#10 Depende del alcohol que lleve en la sangre. Hay representantes públicos que estarían ardiendo varios días por este motivo.

#5 De hecho era el segundo de a bordo. No dio señales de vida entre la detección y la suspensión de la cuenta, lo cual en sí mismo ya es sospechoso, pero tampoco se puede descartar que le hubiesen comprometido la cuenta y alterado el commit.

De hecho, en el comunicado oficial se afirma que los commits estaban firmados, pero no es cierto.

#5 #10 Nah, olvídalo. Llevaba meses preparándolo...

https://github.com/google/oss-fuzz/pull/10667

#11 Esto prácticamente prueba que era algo a largo plazo y muy bien pensado.

¿Será de la CIA el colega este? (o cualquier otro servicio secreto)

#53 No lo descartaría en absoluto.

#10 Los commits siempre están autenticados, no puede ir cualquiera y añadir cosas a un repo sin permiso. Pero lo que va firmado (con las claves de cada desarrollador según el caso) son los archivos de release. Los tarballs, quiero decir. Lo que dice el comunicado es que las releases supervisadas por Collin llevan su firma, y las de Jia Tan llevan la de Tan.

#13 Los commits siempre están autenticados, no puede ir cualquiera y añadir cosas a un repo sin permiso.

No es lo mismo firmado que autenticado. Sí puedes añadir cosas a un repo sin ningún permiso, otra cosa es que necesites autenticarte para hacer pull a una plataforma como GitHub.

Pero yo no hablo de eso, sino de la firma del commit, que es algo propio de git (no como la autenticación de plataformas remotas, aunque soportado por todas ellas). Git te permite firmar los commits (GPG, s/mime...), pero no todo el mundo lo hace. Y éste es uno de esos casos.

#14 Repito que el comunicado lo que dice es que las releases afectadas son las montadas por Jia Tan y que por tanto llevan su firma. El autor lo que trata es de separar la actividad de un desarrollador de la del otro, no le vaya a caer el marrón a él también:

* XZ Utils 5.6.0 and 5.6.1 release tarballs contain a backdoor. These tarballs were created and signed by Jia Tan.

* Tarballs created by Jia Tan were signed by him. Any tarballs signed by me were created by me.

De los commits no dice nada, pero se asume que si alguien se hace con el control de la cuenta de un desarrollador, potencialmente podría subir y firmar lo que quiera.

#18 Sí, cierto. Ayer se estuvo comentando en el hilo del repo y di por hecho que hablaba del commit.

se asume que si alguien se hace con el control de la cuenta de un desarrollador, potencialmente podría subir y firmar lo que quiera

No tiene por qué. Te pueden comprometer la cuenta de GitHub pero no tener acceso a tu passphrase de GPG, de hecho hay que ser muy insensato para almacenarla en un lugar que no sea la mente de uno

#19 Hombre, si las releases estaban firmadas. . .

Pero bueno, te podría contar historias de miedo de gente que guarda todas sus contraseñas en un txt en el escritorio o que reutiliza contraseñas y extrayéndo las del navegador (harto sencillo) te haces con todas las llaves.

#19 si alguien consigue acceso a una cuenta de GitHub puede cambiar la clave privada que se usa para firmar los commits. Al dueño de la cuenta le llegaría un email de que se ha añadido una nueva firma que el atacante tendría que evitar de alguna forma que fuera visto.
Luego en la interfaz de GitHub los commits saldrían con el tick verde indicando que están firmados y nadie se daría cuenta.

#10 yo a ese le comprobaba las cuentas bancarias, especialmente los ingresos de los último meses, y de dónde proceden...

Igual nos llevamos una sorpresa.

#12 Desde luego pudo ser peor. No llegó a distros empresariales, aunque sí a muchas distros de uso personal.

#15 Las empresariales usan LTS por norma. Tampoco a Slackware salvo -current, pero la mayoría usa la 15. En Hyperbola tampoco.

#1 Tanto como a tiempo... Un mes llevaba la vulnerabilidad en el repo (lo deshabilitaron ayer) y muchas distros ya lo habían empaquetado (todas las basadas en Debian Unstable o las rolling release, entre ellas).

Lo cierto es que no era sencillo de detectar, estaba muy bien ofuscado entre los tests.

#1 #2 Peor aún, el notas que añadió el troyano era uno de los desarrolladores principales de XZ y llevaba dos años trabajando ahí. En las distros están tirándose de los pelos porque no están del todo seguros de si las versiones anteriores podrían tener algún regalito ya de antes. Están pidiendo retirar todos sus commits, y GitHub hasta ha deshabilitado el repo.

#5 De hecho era el segundo de a bordo. No dio señales de vida entre la detección y la suspensión de la cuenta, lo cual en sí mismo ya es sospechoso, pero tampoco se puede descartar que le hubiesen comprometido la cuenta y alterado el commit.

De hecho, en el comunicado oficial se afirma que los commits estaban firmados, pero no es cierto.

#5 #10 Nah, olvídalo. Llevaba meses preparándolo...

https://github.com/google/oss-fuzz/pull/10667

#11 Esto prácticamente prueba que era algo a largo plazo y muy bien pensado.

¿Será de la CIA el colega este? (o cualquier otro servicio secreto)

#53 No lo descartaría en absoluto.

#10 Los commits siempre están autenticados, no puede ir cualquiera y añadir cosas a un repo sin permiso. Pero lo que va firmado (con las claves de cada desarrollador según el caso) son los archivos de release. Los tarballs, quiero decir. Lo que dice el comunicado es que las releases supervisadas por Collin llevan su firma, y las de Jia Tan llevan la de Tan.

#13 Los commits siempre están autenticados, no puede ir cualquiera y añadir cosas a un repo sin permiso.

No es lo mismo firmado que autenticado. Sí puedes añadir cosas a un repo sin ningún permiso, otra cosa es que necesites autenticarte para hacer pull a una plataforma como GitHub.

Pero yo no hablo de eso, sino de la firma del commit, que es algo propio de git (no como la autenticación de plataformas remotas, aunque soportado por todas ellas). Git te permite firmar los commits (GPG, s/mime...), pero no todo el mundo lo hace. Y éste es uno de esos casos.

#14 Repito que el comunicado lo que dice es que las releases afectadas son las montadas por Jia Tan y que por tanto llevan su firma. El autor lo que trata es de separar la actividad de un desarrollador de la del otro, no le vaya a caer el marrón a él también:

* XZ Utils 5.6.0 and 5.6.1 release tarballs contain a backdoor. These tarballs were created and signed by Jia Tan.

* Tarballs created by Jia Tan were signed by him. Any tarballs signed by me were created by me.

De los commits no dice nada, pero se asume que si alguien se hace con el control de la cuenta de un desarrollador, potencialmente podría subir y firmar lo que quiera.

#18 Sí, cierto. Ayer se estuvo comentando en el hilo del repo y di por hecho que hablaba del commit.

se asume que si alguien se hace con el control de la cuenta de un desarrollador, potencialmente podría subir y firmar lo que quiera

No tiene por qué. Te pueden comprometer la cuenta de GitHub pero no tener acceso a tu passphrase de GPG, de hecho hay que ser muy insensato para almacenarla en un lugar que no sea la mente de uno

#10 yo a ese le comprobaba las cuentas bancarias, especialmente los ingresos de los último meses, y de dónde proceden...

Igual nos llevamos una sorpresa.

#12 Desde luego pudo ser peor. No llegó a distros empresariales, aunque sí a muchas distros de uso personal.

#15 Las empresariales usan LTS por norma. Tampoco a Slackware salvo -current, pero la mayoría usa la 15. En Hyperbola tampoco.

#2 "Unstable", quida todo dicho. Solo los camicaces tienen esta distribución en producción.

#49 Bueno, hay que tener en cuenta que los estándares de estabilidad de Debian son extremos En realidad es una rolling release, como puede ser Arch.

#57 Las rolling release, como Manjaro (Arch) ya lo han parcheado, ayer mismo:

Me extrañó una actualización de solo dos componentes, suele pasar con los navegadores, pero no con utilidades.

#49 kamikazes

#81 Pedante

#84 que problema tienes tú ? Se corrige un error e insultas?

#4 Si no entiendo mal el buque intentó salir con la popa aun amarrada al noray del puerto, pivotando y dañándolo según se ve en el vídeo.
#10 #13

#4 esa mejor para su pareja

#11 Sí, me he expresado mal.

#4 yo tiraría más por "Mi novio es un zombie".

#4
Por todo lo que recibí
Estar aquí vale la pena
Gracias a ti seguí
Remando contra la marea

Jarabe de Palo - "Eso que tú me das"

#4 que muera la inteligencia

#4 ¿El novio le pegaba??...mmmmm

#27 Y fue un peliculón.

#27 Para mi fue un reboot bastante cutre la verdad.

#10 Los plásticos por lo general se han demostrado como disruptores endocrinos “imitando” las hormonas naturales o bloqueándolas otras veces, es por esto que favorecen la aparición de procesos cancerígenos.

#10 la luz solar3 también

#28 Y la obsesión por estar moren@ dispara los melanomas, efectivamente.

#28 Para ser precisos, las quemaduras por exposición al sol descontrolada. Por lo menos para el melanoma.

Hay otro tipo de cáncer de piel que está asociado a una exposición continuada por muchos años, incluso sin quemaduras; típico del trabajo al aire libre. No recuerdo su nombre pero es más benigno que el melanoma.

#10 Los nutricionistas dicen que ninguna cantidad de alcohol es inocua y no hay cantidades de alcohol que se hayan demostrado como tolerables para la salud salvo en estudios financiados por las propias empresas que venden bebidas alcohólicas

#74 Eso es lo que he dicho.

Lo de "exceso de alcohol" quizá sea un factor más en el cáncer a edades tempranas, que es de lo que va el meneo.