Linux, falle critiche del kernel pubblicate senza patch: i manutentori protestano

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...no_161042.html

Trend Micro ha inviato per errore alla mailing list pubblica del kernel Linux cinque segnalazioni di vulnerabilità: due riguardano KSMBD, con CVSS 9.0 e rischio di esecuzione di codice da remoto, ancora senza patch in mainline né un CVE assegnato

Click sul link per visualizzare la notizia.

[Fantapollo]

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

[Saturn]

Originariamente inviato da Fantapollo

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Niente è "sicuro".

Detta in parole povere, come l'utilizzano per rivoltare stile pedalino le PS5, l'utilizzano allo stesso modo per scoprire le vulnerabilità di un kernel.

Ora comincia il divertimento !

[pengfei]

Originariamente inviato da Fantapollo

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

E per certi versi il closed source non esiste più, visto che a quanto dicono l'AI fa un ottimo lavoro nel decompilare, ricostruendo un codice sorgente di buona leggibilità

[supertigrotto]

Originariamente inviato da Saturn

Niente è "sicuro".

Detta in parole povere, come l'utilizzano per rivoltare stile pedalino le PS5, l'utilizzano allo stesso modo per scoprire le vulnerabilità di un kernel.

Ora comincia il divertimento !

Devo darti contro,qualcosa di sicuro c'è:
se mangi una piana/insalatiera di fagioli alla veneta o con la cotica,i gas che sprigioni ti bastano per fare il pieno alla panda a metano per una settimana!

[supertigrotto]

Originariamente inviato da pengfei

E per certi versi il closed source non esiste più, visto che a quanto dicono l'AI fa un ottimo lavoro nel decompilare, ricostruendo un codice sorgente di buona leggibilità

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce

[Mo42]

Originariamente inviato da supertigrotto

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce

Tecnicamente, esiste ancora un potente metodo per far sì che i software "closed source" restino al sicuro da decompilazioni, ma mettere mano al codice una volta che ne esistono già versioni non protette è pressoché inutile.

[ARSENIO_LUPEN]

Originariamente inviato da supertigrotto

Tanto riescono a bucare il closed quanto l'open.
L'unica cosa è che con l'open,accorgersi di falle è più veloce

Teoricamente il vantaggio del closed è quello di nascondere alla concorrenza come ho fatto a raggiungere quel risultato e cerco così di proteggerlo, succede un po' per tutto.
Con l'IA, riesco a risalire molto più velocemente al tuo ragionamento e di perdere tutto il vantaggio costruito.

Con l'open è tutto sotto gli occhi di tutti, sia buoni che cattivi, quindi come puoi trovare le falle, possono anche essere corrette allo stesso modo.
In questo caso il tuo lavoro non si basa sul vantaggio, ma sui servizi e assistenza che offri

[Doraneko]

Originariamente inviato da Fantapollo

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Hai detto una cavolata stamattina e qui l'hai ripetuta.

[dirac_sea]

Originariamente inviato da Fantapollo

L'ho scritto stamattina :
in quest'era oscura governata dall'IA l'opensource non è sicuro.

Confermo quanto detto.

Affermare più volte qualcosa di fasullo e strampalato non lo fa diventare vero... anche se in effetti qualche allocco (a partire da chi lo dice) potrebbe convincersene.

[destroyer85]

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

[Fantapollo]

Originariamente inviato da destroyer85

non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
...
non se ne accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.

Esattamente

Ora sono arrivate le IA a controllare il codice open... e c'è da divertirsi...

[marcram]

Originariamente inviato da destroyer85

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

Falso.
L'opensource non è "intrinsecamente" più sicuro.
L'opensource ti dà tutti gli strumenti per far sì che sia più sicuro, e conseguentemente è più probabile che sia più sicuro.
E' probabile che più gente terza, o sistemi automatici, abbiano controllato il codice, e se c'è una falla evidente venga resa pubblica (a volte direttamente dai denigratori stessi...)

Il closed source, invece, non ti dà nessuna possibilità di controllarlo, lo hanno controllato solo i pochi sviluppatori che lo hanno scritto.
E gli stessi sviluppatori hanno la possibilità di inserire codice a loro favore, che gli altri non sono in grado di vedere.
Altri soggetti terzi non hanno la possibilità di controllarlo.
Fatta eccezione per i malintenzionati, che per vie traverse o con lavoro intenso, hanno scoperto le falle che usano a proprio vantaggio...

Open non è automaticamente più sicuro di closed.
Ma è più probabile che lo sia.

[mmorselli]

Originariamente inviato da destroyer85

Tutti queste falle invece provano che non è vero quello che tutti professano da anni, ovvero che l'open-source è intrisecamente più sicuro.
La falla di PHP era lì da più di 10 anni e fino all'avvento dell'IA non se n'è accorto nessuno perché, a differenza di quello che vogliono farci credere, nessuno controlla il codice tranne chi lo scrive, nonostante sia open.
E se qualcuno lo verifica non è detto che lo faccia con le migliori intenzioni.

Come non è stata trovata questa, tante altre però sono state trovate, dare un giudizio prendendo il caso negativo è cherry picking. Tra l'altro stiamo parlando comunque di una falla che è stata scoperta da un ricercatore prima che dagli hacker. Certo, ora c'è l'AI che rende questo processo più semplice, ben venga, soprattutto se i modelli più forti in cybersecurity sono a disposizione di ricercatori e fondazioni riconosciute e non degli hacker che devono arrangiarsi con modelli open abliterated (pratica che penalizza sempre un po' il modello)

[Lexan]

È gia arrivato il sarcastico con la faccina sorridente a dire che sarà l'anno di Linux?
Falle o meno, ma quando prendete un aereo i monitor che vedete sopra la vostra testa hanno tutti dentro Linux.
Vai in posta e all'INPS, e i totem informativi lavorano sotto linux.
Dove conta davvero qualcosa, c'è sempre Linux in mezzo.

[Fantapollo]

Originariamente inviato da marcram

L'opensource ti dà tutti gli strumenti per far sì che sia più sicuro, e conseguentemente è più probabile che sia più sicuro

Variante: l'opensource ti da' tutti gli strumenti per far sì che sia più bucato,
e conseguentemente è più probabile che sia più bucato

[omerook]

Originariamente inviato da Fantapollo

Esattamente

Ora sono arrivate le IA a controllare il codice open... e c'è da divertirsi...

Invece con il closed dici che ci si annoia?

[Fantapollo]

Originariamente inviato da omerook

Invece con il closed dici che ci si annoia?

Che noia gli opensource-boys che ti dicono che tra analizzare codice aperto e fare reverse engineering non cambi nulla...
Ne ho gia' incontrati diversi

[omerook]

Originariamente inviato da Fantapollo

Che noia gli opensource-boys che ti dicono che tra analizzare codice aperto e fare reverse engineering non cambi nulla...
Ne ho gia' incontrati diversi

ma le leggi le notizie ultimamente? Stanno aprendo di tutto e di più, Denuvo aperto come una cozza non ti dice niente?

[destroyer85]

Mi state dicendo che il "linux intrisecamente più sicuro perché trasparente" (concetto quindi allargabile a tutti gli open-source) è una mia allucinazione e se cerco sull'internèt non trovo sedicenti esperti di sicurezza che affermano ciò?

Non è cherry picking perché non è la prima volta e ci sono diversi esempi nella storia di sfondoni nel codice rimasti lì per anni; ma è normale, nel mondo reale non esiste che uno si metta a verificare il codice scritto da qualcun altro, per quello ci sono i SAST ed ora i controlli con l'IA.