Zranitelnosti v knihovně libpng

V knihovně libpng, oficiální referenční knihovně grafického formátu PNG (Portable Network Graphics), byly nalezeny 2 zranitelnosti (CVE-2015-7981 a CVE-2015-8126). Bezpečnostní chyby jsou opraveny ve verzích libpng 1.6.19, 1.5.24, 1.4.17, 1.2.54 a 1.0.64. [Hacker News, CSIRT.CZ]

17.11.2015 12:51 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Jardik]

Proc to v blbuntu jeste neni opraveno?

[Peter Golis]

Lebo si si vypol sťahovanie záplat.

[Jardik]

Ale nevypnul. Poslední verze libpng tu je 1.2.51-0ubuntu3 z 21 Oct 2014. Changelog říká "No-change rebuild to get debug symbols on all architectures.". Nic jiného tu nevidím. I když je to nějaký divný, vůbec tu nevidím novější libpng, jenom tuhle starou verzi.

[Peter Golis]

Tak to máš zlé. Veľmi zlé.

[Jardík]

Pořád nic. To ubuntu dělaj magoři, to mám používat děravé libpng? Čas zase vhodit ubuntu a nainstalovat distro, kde vydávají aktualizace včas.

[_/_]

ani v suse nic

[Peter Golis]

Chlapi. Presne kôli takýmto nedočkavcom vznikol LFS, neskôr aj CVS Linux. Je to trošku ťažšie ako Gentoo, ale budete mať zaručene najnovšie verzie programového vybavenia.

[Jardík]

Tady jde o to, že je to nějaká kritická a teď veřejně známá chyba a je otázkou času, kdy to někdo zneužije. Oprava by měla být co nejrychlejší, dva dny jsou už hodně.

[Peter Golis]

Kriticky nebezpečný je nôž, a to je verejne známe. Je len otázkou času, kedy to niekto zneužije, a ubodá obeť k smrti. Skús si overiť či tá tvoja verzia je zraniteľná, ty superman.

[Jardík]

Ano je zranitelná. Dneska konečně vydali aktualizaci. Třeba v Arch Linuxu byla hned. Ale ten zase už nepoužívám protože je z USA. No Ubuntu zase z Británie, musím udělaz změnu. Prostě jim nevěřím, že to překládají ze stejných zdrojů o kterých mi to tvrdí.

[Václav "Darm" Novák]

Zrovna LFS nic takového nezaručuje a nikdy nezaručoval. To už spíš třeba Arch kde je většina software aktuální a v případě potřeby není problém udržovat i vývojové verze.

[Peter Golis]

Zaručuje. Len nezaručuje že sa ich podarí preložiť zo zdrojákov kôli náveznostiam. Budú tam stiahnuté zdrojáky.

[Václav "Darm" Novák]

Návod na stavbu vlastní distribuce fakt nezaručí nic. Můžu ho sestavit klidně z rok starého software.

[Peter Golis]

Zaručuje možnosť. Ak ju nevyužiješ, tak sa ťa tá možnosť netýka.

[Václav "Darm" Novák]

Takovou možnost má každá distribuce. I do toho Ubuntu si můžu ubalit vlastní software v nové verzi. Takže ne, LFS v tomhle nezaručuje nic zvláštního.

[Peter Golis]

LFS je na tom postavený a tak to zaručuje, ale to ti je jedno.

[Václav "Darm" Novák]

LFS není ani distribuce, jen manuál na její stavbu. Nezaručuje vůbec nic co si sám neuděláš.

[Peter Golis]

V tom prípade sa distribúcou prestáva volať akákoľvek distribúcia v ktorej bol použitý prekladač mimo balíčkovacieho systému. A nielen prekladač, ale aj interpreter na akýkoľvek skript vrátane php z webového servra. S tým ale nesúhlasím.

[Václav "Darm" Novák]

Jenže LFS se ani za distribuci nevydává a nikdy distribucí nebyl. LFS je handbook pro tvorbu vlastní instalace, ale prostě nezaručuje nic. Nebo ti snad LFS automaticky aktualizuje balíčky na nejnovější verze? Zaručit si to musíš sám.

[Peter Golis]

Je len na tebe či využiješ možnosť prirodzenej vlastnosti. Dokonca je na tebe aj či si zapneš počítač, práčku alebo či si zaviažeš šnúrky na topánkach.

[kubiq]

nejprve se to posílá Amazonu na kontrolu