Блог*

#itsec #article XORry Not Sorry: The Most Amusing Security Flaws I've Discovered Или немного о том, насколько плохо может быть реализована безопасность на примере реальных (со слов автора) приложений.

А вот ещё: на кладбище, могила прямо на центральной аллее, пара рвёт траву у памятника, сын — лет двенадцати, такая переходная форма из дитятки в балбеса — на заборчике, скрючился, уткнулся в телефон. Мать, разгибаясь устало, явно не в первый раз уже: — Ты слушаешь, что я говорю? Меня здесь похоронишь, у тёти Таси. Понял? Взъерошенное дитятко не отрывается от экрана, с убийственной серьёзностью: — Прямо сейчас? #услышано (нет, я не забыла наушники, сама не знаю, с чего вдруг)

Из интервью с Andre Bogus aka Llogiq

#prog #rust #article Старые (2016) статьи с говорящими названиями: Counting Newlines Really Fast Even quicker byte count Примечательно, что оба варианта без явного SIMD, а в первой статье ещё и код полностью safe.

Уже с завтрашнего дня гетерастический мир в очередной раз будет сломлен. 🌈 Gay_Mems

#prog #rust хайлайты: Implement ptr::try_cast_aligned and NonNull::try_cast_aligned. Эти методы кастуют указатели в указанный методом тип и при этом возвращают None, если указатель не выровнен для целевого типа. Как мне кажется, полезная вещь для низкоуровневого кода.

— TIL that the hundred years war began in the leet year — You mean leap year? — Nope

#prog #c #meme (thanks @saddevdiary)

Уязвимость в MCP-сервере GitHub, приводящая к утечке информации из приватных репозиториев https://www.opennet.ru/opennews/art.shtml?num=63322

Протокол MCP предназначен для связывания AI-моделей с различными источниками данных. GitHub MCP Server обеспечивает бесшовную интеграцию больших языковых моделей с API GitHub и предоставляет этим моделям дополнительный контекст, извлекая данные из GitHub-репозиториев. Использующие MCP модели могут применяться для автоматизации определённых действий с GitHub, например, для разбора сообщений об ошибках.

Суть уязвимости в том, что через взаимодействие с подключённой к GitHub большой языковой моделью можно добиться выдачи конфиденциальных данных о пользователе, привязавшем AI-агента к своей учётной записи на GitHub. Атакующий может разместить в публичном репозитории, для которого применяется автоматизация на основе большой языковой модели, специально оформленный отчёт о проблеме (issue). После активации модель сформирует pull-запрос с предлагаемым решением. Соответственно, если проблема касается приватных репозиториев или конфиденциальных данных, модель может раскрыть информацию в предложенном pull-запросе.

Для примера было отправлено сообщение об ошибке с жалобой на то, что в файле README не указан автор. В качестве решения в сообщении было предложено добавить в README сведения об авторе и список всех репозиториев, с которыми работал автор. В итоге модель создала pull-запрос с информацией, включающей персональную информацию об авторе, извлечённую из приватного репозитория, а также список имеющихся приватных репозиториев. На следующем этапе через подобное взаимодействие с моделью можно получить и данные из конкретного приватного репозитория.

Подробней в оригинале GitHub MCP Exploited: Accessing private repositories via MCP https://invariantlabs.ai/blog/mcp-github-vulnerability

#itsec #ml #suckassstory

И нет, комментарии в .proto-файле не являются адекватной заменой документации. Я не должен читать сорцы CRI-O, чтобы понять смысл полей в аргументах вызовов CRI API.

Современный технологический стек, связанный с контейнерами — это софтовый эквивалент машины Руба Голдберга, и тот факт, что его неиронично используют, является плевком в лицо здравому смыслу.

Немного #rust #meme из r/rustjerk Source: 1, 2, 3, 4, 5, 6

#prog #rust... #menacingopensource?

🦀 go_visibility_macro 🦀 Because Rust's pub keyword was just too explicit 🔥 Finally, a revolutionary crate that brings Go's brilliant visibility conventions to Rust — because who needs explicit keywords when you can just Capitalize Everything?

use go_visibility_macro::go_visibility;

#[go_visibility]
struct MyStruct {  // Automagically `pub`!
    PublicField: i32,  // Also `pub`!
    private_field: i32,  // Not `pub` (how sad)
}

#[go_visibility]
impl MyStruct {
    fn New() -> Self {  // `pub` because it's uppercase!
        Self { PublicField: 42, private_field: 69 }
    }

    fn get_secret(&self) -> i32 {  // Still private (loser)
        self.private_field
    }
}

#music youtu.be/watch?v=lORKdq4t-ys

#itsec #meme