Вариант для распечатки |
Пред. тема | След. тема | ||
| Форум Разговоры, обсуждение новостей | |||
|---|---|---|---|
| Изначальное сообщение | [ Отслеживать ] | ||
| "Удалённое выполнение кода в форке почтового сервера qmail от проекта Sagredo" | +/– | |
| Сообщение от opennews (??), 19-Апр-26, 12:14 | ||
В развиваемом проектом Sagredo форке почтового сервера qmail выявлена уязвимость (CVE-2026-41113), позволяющая добиться удалённого выполнения произвольных команд на сервере с правами пользователя qmailr. Уязвимость вызвана отсутствием экранирования спецсимволов в имени хоста, возвращаемого DNS-сервером при определении MX-шлюза, в сочетании с передачей полученного имени в команду popen без должного разделения и фильтрации аргументов при вызове shell. Уязвимость устранена в выпуске 2026.04.07. В открытом доступе опубликован инструментарий для эксплуатации уязвимости... | ||
| Ответить | Правка | Cообщить модератору | ||
| Оглавление |
| Сообщения | [Сортировка по ответам | RSS] |
| 1. Сообщение от Аноним (1), 19-Апр-26, 12:14 | +3 +/– | |
> We Asked Claude to Audit Sagredo's qmail. It found a RCE. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #4, #6, #12 | ||
| 2. Сообщение от Аноним (2), 19-Апр-26, 12:15 | +/– | |
Шел 2026 год. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #25 | ||
| 3. Сообщение от Аноним (4), 19-Апр-26, 12:18 | +1 +/– | |
Случайность. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #17 | ||
| 4. Сообщение от Аноним (4), 19-Апр-26, 12:19 | +2 +/– | |
Ни слова что уязвимый код добавил лично Jia Tan. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 | ||
| 5. Сообщение от Ю.Т. (?), 19-Апр-26, 12:30 | –2 +/– | |
Есть же приличное развитие авторства фон Ляйтнера (@fefe). Зачем это Сагредо, где очевидно контроль над производством слабее? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #8 | ||
| 6. Сообщение от Аноним (6), 19-Апр-26, 12:41 | +/– | |
А так можно было? И никаких тебе "I'm sorry, but i can't" как у ChatGPT? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 Ответы: #9, #26 | ||
| 8. Сообщение от Ю.Т. (?), 19-Апр-26, 13:15 | +/– | |
> Есть же приличное развитие авторства фон Ляйтнера (@fefe). Зачем это Сагредо, где | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #5 | ||
| 9. Сообщение от Аноним (9), 19-Апр-26, 13:40 | +1 +/– | |
I'm sorry? but I'm too shy... 👉👈 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #6 Ответы: #31 | ||
| 12. Сообщение от Аноним (12), 19-Апр-26, 14:47 | +/– | |
Пожалуйста! | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 | ||
| 13. Сообщение от Аноним (12), 19-Апр-26, 14:54 | +1 +/– | |
С кем ассоциирована эта Sagredo? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 17. Сообщение от Аноним (17), 19-Апр-26, 15:14 | +2 +/– | |
> Уязвимость вызвана отсутствием экранирования спецсимволов | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #3 Ответы: #21 | ||
| 18. Сообщение от Аноним (18), 19-Апр-26, 15:33 | +1 +/– | |
У этого форка на гитхабе 18 звезд (аж восемнадцать!) какое он отношение к qmail имеет? Кто то его использует? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 21. Сообщение от Аноним (21), 19-Апр-26, 15:38 | –1 +/– | |
Похоже ты начинаешь о чем-то догадываться. Но это не точно. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #17 | ||
| 22. Сообщение от albb (ok), 19-Апр-26, 15:58 | +1 +/– | |
Зачем, зачем сохранять строку текста через вызов внешнего исполняемого файла? Или там тоже искусственный идиот постарался? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #24, #30 | ||
| 24. Сообщение от Rev (ok), 19-Апр-26, 17:47 | +2 +/– | |
Это же юникс-вей! Ничего ты не понимаешь! Программа должна собираться из кучи разнородных утилит! | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #22 | ||
| 25. Сообщение от Аноним (25), 19-Апр-26, 17:51 | –3 +/– | |
ежики по прежнему использовали c/c++ и кололись, ужасное дырявое поделие древних людей уровня VBScript в древнем Internet Explorer | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #2 Ответы: #32, #33, #39 | ||
| 26. Сообщение от Аноним (26), 19-Апр-26, 18:22 | +/– | |
> как у ChatGPT | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #6 | ||
| 28. Сообщение от Аноним (28), 19-Апр-26, 19:19 | +/– | |
> https://man7.org/linux/man-pages/man2/open.2.html | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 29. Сообщение от Аноним (29), 19-Апр-26, 20:49 | +/– | |
>отсутствием экранирования спецсимволов в имени хоста, возвращаемого DNS-сервером при определении MX-шлюза, в сочетании с передачей полученного имени в команду popen без должного разделения и фильтрации аргументов при вызове shell. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 30. Сообщение от Аноним (30), 19-Апр-26, 21:14 | +/– | |
Или искусственный идиот. Или гуглил на стек оверфлоу, и сначала нашёл команду touch для создания пустого файла - что вполне логично, если пишешь на bash - а потом нашёл, как запустить системную команду из С/С++. popen как бы намекает. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #22 | ||
| 31. Сообщение от Аноним (31), 19-Апр-26, 21:15 | +1 +/– | |
Sorry for what? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #9 | ||
| 32. Сообщение от Аноним (32), 19-Апр-26, 21:29 | +/– | |
Так это - компиляторы есть только у этих ваших устаревших немодных языков. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #25 | ||
| 33. Сообщение от Аноним (33), 19-Апр-26, 21:30 | +1 +/– | |
С какого боку тут именно "c/c++"? Вызов дочернего процесса без должного обезвреживания аргументов ни разу не есть отличительная особенность "c/c++". | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #25 | ||
| 34. Сообщение от Аноним (33), 19-Апр-26, 21:39 | +/– | |
Вот, ять, почему когла мне, ни разу не профессиональному программисту, а вовсе даже сисадмину, понадобилось написать небольшую программку, которая использовала функциональность некоей утилиты, я не поленился прочитать документацию на либу, на которой основана эта утилита, и изучить как подтягивать сишные либы в том языке, на котором надо было эту программу написать. И всё это - именно для того, чтобы избежать одного-единственного класса уязвимостей - того, который описан в новости. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #36 | ||
| 35. Сообщение от Аноним83 (?), 19-Апр-26, 21:43 | +1 +/– | |
Потому что какакод. И пейсатель поди или древний или с другого языка свичнулся. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #37 | ||
| 36. Сообщение от Аноним83 (?), 19-Апр-26, 21:52 | +/– | |
Вот вероятно друго одмин и накодил это :) | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #34 Ответы: #42 | ||
| 37. Сообщение от Аноним (29), 19-Апр-26, 22:07 | +/– | |
>пейсатель поди или древний или с другого языка | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #35 | ||
| 39. Сообщение от aname (ok), 20-Апр-26, 01:15 | +/– | |
Одно то, что тебя трясёт от C/C++ заставляет писать на нём | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #25 | ||
| 42. Сообщение от Аноним (42), 20-Апр-26, 04:00 Скрыто ботом-модератором | +/– | |
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #36 | ||
|
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
|
Закладки на сайте Проследить за страницей |
Created 1996-2026 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |