НС
Size: a a a
2019 April 03
НС
> On March 26, 2019, a malicious version of the popular bootstrap-sass package, that has been downloaded a total of 28 million times to date, was published to the official RubyGems repository. Version 3.2.0.3 includes a stealthy backdoor that gives attackers remote command execution on server-side Rails applications.
НС
За что sass в продакшне
2019 April 04
ҪҸ
НС
> open-source development model, while security fixes are immediately visible in the source tree
Стоп, что? Это правда?
Стоп, что? Это правда?
ҪҸ
сафари фтв
НС
А почему они не делают секьюрити фиксы приватными в отдельной ветке до релиза?
НС
У ноды есть nodejs-private, например
ҪҸ
¯\_(ツ)_/¯
ҪҸ
вообще там написано, что фиксы в приватных репах, но из-за того, что релиз v8 случается раньше, то вот так
ҪҸ
точнее не релиз, а патч с исправлением
ҪҸ
и вот эти исправления можно найти
ҪҸ
выходит, с нодой та же проблема
ҪҸ
беда
НС
выходит, с нодой та же проблема
Какая именно? Про v8?
ҪҸ
да. если видно что пофикшено в в8, то вероятно можно применить эксплоит к ноде
NK
Да, в такие моменты начинаешь посматривать на deno. У которого всегда актуальная v8 стоит + зарестрикчены I/O и сеть по-умолчянию
DE
