Heli-X V10.0

[michaMEG]

AW: Heli-X V10.0

One open issue are problems with the color depth on some Mac-OS
computers. We will see if this can be solved. Another issue is, that
controllers which say about themselves that they are gamepads and not a
joystick will not work wit V10.

[luha]

AW: Heli-X V10.0

Another issue is, that
controllers which say about themselves that they are gamepads and not a
joystick will not work wit V10.

Kann ich so nur teilweise bestätigen.
Selbst solche einfachen Gampads ohne Analogstick werden unter Linux zwar als "Gamepad" erkannt, auf die "dev/input/js0" Schnittstelle gemappt und in HeliX10 als Joystick erkannt. Mangels 4 analoger Achsen kann man sie aber in HeliX nicht zu Ende konfigurieren.

Allerdings gibt es Probleme mit den beiden OrangeX Simsticks für Spektrum und FrSky:

DSMX / DSM2 Protokoll USB-Dongle
FrSky Protokoll kabellose USB-Dongle für Simulatior

Die werden zwar als Gamepads erkannt und genauso auf /dev/input/js0 gemappt wie es sein soll. Aber können in Heli-X10 nicht erkannt werden.

Ich VERMUTE, weil sie keine "Buttons" haben, werden keine Eventhandler angelegt und der Entwickler der "lwjgl3" Lib hat es sich einfach gemacht und prüft nur darauf und nicht wirklich auf einen Joystick.

[michaMEG]

AW: Heli-X V10.0

Hmm, der SIM ist ja in Java geschrieben, wird da auch Log4J verwendet?
Dann hätten wir jetzt eine schöne Sicherheitlücke!

[gehrne]

AW: Heli-X V10.0

Hmm, der SIM ist ja in Java geschrieben, wird da auch Log4J verwendet?
Dann hätten wir jetzt eine schöne Sicherheitlücke!

Nicht zwingend. Die Lücke erfordert ja, dass Variablen in das Log geschrieben werden und der Angreifer in der Lage ist in die Variable eine URL die auf den Schadcode zeigt rein zu bringen.

Bei einer Webanwendung oder einem öffentlichen REST-API geht das leicht. Bei Heli-X dürfte die Herausforderung etwas größer sein so eine präparierte URL rein zu bringen.

[michaMEG]

AW: Heli-X V10.0

Naja. der SIM kann ja auch als Server laufen und hängt dann permanent im Netz und tauscht Daten mit den Clients aus.
Einen Chat gibt es auch, der es möglicherweise ganz leicht macht.

[Blue Thunder]

AW: Heli-X V10.0

Welches Java benötige ich für Heli-X, Hab die letzten Versionen nicht mehr zum Laufen bekommen.
Zumindestens mit den Java die in den Repositories von Kubuntu LTS dabei waren ...

Also, die Version 10 funktioniert mit dem openjdk-11-jre-headless packet aus den Repositories. Super, das es jetzt wieder geht

[Leroy]

AW: Heli-X V10.0

Naja. der SIM kann ja auch als Server laufen und hängt dann permanent im Netz und tauscht Daten mit den Clients aus.
Einen Chat gibt es auch, der es möglicherweise ganz leicht macht.

Michael wird da sicher Licht ins Dunkel bringen

p.s. ich habe beim ßberfliegen kein log4j gefunden

[parkplatzflieger]

AW: Heli-X V10.0

Naja. der SIM kann ja auch als Server laufen und hängt dann permanent im Netz und tauscht Daten mit den Clients aus.
Einen Chat gibt es auch, der es möglicherweise ganz leicht macht.

Selbst wenn HeliX log4j benutzt, ist die Gefahr eher gering. Wenn das Ding als Server läuft, dann muss man halt LDAP-, DNS- und RMI-Requests nach draußen unterbinden. Wenn ich einen Dienst unbeaufsichtigt im heimischen Netz betreibe, dann gehört der eh in ein separates Netzsegment. Und wer wird sich schon die Mühe machen einen HeliX-Client so zu simulieren, dass er einem HeliX-Server geeigneten Schadcode unterjubeln kann? Da gibt es tiefer hängende Früchte.

[heli56]

AW: Heli-X V10.0

Naja. der SIM kann ja auch als Server laufen und hängt dann permanent im Netz und tauscht Daten mit den Clients aus.
Einen Chat gibt es auch, der es möglicherweise ganz leicht macht.

Na hoffe du bist auch so vorsichtig bei deinem:

- Auto
- NAS Server
- Sprachassistenten
- Handy
- "Sicherheits" Kameras
- Smarten Geräten: TV, Kühlschrank, usw.

Mfg. Toni

[parkplatzflieger]

AW: Heli-X V10.0

Ne brauchbare Endpoint Security, aka Virenscanner, sollte da jetzt aber auch schon aufmerksam machen.

Ich hab heute mal ein bisschen mit Manipulationen des User Agent Strings gespielt, um lokalen Webdiensten unter meiner Kontrolle eine entsprechende Zeichenkette ins Log zu schreiben. Da hat mir die eigene Endpoint Security auf die Finger geklopft. Ich nehme an, die reagieren mittlerweile auch auf das Laden einer der vulnerablen Java-Libs. Hab es nicht getestet, hab keine davon auf meinen Systemen.

[MichaelS]

AW: Heli-X V10.0

... in HELI-X wird kein log4j verwendet ...

[Mr. M]

[michaMEG]

AW: Heli-X V10.0

In HELI-X wird kein log4j verwendet

Danke, gut zu wissen und danke für die gute Arbeit!

OT:

Na hoffe du bist auch so vorsichtig bei deinem:

- Auto
- NAS Server
- Sprachassistenten
- Handy
- "Sicherheits" Kameras
- Smarten Geräten: TV, Kühlschrank, usw.

Versuche ich zumindest, teilweise indem ich es garnicht erst benutze bzw. eher simple Geräte bevorzuge.
Habe kein Alexa, keine Smarten Küchengeräte, keine "Sicherheits" Kameras, kein WhatsApp, ein herkömmliches Auto ohne Schnickschnack, Linux statt Windows usw. und alles Andere versuche ich möglichst abzudichten!
Aber auch bei mir gibt es mit Sicherheit Schwachstellen...

[parkplatzflieger]

AW: Heli-X V10.0

Leider kann man sich manchen Entwicklungen nicht dauerhaft entziehen. TV ohne "Smart" geht eigentlich nicht mehr. Bleibt nur, den Netzwerkzugang nicht in Betrieb zu nehmen. Das nächste Auto wird es auch ohne Schnickschnack nicht mehr geben. Was solls, hier geht's ja um HeliX.

[christianm]

AW: Heli-X V10.0

Bleibt nur, den Netzwerkzugang nicht in Betrieb zu nehmen

Erzähl das mal eine, ipTV-Nutzer ... Ich kann gar nicht anders. Wenn du nicht gerade eine Settop-Box hast, muss der TV einfach ans Netz. Und selbst mit einer Settop-Box weisst du nicht, was die gerade so macht.