Представлен новый выпуск графического редактора GIMP 2.10.4, в котором продолжено оттачивание функциональности стабильной ветки 2.10. Также сообщается о возрождении пакета gimp-data-extras, который не обновлялся более 10 лет. В gimp-data-extras вынесены скрипты Alpha-to-Logo, которые не были включены в ветку 2.10 из-за ненадлежащего качества графики (для установки скриптов достаточно скопировать файлы «.scm» из архива в каталог scripts GIMP). Кроме исправления ошибок в GIMP 2.10.4 представлено несколько новшеств: Упрощено выполнение операции выравнивания горизонта — вместо ручного выравнивания, после выполнения инструментом Measure измерения угла смещения от горизонтали не покидая данный инструмент теперь можно выровнять горизонт одним кликом на новой кнопке в разделе свойств; Реализована … Читать далее Выпуск графического редактора GIMP 2.10.4

В популярном браузерном дополнении Stylish, которое установлено на системах около 1.9 млн пользователей Chrome и 300 тысяч пользователей Firefox, выявлен код, который осуществляет отправку сведений об истории посещений. В прошлом году дополнение было продано компании SimilarWeb, специализирующейся на web-аналитике, и новый владелец добавил в дополнение код для отправки телеметрии. Изучение этого кода показало, что кроме заявленной общей обезличенной статистики на внешний сервер передаются полные URL страниц, которые посещает пользователь. Примечательно, что разработчик пытался скрыть данную особенность и передавал статистику на сервер «api.userstyles.org/tics/stats» в виде закодированного бинарного блоба. Один из пользователей заинтересовался подобной особенностью, декодировал и проанализировал состав передаваемых данных (для … Читать далее В браузерном дополнении Stylish выявлен код для отправки истории посещений

Опубликован отчёт с изложением хронологии событий, связанных с компрометацией GitHub-репозиториев проекта Gentoo, в результате которой удалось поместить в код вредоносные вставки. Злоумышленники подобрали пароль от учётной записи администратора репозитория на GitHub путём сопоставления с данными о паролях, полученных в результате утечки базы пользователей на стороннем сайте (администратор использовал похожие пароли на разных сайтах). Попытки получения доступа предпринимались начиная с апреля и только 28 июня увенчались успехом. После пяти дней блокировки доступа, целостность GitHub-репозиториев в настоящее время полностью восстановлена. Деструктивные изменения находились в GitHub-репозиториях (зеркала основных репозиториев) gentoo/gentoo, gentoo/musl и gentoo/systemd около 10 часов с вечера 28 до утра 29 июня. … Читать далее Проект Gentoo опубликовал отчёт о взломе своих репозиториев на GitHub

После трёх лет разработки представлен стабильный релиз прокси-сервера Squid 4.1, готовый для промышленного использования (выпуски 4.0.x имели статус бета-версий). После придания ветке 4.x статуса стабильной, в ней отныне будут производиться только исправления уязвимостей и проблем со стабильностью, также допускается внесение небольших оптимизаций. Разработка новых возможностей будет производиться в новой экспериментальной ветке 5.0. Пользователям прошлой стабильной ветки 3.5 рекомендуется спланировать переход на ветку 4.1. Основные новшества Squid 4: В соответствии с требованиями RFC 6176 прекращено использование устаревшей версии протокола SSLv2 при согласовании защищённых соединений. Поддержка SSLv3 пока сохранена, но объявлена устаревшей и рекомендована для отключения (tls-options=NO_SSLv3); Реализована возможность установки безопасных соединений … Читать далее Стабильный релиз прокси-сервера Squid 4

Выпущен второй кандидат в релизы NetBSD 8.0, судя по всему последний перед официальным релизом. Исправлено множество ошибок первого кандидата, продолжено тестирование мер защиты от ряда уязвимостей, например уязвимости LazyFP, проявляющейся на некоторых процессорах Intel. Новшества: Переработанный стек USB, добавлена поддержка USB3 Встроенный в ядро аудио-микшер Повторяемые сборки, позволяющие убедиться, что распространяемые бинарные файлы собраны из предоставляемых исходных текстов и не содержат скрытых изменений Полная отладочная информация для компонентов пространства пользователя (MKDEBUG) Защита памяти PaX MPROTECT (W^X) по умолчанию включена на архитектурах i386, amd64, evbarm, landisk и pmax; Рандомизация адресного пространства (ASLR) при сборке по умолчанию включена на архитектурах i386, amd64, … Читать далее Второй кандидат в релизы NetBSD 8.0

Доступно обновление почтового клиента Thunderbird 52.9.0. В новой версии устранено 28 уязвимостей, 19 из которых имеют критический уровень опасности (17 уязвимостей собрано под одним CVE-2018-5188). В новой версии также внесена дополнительная защита от атак EFAIL на систему шифрования почтовой переписки: обеспечена чистка опасных HTML-конструкций и добавлена опция mailnews.p7m_subparts_external для отключения автоматической расшифровки вложенных частей сообщения, если присутствуют незашифрованные части, которые могут потенциально использоваться для организации утечки расшифрованных данных. Из не связанных с безопасностью изменений отмечается обеспечение вывода напоминания об упаковке IMAP-папок, даже при использовании учётной записи online-сервисов. Также решены многие проблемы с пересылкой сообщений при использовании простого режима просмотра HTML. Читать далее Обновление почтового клиента Thunderbird 52.9.0

Состоялся выпуск новой основной ветки nginx 1.15.1, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.14 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей). Основные изменения: В блоке «upstream» реализована новая директива «random«, при помощи которой можно организовать балансировку нагрузки со случайным выбором сервера для проброса соединения; Увеличена производительность при исопльзовании директив «hash» и «ip_hash» вместе с директивой «zone»; Выставление параметра «reuseport» в директиве «listen» теперь приводит к установке флага SO_REUSEPORT_LB во FreeBSD 12; Решены проблемы с несрабатыванием операции HTTP/2 server push, если SSL-соединение прерывалось прокси, стоящим перед nginx; Исправлена ошибка, из-за которой директива … Читать далее Выпуск nginx 1.15.1

Инженеры из компании Google портировали код компилятора шейдеров DirectX Shader Compiler для сборки и запуска на платформах Linux и macOS. Код DirectX Shader Compiler был открыт компанией Microsoft в начале 2017 года под лицензией MIT, но до сих пор оставался привязанным к платформе Windows, несмотря на то, что был основан на изначально кроссплатформенном коде LLVM/Clang. Компания Google внесла необходимые для работы в Linux и macOS изменения в код, опубликовала в рамках отдельной переносимой ветки и отправила запрос на принятие изменений в основной проект. В настоящее время представители Microsoft уже приняли подготовленные изменения в состав ветки Microsoft/master. Напомним, что DirectX Shader … Читать далее DirectX Shader Compiler портирован для Linux и macOS

Представлен релиз дистрибутива CentOS 6.10, основанный на пакетной базе Red Hat Enterprise Linux 6.10. Выпуск поставляется для платформ i386 и x86_64 в виде DVD-сборки (2 Гб), минимального установочного образа (420 Мб) и сокращенного образа для установки по сети — netinstall.iso (240 Мб). Пакеты SRPMS и debuginfo доступны через vault.centos.org. Пакеты из различных репозиториев RHEL, например, из серверной и из десктоп редакции, объединены в единый репозиторий пакетов и распространяются одним установочным комплектом. Дистрибутив на 100% бинарно совместим с RHEL, внесенные в пакеты изменения как правило сводятся к ребрендингу и замене художественного оформления. Из изменений, внесенных в CentOS 6.10, можно отметить: Обновлены … Читать далее Доступен Linux-дистрибутив CentOS 6.10

Подготовлен релиз проекта Cilium 1.1, в рамках которого при участии компаний Google, Facebook, Netflix и Red Hat развивается система для обеспечения сетевого взаимодействия и применения политик безопасности для изолированных контейнеров и процессов. Для разграничения сетевого доступа в Cilium применяются еBPF (Berkeley Packet Filter) и XDP (eXpress Data Path). Код компонентов, работающих на уровне пользователя, написаны на языке Go и распространяются под лицензией Apache 2.0. Загружаемые в ядро Linux сценарии BPF доступны под лицензией GPLv2. Основу Cilium составляет фоновый процесс, который работает в пространстве пользователя и выполняет работу по генерированию и компилированию BPF-программ, а также взаимодействию с runtime, обеспечивающим работу контейнеров. … Читать далее Выпуск Cilium 1.1, сетевой системы для Linux-контейнеров, основанной на BPF

Компания Oracle представила релиз дистрибутива Oracle Linux 6.10, созданного на основе пакетной базы Red Hat Enterprise Linux 6.10. Дистрибутив доступен для бесплатной загрузки в сборках для архитектуры x86_64. Для пользователей Oracle Linux предоставляется неограниченный и бесплатный доступ к yum-репозиторию с бинарными обновлениями пакетов с устранением ошибок (errata) и проблем безопасности. Oracle Linux 6.10 является последним выпуском серии 6.x, в дальнейшем будут формироваться только обновления пакетов. В состав Oracle Linux 6.10 входит несколько вариантов пакетов с Linux-ядром: классический вариант от компании Red Hat (kernel-2.6.32-754.el6 для i386 и x86_64), Unbreakable Enterprise Kernel Release 2 (uek-2.6.39-400.294.3.el6uek для i386) и Unbreakable Enterprise Kernel Release … Читать далее Обновление дистрибутива Oracle Linux 6.10

Состоялся релиз Live-дистрибутива NST (Network Security Toolkit) 24-7977, предназначенного для проведения анализа безопасности сети и мониторинга её функционирования. Размер загрузочного iso-образа (x86_64) составляет 3.6 Гб. Для пользователей Fedora Linux подготовлен специальный репозиторий, дающий возможность установить все созданные в рамках проекта NST наработки в уже установленную систему. Дистрибутив построен на базе Fedora 28 и допускает установку дополнительных пакетов из внешних репозиториев, совместимых с Fedora Linux. В состав дистрибутива включена большая подборка приложений, имеющих отношение к сетевой безопасности (например: Wireshark, NTop, Nessus, Snort, NMap, Kismet, TcpTrack, Etherape, nsttracroute, Ettercap и т.д.). Для управления процессом проверки безопасности и автоматизации вызова различных утилит подготовлен … Читать далее Релиз дистрибутива Network Security Toolkit 28

Шведская инвестиционная компания EQT объявила о покупке у компании Micro Focus бизнес-подразделение SUSE. Сумма сделки составляет 2.535 миллиарда долларов. Для сравнения Micro Focus купил холдинг Attachmate Group в 2015 году за 1.2 млрд. долларов, в свою очередь, Attachmate Group в 2011 году поглотил Novell за 2.2 млрд. долларов, а Novell купил SUSE в 2003 году за 210 млн долларов. До завершения сделки необходимо получить одобрение акционеров Micro Focus и разрешение антимонопольных служб стран, в которых зарегистрированы участники сделки. В пресс-релизе отмечается, что SUSE продолжит развитие как независимая компания, придерживающееся полностью открытой модели разработки и соответствующих принципам open source методов ведения … Читать далее Компания EQT покупает SUSE за 2.5 миллиарда долларов

Компания Oracle сформировала корректирующий релиз системы виртуализации VirtualBox 5.2.14, в котором отмечено 10 исправлений. В новой версии: В дополнениях для гостевых систем с Linux обеспечена возможность сборки драйвера vboxvideo с ядром Linux 4.17, а также со старыми выпусками ядра до версии 3.14 и пакетами с ядром до RHEL 7.1; Устранена ошибка, приводившая к краху при попытке доступа к пользовательскому интерфейсу через VNC; В интерфейсе пользователя обеспечена корректная обработка повторяющихся нажатий клавиш на хост-системах с X11; В виртуальной машине устранены проблемы с эмуляцией недокументированной инструкции SALC и эмуляцией режима «huge unreal»; В коде эмуляции клавиатур PS/2 устранена проблема с обработкой частичных … Читать далее Релиз системы виртуализации VirtualBox 5.2.14

Представлен релиз пакета BusyBox 1.29 с реализацией набора стандартных утилит UNIX, оформленных в виде единого исполняемого файла и оптимизированных для минимального потребления системных ресурсов при размере комплекта менее 1 Мб. Первый выпуск новой ветки 1.29 позиционируется как нестабильный, полная стабилизация будет обеспечена в версии 1.29.1, которая ожидается примерно через месяц. Код проекта распространяется под лицензией GPLv2. Модульный характер BusyBox даёт возможность сформировать один унифицированный исполняемый файл, содержащий в себе произвольный набор реализованных в пакете утилит (каждая утилита доступна в форме символической ссылки на данный файл). Размер, состав и функциональность коллекции утилит можно варьировать в зависимости от потребностей и возможностей встраиваемой … Читать далее Релиз минималистичного набора системных утилит BusyBox 1.29

Доступен десятый кандидат в релизы свободного web-браузера Otter, нацеленного на воссоздание классического интерфейса Opera 12, независимого от конкретных браузерных движков и ориентированного на продвинутых пользователей, не принимающих тенденции по упрощению интерфейса и сокращению возможностей кастомизации. Браузер написан на языке C++ с использованием библиотеки Qt5 (без QML). Исходные тексты доступны под лицензией GPLv3. Ожидается, что RC10 станет последним кандидатом в релизы и следующим шагом станет заморозка кодовой базы перед релизом 1.0. В новом выпуске улучшена работа встроенного интерфейса для просмотра новостных лент (Feeds reader). Добавлена возможность импорта списка RSS- и Atom-подписок в формате OPML. Реализована поддержка протокола ABP, применяемого в AdBlock … Читать далее Десятый кандидат в релизы браузера Otter

Опубликована стабильная версия набора базовых системных утилит GNU Coreutils 8.30, в состав которого входят такие программы, как sort, cat, chmod, chown, chroot, cp, date, dd, echo, hostname, id, ln, ls и т.д. Основные новшества: Добавлен новый режим «cp —reflink=never» (по умолчанию в reflink используется режим auto), при котором всегда выполняется создание полной копии файлов, без применения клонирования идентичных файлов (при клонировании в метаданных создаётся дополнительная ссылка на уже имеющиеся данные без их фактического копирования); Команда «cp —force file symlink» теперь удаляет символическую ссылку, если она зациклена и ссылается на саму себя; В команде «ls —color» при подсветке теперь учитывается регистр … Читать далее Выпуск набора базовых системных утилит GNU Coreutils 8.30

Сформирован выпуск музыкального проигрывателя Elisa 0.2, построенного на основе технологий KDE и распространяемого под лицензией LGPLv3. Разработчики приложения пытаются воплотить в жизнь рекомендации по визуальному дизайну мультимедийных проигрывателей, разработанных рабочей группой KDE VDG. При развитии проекта основное внимание уделяется обеспечению стабильности, а уже потом наращиванию функциональности. Бинарные сборки в ближайшее время будут подготовлены для Linux (rpm для Fedora и универсальные пакеты flatpak), macOS и Windows. Интерфейс построен на базе Qt Quick Controls и типовых библиотеках из набора KDE Frameworks (например, KFileMetaData). Для воспроизведения используются компоненты QtMultimedia. Обеспечивается хорошая интеграция с рабочим столом KDE Plasma, но программа не привязана к нему, … Читать далее Выпуск музыкального проигрывателя Elisa 0.2, развиваемого сообществом KDE

Зафиксирована вторая атака на сервисы криптокошельков, вероятно проведённая с использованием BGP. На этот раз злоумышленникам удалось перенаправить на подставной сайт часть пользователей финансового сервиса Trezor, предоставляющего аппаратное устройство для локального хранения ключей от кошельков с различными криптовалютами и унифицированный интерфейс для работы с кошельками. В ответ на попытки определения имени хоста wallet.trezor.io некоторым пользователям какое-то время выдавался IP-адрес клона сайта Trezor Wallet, на котором при попытке входа выводилось сообщение о повреждении данных в хранилище с предложением ввести последовательность для восстановления доступа к кошельку. В случае ввода кода, злоумышленники получали полный контроль за ключами к криптовалютам, размещённым в хранилище Trezor (wallet.trezor.io … Читать далее Фишинг-атака на платёжную систему Trezor, вероятно проведённая с использованием BGP

Представлен выпуск свободной системы нелинейного видеомонтажа OpenShot 2.4.2. Код проекта поставляется под лицензией GPLv3: интерфейс написан на Python и PyQt5, ядро обработки видео (libopenshot) написано на C++ и использует возможности пакета FFmpeg, интерактивная шкала времени написана с использованием HTML5, JavaScript и AngularJS. Для пользователей Ubuntu пакеты с последним выпуском OpenShot доступны через специально подготовленный PPA-репозиторий, для остальных дистрибутивов сформирована самодостаточная сборка в формате AppImage. Имеются сборки для Windows и macOS. Редактор отличается удобным и интуитивно понятным пользовательским интерфейсом, позволяющим редактировать видео даже начинающим пользователям. Программа поддерживает несколько десятков визуальных эффектов, дает возможность работы с многотрековыми монтажными шкалами с возможностью перемещения … Читать далее Выпуск свободного видеоредактора OpenShot 2.4.2

В коммуникационном стандарте LTE (4G), применяемом в современных сетях мобильной связи, выявлено несколько уязвимостей, дающих возможность анализировать трафик абонента и манипулировать данными, отправляемыми на устройство пользователя. Исследователями разработано три варианта атаки на LTE. Две атаки проводятся в пассивном режиме и позволяют собирать метаданные о трафике, например, идентифицировать определённые виды трафика и определять какие сайты посещает пользователь. Третья атака, представленная под кодовом именем aLTEr, позволяет организовать отправку подставных ответов на устройство пользователя и может применяться, например, для перенаправления на вредоносные сайты путём замены IP-адреса DNS-сервера в DNS-пакетах. Атака требует физического присутствия поблизости от жертвы и основана на инициировании подключения устройства жертвы … Читать далее Выявлены уязвимости, позволяющие манипулировать трафиком в сетях 4G LTE