Компания Google сообщила о переводе открытой кодовой базы платформы Android (AOSP, Android Open Source Project) на использование сборочного инструментария Bazel вместо текущей системы сборки на основе инструментов Soong, Ninja и Make. Поддержка Bazel уже добавлена в репозиторий Android, но переход на новую систему сборки по умолчанию будет растянут на несколько выпусков платформы для максимального упрощения и прозрачности миграции. В 2020 и 2021 годах не ожидается заметного изменения рабочих процессов сборки платформы, а поддержка существующих сборочных систем будет сохранена. Для обеспечения постепенной миграции некоторые изменения для упрощения сборки Android уже включены в состав инструментария Bazel, например, уже добавлены возможности для разбора … Читать далее Android переходит на сборочную систему Bazel

Компания Google добилась блокировки на GitHub 135 репозиториев, включающих код для определения ключей для дешифровки контента, защищённого при помощи CDM-модуля Widevine. Блокировка произведена на основании действующего в США Закона об авторском праве в цифровую эпоху (DMCA). Раньше Google придерживалась тактики ненападения в вопросах интеллектуальной собственности, но в 2018 году лозунг «Don’t be evil» был удалён из корпоративного кодекса поведения (Code of Conduct). Блокировка инициирована против репозиториев, включающих закрытый RSA-ключ, который был извлечён из CDM-модуля Widevine в результате взлома реализованных в данном модуле механизмов защиты. Большинство репозиториев являются форками Chrome-дополнения widevine-l3-decryptor (зеркало), позволяющего получить доступ к контенту, передаваемому через защищённый DRM … Читать далее По требованию Google заблокированы 135 репозиториев на GitHub

Состоялся выпуск дистрибутива CentOS 7.9 (2009), вобравший в себя изменения из Red Hat Enterprise Linux 7.9. Дистрибутив полностью бинарно совместим с RHEL 7.9 (внесенные в пакеты изменения, как правило, сводятся к ребрендингу и замене художественного оформления). Сборки CentOS 7.9 доступны для архитектур x86_64, Aarch64 (ARM64), i386, ARMv7 (armhfp), ppc64, ppc64le и Power9. Для архитектуры x86_64 подготовлены установочные DVD-сборки (4.7 ГБ), образ NetInstall для установки по сети (590 МБ), минимальная серверная сборка (1 ГБ), полный образ для USB Flash (11 ГБ) и Live-сборки с GNOME (1.5 ГБ) и KDE (2 ГБ). Пакеты SRPMS, на основе которых произведена сборка бинарных файлов, и … Читать далее Выпуск дистрибутива CentOS 7.9

Гвидо ван Россум, создатель языка программирования Python, сообщил, что ему надоело сидеть на пенсии и он принял предложение о работе в подразделении разработки компании Microsoft. Напомним, что в январе 2021 года года Гвидо исполнится 65 лет. В прошлом году он покинул компанию Dropbox и сообщил о выходе на пенсию. Подробности о предстоящей работе не приводятся, упоминается только, что это улучшит использование Python и не только в Windows. В сообщении Гвидо говорится: Я решил, что скучно сидеть на пенсии и присоединился к отделу разработки в Microsoft. Зачем? Есть много вариантов ответа. Но это поднимет юзабилити Python (и не только под Windows). … Читать далее Автор Python устроился на работу в Microsoft

Компания Proxmox, известная разработкой продуктов Proxmox Virtual Environment и Proxmox Mail Gateway, представила первый выпуск дистрибутива Proxmox Backup Server. Новый дистрибутив преподносится как готовое решение для резервного копирования и восстановления виртуальных окружений, контейнеров и начинки серверов. Установочный ISO-образ доступен для свободной загрузки. Специфичные для дистрибутива компоненты открыты под лицензией AGPLv3. Для установки обновлений доступен как платный репозиторий Enterprise, так и два бесплатных репозитория, которые отличаются уровнем стабилизации обновлений. Системная часть дистрибутива базируется на пакетной базе Debian 10.6 (Buster), ядре Linux 5.4 и OpenZFS 0.8.4. Программный стек для управления резервным копированием написан на языке Rust и поддерживает инкрементальные бэкапы (на сервер … Читать далее Представлен дистрибутив Proxmox Backup Server 1.0

Представлены корректирующие выпуски инструментария Tor (0.3.5.12, 0.4.3.7 и 0.4.4.6), используемого для организации работы анонимной сети Tor. В новых версиях устранена проблема с безопасностью, которая в ряде случаев может использоваться для наблюдения за характером трафика для ограниченного числа цепочек. Для блокирования проблемы на релеях перед прикреплением цепочек реализована более тщательная проверка соответствия канала и ожидающих цепочек. Ранее корректность адреса и идентификаторы Ed25519 не проверялись для ожидающих цепочек, что могло использоваться для MITM-атаки. Опасность атаки оценивается как низкая, так как чтобы расшифровать трафик релея атакующему необходимо каким-то образом получить onion-ключи этого релея. Тем не менее, атакующий может открыть канал на своём релее … Читать далее Обновление Tor 0.3.5.12, 0.4.3.7 и 0.4.4.6 с устранением уязвимости

Компания Canonical приостановила распространение одного из исправлений, поставляемого в пакете с обновлённым микрокодом Intel. В новой версии микрокода выявлено регрессивное изменение, приводящее к проблемам с загрузкой Ubuntu на некоторых системах с процессорами Intel на базе микроархитектуры Tiger Lake. Проблема не специфична для Ubuntu и компании Intel уже уведомлена об её наличии. Из оборудования, на котором проявляется ошибка, отмечен ноутбук Dell XPS 9310, использование нового микрокода на котором приводит к зависанию с отображением артефактов на экране. В Ubuntu проявление ошибки блокировано в пакете intel-microcode 3.20201110.0ubuntu0.*.2 (версия 3.20201110.0ubuntu0.*.1 подвержена проблеме) путём удаления микрокода 06-8c-01/0x000806c1, вызывающего проблему. В случае зависания рекомендуется в загрузочном … Читать далее В обновлении микрокода Intel выявлена проблема, приводящая к зависанию на системах Tiger Lake

Доступен выпуск проекта Open CASCADE Technology (OCCT) 7.5.0, предоставляющего ядро геометрического моделирования для таких программ, как FreeCAD, KiCAD, Netgen, gmsh, CadQuery и pyOCCT. Проект развивается уже более двадцати лет и включает в себе набор библиотек и средств разработки ПО, ориентированных на 3D-моделирование и автоматизированное проектирование (САПР). Начиная с версии 6.7.0, исходный код OCCT распространяется по лицензии GNU LGPL 2.1. Версия OCCT 7.5.0 включает в себя более 400 улучшений и исправлений. Среди новых возможностей отмечается Draw Harness 3D Viewer, который позволяет перемещаться по большим моделям реального размера, включая навигацию в стиле телепорта при просмотре в режиме виртуальной реальности. Функциональность обмена данными … Читать далее Новая версия Open CASCADE Technology (OCCT) 7.5.0

Группа исследователей из Грацского технического университета (Австрия), ранее известная разработкой методов атак MDS, NetSpectre, Throwhammer и ZombieLoad, разработала новый метод атаки по сторонним каналам, получивший кодовое имя PLATYPUS. Атака позволяет воссоздать обрабатываемые при вычислении данные на основе сведений, получаемых непривилегированным пользователем через интерфейс мониторинга энергопотребления RAPL, предоставляемый в современных процессорах Intel (CVE-2020-8694, CVE-2020-8695) и AMD (CVE-2020-12912). Исследователям удалось продемонстрировать извлечения из анклава Intel SGX закрытого RSA-ключа, применяемого при шифровании с использованием библиотеки mbed TLS, а также AES-ключей используемых для шифрования AES-NI на уровне ядра Linux. Кроме того, показана возможность применения атаки для для обхода механизмов защиты и определения параметров рандомизации … Читать далее Новая атака Platypus на процессоры Intel и AMD

Разработчики Chrome намерены прекратить поддержку механизма Server Push в протоколах HTTP/2 и gQUIC, а также не реализовывать её для протокола HTTP/3, находящегося на стадии утверждения стандарта. В протоколе HTTP/1.1 технология Server Push не предусмотрена изначально. Причиной удаления является желание избавиться от большого усложнения в коде, на фоне невостребованности и лишь теоретических предпосылок в эффективности оптимизаций на основе Server Push. Технология Server Push определена в стандарте HTTP/2 и нацелена на оптимизацию загрузки данных. Помимо браузеров на базе движка Chromium поддержка Server Push в настоящее время реализована в Firefox и Safari, а на стороне сервера в nginx и в Apache httpd. При … Читать далее В Chrome намерены удалить поддержку технологии Server Push

Опубликован релиз приложения AndroWish («The Flux Capacitor»), позволяющего запускать Tcl/Tk скрипты на системах c платформой Android, без их изменения, либо с минимальными изменениями (например, работает tkabber). Проектом предоставляется нативный порт Tcl/Tk 8.6 для Android. В состав входит всё необходимое для работы, включая эмулятор X11, SDL 2.0, FreeType для отрисовки шрифтов. Имеется полная поддержка Unicode и поддержка отрисовки 3D-виджетов, используя OpenGL с эмуляцией OpenGL ES 1.1. В текущем релизе обновлен Tcl/Tk 8.6.10, sqlite 3.33.0, sdl 2.0.6 с текущими патчами и другие пакеты. Проектом также разрабатываются android-специфичные команды, для взаимодействия с системой и устройствами: borg — управление и взаимодействие с Android; ble … Читать далее Новый выпуск Androwish, окружения для запуска приложений Tcl/Tk на системах с Android

Компания Microsoft представила новый значительный выпуск платформы .NET 5, в котором предоставлена поддержка Linux, macOS и WebAssembly. В рамках .NET 5 пользователям предложен единый открытый фреймворк и runtime, которые можно использовать в различных областях разработки и на разных платформах. Выпуск .NET 5 сформирован благодаря унификации .NET Framework, .NET Core и Mono. На основе .NET 5 можно создавать многоплатформенные приложения, используя единую кодовую базу и общий процесс сборки, не зависящий от типа приложения. Продукт .NET 5 продолжил развитие открытого проекта .NET Core 3.0 и пришёл на смену классическому .NET Framework, который отдельно больше развиваться не будет и остановится на выпуске .NET … Читать далее Релиз унифицированной платформы .NET 5 с поддержкой Linux и WebAssembly

Исследователь безопасности из GitHub выявил уязвимость (CVE-2020-16125) в дисплейном менеджере GDM (GNOME Display Manager), отвечающем за вывод экрана входа в систему. В сочетании с другой уязвимостью в сервисе отслеживания учётных записей (accounts-daemon) проблема позволяет выполнить код с правами root. Уязвимость устранена в GNOME 3.36.2 и 3.38.2. Возможность эксплуатации уязвимости подтверждена в Ubuntu и производных дистрибутивах. Уязвимость связана с некорректным запуском утилиты начальной настройки в случае невозможности обратиться к сервису accounts-daemon через DBus. Непривилегированный пользователь может вызвать крах или зависание процесса accounts-daemon, что создаст условия для запуска из GDM утилиты gnome-initial-setup, через которую можно зарегистрировать нового пользователя, входящего в группу sudo, … Читать далее Уязвимость в GDM, позволяющая получить привилегии root в Ubuntu

После более года разработки и шести с половиной лет с момента прошлого значительного выпуска сформирован корректирующий релиз офисного пакета Apache OpenOffice 4.1.8, в котором предложено 24 исправления. Готовые пакеты подготовлены для Linux, Windows и macOS. Изменения в новом выпуске: Устранена уязвимость (CVE-2020-13958), потенциально позволяющая организовать выполнение кода при открытии специально оформленных документов. Злоумышленник может оформить ссылку, ссылающуюся на существующий исполняемый файл в локальной файловой системе. При активации данной ссылки файл будет исполнен. Проблеме присвоен низкий уровень опасности так как для эксплуатации требуется клик пользователя на ссылке внутри документа или срабатывание в документе обработчика событий. Обеспечена возможность сборки OpenOffice SDK с … Читать далее Выпуск офисного пакета Apache OpenOffice 4.1.8

Компания Google объявила о введении обязательного использования инклюзивной терминологии в проектах, развиваемых в рамках инициативы Google Open Source Programs Office (OSPO), которая охватывает более 2000 открытых проектов, в которых участвует Google и которые используются в Google. Начиная с октября 2020 года требование стало действовать для новых проектов, а с 2021 года его планируется распространить и на все существующие проекты OSPO. Запрет касается терминов, которые вызывают негативные ассоциации. В частности, предписывается обязательно исключить использование терминов «slave», «whitelist» и «blacklist», вместо которых следует использовать альтернативные термины, такие как «replica», «allowlist» и «blocklist». К числу нерекомендованных для применения выражений также отнесены «master», «native … Читать далее Google обязал применять инклюзивную терминологию в своих открытых проектах

Представлен релиз инструментария для построения инсталляторов Calamares 3.2.33, не зависящего от конкретных дистрибутивов Linux. Разработчикам дистрибутивов предоставлено несколько десятков готовых модулей c реализацией различных возможностей, востребованных в инсталляторах. Код написан на языке С++, графический интерфейс основан на библиотеке Qt 5 (используется QML), для разработки модулей могут применяться языки C++ и Python. Calamares уже используется для организации установки дистрибутивов Manjaro, Sabayon, Chakra, NetRunner, KaOS, OpenMandriva и KDE neon. Проект развивается при участии сообществ KDE, Fedora, Kubuntu и Maui. Calamares предоставляет такие возможности, как ручной и автоматический режимы разбиения дисковых разделов, гибкая система адаптации внешнего вида, модульная архитектура, большой выбор готовых модулей … Читать далее Релиз фреймворка для создания установщиков Calamares 3.2.33

Сами Камкар (Samy Kamkar), исследователь безопасности, известный созданием различных замысловатых устройств для проведения атак, таких как кейлоггер в USB-зарядке телефона, представил новую технику атаки «NAT slipstreaming«. Атака позволяет при открытии страницы в браузере организовать соединение сервера атакующего с любым портом UDP или TCP на системе пользователя, находящейся за транслятором адресов. Инструментарий для проведения атаки опубликован на GitHub. Метод основан на обмане механизма отслеживания соединений ALG (Application Level Gateways) в трансляторах адресов или межсетевых экранах, который применяется для организации проброса через NAT протоколов, в которых используется несколько сетевых портов (один для данных, а другой для управления), таких как SIP, H323, IRC … Читать далее Атака NAT slipstreaming для отправки запросов на внутренний IP

Опубликованы корректирующие выпуски Firefox 82.0.3, Firefox 78.4.1 и Thunderbird 78.4.2, в которых устранена критическая уязвимость (CVE-2020-26950). Доступ к подробной информации о характере уязвимости пока ограничен, сообщает лишь, что проблема связана с неверным использованием кода операции MCallGetProperty и может привести к обращению к уже освобождённой области памяти (use-after-free), пригодному для создания рабочего эксплоита. Источник: http://www.opennet.ru/opennews/art.shtml?num=54059 Читать далее Обновление Firefox 82.0.3 и Thunderbird 78.4.2 с устранением уязвимости

Началась подготовка к предстоящей заморозке пакетной базы выпуска Debian 11 «Bullseye», релиз которого ожидается летом 2021 года. Первая стадия заморозки пакетной базы намечена на 12 января 2021 года. На данном этапе будет прекращено выполнение «transitions» (обновление пакетов, требующее корректировки зависимостей у других пакетов, которое приводит к временному удалению пакетов из Testing), а также прекращено обновление пакетов, необходимых для сборки (build-essential). 12 февраля 2021 года состоится мягкая заморозка пакетной базы, при которой будет прекращён приём новых исходных пакетов и закрыта возможность повторного включения ранее удалённых пакетов. 12 марта 2021 года будет применена жёсткая заморозка перед релизом, при которой процесс переноса ключевых … Читать далее Подготовка к заморозке пакетной базы Debian 11. Объявлено кодовое имя Debian 13

Доступен релиз консольного почтового клиента Mutt 2.0. Переход на новый значительный номер версии обусловлен внесением изменений, нарушающих обратную совместимость. Например, изменено поведение при прикреплении файлов во вложение, по умолчанию выставлен режим $ssl_force_tls, отключена чистка заголовков при выполнении операций decode-copy и decode-save, установка параметра $hostname теперь производится после обработки muttrc и опций «-e» в командной строке. Среди новых возможностей: Возможность указания IP-адреса вместо имени хоста в email, например «user@[IPv6:fcXX:….]». Добавлена команда «cd» для смены рабочего каталога. Добавлена поддержка XOAUTH2 (аутентификация в IMAP, POP и SMTP при помощи OAuth), активируемая через установку параметра «xoauth2» в настройках $imap_authenticators, $smtp_authenticators и $pop_authenticators. Обеспечена автоматическая … Читать далее Выпуск почтового клиента Mutt 2.0

Представлен выпуск графического редактора GIMP 2.99.2, в котором предложена для тестирования функциональность будущей новой стабильной ветки GIMP 3.0. В новой ветке выполнен переход на GTK3, добавлена штатная поддержка Wayland и HiDPI, проведена значительная чистка кодовой базы, предложен новый API для разработки плагинов, реализовано кэширование отрисовки, добавлена поддержка выделения нескольких слоёв (Multi-layer selection) и обеспечено редактирование в исходном цветовом пространстве. Для установки доступен пакет в формате flatpak (org.gimp.GIMP в репозитории flathub-beta) и сборки для Windows. Ключевые изменения: Осуществлён переход на использование библиотеки GTK3 вместо GTK2, существенно модернизировано оформление интерфейса и предложены новые виджеты. Для диалогов применено декорирования окон на стороне клиента … Читать далее Доступен предварительный выпуск графического редактора GIMP 3.0