134 bezpečnostních chyb ve WebKitGTK+

Dle bezpečnostního upozornění WSA-2015-0002 bylo ve WebKitGTK+, tj. GTK+ portu knihovny WebKit, nalezeno 134 bezpečnostních chyb. MojeFedora.cz informuje o aktuálním stavu oprav ve Fedoře 22 a Fedoře 23.

29.12.2015 20:16 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Bedňa]

Nie že by som bol paranoik, ale doba ho zo mňa spravila, tie chyby stoja za prečítanie. V koľkých strojoch sú dnes už rootkity a či je to náhoda, je zas druhá otázka.

[chrono]

WebKit je veľký a predpokladám, že na GTK+ porte pracuje veľmi málo ľudí (takže WebKitGTK+ obsahuje vždy pomerne starú verziu WebKit).

Inak z podobného dôvodu mám obavy aj z Qt5 a z toho, že začnú používať Chromium (pretože už teraz je WebKit v Qt vždy starý a pochybujem, že Google sa bude akokoľvek zaujímať o inú, ako najnovšiu verziu; takže buď zázračne v Qt dokážu pravidelne začleňovať novú verziu Chromia, alebo nájdu ľudí, čo pre nich budú riešiť aspoň bezpečnostné záplaty pre ich starú verziu).

[Pedro]

Kolem WebKitGTK+ má postavený byznys jedna celá firma - Igalia, takže si myslím, že v oblasti open source se jedná o projekt, který je nadstandardně financovaný. Problém není v samotném WebKitGTK+, v podporovaných verzích se bezpečnostní problémy opravují rychle. Problém je v některých aplikacích, které na něm staví. Ty totiž nemají dost vývojářů, aby stíhaly portace na novější verze. Výsledkem je to, že používají již neudržované a nezáplatované verze WebKitGTK+, které mají až těch 134 známých zranitelností. U aplikace, jako je třeba takový poznámovač, který se nedostane do kontaktu s vnější sítí, to není takový problém, ale třeba u prohlížeče jako Midori je to fakt průser.

[little.owl]

Obecne ma pravdu. Webkit/Blink se meni prilis rychle, starsi verze jsou derave a jejich uzivatele nestaci drzet krok s upstreamem. Ano, nemelo by to byt vystaveno siti.

[Pedro]

Jasně, ale problém není ve WebKitGTK+, ten sleduje vývoj WebKitu velmi úzce. Pokud se WebKit pohybuje rychle, WebKitGTK musí taky. Jinou možnost nemá. Hodně aplikací na to nedokáže reagovat a jsme tam, kde jsme. Není to ale způsobeno tím, že by WebKitGTK+ nestíhal WebKit, jak původní komentář naznačuje.

[chrono]

Tá firma každé 2-3 mesiace vydá novú verziu, rozbije API a prestane pre staršie verzie vydávať opravy. A je to presne to, čo som písal. Nemajú prostriedky udržiavať verzie dosť dlho, takže každá aplikácia nakoniec potrebuje úplne inú verziu (čo je len o trochu lepšie, ako keby nebola novšia verzia ani dostupná).

[Pedro]

2-3 měsíce je nesmysl, protože WebKitGTK+ má úplně stejný vývojový cyklus jako GNOME, tedy nová verze vychází každých 6 měsíců. Jinak kdo dneska nabízí dlouhodobou podporu pro WebKit/Blink? Apple stlačil podporu jedné verze Safari už pod jeden rok. U Googlu s dlouhodobější podporou Chrome máš úplně smůlu. WebKit/Blink dneska jede rychle dopředu a nikdo ho dlouhodoběji nepodporuje, protože by to stálo ohromné prostředky a asi po tom ani není taková poptávka. Ano, má to negativní dopady v podobě toho, že mají vývojáři, kteří na tom staví, málo času na přizpůsobování, ale házet to na WebKitGTK+ a Igalii je nesmysl, protože to nedělají ani mnohem větší software housy.

[Jardík]

Ještě tam je pořád hardcódovaný, že různé domény patří googlu a přidávají se k nim tajně výjimky?

[Jardík]

myslím toto.

[mirec]

je

Mimochodom prečo im nefungujú odkazy na čísla riadkov bez javascriptu? Ako ich napadlo také niečo?

window.location.hash='#1604'

Žeby href="#1604" nebolo dosť cool?