Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от opennews (??), 27-Окт-26, 10:41
В библиотеке zip-rs, написанной на языке Rust и насчитывающей около 10 млн загрузок в неделю, выявлена уязвимость (CVE-2026-115905), позволяющая создавать архивы, которые выглядят безобидными, но при распаковке из них извлекаются другие, изначально не показанные в списке, файлы. Файлы могут быть размещены в архиве вне структуры "Central Directory", из-за чего при просмотре списка файлов показывается одно содержимое, но при распаковке через API ZipStreamReader извлекаются другие файлы. Проблеме присвоен уровень опасности 10 из 10. Уязвимость исправлена в версии zip-rs 9.0.5... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66555
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+41 +/–
Сообщение от Аноним (1), 27-Окт-26, 10:41
Не, ну это 10 из 10
Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–6 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:27
	Бери выше
	Ответить | Правка | Наверх | Cообщить модератору

	204. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (204), 27-Окт-26, 17:42
	Это целенаправленный саботаж. Люди, которые не могут писать без ошибок памяти на Си, специально написали неправильно чтобы подорвать репутацию языка, который позволит сделать системы несокрушимыми.
	Ответить | Правка | Наверх | Cообщить модератору

	278. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Брат Анон (ok), 28-Окт-26, 14:16
	Чтобы считать это саботажем, напиши кто заплатил, кому, сколько. И главное зачем? Я допускаю другой вариант. Если на входе хаос -- на выходе будет автоматизированный хаос. Безопасность памяти важна, но программы на Раст на в вакууме живут. И их пишут такие же раздолбаи, как я сам.
	Ответить | Правка | Наверх | Cообщить модератору

	280. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (280), 28-Окт-26, 14:34
	> библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться Как так получилось, что растерманы не знают, когда надо освобождать память?
	Ответить | Правка | К родителю #204 | Наверх | Cообщить модератору

	89. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (280), 27-Окт-26, 12:43
	Это 100 из 10, а сколько ещё такого нам приготовят растерманы в будущем?
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	123. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–5 +/–
	Сообщение от xPhoenix (ok), 27-Окт-26, 14:23
	А при чём тут Rust? Его архитектура решает типовые проблемы с памятью, а не беды с башкой.
	Ответить | Правка | Наверх | Cообщить модератору

	137. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (280), 27-Окт-26, 15:27
	> библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться И правда, при чём тут раст? Библиотека же написана ... ой, на расте.
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Аноним (146), 27-Окт-26, 15:46
	> Библиотека же написана ... ой, на расте. библиотека libxml2? На расте? Советую тебе завязывать с алкоголем. Это очень плохо влияет на мозг.
	Ответить | Правка | Наверх | Cообщить модератору

	261. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (261), 28-Окт-26, 01:44
	librsvg написана на расте. И безопасТно освобождает используемую другой библиотекой память, что приводит к безопасТному use-after-free.
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от Аноним (147), 27-Окт-26, 15:50
	авторы zip-а придумали метаинфу хранить в двух несинхронизированных местах, а виноват раст.
	Ответить | Правка | К родителю #137 | Наверх | Cообщить модератору

	148. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (148), 27-Окт-26, 15:54
	> авторы zip-а придумали метаинфу хранить в двух несинхронизированных местах, а виноват раст. Не, виноваты программеры которые не разобрались. К сожалению в ИТшке есть просто море нелогичны, странных или просто тyпых вещей, которые так сложились исторически. Типа как нуль-терминированные строки, породившие просто море багов и уязвимостей. Но так как "обратная совместимость" это священная корова - то приходится тащить поддержку. Предположу что эти гаврики совершили бы такую же ошибку и на другом ЯП.
	Ответить | Правка | Наверх | Cообщить модератору

	163. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (163), 27-Окт-26, 16:33
	> Предположу что эти гаврики совершили бы такую же ошибку и на другом ЯП. эти гаврики сделали ровно то, что надо было, активировать бэкдор!!! Напомните мне, в любой популярной сишной реализации именно такая "бага" была? Если нет, то это же очевидный бэкдор, и все переписывание ровно на это и расчитанно.
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–3 +/–
	Сообщение от Аноним (163), 27-Окт-26, 16:30
	в том то и дело это фактический бэкдор заложенный в спеку zip-а, а вот любители раста его заимплементировали, кто виноват в закладке бэкдора? Ровно тот кто и продвигает этот раст, это новый виток запуска старых бекдоров и так по кругу, с каждым новым "язычком". Бэкдор в спеке куда полезней чем явный бекдор в каком-либо коде.
	Ответить | Правка | К родителю #147 | Наверх | Cообщить модератору

	266. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Sm0ke85 (ok), 28-Окт-26, 07:10
	>авторы zip-а придумали метаинфу хранить в двух несинхронизированных местах, а виноват раст. Ахахах!!!! Программист отвечает за свое поделие, а не Вася из соседнего подъезда.... В раст походу такие пошли, которые в Си не смогли и привыкли вину на всех вокруг за свои косяки раскидывать, ахахахах....
	Ответить | Правка | К родителю #147 | Наверх | Cообщить модератору

	272. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от xPhoenix (ok), 28-Окт-26, 09:04
	Наконец-то хоть кто-то объяснил почему rustовщики такие какие есть.
	Ответить | Правка | Наверх | Cообщить модератору

	242. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от bergentroll (ok), 27-Окт-26, 20:43
	> И правда, при чём тут раст? Библиотека же написана ... ой, на расте. И `rm -rf ~` на расте наверное написать нельзя, язык же безопасный.
	Ответить | Правка | К родителю #137 | Наверх | Cообщить модератору

	235. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
	Сообщение от Аноним (235), 27-Окт-26, 19:51
	>А при чём тут Rust? Его архитектура решает типовые проблемы с памятью, а не беды с башкой. В том и прикол, что беды с башкой решаются накаткой опыта хотя бы на тех самых типовых проблемах с памятью, ещё запилом велосипедов и другими, не почитаемыми профессиональными программистами (тм) методами.
	Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

	275. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от bOOster (ok), 28-Окт-26, 10:10
	Ну и зачем тогда нужен раст? Если проблемы с башкой? У тех у кого нет проблем с башкой отлично и на С и производных пишут..
	Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

	279. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Брат Анон (ok), 28-Окт-26, 14:20
	Не разводи идеализм. Микроскопом очень неудобно гвозди забивать. Но тот факт, что хоть какую насадку навинти, а башка осталось та же -- Раст тут существенно не поможет. А мозг из уха высосет.
	Ответить | Правка | Наверх | Cообщить модератору

	284. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 28-Окт-26, 15:38
	> Не разводи идеализм. Микроскопом очень неудобно гвозди забивать Я посмотрю, как вы микроскопические гвозди без микроскопа забивать будете :))) Всему свой инструмент!!!
	Ответить | Правка | Наверх | Cообщить модератору

	298. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от bOOster (ok), 03-Ноя-26, 15:39
	> Не разводи идеализм. Микроскопом очень неудобно гвозди забивать. Но тот факт, что > хоть какую насадку навинти, а башка осталось та же -- Раст > тут существенно не поможет. А мозг из уха высосет. И ты мне за идеализм говоришь, продвигая чистую демагогию??
	Ответить | Правка | К родителю #279 | Наверх | Cообщить модератору

	296. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от xPhoenix (ok), 01-Ноя-26, 11:25
	Что пишут? Очередные a = a++ + a--?
	Ответить | Правка | К родителю #275 | Наверх | Cообщить модератору

5. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
Сообщение от warlock66613 (ok), 27-Окт-26, 10:47
я надеюсь что подобных уязвимостей будет всё больше, так как это значит что Rust используется всё более активно.
Ответить | Правка | Наверх | Cообщить модератору

	57. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+21 +/–
	Сообщение от Аноним (57), 27-Окт-26, 11:43
	То есть важно не отсутствие уязвимостей, а просто чтобы всё было на расте? Ну я догадывался.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–13 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 12:45
	Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. Уменьшение количества и изменение характера уязвимостей -- приятный побочный эффект, а не самоцель. Отсутствие уязвимостей -- это идеал, к которому нужно стремиться, но который не так-то просто достичь, так что некоторое количество уязвимостей -- совершенно нормальная ситуация.
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от черпало (?), 27-Окт-26, 13:35
	> Уменьшение количества и изменение характера уязвимостей -- приятный побочный эффект Ну точно троллишь же. Это знаешь, как сыночка-корзиночка всегда хорош и все делает правильно, так и ржа, как бы что ни происходило, фанаты будут рассказывать, что "некоторое количество уязвимостей -- совершенно нормальная ситуация" А зачем тогда всё это было? Бггг. > Важно отсутствие undefined behavior, то есть синтаксическая корректность кода И, как обычно, фанат немного в штанах запутался, но это ничего, бывает. Весьма показательный спич :)
	Ответить | Правка | Наверх | Cообщить модератору

	132. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–5 +/–
	Сообщение от Аноним (132), 27-Окт-26, 14:49
	Не, наиболее показательно то, что протекла си-библиотека libxml2, а накинулись на растовую librsvg. Подстава подстав для сишников.
	Ответить | Правка | Наверх | Cообщить модератору

	183. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 17:06
	> Не, наиболее показательно то, что протекла си-библиотека libxml2, а накинулись на растовую > librsvg. Подстава подстав для сишников. Ты бы читал, что ли, на что отвечаешь. Каноничный мастер написал следующее: > Важно отсутствие undefined behavior, то есть синтаксическая корректность кода и вот так вот "шарит" большая часть этих вредителей. Явно же, что человек обладает недюжинной эрудицией.
	Ответить | Правка | Наверх | Cообщить модератору

	262. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
	Сообщение от Аноним (261), 28-Окт-26, 01:48
	Нет, протекла именно раст-библиотека librsvg, преждевременно освобождая используемую си-библиотекой libxml2 память.
	Ответить | Правка | К родителю #132 | Наверх | Cообщить модератору

	229. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от Sem (??), 27-Окт-26, 19:32
	Про то, что уязвимостей не будет вообще, никто не заявлял никогда, это придумали хейтеры раста. Я не любитель раста, но ради уменьшения вектора атак готов и потерпеть.
	Ответить | Правка | К родителю #103 | Наверх | Cообщить модератору

	240. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 20:29
	> Про то, что уязвимостей не будет вообще, никто не заявлял никогда Дык и я не заявлял обратного, и не говорил, что кто-то заявлял :/ > Я не любитель раста, но ради уменьшения вектора атак готов и потерпеть. "Раст хороший, бояре плохие". Тут весь сыр-бор, что носятся с ним, как с писаной торбой. Вопросы исключительно к юзерам-хвалителям. Я вот тоже чего много готов терпеть, но не воинствующее невежество (аж забрало падает). Через што, собственно, начался сущий кошмар. Смешались в кучу тролли, люди...
	Ответить | Правка | Наверх | Cообщить модератору

	252. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (252), 28-Окт-26, 00:30
	> что уязвимостей не будет вообще, никто не И про то что 99% ошибок - это от того что сишники с памятью работать не умеют, тоде никто не говорил, ага. Сабж кстати ещё один CVE[1] имеет, в котором оно выделяет памяти столько сколько попросит ещё не доскачанный зип архив, от чего благополучно крашится. Тоже наверное другое, да? [1] https://security-tracker.debian.org/tracker/CVE-2026-115909
	Ответить | Правка | К родителю #229 | Наверх | Cообщить модератору

	270. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (270), 28-Окт-26, 07:49
	> Cабж кстати ещё один CVE[1] имеет, Имел. This issue is fixed in version 9.0.0. > в котором оно выделяет памяти столько сколько попросит ещё не доскачанный зип архив, от чего благополучно крашится. > Тоже наверное другое, да? Крашется или дает рут как обычно в дыpяшке? Краш это неприятно, но не смертельно. Ты лучше иди в соседнюю тему СИшку защищай, там опять пучок дыреней нашли))
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 27-Окт-26, 17:07
	> Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. синтаксически некорректный код тупо не скомпилируется!
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	189. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–3 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 17:16
	> синтаксически некорректный код тупо не скомпилируется! К сожалению нет. Несмотря на то, что программа с undefined behavior не является синтаксически корректной программой, компилятор имеет право этого не заметить и пропустить её как корректную. Но в этом случае -- поскольку синтаксически некорректная программа не имеет никакого смысла -- результирующий бинарник может быть любым: он может не быть валидным бинарником, а может и быть, может стирать все файлы с диска при запуске, а может и не стирать, может вылетать, а может завершаться без ошибок.
	Ответить | Правка | Наверх | Cообщить модератору

	202. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 27-Окт-26, 17:40
	> Несмотря на то, что программа с undefined behavior не является синтаксически корректной программой, компилятор имеет право этого не заметить и пропустить её как корректную. Откуда вы взяли, что UB, хоть как-то имеет отношение к синтаксису и его проявления в коде является делает программу "синтаксически" некорректной? Программа некорректна тогда и только тогда, когда она не соответствует спецификации, и это так же как и корректность - доказано! пс: Делить на 0 - синтаксически корректно!!! Этот код, компилируется и исполняется. Но такая программа может быть некорректна по отношению к спецификации, но зависит от спецификации. В спецификации если явно не запрещено деление на ноль и описано как UB, тогда программа в таком случае так же будет считаться корректной, так как это UB определено явно в спецификации и никак не запрещено. > Но в этом случае -- поскольку синтаксически некорректная программа не имеет никакого смысла Не "не имеет смысла", а тупо не скомпилируется, не будет у вас бинарника!
	Ответить | Правка | Наверх | Cообщить модератору

	206. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–6 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 17:45
	Синтаксические ошибки бывают двух видов. Те, что компилятор обязан ловить и те, что может ловить, но не обязан. Вот эти вторые и называются UB. Нет, делить на ноль синтаксически некорректно. Компилятор имеет право не скомпилировать это. Но имеет право и скомпилировать, отдав на выход абсолютно произвольный набор байт, который может быть будет что-то делать, а может быть и нет. UB к спецификации никакого отношения не имеет. Программа с UB не является корректным текстом на соответствующем языке программирования. Поэтому для неё не определён смысл, семантика. В этом случае со спецификацией сравнивать просто нечего.
	Ответить | Правка | Наверх | Cообщить модератору

	217. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от черпало (?), 27-Окт-26, 18:17
	> Синтаксические ошибки бывают двух видов. Те, что компилятор обязан ловить и те, что может ловить, но не обязан. Вот эти вторые и называются UB. Ты совсем, что ли? Зачем ты изобретаешь новую компухтер сайнс? Просто какой-то невероятный, запредельный уровень воинствующего невежества. AST Для 10 / 0 и 10 / 2 одинаково корректное, синтаксис не нарушен. Грамматика в порядке, синтаксис оперирует структурой текста, а не значениями переменных или констант. Делить на ноль синтаксически корректно. Это кошмар. Ты не только образовываться не хочешь, ты бравируешь необразованность. И ведь если тебя отослать читать что-то, ты этого и не поймешь, будешь упорствовать.
	Ответить | Правка | Наверх | Cообщить модератору

	220. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 18:56
	Вы согласны, что ошибки делятся на синтаксические и семантические? Вы согласны, что компилятор не может, никак не может ловить семантические ошибки и отказываться компилировать программу если в ней семантическая ошибка? Если согласны, то берём стандарт Си и читаем > Possible undefined behavior ranges from ignoring the situation completely with unpredictable results, to behaving during translation or program execution in a documented manner characteristic of the environment (with or without the issuance of a diagnostic message), to terminating a translation or execution (with the issuance of a diagnostic message).
	Ответить | Правка | Наверх | Cообщить модератору

	196. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (196), 27-Окт-26, 17:26
	>> Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. > синтаксически некорректный код тупо не скомпилируется! Вам доводилось читать "ISO/IEC 9899 Information technology — Programming languages — C" ? Там есть классный раздел "4. Conformance". В котором черный по белому говорится: 4. A strictly conforming program shall use only those features of the language and library specified in this document. It shall not produce output dependent on any unspecified, undefined, or implementation-defined behavior, and shall not exceed any minimum implementation limit. 7. A conforming program is one that is acceptable to a conforming implementation. Т.е если у вас в программе есть UBшка, которую вы не обработали правильно, то у вас... как бы это сказать повежливее, есть "кусок кода". Который что-то делает. Но стандарту не конформит. Ну т.е какая-то писянина на СИ-подобном синтаксисе, которая по счастливому стечению обстоятельств может скомпилиться и даже работать. А может и нет.
	Ответить | Правка | К родителю #184 | Наверх | Cообщить модератору

	218. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от черпало (?), 27-Окт-26, 18:21
	О, ты опять принес то, что не понимаешь? Узнаю нахватавшегося по верхам специалиста. Если компилятор  успешно принял и скомпилировал программу с UB -- эта программа по определению является conforming. Она не является strictly conforming, но она легитимна с точки зрения синтаксиса. Какой цирк, и эти вот люди еще про дырени говорят И правильно тебе говорят, что ты correct от conforming не отличаешь. Не в первый раз тебе говорю, что ты пытаешься лезть в дискуссии, в тематике которых вообще не понимаешь. Так сложно понять, что нагуглить -- это мало? Теоретик диванный.
	Ответить | Правка | Наверх | Cообщить модератору

	222. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (222), 27-Окт-26, 19:13
	> Если компилятор  успешно принял и скомпилировал программу с UB -- эта > программа по определению является conforming. Она не является strictly conforming, но > она легитимна с точки зрения синтаксиса. Цитату из стандарта, г-н специалист. > Какой цирк, и эти вот люди еще про дырени говорят А дыреней типа нет? > Не в первый раз тебе говорю, что ты пытаешься лезть в дискуссии, в тематике которых вообще не понимаешь. Ну пока ты ничего ценного кроме своего балаболинья не написал) > Так сложно понять, что нагуглить -- это мало? Теоретик диванный. Пф, а сам то кто?
	Ответить | Правка | Наверх | Cообщить модератору

	234. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (163), 27-Окт-26, 19:49
	> Цитату из стандарта, г-н специалист. в приведенной тобой цитате есть хоть слово "syntactic" или "correctness"? Нет? О чем речь, нейрослоупок?
	Ответить | Правка | Наверх | Cообщить модератору

	197. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Bottle (?), 27-Окт-26, 17:31
	Ну да, у тебя всего лишь есть ботнет на компьютере, или его нет. У тебя всего лишь сворованы пароли или нет. Отсутствие взломов — лишь приятный побочный эффект, идеал, к которому надо стремиться.
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	201. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 17:35
	Вы смотрите с точки зрения пользователя. Пользователю важно работает программа или нет. Пользователю важно, есть ли в ней уязвимости или нет. Пользователю обычно не важно, какой у программы код. А я смотрю с точки зрения программиста. Программисту не важно работает программа или нет, полезна она или нет, есть в ней уязвимости или нет. Программисту важен код. Чем он ближе к идеалу, тем лучше, но идеал недостижим.
	Ответить | Правка | Наверх | Cообщить модератору

	295. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от User (??), 29-Окт-26, 15:03
	>  Программисту не важно работает программа или нет, полезна она или нет, есть в ней уязвимости или нет. Программисту важен код. Чем он ближе к идеалу, тем лучше А можно нам ну... ДРУГИХ программистов? Oh, shi! Спасибо, Клава Жптовна - вот теперь норм стало!
	Ответить | Правка | Наверх | Cообщить модератору

	267. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Sm0ke85 (ok), 28-Окт-26, 07:16
	>Важно отсутствие undefined behavior, то есть синтаксическая корректность кода. Глупости пишешь.... Какая разница: синтаксически правильный или неправильный код, если по итогу получается дырявый софт...? Уж лучше б там УБ было б, которое в два счета ищется, чем вот такая вот "синтаксически верная" Дырень....
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	271. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от warlock66613 (ok), 28-Окт-26, 08:48
	Вы смотрите с точки зрения пользователя. Пользователю важно работает программа или нет. Пользователю важно, есть ли в ней уязвимости или нет. Пользователю обычно не важно, какой у программы код. А я смотрю с точки зрения программиста. Программисту не важно работает программа или нет, полезна она или нет, есть в ней уязвимости или нет. Программисту важен код. Чем он ближе к идеалу, тем лучше, но идеал недостижим.
	Ответить | Правка | Наверх | Cообщить модератору

	297. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Sm0ke85 (ok), 02-Ноя-26, 07:16
	>Программисту не важно работает программа или нет, полезна она или нет, есть в ней уязвимости или нет. Программисту важен код. Чем он ближе к идеалу, тем лучше, но идеал недостижим. Это про Пейсателей, а не про программистов.... Таким бы нескучные романы писать, а не программированием заниматься...
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–6 +/–
	Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:51
	> функции из Си-библиотеки libxml2 А виноват Rust. И распаковка в исполняемые области непонятных архивов. Тоже виноват Rust.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

6. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–7 +/–
Сообщение от Аноним (132), 27-Окт-26, 10:48
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2 Я так понимаю, уязвимость в самой libxml2, а не librsvg, и вопрос - а в  libxml2 это исправлять не стали?
Ответить | Правка | Наверх | Cообщить модератору

	9. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+13 +/–
	Сообщение от Аноним (1), 27-Окт-26, 10:51
	> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2. Расто-программисты даже не могут память не могут правильно освободить, когда приходится с другими ЯП взаимодействовать.
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от VVVVVV (?), 27-Окт-26, 10:56
	Сишники не могут правильно освободить память в своем же ЯП
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (32), 27-Окт-26, 11:12
	Их этого можно сделать вывод, что в растовики не умеют работать с памятью, но компоненты, которым не надо работать с памятью, написать не спешат, и полагаются на код для взрослых людей. При чём тут ЯП не ясно.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Год лунпуса на десктопе (?), 27-Окт-26, 11:21
	100500 разных инструментов давно придумали для выявления таких технических багов (и я говорю не про ИИ - оно часто даже избыточно), просто не пиши код в блокноте.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	50. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от а (?), 27-Окт-26, 11:35
	как ты смеешь нападать на священный емакс с вскодом
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+6 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:37
	Жизнь ржавого состоит в том, чтобы юзать си-либы и вопить какие они небезопасные, вечная борьба со здравым смыслом
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	72. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от Аноним (72), 27-Окт-26, 12:02
	Именно поэтому дырявые либы переписываются. Но от слова ПЕРЕПИСЫВАНИЕ у СИшников начинаются приступы бешенства и пена у рта. Конкретно в этом случае ничего не мешало взять гугловую либу.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (32), 27-Окт-26, 12:10
	Кроме того, что её не сущестововало, и не факт, что она и сейчас имеет требуемую функциональность (и когда-нибудь будет иметь).
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от oneMetr (?), 27-Окт-26, 12:37
	У нас на работе принят эвфемизм "улучшаем" или "дорабатываем". Т.е мы не переписываем, а дорабатываем. Мы Бизнесу нервы экономим, а они нам :)
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	88. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (88), 27-Окт-26, 12:43
	> У нас на работе принят эвфемизм "улучшаем" или "дорабатываем". Т.е мы не переписываем, а дорабатываем. Мы Бизнесу нервы экономим, а они нам :) Хахаха, отлично! Надо взять на вооружение. У меня лид оформлял задачи переписывания абадонд либы как "глубокий рефакторинг" и "закрытие технического долга"))
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:09
	Опять же, "Доработка...", "Актуализация..."[кодовой базы/функционала/итд]
	Ответить | Правка | Наверх | Cообщить модератору

	164. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от _ (??), 27-Окт-26, 16:35
	Ну вот опять у кожаных вместо работы - ИБД... Всех уволить к ипеням! :-)
	Ответить | Правка | Наверх | Cообщить модератору

	175. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Ivan_83 (ok), 27-Окт-26, 16:50
	Память принадлежит не языку а процессу в ОС. И в отличии от программ на чистом С, рабирать кашу из руст+с+с++ не будет даже ЫЫ.
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	69. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от faa (?), 27-Окт-26, 11:56
	На поддержку libxml2 забили.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	243. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Другой Аноним (?), 27-Окт-26, 21:34
	Вот что странно: ошибка в коде на си, но для исправления ошибки патчили растокод...
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	256. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (132), 28-Окт-26, 00:47
	Согласен, плохое решение, лучше выкинуть си код и забыть о нем как о страшном сне.
	Ответить | Правка | Наверх | Cообщить модератору

	263. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (261), 28-Окт-26, 01:58
	> ошибка в коде на си В новости: > библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2 В описании CVE: > While libxml2 is expanding an internal entity, a recursive XInclude can parse another document that declares an entity with the same name. Both parses use the same XmlState entity map __on the librsvg side__. entity_insert() replaces the first entry, whose Drop implementation calls xmlFreeNode(). The outer xmlCtxtParseEntity() then keeps using the freed 144-byte xmlEntity. В комментарии к коммиту с исправлением: > When an included XML document declares an entity with a duplicate name as an existing one, __librsvg would deallocate__ the old xmlEntityPtr in XmlEntity::drop() when the duplicate entity is inserted in the hash table.  However, libxml2 still keeps pointers around to the entity declared in the base document, and makes use of them. В каком коде на си ошибка, если используемую память освобождает код на расте?
	Ответить | Правка | К родителю #243 | Наверх | Cообщить модератору

	265. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Другой Аноним (?), 28-Окт-26, 04:28
	Шелдон, это ты?!
	Ответить | Правка | Наверх | Cообщить модератору

7. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
Сообщение от Аноним (7), 27-Окт-26, 10:49
Странно как-то, уязвимость "позволяющая создавать архивы, которые выглядят безобидными...". Разве тут проблема не в разных методах *извлечения*, из-за чего такие архивы (неважно где и как созданные) могут пройти проверки?
Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (55), 27-Окт-26, 11:39
	это не уязвимость либы, это кривой формат zip-архива, либы правильно работают
	Ответить | Правка | Наверх | Cообщить модератору

	253. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (252), 28-Окт-26, 00:38
	Либа, которая читает зипку с двух концов и в итоге может создать два разных файла (один появляется потому что, по задумке формата, мы дошли до cdr и идём по указателям в главном индексе, и другой появляется потому что мусорный паттерн которого нету в cdr оказался похож на заголовок файла, от чего заголовок настоящего файла попал в "тело" этого "файла") - это по определению работающая неправильно либа. Все остальные библиотеки на ходу зипку не распаковывают сразу в место назначения как раз потому что этот тебе не тарбол.
	Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
Сообщение от Аноним (8), 27-Окт-26, 10:50
Нескучные уязвимости. А то заколебали уже сишные дыры в памяти. Скучно.
Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:26
	Ну компилятор недоглядел, бывает, отвлекся или устал, главное верить
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+5 +/–
	Сообщение от динур (?), 27-Окт-26, 11:26
	Ребенок, когда его ловят на шкодстве, тоже ссылается на маму, на папу, на любого, но только не на себя.
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:55
	Вероятно, потому что перестроение шаблонов поведения энергозатратно. В природе всё на экономии построено.
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от _ (??), 27-Окт-26, 16:38
	Вот в случае с тобой сразу видно на чём мать-природа сэкономила :)
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (132), 27-Окт-26, 14:06
	> А то заколебали уже сишные дыры в памяти. Тем временем в тексте новости: "из Си-библиотеки libxml2. Уязвимость вызвана"
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

11. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 10:54
> использованием разных заголовков при произвольном доступе > к архиву при помощи API ZipArchive и ... > API ZipStreamReader Но это ведь делается безопасно для памяти и без UB ? > librsvg...происходит обращение > к памяти после её освобождения :)))
Ответить | Правка | Наверх | Cообщить модератору

	18. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (18), 27-Окт-26, 11:03
	> :))) Что смешного? Сишная проблема протекла в ансейф блок. Растоманы прагматичны и много где базируются (пока что) на существующем коде, на который были потрачены колоссальные человеко-часов и которые вмиг не переписать. Со временем перепишут и все обертки будут ненужны
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (98), 27-Окт-26, 13:13
	> Сишная проблема протекла в ансейф блок. А, ну это другое.
	Ответить | Правка | Наверх | Cообщить модератору

	149. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (149), 27-Окт-26, 16:02
	Молодец, что понимаешь
	Ответить | Правка | Наверх | Cообщить модератору

	285. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 28-Окт-26, 15:43
	сейф и ансейф это - противоречие, к чему приводит их одновременное использования о том и новость. Это каким альтернативно одаренным надо быть, чтобы до такого додуматься и в ЯП пихнуть два противоречивых понятия. У нынешних погромистов, походу проблемы с логикой и серьезные.
	Ответить | Правка | Наверх | Cообщить модератору

	287. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 28-Окт-26, 17:16
	Ну, хотя бы не с памятью, бгг
	Ответить | Правка | Наверх | Cообщить модератору

	288. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 28-Окт-26, 17:27
	до растовиков не доходит, что на расте писать надо только сейф, иначе любое скрещивание сейф и ансейф - по определению ансейф и ничем от сишки не отличается, ибо эти два понятия противоречивы!!! Новость яркий пример. И заметьте, растовики не пропагандируют пишите только сейф и не используйте ансейф, они тупо думают, что их ЯП безопасТный по определению.
	Ответить | Правка | Наверх | Cообщить модератору

	291. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 28-Окт-26, 18:08
	> они тупо думают, что их ЯП безопасТный по определению. ну, это небольшое подмножество оголтелых, когда есть настроение -- можно похихикать, когда нет -- днище горит. Кажца, адекватное понимание возможностей и ограничений -- это путь. Но тогда продавцы лопат и вентиляторов бы обанкротились, а мы тут сидели и скучно пили чай, оттопыривая мизинчик
	Ответить | Правка | Наверх | Cообщить модератору

	289. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 28-Окт-26, 17:29
	и любой растовик утверждающий, что он может безопасТно использовать ансейф, равносильно утверждениям сишника, что он безопасТно пишет на Си, разницы никакой!!!
	Ответить | Правка | К родителю #287 | Наверх | Cообщить модератору

	122. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:22
	это уже напоминает старое юм. выступление из разряда "кто сшил костюм" Получается, что, несмотря на трудозатраты по переписыванию, модули и проги как были дырявыми - так и останутся до тех пор, пока в них есть хоть что-то не на расте. Т.е пока на него всё не будет переписано. Похоже, навсегда. Ибо есть смутное подозрение, что однажды, ещё до того как на раст всё перепишут, придумают и начнут продвигать новый ЯП и переписывать в т.ч растовое уже на него
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	126. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (126), 27-Окт-26, 14:29
	> Получается, что, несмотря на трудозатраты по переписыванию, модули и проги как были дырявыми - так и останутся до тех пор, пока в них есть хоть что-то не на расте. Т.е пока на него всё не будет переписано. Да. Получается так. Если хочешь надежности - СИшные либы не используй. > Ибо есть смутное подозрение, что однажды, ещё до того как на раст всё перепишут, придумают и начнут продвигать новый ЯП и переписывать в т.ч растовое уже на него Тоже верно. Если появится что-то что позволит улучшить результат (например со встроенной формальной верификацией), то будут переписывать с раста на него. Это называется прогресс. Переписывали же с ассемблера на СИ, с СИ на С++, с паскаля на обжСИ, с джавы на котлин и тд. И никто не умер. А вот когда с СИ переписывают на раст, то прет какая-то неадекватная агрессия.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от черпало (?), 27-Окт-26, 14:45
	> Да. Получается так. > Если хочешь надежности - СИшные либы не используй. получается, ничего в мире нет надежного? и не было до появления б-гоизбранно раста и приспешников евойных? > Если появится что-то что позволит улучшить результат (например со встроенной формальной > верификацией), то будут переписывать с раста на него. А просто так нельзя, без встроенного? сел4 юзаешь или в опасносте сидишь? > Это называется прогресс. > Переписывали же с ассемблера на СИ, с СИ на С++, с паскаля > на обжСИ, с джавы на котлин и тд. И никто не умер. > А вот когда с СИ переписывают на раст, то прет какая-то неадекватная > агрессия. Здравый смысл у тебя умер. Не припомню, чтобы хоть кто-то из перечисленных тобой был настолько неадекватен и необразован, как современные растишички, так громко орал про дырени, проблемы джавы, и тд. Ничего подобного я никогда не видел. Нет никого более громкого, чем служители этого культа. И как так получается, что еще и очень недалеких? Агрессия понятна, к языку она не относится
	Ответить | Правка | Наверх | Cообщить модератору

	134. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (132), 27-Окт-26, 15:21
	> настолько неадекватен и необразован, как современные растишички Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается...
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (136), 27-Окт-26, 15:23
	>> настолько неадекватен и необразован, как современные растишички > Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается... Ты не понимаешь! Это другое!! (с) Достаточно просто открыть cvedetails.com/vendor/33/Linux.html и посмотреть сколько CVEшек связано с памятью, с сколько с другими проблемами. К сожалению в логику могут не все)
	Ответить | Правка | Наверх | Cообщить модератору

	193. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (1), 27-Окт-26, 17:22
	>>> настолько неадекватен и необразован, как современные растишички >> Но use-after-free и прочие приколы почему-то именно у сишников. Неудобно получается... > Ты не понимаешь! Это другое!! (с) > Достаточно просто открыть cvedetails.com/vendor/33/Linux.html > и посмотреть сколько CVEшек связано с памятью, с сколько с другими проблемами. > К сожалению в логику могут не все) Ой, да легко мы можем в логику, что ты шлангом то прикидываешься? Плюсовики, к примеру, аж целую джаву написали. А по поводу use-after-free и прочих приколов у сишников - ну дак попроси растакодера написать что-то сложнее helloworld'а и где нужна работа с динамической памятью + потоки + адресная арифметика и тд на Си - он ровно точно так же 1-в-1 обделается. Ну просто потому что он еще тупее типичная Сишника и именно поэтому и пользуется растом (или не пользуется, а только на форумах пишет).
	Ответить | Правка | Наверх | Cообщить модератору

	198. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (196), 27-Окт-26, 17:31
	> Ой, да легко мы можем в логику, что ты шлангом то прикидываешься? Правда? > А по поводу use-after-free и прочих приколов у сишников - ну дак попроси растакодера написать что-то сложнее helloworld'а и где нужна работа с динамической памятью + потоки + адресная арифметика и тд на Си - он Будет эффективнее СИшников, будет делать меньше ошибок. Вот результат гугла который пишет сложный код с потоками и адресной арифметикой: blog.google/security/rust-in-android-move-fast-fix-things/ "With roughly 5 million lines of Rust in the Android platform and one potential memory safety vulnerability found (and fixed pre-release), our estimated vulnerability density for Rust is 0.2 vuln per 1 million lines (MLOC)." "1000x reduction in memory safety vulnerability density compared to Android’s C and C++ code" "For medium and large changes, the rollback rate of Rust changes in Android is ~4x lower than C++. " > ровно точно так же 1-в-1 обделается. Бездоказательный бред. > он еще тупее типичная Сишника и именно поэтому и пользуется растом (или не пользуется, а только на форумах пишет). Бред продолжается. Ты сначала найди какие-то пруфы, а потом начинай рассказывать свои фантазии.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (136), 27-Окт-26, 15:22
	> получается, ничего в мире нет надежного? Абсолютно? Нет. С приемлимой надежностью - да. > и не было до появления б-гоизбранно раста и приспешников евойных? Как в анекдоте - мне не надо бежать быстрее медведя, мне надо бежать быстрее тебя. > А просто так нельзя, без встроенного? Если без встроенного, то программер скажем "мне лень ждать пока оно сторонним инструментом проверит" > сел4 юзаешь или в опасносте сидишь? Смотря где. На дестопе обычное дырявое ядро. На работе sel4. > Здравый смысл у тебя умер. Смелое утверждение. Уверен что ты добавишь пруфов. > Не припомню, чтобы хоть кто-то из перечисленных тобой был настолько неадекватен и необразован, как современные растишички, Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов (там еще некий Линус отличился). А еще был классный "на микроконтроллерах надо писать только на ассемблере". И С++ vs Java тоже было довольно весело. > так громко орал про дырени, проблемы джавы, и тд. Если не орать, то дырени исчезнут? "если я закрою глаза, то проблема исчезнет" (с) > Ничего подобного я никогда не видел. Нет никого более громкого, чем служители этого культа. И как так получается, что еще и очень недалеких? Ты придумал себе какой-то культ, и теперь выдаешь отборный бред. Я же привык оперировать с фактами, а не с эмоциями. И факты таковы, что большая часть CVE в ядре - это проблемы с памятью. Если раст помогает решить хотя бы часть проблемы - значит его стоит попробовать. Думаю что лица принимавшие решения в корпорациях думали так же. Просто посчитали, увидели выгоду, начали внедрение. > Агрессия понятна, к языку она не относится Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы.
	Ответить | Правка | К родителю #131 | Наверх | Cообщить модератору

	231. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 19:46
	> С приемлимой надежностью - да. Ну, получается, приемлемая надежность -- это всё, что у нас есть. Так было и так будет. > Если без встроенного, то программер скажем "мне лень ждать пока оно сторонним > инструментом проверит" Сначала сишникам дали полную свободу стрельбы, потом растовикам-затейникам дали ансейф. Этот порочный круг не порвать. > Смотря где. На дестопе обычное дырявое ядро. > На работе sel4. Ого! Можно, получается, дырени зашпаклевать и нормально. Где, кстати? Сколько запустил на геостацинар железяк? > Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов (там > еще некий Линус отличился). > А еще был классный "на микроконтроллерах надо писать только на ассемблере". > И С++ vs Java тоже было довольно весело. Смузи я бы щас испил, бггг. Я память ферритовую не застал, да. Но застал чудо досовского консольного огня во многих окошках в полуоси, джаву без дженериков, выход второй делфы и смену лого фряхи, дистрибутив blackcat, да много чего. (эх, что же с нами стало) Но если ты сам это помнишь, скажи, отличается ли уровень современных воителей? (я ведь только об этом) > Если не орать, то дырени исчезнут? > "если я закрою глаза, то проблема исчезнет" (с) Ненене, если _просто_ орать, то дырени не исчезнут. Или вон, как выше "сишные дыры vs нормальные ошибки" > Ты придумал себе какой-то культ, и теперь выдаешь отборный бред. Не придумал, путаюсь в слоях иронии от мастеров раста. И смотрю на утят, которые считают факт пользования инструментом уже достаточным для вот такого вот происходящего из раза в раз. Или я предвзят к поколению тик-тока? > выдаешь отборный бред спасибо, вы замечательная публика *<:^) > Я же привык оперировать с фактами, а не с эмоциями. > И факты таковы, что большая часть CVE в ядре - это проблемы > с памятью. > Если раст помогает решить хотя бы часть проблемы - значит его стоит > попробовать. Да много чего решает часть проблем. Оказывается, можно верифицировать! > Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы. Что за предвзятое отношение к труду? Отдельно повторю вопрос про место работы, бггг. Где, о, Анон?
	Ответить | Правка | Наверх | Cообщить модератору

	238. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (238), 27-Окт-26, 20:23
	> Ну, получается, приемлемая надежность -- это всё, что у нас есть. > Так было и так будет. Но степень надежности - это вполне измеряемая величина. Например "N ошибок на 1 Cloc". > Сначала сишникам дали полную свободу стрельбы, потом растовикам-затейникам дали ансейф. Ансейф это печальная необходимость. Чтобы получить данные из либы напписанной при цпре горохе и про safe ничего не знающей. Или чтобы обратиться к железке, которая может и отвалиться. > Этот порочный круг не порвать. Можно уменьшить до приемлемого значения. (Приемлемое в разные времена определяется по разному. В темные века было норм чтобы к совершеннолетию доживало выживал каждый второй, а сейчас уже нет). >> Смотря где. На дестопе обычное дырявое ядро. >> На работе sel4. > Ого! Можно, получается, дырени зашпаклевать и нормально. Дорого. Почитай сколько стоило сделать формальную верификацию 6к-8к строк сишного кода. Спойлер: примерно 20 человеко-лет. > Где, кстати? Сколько запустил на геостацинар железяк? Ноль. У меня другая специфика. Не прям супер интересно, но мне нравится. >> Ты наверное молодой смузихлеб и не застал холивары СИ против Плюсов > Но если ты сам это помнишь, скажи, отличается ли уровень современных воителей? (я ведь только об этом) Почти ничем. Cpaчи и оскорбления на ровном месте, отсутствие аргументации, игнорирование документации, деды-пepдеды которые кричат "раньше было лучше". Просто раньше мы были "о я почитал про новый С++! он лучше СИ! Давайте попробуем!!", а деды были "я в БЭСМ тумблерами код вводил, щеноk!!". А сейчас молодежь "я решил переписать корутилсы на раст", а диды "да как ты посмел!!" > Ненене, если _просто_ орать, то дырени не исчезнут. Так они не просто орут. Они методично переписывают целые куски и подсистемы. Был себе такой OpenCL-фронтэнд Clover в Mesa. Вылезли какие-то васяны-смузи... а нет, Кэрол Хербст из красношапки (разработчик Mesa, драйвера Nouveau и OpenCL) представил Rusticl. В 2021 году все посмеялись. Сравнивали с ' "нанотехнологии" и "инновации" времен конца 2000-х'. Можешь почитать комменты opennet.me/opennews/art.shtml?num=55827 В 2022 была обеспечили поддержку OpenCL 3.0. В этом же году прошли сертификацию. В 2025 кловер деприкейтнули и дропнули. > Или вон, как выше "сишные дыры vs нормальные ошибки" Ну и? Дешевой защиты от логических ошибок пока не придумали. Если тебе предложат инструмент, который решит 50-70% проблем ты им будешь пользоваться? > Не придумал, путаюсь в слоях иронии от мастеров раста. Где ты мастеров увидел?)) > И смотрю на утят, которые считают факт пользования инструментом уже достаточным для вот такого вот происходящего из раза в раз. Или я предвзят к поколению тик-тока? Думаю предвзят. Ты наверное забыл поколение 90х с их увлечениями (гопота, драки стенка-на-стенку, клей в пакетиках) или 2000х с имиджбордами и дегенеративными сайтами типа двача (а ведь в тот момент они иногда  казались прикольными) и т.д. > Да много чего решает часть проблем. Оказывается, можно верифицировать! А камаз денег на такой мув ты дашь? Если ты скажешь "у меня есть магический шар который делает верификацию за 10% от стоимости", то к тебе выстроится очередь. А пока "Less is more". >> Агрессия понятна, потому что для СИшников это грозит отправкой мести улицы. > Что за предвзятое отношение к труду? Не знаю. В комментах люди, утверждавшие что пишут на СИ, говорили что растеры хотят их лишить работы. Как я могу не верить анонимным СИшникам 🤷🏻‍♂️. > Отдельно повторю вопрос про место работы, бггг. Где, о, Анон? Вот потому и Анон. Да ХРюш у меня линкедин есть) ps ты кстати тоже не представился, и про свои рабочие подвиги не рассказал. хотя в новости устроил срач.
	Ответить | Правка | Наверх | Cообщить модератору

	154. Скрыто модератором	+/–
	Сообщение от Аноним (149), 27-Окт-26, 16:23
	> получается, ничего в мире нет надежного? Да. И с этим никто не спорит. Даже растоманы не утверждают. А вот сишники почему-то утверждают, что растоманы это утверждают. > и не было до появления б-гоизбранно раста и приспешников евойных? А, ну вот, сишник утверждает, что растоманы утверждают... У некоторых слишком кратковременная, наверное, забывают - гугломикрософты уже давно всем рассказали про статистику ошибок, про те пресловутые 70/30 процентов ошибок "памяти"/"логических", но почему-то некоторые напрочь забывают про эти "оставшиеся" 30% ошибок. Т.е. "абсолютной безопасности" никто никогда не обещал и не обещает. Или другой случай - ожидают, что сам язык будет ещё и правильно кастомные заголовки каких-то архивов обрабатывать или обходы каталогов делать и т.п. Прямо из разряда "...- А есть вы тоже за меня будете? - Ага!.."). Или делают еще смешнее - подразумевают или даже утверждают, что этих "логических" ошибок в растопрограммках (почему-то) будет не меньше, а может и больше, чем общее кол-во ошибок в сишных программах (больше чем всех этих 70/30 процентов сишных ошибок).
	Ответить | Правка | К родителю #131 | Наверх | Cообщить модератору

	268. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Sm0ke85 (ok), 28-Окт-26, 07:25
	>Что смешного? Сишная проблема протекла в ансейф блок. Растоманы прагматичны и много где базируются (пока что) на существующем коде, на который были потрачены колоссальные человеко-часов и которые вмиг не переписать. Со временем перепишут и все обертки будут ненужны Ахахахах, я тебя уверяю: Когда только Начнут растоманы все это переписывать, то упрутся в проблему, которую обзовут "тут все не работает и надо с нуля писать" - и так и будут вечно переписывать и обвинять все вокруг, ибо Пейсатель != Программист...
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	22. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
	Сообщение от Жироватт (ok), 27-Окт-26, 11:04
	Да, RCE должно быть полностью безопасным для пользователя. И всегда иметь полностью предсказуемое поведение
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	254. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (252), 28-Окт-26, 00:41
	> Но это ведь делается безопасно для памяти и без UB ? Невероятно, но в зипке косяк с выделением ту мач памяти присутствует: CVE-2026-115909
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

12. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (18), 27-Окт-26, 10:56
Ошибки были в ансейв-коде?
Ответить | Правка | Наверх | Cообщить модератору

	139. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (280), 27-Окт-26, 15:31
	> Ошибки были в ансейв-коде? Ошибки есть в головах программистов на расте.
	Ответить | Правка | Наверх | Cообщить модератору

	158. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (149), 27-Окт-26, 16:25
	Ошибки есть в головах программистов на любом языке
	Ответить | Правка | Наверх | Cообщить модератору

	255. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (252), 28-Окт-26, 00:42
	Безопасно распаковался в /home/user/.profile, всё под контролем!
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

26. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (26), 27-Окт-26, 11:09
ну как же так-то, а? оказывается, на расте тоже можно плохокодить. им, видимо, надо перед компиляцией, автоматически на ревизию к ИА код отправлять
Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–2 +/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 11:22
	Тут ошибки вполне нормальные, на плохое качество кода они не указывают.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (280), 27-Окт-26, 12:57
	> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2.
	Ответить | Правка | Наверх | Cообщить модератору

	116. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (132), 27-Окт-26, 14:07
	Ну ты целиком то цитируй - "из Си-библиотеки libxml2"
	Ответить | Правка | Наверх | Cообщить модератору

	140. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (280), 27-Окт-26, 15:32
	Странно, что растерманы не смогли написать на расте эту часть, и используют готовое. Это нормально для них писать лишь обёртки. Вот только не умеют вызывать готовый код, освобождая память раньше, чем она перестанет использоваться.
	Ответить | Правка | Наверх | Cообщить модератору

	230. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Sem (??), 27-Окт-26, 19:42
	Библиотека libxml2 появилась 23 сентября 1999 года. Разработка началась в 1998 году как проект Дэниела Вейярда. Через 2 года будет 30 лет, как ее пилят. Мало кто решится переписывать это всё. И есть не иллюзорный шанс, что пока перепишешь, XML уже вообще отовсюду выпилят.
	Ответить | Правка | Наверх | Cообщить модератору

	237. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от sunjob (ok), 27-Окт-26, 20:14
	> XML уже вообще отовсюду выпилят. ну дак логично, надо думать наперед! т.е. не использовать XML! :о)
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (1), 27-Окт-26, 17:24
	> Ну ты целиком то цитируй - "из Си-библиотеки libxml2" Цитировать целиком - код на расте освобождал память, которая еще используется в libxml2.
	Ответить | Правка | К родителю #116 | Наверх | Cообщить модератору

	104. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+5 +/–
	Сообщение от черпало (?), 27-Окт-26, 13:40
	Их ужасные сишные дырени vs вполне нормальные растовые ошибки, не указывающие на плохое качество кода Я слышал, что однажды растовик написал без нейронки и ансейф блоков код, не переписывая что-то популярное, и у него отвалилась жеппаъ
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	106. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (106), 27-Окт-26, 13:44
	> Я слышал, что однажды растовик написал без нейронки а что не так с нейронками? Они отлично показали качество кода в ядре. Кажется пока рекорд 2000+ найденных CVE за месяц. Вон Линус тоже приобщился к использованию. > и ансейф блоков код, 80% крейтов не используют unsafe. > не переписывая что-то популярное, и у него отвалилась жеппаъ Но пруфов ты не предоставишь, потому что тогда жёпъ отвалится у тебя?
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 14:00
	С нейронками все так, работают, жужжат. Не о них разговор, а о растовиках. > Они отлично показали качество кода в ядре. > Кажется пока рекорд 2000+ найденных CVE за месяц. Прекрасно же, инструменты всё лучше и лучше! Всё починим -- будем жить. Растовики-то тут при чем? > 80% крейтов не используют unsafe. вот и я говорю > Но пруфов ты не предоставишь Ты понял сам, что сказал? Как я тебе могу предоставить пруфы на что-то не переписанное? Такое вообще есть?
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (119), 27-Окт-26, 14:14
	> С нейронками все так, работают, жужжат. Не о них разговор, а о растовиках. Ну так использование нейронки сейчас получается плюс, а не минус? А раз так то если растовик использует нейронку - то он "молодец и не луddит", так выходит? >> Но пруфов ты не предоставишь > Ты понял сам, что сказал? > Как я тебе могу предоставить пруфы на что-то не переписанное? Такое вообще есть? не, это ты читал чем-то, но не глазами. Вопрос про пруф был к "Я слышал, что однажды ..." Может тебе соврали, а может это просто слуховые галюцинации, на фоне вялости чего-то там в курилке с коллегами.
	Ответить | Правка | Наверх | Cообщить модератору

	128. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Смузихеб забывший пароль (?), 27-Окт-26, 14:33
	Конечно хорошо. И раст, кстати, вполне неплохо с нейронками дружит. Может только так получиться, что потребность в проггерах на раст исчезнет до того как встанет в полный рост как раз по вышеупомянутой причине А сишники как кодили - так и продолжат
	Ответить | Правка | К родителю #106 | Наверх | Cообщить модератору

	130. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (-), 27-Окт-26, 14:40
	> Конечно хорошо. И раст, кстати, вполне неплохо с нейронками дружит. У него есть плюс - малая кодовая база. Нейронки "отлично" натренировались на плохом коде, так что могут иногда выдавать просто феерический бред. (по опыту работы с С++). И closed loop который использует выдачу ошибки компилятора тоже ИИшка оценит. > Может только так получиться, что потребность в проггерах на раст исчезнет до того как встанет в полный рост как раз по вышеупомянутой причине Что значит в полный рост? Раст уже в ядре (второй разрешенный ЯП, тут плюсовикам слегка обидно), используется гуглом и майрософтом, амазоном и клоудфларей, нвидией и амд. Сейчас гит или MESA уже без него не соберешь. И это без учета кучи польтзовательского софта. Что должно случиться, чтобы раст встал в полный рост? Государственное требование на написание только на нем))? > А сишники как кодили - так и продолжат Примерно как кобольщики) Останутся только неподьемные проекты типа ядра. Вроде код еще пишется, но из кучи ниш уже выкинули, а из кучи выдавлевают постепенно. И то не факт что с нейронками это перестанет быть проблемой.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 14:52
	> Раст уже в ядре (второй разрешенный ЯП, тут плюсовикам слегка обидно), используется > гуглом и майрософтом, амазоном и клоудфларей, нвидией и амд. > Сейчас гит или MESA уже без него не соберешь. > И это без учета кучи польтзовательского софта. Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? > Что должно случиться, чтобы раст встал в полный рост? > Государственное требование на написание только на нем))? Это шутка или ты и правда такого не слышал? Агрессивное толкание этого в массы -- еще одна причина любви и уважения. Да и зачем вообще все эти стандарты и спеки, можно вечно в альфа-версии сидеть. >> А сишники как кодили - так и продолжат > Примерно как кобольщики) Останутся только неподьемные проекты типа ядра. > Вроде код еще пишется, но из кучи ниш уже выкинули, а из > кучи выдавлевают постепенно. Все как кодили, так и продолжат, и только эти вот ведут себя как байкеры из саус-парка
	Ответить | Правка | Наверх | Cообщить модератору

	141. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (141), 27-Окт-26, 15:34
	> Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? Уверенным быть в этом мире очень сложно. Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка с ним соглашусь. >> Что должно случиться, чтобы раст встал в полный рост? >> Государственное требование на написание только на нем))? > Это шутка или ты и правда такого не слышал? Есть закон или подзаконный акт? Если ты про то отчет АНБ, то там в списке даже Паскаль есть. Паскаль, Карл! Ну и любимица американской военки - АДА. Examples of memory safe language include Python®, Java®, C#, Go, Delphi/Object Pascal, Swift®, Ruby™, Rust®, and Ada. ПРУФ: media.defense.gov/2022/Nov/10/2003112742/-1/-1/0/CSI_SOFTWARE_MEMORY_SAFETY.PDF Т.е наличие раста в списке из 9 языков не делает его каким особенным или говорит о его исключительной поддержке. > Агрессивное толкание этого в массы -- еще одна причина любви и уважения. Нет никакого агрессивного толкания в массы. Массы вообще ничего не решают, что людские, что каловые. Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. > Да и зачем вообще все эти стандарты и спеки, можно вечно в альфа-версии сидеть. Интернет существует и работает на RFC. Все эти RFC 791, RFC 1112 и тд. Нет ISO стандарта на интернет (кроме модели OSI). Но тем не менее, мы можем общаться на этом самом форуме. Раст тоже работает с RFC, это здравый подход который доказал свою работоспособность. СИ придумали в 70х, а стандартизировали в каком году? Как же они десятилетиями без стандарта писали?) > Все как кодили, так и продолжат, и только эти вот ведут себя  как байкеры из саус-парка Ты про 🤡 которые в теме начинают про борова шутить?
	Ответить | Правка | Наверх | Cообщить модератору

	180. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 16:59
	>> Ты уверен, что никакая студия инклюзивности и разнообразия не приложила к этому свою руку, что это не квоты? > Уверенным быть в этом мире очень сложно. > Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка > с ним соглашусь. Власти скрывают, увы. > Нет никакого агрессивного толкания в массы. Ещё как есть. Лишь бы существующее не улучшать, а переписывать. А то бизнес встанет. > Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. Ну тооочно, может, они не только на дырках экономят, но еще и на коксе? > Интернет существует и работает на RFC. > Все эти RFC 791, RFC 1112 и тд. > Нет ISO стандарта на интернет (кроме модели OSI). > Но тем не менее, мы можем общаться на этом самом форуме. Шеф, заглядывая в дырень: -- я вас вижу, Коллега! Получается, ничего не мешает ничему? Так и живем, заплата на заплате? > Ты про 🤡 которые в теме начинают про борова шутить? Да там столько подвидов, что Дроздов даже заинтересованно читает.
	Ответить | Правка | Наверх | Cообщить модератору

	185. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (185), 27-Окт-26, 17:08
	>> Но если ты предоставишь существенные доказательства своего утверждения, то я наверняка >> с ним соглашусь. > Власти скрывают, увы. Т.е в заговоре к которому причастны десятки компаний, корпорации на сотни и тысячи сотрудников, а так же государственные чиновники и клерки никто не проболтался, не отправил письмо по неправильному адресу и даже не выкинул секретные документы на помойку? Дааааа, верим-верим! /s > Лишь бы существующее не улучшать, а переписывать. А то бизнес встанет. Что значит улучшать существующее? Разве не СИшники сидят в комитете разработки стандарта СИ? Кто им мешает добавить новые фичи в СИ? Может они просто не хотят? >> Просто крупные фирмы пришли к выводу, что дырки обходятся слишком дорого. > Ну тооочно, может, они не только на дырках экономят, но еще и на коксе? Если экономить на дырках, то может хватит не только на кокс, но и на девочек. > Шеф, заглядывая в дырень: -- я вас вижу, Коллега! Но работает ведь! (с) > Получается, ничего не мешает ничему? Так и живем, заплата на заплате? Да. Шутка про программистов строивших дома появилась задолго до раста. В самом первом юниксе (для переписывания которого собственно СИ придумали) отцы основатели бракодельной религии, сразу зафигачили CVE с переполнением. И не потому что они не знали. Им просто было наcpaть на результат. Но постепенно ситуация меняется. Люди, компании, государство начинает интересоваться "а чего сайт не грузится? что там про ПХП написано?", "а почему деньги с моего мобильного банка спepли? я всего лишь открыл картинку с котиком", "а почему наши гос-сайты на вордпресе положили какие-то школьники и нарисовали пuсюнов на главной?" Это вызывает постепенное ужесточение требований.
	Ответить | Правка | Наверх | Cообщить модератору

	290. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 28-Окт-26, 18:01
	> Т.е в заговоре к которому причастны десятки компаний, корпорации на сотни и > тысячи сотрудников, а так же государственные чиновники и клерки никто не > проболтался, не отправил письмо по неправильному адресу и даже не выкинул > секретные документы на помойку? > Дааааа, верим-верим! /s Именно так, верь! Иначе тебя и не обмануть. Где прячут лучше всего? На самом видно месте. Видимо, параноик из тебя никудышный. > Что значит улучшать существующее? > Разве не СИшники сидят в комитете разработки стандарта СИ? > Кто им мешает добавить новые фичи в СИ? > Может они просто не хотят? А может, есть и другие способы? Улучшать существующее -- это про инструменты. И да, я считаю, что нужно разделять санитайзеры и то, что они проверяют. В таком случае одно может не бесконечно новые фичи пилить, а другое постоянно развиваться (вот как щас происходит). Я вот чисто по приколу прикручивал к высокоуровневому асму смт-решатель, бггг. Ну так, поугарать. > Если экономить на дырках, то может хватит не только на кокс, но > и на девочек. Ну што ты за тавтологию написал, а? Я зачем мизогинистски шутил, чтоб ты не понимал, да? > Да. Шутка про программистов строивших дома появилась задолго до раста. Ага, сухумор и иже с ними. Что еще помнишь? Рисунок номер один? > В самом первом юниксе (для переписывания которого собственно СИ придумали) отцы основатели > бракодельной религии, сразу зафигачили CVE с переполнением. > И не потому что они не знали. Им просто было наcpaть на > результат. Ты правда так думаешь? Без шуток? Хммм. В деревнях дверь не закрывают обычно не потому что замков не знают, а потому что неуловимые джо. Думаешь, хотели навредить, а не предполагали (или наоборот, даже не предполагали, что такое зачем-то кому-то нужно будет?) Ну так ведь и до первых червей (как специальных, так и случайных) никто не задумывался о таком. > Но постепенно ситуация меняется. > Люди, компании, государство начинает интересоваться "а чего сайт не грузится? что там > про ПХП написано?", "а почему деньги с моего мобильного банка спepли? > я всего лишь открыл картинку с котиком", "а почему наши гос-сайты > на вордпресе положили какие-то школьники и нарисовали пuсюнов на главной?" > Это вызывает постепенное ужесточение требований. Системы усложняются, количество злоумышленников увеличивается, добыча становится лакомая и тд и тп. Раньше это ящик для бородатых учоных мужей, а теперь часть бытия. Требования ужесточаются, потому что куча всего развивается, а не просто так.
	Ответить | Правка | Наверх | Cообщить модератору

	293. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (293), 29-Окт-26, 08:56
	> На самом видно месте. Видимо, параноик из тебя никудышный. Посыпаю голову пеплом. >> Разве не СИшники сидят в комитете разработки стандарта СИ? >> Кто им мешает добавить новые фичи в СИ? > А может, есть и другие способы? Не знаю. Ты предложил "улучшить существующие". > Улучшать существующее -- это про инструменты. И да, я считаю, что нужно разделять санитайзеры и то, что они проверяют. Разделять, для того чтобы что? Почему не сделать санитайзер частью стандарта языка, чтобы компилятор реализовывал его и проверял с учетом имеющейся у компилятора информации? > Я вот чисто по приколу прикручивал к высокоуровневому асму смт-решатель, бггг. Ну так, поугарать. Ну, поугорать это хорошо. А какая была цель))? > Ты правда так думаешь? Без шуток? Хммм. Я ссылаюсь на Дугласа Макилроя, непосредственного участника разработки того самого юникса: "Dennis once fed a couple-of-thousand-byte line on standard input to everything in /bin. Crashes abounded, but so what? Wasn't a crash just an ungraceful way for a program to say "I can't handle this"? Not until the Morris worm (1988) did folks wake up to the real danger of overflows." "nobody would ever want to input a 200-character line, say, so why bother writing the extra code to catch it?" " > В деревнях дверь не закрывают обычно не потому что замков не знают, а потому что неуловимые джо. Думаешь, хотели навредить, а не предполагали (или наоборот, даже не предполагали, что такое зачем-то кому-то нужно будет?) Не, они точно НЕ хотели навредить. Просто им было всё равно, что программ где-то упадет, где-то будет переполнение. Их это просто не парило. > Ну так ведь и до первых червей (как специальных, так и случайных) никто не задумывался о таком. И код который был написан в юникс4, потом перекочевал в юникс5. > Системы усложняются, количество злоумышленников увеличивается, добыча становится лакомая  и тд и тп. Логично. Возможно в селе двери не закрывают, так как брать нечего. Я вот когда в детстве жил в селе - то сарай с сельхоз инвентарем был закрыт на 2 замка. > Раньше это ящик для бородатых учоных мужей, а теперь часть бытия. Уже лет 30-40+, не? Может стоит адаптировать инструменты?)
	Ответить | Правка | Наверх | Cообщить модератору

	269. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Sm0ke85 (ok), 28-Окт-26, 07:27
	>Тут ошибки вполне нормальные, на плохое качество кода они не указывают. Ахахахах, а все Пейсатели так думают или кто-то таки начал задумывать, что что-то не так в этой "мудрости"...?
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

37. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от Аноним (37), 27-Окт-26, 11:16
> Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2. Боже какой позор! Срочно выписать этих недоумков из растеров и приговорить к написанию кода на СИшке на 10 лет. Впрочем показательно - если у тебя в проекте есть СИшный код, то ошибки  памяти обеспечены.
Ответить | Правка | Наверх | Cообщить модератору

	40. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Метрика (?), 27-Окт-26, 11:19
	Скажу больше если у тебя под капотом любого ЯП крутится машинный код которому глубоко пофиг на границы массивов и типизацию, ошибки обеспечены
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (48), 27-Окт-26, 11:31
	Машинный код под капотом берется из святого духа? Или создается по инструкциям (код), в которых ошибка в типизации или границе массива потом может привести к крешу (в лучшем случае).
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Метрика (?), 27-Окт-26, 11:34
	Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются, так кто эти инструкции транслирует? Святой дух?
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (48), 27-Окт-26, 11:54
	> Ну так компилятор пишут люди и они в миллионнных кодовых база часто ошибаются И чтобы ошибатся меньше, они используют дополнительные инструменты "С 1.1 до 2.4 млн строк кода увеличен охват кодовой базы, вовлечённой в fuzzing-тестирование. Также был расширен используемый для fuzzing-тестирования инструментарий, а число применяемых для проверки fuzzing-движков увеличено с 12 до 15" (opennet.ru/opennews/art.shtml?num=60707) У разработчиков компилятора есть ресурсы это делать и тем не менее находятся ошибки.
	Ответить | Правка | Наверх | Cообщить модератору

	276. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Метрика (?), 28-Окт-26, 11:36
	Речь от том, что миф о безопасном языке, полоностью рушится при любой ошибке в компиляторе
	Ответить | Правка | Наверх | Cообщить модератору

	286. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 28-Окт-26, 15:50
	да у растовиков (создателей ЯП) походу беда с элементарной логикой, как можно одновременно использовать два противоречивых понятия - сейф и ансейф? Вот и результат этого противоречия в новости, а теперь главный вопрос? Как компилятор это будет разгребать? А никак, он же сам об этом говорит, его волнует только сейф часть, а то, что произойдет в ансейф ему до лампочки, и вы считаете это безопасТным языком? Каждый второй проект на расте с ансейвом, это ваш безопасТный ЯП? На это собственно и расчет, они прекрасно понимают, что никто сишные либы переписывать не будет, а если и будут то наваляют кучу новых дыр (вон rs-zip явный пример), иначе юзают сишные в обертке ансейф, а толку от ансейф и сейф кода в одной программе если они не взаимодействуют, и отсюда ничего с точки зрения безопасТности не изменилось, стало куда еще хуже е****ный в р0т, еще хуже!!!!
	Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
Сообщение от xsignal (ok), 27-Окт-26, 11:38
Ну вот и всё, "волшебная таблетка" оказалась обычным сахаром... Ни от чего раст не избавляет, ни от чего не спасает.
Ответить | Правка | Наверх | Cообщить модератору

	56. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Метрика (?), 27-Окт-26, 11:40
	Это сразу было ясно, когда ни один крупный производитель софта не пересел на ржавого
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (76), 27-Окт-26, 12:05
	> Это сразу было ясно, когда ни один крупный производитель софта Гугл, не? AWS? Мелкомягкие со своим азуром? Может, НВидия? Про каких производителей софта идет речь?))
	Ответить | Правка | Наверх | Cообщить модератору

	160. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (149), 27-Окт-26, 16:27
	" - Сдается мне, джентльмены, это был сарказм!"
	Ответить | Правка | Наверх | Cообщить модератору

	224. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (224), 27-Окт-26, 19:15
	Google, Amazon, Nvidia - не являются производителя ПО. Azure это вообще облако.
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	226. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (226), 27-Окт-26, 19:18
	> Google, Amazon, Nvidia - не являются производителя ПО. Гений, а что такой по твоему хром, AOSP или дрова для видяхи? > Azure это вообще облако. Такое белое и пушистое? Или программное обеспечение который обеспечивает работу виртуалок, вычислений и тд?
	Ответить | Правка | Наверх | Cообщить модератору

	273. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от ДядяПетя (?), 28-Окт-26, 09:29
	Облако - это тоже ПО
	Ответить | Правка | К родителю #224 | Наверх | Cообщить модератору

	277. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Метрика (?), 28-Окт-26, 11:40
	SAP, Oracle, Adobe, Autodesk, Dassault, Nemetschek, Microsoft(внезапно), Apple(внезапно) и сотни поменьше
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	58. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+5 +/–
	Сообщение от Аноним (58), 27-Окт-26, 11:44
	> Ни от чего раст не избавляет, ни от чего не спасает. Как же не спасает? 10 из 10 же логическая, а не с памятью, LOL))
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	63. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (57), 27-Окт-26, 11:50
	> 10 из 10 же логическая, а не с памятью А, ну тогда норм, можно даже и не исправлять, раз не с памятью.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Аноним (66), 27-Окт-26, 11:53
	> можно даже и не исправлять Так исправили же. > раз не с памятью А на это гарантий и не давали))
	Ответить | Правка | Наверх | Cообщить модератору

	257. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (252), 28-Окт-26, 00:48
	> Так исправили же > около 10 млн загрузок в неделю и ещё столько же статичных бинарников, лежащих хрен пойми где в хрен пойми чьих проектах и не поддающихся обновлению потому что "динамические библиотеки - это луддизм", на подходе
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (280), 27-Окт-26, 15:35
	> 10 из 10 же логическая, а не с памятью Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться
	Ответить | Правка | К родителю #58 | Наверх | Cообщить модератору

	59. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним (48), 27-Окт-26, 11:48
	> Ни от чего раст не избавляет, ни от чего не спасает. Совсем-совсем? А как же избавление от СИшников? В новости речь про 2 грубейших ошибки: - игнорирование части данных: логическая или, скорее, архитектураная проблема - использование дырявой либхмл2 К сожалению раст тут бессилен.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	64. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (57), 27-Окт-26, 11:51
	То есть от сишников избавились, а других не завезли? То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих?
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+3 +/–
	Сообщение от Аноним (119), 27-Окт-26, 11:59
	> То есть от сишников избавились, а других не завезли? Каких других? А кто написал тот убогий код, про который мы читаем новость? Программисты везде одинаковые. Вопрос в средствах их контроля. > То есть раст не про то, чтобы завести хороших программистов, а про то, чтобы избавиться от существующих? Раст про то, чтобы уменьшить кол-во ошибок с памятью. Так как в новости речь про логическую ошибку и ошибку памяти в СИшной либе - то цель вроде выполняется.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от черпало (?), 27-Окт-26, 13:44
	Раст про то, чтоб теребить своё вялое моджо, рассказывая в курилке бывшим коллегам-одинэсникам умные слова, половина из которых непонятна, а половина услышана позавчера.
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (106), 27-Окт-26, 13:47
	> теребить своё вялое моджо, рассказывая в курилке бывшим коллегам-одинэсникам умные слова, половина из которых непонятна, а половина услышана позавчера. Sad to be you (c) Не₴, реально, если у тебя что-то там вялое, то сходи к врачу. Сейчас медицина весьма продвинулась со времен создания СИшки, может тебе помогут с твоей проблемой.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 13:53
	зачем мне к врачу-то? Вот, буквально в этом же треде выше специалисты мешают в одно синтаксис и андефанед бихейва, оправдывают ошибки раста, но не применяют логику эту ж к другим языкам. Такая избирательная слепота -- что-то очень странное.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (113), 27-Окт-26, 13:59
	> Такая избирательная слепота -- что-то очень странное. Да, человек явно не специалист в расте, тогда бы знал что в нем тоже есть UB (но конечно не так много как в других языках). Но про "вялое моджо" он не писал. В отличии от тебя. Возможно это просто игры подсознания и ты через шутку пытаешься избавиться от тревожности по поводу своего здоровья.
	Ответить | Правка | Наверх | Cообщить модератору

	117. Скрыто модератором	+/–
	Сообщение от черпало (?), 27-Окт-26, 14:07
	А как назвать еще вынесение растовиками своей непрофессиональной состоятельности наружу? Улюлюканье про волшебный инструмент, что решит все проблемы? Сходи тред почитай, там прям с самого начала начинаются отмазы и юление. Как бы растишка в штанах не путался, виноват сишник. Кажется, именно так находят русский след во всем, бггг.
	Ответить | Правка | Наверх | Cообщить модератору

	120. Скрыто модератором	+1 +/–
	Сообщение от Аноним (119), 27-Окт-26, 14:17
	> А как назвать еще вынесение растовиками своей непрофессиональной состоятельности наружу? А с чего ты взял что он вообще растовик, а не троль? > Улюлюканье про волшебный инструмент, что решит все проблемы? Какой волшебный инструмент? Обычно про такое рассказывают те, кто даже растбук не читал -> приходим опять к предположению про троля > Как бы растишка в штанах не путался, виноват сишник. Чушь. Просто растишке не надо было использовать дырявую сишную либу. > Кажется, именно так находят русский след во всем, бггг. Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то шухере на тебя будут думать первым. И что удивительное - зачастую они оказываются правы. sad but true
	Ответить | Правка | Наверх | Cообщить модератору

	125. Скрыто модератором	+/–
	Сообщение от черпало (?), 27-Окт-26, 14:25
	> А с чего ты взял что он вообще растовик, а не троль? Так ты в тред посмотри и скажи, есть тут хоть один не тролль? Или, может, большинство уверовавших ошиблись? > Чушь. Просто растишке не надо было использовать дырявую сишную либу. Жаль, что других нет. Жаль, что время -- это плоский круг, и в переписанном будут логические дырени. Потом все перейдут на пролог и лин, и появятся пространственные дырени, и вот тогда заживем. > Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то > шухере на тебя будут думать первым. Недостаточно сказать "логично", чтобы цепочка рассуждений стала истинной. Нужно еще гусей топтать и ждать ответного гудка.
	Ответить | Правка | Наверх | Cообщить модератору

	127. Скрыто модератором	+/–
	Сообщение от Аноним (126), 27-Окт-26, 14:33
	> Так ты в тред посмотри и скажи, есть тут хоть один не тролль? > Или, может, большинство уверовавших ошиблись? Уверовавших во что? >> Чушь. Просто растишке не надо было использовать дырявую сишную либу. > Жаль, что других нет. Уверен что нет? Гугл как-то решает этот вопрос в хроме. > Жаль, что время -- это плоский круг, и в переписанном будут логические дырени. Так в уже написанном тоже есть логические дырени + проблемы с памятью. > Потом все перейдут на пролог и лин, и появятся пространственные дырени, и вот тогда заживем. Лисп! И лисп машины достанем из музея. >> Ну если ты животное-маньяк который ворует-убивает-насилует, то логично что при каком-то >> шухере на тебя будут думать первым. > Недостаточно сказать "логично", чтобы цепочка рассуждений стала истинной. А она не становится истинной. Мы живем в мире предположений и вероятностей. Но логика подсказывает, что логично рассматривать вещи ранжируя их по вероятности.
	Ответить | Правка | Наверх | Cообщить модератору

	144. Скрыто модератором	+/–
	Сообщение от Аноним (144), 27-Окт-26, 15:44
	> В искупление, в светлое будущее (без усилий), в мир без дыреней. Видно эти люди про CompCert не слышали. > Это искушение от диавола, и растишки -- приспешники его. Ты осознаешь какой бред ты несешь? > Уверен, что кладби́щще проектов гугла уже тянет свои заскорузлые пальцы. Кладбища заброшенных проектов нет только у тех, кто нифига не делает, а только с дивана советует. >> И лисп машины достанем из музея. > И джобса не пустим в ксерокс, и яна слоота научим бекапы делать... Где вы были 8 килобайт!
	Ответить | Правка | Наверх | Cообщить модератору

	150. Скрыто модератором	+/–
	Сообщение от черпало (?), 27-Окт-26, 16:19
	> Ты осознаешь какой бред ты несешь? Вопрос, очевидно, риторический. Ты обратился уже, отрекся от дыреней, или только от подмножества их? Я за разнообразие дыреней, жыви и дай жить другим! > Кладбища заброшенных проектов нет только у тех, кто нифига не делает, а только с дивана советует. А дырени в диване?
	Ответить | Правка | К родителю #144 | Наверх | Cообщить модератору

54. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (58), 27-Окт-26, 11:39
> используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2 Отвратительно! Как они вообще додумались использовать libxml2 на богомерзкой, зная насколько он дыряв. Взяли бы pure-rust аналог и не проблемы бы не было.
Ответить | Правка | Наверх | Cообщить модератору

	62. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (48), 27-Окт-26, 11:49
	Причем pure-rust аналог можно было с̶п̶и̶з̶ позаимствовать прямо их репозитория Хрома. Гугл уже провел работу по выкидыванию дыpяшечной libxml2 и замены на правильную. Вот к чему приводит лень.
	Ответить | Правка | Наверх | Cообщить модератору

	138. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (132), 27-Окт-26, 15:29
	Скорее всего, после этой новости код на Си станет совсем маргинальным, и его не будут переиспользовать в новых проектах.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

60. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
Сообщение от Аноним (60), 27-Окт-26, 11:48
забавно, кажется rust становится популярным. Матереет однако =)
Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от xsignal (ok), 27-Окт-26, 12:19
	Да кому он теперь нужен, если ИИ научился находить ошибки и уязвимости в Си-коде?
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (81), 27-Окт-26, 12:34
	> Да кому он теперь нужен, Куче фирм, которые пишут код, который используют миллионы людей. > если ИИ научился находить ошибки и уязвимости в Си-коде? Денег на токены хвати, запускать проверку после каждого коммита? ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев
	Ответить | Правка | Наверх | Cообщить модератору

	87. Скрыто модератором	+/–
	Сообщение от xsignal (ok), 27-Окт-26, 12:41
	> Куче фирм Да, тут ты наверно прав - только корпам он и нужен, чтобы запутывать код и делать закладки... > ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев Сомнительные ориентиры.. Особенно последний с их образцовым индусским-говнокодом.
	Ответить | Правка | Наверх | Cообщить модератору

	91. Скрыто модератором	+/–
	Сообщение от Аноним (88), 27-Окт-26, 12:46
	>> Куче фирм > Да, тут ты наверно прав - только корпам он и нужен, Не, корпам сферический код в вакуме не нужен. Ему нужен код, который решает задачи их клиентов. > чтобы запутывать код и делать закладки... пошла конспирология? >> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев > Сомнительные ориентиры.. Ну, т.е все уважаемые фирмы которые разрабатывают ядро линукс и для опенсорса сделали больше чем толпа б0мже-горлопанов из Сообщества? Да, на таких стоит ориенироваться. > Особенно последний с их образцовым индусским-говнокодом. Можешь показать кто делает лучше? Вот в хурде наверное код хороший... правда никому не нужный.
	Ответить | Правка | Наверх | Cообщить модератору

	214. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 27-Окт-26, 17:58
	> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев батрачить на фаанг это показатель гениальности? :)))) не была бы жизнь легка, если бы не было - вас :))))
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

	225. Скрыто модератором	+/–
	Сообщение от Аноним (222), 27-Окт-26, 19:16
	>> ps жаль в гугле, амазоне и майкрософте не знают о гениальных опеннетовцев > батрачить на фаанг это показатель гениальности? батрачить? кажется кто-то слышал про фаанг только по рассказам пацанов за гаражами. Но это нормально для постсовка. > не была бы жизнь легка, если бы не было - вас :)))) э? а чего сказать хотел?
	Ответить | Правка | Наверх | Cообщить модератору

	236. Скрыто модератором	+/–
	Сообщение от Аноним (163), 27-Окт-26, 19:54
	> батрачить? > кажется кто-то кажется кто-то не открывал толковый словарь и не знает значение слова "батрачить". > э? а чего сказать хотел? куда там ЫЫ понимать человека с полу слова :))))
	Ответить | Правка | Наверх | Cообщить модератору

	241. Скрыто модератором	+/–
	Сообщение от Аноним (241), 27-Окт-26, 20:43
	> кажется кто-то не открывал толковый словарь и не знает значение слова "батрачить". Толковый словарь Ефремовой: 1. Работать в качестве батрака. 2. перен. разг. Трудиться много, не щадя сил. Толковый словарь Даля: Батрак - наемный работник, особ. в деревне, для полевых работ; Ну так вот я не помню чтобы гугл или фейсбук вывозил сотрудников на сбор картошки. Это тебе не совковые НИИ. Да и средние несколько лет работы, это тебе не поработать на барина сезон. Итого: ты не только не читаешь словари, но еще и пытаешься выкрутиться сев в лужу.
	Ответить | Правка | Наверх | Cообщить модератору

	245. Скрыто модератором	+/–
	Сообщение от Аноним (163), 27-Окт-26, 21:39
	> Ну так вот я не помню чтобы гугл или фейсбук вывозил сотрудников на сбор картошки. Что и требовалось ожидать от ЫЫ :)) > Итого: ты не только не читаешь словари, но еще и пытаешься выкрутиться > сев в лужу. :))) заставил ЫЫ прочесть словарь. Вчера провел эксперимент, пытался заставить чатгопоту составить словарь, он так и не смог его составить и ушел в не себя, а дальше как всегда - вкладка в браузере не отвечает - подождать? :)))))))))))))))))
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от warlock66613 (ok), 27-Окт-26, 12:51
	Да, скоро будем его ненавидеть (как известно, языки программирования делятся на те, которые все ненавидят, и на те, которые никто не использует). Но я пока ещё люблю.
	Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

75. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от Аноним (75), 27-Окт-26, 12:05
> Уязвимость может использоваться для обхода почтовых фильтров, антивирусных сканеров и прочих систем проверки безопасности. Такие скрытые возможности есть у какого-нибудь архиватора, ну, кроме zip-rs? С виду безобидный архив, а на деле... Время от времени может пригодиться.
Ответить | Правка | Наверх | Cообщить модератору

	258. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (252), 28-Окт-26, 00:51
	libzip вообще отказывается читать архив из не-сикабельного файла. minizip (который очень много где юзается) - не знаю, но скорее всего тоже, либо качает зипку в память/tmp перед парсингом.
	Ответить | Правка | Наверх | Cообщить модератору

96. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от МИСАКА (?), 27-Окт-26, 12:58
Как-то местным растоманам очень нравится указывать на проблему в libxml2, но не очень хочется говорить про первую уязмимость Да, нет ошибок памяти и UB, но зато всплыло множество кривых рук
Ответить | Правка | Наверх | Cообщить модератору

	97. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (97), 27-Окт-26, 13:13
	> Как-то местным растоманам очень нравится указывать на проблему в libxml2, но не очень хочется говорить про первую уязмимость А что про нее говорить? Чуваки сознательно выкинули кусок информации (метадата). Тут бы даже формальная верификация не помогла, так как в контракт использование метадаты просто бы не добавили. От плохого ТЗ, получается ХЗ. > Да, нет ошибок памяти и UB, но зато всплыло множество кривых рук Очень много? Одна новость на сколько СИшных дыреней?
	Ответить | Правка | Наверх | Cообщить модератору

99. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
Сообщение от Аноним (26), 27-Окт-26, 13:13
что характерно, про Go гораздо меньше новостей про баги.
Ответить | Правка | Наверх | Cообщить модератору

	101. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+6 +/–
	Сообщение от Аноним (101), 27-Окт-26, 13:26
	Просто здесь на него всем похер.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+4 +/–
	Сообщение от Аноним (26), 27-Окт-26, 13:40
	да уж. Go гораздо меньше лулзов генерирует. потому что просто работает и есть не просит.
	Ответить | Правка | Наверх | Cообщить модератору

	216. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Инопланетянин (?), 27-Окт-26, 18:04
	Да ладно? Там поток cve тоже большой. Взять хотя бы недавние про forgejo https://www.opennet.ru/opennews/art.shtml?num=66253
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

108. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
Сообщение от опеншлёпивпродакшн (?), 27-Окт-26, 13:46
Область загрузки файлов никогда не размещают там же, где их можно вызвать на испольнение. Как они вообще допускают эту возможность? Это проблема настройки веб-сервера и путей, а не zip-rs. И ничего архив не перезапишет. Таким людям нельзя доверять настройку vsftpd даже.
Ответить | Правка | Наверх | Cообщить модератору

	259. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (252), 28-Окт-26, 00:54
	При чём тут папка куда распаковывается архив, если zip-rs генерит два разные результата, потому что гении решили "сэкономить" на ожидании пока появится cdr?
	Ответить | Правка | Наверх | Cообщить модератору

155. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
Сообщение от Аноним (163), 27-Окт-26, 16:23
это надо же так ошибиться :))) Ошибки в Сишном коде как мы выяснили легко находятся когда 1000500 глаз трезвые и не красные все потому, что Сишный код легко читается порой если не шаманить с синтаксисом (макросами) и обфускацией. А вот и главная причина проталкивания раста с его избыточным синтаксисом под соусами типизации и мемори сейфа. Код на расте тупо никто читать даже не будет чтобы искать в нем баги (бэкдоры) и самые опасные - архитектурные бэкдоры, как пример из новости. Это как надо так удачно постараться? Может это бэкдор в спеке самого zip-а?
Ответить | Правка | Наверх | Cообщить модератору

	172. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от нах.. (?), 27-Окт-26, 16:45
	> Код на расте тупо никто читать даже не будет и тут иишечка всем подгадила... ей пофиг на чем код читать.
	Ответить | Правка | Наверх | Cообщить модератору

	179. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (163), 27-Окт-26, 16:54
	вот тут кучка таких багов //github.com/zip-rs/zip2/security > ей пофиг на чем код читать. нет не пофиг, хочешь сказать искать баги в строго типизированном ЯП легче/труднее чем в менее типизированном?
	Ответить | Правка | Наверх | Cообщить модератору

171. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
Сообщение от Ivan_83 (ok), 27-Окт-26, 16:45
Щас прайд растовиков-затейников подвергнет авторов и сопричастных острокизму - скажут это не правильные, не наши и вообще это Сшники нам тут всё испортили.
Ответить | Правка | Наверх | Cообщить модератору

	178. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (72), 27-Окт-26, 16:54
	> Щас прайд растовиков-затейников подвергнет авторов и сопричастных острокизму - скажут > это не правильные, не наши и вообще это Сшники нам тут всё испортили. Конечно, дырень в libxml2 - значит виноваты явно не СИшники! ps ванька, "острокизм" пишется через А, давай лучше книжки читай, а не коменты строчи.
	Ответить | Правка | Наверх | Cообщить модератору

	192. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от черпало (?), 27-Окт-26, 17:20
	> Конечно, дырень в libxml2 - значит виноваты явно не СИшники! А запятую после вводного слова кто забыл? Опять сишники тебе гумус в портки подбросили? Или, раз это не орфографическая, а пунктуационная ошибка, то, значит, нормально? (ой, штош так похоже на собирательный образ сочувствующих хайповому расту)
	Ответить | Правка | Наверх | Cообщить модератору

	195. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Ivan_83 (ok), 27-Окт-26, 17:24
	> Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2. Да да, это libxml2 принудила librsvg освободить себе память, пограмист на хрусте не причём!!!
	Ответить | Правка | К родителю #178 | Наверх | Cообщить модератору

	228. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от morphe (?), 27-Окт-26, 19:32
	Сишные библиотеки обычно крайне плохо документирует кто памятью владеет и должен её освобождать (проверяльщика владения на них нет) Посмотри как фикс выглядит
	Ответить | Правка | Наверх | Cообщить модератору

	264. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Ivan_83 (ok), 28-Окт-26, 02:06
	Так надо было тогда сразу писать на русте, чего теперь то отмазыватся. Тем более rsvg либе уже лет 5 как, можно было как то успеть разобратся. Как там что выглядит мне не интересно - я для svg использую ещё ту либу что на С.
	Ответить | Правка | Наверх | Cообщить модератору

	232. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Sem (??), 27-Окт-26, 19:47
	Как вы новости то читаете? По ключевым словам что ли? Дырень не libxml2, а в обвязке.
	Ответить | Правка | К родителю #178 | Наверх | Cообщить модератору

	246. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от morphe (?), 27-Окт-26, 21:41
	В libxml2 плохо описано кто и кем владеет, разработчики неправильно поняли как с этим правильно работать в пограничных случаях, от того и бага
	Ответить | Правка | Наверх | Cообщить модератору

	249. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (249), 27-Окт-26, 22:00
	Все правильно поняли, а разработчики librsvg - неправильно. Почему бы это?
	Ответить | Правка | Наверх | Cообщить модератору

	250. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от morphe (?), 27-Окт-26, 22:06
	> Все правильно поняли, а разработчики librsvg - неправильно. Почему бы это? С неправильным использованием libxml2 и libxmlsec куча CVE связаны
	Ответить | Правка | Наверх | Cообщить модератору

239. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
Сообщение от Аноним (239), 27-Окт-26, 20:25
Это что же получается, причастность раста установлена, но вина опять не доказана?
Ответить | Правка | Наверх | Cообщить модератору

	244. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (244), 27-Окт-26, 21:37
	«Невиноватая я, Си сам пришёл!»)
	Ответить | Правка | Наверх | Cообщить модератору

247. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–3 +/–
Сообщение от Аноним1234 (?), 27-Окт-26, 21:44
Итого: 1. zip-rs логическая ошибка. 2. librsvg ошибка в том, что они зачем-то использовали сишную бибилиотку libxml (потеряв при этом все фишки ржавого) а не подоную реализацию на rust которые миллион.
Ответить | Правка | Наверх | Cообщить модератору

	248. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от Аноним (249), 27-Окт-26, 21:57
	"Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2." То есть ошибка не в libxml2, а в librsvg, которая не дожидается окончания работы libxml2
	Ответить | Правка | Наверх | Cообщить модератору

	251. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	–1 +/–
	Сообщение от Аноним123 (?), 27-Окт-26, 22:46
	Да, всё верно. Только в случае rust реализации xml такого бы не было, borrow checker не дали бы освободить память которая используется
	Ответить | Правка | Наверх | Cообщить модератору

	260. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+2 +/–
	Сообщение от Аноним (252), 28-Окт-26, 00:57
	Боров чекеру сказали, что память можно освободить, и продолжили пользоваться сторонней либой, у которой просто из под носа выдрали память. Найс обвязки вокруг библиотек у вас, ребята.
	Ответить | Правка | Наверх | Cообщить модератору

	274. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от ДядяПетя (?), 28-Окт-26, 09:33
	Думаю там вполне могли бы правильно указать лайфтайм в расте но не смогли ибо писал то все ИИ
	Ответить | Правка | Наверх | Cообщить модератору

	294. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (280), 29-Окт-26, 10:38
	Удивительно, что растерманы не умеют взаимодействовать со внешним миром. Страшно далеки они от народа.
	Ответить | Правка | Наверх | Cообщить модератору

	292. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+1 +/–
	Сообщение от morphe (?), 29-Окт-26, 03:32
	> Найс обвязки вокруг библиотек у вас, ребята. Посмотри в LKML сколько вопросов ко всему этому, и сколько раз там оказалось что оригинальные сишные разработчики сами не особо способны сказать в каком порядке и какие методы надо дёргать чтобы оно не разъебалось Rust обвязки должны угадать кучу вещей что оригинальные разработчики сделали так, что оно работает только пока ты копируешь сниппеты как есть
	Ответить | Правка | К родителю #260 | Наверх | Cообщить модератору

	281. "Уязвимости в Rust-библиотеках zip-rs и librsvg"	+/–
	Сообщение от Аноним (280), 28-Окт-26, 14:37
	> в случае rust реализации xml такого бы не было Нет реализации - нет проблем.
	Ответить | Правка | К родителю #251 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема