Re: LDAP

2018-04-18 Пенетрантность Artem Chuprina 
Victor Wagner -> debian-russian@lists.debian.org  @ Thu, 19 Apr 2018 07:03:06 
+0300:

 >>  > Собственный CA имеет смысл, вроде.
 >>  > Вопрос только в том, насколько сложно (LDAP тоже казался простым,
 >>  > но свои особенности у каждого сервиса сожрали уйму времени)?  
 >> 
 >> В свое время в сети гуглился документ SSL Certificates Howto. Там было
 >> довольно грамотно расписано.

 > Устарело оно лет на двадцать. Осталось на уровне X509v1.
 >  
 >> Сейчас в дистрибутиве есть пакет easy-rsa, им любит OpenVPN
 >> пользоваться.  Это сделанный по тому рецепту комплект скриптов для
 >> своего CA.

 > Вот у нас тоже им пользовались. Коропоративная локалка, примерно 30
 > пользователей. VPN, LDAP, десяток-другой внутренних веб-сервисов.

 > Возникла необходимость поднять парочку Name-based https-хостов на одной
 > машина и ап.. А где SubjectAlternativeName? А не умеет его easy_rsa.
 > Вообще никаких extension не умеет.
 >  
 >> Чтобы им адекватно пользоваться, крайне желательно уже иметь понимание
 >> устройства PKI по схеме X509 (в PGP, например, схема другая). В
 >> упомянутом Howto изложение, помнится, было.

 > Ага было. На уровне  RFC 2459, принятого в прошлом веке.
 > А сейчас немножко даже 3280 уже неактуально. Надо пользоваться 5280 и
 > то с оглядкой на 6818.

 > Может это, тряхнем стариной, да и напишем ремейк easy_rsa, но с учетом
 > современных реалий. Чтобы и X509v3 умело, и эллиптические кривые
 > понимало, причем не только в виде ECDSA.

 > А Шаплова заставим новый Certificates HOWTO написать.

Палка о двух концах. В easy_rsa ключевое слово - easy. Мы сумеем
добавить туда новые возможности, не потеряв в простоте применения для
простых случаев?

И кстати, оглядываясь на смартфоны и планшеты - у них ведь снова чаще
чем у каждого второго асимметричный алгоритм "может быть любым, если это
RSA". И генерировать сертификат на эллиптических кривых - нарываться на
то, что смартфонное приложение этого не поймет.

Re: [DONE] wml://security/2018/dsa-4171.wml

2018-04-18 Пенетрантность Gali Anikina 
В Чт, 19/04/2018 в 07:32 +0300, Gali Anikina пишет:
> В Ср, 18/04/2018 в 13:45 +0300, Алексей Шилин пишет:
> > В письме от среда, 18 апреля 2018 г. 10:42:49 MSK пользователь Gali
> > Anikina 
> > написал:
> > > > +их фрагментов, позволяет не разрешённым явно атрибутам
> > > > оставаться в
> > > > очищенных
> > > 
> > > Может быть "неразрешённым" ?
> > 
> > Здесь присутствует зависимое слово, поэтому пишется раздельно.
> 
> 
> 
> Ничего не имею против сути изложенного, просто насколько я помню
> прилагательные пишутся с частицей "не" слитно - незарегистрированный,
> неизвестный 



Напрягла "извилины" и вспомнила - если между частицей "не" и
прилагательным можно вставить ещё слово - например "не очень высокий",
то пишется раздельно.

Re: Перевод "Руководства сопровождающего Debian"

2018-04-18 Пенетрантность Gali Anikina 
В Сб, 14/04/2018 в 19:12 +0500, Lev Lamberov пишет:
> Добрый день!
> 
> Только что закончил работу над черновиком нового перевода, это
> перевод
> "Руководства сопровождающего Debian" (Guide for Debian Maintainers)
> [debmake]. Как указано в начале, этот документ предполагается в
> качестве
> замены "Руководства нового сопровождающего".
> 
> [debmake] https://www.debian.org/doc/manuals/debmake-doc/
> 



> Ещё у меня возникли затруднения с переводом термина triplet.
> Например:
> 
> #. (itstool) path: listitem/simpara
> #: debmake-doc.en.xml:4010
> msgid ""
> "Debian ships shared library such as  role=\"strong\">/usr/lib/"
> "triplet/libfoo-0.1 role=\"strong"
> "\">.so.1.0.0 (see  linkend=\"multiarch"
> "\"/>)."
> msgstr ""
> "Debian поставляет разделяемые библиотеки в виде  role=\"strong\">/"
> "usr/lib/тройка/libfoo-
> 0.1 "role=\"strong\">.so.1.0.0 (см.  linkend="
> "\"multiarch\"/>)."
> 
> Под значением triplet (пока перевёл как "тройка") имеются в виду
> строки
> из трёх элементов, определяющие архитектуру (например,
> x86_64-linux-gnu). Пока я не придумал, как это лучше перевести.
> Поэтому
> даже если вы не планируете участвовать в вычитке, то может быт
> подскажите что-то по этому поводу.
> 



Триада не подойдёт?
Это не из области мафий, а из области геометрии- квадро- и тд. (надо
покопаться в терминах 3-D фигур в геометрии). В геометрии эти приставки
были заимствованы из латинского вроде.  
А из области религий- троица

Re: [DONE] wml://security/2018/dsa-4171.wml

2018-04-18 Пенетрантность Gali Anikina 
В Ср, 18/04/2018 в 13:45 +0300, Алексей Шилин пишет:
> В письме от среда, 18 апреля 2018 г. 10:42:49 MSK пользователь Gali
> Anikina 
> написал:
> > > +их фрагментов, позволяет не разрешённым явно атрибутам
> > > оставаться в
> > > очищенных
> > 
> > Может быть "неразрешённым" ?
> 
> Здесь присутствует зависимое слово, поэтому пишется раздельно.



Ничего не имею против сути изложенного, просто насколько я помню
прилагательные пишутся с частицей "не" слитно - незарегистрированный,
неизвестный (при этом я не пользовалась интернет-источниками, а
руководствовалась знаниями, полученными в школе). Поэтому - в таких
случаях - если сомневаешься - лучше перефразировать выражение (так
ранее учили в школе - если сомневаешься как пишется то или иное слово -
лучше выразить её другими словами). А вопрос поставила ("неразрешённым"
?) именно потому, чтобы обратить внимание пишущего - что здесь надо
что-то сделать: или написать неразрешённый слитно или переизложить
мысль по другому.

Re: [DONE] wml://security/2018/dsa-4175.wml

2018-04-18 Пенетрантность Gali Anikina 
В Ср, 18/04/2018 в 15:10 +0500, Lev Lamberov пишет:
> --- ../../english/security/2018/dsa-4175.wml  2018-04-18
> 11:14:13.0 +0500
> +++ 2018/dsa-4175.wml 2018-04-18 15:09:38.800120452 +0500
> @@ -1,24 +1,24 @@
> -security update
> +#use wml::debian::translation-check translation="1.1" mindelta="1"
> maintainer="Lev Lamberov"
> +обновление безопасности
>  
> -Wojciech Regula discovered an XML External Entity vulnerability
> in the
> -XML Parser of the mindmap loader in freeplane, a Java program for
> -working with mind maps, resulting in potential information
> disclosure if
> -a malicious mind map file is opened.
> +Войцех Регуля обнаружил уязвимость внешней сущности в коде для
> выполнения
> +грамматического разбора XML в загрузчике mindmap из freeplane,
> программы на языке
> +Java для работы с интеллект-картами, которая приводит к
> потенциальному раскрытию информации
> +в случае открытия специально сформированного файла с интеллект-
> картой.
>  

"уязвимость внешней сущности" - это как?

Можно изложить мысль по другому - внешние обстоятельства, внешние
программы, внешний программный код и тд?

Re: LDAP

2018-04-18 Пенетрантность Victor Wagner 
В Wed, 18 Apr 2018 23:09:45 +0300
Artem Chuprina  пишет:

> artiom -> debian-russian@lists.debian.org  @ Wed, 18 Apr 2018
> 22:46:27 +0300:
> 
>  > Собственный CA имеет смысл, вроде.
>  > Вопрос только в том, насколько сложно (LDAP тоже казался простым,
>  > но свои особенности у каждого сервиса сожрали уйму времени)?  
> 
> В свое время в сети гуглился документ SSL Certificates Howto. Там было
> довольно грамотно расписано.

Устарело оно лет на двадцать. Осталось на уровне X509v1.
 
> Сейчас в дистрибутиве есть пакет easy-rsa, им любит OpenVPN
> пользоваться.  Это сделанный по тому рецепту комплект скриптов для
> своего CA.

Вот у нас тоже им пользовались. Коропоративная локалка, примерно 30
пользователей. VPN, LDAP, десяток-другой внутренних веб-сервисов.

Возникла необходимость поднять парочку Name-based https-хостов на одной
машина и ап.. А где SubjectAlternativeName? А не умеет его easy_rsa.
Вообще никаких extension не умеет.
 
> Чтобы им адекватно пользоваться, крайне желательно уже иметь понимание
> устройства PKI по схеме X509 (в PGP, например, схема другая). В
> упомянутом Howto изложение, помнится, было.

Ага было. На уровне  RFC 2459, принятого в прошлом веке.
А сейчас немножко даже 3280 уже неактуально. Надо пользоваться 5280 и
то с оглядкой на 6818.

Может это, тряхнем стариной, да и напишем ремейк easy_rsa, но с учетом
современных реалий. Чтобы и X509v3 умело, и эллиптические кривые
понимало, причем не только в виде ECDSA.

А Шаплова заставим новый Certificates HOWTO написать.
-- 
   Victor Wagner

Re: Системы управления сервером?

2018-04-18 Пенетрантность artiom 
>  >> На практике тесты для того и существуют, чтобы баги их ломали. Один фиг,
>  >> если тест сломался, то багу надо чинить. Если бага сломала сразу много
>  >> тестов, починка приоритетна, и все дела.
>  >> 
>  > Ладно, умолчу про тех, кто "чинит" тесты в таком случае.
>  > Такие тоже бывали.
>  > Но очень редко тестовое покрытие полное.
> 
> Практически никогда. Но требуется не полнота, а хорошая вероятность
> вылавливания баги раньше, чем на нее наступит заказчик.
> 
Что обеспечивается полнотой...

>  >>  >>  > Да, с прерываниями. Но сложно постоянно концентрироваться на ревью 
> и
>  >>  >>  > ждать ответов автора (который в этом время уже над другим 
> работает), к
>  >>  >>  > тому же, ревьюверов бывает несколько.
>  >>  >> 
>  >>  >> Я про прерывания не процесса ревью, а про прерывания процесса своей
>  >>  >> работы необходимостью ревью.  Для ревью надо загрузить в голову 
> контекст
>  >>  >> той задачи, к которой относится просматриваемый код.  Он там неизбежно
>  >>  >> заменит контекст своей задачи.  После ревью придется снова грузить 
> свой.
>  >>  >> Это время, и в случае сложной задачи весьма изрядное.  От 15 минут до
>  >>  >> часа каждая перегрузка, а их тут две.
>  >>  > Ну час - это явный перебор.
>  >> 
>  >> Это значит, у тебя все задачи простые.
>  >> 
>  > Не сказал бы. Ревью компактные относительно. И, естественно, что я не
>  > вникаю в весь код: только в изменения.
> 
> То есть как раз неочевидные грабли, которые вносит изменение, ты
> пропустишь с вероятностью, близкой к 1.
> 
Частично. Но смотрят несколько человек. В общем-то спор ни о чём: ревью
помогает, но имеет свои минусы, это очевидно.

>  >>  > А отрыв на 15 минут - не критично: вы же не соревновательным
>  >>  > программированием занимаетесь, надеюсь?
>  >> 
>  >> Каждая перезагрузка. Каждое ревью. Плюс столько же потом вернуться в 
> контекст.
>  >> 
>  > Есть вечер, утро и обед, если не критично.
> 
> В обед надо обедать. И мозгом тоже. Иначе очень быстро огребешь гастрит.
> 
Надо...

>  >>  > Иногда вообще полезно от задачи оторваться, бывает.
>  >> 
>  >> В моем опыте оторваться от задачи полезно, а вот заменять в голове ее
>  >> контекст контекстом другой задачи как раз вредно.  Ну да люди разные,
>  >> задачи тоже.
>  >> 
>  > Ну это возможно. Просто обычно на ревью "отдыхаешь". Хотя...
> 
> Во-во. Если делать его как следует, то нет, не отдыхаешь, а вовсе даже
> наоборот, очень интенсивно скрипишь мозгами.
> 
Обычно, после задач, проще.

>  >>  >> Вот тут уже сомнения.  Если сжатые сроки, то потеря в среднем получаса
>  >>  >> на каждое ревью...  Это какие же должны быть разработчики, чтобы оно
>  >>  >> окупалось?
>  >>  >> 
>  >>  > Запаренные.
>  >> 
>  >> Я не видел, чтоб окупалось.  Ревьюеры-то при этом - те же разработчики, и
>  >> точно так же запаренные.  Да еще надо ревью делать, что еще больше
>  >> запаривает...
>  >> 
>  >> В вышепоскипанном примере с байкой про Боинг как раз запаренности-то и
>  >> нет.  Там регламент устроен так, чтобы затормозить именно запарку.
>  >> 
>  > Ну хорошо Боингу, а когда "давай сократим срок до месяца, хотя можно
>  > делать шесть", а в реальности не помешало бы два, постоянно "атмосфера
>  > гонки" и ощущение того, что ничего не успеваешь.
> 
> На "давай сократим срок до месяца" я отвечаю "давай тогда делать работу
> будет тот, кто сделает ее за месяц".  Способствует просветлению.
> 
Пока не поспособствовало. На практике. Видимо, я не умею особо доходчиво
объяснять.
Впрочем, какая разница? Ну сократили, вылезли критичные ошибки, сроки
продлились.

>  >>  >>  >> Менталитет программиста тоже интернационален. С менталитетом 
> "кодера по
>  >>  >>  >> обезьяньей работе" хуже, но extreme programming - технология для
>  >>  >>  >> программистов.
>  >>  >>  >> 
>  >>  >>  > Ну что-то мне подсказывает, что русским и китайцам ужиться будет
>  >>  >>  > несколько сложно, и не для всех эта техника подходит.
>  >>  >> 
>  >>  >> А никто не утверждал, что для всех.  А вот русский с китайцем, скорее
>  >>  >> всего, в паре как раз неплохо уживутся.  Только роли будут не
>  >>  >> переменные, а ближе к постоянным.  Китаец кодит, русский следит и
>  >>  >> корректирует.  Характерного китайца не надо подгонять, зато надо
>  >>  >> своевременно тормозить и/или поворачивать.  Тогда он будет выдавать
>  >>  >> качественный продукт, а быстро он его и так будет выдавать.
>  >>  >> 
>  >>  > Что-то динамика развития Китая по отношению к РФ показывает: роли
>  >>  > меняются. :-/
>  >> 
>  >> Ой, да ладно...  Может, лет через несколько русский тут просто станет
>  >> лишним, но заменить китайца как работник...
>  >> 
>  > Я как-то уже писал: китайцы свою процессорную архитектуру отгрохали,
>  > реализовали на ней процессоры и построили из них самый быстрый в мире
>  > суперкомпьютер, обогнав США (сейчас, вроде Япония первая).
>  > Где здесь русский?
> 
> А я этого в оригинале не видел, и не знаю, насколько тыренная (вряд ли
> из России, скорее всего, из Штатов) та архитектура.  А типичный

Re: SAS hotswap и баг

2018-04-18 Пенетрантность Artem Chuprina 
artiom -> debian-russian@lists.debian.org  @ Wed, 18 Apr 2018 23:05:20 +0300:

 >> echo "- - -" >/sys/class/scsi_host/host/scan
 >> 
 >> не уверен, насколько набор команд актуален современным ядрам, давно с 
 >> дисками не возился.
 >> 
 > Попробовать могу, но разве хотсвоп не предполагает, что руками делать
 > ничего не надо?

Вообще говоря, нет. В смысле, при вылете да, предполагает, а вот при
вставлении у обоих вариантов (подхватить сразу и подождать явной
команды) есть свои плюсы и минусы.

Re: LDAP

2018-04-18 Пенетрантность Artem Chuprina 
artiom -> debian-russian@lists.debian.org  @ Wed, 18 Apr 2018 22:46:27 +0300:

 > Собственный CA имеет смысл, вроде.
 > Вопрос только в том, насколько сложно (LDAP тоже казался простым, но
 > свои особенности у каждого сервиса сожрали уйму времени)?

В свое время в сети гуглился документ SSL Certificates Howto. Там было
довольно грамотно расписано.

Сейчас в дистрибутиве есть пакет easy-rsa, им любит OpenVPN
пользоваться.  Это сделанный по тому рецепту комплект скриптов для
своего CA.

Чтобы им адекватно пользоваться, крайне желательно уже иметь понимание
устройства PKI по схеме X509 (в PGP, например, схема другая). В
упомянутом Howto изложение, помнится, было.

Re: SAS hotswap и баг

2018-04-18 Пенетрантность artiom 
> On 04/08/18 04:37, Артём Н. wrote:
>> Вытащил диск, вставил на место, но в /dev его не увидел.
>> Зато увидел вот это в dmesg:
>>
> а ты просто взял и вытащил диск? он был смонтирован?
> из системы его удалял, перед тем как вытащить?
> 
Да, просто взял и вытащил.
Это имитация поломки.
Хотел увидеть, как поведёт себя пул.

> echo 1 > /sys/block/sda/device/delete
> 
> не пробовал пересканировать шину после того как вставил обратно?
> 
Не пробовал.

> echo "- - -" >/sys/class/scsi_host/host/scan
> 
> не уверен, насколько набор команд актуален современным ядрам, давно с дисками 
> не возился.
> 
Попробовать могу, но разве хотсвоп не предполагает, что руками делать
ничего не надо?

Re: LDAP

2018-04-18 Пенетрантность artiom 


18.04.2018 14:14, Artem Chuprina пишет:
> artiom -> debian-russian@lists.debian.org  @ Tue, 17 Apr 2018 23:19:39 +0300:
> 
>  >>  >>> Да, аутентификация по сертификату есть, если вы купите у своего
>  >>  >>> провайдера белый IP-адрес, то вам не нужны самоподписанные 
> сертификаты,
>  >>  >>> можно использовать Let's Encrypt и разместить RADIUS-сервер на VPS. 
>  >>  >> 
>  >>  >> Вот тут добавлю, Let's Encrypt можно получить для динамического адреса
>  >>  >> используя сервис аля dyndns.
>  >>  >> 
>  >>  > Вот хотелось поподробнее про Let's Encrypt.
>  >>  > Эта идея сначала была, но загнулась, и теперь мои сертификаты
>  >>  > самоподписанные.
>  >>  > Я так понял, этот сервис подписывает сертификат, созданный на внешнее
>  >>  > доменное имя?
>  >> 
>  >> Да. 
>  >> 
>  >> Причем по этому имени должен быть доступен веб-сервер, и уметь отдать
>  >> сгенерированный по ходу операции подписи файл со случайным именем,
>  >> подписанный соответствующим ключом. И выдается такой сертификат на 3
>  >> месяца, так что рекомендуемая частота перевыпуска - раз в месяц.
>  >> 
>  > Вау. Это слишком часто. Если автоматом перевыпуск сделать нельзя.
> 
> Это автомат.
> 
>  >> Для локалки так себе решение.
>  > Ну тут не только локалка: фишка в том, что сервер наружу смотрит.
> 
> Тогда может иметь смысл. А может не иметь. Я для своих целей (набор
> exim'ов, OpenVPN) пользуюсь своим CA, там CA, известный браузерам из
> коробки, совершенно ни к чему.
> 
LE смысла не имеет: у меня не паблик и список пользователей жёстко
ограничен.
Собственный CA имеет смысл, вроде.
Вопрос только в том, насколько сложно (LDAP тоже казался простым, но
свои особенности у каждого сервиса сожрали уйму времени)?

Re: [DONE] wml://security/2018/dsa-4172.wml

2018-04-18 Пенетрантность Lev Lamberov 
Ср 18 апр 2018 @ 14:04 Алексей Шилин :

> В письме от среда, 18 апреля 2018 г. 14:23:46 MSK пользователь Lev Lamberov 
> написал:
>> Ср 18 апр 2018 @ 10:51 Gali Anikina :
>> 
>> 
>> > В Сб, 14/04/2018 в 23:05 +0500, Lev Lamberov пишет:
>> > 
>> >> --- ../../english/security/2018/dsa-4172.wml  2018-04-14
>> >> 21:01:09.0 +0500
>> >> +++ 2018/dsa-4172.wml 2018-04-14 23:05:25.942361285 +0500
>> >> @@ -1,44 +1,47 @@
>> >> -security update
>> >> +#use wml::debian::translation-check translation="1.1" mindelta="1"
>> >> +обновление безопасности
>> >>  
>> >> -Multiple vulnerabilities were discovered in the implementation of
>> >> the
>> >> -Perl programming language. The Common Vulnerabilities and Exposures
>> >> -project identifies the following problems:
>> >> +В реализации языка программирования Perl были обнаружены
>> >> многочисленные
>> >> +уязвимости. Проект Common Vulnerabilities and Exposures
>> >> +определяет следующие проблемы:
>> >>  
>> >>  
>> >>  
>> >>  https://security-tracker.debian.org/tracker/CVE-2018-67
>> >> 97">CVE-2018-6797;
>> >>  
>> >> -Brian Carpenter reported that a crafted regular expression
>> >> -could cause a heap buffer write overflow, with control over the
>> >> -bytes written.
>> >> +Брайан Карпентер сообщил, что специально сформированное
>> >> регулярное выражение
>> >> +может вызывать переполнение динамической памяти с записью,
>> >> причём записываемые байты
>> >> +могут контролироваться злоумышленником.
>> >>  
>> >
>> >
>> >
>> > "с записью" - это имеется в виду "с возможностью записи в неё"?
>> 
>> 
>> Насколько я понимаю, тут имеется в виду буфер записи
>> [https://en.wikipedia.org/wiki/Write_buffer]. Честно сказать, не знаю,
>> как тут корректно сформулировать. Может быть "переполнение кучи в буфере
>> записи"?
>
> Если зайти непосредственно на описание CVE [1], то там написано иначе:
>
>> A crafted regular expression can cause a heap-based buffer overflow, with
>> control over the bytes written.
>
> Имеется в виду переполнение буфера при записи в него, т.е. возможность записи 
> за его границами.

Тут изменил на "при записи в него".

>  [1] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6797
>
>> >>  https://security-tracker.debian.org/tracker/CVE-2018-> >> 
>> >> 6798">CVE-2018-6798;
>> >>  
>> >> -Nguyen Duc Manh reported that matching a crafted locale
>> >> dependent
>> >> -regular expression could cause a heap buffer read overflow and
>> >> -potentially information disclosure.
>> >> +Нгуиен Дук Ман сообщил, что сравнение с зависящим от локали
>> >> регулярным
>> >> +выражением может вызвать переполнение динамической памяти с
>> >> чтением и
>> >> +потенциальное раскрытие информации.
>
> А здесь - чтение за границами буфера.

А тут -- "при чтении из него".

Re: [DONE] wml://security/2018/dsa-4172.wml

2018-04-18 Пенетрантность Алексей Шилин 
В письме от среда, 18 апреля 2018 г. 14:23:46 MSK пользователь Lev Lamberov 
написал:
> Ср 18 апр 2018 @ 10:51 Gali Anikina :
> 
> 
> > В Сб, 14/04/2018 в 23:05 +0500, Lev Lamberov пишет:
> > 
> >> --- ../../english/security/2018/dsa-4172.wml   2018-04-14
> >> 21:01:09.0 +0500
> >> +++ 2018/dsa-4172.wml  2018-04-14 23:05:25.942361285 +0500
> >> @@ -1,44 +1,47 @@
> >> -security update
> >> +#use wml::debian::translation-check translation="1.1" mindelta="1"
> >> +обновление безопасности
> >>  
> >> -Multiple vulnerabilities were discovered in the implementation of
> >> the
> >> -Perl programming language. The Common Vulnerabilities and Exposures
> >> -project identifies the following problems:
> >> +В реализации языка программирования Perl были обнаружены
> >> многочисленные
> >> +уязвимости. Проект Common Vulnerabilities and Exposures
> >> +определяет следующие проблемы:
> >>  
> >>  
> >>  
> >>  https://security-tracker.debian.org/tracker/CVE-2018-67
> >> 97">CVE-2018-6797;
> >>  
> >> -Brian Carpenter reported that a crafted regular expression
> >> -could cause a heap buffer write overflow, with control over the
> >> -bytes written.
> >> +Брайан Карпентер сообщил, что специально сформированное
> >> регулярное выражение
> >> +может вызывать переполнение динамической памяти с записью,
> >> причём записываемые байты
> >> +могут контролироваться злоумышленником.
> >>  
> >
> >
> >
> > "с записью" - это имеется в виду "с возможностью записи в неё"?
> 
> 
> Насколько я понимаю, тут имеется в виду буфер записи
> [https://en.wikipedia.org/wiki/Write_buffer]. Честно сказать, не знаю,
> как тут корректно сформулировать. Может быть "переполнение кучи в буфере
> записи"?

Если зайти непосредственно на описание CVE [1], то там написано иначе:

> A crafted regular expression can cause a heap-based buffer overflow, with
> control over the bytes written.

Имеется в виду переполнение буфера при записи в него, т.е. возможность записи 
за его границами.

 [1] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6797

> >>  https://security-tracker.debian.org/tracker/CVE-2018-> >> 
> >> 6798">CVE-2018-6798;
> >>  
> >> -Nguyen Duc Manh reported that matching a crafted locale
> >> dependent
> >> -regular expression could cause a heap buffer read overflow and
> >> -potentially information disclosure.
> >> +Нгуиен Дук Ман сообщил, что сравнение с зависящим от локали
> >> регулярным
> >> +выражением может вызвать переполнение динамической памяти с
> >> чтением и
> >> +потенциальное раскрытие информации.

А здесь - чтение за границами буфера.

Re: [DONE] wml://security/2018/dsa-4171.wml

2018-04-18 Пенетрантность Алексей Шилин 
В письме от среда, 18 апреля 2018 г. 10:42:49 MSK пользователь Gali Anikina 
написал:
> > +их фрагментов, позволяет не разрешённым явно атрибутам оставаться в
> > очищенных
> 
> Может быть "неразрешённым" ?

Здесь присутствует зависимое слово, поэтому пишется раздельно.

Re: [RFR] po://apt/po/ru.po

2018-04-18 Пенетрантность Алексей Шилин 
В письме от среда, 18 апреля 2018 г. 1:56:46 MSK пользователь Lev Lamberov 
написал:
> А в случае с архивами тогда что лучше выбрать "архивация" ("(за-)
> архивировать") - "разархивация" ("разархивировать") или как? Слово
> "разархивация" почти такое же странное (=непривычное) как "разжатие"…

"Разархивировать" употребляется достаточно часто, так что оно гораздо менее 
непривычно, чем "разжать". (Вероятно, потому что разделение на архиватор и 
компрессор практически отсутствует в массовой среде пользователей Windows.)

Но если "архивация" употребляется не в смысле "резервное копирование", я бы 
использовал как раз "упаковка"/"упаковать" - "распаковка"/"распаковать".

[DONE] wml://security/2018/dsa-4175.wml

2018-04-18 Пенетрантность Lev Lamberov 
-BEGIN PGP SIGNED MESSAGE-
Hash: SHA512

- --- ../../english/security/2018/dsa-4175.wml  2018-04-18 11:14:13.0 
+0500
+++ 2018/dsa-4175.wml   2018-04-18 15:09:38.800120452 +0500
@@ -1,24 +1,24 @@
- -security update
+#use wml::debian::translation-check translation="1.1" mindelta="1" 
maintainer="Lev Lamberov"
+обновление 
безопасности
 
- -Wojciech Regula discovered an XML External Entity vulnerability in the
- -XML Parser of the mindmap loader in freeplane, a Java program for
- -working with mind maps, resulting in potential information disclosure if
- -a malicious mind map file is opened.
+Войцех Регуля обнаружил уязвимость 
внешней сущности в коде для выполнения
+грамматического разбора XML в загрузчике 
mindmap из freeplane, программы на языке
+Java для работы с интеллект-картами, которая 
приводит к потенциальному раскрытию 
информации
+в случае открытия специально 
сформированного файла с 
интеллект-картой.
 
- -For the oldstable distribution (jessie), this problem has been fixed
- -in version 1.3.12-1+deb8u1.
+В предыдущем стабильном выпуске (jessie) эта 
проблема была исправлена
+в версии 1.3.12-1+deb8u1.
 
- -For the stable distribution (stretch), this problem has been fixed in
- -version 1.5.18-1+deb9u1.
+В стабильном выпуске (stretch) эта проблема 
была исправлена в
+версии 1.5.18-1+deb9u1.
 
- -We recommend that you upgrade your freeplane packages.
+Рекомендуется обновить пакеты freeplane.
 
- -For the detailed security status of freeplane please refer to 
- -its security tracker page at:
+С подробным статусом поддержки 
безопасности freeplane можно ознакомиться на
+соответствующей странице отслеживания 
безопасности по адресу:
 https://security-tracker.debian.org/tracker/freeplane;>\
 https://security-tracker.debian.org/tracker/freeplane
 
 
 # do not modify the following line
 #include "$(ENGLISHDIR)/security/2018/dsa-4175.data"
- -# $Id: dsa-4175.wml,v 1.1 2018/04/18 06:14:13 kaare Exp $
-BEGIN PGP SIGNATURE-
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=wj9E
-END PGP SIGNATURE-

Re: [DONE] wml://security/2018/dsa-4172.wml

2018-04-18 Пенетрантность Lev Lamberov 
Ср 18 апр 2018 @ 10:51 Gali Anikina :

> В Сб, 14/04/2018 в 23:05 +0500, Lev Lamberov пишет:
>> --- ../../english/security/2018/dsa-4172.wml 2018-04-14
>> 21:01:09.0 +0500
>> +++ 2018/dsa-4172.wml2018-04-14 23:05:25.942361285 +0500
>> @@ -1,44 +1,47 @@
>> -security update
>> +#use wml::debian::translation-check translation="1.1" mindelta="1"
>> +обновление безопасности
>>  
>> -Multiple vulnerabilities were discovered in the implementation of
>> the
>> -Perl programming language. The Common Vulnerabilities and Exposures
>> -project identifies the following problems:
>> +В реализации языка программирования Perl были обнаружены
>> многочисленные
>> +уязвимости. Проект Common Vulnerabilities and Exposures
>> +определяет следующие проблемы:
>>  
>>  
>>  
>>  https://security-tracker.debian.org/tracker/CVE-2018-67
>> 97">CVE-2018-6797;
>>  
>> -Brian Carpenter reported that a crafted regular expression
>> -could cause a heap buffer write overflow, with control over the
>> -bytes written.
>> +Брайан Карпентер сообщил, что специально сформированное
>> регулярное выражение
>> +может вызывать переполнение динамической памяти с записью,
>> причём записываемые байты
>> +могут контролироваться злоумышленником.
>>  
>
> "с записью" - это имеется в виду "с возможностью записи в неё"?

Насколько я понимаю, тут имеется в виду буфер записи
[https://en.wikipedia.org/wiki/Write_buffer]. Честно сказать, не знаю,
как тут корректно сформулировать. Может быть "переполнение кучи в буфере
записи"?

>>  https://security-tracker.debian.org/tracker/CVE-2018-
>> 6798">CVE-2018-6798;
>>  
>> -Nguyen Duc Manh reported that matching a crafted locale
>> dependent
>> -regular expression could cause a heap buffer read overflow and
>> -potentially information disclosure.
>> +Нгуиен Дук Ман сообщил, что сравнение с зависящим от локали
>> регулярным
>> +выражением может вызвать переполнение динамической памяти с
>> чтением и
>> +потенциальное раскрытие информации.
>>  
>
>
> Может так - "что сравнение с регулярным выражением, зависящим от
> локали, может вызвать"

Да, переформулировал. Спасибо!

>>  https://security-tracker.debian.org/tracker/CVE-2018-
>> 6913">CVE-2018-6913;
>>  
>> -GwanYeong Kim reported that 'pack()' could cause a heap
>> buffer write
>> -overflow with a large item count.
>> +ГванЕонг Ким сообщил, что функция pack() при работе с большим
>> числом
>> +элементов может вызывать переполнение динамической памяти с
>> +записью.
>>  
>>  
>>  
>
>
> "с записью" -это "с возможностью записи в неё?"

См. выше.

Re: [DONE] wml://security/2018/dsa-4171.wml

2018-04-18 Пенетрантность Lev Lamberov 
Ср 18 апр 2018 @ 10:42 Gali Anikina :

> В Сб, 14/04/2018 в 01:29 +0500, Lev Lamberov пишет:
>> --- ../../english/security/2018/dsa-4171.wml 2018-04-14
>> 00:13:42.0 +0500
>> +++ 2018/dsa-4171.wml2018-04-14 01:28:39.815463019 +0500
>> @@ -1,22 +1,23 @@
>> -security update
>> +#use wml::debian::translation-check translation="1.1" mindelta="1"
>> +обновление безопасности
>>  
>> -The Shopify Application Security Team reported that ruby-loofah,
>> a
>> -general library for manipulating and transforming HTML/XML documents
>> and
>> -fragments, allows non-whitelisted attributes to be present in
>> sanitized
>> -output when input with specially-crafted HTML fragments. This might
>> -allow to mount a code injection attack into a browser consuming
>> -sanitized output.
>> +Команда безопасности приложения Shopify сообщила, что ruby-
>> loofah,
>> +общая библиотека для изменения и преобразования HTML/XML документов
>> и
>> +их фрагментов, позволяет не разрешённым явно атрибутам оставаться в
>> очищенных
>
> Может быть "неразрешённым" ?

Исправил на "позволяет атрибутам, которые не были явно разрешены,
оставаться".

Re: Опечатки в переводе

2018-04-18 Пенетрантность Lev Lamberov 
Ср 18 апр 2018 @ 12:33 "" :

> https://www.debian.org/security/2018/dsa-4174
> "группа ... обнаружил" -> "группа ... обнаружила"

Исправил. Спасибо!

Re: [DONE] wml://security/2018/dsa-4172.wml

2018-04-18 Пенетрантность Gali Anikina 
В Сб, 14/04/2018 в 23:05 +0500, Lev Lamberov пишет:
> --- ../../english/security/2018/dsa-4172.wml  2018-04-14
> 21:01:09.0 +0500
> +++ 2018/dsa-4172.wml 2018-04-14 23:05:25.942361285 +0500
> @@ -1,44 +1,47 @@
> -security update
> +#use wml::debian::translation-check translation="1.1" mindelta="1"
> +обновление безопасности
>  
> -Multiple vulnerabilities were discovered in the implementation of
> the
> -Perl programming language. The Common Vulnerabilities and Exposures
> -project identifies the following problems:
> +В реализации языка программирования Perl были обнаружены
> многочисленные
> +уязвимости. Проект Common Vulnerabilities and Exposures
> +определяет следующие проблемы:
>  
>  
>  
>  https://security-tracker.debian.org/tracker/CVE-2018-67
> 97">CVE-2018-6797;
>  
> -Brian Carpenter reported that a crafted regular expression
> -could cause a heap buffer write overflow, with control over the
> -bytes written.
> +Брайан Карпентер сообщил, что специально сформированное
> регулярное выражение
> +может вызывать переполнение динамической памяти с записью,
> причём записываемые байты
> +могут контролироваться злоумышленником.
>  

"с записью" - это имеется в виду "с возможностью записи в неё"?


>  https://security-tracker.debian.org/tracker/CVE-2018-
> 6798">CVE-2018-6798;
>  
> -Nguyen Duc Manh reported that matching a crafted locale
> dependent
> -regular expression could cause a heap buffer read overflow and
> -potentially information disclosure.
> +Нгуиен Дук Ман сообщил, что сравнение с зависящим от локали
> регулярным
> +выражением может вызвать переполнение динамической памяти с
> чтением и
> +потенциальное раскрытие информации.
>  


Может так - "что сравнение с регулярным выражением, зависящим от
локали, может вызвать"


>  https://security-tracker.debian.org/tracker/CVE-2018-
> 6913">CVE-2018-6913;
>  
> -GwanYeong Kim reported that 'pack()' could cause a heap
> buffer write
> -overflow with a large item count.
> +ГванЕонг Ким сообщил, что функция pack() при работе с большим
> числом
> +элементов может вызывать переполнение динамической памяти с
> +записью.
>  
>  
>  


"с записью" -это "с возможностью записи в неё?"

Re: [DONE] wml://security/2018/dsa-4171.wml

2018-04-18 Пенетрантность Gali Anikina 
В Сб, 14/04/2018 в 01:29 +0500, Lev Lamberov пишет:
> --- ../../english/security/2018/dsa-4171.wml  2018-04-14
> 00:13:42.0 +0500
> +++ 2018/dsa-4171.wml 2018-04-14 01:28:39.815463019 +0500
> @@ -1,22 +1,23 @@
> -security update
> +#use wml::debian::translation-check translation="1.1" mindelta="1"
> +обновление безопасности
>  
> -The Shopify Application Security Team reported that ruby-loofah,
> a
> -general library for manipulating and transforming HTML/XML documents
> and
> -fragments, allows non-whitelisted attributes to be present in
> sanitized
> -output when input with specially-crafted HTML fragments. This might
> -allow to mount a code injection attack into a browser consuming
> -sanitized output.
> +Команда безопасности приложения Shopify сообщила, что ruby-
> loofah,
> +общая библиотека для изменения и преобразования HTML/XML документов
> и
> +их фрагментов, позволяет не разрешённым явно атрибутам оставаться в
> очищенных

Может быть "неразрешённым" ?