После двух месяцев разработки опубликована новая версия статически типизированного языка программирования V (vlang). Основными целями при создании V были простота изучения и использования, высокая читаемость, быстрая компиляция, повышенная безопасность, эффективная разработка, кроссплатформенное использование, улучшенное взаимодействие с языком C, лучшая обработка ошибок, современные возможности и более удобное сопровождение программ. Проект также развивает свою графическую библиотеку и пакетный менеджер. Код компилятора, библиотек и сопутствующих инструментов открыт под лицензией MIT. Среди изменений в новой версии: Атрибуты переведены на использования нового синтаксиса. Для структур и объединений реализованы атрибуты «@[aligned]» и «@[aligned:8]». В дополнение к выражению «$if T is $array {» добавлена поддержка конструкций «$if … Читать далее Релиз языка программирования V 0.4.4

Разработчики Arch Linux объявили о задействовании проекта dbus-broker в качестве применяемой по умолчанию реализации шины D-Bus. Утверждается, что использование dbus-broker вместо классического фонового процесса dbus-daemon позволит повысить надёжность, увеличить производительность и улучшить интеграцию с systemd. Возможность использования старого фонового процесса dbus-daemon в качестве опции сохранена — пакетный менеджер Pacman будет предоставлять выбор в установке dbus-broker-units или dbus-daemon-units, предлагая первый вариант по умолчанию. Проект Fedora перешёл по умолчанию на dbus-broker в 2019 году. D-Bus Broker реализован целиком в пространстве пользователя, сохраняет совместимость с эталонной реализацией D-Bus и может быть использован для прозрачной замены dbus-daemon. При этом dbus-broker изначально спроектирован с оглядкой … Читать далее Arch Linux перешёл на использование dbus-broker

Доступен корректирующий выпуск Firefox 121.0.1, в котором предложены следующие исправления: Устранено зависание, проявляющееся при загрузке некоторых сайтов с многостолбцовой раскладкой содержимого, таких как doordash.com. Решена проблема с пропаданием заданного через CSS-свойство border-radius скругления углов для видео, воспроизводимого поверх другого видео. Исправлена проблема с некорректным закрытием Firefox, приводящая к невозможности использования USB-ключей FIDO2 в приложениях после их использования в Firefox. Источник: http://www.opennet.ru/opennews/art.shtml?num=60408 Читать далее Обновление Firefox 121.0.1

В реализации алгоритма шифрования Kyber, победившего на конкурсе криптоалгоритмов, стойких к подбору на квантовом компьютере, выявлена уязвимость, допускающая проведение атак по сторонним каналам для воссоздания секретных ключей на основе измерения времени операций во время расшифровки предоставленного атакующим шифротекста. Проблема затрагивает как эталонную реализацию механизма инкапсуляции ключей CRYSTALS-Kyber KEM, так и многие сторонние библиотеки шифрования с поддержкой Kyber, в том числе библиотеку pqcrypto применяемую в мессенджере Signal. Суть уязвимости, которая получила кодовое имя KyberSlash, в использовании в процессе декодирования сообщения операции деления «t = (((t ‹ 1) + KYBER_Q/2)/KYBER_Q) & 1;», в которой делимое содержит секретное значение «t» с типом «double», … Читать далее Уязвимость в реализациях постквантового алгоритма шифрования Kyber

Доступен релиз операционной системы Chrome OS 120, основанной на ядре Linux, системном менеджере upstart, сборочном инструментарии ebuild/portage, открытых компонентах и web-браузере Chrome 120. Пользовательское окружение Chrome OS ограничивается web-браузером, а вместо стандартных программ задействованы web-приложения, тем не менее, Chrome OS включает в себя полноценный многооконный интерфейс, рабочий стол и панель задач. Исходные тексты распространяются под свободной лицензией Apache 2.0. Сборка Chrome OS 120 доступна для большинства актуальных моделей Chromebook. Для использования на обычных компьютерах предлагается редакция Chrome OS Flex. Основные изменения в Chrome OS 120: Добавлена функция «Nearby Share Self Share», позволяющая обмениваться файлами между несколькими устройствами одного пользователя. Приём … Читать далее Выпуск Chrome OS 120

Опубликован релиз Linux-дистрибутива Solus 4.5, не основанного на пакетах других дистрибутивов и развивающего собственный установщик, пакетный менеджер и конфигуратор. Ранее в составе дистрибутива развивался рабочий стол Budgie, но теперь он выделен в независимый проект. Следующую ветку Solus 5 решено развивать на технологиях дистрибутива SerpentOS. Код наработок проекта распространяется под лицензией GPLv2, для разработки используются языки Си и Vala. Предоставляются сборки с рабочими столами Budgie, GNOME, KDE Plasma и Xfce. Размер iso-образов 2.7 ГБ (x86_64). Для управления пакетами задействован пакетный менеджер eopkg (форк PiSi из Pardus Linux), предоставляющий привычные средства для установки/удаления пакетов, поиска в репозитории и управления репозиториями. Пакеты могут … Читать далее Релиз дистрибутива Solus 4.5

Рафаэль Садовский (Rafael Sadowski) объявил о доступности пользовательского окружения KDE Plasma 5.27 для установки в OpenBSD-current, формировании готовых для установки пакетов kde-plasma и kde-plasma-extra, и намерении обеспечить поддержку KDE Plasma в весеннем выпуске OpenBSD 7.5. После прекращения поддержки KDE4 в OpenBSD так и не была перенесена возможность использования новой ветки рабочего стола KDE Plasma 5. Пакеты с приложениями KDE Gears 5 и библиотеками KDE Frameworks 5 достаточно давно доступны в портах OpenBSD, но сама оболочка до настоящего времени оставалась неработоспособной. Для установки KDE Plasma и KDE Gear теперь достаточно выполнить команды: pkg_add kde pkg_add kde-plasma pkg_add kde-plasma-extra Отмечается, что переход … Читать далее Для OpenBSD реализована возможность использования рабочего стола KDE Plasma

Компания GSC Game World, разработавшая серию игр S.T.A.L.K.E.R., добилась блокировки на GitHub репозитория открытого проекта OpenXRay, воспроизводящего игровой движок для первых частей игры S.T.A.L.K.E.R. Проект основан после утечки исходных кодов оригинального движка S.T.A.L.K.E.R. и ставит перед собой цель исправления всех оригинальных недочётов и введения новых возможностей, таких как поддержка 64-разрядных платформ, Linux и OpenGL. Лицензионная сторона разработки OpenXRay всегда была под вопросом, но к настоящему времени установился своеобразный статус кво, при котором в GSC знали о проекте, но не препятствовали его разработке (для использования OpenXRay требуются игровые ресурсы из S.T.A.L.K.E.R., которые могут быть получены через покупку оригинальной игры). Теперь ситуация … Читать далее GitHub заблокировал игровой движок OpenXRay по требованию GSC

После двух месяцев разработки Линус Торвальдс представил релиз ядра Linux 6.7. Среди наиболее заметных изменений: интеграция ФС Bcachefs, прекращение поддержки архитектуры Itanium, возможность работы Nouvea с прошивками GSP-R, поддержка TLS-шифрования в NVMe-TCP, возможность использования исключений в BPF, поддержка futex в io_uring, оптимизация производительности планировщика fq (Fair Queuing), поддержка расширения TCP-AO (TCP Authentication Option) и возможность ограничения сетевых соединений в механизме защиты Landlock, добавлено управление доступом к user namespace и io_uring через AppArmor. В новую версию принято 18405 исправлений от 2066 разработчиков, размер патча — 72 МБ (изменения затронули 13467 файлов, добавлено 906147 строк кода, удалено 341048 строк). В прошлом выпуске … Читать далее Релиз ядра Linux 6.7

Сформирован выпуск динамически управляемого межсетевого экрана firewalld 2.1, реализованного в форме обвязки над пакетными фильтрами nftables и iptables. Firewalld запускается в виде фонового процесса, позволяющего динамически изменять правила пакетного фильтра через D-Bus, без необходимости перезагрузки правил пакетного фильтра и без разрыва установленных соединений. Проект уже применяется во многих дистрибутивах Linux, включая RHEL 7+, Fedora 18+ и SUSE/openSUSE 15+. Код firewalld написан на языке Python и распространяется под лицензией GPLv2. Для управления межсетевым экраном используется утилита firewall-cmd, которая при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб (например, для открытия доступа к SSH нужно … Читать далее Выпуск межсетевого экрана firewalld 2.1

Компрометация учётной записи администратора привела к почти четырёхчасовому сбою в работе второго по величине испанского оператора связи Orange Espagne, обслуживающего 11 млн абонентов. Для доступа к интерфейсу регистратора RIPE NCC в Orange Espagne применялся предсказуемый пароль «ripeadmin» и не была включена двухфакторная аутентификация. Пароль к RIPE был перехвачен в ходе поражения системы одного из сотрудников вредоносным ПО и с сентября находился в продаваемых на чёрном рынке базах скомпрометированных паролей. Примечательно, что кроме учётной записи Orange Espagne в указанных базах присутствуют и тысячи других аккаунтов для подключения к access.ripe.net, которые потенциально можно использовать для совершения подобных атак. Инцидент оставался незамеченным до … Читать далее Компрометация учётной записи привела к сбою BGP-маршрутизации Orange Espagne

В Perl-модуле Spreadsheet::ParseExcel, предоставляющем функции для разбора файлов в формате Excel, выявлена критическая уязвимость (CVE-2023-7101), позволяющая выполнить произвольный код при обработке файлов XLS или XLSX, включающих специально оформленные правила форматирования чисел. Уязвимость вызвана использованием при построении вызова «eval» данных, полученных из обрабатываемого файла. Проблема устранена в обновлении Spreadsheet::ParseExcel 0.66. Имеется прототип эксплоита. Уязвимый код: if ( $format_str =~ /^[([‹›=][^]]+)](.*)$/ ) { $conditional = $1; $format_str = $2; } … $section = eval «$number $conditional» ? 0 : 1; Пример эксплоита для выполнения команды whoami: ‹numFmts count=»1″› ‹numFmt numFmtId=»123″ formatCode=»[›123;system(‘whoami › /tmp/inject.txt’)]123″/› ‹/numFmts› Уязвимость была выявлена компанией Barracuda Networks в ходе … Читать далее Уязвимость в Perl-модуле Spreadsheet::ParseExcel, используемая для компрометации Barracuda ESG

В библиотеке Qt выявлена уязвимость (CVE-2023-51714) в реализации протокола HTTP/2, позволяющая добиться записи своих данных за пределы выделенного буфера. Уязвимость вызвана целочисленным переполнением в коде разбора упакованных заголовков (HPack) и проявляется при получении более 4 ГБ суммарных данных HTTP-заголовков или 2 ГБ для одного заголовка. Проблема устранена в обновлениях Qt 5.15.17, 6.2.11, 6.5.4 и 6.6.2. Источник: http://www.opennet.ru/opennews/art.shtml?num=60395 Читать далее Уязвимость в предлагаемой в Qt реализации протокола HTTP/2

Дэниел Cтенберг (Daniel Stenberg), автор утилиты для получения и отправки данных по сети curl, выступил с критикой использования AI-инструментов при создании отчётов об уязвимостях. Подобные отчёты включают детальные сведения, написаны нормальным языком и выглядят качественными, но без вдумчивого анализа на деле могут лишь вводить в заблуждение, подменяя реальные проблемы качественно выглядящим мусорным содержимым. Проект Curl выплачивает вознаграждения за выявление новых уязвимостей и уже получил 415 отчётов о потенциальных проблемах, из которых лишь 64 были подтверждены как уязвимости, а 77 как не связанные с безопасностью ошибки. Таким образом 66% всех отчётов не содержали каких-либо полезных сведений и только отняли у разработчиков … Читать далее Проблемы из-за подготовленных AI-инструментами отчётов об уязвимостях

Один из разработчиков JavaScript-пакетов провёл эксперимент с созданием и размещением в репозитории NPM пакета «everything«, который охватывает зависимостями все существующие пакеты в репозитории. Для реализации подобной возможности пакет «everything» связан прямыми зависимостями с пятью пакетами «@everything-registry/chunk-N», которые в свою очередь привязываются зависимостями к более 3000 пакетов «sub-chunk-N», в каждом из которых осуществляется привязка к 800 существующих пакетов в репозитории. Размещение «everything» в NPM привело к двум интересным эффектам. Во-первых пакет «everything» стал своеобразным инструментом для совершения DoS-атак, так как попытка его установки приводит к загрузке миллионов размещённых в NPM пакетов и исчерпанию имеющегося дискового пространства или остановке выполнения сборочных процессов. … Читать далее Эксперимент с созданием NPM-пакета, зависимого от всех пакетов в репозитории

Представлен проект по разработке на языке Rust легковесного Unix-подобного ядра, реализующего подмножество системных вызовов ядра Linux, достаточное для создания типовых рабочих окружений. Проект был создан в 2018 году и вначале использовал язык Си, но в 2020 году был полностью перезапущен с нуля с учётом накопленного опыта и перешёл на Rust для снижения вероятности совершения ошибок, возникающих при работе с памятью. Код ядра распространяется под лицензией MIT. Помимо ядра проектом на языке Rust также развиваются X11-сервер, пакетный менеджер, загрузчик, инсталлятор, наборы утилит и другие компоненты, необходимые для построения операционной системы. Ядро имеет монолитную архитектуру и пока поддерживает только системы x86 в … Читать далее Ядро Maestro, написанное на Rust и частично совместимое с Linux

Издание DB-Engines обновило свой рейтинг популярности СУБД и присудило звание СУБД 2023 года проекту PostgreSQL, который за год продемонстрировал наибольших рост популярности из 417 отслеживаемых систем. Второе место присуждено облачной платформе Databricks, которая за год поднялась с 19 на 17 место в рейтиге, а третье место занял движок Google BigQuery, который поднялся с 21 на 19 место в рейтинге. Ранее PostgreSQL уже признавался СУБД года в 2020, 2018 и 2017 годах. В 2022 и 2021 годах это звание было закреплено за СУБД Snowflake, в 2018 — MySQL, в 2016 — Microsoft SQL Server, 2015 — Oracle, 2013 и 2014 — … Читать далее Рейтинг популярности СУБД. PostgreSQL назван СУБД 2023 года

Опубликован выпуск SBCL 2.4.0 (Steel Bank Common Lisp), свободной реализации языка программирования Common Lisp. Код проекта написан на языках Common Lisp и Си, и распространяется под лицензией BSD. В новом выпуске: Изменения, нарушающие совместимость: *COMPILE-VERBOSE* и *LOAD-VERBOSE* привязаны к NIL при запуске системы с аргументом командной строки «—script». при поиске core-файла, система проверяет корректность того, что указано в /proc/self/exe, и, если /proc/self/exe окажется некорректным, то проверяет argv[0]. система больше не предоставляет имена типов для стандартных (CL) символов ARRAY-RANK, ARRAY-TOTAL-SIZE, PATHNAME-HOST, PATHNAME-TYPE, PATHNAME-DIRECTORY, FLOAT-RADIX или FLOAT-DIGITS. Поддержка платформ: На системах arm64 предоставлена возможность включения параллельного сборщика мусора, использующего алгоритм mark-region. Решены … Читать далее Выпуск SBCL 2.4.0, реализации языка Common Lisp

1 января не стало Никлауса Вирта, одного из ведущих теоретиков программирования, который не дожил всего месяц до своего 90-летия. Вирт является автором 10 языков программирования, из которых наиболее известны Pascal, Modula-2 и Oberon, а также одним из создателем парадигмы структурного программирования, идеи выполнения промежуточного байткода и сборки мусора в интерпретаторах. За свой вклад в развитие компьютерных наук Вирт удостоен премии Тьюринга и медали «Пионер компьютерной техники«. Источник: http://www.opennet.ru/opennews/art.shtml?num=60387 Читать далее Умер Никлаус Вирт, создатель языка Pascal

Итоговая подборка наиболее важных и заметных событий 2023 года, связанных с открытыми проектами и информационной безопасностью: Прекращение публикации исходных текстов пакетов дистрибутива Red Hat Enterprise Linux и оставление CentOS Stream в качестве единственного публичного источника кода пакетов RHEL. Недовольство Red Hat продуктами, создаваемыми путём простой пересборки без своих изменений. Перестроение дистрибутивов (Alma Linux, Rocky Linux, Oracle Linux), использующих пакеты RHEL. Образование ассоциации OpenELA, в которой Rocky Linux, Oracle и SUSE объединили усилия в поддержании пакетной базы, совместимой с RHEL. Конфликты: Критика бизнес-модели Red Hat. Попытка продвижения API Web Integrity и удаление из Chromium в ответ на опасения зарождения подобия DRM … Читать далее Наиболее важные события 2023 года, связанные с открытыми проектами

После полутора лет разработки состоялся релиз текстового редактора Vim 9.1. Код Vim распространяется под собственной копилефт лицензией, совместимой с GPL и позволяющей без ограничений использовать, распространять и перерабатывать код. Основная особенность лицензии Vim связана с возвратом изменений — реализованные в сторонних продуктах улучшения должны быть переданы в исходный проект, если мэйнтейнер Vim посчитает эти улучшения заслуживающими внимания и отправит соответствующий запрос. По типу распространения Vim относится к Сharityware, т.е. вместо продажи программы или сбора пожертвований на нужды проекта авторы Vim просят перечислить любую сумму на благотворительность, если программа понравится пользователю. Vim 9.1 стал первым выпуском, подготовленным под управлением коллективного совета, … Читать далее Релиз текстового редактора Vim 9.1