday, March 26, 2002, 4:21:04 PM, you wrote:
>
> AN> Это означает, что код zlib в TB! есть. Если он внесен авторами TB!, то они
> AN> должны выпустить обновление, так как это очень просто.
> AN> Если же, что более вероятно, он внесен авторами третьих
> AN> библиотек./приложений, то можно прямо спросить авторов TB!, что это за
> AN> приложения и есть ли официальные сообщения от их авторов, что код zlib в них
> AN> безопасен.
> AN> Собственно, произошло ровно то, о чем я писал ранее. Увы.
>
> Хм, мне кажется, что проблема надумана и раздута. Неужели реально есть
> какие-то проблемы? Или это всё глубоко теоретично и академично, вроде
> "проблемы 2000"?
Проблема 2000 была очень серьезна, хотя ее, конечно же, раздули.
Речь у нас не только о проблеме zlib, хотя этот баг по мнению экспертов относится
к разряду взламываемых.
Речь о том, что многие фирмы-производители коммерческого софта, в котором
содержится "плохой" zlib до сих пор не ответили на вопрос, опасен ли он для их
софта. Только они могут ответить, раздута проблема или нет, никакие прочие мнения
не могут быть приняты во внимание. И упорное молчание разработчиков не дает
повода для оптимизма.
Плохо небольшим программистским фирмам, так как баг этот импортирован ими из
средств разработки, а фирмы, создавшие эти средства разработки, молчат.
Еще хуже тем, кто использует софт, созданный неподдерживаемыми ныне закрытыми
средствами разработки. Его придется использовать на свой страх и риск.
Сегодня к Mozilla-0.9.9 добавился Netscape 6.2.2. Это два броузера/мейлера с GUI,
которые можно спокойно использовать под Win32.
Лица, использующие другие программы, могут пока лишь надеяться на удачу и ждать
сообщений от разработчиков.
Rgrds, AEN
^ permalink raw reply [flat|nested] 20+ messages in thread