Эрик Рэймонд (Eric S. Raymond), один из основателей организации OSI (Open Source Initiative), стоявший у истоков движения открытого ПО, изложил потенциальные планы по переводу разработки NTP-сервера NTPsec с языка C на более современный язык — Rust или Go. Проект NTPsec стартовал в 2015 году как ответвление от NTP Classic, нацеленное на повышение безопасности. С тех пор была проведена чистка исходных текстов от устаревших возможностей, код приведён в соответствие стандартам C99/ANSI, функции работы с памятью и строками заменены на защищённые аналоги, не допускающие переполнения буфера, привнесены практики аудита кода, верификации и покрытия кода тестами. Сегодня же, команда разработчиков NTPsec рассматривает возможность … Читать далее Рассматривается возможность перевода NTPsec на язык Rust или Go

Спустя неделю с момента выявления атаки на СУБД MongoDB, число поражённых вредоносным ПО систем возросло с 2 до 28 тысяч. Общее число потенциально уязвимых систем, в которых доступ к СУБД MongoDB открыт для внешних сетей без применения аутентификации, оценивается в 99 тысяч. В результате атак потеряно более 93 Тб данных. Существенно возросло и число модификаций применяемых для атаки шифровальщиков — в настоящее время зафиксировано около 30 вариантов, требующих отправки на разные кошельки от 0.1 до 1 биткойна и сохраняющих предупреждения в таблицах PWNED, PLEASE_READ, LEIA_ME, WAGNING и т.п. Ни одному из заплативших пока не удалось вернуть свои данные, судя по … Читать далее Число серверов MongoDB, поражённых шифровальщиком, увеличилось до 28 тысяч

Пошаговая стратегия Civilization VI, вышедшая в октябре для платформ Windows и macOS, в ближайшее время будет выпущена и для платформы Linux. Об том официально объявлено в блоге компании Aspyr Media, разработавшей игру. Игра Civilization VI уже завоевала звание лучшей стратегической игры года на церемонии The Game Awards 2016 и лучшей игры на церемонии Game Critics Awards 2016. Читать далее Игра Civilization VI будет выпущена для Linux

Спустя шесть с половиной лет с момента формирования ветки 3.x представлена новая значительная версия пакета mdadm 4.0, включающего в себя набор инструментов для управления программными RAID-массивами в Linux. Значительный выпуск связан с передачей управления разработкой новому мэйнтейнеру — Neil Brown передал свои полномочия Jes Sorensen, который теперь возглавил проект. Из функциональных изменений отмечается поддержка режима failfast и большая порция исправлений, связанных с поддержкой кластерных RAID и IMSM RAID (Intel Matrix Storage Manager). Для IMSM добавлена поддержка устройств с размером сектора 4k. Читать далее Доступен mdadm 4.0, инструментарий для управления программным RAID в Linux

Разработчики проекта Mesa приняли изменения, отражающие переход к новой схеме нумерации выпусков, включающий сведения о дате выпуска. Находящаяся в разработке ветка Mesa 13.1.0 переименована в Mesa 17.0.0, где первая цифра указывает на год выпуска, вторая цифра является порядковым номером значительного выпуска за указанный год, а третья цифра отражает корректирующие выпуски. Выпуск Mesa 17.0.0 намечен на 3 февраля. Причиной введения новой схемы является потеря актуальности прошлой нумерации, первая цифра в которой увеличивалась при обеспечении поддержки очередной версии стандарта OpenGL. В настоящее время в Mesa процесс поддержки OpenGL актуализирован и в Mesa 13.0 была обеспечена поддержка самого последнего стандарта OpenGL 4.5. Читать далее Проект Mesa перешёл на новую схему нумерации выпусков

Доступен выпуск свободного гипервизора Jailhouse 0.6, развиваемого компанией Siemens. Это третий выпуск за время существования проекта. Код проекта распространяется под лицензией GPLv2. Гипервизор поддерживает работу на системах x86_64 с расширениями VMX+EPT или SVM+NPT (AMD-V), а также на процессорах ARMv7 (Banana Pi, NVIDIA Jetson TK1, Versatile Express с Cortex-A15 или A7) и ARMv8/ARM64 (AMD Seattle, LeMaker HiKey, NVIDIA Jetson TX1, Xilinx ZCU102 ) с расширениями для виртуализации. Организация взаимодействия с операционной системой в Jailhouse напоминает KVM, Jailhouse также обеспечивает виртуализацию на уровне ядра Linux, но отличается от KVM более легковесной реализацией и ориентацией на привязку виртуальных машин к фиксированному CPU, области … Читать далее Компания Siemens выпустила гипервизор Jailhouse 0.6

Джоэль Якобсон (Joel Jacobson) выступил с инициативой создания варианта СУБД PostgreSQL, переведённого на язык Rust. Порт будет развиваться под именем RustgreSQL. Перевод с Си на Rust планируется полностью автоматизировать и обеспечить трансляцию основной master-ветки PostgreSQL в представление на языке Rust c автоматической конвертацией всех новых коммитов, т.е. код RustgreSQL будет синхронизирован с PostgreSQL. В качестве мотива создание порта называется избавление от необходимости оглядки на усложнённые детали при работе с памятью на языке Си и возможность задействования средств по обеспечению безопасного программирования, предоставляемых языком Rust. Автоматическое управление памятью в Rust избавляет разработчика от манипулирования указателями и защищает от проблем, возникающих из-за … Читать далее Инициатива по созданию порта PostgreSQL на языке Rust

Компания Red Hat сообщила о проведении в выпуске Red Hat Enterprise Linux 6.9, первая бета-версия которого была недавно предоставлена для тестирования, большой чистки устаревших алгоритмов и протоколов, безопасность которых в современных условиях поставлена под сомнение. Изменения позволят блокировать такие атаки как DROWN против SSL 2.0, SLOTH против MD5, LOGJAM и FREAK против TLS. Среди изменений: Полностью удалена поддержка протокола SSLv2 и экспортных наборов шифров, включающих недостаточно защищённые устаревшие алгоритмы шифрования; Ограничено использование MD5 и SHA0 в качестве алгоритма для создания цифровых подписей; Запрещена установка защищённых соединений с сервером при использовании в TLS параметров DH (Diffie-Hellman), размером менее 1024 бит. Отключено … Читать далее В Red Hat Enterprise Linux 6.9 будет проведена чистка небезопасных алгоритмов и протоколов

В GitHub Enterprise, варианте GitHub для предприятий, позволяющем развернуть окружение для совместной разработки внутри корпоративной сети на подконтрольном оборудовании, выявлена уязвимость, позволяющая через отправку специально оформленного запроса выполнить произвольный SQL-код на сервере. В описании уязвимости приводится заслуживающий внимания рассказ об организации работы кода GitHub Enterprise, который во многом пересекается с кодом публичного сервиса GitHub. Пакет поставляется в виде образа виртуальной машины, доступной для бесплатного ознакомительного использования в течение 45 дней. Исходные тексты скрыты и поставляются в упакованном виде, напоминающем зашифрованный набор данных. Прозрачная распаковка в момент выполнения осуществляется при помощи библиотеки ruby_concealer.so, анализ которой показал для метод упаковки сводится к … Читать далее Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise

В системе для изолированного выполнения приложений Firejail выявлено девять уязвимостей, большинство из которых позволяют повысить свои привилегии в основной системе до пользователя root. Firejail использует для изоляции механизм пространств имён (namespaces), AppArmor и фильтрацию системных вызовов (seccomp-bpf) в Linux, но для настройки изолированного запуска требует повышенных привилегий, которые получает через привязку к утилите флага suid root или запуск при помощи sudo. Как оказалось безопасность Firejail находится в весьма печальном состоянии и многие опции и пользовательские данные обрабатываются под euid 0. Первой была опубликована информация об уязвимости CVE-2017-5180, найденной участниками SuSE Security Team и использующей манипуляцию с файлом /etc/ld.so.preload для запуска … Читать далее Серия уязвимостей в Firejail

Независимая группа разработчиков из сообщества сообщила о создании проекта ThirtyBees, в рамках которого создан форк свободной платформы электронной коммерции PrestaShop, на базе которой построено более 250 тысяч интернет-магазинов. Код проекта написан на PHP и распространяется под лицензией OSL 3.0. В качестве причины создания форка, развиваемого сообществом и независимого от компании, курирующей разработку PrestaShop, называется расхождение взглядов по дальнейшему развитию проекта. Отмечается, что намерение создать ответвление зрело несколько лет и теперь наступил момент, когда PrestaShop перестал отвечать потребностям инициаторов форка. В частности авторы форка недовольны продолжающимся последнее время движением в сторону упрощения, которое приводит к урезанию имеющейся функциональности. Другой проблемой, которую … Читать далее Инициирован форк свободной платформы электронной коммерции PrestaShop

Состоялся релиз музыкального проигрывателя MPD 0.20 (Music Player Daemon), реализованного в форме серверного процесса, доступного по сети и расширяемого через плагины. Для работы с MPD подготовлена серия клиентов, работающих как в режиме командной строки, так и предоставляющих графический интерфейс (Qt, GTK+ и т.п.). Основные изменения: Поддержка чтения тегов ID3 и APE из внешних файлов, в том числе доступных через HTTP, NFS и SMB; Поддержка audio/L16 и WavPack-DSD; Улучшенная поддержка многоканального звука; Поддержка формата DSD_U32 (Direct Stream Digital); Новый плагин для изменения частоты дискретизации — soxr resampler; Дополнительные возможности вывода информации об ошибках (как в лог, так и клиенту); Расширение возможностей … Читать далее Доступен музыкальный проигрыватель MPD 0.20

Компания Google удалила из каталога Chrome Web Store дополнение для блокирования рекламы AdNauseam и добавила его в списки вредоносного ПО, что привело к невозможности использовать ранее установленные экземпляры данного расширения, в том числе установленные вручную в режиме разработчика. AdNauseam является ответвлением от uBlock-Origin и распространяется под лицензией GPLv3. Ключевым отличием AdNauseam от традиционных блокировщиков является то, что AdNauseam не только скрывает рекламу, но и симулирует клик на каждом блокируемом рекламном блоке, что объясняется разработчиками попыткой ввести в заблуждение применяемые в рекламных сетях механизмы отслеживания интересов пользователей (подразумевается, чти при клике на каждой показанной рекламе, невозможно определить реальные интересы пользователя). Компания … Читать далее Google добавил блокировщик рекламы AdNauseam в список вредоносного ПО

Ричард Столлман объявил о решении пойти навстречу пожеланиям основателя Libreboot и, вопреки сложившейся практике, исключить Libreboot из числа проектов GNU. Таким образом Libreboot больше не является проектом GNU, но продолжает быть свободным ПО. Проект GNU выступает в роли арбитра, поддерживающего разработку в рамках русла движения СПО, не допускающего изменение изначально намеченного курса развития и обеспечивающего координацию управляющих процессов. В случае потери интереса или в силу иных причин мэйнтейнер может отстраниться от разработки, но сам проект не сгинет вместе с ним, представители GNU утвердят нового мэйнтенера и проект продолжит своё развитие. Многие пакеты GNU существуют уже много лет и их оригинальные … Читать далее Ричард Столлман сообщил о выходе Libreboot из проекта GNU

В Сети зафиксирована новая атака на серверы с СУБД MongoDB, доступные без аутентификации Выявлено около 2000 поражённых систем, на которых имеющиеся данные были удалены, а в БД добавлена таблица «WARNING_ALERT», содержащая запись с требованием выплатить 0.2 или 0.5 Bitcoin ($200 или $550) за восстановление информации. В сообщении утверждается, что данные зашифрованы, но на деле они просто удалены. При этом, в некоторых случаях в логе зафиксирован экспорт данных перед удалением. Среди поражённых оказались конфигурации MongoDB, доступные для сетевых соединений извне и не использующие аутентификацию доступа. Подобная особенность связана с тем, что до версии 3.0 в MongoDB по умолчанию предлагались настройки, подразумевающие … Читать далее Вымогатели-шифровальщики переключились на незащищённые СУБД MongoDB

После почти двух лет разработки подготовлен релиз свободного векторного графического редактора Inkscape 0.92, предоставляющего гибкие инструменты для рисования и обеспечивающего поддержку чтения и сохранения изображений в форматах SVG, OpenDocument Drawing, DXF, WMF, EMF, sk1, PDF, EPS, PostScript и PNG. В ближайшее время ожидается появление бинарных сборок для Linux, Windows и macOS, а также универсального пакета для Linux в формате snap. Основные новшества: Добавлен инструмент для создания ячеистых градиентов (Mesh Gradients), упрощающих выполнение операций по фотореалистичному заполнению областей. Градиент создаётся по сетке, цветовые переходы в которой определяются через привязку цветов к узлам сетки. Mesh-градиенты уже поддерживаются в PDF и претендуют на … Читать далее Выпуск редактора векторной графики Inkscape 0.92

Проект CentOS объявил о доступности редакции дистрибутива CentOS Linux 7.3.1611 для 64-разрядной архитектуры ARM64 (AArch64). Примечательно, что ранее принятый формат номеров версий, включающих номер ветки, год и месяц выпуска в анонсе приведён в более понятный для потребителей вид и теперь отражает номер выпуска RHEL, т.е. выпуск CenOS на базе RHEL 7.3 отмечен как CentOS 7.3.1611, а не 7.1611. Из отличий версии для ARM64/AArch64 от основной сборки CentOS выделяется обновление ядра Linux до выпуска 4.5 c применением дополнительных патчей, накопленных в ветке sig-altarch7-aarch64. Размер системного образа 514 Мб, полного установочного образа — 6.5 Гб. Сборка может использоваться на платах Mustang (Micro … Читать далее Доступны сборки CentOS 7.3.1611 для архитектуры ARM64/AArch64

Спустя почти восемь лет с момента выпуска ветки 4.2 сформирован релиз утилиты GNU sed 4.3, в рамках которой развивается реализация не интерактивного текстового редактора, обычно применяемого для создания фильтров, модификации текстовых файлов и замены блоков по шаблону. Ключевым улучшением новой версии является значительное ускорение операций сопоставления по регулярным выражениям, которые теперь выполняются быстрее в 10 раз. Кроме того, по возможности отныне применяется неблокирующий ввод/вывод, что также положительно сказывается на производительности. Из новой функциональности отмечается появление опции «—sandbox», при указании которой блокируется выполнение команд «r», «w» и «e». Читать далее Выпуск утилиты GNU sed 4.3

Компания Google открыла исходные тексты проекта Grumpy, в рамках которого развивается экспериментальный Python runtime для языка Go. Grumpy обеспечивает трансляцию кода на языке Python в представление на языке Go и позволяет бесшовно запускать оттранслированные Python-программы в runtime-окружении языка Go. Отмечается, что одной из основных целей проекта является обеспечение высокого уровня совместимости с CPython и достижение возможности применения Grumpy в качестве полноценной замены Python runtime для проектов на языке Python. Код транслятора написан на языке Python и поставляется под лицензией Apache 2.0. Grumpy нацелен на использование в качестве прозрачной замены CPython 2.7 и позволяет решить проблемы с плохой работой CPython в … Читать далее Google представил Grumpy, транслятор кода Python на язык Go

Представлен релиз легковесного окружения рабочего стола Lumina 1.2, развиваемого проектом TrueOS (бывший PC-BSD). Компоненты окружения написаны с использованием библиотеки Qt5 (без применения QML). Lumina придерживается классического подхода к организации пользовательского окружения. В состав входит рабочий стол, панель приложений, менеджер сеансов, меню приложений, система настройки параметров окружения, менеджер задач, системный лоток, система виртуальных рабочих столов. Код проекта написан на языке C++ и распространяется под лицензией BSD. Новый выпуск Lumina распространяется через систему портов FreeBSD и репозиторий TrueOS. В качестве оконного менеджера применяется Fluxbox, но в одном из следующих значительных выпусков планируется заменить его на оконный менеджер собственной разработки. В рамках проекта … Читать далее Выпуск рабочего стола Lumina 1.2

Опубликован релиз библиотеки PyQt 5.7.1 (включая PyQt3D) для разработки графических приложений на языке Python, а также SIP 4.19, генератора Python-биндингов для библиотек на C/C++. Пакеты доступны из PyPI для Python 3.5 и Python 3.6 (за исключением PyQt4). Помимо поддержки актуального релиза Qt и исправления ошибок целью выпуска стало изменение внутренней архитектуры привязок: устранение бинарных привязок между пакетами и использование только ограниченного ABI, как описано в PEP 384. Эти изменения позволят упростить последующие выпуски. Например добавление поддержки Python 3.6 потребовало только создание пакетов SIP. Коммерческие пользователи также получают возможность создавать пакеты под собственными лицензиями из нелицензированных загруженных пакетов. Поэтому коммерческие пользователи … Читать далее Релиз PyQt 5.7.1