А значит, все права останутся у вас.
За выполнение работ получите гарантированную оплату.
Описание
Популярная утилита для сжатия и распаковки файлов в формате LZMA. Часто используется для упаковки tar-архивов.
Зачем надо переписать?
Содержит критические уязвимости (CVE), связанные с особенностями формата хранения и недостаточным сопровождением. Особенно известен добавленным через социальную инженерию бэкдором.
Особенности
Переписывать LZMA с нуля необязательно — основные уязвимости обнаружены не в алгоритме, а в обвязке вокруг формата xz, запуске приложения и взаимодействии через API.
Достаточно переписать критические части и слинковать с С-кодом LZMA.
Репозиторий оригинала
Пакет в Debian
Описание
Библиотека асинхронного разрешения DNS-имен. Используется во многих приложениях, имеет большой охват.
Создана из-за отсутствия аналогичной функции в libc.
Зачем надо переписать?
Активно сопровождается, но есть уязвимости, типичные для кода на C. Пример
Особенности
Нужно полностью переписать, желательно с использованием стандартной библиотеки Rust без дополнительных зависимостей. Результат должен быть полностью совместим с c-ares и предоставлять точно такое же API для C-программ и других библиотек.
Репозиторий оригинала
Пакет в Debian
Описание
Библиотека парсера xml, хотя сам формат не очень популярен сейчас, однако много старого ПО завязана на libxml2.
Зачем надо переписать?
Уязвимости в libxml ставят под угрозу разнообразное ПО для десктопа и сервера, и даже мобильных устройств. Библиотека активно используется в Android.
Ментейнеры проекта выгорели и не хотят поддерживать срочные фиксы безопасности, относятся к ним как к обычным багам и не торопятся исправлять.
Репозиторий оригинала
Пакет в Debian
Лицензия на телематические услуги № 176267
Политика в отношении обработки персональных данных
Программа | Описание | Репозиторий оригинала | Запрос на добавление в Debian | Цена, в рублях |
apache-pulsar | Брокер сообщений (MQ pub/sub), популярный в корпоративной среде. | 120 000 | ||
bash-it | Большой набор автодополнений для Bash. | 30 000 | ||
bazel | Сборочная система в основном для больших мультиязычных репозиториев. | 150 000 | ||
bitwarden-cli | Клиент для менеджера паролей Bitwarden, специальная версия для командной строки и скриптов. | 60 000 | ||
composefs | Утилита для монтирования контейнерных файловых систем, позволяющая просматривать их содержимое. В некоторых случаях может быть удобнее, чем podman-inspect. | 80 000 | ||
cve-bin-tools | Ищет известные уязвимости в исполняемых файлах и встроенных библиотеках, даже если соответствующий пакет не установлен или приложение использует собственную уязвимую версию, например OpenSSL. | 70 000 | ||
doh-cli | Утилита для проверки работоспособности DNS over HTTPS. | 40 000 | ||
dupd | Ищет дубликаты файлов на диске. | 55 000 | ||
dyff | Сравнивает YAML-файлы и выводит более удобный и читаемый diff, так как анализирует структуру, а не просто текст. | 35 000 | ||
firecracker | Микрогипервизор для запуска множества виртуальных машин с минимальными накладными расходами. Разработан для облачных лямбд, но может быть использован вместо контейнеров как легковесная среда запуска, чтобы повысить изоляцию и безопасность. | 150 000 | ||
griddb | База данных с фокусом на серверы для IoT. Имеет разные интерфейсы (SQL, NoSQL) и удобна для сбора данных с датчиков в IoT. | 140 000 | ||
jailhouse | Гипервизор для статического детерминированного выделения ресурсов виртуальным машинам. В отличие от KVM выделяет настоящее оборудование для гостевых машин, но при этом изолирует их друг от друга и раздает конкретные ядра и память, словно это маленькие железные серверы. | 160 000 | ||
keycloak | IAM-решение. Известная реализация OAuth 2.0 и OpenID Connect. Готовый сервер аутентификации авторизации с интеграцией со сторонними провайдерами типа Google. | 130 000 | ||
oauth2-proxy | Прокси для добавления авторизации OAuth 2.0 на серверы. | 65 000 | ||
phoronix-testsuite | Набор тестов производительности и стабильности. На официальном сайте Phoronix есть результаты тестирования разного железа — можно сравнить их показатели со своими. | 75 000 | ||
photodedupe | Ищет дубликаты фотографий по их содержимому и умеет сравнивать фото разного размера. Полезно для хранилищ изображений и веб-серверов. | 70 000 | ||
purritobin | Аналог Pastebin для закрытых сетей или сценариев, где важна защита передаваемых данных. Поддерживает шифрование сохраняемых записей и имеет интеграцию с командной строкой. | 30 000 | ||
shh | Инструмент определения системных вызовов, используемых приложением. Из важных возможностей — удобное преобразование результата трассировки в правила усиления безопасности — hardening — для ограничения привилегий приложения. | 35 000 | ||
skim | Ищет файлы по частичному совпадению. Например, позволяет быстро найти в конфигурационных файлах в /etc параметр, даже если вы плохо помните его название. | 50 000 | ||
sssh-tpm-agent | Генерация и хранение ключей SSH в TPM 2.0. На большинстве ноутбуков и многих PC есть TPM — в нем можно безопасно хранить ключ с доступом по пин-коду, а не длинному паролю. | 110 000 | ||
uv | Быстрый менеджер библиотек и зависимостей для Python, написанный на Rust. Помогает ускорить сборку. | 40 000 | ||
vaultwarden | Написанный на Rust Bitwarden-совместимый сервер хранения паролей и ключей. Авторы заявляют малое потребление ресурсов, что выгодно отличает от оригинального Bitwarden. | 85 000 |
Программа | Что делает | Почему переписать и как | Репозиторий оригинала | Пакет в Debian |
xz | Популярная утилита для сжатия и распаковки файлов в формате LZMA. Часто используется для упаковки tar-архивов. Использует LZMA SDK от 7-Zip. | Содержит критические уязвимости (CVE), связанные с особенностями формата хранения и недостаточным сопровождением. Особенно известен добавленным через социальную инженерию бэкдором. Переписывать LZMA с нуля необязательно — основные уязвимости обнаружены не в алгоритме, а в обвязке вокруг формата xz, запуске приложения и взаимодействии через API. Достаточно переписать критические части и слинковать с С-кодом LZMA. | ||
c-ares | Библиотека асинхронного разрешения DNS-имен. Используется во многих приложениях, имеет большой охват. Создана из-за отсутствия аналогичной функции в libc. | Активно сопровождается, но есть уязвимости, типичные для кода на C. https://github.com/c-ares/c-ares/security/advisories/GHSA-6hxc-62jh-p29v Нужно полностью переписать, желательно с использованием стандартной библиотеки Rust без дополнительных зависимостей. Результат должен быть полностью совместим с c-ares и предоставлять точно такое же API для C-программ и других библиотек. Будет идеально, если напишете на no_std Rust с использованием только libc, чтобы минимизировать размер библиотеки. | ||
libxml2 | Библиотека парсера xml, хотя сам формат не очень популярен сейчас, куча старого ПО завязана на libxml2. | Уязвимости в libxml ставят под угрозу разнообразное по для десктопа, сервера и даже мобильных устройств. Библиотека активно используется в Android. Ментейнеры не поддерживают срочные фиксы безопасности и не спешат их исправлять. |