Барри Каулер (Barry Kauler), основатель проекта Puppy Linux, опубликовал дистрибутив EasyOS 5.7, совмещающий технологии Puppy Linux с применением контейнерной изоляции для запуска компонентов системы. Управление дистрибутивом производится через развиваемый проектом набор графических конфигураторов. Размер загрузочного образа 857 МБ. Особенности дистрибутива: Каждое приложение, а также сам рабочий стол, могут быть запущены в отдельных контейнерах, для изоляции которых используется собственный механизм Easy Containers. По умолчанию работа осуществляется с правами root со сбросом привилегий при запуске каждого приложения, так как EasyOS позиционируется как Live-система одного пользователя. Дистрибутив устанавливается в отдельный подкаталог и может сосуществовать с другими данными на накопителе (система устанавливается в /releases/easy-5.4, … Читать далее Выпуск EasyOS 5.7, самобытного дистрибутива от создателя Puppy Linux

В инструментарии для запуска изолированных контейнеров runc, применяемом в Docker и Kubernetes, найдена уязвимость CVE-2024-21626, позволяющая получить доступ к файловой системе хост-окружения из изолированного контейнера. В ходе атаки злоумышленник может перезаписать некоторые исполняемые файлы в хост-окружения и таким образом добиться выполнения своего кода вне контейнера. В runtime LXC, crun и youki, так же использующих runc, проблема не проявляется. Уязвимость устранена в выпуске runc 1.1.12. В случае использования инструментариев Docker или Kubernetes атака может быть совершена через подготовку специально оформленного образа контейнера, после установки и запуска которого в контейнере остаётся возможность обращения к внешней ФС. При использовании Docker имеется возможность эксплуатации … Читать далее Уязвимость в runc, позволяющая выбраться из контейнеров Docker и Kubernetes

В ходе проведённого компанией RedHunt Labs сканирования утечек конфиденциальных данных в репозиториях GitHub была выявлена публикация в публичном репозитории API-токена, позволяющего получить неограниченный доступ к внутренним репозиториям компании Mercedes-Benz, размещённым на внутреннем сервере на базе платформы Github Enterprise Server. Предполагается, что токен был случайно опубликован одним из сотрудников Mercedes-Benz среди кода, размещённого в публичном репозитории на GitHub. Токен находится в репозитории с 29 сентября 2023 года и был выявлен 11 января 2024 года. После информирования компании об инциденте 24 января токен был отозван. По заявлению представителей Mercedes-Benz при помощи раскрытого токена можно было получить доступ не ко всему исходному коду, … Читать далее В публичном коде найден GitHub-токен от внутренних репозиториев Мерседес

Опубликован выпуск дистрибутива Nitrux 3.3.0, построенного на пакетной базе Debian, технологиях KDE и системе инициализации OpenRC. Проект предлагает собственный рабочий стол NX Desktop, который представляет собой надстройку над KDE Plasma. На основе библиотеки Maui для дистрибутива развивается набор типовых пользовательских приложений, которые можно использовать как на настольных системах, так и на мобильных устройствах. Для установки дополнительных приложений продвигается система самодостаточных пакетов AppImages. Размер полного загрузочного образа составляет 3.5 ГБ. Наработки проекта распространяются под свободными лицензиями. Рабочий стол NX Desktop предлагает иное стилевое оформление, собственную реализацию системного лотка, центра вывода уведомлений и различных плазмоидов, таких как конфигуратор сетевых соединений и мультимедийный … Читать далее Доступен дистрибутив Nitrux 3.3.0 с пользовательским окружением NX Desktop

Компания Cloudflare, предоставляющая сеть доставки контента, обслуживающую примерно 20% интернет-трафика, опубликовала отчёт о взломе одного из серверов в своей инфраструктуре, на котором функционировал внутренний wiki-сайт на базе платформы Atlassian Confluence, система отслеживания ошибок Atlassian Jira и система управления кодом Bitbucket. Разбор показал, что атакующий смог получить доступ к серверу, воспользовавшись токенами, полученными в результате октябрьского взлома компании Okta, приведшего к утечке токенов доступа. После раскрытия осенью информации о взломе Okta, компания Cloudflare инициировала процесс обновлений используемых через сервисы Okta учётных данных, ключей и токенов, но как оказалось один токен и три учётных записи (из нескольких тысяч), скомпрометированные в результате взлома … Читать далее Компания Cloudflare раскрыла сведения о взломе одного из своих серверов

После семи месяцев разработки опубликован релиз библиотеки SDL 2.30.0 (Simple DirectMedia Layer), нацеленной на упрощение написания игр и мультимедийных приложений. Библиотека SDL предоставляет такие средства как аппаратно-ускоренный вывод 2D- и 3D-графики, обработка ввода, воспроизведение звука, вывод 3D через OpenGL/OpenGL ES/Vulkan и множество иных сопутствующих операций. Библиотека написана на языке Си и распространяется под лицензией Zlib. Для использования возможностей SDL в проектах на различных языках программирования предоставляются необходимые обвязки. В выпуске SDL 2.30.0 в основном предложены исправления ошибок, так как ветка SDL 2.x в прошлом году была переведена на стадию сопровождения, а вся активная разработка последнее время сосредоточена на подготовке ветки … Читать далее Выпуск мультимедийной библиотеки SDL 2.30.0

Проект GNU опубликовал выпуск библиотеки libmicrohttpd 1.0.0, который отмечен как первый стабильный релиз за 16 лет существования проекта. Библиотека написана на языке Си и представляет простой API для встраивания функциональности HTTP-сервера в приложения. Среди поддерживаемых платформ: GNU/Linux, FreeBSD, OpenBSD, NetBSD, Solaris, Android, macOS, Win32 и z/OS. Код распространяется под лицензией LGPL 2.1+. При сборке по умолчанию библиотека занимает около 200 КБ, а в минимальном режиме сборки — 32 КБ. В зависимостях используется только libc, а также libgnutls при опциональной сборке с поддержкой TLS. Библиотека поддерживает протокол HTTP 1.1, TLS, инкрементальную обработку POST-запросов, приём соединений с нескольких сетевых портов, basic- и … Читать далее Первый стабильный выпуск библиотеки GNU libmicrohttpd

Спустя 12 лет с момента прошлой тестовой версии и 16 лет после формирования прошлого стабильного релиза опубликован выпуск дистрибутива Damn Small Linux 2024, предназначенного для использования на маломощных системах и устаревшем оборудовании. Новый выпуск имеет качество альфа-версии и подготовлен в сборах для архитектуры i386. Размер загрузочной сборки — 665 МБ (для сравнения прошлая версия имела размер 50 МБ). Сборка создана на основе Live-дистрибутива AntiX 23, в свою очередь построенного на пакетной базе Debian. Целью возрождения Damn Small Linux стало желание получить компактный Live-дистрибутив для устаревших систем, вмещающийся на CD (менее 700 МБ) и предлагающий пригодные для работы графическое и консольное … Читать далее После 12-летнего перерыва опубликован дистрибутив Damn Small Linux 2024

Опубликован релиз свободной реализации API OpenGL и Vulkan — Mesa 24.0.0. Первый выпуск ветки Mesa 24.0.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 24.0.1. В Mesa 24.0 доступна поддержка графического API Vulkan 1.3 в драйверах anv для GPU Intel, radv для GPU AMD, NVK для GPU NVIDIA, tu для GPU Qualcomm, в программном растеризаторе lavapipe (lvp) и в режиме эмулятора (vn). Поддержка Vulkan 1.0 реализована в драйверах v3dv (GPU Broadcom VideoCore VI из Raspberry Pi 4) и dzn (реализация Vulkan поверх Direct3D 12). В Mesa также обеспечивается полная поддержка OpenGL 4.6 для драйверов iris … Читать далее Релиз Mesa 24.0, свободной реализации OpenGL и Vulkan

Опубликован выпуск ONLYOFFICE DocumentServer 8.0.0 с реализацией сервера для online-редакторов ONLYOFFICE и организации совместной работы. Редакторы можно использовать для работы с текстовыми документами, таблицами и презентациями. Код проекта распространяется под свободной лицензией AGPLv3. Одновременно сформирован выпуск продукта ONLYOFFICE DesktopEditors 8.0, построенного на единой кодовой базе с online-редакторами. Десктоп-редакторы оформлены в виде приложений для рабочего стола, которые написаны на JavaScript с использованием web-технологий, но объединяют в одном наборе клиентские и серверные компоненты, оформленные для самодостаточного использования на локальной системе пользователя, без обращения к внешнему сервису. Для совместной работы на своих мощностях также можно использовать платформу Nextcloud Hub, в которой обеспечена полная … Читать далее Опубликован офисный пакет ONLYOFFICE 8.0

Компания Red Hat опубликовала стабильный релиз пакета Cygwin 3.5.0, включающего DLL-библиотеку для эмуляции базового Linux API в Windows, позволяющую с минимальными изменениями собирать созданные для Linux программы. В пакет также входят непосредственно собранные для выполнения в Windows стандартные Unix-утилиты, серверные приложения, компиляторы, библиотеки и заголовочные файлы. Выпуск примечателен прекращением поддержки Windows 7, Windows 8, Windows Server 2008 R2 и Windows Server 2012. Таким образом, в Cygwin 3.5.0 поддерживается только Windows 8.1, Windows 10, Windows 11, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 и Windows Server 2022. Другие изменения: Разрешён доступ к устройствам консолей (/dev/consN) из процессов, присоединённых … Читать далее Выпуск Cygwin 3.5.0, GNU-окружения для Windows

После шести месяцев разработки опубликован релиз системной библиотеки GNU C Library (glibc) 2.39, которая полностью следует требованиям стандартов ISO C11 и POSIX.1-2017. В состав нового выпуска включены исправления от 67 разработчиков. Из реализованных в Glibc 2.39 улучшений можно отметить: Обеспечена поддержка теневого стека (shadow stack), появившегося в ядре Linux 6.6 и позволяющего блокировать работу многих эксплоитов, используя аппаратные возможности процессоров Intel для защиты от перезаписи адреса возврата из функции в случае переполнения буфера в стеке. Суть защиты в том, что после передачи управления функции, адреса возврата сохраняются процессором не только в обычном стеке, но и в отдельном «теневом» стеке, который … Читать далее Выпуск системной библиотеки Glibc 2.39 и набора утилит GNU Binutils 2.42

Судя по опубликованной вакансии архитектора компания Microsoft намерена переписать с использованием языка Rust ключевые сервисы Microsoft 365, изначально написанные на языке C#. В объявлении упоминается создание новой команды разработчиков, которая будет заниматься внедрением Rust и его использованием качестве основы для модернизации глобально масштабируемых сервисов. Ранее компания Microsoft задействовала язык Rust для разработки компонентов ядра Windows 11. Источник: http://www.opennet.ru/opennews/art.shtml?num=60533 Читать далее Microsoft наймёт разработчиков для переписывания сервисов с C# на Rust

Организация The Document Foundation представила релиз офисного пакета LibreOffice 24.2. Готовые установочные пакеты подготовлены для различных дистрибутивов Linux, Windows и macOS. В подготовке выпуска приняли участие 166 разработчиков, из которых 108 являются добровольцами. 57% изменений внесён 50 сотрудниками трёх курирующих проект компаний — Collabora, Red Hat и Allotropia, 20% — восемью работниками организации The Document Foundation, а 23% изменений добавлены 108 независимыми энтузиастами. LibreOffice 24.2 стал первым значительным выпуском, сформированным с использованием новой схемы нумерации версий, привязанной к датам и отражающей год и месяц формирования релиза (номер 24.2 отражает релиз, запланированный на первую неделю февраля 2024 года). В августе 2024 … Читать далее Выпуск офисного пакета LibreOffice 24.2

Компания Qualys выявила опасную уязвимость (CVE-2023-6246) в стандартной Си-библиотеке Glibc, позволяющую через манипуляции с запуском SUID-приложений добиться выполнения своего кода с повышенными привилегиями. Исследователи смогли разработать рабочий эксплоит, позволяющий получить права root через манипуляцию с аргументами командной строки при запуске утилиты su. Уязвимость вызвана переполнением буфера в функций __vsyslog_internal(), используемой при вызове функций syslog() и vsyslog(). Проблема возникает из-за ошибки при попытке вывода через макрос SYSLOG_HEADER слишком длинного имени приложения. При попытке расширения буфера с учётом длинного имени возникает сбой, после которого данные записываются в старый буфер изначального меньшего размера. При организации атаки через утилиту su атакующий может изменить имя … Читать далее Уязвимость в glibc, позволяющая получить root-доступ в системе

30 января в 18:20 (MSK) пользователи столкнулись с массовым сбоем определения хостов в доменной зоне RU, вызванный ошибкой при смене ключей, используемых для заверения достоверности зоны RU через DNSSEC. В результате инцидента на DNS-серверах, применяющих DNSSEC для проверки достоверности данных, перестали определяться все домены в зоне «.ru». Проблема затронула только пользователей, использующих DNS-резолверы провайдеров или публичные DNS-сервисы, такие как 8.8.8.8, верифицирующие достоверность запросов при помощи DNSSEC. Пользователей DNS-резолверов, на которых DNSSEC отключён, не пострадали. Произошедшее напоминает прошлогодний инцидент с регистратором InternetNZ, отвечающим за доменную зону «.NZ», который привел к сбою в разрешении доменных имён в зоне «.nz» из-за ошибки при … Читать далее Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSEC

Сформирован релиз специализированного дистрибутива Tails 5.22 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ, способный работать в Live-режиме, размером 1 ГБ. В новой версии: В Tor Browser разрешено сохранение файлов в каталоги Documents, Downloads, Music, Pictures и Videos, а также передача файлов из этих каталогов. В случае повреждения постоянного хранилища реализована попытка восстановления файловой системы … Читать далее Выпуск дистрибутива Tails 5.22

Опубликован релиз web-браузера Pale Moon 33.0.0, ответвившегося от кодовой базы Firefox для обеспечения более высокой эффективности работы, cохранения классического интерфейса, минимизации потребления памяти и предоставления дополнительных возможностей по настройке. Сборки Pale Moon формируются для Windows и Linux (x86_64). Код проекта распространяется под лицензией MPLv2 (Mozilla Public License). Проект придерживается классической организации интерфейса, без перехода к интегрированным в Firefox 29 и 57 интерфейсам Australis и Photon, и с предоставлением широких возможностей кастомизации. Из удалённых компонентов можно отметить DRM, Social API, WebRTC, PDF-просмотрщик, Сrash Reporter, код для сбора статистики, средства для родительского контроля и людей с ограниченными возможностями. По сравнению с Firefox, … Читать далее Выпуск браузера Pale Moon 33.0.0

После трёх месяцев разработки проект UBports, который взял в свои руки разработку мобильной платформы Ubuntu Touch, после того как от неё отстранилась компания Canonical, представил прошивку OTA-4 Focal (over-the-air). Это четвёртый выпуск Ubuntu Touch, основанный на пакетной базе Ubuntu 20.04 (старые выпуски базировались на Ubuntu 16.04). Проектом также развивается экспериментальный порт рабочего стола Unity 8, который переименован в Lomiri. Обновление Ubuntu Touch OTA-4 Focal в ближайшие дни будет сформировано для устройств Asus Zenfone Max Pro M1, Fairphone 3/3+ и 4, F(x)tec Pro1 X, Google Pixel 3a/3a XL, Vollaphone 22, Vollaphone X23, Vollaphone X, Vollaphone, JingPad A1, Oneplus One/5/6, Sony Xperia … Читать далее Релиз прошивки Ubuntu Touch OTA-4 Focal

Разработчики анонимной сети Tor опубликовали результаты второго аудита, который был проведён компанией Radically Open Security с апреля по август 2023 года (до этого с ноября 2022 года по апрель 2023 года проводился аудит компанией Cure53). Проверка затронула код для обеспечения работы выходных узлов, браузер Tor Browser, компоненты инфраструктуры (сбор метрик, SWBS, API Onionoo) и утилиты для тестирования. Основной задачей повторной проверки была оценка изменений, внесённых для повышения скорости и надёжности сети Tor, таких как добавленный в выпуске Tor 0.4.8 протокол разделения трафика Conflux и методы защиты Onion-сервисов от DoS-атак на основе доказательства выполнения работы. В ходе аудита были выявлены 17 … Читать далее Результаты второго аудита безопасности разработок проекта Tor

Раскрыты сведения о двух уязвимостях в поставляемом в пакете FFmpeg декодировщике формата JPEG XL, которые могут привести к выполнению кода злоумышленника при обработке в FFmpeg специально оформленных изображений. Проблемы были устранены в выпуске FFmpeg 6.1, но так как поддержка JPEG XL включена начиная с ветки 6.1, уязвимость затрагивает только системы, использующие экспериментальные сборки FFmpeg 6.1 или переносящие из них изменения. Первая уязвимость (CVE-2024-22860) вызвана целочисленным переполнением в парсере формата JPEG XL, возникшем из-за отсутствия проверки превышения размера типа int. Вторая уязвимость (CVE-2024-22862) возникла из-за целочисленного переполнения в функции jpegxl_anim_read_packet, используемой для декодирования анимации, и связана с использованием знакового типа int64_t … Читать далее Уязвимости в реализации JPEG XL из состава FFmpeg