heartbleed - ceho vseho se vlastne tyka

[Jan Pechanec]

On Thu, 10 Apr 2014, Jozef Drahovsky wrote:

> Ak tam nie je skryty command ale je mozne si vyziadat data aj za hranicu 
> bufferu,
> teda nie to, ze je mozne vyziadat ale to, ze server tieto data na 
> vyziadanie poskytne, tak je to uplne skolacka programatorska chyba.
> Je zname komu sa to podarilo naprogramovat?

	ahoj, da se to jednoduse vygooglit.  Dokazu si predstavit, jak se 
dotycny asi citi a proto bych jako programator (jehoz kod mimo jine primo 
pouzivate vsichni v teto konferenci) radeji nepouzival oznaceni "skolacka 
chyba".  Vypada to, ze prehledl, ze zapomnel overit delku vracenych dat.  
Cecko tyhle veci neodpousti.  Clovek, ktery delal codereview, a ktery je 
clenem ctyrclenneho OpenSSL core tymu, to bohuzel prehledl take.  Vec jina 
treba je, jestli v kodu jako OpenSSL je jedno review dost.  Na druhou 
stranu, "dost" je vec, ktera se tady neda definovat.  h.

> Jozef
>
>
> Dňa 10.4.2014 21:02 Dan Lukes wrote / napísal(a):
>>
>>
>> Pokud vim ja, tak chyba spocina v nekontrolovani pripustnych hodnot 
>> zaslanych parametru, takze klient si dokaze vyzadat odpoved vetsi, nez 
>> je na serveru buffer na ni vyhrazeny. Ergo zpet dostane nejen tento 
>> buffer, ale taky vse, co je za nim, az do velikosti 64kB.
>>
>>
>> Dan
>>
>
>

-- 
Jan Pechanec <jp (at) devnull (dot) cz>
http://www.devnull.cz