Тут на днях опубликовали интересную уязвимость.

Уязвимость качается стандартной утилиты для создания скриншотов на Google Pixel.

А именно: если вы кропнули скриншот (обрезали его) и отправили другу, то друг с большой вероятностью сможет восстановить полный скриншот.
В некоторых источниках пишут что также можно восстановить изображение, если вы замазали части изображение в этой же утилите.

https://andreapavone.com/2023/03/cve-2023-21036-acropalypse/

И как это обычно бывает, бага это очень детская.
А именно отсутствие O_TRUNC при открытии файла на запись.

Утилита напрямую переписывала исходный файл и не очищала его. Тем самым обрезанное изображение писалось в начало файла, и так как обрезанное изображение занимает меньше байт, то в файле все ещё оставились данные исходного изображения, которые лежали в файле ровно после конца нового изображения.

Причем т.к. в PNG есть маркер конца изображения, то при просмотре такого скриншота он будет выглядеть как ожидается и на глаз такую проблему не заметить.

В общем-то, грустная история о том, почему баги на клиентских приложениях это очень страшно, особенно если это может повлиять на privacy.

Ну, и мораль: лучше тестируйте код. Сейчас кажется очевидно, что надо было бы добавить тест вида "Размер файла поменялся после кропа."
Но скорее всего вместо него написали более функциональный "Прочитай обрезанную картинку и проверь width, height", а правильно было бы иметь оба.

PS: пишут что такое же поведение нашли у стандартной утилиты 'Ножницы' под Windows.

Microsoft 🤝 Google

Тут OpenAI аннонсировали для chatGPT систему плагинов.

Штука конечно не Google-киллер, но прикольная. Но меня гораздо больше поразил способ интеграции этих плагинов.

Вы - разработчик стороннего API, в который будет ходить chatGPT. Вам нужно добавить текстовое описание своего плагина, спецификацию OpenAPI и спецификацию аутентификации. И все. ChatGPT сможет сам понять на какой промпт дергать какую ручку по описанию ручек из OpenAPI и описанию плагина, который вы ему предоставили.

https://platform.openai.com/docs/plugins/getting-started/writing-descriptions

Выглядит сильно.

Приехал в Ереван, а на меня какой-то мужик смотрит...

Everyday we stray further from god..

За крайне короткую поездку на родину успел порубать с ребятками, чтобы вернуть топ-1 среди RU команд на ctftime.

Играли сегодня enowars CTF, заслуженный топ 1
Жаль, что за 7 лет проведения ивента, организаторы так и не научились делать AD...

После имплементации дженериков (плохой кста) команде го понадобилось несколько лет чтобы вмержить Min и Max.

PS: я люблю и восхищаюсь Го, но дженерики...

#prog #go

Вышла версия Go 1.21.

В число невероятных изменений входят:

* новые встроенные функции min и max
* новая встроенная функция clear для удаления всех элементов из мапы и зануления элементов слайса (???)
* File.Chdir теперь действительно меняет текущую рабочую директорию на Windows вместо того, чтобы всегда возвращать ошибку

А ещё добавили — экспериментально! — способ сделать поведение переменных цикла более вменяемым: каждая итерация цикла создаёт новую переменную вместо переиспользования одной и той же.

А вот ещё интересная новость: долгое время считалось что с табличными данными ваши нейросети и трансформеры работают хуже простого советского градиентного бустинга.

Уже нет. Другой вопрос насколько это целесообразно по ресурсам, но сам факт очень занимательный.