| 1.2, Аноним (2), 23:19, 15/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +13 +/– |
У меня больше вопрос в другом. Зачем это вообще в браузере? Кто и на... запускает telnet и ssh через браузер?
| | |
| |
| 2.4, Аноним (4), 23:37, 15/06/2025 [^] [^^] [^^^] [ответить]
| +5 +/– |
Ты лучше спроси зачем в браузере URL ghelp:// :-) https://opennet.ru/63035-gnome
Хороши, что KDE, что GNOME, что дистрибутивы, регистрирующие кучу MIME-типов.
PS. В Firefox в about:preferences#general в поле поиска набери Applications, там полно всего, включая irc и apt. Как насчёт провернуть подобную атаку для установки левого пакета через apt?
| | |
| |
| 3.6, Аноним (4), 23:45, 15/06/2025 [^] [^^] [^^^] [ответить]
| +12 +/– | |
Блин, а оно ведь сработало!
В Ubuntu Firefox и Chrome загружают автоматом deb-пакет, а потом выводят запрос типа "Allow this site to open the apt link with AptURL?"
Скрипт поправил так:
function downloadAndRedirect() {
const anchor = document.createElement('a');
anchor.href = "data:;base64,содержимое deb-пакета в base64";
anchor.download = 'evil.deb';
document.body.appendChild(anchor);
anchor.click();
document.body.removeChild(anchor);
setTimeout(() => {
window.location.href = "apt:///proc/self/cwd/Downloads/evil.deb";
}, 1000);
}
| | |
| |
| 4.66, Аноним (66), 13:26, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Но оно же не устанавливает пакет автоматом при открытии ссылки, а показывает окно с инфой о пакете и опцией его установить? Так для этого достаточно просто http-ссылки на deb-пакет без фокусов с перенаправлением на "apt://", стандартное скачать и открыть файл.
| | |
|
| 3.10, 12yoexpert (ok), 23:52, 15/06/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > Ты лучше спроси зачем в браузере URL ghelp://
зачем тебе в браузере URL ghelp://?
| | |
| 3.40, Аноним (40), 08:23, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
тор браузер посылает эти типы куда подальше. (можно пользоватся без тора если что)
| | |
|
| 2.7, jj (?), 23:45, 15/06/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
Давным давно запускал, очень удобно когда у тебя счет железок на тысячи, или по вашему хранить ip надо в txt или exel.
| | |
| |
| 3.89, Аноним (89), 21:06, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> удобно когда у тебя счет железок на тысячи
Так как раз же неудобно. Когда счёт идёт даже на десятки, уже неудобно вручную админить, а ты тут про тысячи заливаешь. Автоматизация — слыхал про такое? Пушишь в гит что нужно, а дальше оно само.
> или по вашему хранить ip надо в txt или exel.
IP надо хранить в DNS, и иметь схему которая позволяет зная где сервер скрафтить его доменное имя. Это если тебе надо куда-то конкретно попасть. А для IPAM надо специализированный софт использовать, да хоть тот же NetBox. Если только у тебя не один /23 или что-то такое же смешное. С таким действительно проще CSV или эксельку, котрые уже читать скриптом и генерить имена устройствам.
| | |
|
| 2.8, oficsu (ok), 23:47, 15/06/2025 [^] [^^] [^^^] [ответить]
| +3 +/– |
 Это всё стандартные uri-хендлеры, которые могут открываться не только из браузера. Лучшее, что нармальный браузер может сделать (и делает, естественно) — это спросить, хочет ли пользователь запускать соответствующий хендлер. Будь это tel://, magnet:// или ssh:// — это дело пользователя, что он хочет открывать, а не браузера
А ssh://, очевидно, является полезным обработчиком. Например, можно хотеть логиниться на сервер из менеджера паролей в один клик. И не важно, выступает ли этимм менеджером KeePassXC, какой-то вебапп на электроне или вообще корпоративная страничка в браузере с полным списком серверов и паролей. Пользователю нужно открыть ssh-доступ из приложения — он соглашется
| | |
| |
| 3.16, Аноним (16), 04:13, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Да зачем вообще нужны программы, пусть уже всё браузер делает. Браузера хватит всем...
| | |
| |
| 4.55, Аноним (55), 10:46, 16/06/2025 [^] [^^] [^^^] [ответить]
| +3 +/– | |
>пусть уже всё браузер делает
Вам прямо сказали, что дело не в браузере, а вы опять бочку на браузер катите.
| | |
|
|
| 2.53, Аноним (55), 10:44, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Зачем это вообще в браузере?
Типичный сторонник жирных браузеров.
В браузере ничего нет - есть гиперссылка, с протоколом. Браузер передаёт эту ссылку в систему, система самостоятельно находит обработчик.
>Кто и на... запускает telnet и ssh через браузер?
Кдешнки. Не вечно же на гномеров бочку катить.
| | |
| |
| 3.97, Аноним (97), 21:43, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
>Браузер передаёт эту ссылку в систему, система самостоятельно находит обработчик.
Браузер недолжен делать НИЧЕГО. Не поддерживается схема браузером - игнор, и не надо ничего открывать. Юзер сам допрёт, что со схемой ssh:// делать.
| | |
| |
| 4.116, Аноним (55), 12:53, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Вам надо - вы и отключайте. Или поместите браузер в контейнер, благо это элементарно делается.
| | |
|
|
| 2.59, User (??), 11:07, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Ну вот на прошлом месте работы в cmdb урлики для подключения к линуксячьим нодам по ssh и вроде даже к виндовым по rdp (или там просто файлики? Не помню уже) автоматически генерились, всем нравилось. Нет, встречались любители руками в цонцоле колотить или там из файла "пороли.тхт" мышкой копировать - но это что-то постыдное было).
| | |
|
| 1.3, 12yoexpert (ok), 23:32, 15/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –10 +/– |
ну а что вы хотели от тимы, в которую вместо инженеров набрали эффективненьких самопиарщиков типа нэта грема
| | |
| |
| 2.17, Аноним (17), 04:26, 16/06/2025 [^] [^^] [^^^] [ответить]
| –9 +/– | |
это не самопиар, а самообман - сообщество™ разработчиков кде по определению не может обеспечить качество на уровне корпоративного продукта
единственная надежда у поклонников проекта кде заключается в том, что Габен и ко. возьмут кодовую базу этой СРС под свой контроль, то есть под контроль программистов на зарплате
но зачем ждать, когда уже сейчас можно просто пользоваться GNOME? (:
| | |
| |
| 3.33, МИСАКА (?), 05:27, 16/06/2025 [^] [^^] [^^^] [ответить]
| +4 +/– |
Сейчас бы пользоваться поделием, которое считает юзера за идиота и не может решить, хочет оно пародировать макось или иось
| | |
| |
| 4.36, Аноним (17), 06:49, 16/06/2025 [^] [^^] [^^^] [ответить]
| –2 +/– |
пользуюсь с удовольствием) а пародировать они могут хоть TempleOS, лишь бы удобно было работать
| | |
|
| 3.46, nv (?), 09:43, 16/06/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Смешно такое читать на фоне того, как nvidia с капитализацией 3трлн $ не в состоянии нормально написать и протестировать драйвера и свой основной софт. Или MS c капиталиецией 2трлн $ постоянно сокращают топовых инженеров и в разработке софта делают упор на добавление фич, а стабильность уходит на второй план.
| | |
| |
| 4.54, serg (??), 10:46, 16/06/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
в копилку: скачайте и поставьте расширение в вбокс 7.1.10
Наркоманы на работе. Видимо теперь это норма.
| | |
| 4.60, User (??), 11:31, 16/06/2025 [^] [^^] [^^^] [ответить]
| +1 +/– |
Даже интересно, сколько из этой суммы они должны по вашему мнению потратить на реализацию хотелок 0 целых хрен десятых любителей nvidia лохматой версии на коре дуба от 0 хрен десятых любителей wayland'а на десктопе от аж целых 4х процентов пользователей? При том, что деньги они получают от крупных оем производителей (которым на эти хотелки тоже пофиг), а не от уаси-в-рассыпуху и вообще основной профит идёт не с этого рынка...
| | |
| |
| 5.62, Аноним (55), 12:52, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Это системная проблема. Можно было бы сказать, что невидевские карточки для виндузятников, если бы у них не горели разъёмы. А так, им всё равно - разъём сгорит или под вейлендом работать не будет.
С виндой аналогично - качество винды падает, но виндузятников как всегда волнует только процент вейленда на десктопе линуксоидов.
| | |
| |
| 6.71, User (??), 14:19, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
С тем, что в индустрии есть системная проблема, связанная с нелинейным характером зависимости сложности системы от размера кодовой базы в общем-то никто и не спорит.
Вопрос в том, сколько на решение частного случая проблемы 1,5% пользователей должна потратить компания, с учетом того, что эти 1,5% будут еще и "немножко вредить" своим штабле нонсенсом, ага.
| | |
| |
| 7.108, Аноним (55), 10:32, 17/06/2025 [^] [^^] [^^^] [ответить] | +/– | Будь зависимость линейна, прогресс давным давно бы остановился, так как новые ве... большой текст свёрнут, показать | | |
| |
| 8.118, User (??), 16:10, 17/06/2025 [^] [^^] [^^^] [ответить] | +/– | Ну Если бы земля была круглой - мы бы с неё падали - тоже вывод, в общем-т... текст свёрнут, показать | | |
|
|
|
|
| 4.81, Аноним (-), 18:02, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
> nvidia с капитализацией 3трлн $ не в состоянии нормально написать
> и протестировать драйвера и свой основной софт
Вот как раз потому что они не тратять время на всяких четырепроцентников - у них капитализация 3трлн$. Потому что нужно приавильно расставлять приоритеты.
> а стабильность уходит на второй план.
А им не нужна стабильность. Им нужно быть стабильнее чем конкуренты.
И пока они обгоняют дестопный линь с огромным отрывом)))
| | |
| 4.90, Аноним (89), 21:10, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> постоянно сокращают топовых инженеров
Топовых как раз не сокращают, инфа сотка. Под нож идёт балласт. Почему такая происходит очевидно. И нет, не потому что эффектиные менеджеры.
| | |
|
| 3.99, Аноним (99), 21:49, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>единственная надежда у поклонников проекта кде заключается в том, что Габен и ко. возьмут кодовую базу этой СРС под свой контроль, то есть под контроль программистов на зарплате
Нет, ненадо, такой "надежды" не питаю. Ненадо ничего выпиливать из интерфейса KDE. Меня, как пользователя KDE, больше устраивает то, как организована разработка у ний сейчас. Без погромистов на зарплате Габена.
| | |
|
|
| 1.5, oficsu (ok), 23:40, 15/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> в Konsole запускался "/bin/bash /proc/self/cwd/Downloads/evil"
Который непременно должен откуда-то лежать у пользователя, быть баш-скриптом и непременно должен реализовывать желаемое злоумышленником поведение по умолчанию (без параметров, ибо их туда передать нельзя)?
| | |
| |
| 2.9, Аноним (4), 23:49, 15/06/2025 [^] [^^] [^^^] [ответить]
| +5 +/– | |
/proc/self/cwd/Downloads/evil ссылается на файл, который браузер автоматически без согласия пользователя может загрузить, в том и проблема, что по дефолту Firefox и Chrome без спроса грузят и во всплывающем уведомлении показывают, что загрузили.
Раньше нужно было, чтобы пользователь хотя бы кликул на ссылку для начала загрузки, а сейчас из JavaScript достаточно вызвать метод click();
| | |
| |
| 3.12, Аноним (12), 00:17, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Справедливости ради, при открытии такой ссылки браузер предупреждает пользователя. Проверил сейчас на хромом и лисе.
| | |
|
|
| 1.13, Аноним (13), 00:29, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>В Firefox и Chrome при попытке перехода по ссылке "telnet://" по умолчанию будет выведен запрос для подтверждения операции у пользователя
И где уязвимость?
| | |
| |
| 2.15, oficsu (ok), 03:17, 16/06/2025 [^] [^^] [^^^] [ответить]
| +5 +/– |
В том месте, где браузером спрашивается подтверждение запуска telnet-обработчика, а Konsole вместо него запускает произвольный код
| | |
|
| 1.14, Аноним (14), 00:31, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
> удалить файл /usr/share/applications/ktelnetservice6.desktop
Если у вас подкроватный сервер, который перезагружается раз в год, то не забудьте что-то вроде:
$ sudo update-desktop-database
чтобы перестроить кеш обработчиков MIME типов
| | |
| 1.35, bdrbt (ok), 06:04, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
 Это конечно полный аллес. Нооо в сравнении с современными "привычками" для установки некоторого софта вроде:
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
Особой дичью не кажется.
| | |
| |
| 2.58, Аноним (55), 11:03, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Щито поделать, десу. Ну вот не хотят юзвери нормальный пакетный менеджер типа nix, хотят curl | sh
| | |
| |
| 3.72, Аноним (72), 14:23, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> не слишком окаменелой версии
тот дебиян еще не слишком релизнулся
> опять в дурных "привычках" виноваты другие?
ну таки на сайте раста так первым же делом написано, а они небезопасного не посоветуют и не сделают
| | |
| |
| 4.115, Аноним (64), 11:02, 17/06/2025 [^] [^^] [^^^] [ответить] | +/– |  И кто ж виноват, что дебиановцы такие слоупоки Э-э и что они должны там пре... большой текст свёрнут, показать | | |
|
| 3.88, Аноним (55), 21:00, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Оно есть только в нерелизнувшемся trixie. В стабильных релизах - нет.
| | |
|
| 2.91, Аноним (89), 21:12, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
И ты сейчас нам конечно же расскажешь, почему это плохо и опасно, а sudo apt install -y blah-blah-blah — хорошо и безопасно, да?
| | |
| |
| 3.94, bdrbt (ok), 21:23, 16/06/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
С чексуммами, патчами и конкретной версией, против стягивания хер пойми чего и откуда из интернетов с безоглядным запуском в шелл.
| | |
| |
| 4.110, Аноним (55), 10:36, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Я рекомендую всё же выходить из криокамеры, для того, чтобы иметь хотя бы какое-то представление о реальности. Заходим, например, на https://code.visualstudio.com/docs/setup/linux#_install-vs-code-on-linux
И там нас встречает sudo apt install ./<file>.deb
Никакими ни контрольными суммами, ни версиями, ничем даже и не пахнет. Это уже потом, после установки, деб пакет пропишет нормальный репозиторий, а сейчас, он ничем принципиально не отличается от curl | sh.
| | |
|
| 3.95, bdrbt (ok), 21:25, 16/06/2025 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> И ты сейчас нам конечно же расскажешь, почему это плохо и опасно, а sudo apt install -y blah-blah-blah — хорошо и безопасно, да?
Если тебе об этом надо говорить - тебе бесполезно об этом говорить.
| | |
|
|
| 1.37, Аноним (37), 07:02, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ] | +/– | У меня вопросы к автору подобных статей По какой причине в ссылках вот в этом п... большой текст свёрнут, показать | | |
| |
| |
| 3.52, Аноним (64), 10:38, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Во FreeBSD информация в портах обновляется с запозданием и самое оптимальное отслеживать
> исправления через https://www.vuxml.org/freebsd/
Учитывая, что для фри придется сначала пропатчить КДЕ^W procfs (вместо /proc/self там /proc/curproc, а /proc/*/cwd нет от слова совсем), то отслеживать можно будет долго ...
| | |
| |
| 4.63, Аноним (55), 12:54, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>вместо /proc/self там /proc/curproc
Фряха защищённее линукска на время произнесения фразы "ух ты, фряха!".
>а /proc/*/cwd нет от слова совсем
А что там есть?
| | |
| |
| 5.65, Аноним (64), 13:20, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
>>вместо /proc/self там /proc/curproc
> Фряха защищённее линукска на время произнесения фразы "ух ты, фряха!".
Конкретна эта уязвимость -- не затрагивает фрю не только "на время произнесения". Причем, вне зависимости от причин твоего припекания ...
>>а /proc/*/cwd нет от слова совсем
> А что там есть?
https://man.freebsd.org/cgi/man.cgi?query=procfs
| | |
| |
| 6.82, Ананимаз (?), 18:37, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
эта прокфс еще и не смонтирована по-умолчанию
впрочем проблемы в целом это не отменяет
| | |
| 6.120, Аноним (120), 23:12, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
процфс тут нужна, только? чтобы не гадать путь до хомяка. Если мы по каким либо причинам знаем логин юзера (или предполагаем его) то /home/$USER/Downloads/ даст 90% попадание, что в линуксе, что во фре. процфс конечно надёжнее. но при отсутствии гербовой можно писать и на обычной бумаге. тем более что никто же не запрещает сделать N или даже M попыток. В этом плане раньше в винде было хорошо, ни один иностранный хацкер не выговорит "Загрузки" ;) Но теперь там c:\users\$USER\Downloads во всех языках.
| | |
|
|
|
| 3.68, Аноним (37), 13:54, 16/06/2025 [^] [^^] [^^^] [ответить] | +/– | Спасибо за разъяснения Но всё же, почему не дать пояснение в новости, что вот с... большой текст свёрнут, показать | | |
| |
| |
| 5.98, Аноним (37), 21:49, 16/06/2025 [^] [^^] [^^^] [ответить] | +/– | gt оверквотинг удален Да, а ещё новость могут прочитать через неделю или через... большой текст свёрнут, показать | | |
|
|
|
| 2.105, oficsu (ok), 23:47, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Может, у этих дистрибутивов нет трекеров CVE и единственный способ отслеживать исправления — смотреть список изменений конкретных пакетов?
> По Арчу, не лучше картина кстати, там просто ссылка на пакет, никакого статус работы над уязвимостью в той ссылке нет
По той ссылке есть кнопочка "View Changes", откуда и можно узнать о факте исправления
| | |
|
| |
| |
| 3.48, Аноним (48), 10:00, 16/06/2025 [^] [^^] [^^^] [ответить]
| –3 +/– | |
>А ты все держишь оборону ?
Да. И очень эффективно с помощью NoScript, uMatrix, etc.
| | |
|
| 2.57, Аноним (55), 10:56, 16/06/2025 [^] [^^] [^^^] [ответить]
| +2 +/– |
При чём тут яваскрипт? Какое отношение консоль имеет к браузеру?
| | |
|
| 1.39, maximnik0 (?), 08:22, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Очень похоже на бэкдор.Т.к такая же уязвимость ещё 10 лет назад всплывала,так же устраняли .Неужели все комментарии с патчами потеряли и опять на те же грабли наступили- очень сомнительно.
| | |
| 1.42, Аноникл (?), 08:40, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
попробовал в фаерфоксе - вылез диалог сохранения файла. если нажать save то сохранится файл evil. Версия Konsole 25.04.2
| | |
| |
| 2.51, Аноним (4), 10:22, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Верните в настройках опцию "Always ask you where to save files" в значение по умолчанию и перестанет спрашивать.
| | |
| 2.69, Аноним (37), 14:00, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
> попробовал в фаерфоксе - вылез диалог сохранения файла. если нажать save то
> сохранится файл evil. Версия Konsole 25.04.2
Так там же в статье явно написано, что "Эксплуатации уязвимостей сопутствует то, что в конфигурации по умолчанию современные версии Firefox и Chrome автоматически сохраняют инициированные для загрузки файлы" т.е. русским по бежевому написано, что в КОНФИГУРАЦИИ ПО УМОЛЧАНИЮ, а по умолчанию они не спрашивают. Если у вас какие-то свои настройки, то вы - молодец и хороший мальчик, гордитесь собой, возьмите с полки пирожок!.. Хотя нет, не молодец, т.к. с внимательностью у вас беда, так что верните пирожок обратно!
| | |
|
| |
| 2.50, Аноним (50), 10:22, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Не удивлюсь, если эта уязвимость каждый мажорный релиз появляется и чинится, а то и не раз.
| | |
|
| 1.45, name (??), 09:28, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Это какой-то позор, господа. Баги уровня 80ых в 2025. Трудно поверить.
| | |
| |
| 2.73, Аноним (73), 14:49, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Просто кодеры не понимаю что все остальные не обязательно занимаются Компьютерами.
Когда они это поймут они будут делать для людей.
| | |
| |
| 3.93, Аноним (89), 21:16, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> Когда они это поймут они будут делать для людей.
Не поймут никогда. Пока менеджер не объяснит. Таков путь.
| | |
|
|
| 1.49, Аноним (49), 10:14, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
КДЕ-шные мудрённые поделки, например в LXTerminal такая шляпа невозможна by design.
| | |
| |
| 2.74, Аноним (73), 14:50, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
> КДЕ-шные мудрённые поделки, например в LXTerminal такая шляпа невозможна by design.
Чем более это сложное, тем прощще это ломается.
Тем больше там ошибок. Глюков.
| | |
| |
| |
| 4.109, Аноним (73), 10:34, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Наверное прощще, примерно как xfce прощще Kde, или как Lxqt, lxde, прощще Kde.
Думаю так.
Или как просмотрщик изображений прощще фотошоп.
| | |
|
|
| 2.107, Аноним (99), 08:19, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
Да там ещё много чего невозможно: и то невозможно, и это невозможно.
| | |
|
| 1.61, Аноним (61), 12:09, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Я не специалист по телнет и ssh. Но нет ли случайно такой возможности, чтобы сформировать команду, мол подключайся к локалхосту без авторизации и запускай эти команды?
| | |
| 1.77, myster (ok), 17:15, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
 Это уязвимость в веб-браузере тоже.
Вместо вопроса: "Allow this site to open the telnet link with KTelnetService?"
Веб-браузеры должны явно отображать команду, которую запускают: "Запускаю /usr/bin/konsole --noclose -e telnet /proc/self/cwd/Downloads/evil, вы согласны?"
| | |
| |
| 2.86, Аноним (55), 20:56, 16/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ещё один воен с браузерами.
>Запускаю /usr/bin/konsole --noclose -e telnet /proc/self/cwd/Downloads/evil, вы согласны?
Вам же в новости сказано, что команду запускает konsole а не браузер. Браузер лишь передаёт аргумент konsole, и ему совершенно не известно, как этот konsole этот код перекрутит. И будет там что-то вроде
konsole 'telnet:///proc/self/cwd/Downloads/evil'
Откуда браузеру знать, во что раскроется эта команда?
| | |
| |
| 3.103, myster (ok), 22:38, 16/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
> Браузер лишь передаёт аргумент konsole, и ему совершенно не известно
> ...
> Откуда браузеру знать, во что раскроется эта команда?
Ты реально думаешь, что браузер живой? надеюсь не под веществами пишешь.
Ты сам ответил себе же:
> И будет там что-то вроде
> konsole 'telnet:///proc/self/cwd/Downloads/evil'
это и есть мой посыл, вместо сообщения "Я сейчас открою неведомую шнягу, хотите?", браузеры должны писать "Я сейчас передам вот такие параметры командной строки ... хотите?".
| | |
| |
| 4.111, Аноним (55), 10:43, 17/06/2025 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>это и есть мой посыл
Какой посыл? Проблема не в открытии сторонних программ, проблема в обработке этими программами своих аргументов.
>Я сейчас открою неведомую шнягу, хотите?
Konsole - неведомая программа?
>Ты реально думаешь, что браузер живой?
Даже неживой браузер должен вывести какую-то строку. Нет абсолютно никакого смысла задалбывать пользователя сообщениями. У них и так уже банерная слепота развивается.
>браузеры должны писать "Я сейчас передам вот такие параметры командной строки
А вы уверены, что konsole запускается напрямую браузером? Скорее всего, между браузером и konsole есть как минимум одна абстракция.
| | |
| |
| 5.119, myster (ok), 18:20, 17/06/2025 [^] [^^] [^^^] [ответить]
| +/– |
не важно что там есть, читаем код, который приводит к сообщению "Allow this site to open the telnet link with KTelnetService?":
'''
setTimeout(() => {
window.location.href = "telnet:///proc/self/cwd/Downloads/evil";
}, 1000);
'''
так почему в сообщении браузер нам пишет отсебятину, когда должен писать про "proc/self/cwd/Downloads/evil". Это уязвимость, т.к. браузер пишет отсебятину.
В данном случае не важно, что в системе или в настройках браузера ассоциировано с telnet протоколом, браузер во всех случаях должен отображать явно то, что собирается запустить, а не то, что по мнениюю кого-то из разработчиков веб-браузера уместно. Эти разработчики неправы.
| | |
|
|
|
|
| 1.83, Syndrome (ok), 18:52, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Сомнительную функцию можно отключить в файрфоксе через настройку
network.protocol-handler.external-default = false
| | |
| 1.84, Аноним (85), 19:36, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Ещё одно подтвержение того, что кедо поклонникам надо юзать дубовое и безбэкдорное LXQt, ведь там нет всяких свистопрделок, а значит и CVE меньше в десятки раз!
| | |
| 1.96, Аноним (99), 21:42, 16/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
"Always ask you where to save files" это одна из первых настроек, что я делаю в любом браузере.
| | |
| 1.113, fidoman (ok), 10:49, 17/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 bash да, отличная замена для ssh.
В каких головах такие технические решения рождаются?
Просто чтобы не заморачиваться с сообщением об ошибке пользователю что ли?
| | |
| 1.121, Аноним (121), 08:47, 18/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Не работает, Konsole 24.08.1. Упорно вылетает окошко portal "Choose an application to open 'rlogin'", в /tmp ничего нового не появляется..
| | |
| 1.127, Соль земли2 (?), 13:33, 19/06/2025 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
У меня браузер сто лет уже по умолчанию спрашивает, что делать с файлом. Я ещё тогда подумал "Зачем? И так понятно, что хочу скачать.". Теперь понял зачем.
| | |
| |
| 2.128, Соль земли2 (?), 13:37, 19/06/2025 [^] [^^] [^^^] [ответить]
| +/– | |
Но вообще бывало, что сайты без спросу могут пытаться начать что-то скачивать. Поэтому форма с запросом действия - этакий блокировщик.
Ещё я создаю в Firefox второй пустой профиль, только чтобы при запуска Firefox всегда выводил окно с выбором профиля, а не открывал сайт по запросу какой-то программы.
| | |
|
|
