Tag Archives: bug

Libgcrypt 與 GnuPG 的安全性問題

Posted on August 20, 2016 by Gea-Suan Lin

在「Security fixes for Libgcrypt and GnuPG 1.4 [CVE-2016-6316]」這邊看到這個歷史悠久的 bug： Felix Dörre and Vladimir Klebanov from the Karlsruhe Institute of Technology found a bug in the mixing functions of Libgcrypt's random number generator: An attacker who obtains 4640 bits from the … Continue reading →

Posted in Computer, Murmuring, Security, Software | Tagged , , , , , , , , , , , | Leave a comment

Facebook 上貼的所有的連結都是公開的

Posted on June 12, 2016 by Gea-Suan Lin

tl;dr：Facebook 認為這個功能是 feature，不是 bug。 在「Why you shouldn’t share links on Facebook」這邊作者發現在 Facebook 上貼的「任何一個連結」都會產生 object id，而任何一個 object id 都可以直接取得 url，無論權限設定，像是這樣： 而 Facebook 認定這是 feature 而非 bug： 可以想像 NSA 之類的單位與地下組織開始狂掃...

Posted in Computer, Murmuring, Network, Security, WWW | Tagged , , , , , , , , , , | 1 Comment

Dropbox 從 SPDY 切換到 HTTP/2 發現的現象

Posted on May 16, 2016 by Gea-Suan Lin

Dropbox 將本來的 SPDY 切換到 HTTP/2 後整理了不少資料：「Enabling HTTP/2 for Dropbox web services: experiences and observations」。 大多數都是效能的改善，但「Increased latency for POST requests.」這段頗有趣的，找出了 nginx 的 bug： POST 的 latency 大約增加了 50%，而實際追蹤問題發現是 nginx 中 SETTINGS_INITIAL_WINDOW_SIZE 預設值的問題，然後提出 patch 改善：「[nginx] HTTP/2: rewritten handling of request body.」： There … Continue reading →

Posted in Computer, Murmuring, Network, Security, Software, WWW | Tagged , , , , , , , , , , | Leave a comment

MIT 開發出靜態分析工具，找出 23 個 RoR 軟體未被發現的漏洞

Posted on April 20, 2016 by Gea-Suan Lin

MIT 弄出來的新玩意，靜態分析工具叫做 Space：「New MIT Scanner Finds Web App Flaws in a Minute」，MIT 官方的報導在「Patching up Web applications」這邊： In tests on 50 popular Web applications written using Ruby on Rails, the system found 23 previously undiagnosed security flaws, and it took no … Continue reading →

Posted in Computer, Murmuring, Network, Programming, Security, Software, WWW | Tagged , , , , , , , , , , , | Leave a comment

AWS Device Farm 可以遠端操作

Posted on April 20, 2016 by Gea-Suan Lin

AWS 又推出新的功能，這次 AWS Device Farm 讓使用者可以遠端互動跟機器操作：「AWS Device Farm Update – Remote Access to Devices for Interactive Testing」。 在「Test Devices List」這邊可以找到很多舊版本的機器可以互動操作 (尤其是 iOS 系列的機器)，就可以拿來測各種舊版本的 bug report 了...

Posted in AWS, Cloud, Computer, Hardware, Murmuring, Network | Tagged , , , , , , , , , , , , | Leave a comment

Badlock Bug 總算公佈了...

Posted on April 16, 2016 by Gea-Suan Lin

關於 Samba 與 Windows 網芳的安全性問題，拖了三個禮拜的「Badlock Bug」的細節總算公佈了 (網頁還不支援 HTTPS)。 果然是為了打名氣而事前公佈的... 都不是無條件的 RCE (Remote Code Execution)，而是透過 MITM 後的 RCE。

Posted in Computer, Murmuring, Network, OS, Security, Software, Windows | Tagged , , , , , , | Leave a comment

Mozilla 的人提出討論，把 Debian 上的 Iceweasel 改名回 Firefox

Posted on February 21, 2016 by Gea-Suan Lin

2006 年時因為 Mozilla 的人認為 Debian 改了太多東西 (以及其他原因)，不應該使用 Mozilla Firefox 這個帶有商標的名稱，要求 Debian 改名 (事情的經過可以參考維基百科上的「Mozilla software rebranded by Debian」條目)。 而在九年後，最近 Mozilla 的人在 Debian 上開了一個 bug report，討論是否還需要維持 Iceweasel 這個名字：「#815006 - Renaming Iceweasel to Firefox」。 Debian 這邊的人也提出了很多不一樣的意見 (尤其是對 Mozilla 的商標使用規範)，目前還在爭論...

Posted in Browser, Computer, Firefox, Murmuring, Network, Software, WWW | Tagged , , , , , , , | Leave a comment

沒有檢查 TCP checksum 的 bug 造成的慘案

Posted on February 13, 2016 by Gea-Suan Lin

Twitter 家的工程師努力通靈找靈異現象，最後發現是 kernel bug 造成 veth 沒檢查 TCP checksum 造成的慘案：「Linux kernel bug delivers corrupt TCP/IP data to Mesos, Kubernetes, Docker containers」。 而隔壁棚 PagerDuty 在 2015 年五月也有遇到類似的問題，不過當時看起來沒找出 root cause，只有提出 workaround 解法暫時避開：「The Discovery of Apache ZooKeeper’s Poison Packet」。 這個 bug 已經被 patch … Continue reading →

Posted in Computer, Linux, Murmuring, Network, OS, Software | Tagged , , , , , , , , , , | Leave a comment

Hacking Team 購買 Flash Exploit 的信件

Posted on July 11, 2015 by Gea-Suan Lin

前情提要：「Hacking Team 被黑而洩漏出來的資料」。 在「How a Russian hacker made $45,000 selling a 0-day Flash exploit to Hacking Team」這邊提到了 Hacking Team 被黑而洩漏出來的信件，透漏了俄羅斯的人賣 Flash Exploit 給 Hacking Team 的過程。 從內容就可以看出不同的賣法，包括「首次」與「獨家」都是可以談的條件： 1) The price is US$45,000.00 for the non-exclusive sale of any special discount … Continue reading →

Posted in Computer, Murmuring, Network, Security | Tagged , , , , , , , , | Leave a comment

Facebook 推出靜態分析工具：Facebook Infer

Posted on June 12, 2015 by Gea-Suan Lin

Facebook 推出了靜態分析工具 Facebook Infer，可以事先找出 Android 與 iOS 上的 bug：Open-sourcing Facebook Infer: Identify bugs before you ship。 從官方給的操作動畫中就可以看出來怎麼跑了。目前看起來支援三種程式語言，C、Objective-C、Java： Facebook Infer is a static analysis tool - if you give Infer some Objective-C, Java, or C code, it produces a list of … Continue reading →

Posted in Computer, Murmuring, Programming, Security, Software | Tagged , , , , , , , , , , , , , , , , | Leave a comment