| |
| |
| 3.7, Аноним (7), 14:20, 24/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Не, не Руби, а возможность использовать именно таким способом. Использовали бы иначе, так бы не было.
Увы, сложную вещь нельзя простенько накидать, даже если верится в доступность простоты.
| | |
| |
| 4.30, Аноним (30), 22:48, 24/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
Хорошо что ты нам это рассказал, также как и разработчикам Gitlab. Твое мнение учтут
| | |
|
|
|
| 1.3, Аноним (3), 14:08, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Дружно смотрим код обновления GitLab 16.0.1 и начинаем читать файлы конкурентов.
| | |
| |
| 2.28, Аноним (-), 20:16, 24/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
А кусок кода куда смотреть не зацитируешь? Я бы парочке ну не то чтобы конкурентов, но недружественных субъектов задниц бы надрал по первое число. Иногда просто хочется "взять и у...ть" :)
| | |
|
| 1.15, Аноним (15), 16:08, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> уязвимость вызвана ошибкой проверки файловых путей, позволяющей выйти за пределы базового каталога
М-м-м-м, классика. Сколько их таких было уже. И даже «поблагодарить» за это некого, относительные пути настолько прочно въелись в сознание, что выкорчевать этот грязный хак уже, пожалуй, невозможно.
| | |
| |
| |
| 3.20, Аноним (15), 17:50, 24/05/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Я предлагаю отказаться от механизма относительных путей в принципе. Но это сломает слишком много мозгов. Так что остаётся только уповать на то, что программист не забудет про нормализацию путей.
| | |
| |
| 4.23, Аноним (5), 18:08, 24/05/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
В Айфоне нет понятия фс и пути в общесистемном понимании для обычных пользователей. Всё норм. Никто ничего не сломал.
| | |
| |
| 5.41, Аноним (-), 00:00, 29/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
А ядро XNU про это все в курсе? С андроидом все аналогично, кстати. А насчет не сломал - помнится оно ломалось аж от смсок с хитрыми символами, чего уж там.
| | |
|
|
|
| 2.19, Аноним (19), 17:46, 24/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Я уже писал, что все дело в лени. В том, чтобы не кушать лишнюю память и не строить свое виртуальное дерево каталогов и обрабатывать его самому своими силами. Проще ведь просто передать все напрямую в ОСь и не парится. Ну там любимых регэкспов по дороге накидать, чтобы типа фильтровать то, что нельзя. А надо так. Вот эти ".." обрабатывать самому. А в ОСь передавать уже готовый абсолютный путь.
| | |
| |
| 3.22, Аноним (5), 18:07, 24/05/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Его вообще не надо никак обрабатывать, лол. Ошибку в ответ пошли нефига относительные пути присылать.
| | |
| 3.39, Аноним (39), 14:08, 25/05/2023 [^] [^^] [^^^] [ответить]
| –1 +/– | |
"Регэкспы", "обрабатывать самому"...
Вот так и пишется столько дырявого ПО
man 3 realpath
| | |
|
|
| 1.21, совсем не аноним (?), 17:51, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Чет я не очень понял про опасность 10 из 10 и про "насколько это позволяют права доступа процесса, обрабатывающего запросы".
То есть максимум что можно получить это доступ к файлам которые доступны системному юзеру gitlab что резко сужает вектор атаки и вообще величину проблемы. задеть могло только васянов которые собирали из исходников под рутом получается, но они же сами знали на что шли когда так делали, не?
| | |
| |
| 2.24, Аноним (24), 18:25, 24/05/2023 [^] [^^] [^^^] [ответить]
| +/– |
10 из 10 -- потому что гитлаб предоставил максимально возможные права, которые смог. Или по-твоему 10 из 10 -- это когда гитлаб каким-то чудом выбирается из контейнера, получает рута в хосте, потом вылезает из VM, в котором крутился хост, и там тоже получает рута, потом взламывает ядро и выполняет код на его уровне?
| | |
|
| |
| |
| 3.37, Аноним (37), 09:36, 25/05/2023 [^] [^^] [^^^] [ответить]
| +/– | |
Вероятно.
Вместо универсальной подключаемости ко всему (коннекторы и т.д.) был сделан комбайн. А сил столько, сколько у Атласиана, например, не было. Всюду одновременно не успели?
У других Гит отделён от code review и CI/CD сервиса. Почему-то. Да и написано было на Яве, у других.
| | |
|
| 2.35, Аноним (35), 00:00, 25/05/2023 [^] [^^] [^^^] [ответить]
| –2 +/– |
Ничего хорошего начинаться с трех букв git.. в принципе не может.
| | |
|
| 1.38, Аноним (37), 09:40, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Ну просто глядя на их веб интерфейс, чувство, что под капотом тот же кавардак.
Сначала ты успеваешь увидеть: ваш билд/мёрж упал.
И тут оно такое: а, нет, отбой, нормально бежит билд.
Месиво костылей, без возможности настроить/приспособить как нужно.
| | |
|
