Episode 154 — РП: Кишочки - Атака на Новый Год - Подкаст «Разбор Полетов»

МОЛНИЯ!!! Промо конференции JBreak в Новосибирске!

С кодом RazborPoletovPromo вам будет предоставлена скидка на билет!

Партнеры выпуска

👇 👇 👇 Официальный стикерпак Разбора Полетов и полуофициальный Чат в Телеграме 👇 👇 👇

стикеры
Чат в Телеграм - pro.jvm

Гости

@shipilev Алексей Шипилёв
@JonhWings Ваня Крылов
@kuksenk0 Сергей Куксенко

Ведущие

Темки

В новый год с Meltdow и Spectre
1. Что и кто подвержены?
  1. RedHat слил инфу о том, что подвержены IBM System Z, POWER8 (Big Endian and Little Endian), and POWER9 (Little Endian). (в том числе и кто открещивался)
  2. Три варианта уязвимостей (описание от google)
    
    Variant 1: bounds check bypass (CVE-2017-5753)
    
    Variant 2: branch target injection (CVE-2017-5715)
    
    Variant 3: rogue data cache load (CVE-2017-5754)
2. Как такое вообще ищут?
3. Насколько это вообще серьёзно?
  1. @shipilev про Meltdown
Насколько вообще важны относительно тяжело эксплуатируемые хардверные уязвимости, когда у нас есть npm. Тут недавно Npm won again
1. Очередное неожиданное удаление пакета из npm. На этот раз по вине автоматики
2. Фантазии про шаткое положение индустрии распространения кода в целом
NPM модуля распространяются как чума, а что этому может помешать? Developers Code And License
1. GitHub репозитории без лицензии - read-only код? (по мотивам обсуждения @olegchir)
2. Oracle планирует поставлять OpenJDK под GPL да и вообще OSS во все щели