Několik webových serverů Gentoo mimo provoz

Několik webových serverů distribuce Gentoo bylo odstaveno poté, co byl odhalen bezpečnostní problém v kódu webu. Jednou z takto postižených oblastí je packages.gentoo.org. Bezpečnostní tým už pracuje na opravě a provádí audit kódu. Shrnutí najdete na The Register.

21.8.2007 18:40 | Luboš Doležel (Doli) | Upozornění

Komentáře

[David Watzke]

Co na to říct, já z těch serverů používal jenom packages.gentoo.org a je tu aspoň alternativa gentoo-portage.com (která nějakou chvíli jako naschvál taky nešla, ale už je to dobrý). Python v akci...

[phero]

meli by to prepsat do javy

[xm]

Tyhle laciné komentáře sis mohl nechat od cesty, tohle s Pythonem nemá co dělat, něco takového by se mohlo stát ať by to bylo v libovolném jiném programovacím jazyku. Jsi skutečně trapný...

[David Watzke]

tohle s Pythonem nemá co dělat,

To dobře vím...

Jsi skutečně trapný...

Co s tím uděláme? Půjdu do blacklistu?

[xm]

Já s tím nic dělat nebudu, jen tě na to upozorňuji. Třeba jednou nadejde doba, kdy si v sebereflexi uvědomíš, jak trapně si se choval.

[David Watzke]

Nenapsal jsem za to smajlíka v domnění, že každýmu dojde, že to nemyslím vážně... To je celá kauza.

[David Watzke]

ted mi to teprve doslo jak trapny jsem byl v celem tomto proklatem vlakne......

[David Watzke]

Vtipné.

[Luboš Doležel (Doli)]

Vždycky mě baví, jak se najde někdo, kdo se na Davidovo naviják chytí a začne rozhořčeně kopat

[disorder]

a nie si nahodou naivny ty, ze mu veris, ze to nemyslel vazne? nemam dovod verit mu, ze to bol vtip, nema to ziadne prvky vtipu (ako napr. vtipnost)

[Luboš Doležel (Doli)]

a nie si nahodou naivny ty, ze mu veris, ze to nemyslel vazne?

Jenže já to vím Ještě jsem se smál a říkal jsem "No, schválně jak dlouho, než ti začne někdo nadávat".

[disorder]

a co, ze si mu to napisal? to len dokazuje, ze nikoho neberies vazne...

[Luboš Doležel (Doli)]

To jen dokazuje, že máš dlouhé vedení.

Já toho člověka dobře znám - jednak to není idiot, aby si myslel, že tahle díra jakkoliv souvisí s tím, jaký interpreter spustí ten skript, a navíc o tom, čím chce provokovat, jsem věděl dřív, než to napsal do diskuze. Provokativní větu od vážně míňeného prohlášení u kamaráda, kterého znám rok a půl, opravdu dobře poznám. Nemusíš mě obviňovat z toho, že nikoho neberu vážně.

[disorder]

no dobre, ty mas teda dovod verit tomu. ja budem aj nadalej verit tomu co vidim a snad si z toho tvoj kamarat do buducnosti zoberie ponaucenie...

[David Watzke]

A taky žeru psy.

[disorder]

len nehovor, ze chutia ako kura, to tvrdi kazdy len aby presvedcil druheho. nic nema na hydinu!

[mAhdi]

Mno packages a ostatni jsou down uz skoro dva tydny ... problem byl, ze nemeli ani nahradni sajt a clovek musel dohledat v bugzille proc ;P ...

alternativa je samozrejme emerge -s popripade ls /usr/portage/category/package pro detaily ;))

ale jako jo, preferuju taky web ;))

[David Watzke]

alternativa je samozrejme emerge -s popripade ls /usr/portage/category/package pro detaily

emerge -s někdo používá? Vždyť je to děs...

[mAhdi]

pokud su na termu a vim zhruba co hledam ;) ... samo pokud das -s kde, tak je vysledek ponekud horsi ;))

[chalucha]

Co zkusit esearch, který je náhrada za emerge -s, má mnohem lepší vyhledávací možnosti a hlavně požívá k vyhledávání index. Místo emerge --sync se dá pak použít esync, který se zároveň postará o oindexování seznamu aplikací.

[David Watzke]

esearch je taky pomalej, mnohem lepší je eix.

[alium]

nejlepsi je prece pacman -S (no flame - joke)

[David Watzke]

pacman? Děti...

[Ivanhoej]

-Ss
-Qs

[Tukak]

psearch

[pdp7]

emerge -s pouzivam hodne casto!

[Luboš Doležel (Doli)]

Tak se to odnauč

[mAhdi]

No ale tak ;) ... ted sem v praci potreboval udelat rpm balicky a nez bych nainstaloval eix a udelal db update a kdovi co, tak behem peti sekund me emerge -s hodilo co sem potreboval ;) ... pokud hledam neco komplexnejsiho, tak stejne pujdu na web, zejmena pokud cekam na novou verzi baliku, nebudu kvuli tomu porad updatovat lokalni portage tree ;))

[CEST]

Hmmm, teda , ted jsem po dlouhe dobe zkusil emerge -s a ono je to i docela rychle. Tak nevim, asi to predelali:) Driv jsem taky zkousel emerge -s, ale bylo to fakt priserne pomaly. Pak jsem tusim taky mel esearch nebo neco podobnyho a pak jsem presel na eix a ten pouzivam. update-eix se mi dela v cronu v noci (aspon doufam:))

[žabkins]

Tak emerge -s se ještě dá, ale takový emerge -S, to je na dlouho, narozdíl od bezkonkurenčního eix -S.

[David Watzke]

Jestli nemáš nějakej disk z budoucnosti, nebo ohromnou RAM, tak upřímnou soustrast

[fx-95]

To by byl pech, kdyby chyby zneužil hacker a ukradl jim zdrojáky.

[deda.jabko]

to nestesti uz se jednou stalo u debianu... (viz moje paticka) ....aspon to rikal dr. sklenar (horlivy propagator windows u nas na katedre)

[jancici]

a co tak pouzit

eix

[Luboš Doležel (Doli)]

Teď jsem se pořádně podíval na tu bezpečnostní chybu - tohle musel udělat pořádný blbec, tahle chyba je jak pěst do očí.

<!--#exec cmd="./similar.py $QUERY_STRING" -->

Ten by si měl dát závod s tím kopytem z bezpečnostního týmu PHP, které nedávno řešilo integer overflow tím, že po možném overflow porovnávalo hodnotu v integeru s INT_MAX.

[Kyosuke]

...řešilo integer overflow tím, že po možném overflow porovnávalo hodnotu v integeru s INT_MAX.

To musel být džouk, tohle by snad člověk při smyslech nenapsal...