29 bezpečnostních chyb v Adobe Flash Playeru (diskuse)

[luke]

vskutku zajimavy projekt, ten flash...

[GothiqueNoir]

flash je jedna velka chyba

[Ziko]

Tak ono to množství chyb neodráží kvalitu sw, ale míru pozornosti, která se mu věnuje. Kdyby se věnovalo tolik úsilí na hledání chyb v libovolném opensource projektu, od kernelu třeba po firefox, byla by ta čísla jistě mnohem vyšší a objevené chyby mnohem závažnější. Navíc tak komplexní a technologicky náročný sw by opensource metodikou vůbec nebylo možné vyvinout (o čemž svědčí i absence opensource alternativy).

[Xerces]

Navíc tak komplexní a technologicky náročný sw by opensource metodikou vůbec nebylo možné vyvinout ... Tak tady jste si trošičku, ale opravdu jen trošičku zapřeháněl. Co?

[martin]

Mate nekde statistiky miry pozornosti venovane jednotlivym projektum? Nebo jste si to jen vycucal z prstu?

[R]

Ano, vyvinut Linux (jadro) je oproti nejakemu sracko-pluginu do browsera jednoduche a technologicky nenarocne :D

A urcite malokto venuje usilie hladaniu chyb v kerneli, ktory bezi na vacsine zariadeni sveta a navyse je open-source :DDD

[kyknos]

no flash asi skutečně běží na více zařízeních než linux, ne? a rozhodně je uživatelsky víc vidět

neschopnost oss v oblasti grafiky je také bohužel realita (jediná vyjímka, která mě napadá, je blender, ale to není zrovna foss árijského původu)

[martin]

To tezko. Android flash nema, zato linuxovy kernel ano. Stejne jako stovky milionu routeru, televizi, atd.

[kyknos]

muj android tedy flash ma

[R]

Flash nie je podporovany od Androidu 4.1. Aj ked sa nainstalovat da, tych instalacii bude minimum (je to takmer zbytocne a nie je to trivialne).

[Integral]

tak to Ti ze srdce gratuluju.

[MadCatX]

I kdyby byla „míra pozornosti“ nějakou smysluplnou metrikou, vyznělo by to pro Flash Player asi ještě tristněji, než pro Sověty Černobyl. Je totiž naprosto neuvěřitelné, že všechny bezpečnostní chyby jsou ve FP přítomny minimálně od té verze 11.2 - tedy od roku 2012 - svědčí o tom, jak důsledně má Adobe nastavené příslušné kontrolní mechanismy. Docela by mě zajímalo, odkud plynul tok tvých úvah, ze kterého jsi usoudil, že komplexní a technologický náročný software se nedá vyvíjet jako open source. Namátkou Linux kernel, LibreOffice, VirtualBox, Mesa či Java asi nebudou triviálnější než Flash a open source jsou všechny (alespoň z hodně velké míry).

[j]

A co teprve chyby ve firefoxu (napr), nektery sou uz i vousaty (15+let) ...

Ostatne, jaky % tehle chyb je vyuzitelnych z "venku" = utocnik neovlada server, na kterej user leze? Rek bych ze minimum. Pricemz pokud mi skleroza slouzi, tak firefox (napr) jeste nikdy souteznimu hacku neodolal ... takze tech der tam je pozehnane taky.

Zakazme userum pouzivat firefox, je deravej jako reseto.

[martin]

Poslete prosim odkaz na nejakou neopravenou _bezpecnostni_ chybu ve Firefoxu. Diky.

[Jendа]

Nějak jsem z diskuze nepochopil, proč by to měl dělat, ale myslím, že stačí, když tak měsíc počkáš a určitě nějakou uvidíš.

Nebo jinak -- do teď se díry ve FF pravidelně objevovaly (naposledy DSA-3640-1 3.8.2016). Myslíš, že se teď něco změnilo, nebo co?

[j]

Proc cekat, ze ... http://www.computerworld.com/article/3072441/web-browsers/federal-judge-rejects-mozillas-demand-to-see-bug-in-tor-browser.html

Pricemz se da s jistotou rict, ze to neni jedna dira, ale hromada der.

[j++]

"Ostatne, jaky % tehle chyb je vyuzitelnych z "venku" = utocnik neovlada server, na kterej user leze?"

phishing, XSS, ... vám nic neříká?

Btw: "These updates address critical vulnerabilities that could potentially allow an attacker to take control of the affected system."

[j]

Jo, takovejch sou ve ff stovky taky ... a? "could potentially allow" ... takze za uplnku pri konjunkci Marsu s Venuse ...

Ane, pissing ... mi nic nerika, nejsem debil co by klikal na kadej odkaz, kterej mi nekdo podvrhne natoz abych tam zadaval jakykoli udaje a js ma vypnutej, protoze jestli v necem je der jak nasrano, tak prave v nem.

[kyknos]

to by mě zajímalo, jak se pohybuješ na internetu, jak třeba děláš rešerše, vyhledáváš těžko dostupná data... já běžně za hodinu prohlédávání internetu kliknu na stovky zcela neznámých odkazů a kdybych se v tom měl nějak omezovat, tak snad radši půjdu do klasické papírové knihovny

[j++]

Reagoval jsem na vasi neznalost vyjadrenou komentarem o (ne)zneuzitelnosti chyb pokud utocnik neovlada server. Jako "critical vulnerabilities" je nazval sam Adobe, takze s tou "konjunkci" to nebude tak horke.

Btw proc tu porad zminujete Firefox? Obsahuje spoustu chyb, ostatne jako kazdy software netrivialniho rozsahu. Podle https://scan.coverity.com/projects/firefox jde s 0.42 defektu na 1000 radku o velmi kvalitni kod.

[j++]

A co teprve chyby ve firefoxu (napr), nektery sou uz i vousaty (15+let) ...

[citation needed]

[Jendа]

Jako že tady vyklopí 0day v ceně ~$30k?

[j++]

To od j rozhodne necekam. Staci dve critical security vulnerabilities 15+ let stare v dobe opravy.