Фонд свободного ПО опубликовал заявление в связи с выявлением критической уязвимости в GNU Bash. В заявлении отмечено, что свободный характер проекта позволил обеспечить оперативное устранение уязвимости в дистрибутивах, многие из которых сумели выпустить обновления, не дожидаясь реакции разработчиков проблемного ПО. Свободная лицензия и доступность кода дали возможность компании Red Hat, получившей информацию о проблеме на раннем этапе её обнаружения, оперативно самостоятельно подготовить патчи, поделиться ими с разработчиками Bash и распространить их среди пользователей и команд разработчиков других дистрибутивов. В условиях, когда любое программное обеспечение может содержать ошибки, независимо от того свободным или проприетарным оно является, свободное ПО создаёт большие предпосылки … Читать далее Фонд СПО указал, что процесс устранения уязвимости в bash подчеркнул достоинства СПО

После двух лет разработки Йоанна Рутковская (Joanna Rutkowska) представила второй значительный выпуск операционной системы Qubes, реализующей идею строгой изоляции приложений и компонентов ОС с задействованием системы виртуализации Xen. Для загрузки доступен установочный образ, размером 3 Гб. Для работы Qubes необходима система с 4 Гб ОЗУ, 64-разрядным CPU Intel или AMD, желательно с поддержкой технологий VT-x/AMD-v и VT-d/AMD IOMMU. Из графических карт в полной мере поддерживается только карты Intel, при использовании NVIDIA наблюдаются проблемы, а работа карт AMD/ATI не протестирована. Приложения в Qubes разделены на классы в зависимости от важности обрабатываемых данных и решаемых задач, каждый класс приложений, а также системные … Читать далее Релиз операционной системы Qubes 2, использующей Xen для изоляции приложений

Представлен новый выпуск утилиты sysdig, предназначенной для диагностики проблем и изучения особенностей работы системы. В новом выпуске добавлен режим shellshock_detect для выявления активности в системе, вызванной совершением успешных атак, эксплуатирующих уязвимость в Bash (Shellshock). Кроме того, добавлена опция spy_file для отслеживания всех операций чтения и записи для любых файлов. Подробнее о возможностях sysdig можно прочитать в тексте первого анонса данной программы. В случае успешной атаки запуск «sysdig -c shellshock_detect» покажет примерно такой вывод: TIME PROCNAME PID FUNCTION 13:51:18.779785087 apache2 2746 () { test;};echo «Content-type: text/plain»; echo; echo; /bin/cat /etc/passwd 13:52:31.459230424 dhclient 2896 () { :;} ; echo busted С учётом … Читать далее Выпуск sysdig 0.1.89 с возможностью выявления активности, связанной с атакой через bash-уязвимость

Представлен релиз открытого фреймворка для создания браузерных 3D-приложений Blend4Web 14.09. Blend4Web предназначен для создания трехмерного интерактивного контента, работающего в браузерах без использования плагинов. Пакет тесно интегрирован с открытым пакетом Blender, использующимся в качестве основного инструмента редактирования 3D-сцен. Воспроизведение контента осуществляется средствами WebGL, Web Audio и других браузерных технологий. Наработки проекта распространяются под лицензией GPLv3. Основные изменения: Представлен новый редактор для визуального программирования логики приложений — NLA Script, основанный на встроенном в Blender редакторе нелинейной анимации (NLA). Инструмент позволяет добавлять интерактивность с помощью интерфейсных блоков, содержащих описание действий в ответ на действия пользователя. Среди возможных реакций: проигрывание треков NLA с определенного … Читать далее Релиз движка для создания браузерных 3D-приложений Blend4Web 14.09

Компания EditShare выпустила крупное обновление видеоредактора Lightworks, в котором поработала над удобством использования, эффектами и совместимостью с другими программами. Выпуск для Linux представлен одновременно с версиями для Windows и OS X, построен на единой кодовой базе и не уступает им по своим возможностям. Бесплатная версия Lightworks 12 для Linux, которая ограничена сохранением результатов работы в форматах для Web (например, MPEG4/H.264) с разрешением до 720p и не включает некоторые расширенные возможности, такие как инструменты для совместной работы, доступна для загрузки в виде 64-разрядной сборки в форматах RPM и DEB. Расширенные возможности платной редакции активируется через службу платной подписки. Что касается исходных … Читать далее Выпущен видеоредактор Lightworks 12

Представлен финальный бета-выпуск Ubuntu 14.10 «Utopic Unicorn«. Релиз намечен на 23 октября. Готовые установочные образы для тестового выпуска созданы для Ubuntu Desktop и Ubuntu Server (для них на прошлых этапах тестирования предлагались только ежедневные сборки), а также для Kubuntu, Lubuntu, Ubuntu GNOME, Xubuntu и Ubuntu Cloud. Также представлен второй бета-выпуск ещё не получившей официального признания редакции Ubuntu MATE 14.10, поставляемой с десктоп-окружением MATE. Особенности выпуска: Задействован выпуск окружения Unity 7.3.1+14.10, в котором внесены мелкие исправления и оптимизации интерфейса. Бросающихся в глаза новшеств не отмечено, за исключением проведения адаптации для экранов высокого разрешения (HiDPI); Обновление системных компонентов, в том числе переход … Читать далее Доступна для тестирования финальная бета-версия Ubuntu 14.10

Доступен релиз многоплатформенного web-браузера QupZilla 1.8.0, построенного с использованием библиотеки Qt и браузерного движка WebKit (QtWebKit). Основной целью проекта QupZilla является создание полнофункционального браузера, поддерживающего лучшие возможности Firefox, Opera и Chrome, но потребляющего при этом значительно меньше ресурсов. Первостепенное внимание уделяется экономии потребления памяти, обеспечению высокого быстродействия и поддержанию отзывчивости интерфейса. Исходные тексты QupZilla распространяются под лицензией GPLv3. Бинарные сборки доступны для большинства дистрибутивов Linux, а также для FreeBSD, OS X, Windows, OS/2 и Haiku OS. Основные особенности QupZilla: При построении интерфейса используется родной для каждого десктоп-окружения набор пиктограмм, виджетов и стилей, что позволяет обеспечить оформление, неотличимое от штатных программ … Читать далее Выпуск web-браузера QupZilla 1.8.0

На фотографиях из Центра управления полётами и в презентации миссии, опубликованных Индийским космическим агентством (ISRO) в связи с выходом индийского космического аппарата Mangalyaan на орбиту спутника Марса, ясно прослеживается использование рабочего стола GNOME из состава дистрибутива Red Hat Enterprise Linux. Интересно, что бюджет миссии по организации выхода на орбиту Марса составил всего 71 млн долларов, что меньше, чем было потрачено на съёмки фантастического фильма Гравитация, при создании спецэффектов для которого использовались рабочие станции с KDE. Читать далее В Центре управления индийской миссией на Марс использовался Red Hat Enterprise Linux

Представлен новый выпуск утилиты sysdig, предназначенной для диагностики проблем и изучения особенностей работы системы. В новом выпуске добавлен режим shellshock_detect для выявления активности в системе, вызванной совершением успешных атак, эксплуатирующих уязвимость в Bash (Shellshock). Кроме того, добавлена опция spy_file для отслеживания всех операций чтения и записи для любых файлов. Подробнее о возможностях sysdig можно прочитать в тексте первого анонса данной программы. В случае успешной атаки запуск «sysdig -c shellshock_detect» покажет примерно такой вывод: TIME PROCNAME PID FUNCTION 13:51:18.779785087 apache2 2746 () { test;};echo «Content-type: text/plain»; echo; echo; /bin/cat /etc/passwd 13:52:31.459230424 dhclient 2896 () { :;} ; echo busted С учётом … Читать далее Выпуск sysdig 0.1.89 с поддержкой выявления активности, связанной с атакой на bash

Компания Adobe объявила об открытии исходных текстов пакета AFDKO (Adobe Font Development Kit for OpenType), предоставляющего средства для построения шрифтов OpenType на основе исходных векторных шрифтовых данных в форматах PostScript (Type1) и TrueType, дополненных специфичными для OpenType данными и средствами компоновки. Инструментарий используется компанией Adobe в процессе создания своих новых шрифтов. Код инструментария опубликован под лицензией Apache 2. Готовые сборки сформированы для Linux, OS X и Windows. В состав не входят средства для проектирования и редактирования глифов, пакет рассчитан исключительно на компоновку многослойных шрифтовых файлов. В частности, предоставляется набор утилит для построения шрифта OpenType из существующих шрифтовых данных, проверки содержимого … Читать далее Компания Adobe открыла код инструментария для создания шрифтов OpenType

Организация The Document Foundation объявила о выходе второго выпуска обновлений для LibreOffice 4.3 «Fresh». Исправлено более чем 80 ошибок (RC1, RC2). Основное внимание было сфокусировано на чтении и записи форматов Microsoft Office DOCX, XLSX и PPTX. Также в анонсе TDF подчёркивается, что LibreOffice 4.3.2 выпущен накануне четвёртой годовщины проекта, которая наступит в воскресение 28 сентября 2014 года. В сообщении говорится, что сообщество за последние 48 месяцев существенно выросло. Было привлечено к проекту более 100 новых разработчиков, большое количество людей, занимающихся локализацией, контролем качества, тестированием, дизайном, маркетингом и развитием региональных и языковых сообществ. Региональные и языковые сообщества развиваются особенно интенсивно, интерфейс … Читать далее LibreOffice 4.3.2 выпущен накануне четвёртой годовщины проекта

Представлены корректирующие выпуски Firefox 32.0.3 и Chrome 37.0.2062.124, а также Firefox ESR 24.8.1, 31.1.1, Thunderbird 31.1.2, 24.8.1 и SeaMonkey 2.29.1. В новых выпусках устранена опасная уязвимость в поставляемых в комплекте библиотеках NSS, допускающая создание поддельных RSA-сертификатов. Проблема также устранена в обновлениях NSS 3.16.2.1, NSS 3.16.5 и NSS 3.17.1. Воспользовавшись данной уязвимостью, атакующий может сформировать фальсифицированный RSA-сертификат, который может быть применён для вывода индикатора доверия при организации защищённого соединения с поддельным сайтом, закамуфлированным под другой сайт. Таким способом может быть организован сбор параметров аутентификации или распространение вредоносного ПО, так как пользователь будет считать, что работает с проверенным сайтом, на самом деле … Читать далее Обновление Firefox 32.0.3 и Chrome 37.0.2062.124 с устранением уязвимости в NSS

Организация The Document Foundation объявила о выходе второго выпуска обновлений для LibreOffice 4.3 «Fresh». Исправлено более чем 80 ошибок (RC1, RC2). Основное внимание было сфокусировано на чтении и записи форматов Microsoft Office DOCX, XLSX и PPTX. Так же в анонсе TDF напоминается, что LibreOffice 4.3.2 выпускается накануне четвёртой годовщиной проекта, которая произойдёт в воскресение 28 сентября 2014 года. В сообщении говориться, что сообщество за последние 48 месяцев существенно выросло. Было привлечено к проекту более 100 новых разработчиков, большое количество людей, занимающихся локализацией, контролем качества, тестированием, дизайном, маркетингом и развитием региональных и языковых сообществ. Региональные и языковые сообщества развиваются особенно интенсивно, … Читать далее LibreOffice 4.3.2 выпущен на кануне четвёртой годовщиной проекта

В командном интерпретаторе Bash выявлена опасная уязвимость (CVE-2014-6271), позволяющая организовать выполнение кода в контексте другого сеанса bash. Проблема вызвана недоработкой в организации экспорта переменных окружения и shell-функций в другие экземпляры bash, что приводит к выполнению блоков кода из специально оформленных переменных окружения, полученных от других процессов. Во многих типовых конфигурациях уязвимость может быть эксплуатирована по сети, если bash вызывается в качестве shell-интерпретатора. Потенциально может быть атаковано любое приложение которые запускает bash или скрипты на bash с установкой переменных окружения на основе внешних данных (манипуляция с подобными suid-программами может привести к повышению привилегий в системе). В том числе могут быть атакованы … Читать далее Критическая уязвимость в bash, которая может привести к удалённому запуску команд (дополнено)

Выявлены методы (CVE-2014-7169) обхода патча, представленного вчера для устранения критической уязвимости в Bash. Для решения проблемы подготовлен новый патч. В дистрибутивах проблема пока остаётся неисправленной. Для проверки на наличие обходного пути эксплуатации уязвимости можно использовать команду (успешно срабатывает после установки вчерашнего обновления bash в Ubuntu и Debian): env X='() { (a)=’ sh -c «echo date»; cat echo Кроме того, уже проведены попытки массового сканирования серверов на предмет наличия уязвимости в Bash. Первый же эксперимент выявил около 3 тысяч хостов, подверженных уязвимости в Bash при запросе корневой страницы по IP, без заполнения заголовка Host (при полноценном сканировании с указанием корректных имён … Читать далее Найдет способ обхода патча, устраняющего уязвимость в bash

Администраторы инфраструктуры проекта jQuery несколько часов назад зафиксировали повторную атаку на сайт jQuery.com и подтвердили компрометацию сервера злоумышленниками. В настоящее время сайт jQuery.com оперативно перемещён на новый сервер, на котором запущены только проверенные сервисы. В отличие от первой атаки, в рамках которой было организовано распространение вредоносного ПО, в рамках второй атаки была осуществлена подмена содержимого сайта (дефейс). Содержимое главной страницы было заменено на текст «Common, guys! All your base are belong to us. Just please reinstall dat backdoored spenssh deamon. And all will be fine», что может свидетельствовать об организации сбора паролей через подставной ssh сервер. Предполагается, что атаки проведены … Читать далее Подтверждён взлом jQuery.com. Зафиксирована вторая успешная атака

Доступен выпуск новой стабильной ветки WebKitGTK+ 2.6.0, порта браузерного движка WebKit для платформы GTK+. WebKitGTK+ позволяет использовать все возможности WebKit через GNOME-ориентированный программный интерфейс на основе GObject и может применяться для интеграции средств обработки web-контента в любые приложения, от использования в специализированных HTML/CSS-парсерах, до создания полнофункциональных web-браузеров. Из известных проектов, использующих WebKitGTK+, можно отметить Midori и штатный браузер GNOME (Epiphany). Ключевые изменения в новой стабильной ветке: Прекращена поддержка WebKit1 и оставлена только возможность использования API WebKit2, предоставляющего средства для многопроцессной обработки данных. Начиная с выпуска WebKitGTK 2.0 движок по умолчанию предлагал API WebKit2, но продолжал сохранять опциональную поддержку старого API … Читать далее Выпуск WebKitGTK+ 2.6.0

Представлены корректирующие выпуски Firefox 32.0.3 и Chrome 37.0.2062.124, а также в Firefox ESR 24.8.1, 31.1.1, Thunderbird 31.1.2, 24.8.1 и SeaMonkey 2.29.1. В новых выпусках устранена опасная уязвимость в поставляемых в комплекте библиотеках NSS, допускающая создание поддельных RSA-сертификатов. Проблема также устранена в обновлениях NSS 3.16.2.1, NSS 3.16.5 и NSS 3.17.1. Воспользовавшись данной уязвимостью атакующий может сформировать фальсифицированный RSA-сертификат, который может быть применён для вывода индикатора доверия при организации защищённого соединения с поддельным сайтом, закамуфлированным под другой сайт. Таким способом может быть организован сбор параметров аутентификации или распространение вредоносного ПО, так как пользователь будет считать, что работает с проверенным сайтом, на самом … Читать далее Обновление Firefox 32.0.3 и Chrome 37.0.2062.124 с устранению уязвимости и NSS

Увидел свет выпуск свободной криптографической библиотеки Sodium 1.0.0, совместимую на уровне API с библиотекой NaCl (Networking and Cryptography library) и предоставляющую функции для организации защищённого сетевого взаимодействия, шифрования и работы с цифровыми подписями. Выпуск 1.0 примечателен стабилизацией API и ABI, и обеспечением в дальнейшем обратной совместимости. Код библиотеки распространяется под свободной лицензией ISC. В отличие от NaCl в Sodium решены проблемы с переносимостью кода на разные программные и аппаратные платформы, обеспечена сборка в виде разделяемой библиотеки, поставляется стандартный набор заголовочных файлов, добавлены средства для установки и интеграции со сторонними проектами. Среди поддерживаемых в Sodium платформ отмечаются Bitrig, OpenBSD, Dragonfly BSD, … Читать далее Первый стабильный выпуск криптографической библиотеки Sodium

В командном интерпретаторе Bash выявлена опасная уязвимость (CVE-2014-6271), позволяющая организовать выполнение кода в контексте другого сеанса bash. Проблема вызвана недоработкой в организации экспорта переменных окружения и shell-функций в другие экземпляры bash, что приводит к выполнению блоков кода из специально оформленных переменных окружения, полученных от других процессов. Во многих типовых конфигурациях уязвимость может быть эксплуатирована по сети, если bash вызывается в качестве shell-интерпретатора. Потенциально может быть атаковано любое приложение которые запускает bash или скрипты на bash с установкой переменных окружения на основе внешних данных (манипуляция с подобными suid-программами может привести к повышению привилегий в системе). В том числе могут быть атакованы … Читать далее Критическая уязвимость в bash, которая может привести к удалённому запуску команд

После шести месяцев разработки официально представлен выпуск десктоп-окружения GNOME 3.14. Из наиболее значительных изменений в новой версии можно отметить доведение поддержки Wayland до полноценного вида, поддержку мультитач, доступ к медиасервам по протоколу DLNA и интеграция с Picasa/Google+ в GNOME Photos, средства для организации совместного доступа. Основные изменения: Поддержка работы поверх Wayland доведена до полноценного состояния, пригодного для ежедневного использования. По сравнению с прошлым выпуском добавлена поддержка раскладок клавиатуры, операций Drag-and-Drop, сенсорных экранов, работающих контекстных меню и всплывающих подсказок. Решены почти все проблемы с запуском типовых приложений GNOME при работе поверх Wayland; Новые анимационные эффекты в обзорном режиме и при открытии … Читать далее Релиз GNOME 3.14. Обзор новшеств