Vulnerabilità critica su Glibc mette a rischio sistemi Linux: rilasciato il fix

[GTKM]

Originariamente inviato da Bellaz89

Mah, spesso il problema risiede nel fatto che rileggere il codice in maniera approfondita e' faticoso in generale e certi difetti non si trovano perche' e' difficile vederli se non si ha idea di cosa andare a cercare. I bug, soprattutto sul codice 'maturo' sono abbastanza nascosti e non e' detto che si palesino anche dopo un'attenta analisi, e questo e' vero in generale per tutti i software.

Fatto sta che questo bug e' stato scoperto dalla community ovvero Google e RedHat, e come al solito la patch e' arrivata molto velocemente. HeartBleed ha avuto un decorso simile.

Strapparsi i capelli e puntare il dito per un bug che e' stato scoperto a dopo un'analisi del codice e non a seguito di attacchi/virus mi sembra eccessivo. Soprattutto se, come spesso avviene in linux, non si ha una 'one point security'

Poi oh, se uno si scandalizza per un bug trovato dopo anni, si scandalizza per l'acqua calda, per un fatto naturale dello sviluppo del software.

Mi trovi d'accordo, il punto è che nessun software è esente da bug, e che in un programma scritto "male" è ancora più difficile trovarli.

Detto ciò, a me interessa ribattere a chi dà ad uno strumento (C/C++) responsabilità che sono esclusivamente del programmatore.
Durante il corso su C, all'università, il nostro docente ci fece scrivere le "nostre" funzioni sulla gestione delle stringhe, prima di usare quelle fornite dalla libreria e ricordo bene come uno dei punti cruciali fosse la verifica tra il numero di caratteri inseriti e la dimensione dell'array, oltre al dover inserire il classico '\0'. Oh, stiamo parlando del primo semestre al primo anno di università.

Non c'è nulla di male nel non volersi sporcare le mani con gestione della memoria, o le stringhe (gestite "alla C"), e quant'altro: basta semplicemente cambiare ambito, e non attaccare il linguaggio per una propria carenza. Tra l'altro, alcuni parlano come se solo GNU/Linux usasse questi strumenti, come se il kernel di Windows fosse scritto in C#, o quello di Mac OS X...

[cdimauro]

Anche i programmatori più scafati commettono errori. Se dovessimo pretendere che per usare un certo linguaggio non si dovrebbero generare errori come quelli citati, allora potremmo chiudere tutti baracca e burattini.

Per quanta attenzione, verifiche, e test si possano fare, qualche errore può sempre scappare. E con linguaggi come il C, significa avere spesso a che fare con bug intermittenti, use-after-free, memory leak, etc.: roba da mal di testa nonché "sana" disperazione.

E' per questi motivi che sono state realizzate delle tecnologie che aiutino, in hardware (e dunque molto più velocemente dei controlli generati da compilatori), a individuare qualcuno di questi casi. Intel ha presentato MPX già da tempo, mentre un paio di mesi fa Oracle ha mostrato la sua tecnologia di memory access protection.

Riguardo ai compilatori scritti nello stesso linguaggio: FreePascal e PyPy.