<div dir="ltr">In related news...<br><a href="https://gitlab.kitware.com/vtk/vtk/merge_requests/2675">https://gitlab.kitware.com/vtk/vtk/merge_requests/2675</a><br><br></div><div class="gmail_extra"><br clear="all"><div><div class="gmail_signature" data-smartmail="gmail_signature">David E DeMarle<br>Kitware, Inc.<br>R&D Engineer<br>21 Corporate Drive<br>Clifton Park, NY 12065-8662<br>Phone: 518-881-4909</div></div>
<br><div class="gmail_quote">On Mon, Apr 10, 2017 at 11:36 AM, Moreland, Kenneth <span dir="ltr"><<a href="mailto:kmorel@sandia.gov" target="_blank">kmorel@sandia.gov</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">If you are worried about malicious code, I would be even more worried about the use of sprintf. Like strcpy there is no check that the target buffer is not overrun, and it is much harder to predict how large of a buffer you will need to begin with. Plus, there are multiple points in the ParaView interface that allow users to pass format descriptors to sprintf from the GUI or a script. This could definitely be a target for malicious code. We could (and probably should) protected these by using snprintf, but in the cases where users pass in their own format descriptors they could do all sorts of weird stuff like read data off the stack.<br>
<br>
-Ken<br>
<div class="HOEnZb"><div class="h5"><br>
-----Original Message-----<br>
From: Paraview-developers [mailto:<a href="mailto:paraview-developers-bounces@paraview.org">paraview-developers-<wbr>bounces@paraview.org</a>] On Behalf Of Ben Boeckel<br>
Sent: Monday, April 10, 2017 7:48 AM<br>
To: Scott, W Alan <<a href="mailto:wascott@sandia.gov">wascott@sandia.gov</a>><br>
Cc: <a href="mailto:paraview-developers@paraview.org">paraview-developers@paraview.<wbr>org</a><br>
Subject: [EXTERNAL] Re: [Paraview-developers] strcpy and other bad actors<br>
<br>
On Fri, Apr 07, 2017 at 20:41:52 +0000, Scott, W Alan wrote:<br>
> It made me start to wonder - do we care about ParaView (which of<br>
> course runs in user space).  I just looked, and there are about 1800<br>
> uses of strcpy in ParaView.  Is that an issue?<br>
<br>
As with many thing, it depends :) . I wouldn't object to moving to at least `strncpy`, but I suspect that just switching over to `std::string` would just be easier in the long run (since even `strncpy` has buffer calculations which can be done improperly). That may require some reworking around each change though, so is not likely scriptable.<br>
<br>
--Ben<br>
______________________________<wbr>_________________<br>
Powered by <a href="http://www.kitware.com" rel="noreferrer" target="_blank">www.kitware.com</a><br>
<br>
Visit other Kitware open-source projects at <a href="http://www.kitware.com/opensource/opensource.html" rel="noreferrer" target="_blank">http://www.kitware.com/<wbr>opensource/opensource.html</a><br>
<br>
Search the list archives at: <a href="http://markmail.org/search/?q=Paraview-developers" rel="noreferrer" target="_blank">http://markmail.org/search/?q=<wbr>Paraview-developers</a><br>
<br>
Follow this link to subscribe/unsubscribe:<br>
<a href="http://public.kitware.com/mailman/listinfo/paraview-developers" rel="noreferrer" target="_blank">http://public.kitware.com/<wbr>mailman/listinfo/paraview-<wbr>developers</a><br>
______________________________<wbr>_________________<br>
Powered by <a href="http://www.kitware.com" rel="noreferrer" target="_blank">www.kitware.com</a><br>
<br>
Visit other Kitware open-source projects at <a href="http://www.kitware.com/opensource/opensource.html" rel="noreferrer" target="_blank">http://www.kitware.com/<wbr>opensource/opensource.html</a><br>
<br>
Search the list archives at: <a href="http://markmail.org/search/?q=Paraview-developers" rel="noreferrer" target="_blank">http://markmail.org/search/?q=<wbr>Paraview-developers</a><br>
<br>
Follow this link to subscribe/unsubscribe:<br>
<a href="http://public.kitware.com/mailman/listinfo/paraview-developers" rel="noreferrer" target="_blank">http://public.kitware.com/<wbr>mailman/listinfo/paraview-<wbr>developers</a><br>
</div></div></blockquote></div><br></div>