RE: https://hachyderm.io/@dalias/113417575172813417
I had to manually remove the bad certs from Firefox today, which is what I expected but I was unclear why. Finally dug it up: my defense against Mozilla's backdoors in /etc/hosts:
Search
30 results for “dalias”
-
Then just fix your Apache/FPM/whatever not to keep around processes bug fork a new one for each request and exit when it's over.
There is no need to have a non-nop free() in server-side webapp stuff. The whole thing is supposed to be ephemeral and over as soon as the request finishes.
-
Here's a nice universal bug fix for all the UAF and DF bugs in PHP:
-Dfree(x)=((void)0)
-
RE: https://fedi.katze.sh/@elise/117479459565085083
Signing vuln reports with "meow" 🔥
-
RE: https://fedi.katze.sh/@elise/117479459565085083
Another PHP vuln discovered while trying to figure out the first one before it dropped.. 😂
-
There's almost surely a DNS-based way to do compromised root CA revocation that doesn't phone-home to the org that maintained [the upstream for] your browser, and that doesn't require anyone to operate a https server supporting the load of billions of users.
-
Now, because not everything is software you ship and and there still needs to be pure code that's testable and reproducible, and people need to be able to use locked-down setups where only a single nonstandard root is trusted, the TLS APIs should not just inspect /etc/ssl themselves. They should take an explicit argument for the trust anchor. But they should come with a "get system trust anchor" method that uses the certs from /etc/ssl.
-
Some of the problems I wasn't even aware of with stuff embedding its own copy of the ca-certificates roots, rather than using the system ones, is mind boggling.
There should be a consensus that, for software you ship, you use what's in /etc/ssl. The same way you read DNS config from /etc/resolv.conf and custom hosts from /etc/hosts rather than embedding your own nameserver and host record config.
Who the operator trusts is *system configuration data* that is variable, not part of your program.
-
Before reading this and without looking it up, do you think the "slowdown" in Ukraine's Starlink service the media keeps reporting means:
-
Speaking of mitigations, I suspect there's an easy binary patching one, locating the OOM handling function and (for x86) replacing the first 2 bytes with 0F 0B.
-
Polar opposite of the usual vuln announcement of the form:
OMG THE WORLD IS ENDING YOU WILL GET PWNED IF YOU DO NOT DOWNLOAD OUR LATEST VERSION WITH ALL SORTS OF ANTIFEATURES ALONGSIDE THE VULN FIX RIGHT THIS MINUTE THIS IS NOT A DRILL ROFLMAO U NEWBS!!!!!!!!!!!1111
-
The PHP vuln advisory is a textbook example of how to do it right. Huge props to them!
https://www.php.net/archive/2026.php#2026-10-21-5
Specifically, it details:
- what went wrong
- what is and isn't known about who is affected (e.g. for the OOM one, Apache mod_php definitely is, FPM may be but isn't known)
- what mitigations are available if patching/updating is not possible, and whether they are partial or full
- sufficient information to roll your own further mitigations if needed (e.g. I think you could setup policies to terminate the process on OOM rather than letting it continue to the vulnerable OOM handler)
-
I don't want to underplay the severity of the 4 certificate incident. This was a huge violation of trust, and it is severe.
However, I think the likelihood of not-highly-targeted exploitation in the wild is fairly low.
Even if you are not patched, as long as *anyone* using the network you're using is patched, their clients will detect and block access to any site that's being MITM'd with the compromised cert. So anyone wanting to do an attack is going to immediately reveal that they're doing it, unless they have some way to scope the attack only to clients they know are still trusting it.
-
Everyone else: happy their browser automatically distrusted the bad CAs.
Me: digging into what else Firefox can change through the phone-home backdoor it used to figure out it should distrust the bad CAs and how tf you're supposed to block that.
-
Like, this is the kind of thing they could have done right. They could have made the system so it's only informative, not policy-overriding, and tells you when you visit the site "this site is known to do wrong things that make it break with your privacy setting X. if you want to proceed using it anyway but have trouble accessing it, you may need to switch off privacy setting X."
But instead they want to just override the policies you've instituted for your safety so that Firefox doesn't "look bad" by being "incompatible" with privacy-invading shit.
-
LMAO one of the things RemoteSettings can do is deliver new overrides to your site permissions to "unbreak" sites that are broken by your privacy policy.
-
And is there any more reasonable way to remove RemoteSettings than via blocking the domain in /etc/hosts?
-
I'm not sure how LibreWolf and other forks handle this. Do they remove the Mozilla RemoteSettings backdoor?
-
For folks who think getting bad root CAs removed is worth it and I made a mistake, here is a nice list of all the malicious things Firefox can deliver via RemoteSettings, which seemingly have no way to turn them off:
-
LMAO:
"The CRL's were signed with the original private keys (which were supposed to be the correct keys with appropriate entropy) but given that this resulted in incorrect signatures, they were resigned with flawed keys."
So they got failed signatures from using the correct keys to sign the CSRs rather than the corrupted ones, but then rather than realizing something was seriously messed up and aborting, they just threw away the good signatures and re-signed with the corrupted keys to get it to pass. 🤦
Source: https://bugzilla.mozilla.org/show_bug.cgi?id=2083449#c11
-
Just got what looks like our first attempt at slop contributon to musl in a while. 🤮
It didn't make it to the list because the email was malformed with the "patch" converted to all one line of text.
I guess that's another win for not using a "forge".
-
About to fab some 365nm fairy lights with leds and magnet wire.
-
Enjoy this before YouTube takes it down. https://www.youtube.com/watch?v=vxKba433e0Y
-
Also: I do not think returning the funds is the responsible thing to do in the case of FUTO. At least not in full. With the deceptive way FUTO operates, they owe anyone they do this to compensation for damage to reputation and the logistical hell of dealing with fixing the mess.
If I were in @netbsd's place, I think I would send them a letter informing them that we will be taking down the logo/link/sponsorship credit and offering to settle with a partial refund of the donation. If they don't accept, keep it all, and let them try to sue for breach of contract and expose what they really are to the entire FOSS world.
-
Folks, if @netbsd fixes this mess and ends up returning the FUTO money as part of getting rid of the sponsorship credit, that's probably going to be a big hit to financial plans and obligations they've already made.
In the event that happens, we should do some serious crowdsourcing to help them replace those funds.
-
A third wave of famine threatens Gaza. Between the lies of the corrupt and the greed of the merchants, famine is being engineered in Gaza. #gaza https://chuffed.org/project/190160-please-help-dalia-her-children-escape-this-genocide #Gaza #Palestine #GazaAid #GazaRelief #GoodnessReturns #Humanity
#fediforgaza #FediForGazaeducational #mutualaid #MutualAidRequest #gazaverified
@gaza -
The backyard tall dahlias are dying off now.
#Autumn #dahlia #perennials #Saanich #VictoriaBC #VancouverIsland #VanIsle #PacificNorthwest #PNW #flowers #botanical #plants #garden #Bloomscrolling #florespondence #BeautyInDecay
-
Teorías terroríficas de las películas más importantes de la historia
A pesar de su éxito, muchas cintas tienen muchos datos interesantes y fuera de todo contexto
En Hollywood, aparentemente, hay teorías aterradoras para todos los gustos. De quién mató realmente a la Dalia Negra, hasta películas malditas que se convierten en leyendas urbanas terroríficas. Lo cierto es que la meca del cine parece tener su propia capacidad para crear mitos. O, en el mejor de los casos, para llevar la ficción más allá de las puertas de los estudios. Un tema que se ha convertido en recurrente en torno a la industria. Y en especial, en la forma en que el cine se concibe como parte de la cultura pop.
Pero más intrigante es el hábito de explorar en ese puñado de en ocasiones escalofriantes rumores a partir de la idea de que hay hitos de Hollywood espeluznantes. Desde todo lo que rodeó al clásico del horror El Exorcista durante su rodaje (y las 9 muertes inexplicables en el set), a los huesos reales en Poltergeist. Hay mucho que explorar en esa dimensión de lo extraño, inquietante y tenebroso que rodea no solo a lo mejor del Hollywood como industria. A la vez, a múltiples producciones, sagas e incluso compañías, como una especie de mito urbano siempre en crecimiento.
Si te interesa el tema, esta lista es para ti. Te dejamos cinco teorías aterradoras de las películas más populares. De un oscuro trasfondo en las historias de uno de los estudios más queridos hasta el retorcido final de una obra icónica de ciencia ficción. Todo para los amantes de lo extraño, lo inquietante y lo siniestro, que además tienen predilección por el cine y la cultura popular. Una combinación irresistible para los curiosos, los fanáticos de lo misterioso y, en especial, la forma en que el cine puede ser algo más que un espectáculo.
Una idea escalofriante detrás de la saga ‘Toy Story’
Por singular que parezca, varias producciones de Pixar están rodeadas de teorías aterradoras. Todas alimentadas a lo largo de los años por debates macabros en foros y debates online. Pero una de las más incómodas insiste en que el universo cinematográfico de Toy Story esconde un secreto terrorífico. Según una teoría que se debatió en foros como Reddit por años, el personaje de Andy es mucho más que un niño corriente protagonista involuntario de una aventura fantástica.
En realidad, el niño padecería de una severa esquizofrenia infantil. Por lo que los juguetes parlantes jamás cobraron vida propia. Según esta macabra interpretación, el pequeño protagonista inventó un elaborado refugio mental habitado por figuras de plástico animadas. Todo para evadir el trauma del abandono absoluto de su padre ausente.
La teoría se vuelve más tétrica cuando se apoya en pequeños giros de trama tradicionales de la saga. Del hecho de que los juguetes solo se mueven cuando los seres humanos están completamente fuera de la habitación o fingen rigidez de manera milimétrica. Algo que se interpreta como los episodios de desconexión psicótica del niño. Por si eso no fuera suficiente, incluso el comportamiento de los muñecos se considera síntoma. Lo que incluye los diálogos ingeniosos, las intensas misiones de rescate y los profundos conflictos existenciales de Woody o Buzz Lightyear. Todo lo que serían meras proyecciones de su propia mente fragmentada intentando procesar el aislamiento social y la profunda disfuncionalidad familiar.
Una visión aterradora de ‘Mi vecino Totoro’
¿Puede una de las películas de animación más tiernas estar rodeada de una teoría aterradora? Es el caso de la aclamada joya de la animación Mi vecino Totoro, dirigida por el maestro Hayao Miyazaki. A la cinta se le relaciona con una escalofriante leyenda urbana que transforma esta tierna historia en un desgarrador viaje hacia el inframundo japonés. El rumor insiste en que Totoro no es un espíritu bondadoso del bosque. En realidad, se trataría del dios de la muerte. Esta es una entidad mística que se manifiesta exclusivamente ante las personas que están a punto de fallecer o que ya han cruzado el umbral de la vida.
Por lo que la pequeña Mei en realidad es una víctima. Una que, además, se ahoga realmente en el estanque a mitad de la película. Algo que ocasiona que su hermana Satsuki, desesperada por el dolor, decida ofrecer su propia alma a la criatura. Todo para adentrarse en el reino de los muertos y reunirse con ella.
Más espeluznante todavía es el trasfondo que rodea al resto de los símbolos de la cinta. El emblemático autobús gato, lejos de ser un transporte mágico y festivo, es un coche fúnebre espiritual. Un vehículo místico que traslada las almas de las niñas hacia el hospital donde su madre agoniza, permitiéndoles despedirse de ella desde las sombras. El detalle definitivo que sustenta este horror es que, durante las secuencias finales del metraje, ninguna de las dos hermanas proyecta sombra sobre el suelo. Algo que, según los seguidores de la teoría, confirma visualmente que se han convertido en fantasmas errantes. Ambos atrapados para siempre en el idílico limbo espiritual de la criatura.
Un musical que guarda una teoría terrorífica
Si amas los musicales clásicos, esta teoría terrorífica te pondrá los vellos de punta. Según especulaciones de fanáticos en internet, el icónico Grease esconde un trasfondo lúgubre. Uno que, además, altera drásticamente el final feliz entre Danny Zuko (John Travolta) y Sandy Olsson (Olivia Newton-John). La leyenda urbana sugiere que toda la trama ocurre en la mente de Sandy mientras se ahoga agonizante en la playa. Todo, durante el verano previo al inicio de clases.
Esta espeluznante conjetura se basa directamente en la letra de la icónica canción de apertura. En la melodía se menciona explícitamente que Danny intentó salvarle la vida a la joven tras un terrible incidente en el mar. Pero, al no lograr rescatarla a tiempo, la falta de oxígeno en el cerebro de Sandy desencadena una fantasía edulcorada de escuela secundaria. Está repleta de coreografías perfectas, romances apasionados y transformaciones rebeldes que idealizan la juventud que nunca podrá experimentar en el mundo real.
¿Un dato más terrorífico? La teoría asegura que el punto se demuestra en el viaje final en el coche descapotable rojo. Como se recordará, la secuencia del automóvil desafía las leyes de la física, contradiciendo el tono urbano del musical. Eso, al elevarse inexplicablemente hacia los cielos mientras los protagonistas saludan felices a sus amigos. Pero no representa una metáfora de libertad juvenil, sino el ascenso literal del alma de Sandy hacia el más allá. Por supuesto, tras perder sus últimos signos vitales en la orilla del océano.
Una aparición terrorífica en ‘Solo en casa’
Incluso hay una teoría terrorífica (y enrevesada) para el clásico del cine navideño Solo en casa. Y una que le brinda un matiz psicológico sumamente perturbador a la cinta. Según varias teorías en internet, se trata de la extraña y recurrente presencia del anciano Marley (Roberts Blossom). Como se recordará, el misterioso vecino que aterroriza al vecindario con su pala de nieve.
Una de las teorías más siniestras afirma que el viejo Marley es una manifestación fantasmal de Kevin McCallister (Macaulay Culkin) proveniente del futuro. La cosa se pone más extraña a medida que la hipótesis se enmaraña con capas de ciencia ficción. Supuestamente, el personaje viajó a través del tiempo para evitar que su propia existencia se destruya por completo. Todo debido al abandono familiar y a las heridas psiquiátricas que eso dejó a su paso.
Esta hipótesis argumenta que el anciano comparte las mismas heridas emocionales de rechazo y aislamiento que el niño experimenta al ser ignorado por sus padres. De modo que es una advertencia viviente de la amargura que le espera en la adultez si no aprende a perdonar y valorar los lazos afectivos. La teoría, además, insiste en que hay pruebas evidentes del asombroso giro. La más notoria, el hecho de que Marley aparezca siempre en los momentos exactos de mayor peligro para salvar a Kevin de los peligrosos ladrones. Algo que simboliza al Kevin del futuro corrigiendo los errores del pasado y asegurando que su versión infantil sobreviva a la experiencia.
Christopher Nolan y el giro del tiempo
Y, por supuesto, no podía faltar una teoría terrorífica relacionada con una obra de Christopher Nolan. Esta vez, una que indaga en la enrevesada trama de El origen. La popular teoría plantea un enigma aterrador sobre el destino final de Cobb (Leonardo DiCaprio). Pero mucho más, analiza la idea de la realidad, el miedo y el tiempo, que cambia por completo el centro del argumento. Más interesante todavía, lo dota de nuevas capas y puntos de vista.
La hipótesis sugiere que el protagonista jamás logró despertar del limbo y quedó atrapado en el sueño de otra persona. Además, insiste en que la famosa peonza de metal, que se tambalea justo antes del final, no es el verdadero tótem de Cobb. Todo, porque en realidad, el auténtico anclaje con la realidad es su anillo de matrimonio, el cual solo lleva puesto dentro de los entornos simulados.
Al revisar minuciosamente las escenas del feliz reencuentro con sus hijos en el hogar familiar, se observa que los niños lucen exactamente la misma ropa. Además, mantienen las mismas edades que en sus recuerdos traumáticos. Algo que demuestra que su mente simplemente fabricó un escenario idílico para hallar consuelo. Esto significa que Cobb sacrificó permanentemente su cordura y su conexión con el mundo real. Eso, para elegir entregarse voluntariamente a una ilusión perpetua. Una además en que la escena final es una cruel proyección diseñada por su propio subconsciente. También escapar de la insoportable culpa por el suicidio de su esposa.
Texto original: Hipertextual
#CinemaGizmo #Curiosidades #Destacado #Noticias #PermanenciasVoluntarias #PermanenciasVoluntariasRadio #Terror -
-