4 материалов
CVE-2026-111497 (CVSS 9,2) позволяет созданному потоку Brotli вызвать запись за границы буфера. Работает это в обе стороны: злой сервер может атаковать клиента, а злой клиент — сервер.
Ветка спорила о названии. Вопрос, открыт ли HTTP на самом деле, упёрся в одну настройку.
Главные треды HN: факты из обсуждений, разные стороны, голоса инсайдеров. Email, Telegram или RSS.
Трюк в трёх строках: открыть дескриптор 3 на /dev/tcp, printf'нуть сырой GET с CRLF-заголовками, затем считать дескриптор обратно через cat. Заголовок Connection: close несущий — убери его, и cat будет ждать вечно.
Но самый громкий ответ в обсуждении был поправкой: Bash не говорит на HTTP. Он открывает сокет, а на HTTP — плохо — говоришь ты. Игрушечный клиент не разбирает ответы и ломается на редиректах, чанках и TLS.
Форма HackerOne и почта для безопасности закрываются с 1 июля по 3 августа, выход версии 8.22.0 сдвигается на две недели — на 2 сентября. Объяснение Дэниела Стенберга простое: команда выгорела и нуждается в отдыхе.
Тред наполовину аплодирует, наполовину беспокоится об одной лазейке: клиенты платной поддержки смогут надавить на выпуск фикса, если кто-то раскроет уязвимость публично во время заморозки — а у curl нет второго человека на дежурстве.
Тезис автора: если функция на Rust не помечена unsafe, её нельзя использовать неправильно в смысле памяти — значит, любой баг там это дыра в самой библиотеке. В C и C++ ответственность лежит на вызывающем коде, и ошибка того же класса в CVE не попадает.
Тред разошёлся жёстко. Одни: CVE-счётчики настолько бесполезны, что любые рассуждения о них — повод игнорировать оратора. Другие, со ссылкой на Страуструпа: большинство таких багов это C-стиль в C++, а современный C++ с надёжными библиотеками закрывает разрыв.
