A correção do Brotli entrou no código-fonte em 27 de fevereiro; o patch só foi lançado em 21 de outubro.
👉 修在二月，补丁十月才发，传递链条进群看
Uma vulnerabilidade com pontuação de gravidade 9,2, que permite executar código malicioso sem precisar fazer login, deveria ter sido tratada e lançada em uma nova versão no próprio dia da correção. Passou mais de meio ano até lá. Ou ninguém percebeu na época que esse erro de descompressão podia ser explorado, ou percebeu, mas o tratou como um erro comum e o colocou na fila de correções. O material aponta para a primeira hipótese: na época, foi tratado apenas como um erro comum de descompressão, não foi classificado como vulnerabilidade de segurança e não foi lançada uma nova versão com a correção.
Para saber qual das hipóteses é a correta, basta olhar as versões: softwares como o Node.js fixam uma versão específica do Brotli, então a correção no código-fonte upstream não é incorporada automaticamente. Assim que o patch saiu, em 21 de outubro, o Node.js lançou uma versão corrigida. No caso do Brotli, o problema não foi descobrir a falha, mas transmitir a correção.
#市场定价美联储下周加息概率仅10%
👉 修在二月，补丁十月才发，传递链条进群看
Uma vulnerabilidade com pontuação de gravidade 9,2, que permite executar código malicioso sem precisar fazer login, deveria ter sido tratada e lançada em uma nova versão no próprio dia da correção. Passou mais de meio ano até lá. Ou ninguém percebeu na época que esse erro de descompressão podia ser explorado, ou percebeu, mas o tratou como um erro comum e o colocou na fila de correções. O material aponta para a primeira hipótese: na época, foi tratado apenas como um erro comum de descompressão, não foi classificado como vulnerabilidade de segurança e não foi lançada uma nova versão com a correção.
Para saber qual das hipóteses é a correta, basta olhar as versões: softwares como o Node.js fixam uma versão específica do Brotli, então a correção no código-fonte upstream não é incorporada automaticamente. Assim que o patch saiu, em 21 de outubro, o Node.js lançou uma versão corrigida. No caso do Brotli, o problema não foi descobrir a falha, mas transmitir a correção.
#市场定价美联储下周加息概率仅10%