Разработчики проекта GitLab, развивающего платформу для организации совместной работы с Git-репозиториями, которая по своим возможностям напоминает GitHub, но не привязана к конкретному сервису, распространяется в исходных текстах под свободной лицензией и позволяет развернуть web-сервис управления проектом на своём подконтрольном сервере, рассказали о работе по глубокой модернизации системы навигации в интерфейсе пользователя. Понимая, что значительные изменения могут быть негативно восприняты консервативной частью пользователей, новый интерфейс будет внедрять постепенно. Первым шагом станет появление в грядущем выпуске GitLab 9.4 опции для тестирования нового оформления (в профиле пользователя следует выбрать «Turn on new navigation»). Изменения нацелены на повышения эффективности и удобства работы, и сводятся … Читать далее Представлен новый интерфейс GitLab

Компания Jide Technology объявила о сворачивании своих проектов для конечных потребителей и переориентации бизнеса на создание решений для корпоративных клиентов. В том числе будет прекращена разработка окружения Remix OS, развиваемого совместно с проектом Android-x86. Компания также заявила о возврате всех средств, собранных на Kickstarter в рамках кампании по совместному финансированию разработки устройств Remix IO и Remix IO+, и отмене всех ещё невыполненных заказов, сделанных в online-магазине. Напомним, что Remix OS представляет собой сборку Android-x86 для персональных компьютеров и ноутбуков, оптимизированную для использования на рабочем столе c полноценной поддержкой управления с использованием мыши и клавиатуры, многооконным режимом, панелью инструментов, контекстными меню, … Читать далее Объявлено о прекращении разработки Remix OS, Android-окружения для ПК

Создатели платформы электронных платежей CoinDash столкнулись с поучительной атакой, которая привела к попаданию в руки злоумышленников около 7 млн долларов, перечисленных в рамках мероприятия по совместному инвестированию развития социальной торговой платформы Ether. Через три минуты после начала первичного размещения монет (ICO, Initial Coin Offering) неизвестные злоумышленники взломали сайт проекта и скрытно подменили адрес ETH-кошелька для перевода средств. Идентификатор кошелька ETH включает 40 шестнадцатеричных цифр, поэтому его подмена сразу не бросилась в глаза, а когда была обнаружена кошелёк злоумышленника содержал 43438 ETH, что соответствует примерно 7.8 млн долларам. CoinDash полагает, что около 7 млн из этой суммы перечислено в рамках атаки, … Читать далее Подмена ETH-кошелька привела к краже 7 млн долларов, собранных на развитие CoinDash

В RADIUS-сервере FreeRADIUS, применяемом многими операторами связи для аутентификации, авторизации и аккаунтинга абонентов, выявлено 11 уязвимостей (CVE-2017-10978 — CVE-2017-10988), из которых две (CVE-2017-10984, CVE-2017-10979) могут привести к удалённому выполнению кода, а девять к отказа в обслуживании и, как следствие, невозможности клиентов подключиться к серверам доступа. Проблемы устранены в выпусках 3.0.15 и 2.2.10. Пользователям, применяющим FreeRADIUS в руминге с внешними RADIUS-серверами или принимающим запросы из глобальной сети, рекомендуется срочно установить обновление. Уязвимости выявлены Гвидо Вренкеном (Guido Vranken), в результате fuzzing-тестирования парсеров DHCP- и RADIUS-пакетов, проведённого по заказу команды разработчиков FreeRADIUS после его работы по выявлению серии уязвимостей в OpenVPN, пропущенных в … Читать далее 11 удалённо эксплуатируемых уязвимостей во FreeRADIUS

Группа энтузиастов ретро-систем опубликовала первый выпуск симулятора мейнфрейма Honeywell DPS-8/M, пригодного для запуска операционной системы Multics, выпускавшейся с 1965 по 1992 год и рассматриваемой как прародитель UNIX. Симулятор доступен как в исходных текстах, так и в виде готовых сборок для Linux, Windows и macOS. Для запуска в симуляторе предлагается образ операционной системы Multics 12.6f (код Multics в 2007 году был открыт Массачусетским технологическим институтом). Предоставляется возможность работы с Multics через эмулятор терминала. Возможна симуляции ленточных и дисковых накопителей через локальную ФС, но поддерживается и ввод/вывод через симулированные перфокарты. Читать далее Симулятор оборудования для запуска операционной системы Multics

Компания Cisco выпустила обновления прошивок для продуктов на базе платформ IOS и IOS XE, в которых устранена серия опасных уязвимостей (CVE-2017-6736 — CVE-2017-6744), позволяющих выполнить свой код и получить полный контроль над устройством или инициировать перезагрузку через отправку специально оформленного пакета по протоколу SNMP. Атака возможна только при наличии у злоумышленника возможности напрямую обратиться к устройству по SNMP при обработке устройством одного из следующих MIB (активированы по умолчанию при включении SNMP, для проверки можно использовать команду «show snmp mib»): ADSL-LINE-MIB, ALPS-MIB, CISCO-ADSL-DMT-LINE-MIB, CISCO-BSTUN-MIB, CISCO-MAC-AUTH-BYPASS-MIB, CISCO-SLB-EXT-MIB, CISCO-VOICE-DNIS-MIB, CISCO-VOICE-NUMBER-EXPANSION-MIB, TN3270E-RT-MIB. В качестве обходного пути защиты рекомендуется исключить указанные MIB при помощи команды … Читать далее В Cisco IOS устранены уязвимости, удалённо эксплуатируемые по SNMP

Спустя два года с момента прошлого значительного выпуска состоялся релиз Linux-дистрибутива Mageia 6, в рамках которого независимым сообществом энтузиастов развивается форк проекта Mandriva. Для загрузки доступны 32- и 64-разрядные DVD-сборки (2.4 Гб), минималистичный образ для установки по сети (32 Мб) и набор Live-сборок на базе GNOME, KDE и Xfce. Срок поддержки Mageia 6 составит не менее 18 месяцев (до 16 января 2019 года). Обновления для прошлой ветки Mageia 5 будут формироваться до 31 октября 2017 года. Ключевые улучшения: Для управления пакетами, помимо ранее предлагаемого urpmi, в качестве альтернативы теперь поддерживается пакетный менеджер DNF 2.0, уже применяемый проектом Fedora. Пакетный менеджер … Читать далее Выпуск дистрибутива Mageia 6, форка Mandriva Linux

Комитет по правовым вопросам Фонда Apache принял решение запретить использование в проектах Apache кода, поставляемого под лицензией BSD (3-Clause) с дополнительным соглашением по использованию патентов («BSD+Patent»), используемой в открытых проектах Facebook. Для проектов Apache, которые уже используют зависимости под лицензией «BSD+Patent», введение запрета отложено до 31 августа, чтобы дать время на переработку кода. Из других лицензий, входящих в чёрный список Фонда Apache, можно отметить GPL, AGPL, LGPL и BSD-4-Clause. Лицензия Facebook BSD+Patent признана недопустимой из-за несбалансированного перекладывания рисков на потребителей продуктов под данной лицензией. В лицензии наблюдается дисбаланс в пользу лицензодателя, а не лицензиата, что нарушает принятые в Фонде Apache … Читать далее Проектам Apache запрещено использование кода с вариантом лицензии BSD от Facebook

Доступен выпуск свободной криптографической библиотеки Sodium 1.0.13, которая совместима на уровне API с библиотекой NaCl (Networking and Cryptography library) и предоставляет функции для организации защищённого сетевого взаимодействия, хэширования, генерации псевдослучайных чисел, работы с цифровыми подписями, шифрования с использованием аутентифицированных открытых и симметричных (shared-key) ключей. API Sodium отличается простотой и предлагает по умолчанию наиболе безопасные опции, методы шифрования и хэширования. Код библиотеки распространяется под свободной лицензией ISC. В новом выпуске: Реализован набор функций crypto_box_curve25519xchacha20poly1305_seal*(); Решены проблемы со сборкой в OpenBSD; Обновлён скрипт компиляции для Android (появилась поддержка NDK r14b); В сборки для iOS добавлены armv7s-оптмизиации; Добавлена новая реализация хэш-функции Argon2 — … Читать далее Выпуск криптографической библиотеки Sodium 1.0.13

В пакете Heimdal Kerberos и реализации протокола Kerberos, поставляемой в Samba, выявлена уязвимость (CVE-2017-11103), позволяющая атакующему притвориться заслуживающим доверия сервисом через организацию MITM-атаки. Уязвимость присвоен критический уровень опасности. В контексте Samba уязвимость позволяет через MITM-атаку имитировать для клиента заслуживающие доверия файловые серверы SMB/CIFS, серверы печати или серверы авторизации. Проблема вызвана некорректной организацией проверки имени сервиса KDC-REP (Key Distribution Center) при аутентификации доступа клиента к сервису через систему билетов (tickets). Суть проблемы в том, что извлечение имени сервиса KDC-REP производилось из незашифрованного и неаутентифицированнго билета (ticket), в то время как спецификация Kerberos 5 требует извлекать имя сервиса только из зашифрованного и … Читать далее Критическая уязвимость в Heimdal Kerberos, затрагивающая Samba 4

Представлен релиз СУБД Redis 4.0, относящейся к классу NoSQL-систем. Redis предоставляет похожие на Memcached функции для хранения данных в формате ключ/значение, расширенные поддержкой структурированных форматов данных, таких как списки, хэши и множества, а также возможностью выполнения на стороне сервера скриптов-обработчиков на языке Lua. В отличие от Memcached, Redis обеспечивает постоянное хранение данных на диске и гарантирует сохранность БД в случае аварийного завершения работы. Исходные тексты проекта распространяются в рамках лицензии BSD. Клиентские библиотеки доступны для большинства популярных языков, включая Perl, Python, PHP, Java, Ruby и Tcl. Redis поддерживает транзакции, позволяющие выполнить за один шаг группу команд, гарантируя непротиворечивость и последовательность … Читать далее Выпуск СУБД Redis 4.0 с новым движком репликации и поддержкой модулей

Доступен релиз кластерной файловой системы Lustre 2.10, используемой в большей части крупнейших Linux-кластеров, содержащих десятки тысяч узлов. Масштабируемость на столь крупных системах достигается благодаря многокомпонентной архитектуре. Ключевыми компонентами Lustre являются серверы обработки и хранения метаданных (MDS, MDT), управляющие серверы (MGT, MGS), серверы хранения объектов (OSS), серверы размещения объектов (OST, поддерживается работа поверх ext4 и ZFS) и клиенты (код клиента входит в состав штатного ядра Linux). Основные изменения: Представлена раскладка PFL (Progressive File Layouts), автоматически корректирующая метод размещения файла при увеличении его размера. PFL позволяет обойтись применением одной раскладки, выбранной при создании файла и адаптирующейся к изменяющимся характеристикам файла; Добавлена функция … Читать далее Выпуск кластерной ФС Lustre 2.10.0

В поставляемом в составе GNOME просмотрщике документов Evince выявлена уязвимость (CVE-2017-1000083), которая может привести к выполнению кода злоумышленника при открытии специально оформленного файла в формате CBT (используется для комиксов). Проблема вызвана ошибкой в реализации обработчика comic book, входящего в состав evince. Уязвимость также проявляется в Atril (форк Evince, развиваемый проектом MATE) и Xreader (форк Atril от проекта Linux Mint). Особую опасность представляет то, что уязвимость может быть эксплуатирована без явного открытия файлов пользователем — в процессе автоматического построения пиктограмм с эскизами для новых файлов, т.е. для эксплуатации достаточно просмотреть список файлов в файловом менеджере или вставить носитель. Более того, можно … Читать далее Уязвимость в GNOME Evince, позволяющая выполнить код при построении миниатюр

Автор дополнения Particle, насчитывающего более 30 тысяч установок и предлагающего расширенные настройки для YouTube, обнаружил, что новый владелец проекта интегрировал в дополнение вредоносный код. Автор Particle начал работать над новым проектом Iridium, нацеленным на создание с нуля нового варианта дополнения для адаптации функциональности к новому оформлению YouTube, поэтому продал уже не развивающееся дополнение компании, которая ранее предлагала сотрудничество в размещении рекламы. Отмечается, что перед продажей автор дополнения наводил справки на компанию, но не обнаружил ничего подозрительного. К сожалению автор не может указать название компании и какие-либо иные детали сделки, так как перед продажей он подписал соглашение о неразглашении информации. Через … Читать далее Chrome-дополнение Particle было выкуплено у автора и превращено во вредоносное ПО

Компания OmniTI представила проект OmniOS Community Edition, в рамках которого сформирован новый дистрибутив Illumos (форк OpenSolaris), воплотивший идею по передаче контроля над разработкой OmniOS независимому сообществу, которое отныне продолжит сопровождение и управление проектом. Инфраструктура и репозитории для нового проекта запущены на благодаря совместному участию ряда организаций и компаний, выразивших интерес к независимому продолжению разработки OmniOS. Для управления проектом в Швейцарии учреждена некоммерческая ассоциация OmniOSce (OmniOS Community Edition Association). В состав управляющего комитета вошли Tobias Oetiker (президент, oetiker.ch), Andy Fiddaman (ответственный за разработку, citrus-it.net) и Dominik Hassler (финансовые вопросы). OmniOS Community Edition предоставляет полноценную поддержку гипервизора KVM, виртуального сетевого стека Crossbow … Читать далее Представлен OmniOS Community Edition, новый дистрибутив Illumos

Организация Apache Software Foundation представила выпуск сервера web-конференций Apache OpenMeetings 3.3.0, который примечателен устранением 11 уязвимостей, пяти из которых присвоен высокий уровень опасности. Всем пользователям продукта рекомендуется срочно установить обновление. В частности устранена уязвимость, позволяющая совершить подстановку SQL-кода аутентифицированным пользователем (CVE-2017-7681), осущестивить вставку JavaScript-кода в чат (CVE-2017-7663), провести CSRF- и XSS-атаки (CVE-2017-7666). Система аутентификации оказалась незащищена от перебора паролей и ботов (отсутствует капча), пароли хранились с использованием ненадёжных криптографических методов (CVE-2017-7673). Отсутствовала проверка загружаемых документов XML (CVE-2017-7664). Из не связанных с безопасностью изменений можно отметить поддержку импорта/экспорта событий календаря-планировщика при помощи протоколов ical и caldav, поддержку загрузки видеофайлов на сервер, … Читать далее Выпуск сервера web-конференций Apache OpenMeetings 3.3 с устранением 11 уязвимостей

Разработчики проекта OpenBSD представили выпуск переносимой редакции пакета LibreSSL 2.6.0, в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. Проект LibreSSL ориентирован на качественную поддержку протоколов SSL/TLS с удалением излишней функциональности, добавлением дополнительных средств защиты и проведением значительной чистки и переработки кодовой базы. Одновременно доступно корректирующее обновление прошлой ветки — 2.5.5, которая позиционируется как стабильная и формирует функциональность, которая включена в OpenBSD 6.1. Выпуск LibreSSL 2.6.0 рассматривается как экспериментальный, в котором развиваются возможности, которые войдут в состав OpenBSD 6.2. Особенности LibreSSL 2.6.0: Добавлены средства предоставления списков отозванных сертификатов (CRL) для libtls. Как только CRL будет предоставлен … Читать далее Выпуск LibreSSL 2.6.0

Представлен релиз переносимой редакции системы синхронизации точного времени OpenNTPD 6.1p1, развиваемой проектом OpenBSD. Версия OpenNTPD 6.1 позиционируется как стабильная и будет включена в состав осеннего релиза OpenBSD 6.1. Одновременно сформирован выпуск OpenNTPD 6.2p1, который рассматривается как экспериментальная база для развития новых возможностей. OpenNTPD обеспечивает поддержку протокола NTP в соответствии с RFC 1305 (NTP, Network Time Protocol) и RFC 5905 (SNTP, Simple Network Time Protocol). Поддерживается как синхронизация локального времени с удалённым NTP-сервером, так и работа в роли NTP-сервера, который в том числе может получать точное время от специального оборудования через sensorsd(8). Настройка осуществляется через файл конфигурации ntpd.conf. Работа OpenNTPD проверена … Читать далее Проект OpenBSD опубликовал выпуски NTP-сервера OpenNTPD 6.1 и 6.2

Компания «НТЦ ИТ РОСА» выпустила серверный дистрибутив ROSA Enterprise Linux Server 6.9 (RELS). Новая версия построена на пакетной базе CentOS 6.9 (прошлый выпуск был основан на пакетах RHEL 6.7). 32- и 64-разрядные сборки дистрибутива доступны для свободной загрузки. Для прошлого выпуска был публично доступен репозиторий с пакетами и обновлениями с устранением проблем безопасности, для выпуска 6.9 бинарные сборки публично не поставляются, размещены только пакеты с исходными текстами, а доступ к репозиторию можно получить отправив специальный запрос в отдел продаж или техническую поддержку. Кроме штатных пакетов из CentOS в состав ROSA Enterprise Linux Server включены дополненные инструменты для развёртывания частных облаков, … Читать далее Доступен дистрибутив ROSA Enterprise Linux Server 6.9

На сайте государственных услуг Российской Федерации (gosuslugi.ru) наблюдается наличие вредоносных iframe-блоков, через которые загружается контент с сайтов злоумышленников и обрабатывается в рамках текущего сеанса. Обращение производится к доменам, состоящим из хаотичного набора символов (например, u7yb1iy1x3xv.ru или m81jmqmn.ru) c которых загружается файл «f.html». Примечательно, что служба поддержки gosuslugi.ru никак не отреагировала на сообщение о проблеме и вредоносный код находится на сайте до сих пор. В настоящее время через данную вредоносную вставку производится DDoS-атака на один из украинских сайтов: при запросе /f.html выдаётся редирект на атакуемый сайт, который наводняется запросами, образуемыми при обработке iframe-блоков в процессе открытия страниц на gosuslugi.ru. Судя по … Читать далее На страницах портала Госуслуг РФ обнаружен посторонний вредоносный код

После четырёх месяцев разработки состоялся релиз системного менеджера systemd 234. Из новшеств можно отметить переход с Automake на сборочную систему Meson, обеспечение перезапуска systemd-logind без потери состояния, возможность ограничить время выполнения unit-а, добавление в systemd-networkd реализации IPv6 Router Advertisment и появление возможности обработки диапазонов адресов IPv6. Основные изменения: Обеспечена поддержка сборки при помощи сборочной системы Meson, использующей инструментарий Ninja. Поддержка ранее применяемой сборки на основе Automake пока сохранена, но в будущих выпусках запланирована к удалению. Для сборки systemd вместо «./autogen.sh ./configure make sudo make install» теперь можно использовать «meson build ninja -C build sudo ninja -C build install»; В менеджере … Читать далее Релиз systemd 234