Критическая уязвимость сразу во всех браузерах

[slant]

Не по теме

Кому интересно про пароли, начните отсюда: /etc/passwd
Подлежит уточнению лишь то, что в /etc/passwd даже подстановка верного хеша вместо x или * во втором поле ни на что не повлияет в современной системе - она просто туда не смотрит, а само поле - дань исторической совместимости.

[ilikethat]

slant, да что же Вы все прицепились к этому /etc/passwd ???
Это просто пример как через дыру Dirty Pipe можно изменить файл под правами Root!
Точно так же можно поменять /etc/sudoers к примеру и запускать свои скрипты с правами админа.

А что касается самой уязвимости - во первых у темы "желтый" заголовок. Уязвимы не броузеры, а библиотека. Почему тогда лишь про броузеры кричать? Эту библиотеку используют не только они.
Во вторых, т.к. Google не раскрывает подробности, и описания механизма использования уязвимости нету (или ткните меня носом - не нашел) - нельзя достоверно говорить об уровне опасности.

А не приходит в голову, что там настолько все просто, что опубликование методики взлома через libwebp приведет к печальным последствиям?
Не убедили, либу обновил.

[symon2014]

прицепились к этому /etc/passwd ???

Там вообще нет паролей. Там только разрешения для них.

[ilikethat]

symon2014, ну так, это в Ubuntu like системах. А в других?

[symon2014]

А в других?

Они достаточно однотипны.

[rogoznik]

А в других?

Вот так в Manjaro

[slant]

slant, да что же Вы все прицепились к этому /etc/passwd ???

Я прицепился к цитате из "хакера".

Это просто пример как через дыру Dirty Pipe можно изменить файл под правами Root!

Как бы, доверия к ТАКОМУ источнику у меня не очень... Потому и разложил детально, в качестве аргумента.

А не приходит в голову, что там настолько все просто, что опубликование методики взлома через libwebp приведет к печальным последствиям?

1. CVE уже закрыта, и достаточно давно, обновления повыходили.
2. К печальным последствиям намного чаще приводят попытки скрыть подробности.

Не убедили, либу обновил.

Правильно сделал. Я ж тут не про само наличие дырки, а лишь про ее оценку конкретными изданиями.

symon2014, ну так, это в Ubuntu like системах. А в других?

Это сейчас в 99% систем. "Пароли не в /etc/passwd" - настолько же базовое понятие, как то, что дом нужно строить на фундаменте, а не на песке.