[sander85]

[XYZ]

Mingi nimekiri eelmise nädala jooksul avastatud puudujääkidest:

New Checks
S372 Xscreensaver Trusted Extensions regression vulnerability - Solaris
L1430 PulseAudio setuid immediate bindings weakness in /usr/bin - MDV
L1431 Dhcp improper handling of DHCP requests error - MDV
L1432 Pidgin XMPP file transfer weakness - MDV
L1433 PERL Compress::Raw::Zlib inflatevulnerability - MDV
L1434 Pango glyph_string_set_size arbitrary long string flaw - MDV
L1435 GIT infinite loop in GIT daemon due to unrecognized arguments - MDV
L1436 Ruby BigDecimal library context error - MDV
L1437 Squid buffer limits & malformed requests vulnerabilities - MDV
L1438 MySQL dispatch_command string vulnerabilities - MDV
L1439 Compface long declaration in .xbm file error - MDV
L1440 ISC BIND "ANY" record dynamic handling flaw - MDV
L1441 Firefox & XulRunner multiple vulnerabilities - July 2009 - MDV
L1442 Beagle Search Mozilla security vulnerabilities July 2009 - MDV
L1443 Devhelp multiple security vulnerabilities July 2009 - MDV
L1444 Epiphany multiple security vulnerabilities July 2009 - MDV
L1445 Gnome-Python multiple security vulnerabilities July 2009 - MDV
L1446 BlogRovR Mozilla security vulnerabilities July 2009 - MDV
L1447 Foxmarks multiple security vulnerabilities Jul 2009 - MDV
L1448 ScribeFire Blog Editor Mozilla vulnerabilities July 2009 - MDV
L1449 Thunderbird-beagle security vulnerabilities July 2009 - MDV
L1450 XulRunner multiple security vulnerabilities July 2009 - MDV
L1451 Yelp multiple security vulnerabilities July 2009 - MDV
L1452 OpenSC multiple security vulnerabilities July 2009 - MDV
L1453 Python-xpcom multiple security vulnerabilities July 2009 - MDV
L1454 Google-Gadgets Mozilla related security vulnerabilities - MDV
L1455 Firebird src/remote/server malformed request message flaw - MDV
L1457 Apache-mod_security multipart processor via form datapost - MDV
L1458 Mozilla Firefox multiple security vulnerabilities - MDV
L1459 Nagios statuswml.cgi shell metacharacter Ping & Traceroute errors - MDV
L1460 Mod_auth_mysql mod_auth_mysql multibyte escape flaw - MDV
L1461 OpenEXR IMF::PreviewImage overflows & decompression flaw - MDV
L1462 PhpMyAdmin SQL bookmark injection vulnerability - MDV
L1463 Ruby X.509 certificate verifying & decimal conversion errors - MDV
L1464 Wireshark CPHAP/PN-DCP dissector & Tektronix .rf5 flaws - MDV
L1465 APR runtime & Utility library crafted call weakness - MDV
L1466 Samba Multiple string format vulnerabilities Aug 2009 - MDV LowHigh
L1467 NSPR or NSS regex parser/NULL handling & MD2 errors - MDV
L1468 Firefox regular expression error & multiple Mozilla vulnerabilities - MDV
L1469 Xulrunner invalid URL/domain mismatch & regex vulnerabilities - MDV
L1470 Yelp invalid URL/domain mismatch & regex vulnerabilities - MDV
L1471 Beagle invalid URL/domain mismatch & regex vulnerabilities - MDV
L1472 Devhelp invalid URL/domain mismatch & regex vulnerabilities - MDV
L1473 Epiphany invalid URL/domain mismatch & regex vulnerabilities - MDV
L1474 Gnome-Python invalid URL/domain mismatch & regex vulnerabilities - MDV
L1475 BlogRovR invalid URL/domain mismatch & regex vulnerabilities - MDV
L1476 Foxmarks invalid URL/domain mismatch & regex vulnerabilities - MDV
L1477 ScribeFire invalid URL/domain mismatch & regex vulnerabilities - MDV
L1478 Mozilla-thunderbird-beagle invalid vulnerabilities - MDV
L1479 Subversion libsvn_delta large windows overflow error - MDV
L1480 Libxml2 stack consumption via large depth of declarations flaw - MDV
L1481 Fetchmail socket.c NULL handling flaw - MDV
L1482 Memcached length attribute multiple overflows - MDV
L1483 cURL "null prefix attack" in X.509 signatures - RHE
L1484 WxWidgets/GTK2 compat-wxGTK26 JPEG image decoder error - MDV
L1486 Wget \0 character handling in Common Name field flaw - MDV
L1487 Perl-Compress-Raw-Bzip2 crafted bzip2 stream OBO weakness - MDV
L1488 Libgadu large length contact description error - MDV
L1489 Java-1.6.0-openjdk multiple vulnerabilities Aug 2009 - MDV
L1490 GnuTLS NULL character handling in X.509 signatures - MDV
L1492 Expat xmltok_impl.c crafted XML weakness - MDV
L1493 Python xmltok_impl.c crafted XML weakness - MDV
L1501 WxWidgets/GTK2 xmltok_impl.c crafted XML weakness - MDV
L1502 Python-celementtree xmltok_impl.c crafted XML weakness - MDV
L1503 Audacity xmltok_impl.c crafted XML weakness - MDV
L1504 Thunderbird \0 character handling in Common Name field flaw - MDV
L1505 W3c-libwww xmltok_impl.c crafted XML weakness - MDV
L1506 Kompozer xmltok_impl.c crafted XML weakness - MDV
L1507 Davfs xmltok_impl.c crafted XML weakness - MDV
L1508 Neon \0 character & recursion during entity expansion flaws - MDV
L1509 SquirrelMail multiple cross-stie forgery errors Aug 2009 - MDV
L1511 PostFix e-mail append hard link flaw - MDV
M87 Opera Vulnerabilities - Mac OS X
N130 Cisco 1100/1200 Wireless Access Point Found Informational
N131 Unified Communication Manager Vulnerability
S115 Sockfs remote HTTP client may induce panic - Solaris 10
W1988 Open Office Word document processing Vulnerabilities
W2056 Anti-virus signature outdated - Norman
W2325 Sun Java System Web Server 7 jsp file reading vulnerability
W2682 IWA Credential Forwarding Protection Opt-In Informational
W3075 Opera Multiple Vulnerabilities / latest not installed.
W3342 IIS FTP Server NLST Handling - W2K/XP/W2K3

Updated Checks

H19 Kernel Vulnerability - HP-UX 11
H23 Csh/ksh/sh-posix - here document Unsafe Temporary Files - HP-UX 10^11
H114 OpenView NNM Vulnerabilities HP-UX 11
S190 Cluster 3.1/3.2 hangs in VLAN environments - Solaris 8 - 9
S302 Snoop SMB Traffic Display Vulnerability - Solaris 8 - 10
S466 Flash Player multiple vulnerabilities - Solaris 10
W1142 Anti-virus signature outdated - McAfee
W1986 Anti-virus signature outdated - Symantec
W1999 Anti-virus signature outdated - Trend Micro
W2067 Anti-virus signature outdated - F-Secure
W2070 Anti-virus signature outdated - CA eTrust
W3677 Office 2003 Web Components ActiveX errors - W2K/XP/W2K3
H131 OpenView NNM 7.01/7.51/7.53 vulnerabilities - HP-UX 11
M76 ClamXav / ClamAV signatures not the latest - Mac OS X
M80 Virex signature file out of date - Mac OS X
S33 ClamAV signatures not updated - Solaris
S419 Apache 1.3 mod_perl vulnerability - Solaris 8 - 10
S480 Symantec/Veritas NetBackup Vnetd Vulnerability - Solaris 8 - 10
W2012 Anti-virus signature outdated - Avast! 4
W2013 Anti-virus signature outdated - AVG 8 - W2K/XP/W2K3

[sander85]

[XYZ]

Sinu liigset turvatunnet maha jahutada ehk

[sander85]

[XYZ]

Oh seda silmaklappidega elukest sul. Tegelikult on vigu ilmselt võrdselt ja parandatakse kah võrdselt. Ja eelmise nädala nimekiri oli selles mõttes, et selline nimekiri avaldati eelmine nädal, iga nädala paari tagant on uut samalaadset võimalik imetleda.

[sander85]

[XYZ]

[sander85]

[XYZ]

Oh heldekene, oled ikka võimatu küll. Seal nimekirjas on lihtsalt loend vigadest mis ootavad parandamist, see pole otseselt installimiseks. Seega misasja sa nendest vigadest endale tahad installida Pealegi mitme distro asjad........

Või kui käänasid jutu kõrvale hoopis värskenduste saamise peale, siis ma ei saa aru misjaoks. Ka win update pakub uuendusi....oled unustanud? Ja üldse kisub sedasi teemat muutes see jutt sul täielikult metsa....

[sander85]

[XYZ]

Sunbelti koostatud ja loomulikult, kui on tegemist nädal tagasi suure kella külge riputatud vigadega, siis igaüks püüab võimalikult ruttu neid parandada. Osa on sellised, mida suudetakse mõne tunniga ära parandada, kui tegijad ninapidi vea juurde on juhatatud.

[sander85]

http://www.mandriva.com/en/security/advisories?name=MDVSA-2009:181 vastab sinu reale <<<L1440 ISC BIND "ANY" record dynamic handling flaw - MDV >>>

parandatud juuli 29, ma arvan, et enamus neist kui mitte kõik on parandusväljalasked.. mitte parandamata vead.. ma võiksin jätkata, aga ma ei viitsi..

[XYZ]

Kuna tegemist pole siiski minu koostatuga, siis raske kommenteerida. "New Checks" ja "Updated Checks" - ega ma ei tea ülikindlalt mida nad selle all mõtlevad. Pealegi - nimekirja eesmärk oli näidata kui palju ja kui erinevatelt tegijatelt on avastatud vigu. Ja seda nimekirja kui just iga nädal ei uuendata, siis iga paari-kolme nädala tagant võib küll järgmist samalaadset saada. Kõigis süsteemides on pidevad uuendamised ja pidevalt ilmub lagedale uusi vigu ja neid jõudumööda parandatakse. Pole selles suhtes eriti ükski teisest parem.

[sander85]

[tahanteada]

sander85: Küsimus polegi ju selles, et kas leitakse mõni "auk" ja siis kui kiiresti sellele "lapp" peale õmmeldakse.

Praeguse aja suurimaks puuduseks peetakse hoopis seda Op-süsteemide ägedat turuvõitlust, mille tõttu paisatakse järjest kiiremini üha uusi ja uusi Op-süsteemi versioone, olgugi et eelmise süsteemi vead on alles parandamata.

Ja kui jälgida OP-süsteemide "turul" toimuvat, siis on see just ka täpselt nii - kui toode tuuakse kiirendatud korras välja aasta - kaks varem planeeritust, siis on täiesti paratamatu, et suure osade vigade avastamine lükatakse teadlikult "kuhugile kaugesse tulevikku".

Näiteks Win 7, tuuakse "turule" praktiliselt aasta varem, kui varem planeeritud ning on ka teada, et suur osa vigadest 7 täiendustest "lapitakse" koos paranduspaketiga SP1. ja SP1 - kui jutud tõele vastavad, on juba järgmise aasta kevadel olemas.
Samas - kiirendati ka Konkurendi Leopardi väljatoomist - põhjusel, et MS kiirendas Win 7-e väljatoomist.... Ja kriitika juba käis, et ka Leopardil on "augud lappimata"...

[sander85]

[XYZ]

Kui paranduse kirjutab keegi, kes kogu projekti üldist loogikat tunneb alles ähmaselt, siis ei pruugi see parandus hea olla ja mingi aja pärast võib selguda, et see parandus genereeris mitu uut viga. Mis puutub avastamistesse, siis kas tahad väita, et maailmas on hea hulk inimesi, kes oma ajaga mitte kõige vähematki muud teha ei oska kui vaid täiesti tasuta päevast päeva ja uuesti ja uuesti mingit pöörast koodihulka muudkui analüüsivad, et ehk veab ja leiab sellest koodihunnikust veakese??? Ja ma rõhutaks just aina uuesti analüüsimise vajadust, kuna muudatused koodis võivad mõnikord mõjuda n.ö. koodihunniku teise serva ja põhjustada seal vea.
Regulaarkasutajatelt laekub tänapäeval kõigis süsteemides infot tegijatele, küll e-mailidega, telefonikõnedega, küll automaatsete veateadetega süsteemi enda poolt. Ja nende vearaportite alusel siis algsetel tegijatel on võimalus täpselt eksisteeriv viga õigest kohast üles otsida ja ära parandada. Lisaks veel kommertstarkvara tegijatel palgalised testijad + mõlemas leeris vabatahtlikud testijad... Vea parandamise kiirus sõltub ikka rohkem probleemi raskusastmest, sellest milliste nõuetega seejuures arvestama peab.

[sander85]

[XYZ]

Jälle tutvu Vista ja w7-ga. Seda keskset süsteemi arendatakse ja ta töötab. ("error reporting" ja "solutions" oleks vast märksõnad)
Vaba tarkvara kirjutajad ei saa sugugi nii palju varem oma koodi vabaks lasta, neil vaja ikka esmalt seda ise testida. Või kui mõni kirjutabki lihtsalt lampi koodi kokku ja jätab elemantaarseimagi testimise kõik kasutajate hooleks, siis vabandan väga aga sellisest tarkvarast ei taha mina kõige vähematki teada

[sander85]

[XYZ]

Kommertstarkvara ainus vahe on, et selle parandamise enda teeb spetsialist. Vigu raporteerivad kõik kes viitsivad.

[sander85]

[tahanteada]

sander85: No ma küll ei usu, et maailm on täis taolisi töötuid, kellel pole midagi muud teha, kui Linuxi vigu otsida ja neid siis lappida.

Seesama kodanik käib 1-3 kohaga tööl, peab naist ja 3-e last ning kahte koera. Lisaks siis kõikvõimalikud maja ja autoliisingud. Ning pärast seda on ta surmväsinud ning tahab magada või telekast jalgpalli vahtida, mitte mingeid vigaseid koode taga otsida.

[SurfData]