Компания Google анонсировала модульную систему Treble, которая позволит производителям создавать универсальные компоненты поддержки оборудования, не привязанные к конкретным версиям Android и используемым в них выпускам ядра Linux. Treble существенно упростит адаптацию новых версий Android для существующих устройств и поможет наладить оперативное создания обновлённых прошивок с актуальными выпусками Android. По аналогии с тем, как сейчас Android-приложения могут работать на любых устройствах с Android, Treble позволит использовать одни и те же драйверы с различными версиями Android. Если ранее производитель вынужден был портировать компоненты для поддержки оборудования для ядра каждого нового выпуска, то теперь для новых выпусков можно будет использовать уже подготовленную основу, … Читать далее Google представил прослойку для отделения поддержки оборудования от версий Android

Состоялся экспериментальный выпуск открытой реализации Win32 API — Wine 2.8. С момента выпуска версии 2.7 было закрыто 35 отчётов об ошибках. Наиболее важные изменения: Реализована возможность асинхронного выполнения обособленного потока обработки команд Direct3D; Улучшено автоопределение последовательных и параллельных портов; Внесены исправления, направленные на улучшение настроек для экранов с высокой плотностью пикселей (high DPI); На платформе macOS обеспечен вывод уведомлений в системный лоток; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Chessbase Ludwig 3, MS Office 2007 SP3, Xvid 1.3.x, WinDjView, Prism Video Converter v2.48, Toad Data Modeler v5.4.8.1, Left 4 Dead 2 v2.1.4.6, Fill Up!, WindBot, B4J (Basic … Читать далее Выпуск Wine 2.8

Разработчики openSUSE предупредили о временном блокировании системы аутентификации и переводе в режим только для чтения некоторых сервисов проекта, включая форум, wiki и сборочную инфраструктуру Open Build Service. В качестве причины называется компрометация системы аутентификации, в результате которой злоумышленники могли получить доступ к учётным записям пользователей и разработчиков дистрибутива. Инцидент пока находится на стадии анализа и изучения имеющихся фактов, насколько далеко зашла атака пока не ясно. Средства аутентификации отключены до окончания разбирательства с целью защитить пользовательские данные и инфраструктуру от возможного распространения атаки на другие подсистемы. По имеющимся в текущий момент сведениям инцидент затрагивает только пользователей сторонних инфраструктур, в которых применялась … Читать далее Некоторые сервисы openSUSE отключены из-за взлома инфраструктуры

В Ubuntu временно заблокирована возможность использования гостевого сеанса в дисплейном менеджере LightDM из-за выявления уязвимости (CVE-2017-8900), которая позволяет получить доступ к файлам вне гостевой директории, в том числе к файлам в домашних каталогах обычных пользователей. Проблема проявляется начиная с Ubuntu 16.10 и вызвана прекращением применения ограничений AppArmor (в Ubuntu 16.04 и более ранних выпусках применялся профиль /usr/lib/lightdm/lightdm-guest-session) после перехода к использованию systemd для управления сеансами. В качестве возможного пути устранения проблемы рассматривается использование модуля pam_apparmor для применения ограничивающего профиля AppArmor. Читать далее Уязвимость в Ubuntu, открывающая доступ к чужим файлам из гостевого сеанса

Доступен корректирующий выпуск растрового графического редактора GIMP 2.8.22, в котором отмечено 11 исправлений. В новом выпуске внесены изменения в организацию иерархии окон в однооконном режиме, что позволило добиться увеличения призводительности отрисовки при использовании некоторых видов тем оформления GTK+. Устранена уязвимость (CVE-2007-3126), которая теоретически могла привести к краху при попытке импорта специально оформленных изображений в формате ICO (ошибка оставалась в ветке 2.8, но не проявлялась). Устранены проблемы, приводящие к крахам на платформе macOS при выполнении операций с буфером обмена и перемещении элементов в режиме dragdrop. Устранён крах, проявляющийся на платформе Windows при использовании инструмента определения цвета точек в конфигурациях с несколькими … Читать далее Выпуск графического редактора GIMP 2.8.22

Сформирован корректирующий выпуск пакета OpenVPN 2.4.2, в состав которого вошли исправления, устраняющие проблемы, выявленные в результате независимого аудита механизмов шифрования. Одновременно опубликован отчёт с раскрытием деталей аудита. Напомним, что аудит был инициирован фондом OSTIF (Open Source Technology Improvement Fund) и выполнен французской компанией QuarksLab, которая уже привлекалась для аудита проекта VeraCrypt. На основании выработанных в ходе проверки рекомендаций в OpenVPN 2.4.2 внесено семь исправлений: устранена одна опасная проблема, одна уязвимость средней степени опасности и пять несущественных недоработок. В частности, исправлены следующие уязвимости: CVE-2017-7478 — аутентифицированый пользователь может инициировать отказ в обслуживании VPN-сервера через отправку слишком большой порции данных в пакете … Читать далее Выпуск OpenVPN 2.4.2, в котором отражены результаты аудита безопасности

Группа исследователей из Нью-Йоркского университета разработала метод для генерации фиктивных отпечатков пальцев, которые можно использовать для разблокировки чужих смартфонов. По заявлению исследователей сгенерированные универсальные отпечатки позволяют разблокировать смартфон с вероятностью от 26% до 65%, в зависимости от модели смартфона, при предоставлении пяти попыток разблокировки. Метод основан на том, что обычно в смартфонах используются датчики, обладающие небольшим разрешением и охватывающие не весь рисунок кожи на пальце, а лишь небольшую его часть. Для того чтобы пройти аутентификацию в условиях информации о небольшом участке кожи программное обеспечение для выявления уникальных элементов рисунка кожи выполняет сопоставление с шаблонами небольших фрагментов, а не целого отпечатка. … Читать далее Метод создания фиктивных отпечатков пальцев для разблокировки смартфонов

Компания Mozilla объявила о расширении инициативы по выплате вознаграждений за выявления уязвимостей. До сих пор вознаграждения начислялись только за информацию об уязвимостях в продуктах Mozilla, но уязвимости на сайтах и web-сервисах для разработки, таких как mozilla.org и bugzilla.org, представляют не меньшую опасность и могут быть применены для атаки на всю инфраструктуру. Отныне вознаграждение можно будет получить и за сведения о проблемах с безопасностью на сайтах Mozilla. За информацию об уязвимости, позволяющей выполнить код на сервере будет выплачено вознаграждение в $5000 для ключевых сайтов Mozilla, $2500 для основных сайтов Mozilla и $500 для вторичных ресурсов Mozilla. За сведения об обходе механизмов … Читать далее Инициатива по выплате вознаграждений за поиск уязвимостей на сайтах Mozilla

Организация The Document Foundation объявила о выходе LibreOffice 5.3.3, третьего корректирующего выпуска из семейства LibreOffice 5.3 «fresh». Версия 5.3.3 ориентирована на энтузиастов, опытных пользователей и тех, кто предпочитает самые свежие версии программного обеспечения. Для консервативных пользователей и предприятий пока рекомендуется использовать выпуск LibreOffice 5.2.7. Готовые установочные пакеты подготовлены для платформ Linux, macOS и Windows. Обновление включает 75 исправлений (RC1, RC2), в том числе обновлены монохромные пиктограммы Sifr и устранены проблемы, связанные с совместимостью с документами Microsoft Office. Читать далее Обновление офисного пакета LibreOffice 5.3.3

Компания Яндекс опубликовала исходные тексты проекта Gixy, в рамках которого развивается статический анализатор, предназначенный для выявления проблемных настроек в файлах конфигурации nginx, которые могут отрицательно повлиять на безопасность. Код написан на языке Python и распространяется под лицензией MPL 2.0. В настоящее время Gixy включает следующие плагины, выявляющие различные классы проблем: ssrf — выявляет уязвимость Server Side Request Forgery, позволяющую выполнять различного рода запросы от имени Nginx. Проблема возникает, когда атакующий может контролировать адрес проксируемого сервера (второй аргумент директивы proxy_pass); http_splitting — выявляет уязвимость HTTP Splitting, возникающую из-за неправильной обработки входных данных. Уязвимость может применяться для атак на приложение стоящее за … Читать далее Yandex опубликовал статический анализатор файлов конфигурации nginx

Состоялся первый стабильный выпуск распределённой СУБД CockroachDB, позволяющей создавать высоконадёжные горизонтально масштабируемые хранилища. При помощи CockroachDB можно развернуть географически распределённые системы, отличающиеся высокой живучестью и не зависящие от сбоев дисков, узлов и даже выхода из строя целых центров обработки данных. Ситуации сбоев обрабатываются автоматически и работа восстанавливается с минимальными задержками. При этом CockroachDB гарантирует целостность ACID-транзакций, предоставляет возможность использования SQL для манипуляции с данными, позволяет вносить изменения в схему хранения на лету, поддерживает индексы и внешние ключи. CockroachDB разработан под впечатлением от технологий Google Spanner и F1, но в отличие от них является полностью открытым продуктом. Код проекта написан на … Читать далее Первый стабильный выпуск отказоустойчивой СУБД CockroachDB

Опубликован первый стабильный выпуск web-фреймворка GNU Artanis, развиваемого в рамках проекта GNU. Фреймворк написан на функциональном языке программирования Scheme (реализация от проекта Guile) и ориентирован на создание динамических сайтов, web-приложений и web-сервисов. Целью разработки GNU Artanis является предоставление возможности построения сайтов GNU с использованием языка Guile Scheme, который является официальным языком для разработки расширений GNU. Код поставляется под лицензиями GPLv3+ и LGPLv3+. Проектом применяется Sinatra-подобная система проброса запросов. Предоставляются компоненты для доступа к базам данных (MySQL, SQLite, PostgreSQL), управления сеансами, использования шаблонов, кэширования страниц, построения RESTful-сервисов и обработки форматов JSON/CSV/XML/SXML. Для самодостаточного применения поставляется встроенная реализация web-сервера с обработчиком ошибок. … Читать далее Проект GNU представил web-фреймворк GNU Artanis

Представлен новый стабильный релиз интерфейса для упрощения настройки параметров сети — NetworkManager 1.8. Вместе с NetworkManager выпущен апплет с реализацией индикатора для панели GNOME, но плагины для поддержки VPN, OpenConnect, PPTP, OpenVPN и OpenSWAN развиваются в рамках собственных циклов разработки. Ключевые новшества NetworkManager 1.8: Изменена логика восстановления состояния после перезапуска фонового процесса NetworkManager. Перед остановкой NetworkManager теперь сохраняет в файл текущее состояние сетевых настроек и восстанавливает его после перезапуска. Указанный подход позволяет избавиться от неопределённости с восстановлением настроек во время перезапуска — просто восстановить определённые в файлах конфигурации настройки недостаточно, так как в этом случае потеряются ручные изменения. Восстановление на … Читать далее Релиз сетевого конфигуратора NetworkManager 1.8

Представлен выпуск проприетарного браузера Opera 45, основанного на кодовой базе Chromium. Сборки сформированы для платформ Linux, macOS и Windows. Выпуск примечателен интеграцией наработок, развивавшихся в рамках экспериментального браузера Opera Neon, оценивающего новые методы взаимодействия в Web. В Opera 45 перенесена новая боковая панель, по умолчанию отображаемая на стартовой странице, и легко активируемая для отображения во время просмотра вкладок через специальный переключатель. Панель позволяет не только быстро вызывать функции просмотра истории посещений и закладок, но и предоставляет встроенные средства обмена сообщениями через Facebook Messanger, Telegram и WhatsApp. Мессенджеры уже закрепились на смартфонах как одно из самых популярных средств не только для … Читать далее Выпуск web-браузера Opera 45 с интеграцией наработок проекта Opera Neon

После трёх месяцев разработки опубликован релиз свободной реализации OpenGL API — Mesa 17.1. По сравнению с прошлым выпуском внесено около 3000 изменений от примерно 140 разработчиков. Первый выпуск ветки Mesa 17.1.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 17.1.1. Наиболее заметные изменения: В драйвере i965 для чипов Intel Ivy Bridge обеспечена поддержка OpenGL 4.2, что позволило добиться паритета функциональности с OpenGL-драйверами для Windows, macOS и Android; Реализована поддержка кэширования шейдеров на диске, что позволяет ускорить запуск и сократить время компиляции шейдеров в некоторых играх; Существенно увеличена производительность игр компании Feral Interactive, которая также предоставила … Читать далее Релиз Mesa 17.1.0

Исследователи безопасности из группы Zero, созданной компанией Google для предотвращения атак, совершаемых с использованием ранее неизвестных уязвимостей, опубликовали технику эксплуатации уязвимости (CVE-2017-7308) в ядре Linux, позволяющей поднять свои привилегии в системе через передачу специально оформленных параметров при манипуляции с RAW-сокетами AF_PACKET. Уязвимость проявляется в ядрах до 4.10.6 при включении сокетов AF_PACKET с поддержкой кольцевых буферов TPACKET_V3 ( «CONFIG_PACKET=y», в большинстве дистрибутивов включены по умолчанию). Проблема была выявлена в результате fuzzing-тестирования системных вызовов ядра Linux. Опубликован прототип эксплоита, работоспособного в Ubuntu 16.04.2 с ядром 4.8.0-41-generic с включенными механизмами защиты KASLR, SMEP и SMAP. Уязвимость вызвана целочисленным переполнением в функции packet_set_ring() для … Читать далее Локальная root-уязвимость в реализации сокетов AF_PACKET в ядре Linux

Организация Open Invention Network (OIN), ставящая перед собой цель защиты экосистемы Linux от патентных претензий, сообщила о расширении списка пакетов, на которые распространяется соглашение о невыдвижении патентных претензий и предоставлении возможности безвозмездного использования некоторых запатентованных технологий. Список компонентов дистрибутивов, подпадающих под определение системы Linux («Linux System»), на которую распространяется соглашение между участниками OIN, расширен на 395 пакетов. Из внесённых в список новых пакетов отмечаются Ansible, Kubernetes, Cockpit, Nagios, Ganglia, AVFS, Babel, crypto-utils, ModemManager, gpsd, ntfs3g, Cython, etcd, tmux, strongswan, составные части ChromeOS и компоненты, связанные с контейнерной изоляцией (criu, snappy, ostree, sandbox, наработки проекта Atomic). В итоге определение системы Linux … Читать далее Организация OIN включила 395 новых пакетов в программу защиты Linux от патентных претензий

Доступен выпуск распределенной системы управления исходными текстами Git 2.13.0. Git является одной из самых популярных, надёжных и высокопроизводительных систем управления версиями, предоставляющей гибкие средства нелинейной разработки, базирующиеся на ответвлении и слиянии веток. Для обеспечения целостности истории и устойчивости к изменениям задним числом используются неявное хеширование всей предыдущей истории в каждом коммите, также возможно удостоверение цифровыми подписями разработчиков отдельных тегов и коммитов. Из проектов, разрабатываемых с использованием Git, можно отметить ядро Linux, Android, LibreOffice, Systemd, X.Org, Wayland, Mesa, GStreamer, Wine, Debian, DragonFly BSD, Perl, Eclipse, GNOME, KDE, Qt, Ruby on Rails, PostgreSQL, VideoLAN, PHP, Python, Xen, Minix. По сравнению с прошлым … Читать далее Выпуск распределенной системы управления исходными текстами Git 2.13.0

Компания Cisco выпустила обновление прошивки, в котором устранена критическая уязвимость (CVE-2017-3881), позволяющая получить доступ к коммутаторам на базе Cisco IOS и Cisco IOS XE, поддерживающим протокол CMP (Cluster Management Protocol). Атакующий может получить полный контроль над коммутатором, передав специфичный набор опций CMP при обращении к устройству через telnet. В том числе уязвимости подвержены популярные модели коммутаторов Cisco Catalyst 29xx, 35xx, 37xx, 45xx, 49xx. Уязвимость подтверждена в 318 моделях коммутаторов Cisco и позволяет без аутентификации выполнить любые команды в интерфейсе командной строки, при наличии у атакующего доступа к коммутатору по протоколу telnet. Проблема вызвана ошибкой в реализации протокола CMP, предназначенного для … Читать далее Устранена критическая уязвимость, затрагивающая 318 моделей коммутаторов Cisco

Исполнительные комитет JCP (Java Community Process) отклонил принятие спецификации JSR 376 (Java Platform Module System), в рамках которой развивалось ключевое улучшение платформы Java 9, релиз которой запланирован на 27 июля 2017 года. JSR 376 отражает изменения, подготовленные в рамках проекта Jigsaw, и предлагает принципиально новые для Java средства разбиения программ и JDK на модули. Против добавление в Java средств для разбиения на модули проголосовало 13 из 23 активных участников комитета. Среди проголосовавших против: IBM, Red Hat, Eclipse Foundation, Hewlett Packard Enterprise, SAP и Twitter. Из участников, голосовавших за принятие JSR 376, можно отметить Intel, Fujitsu, Goldman Sachs, Oracle. В течение … Читать далее Исполнительный комитет JCP не утвердил модульную систему в Java 9

Разработчики почтового клиента Thunderbird сообщили о завершении переговоров с организацией Mozilla Foundation о дальнейшей судьбе проекта. Проект продолжит свое существование под покровительством Mozilla Foundation, но в рамках новых условий совместной работы. В частности, некоммерческая организация Mozilla Foundation продолжит юридическое сопровождение проекта и обработку поступающих пожертвований, но разработка будет выведена из инфраструктуры компании Mozilla Corporation, т.е. Thunderbird будет развиваться как обособленный проект. Так как технически проект будет разрабатываться независимо от других проектов Mozilla и разработка Thunderbird не будет замедлять работу над Firefox, разработчики не видят значительных препятствий для дальнейшего сосуществования проектов. При этом, кроме технической независимости, в условиях дальнейшего сотрудничества обозначена … Читать далее Thunderbird остаётся под покровительством Mozilla Foundation