Фонд свободного ПО утвердил два документа, регламентирующих обязанности и поведение участников совета директоров, а также задающих новый стандарт управления организацией. Каждый член совета директоров будет обязан подписать документ «Board Member Agreement«, определяющий список обязанностей и правил работы. Второй документ «Board of Directors Code of Ethics» задаёт общие этические правила поведения, которым должны следовать участники совета директоров. В начале следующего года с учётом представленных документов планируется пересмотреть состав текущих участников совета директоров и начать привлечение новых лиц к управлению организацией. Новые требования рассматривают совет директоров как надзорный и совещательный орган, контролирующий деятельность руководства Фонда (президента и исполнительного директора) и помогающий в … Читать далее Фонд СПО ввёл новые требования к участникам совета директоров

Доступен корректирующий выпуск Firefox 95.0.1, в котором устранено несколько ошибок: Решена проблема, приводившая к невозможности открытия многих сайтов Microsoft, включая www.microsoft.com, docs.microsoft.com, msdn.microsoft.com, support.microsoft.com, answers.microsoft.com, developer.microsoft.com и visualstudio.microsoft.com. При попытке открытия таких сайтов браузер выдавал страницу с сообщением от ошибке MOZILLA_PKIX_ERROR_OCSP_RESPONSE_FOR_CERT_MISSING. Проблема вызвана ошибкой в реализации механизма OCSP Stapling, при помощи которого обслуживающий сайт сервер на этапе согласовании TLS-соединения может передавать заверенный удостоверяющим центром ответ OCSP (Online Certificate Status Protocol) с информацией о действительности сертификатов. Проблема возникла из-за того, что Microsoft перешёл на использование хэшей SHA-2 в ответах OCSP, в то время как в Firefox сообщения с подобными хэшами не … Читать далее Обновление Firefox 95.0.1, решающее проблему с открытием сайтов microsoft.com

Майкл Свит (Michael R Sweet), автор системы печати CUPS, представил выпуск PAPPL 1.1, фреймворка для разработки приложений для печати на базе протокола IPP Everywhere, которые рекомендуется использовать вместо традиционных драйверов для принтеров. Код фреймворка написан на языке Си и распространяется под лицензией Apache 2.0 с исключением, разрешающим связывание с кодом под лицензиями GPLv2 и LGPLv2. В новой версии: Добавлена возможность настройки через Wi-Fi. Появилась поддержка доступа к принтеру при помощи протокола IPP-over-USB (IPP-USB). Реализован поиск подходящих драйверов для принтера и автоматическое добавление расширенной функциональности. Добавлен режим PAPPL_SOPTIONS_NO_TLS для отключения TLS-шифрования. Добавлены кнопки и команды для приостановки и возобновления работы принтера. … Читать далее Доступен PAPPL 1.1, фреймворк для организации вывода на печать

Rui Ueyama, автор компоновщика LLVM lld и компилятора chibicc, представил первый стабильный релиз нового высокопроизводительного компоновщика Mold, заметно опережающего по скорости связывания объектных файлов компоновщики GNU gold и LLVM lld. Проект признан готовым для рабочих внедрений и может применяться в качестве более быстрой прозрачной замены GNU linker на Linux-системах. Из планов на следующий значительный выпуск отмечается доведение до готовности поддержки платформы macOS, после чего начнётся работа по адаптации Mold для Windows. Mold написан на языке С++ (C++20) и распространяется под лицензией AGPLv3, которая совместима с GPLv3, но не совместима с GPLv2, так как требует открытия изменений при разработке сетевых сервисов. … Читать далее Первый стабильный релиз компоновщика Mold, развиваемого разработчиком LLVM lld

В USB Gadget, подсистеме ядра Linux, предоставляющей программный интерфейс для создания клиентских USB-устройств и программной симуляции USB-устройств, выявлена уязвимость (CVE-2021-39685), которая может привести к утечке информации из ядра, краху или выполнению произвольного кода на уровне ядра. Атака производится непривилегированным локальным пользователем через манипуляции с различными классами устройств, реализованными на базе API USB Gadget, такими, как rndis, hid, uac1, uac1_legacy и uac2. Проблема устранена в опубликованных на днях обновлениях ядра Linux 5.15.8, 5.10.85, 5.4.165, 4.19.221, 4.14.258, 4.9.293 и 4.4.295. В дистрибутивах проблема пока остаётся неисправленной (Debian, Ubuntu, RHEL, SUSE, Fedora, Arch). Для демонстрации уязвимости подготовлен прототип эксплоита. Проблема вызвана переполнением буфера … Читать далее Уязвимость в подсистеме Linux-ядра USB Gadget, потенциально позволяющая выполнить код

Подготовлен выпуск OpenVPN 2.5.5, пакета для создания виртуальных частных сетей, позволяющего организовать шифрованное соединение между двумя клиентскими машинами или обеспечить работу централизованного VPN-сервера для одновременной работы нескольких клиентов. Код OpenVPN распространяется под лицензией GPLv2, готовые бинарные пакеты формируются для Debian, Ubuntu, CentOS, RHEL и Windows. В новой версии Перевод в разряд устаревших 64-битных шифров, подверженных атаке SWEET32, отложен до ветки 2.7. В версии для Windows обеспечено использование по умолчанию сетевого адреса для эмулируемого DHCP-сервера, что даёт возможность использовать подсеть /30, необходимую для соединения с OpenVPN Cloud. В сборках для Windows включена обязательная поддержка алгоритмов на основе эллиптических кривых (возможность сборки … Читать далее Новый выпуск OpenVPN 2.5.5

В Toxcore, эталонной реализации P2P-протокола обмена сообщениями Tox, выявлена уязвимость (CVE-2021-44847), которая потенциально позволяет инициировать выполнение кода при обработке специально оформленного UDP-пакета. Уязвимости подвержены все пользователи приложений на базе Toxcore, в которых не отключён транспорт UDP. Для атаки достаточно отправить UDP-пакет, зная IP-адрес, сетевой порт и открытый DHT-ключ жертвы (данные сведения доступны публично в DHT, т.е. атака могла быть совершена на любого пользователя или узел DHT). Проблема проявлялась в выпусках toxcore с 0.1.9 по 0.2.12 и устранена в версии 0.2.13. Из клиентских приложений обновление с устранением уязвимости пока выпустил только проект qTox. В качестве обходного пути защиты можно отключить использование … Читать далее Переполнение буфера в Toxcore, эксплуатируемое через отправку UDP-пакета

Состоялся релиз консольного текстового редактора GNU nano 6.0, предлагаемого в качестве редактора по умолчанию во многих пользовательских дистрибутивах, разработчики которых считают vim слишком сложным для освоения. В новом выпуске Добавлена опция «—zero», скрывающая заголовок, строку состояния и область подсказки для высвобождения всего экранного пространства для области редактирования. По-отдельности заголовок и строку состояния можно скрыть и вернуть командой M-Z. Предоставлена возможность определения цветов в web-подобном шестнадцатеричном формате «#rgb». Для тех кто не любит задавать цвета цифрами, предложено 14 текстовых названий цветов: rosy, beet, plum, sea, sky, slate, teal, sage, brown, ocher, sand, tawny, brick и crimson. По умолчанию активирована возможность приостановки … Читать далее Выпуск текстового редактора GNU nano 6.0

Доступны корректирующие выпуски криптографической библиотеки OpenSSL 3.0.1 и 1.1.1m, в которых устранена уязвимость (CVE-2021-4044), а также исправлено около десятка ошибок. Уязвимость присутствует в реализации клиентов SSL/TLS и связана с тем, что библиотека libssl некорректно обрабатывает отрицательные значения кодов ошибок, возвращаемые функцией X509_verify_cert(), вызываемой для проверки сертификата, переданного клиенту сервером. Отрицательные коды возвращаются при возникновении внутренних ошибок, например, в случае невозможности выделить память под буфер. В случае возвращения подобной ошибки последующий вызов функций ввода/вывода, таких как SSL_connect() и SSL_do_handshake(), приведёт к возвращению неуспешного завершения и кода ошибки SSL_ERROR_WANT_RETRY_VERIFY, который должен возвращаться только если приложение раннее совершало вызов SSL_CTX_set_cert_verify_callback(). Так как большинство … Читать далее Обновление OpenSSL 3.0.1 и 1.1.1m с устранением уязвимости

Компания System76, специализирующаяся на производстве ноутбуков, ПК и серверов, поставляемых с Linux, опубликовала выпуск дистрибутива Pop!_OS 21.10. Pop!_OS основан на пакетной базе Ubuntu 21.10 и поставляется с собственным окружением рабочего стола COSMIC. Наработки проекта распространяются под лицензией GPLv3. ISO-образы сформированы для архитектуры x86_64 и ARM64 в вариантах для графических чипов NVIDIA (2.9 ГБ) и Intel/AMD (2.5 ГБ), а также для плат Raspberry Pi 4 (2.4 ГБ). Дистрибутив в первую очередь ориентирован на людей, использующих компьютер для создания чего-то нового, например, занимающихся разработкой контента, программных продуктов, 3D-моделей, графики, музыки или научной работой. Идея разработки собственной редакции дистрибутива Ubuntu пришла после решения … Читать далее Выпуск дистрибутива Pop!_OS 21.10, развивающего рабочий стол COSMIC

Представлен релиз проекта QEMU 6.2. В качестве эмулятора QEMU позволяет запустить программу, собранную для одной аппаратной платформы, на системе с совершенно иной архитектурой, например, выполнить приложение для ARM на x86-совместимом ПК. В режиме виртуализации в QEMU производительность выполнения кода в изолированном окружении близка к аппаратной системе за счёт прямого выполнения инструкций на CPU и задействования гипервизора Xen или модуля KVM. Изначально проект был создан Фабрисом Белларом (Fabrice Bellard) с целью обеспечения возможности запуска собранных для платформы x86 исполняемых файлов Linux на архитектурах, отличных от x86. За годы разработки была добавлена поддержка полной эмуляции для 14 аппаратных архитектур, число эмулируемых аппаратных … Читать далее Выпуск эмулятора QEMU 6.2

В реализации подстановок JNDI в библиотеке Log4j 2 выявлена ещё одна уязвимость (CVE-2021-45046), проявляющаяся несмотря на добавленные в выпуск 2.15 исправления и независимо от использования настройки «log4j2.noFormatMsgLookup» для защиты. Проблема представляет опасность в основном для старых версий Log4j 2, защищённых при помощи флага «noFormatMsgLookup», так как даёт возможность обойти защиту от прошлой узявимости (Log4Shell, CVE-2021-44228), позволяющей выполнить свой код на сервере. Для пользователей версии 2.15 эксплуатация ограничивается созданием условий для аварийного завершения приложения из-за исчерпания доступных ресурсов. Уязвимость проявляется только на системах, в которых при журналировании используются контекстные запросы (Context Lookup), такие как ${ctx:loginId}, или MDC-шаблоны (Thread Context Map), например, … Читать далее Новый вариант атаки на Log4j 2, позволяющий обойти добавленную защиту

В X.Org Server выявлены четыре уязвимости, позволяющие поднять свои привилегии в системе, если X-сервер выполняется с правами root, или выполнить код на удалённой системе, если для доступа используется перенаправление сеанса X11 при помощи SSH. Проблемы обещают устранить в выпуске xorg-server 21.1.2, который ожидается в ближайшие дни. В дистрибутивах проблемы пока остаются неисправленными (Debian, Ubuntu, RHEL, SUSE, Fedora, Arch). CVE-2021-4008 — переполнение буфера в функции SProcRenderCompositeGlyphs, связанное с тем, что обработчик запросов CompositeGlyphs в расширении Render некорректно проверяет длину передаваемых данных, что может быть использовано для записи произвольных данных за границу буфера. Патч с исправлением. CVE-2021-4009 переполнение буфера в функции SProcXFixesCreatePointerBarrier, … Читать далее Уязвимости в X.Org Server

Организация Apache Software Foundation опубликовала сводный отчёт о проектах, которые затрагивает критическая уязвимость в Log4j 2, позволяющая выполнить произвольный код на сервере. Проблеме подвержены следующие проекты Apache: Archiva, Druid, EventMesh, Flink, Fortress, Geode, Hive, JMeter, Jena, JSPWiki, OFBiz, Ozone, SkyWalking, Solr, Struts, TrafficControl и Calcite Avatica. Уязвимость также затронула продукты GitHub, включая GitHub.com, GitHub Enterprise Cloud и GitHub Enterprise Server. Проекты Apache, которых не затрагивает уязвимость в Log4j 2: Apache Iceberg, Guacamole, Hadoop, Log4Net, Spark, Tomcat, ZooKeeper и CloudStack. Пользователям проблемных пакетов рекомендуется срочно установить выпущенные для них обновления, отдельно обновить версию Log4j 2 или выставить параметр Log4j2.formatMsgNoLookups в значение … Читать далее 17 проектов Apache оказались затронуты уязвимостью в Log4j 2

Компания Coinbase, поддерживающая одноимённую платформу обмена цифровых валют, объявила об открытии исходных текстов криптографической библиотеки Kryptology, предлагающей набор криптографических алгоритмов для применения в распределённых системах, в которых шифрование и подтверждение подлинности осуществляется с привлечением нескольких участников. Код написан на языке Go и распространяется под лицензией Apache 2.0. Отмечается, что код библиотеки прошёл аудит безопасности, а API разработан с оглядкой на простоту и защиту от случайных ошибок или некорректного использования, способных привести к снижению стойкости реализованных механизмов. При разработке также учтены типовые проблемы, с которыми приходилось сталкиваться в Coinbase. Библиотеке включает в себя: Реализацию схемы разделения секрета Шамира, позволяющую разделить секретное … Читать далее Coinbase опубликовал библиотеку распределённых криптоалгоритмов Kryptology

Компания Google сформировала обновление Chrome 96.0.4664.110, в котором исправлены 5 уязвимостей, в том числе уязвимость (CVE-2021-4102), уже применяемая злоумышленниками в эксплоитах (0-day) и критическая уязвимость (CVE-2021-4098), позволяющая обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, известно лишь, что 0-day уязвимость вызвана использованием памяти после её освобождения в движке V8, а критическая уязвимость связана с отсутствием должной проверки данных в IPC-фреймворке Mojo. Из других уязвимостей упоминаются переполнение буфера (CVE-2021-4101) и обращение к уже освобождённой памяти (CVE-2021-4099) в системе рендеринга Swiftshader, а также проблема (CVE-2021-4100) с жизненным циклом объектов в ANGLE, прослойке для … Читать далее Обновление Chrome 96.0.4664.110 с устранением критической и 0-day уязвимостей

Проект ЯОС развивает ответвление от операционной системы A2, также известной как Bluebottle и Active Oberon. Одна из основных целей проекта — кардинальное внедрение русского языка во всю систему, включая (хотя бы частичный) перевод исходных текстов на русский язык. ЯОС может работать как приложение в окне под Linux или Windows, а также в виде обособленной операционной системы на оборудовании x86 и ARM (поддерживаются платы Zybo Z7-10 и Raspberry Pi 2). Код написан на языке Active Oberon и распространяется под лицензией BSD. Проект выступает основой для развития идей русскоязычного программирования, повышения комфорта работы с кириллицей и русским языком, опробования на практике разных … Читать далее ЯОС — прототип безопасной русскоязычной операционной системы на базе проекта A2

В каталоге PyPI (Python Package Index) выявлены три библиотеки, содержащие вредоносный код. До выявления проблем и удаления из каталога в сумме пакеты успели загрузить почти 15 тысяч раз. Пакеты dpp-client (10194 загрузки) и dpp-client1234 (1536 загрузок) распространялись с февраля и включали код для отправки содержимого переменных окружения, которые, например, могли включать ключи доступа, токены или пароли к системам непрерывной интеграции или облачным окружениям, таким как AWS. Пакеты также отправляли на внешний хост список с содержимым каталогов «/home», «/mnt/mesos/» и «mnt/mesos/sandbox». Пакет aws-login0tool (3042 загрузки) был размещён в репозитории PyPI 1 декабря и включал код для загрузки и запуска троянского приложения … Читать далее В каталоге Python-пакетов PyPI выявлены три вредоносные библиотеки

Компания Google опубликовала релиз языка программирования Dart 2.15, продолживший развитие кардинально переработанной ветки Dart 2, которая отличается от изначального варианта языка Dart применением сильной статической типизации (типы могут выводиться автоматически, поэтому указание типов не является обязательным, но динамическая типизация больше не используется и вычисленный изначально тип закрепляется за переменной и в дальнейшем применяется строгая проверка типа). Особенности языка Dart: Привычный и простой для изучения синтаксис, естественный для программистов на JavaScript, Си и Java. Обеспечение быстрого запуска и высокой производительности для всех современных web-браузеров и различных типов окружений, от портативных устройств до мощных серверов. Возможность определения классов и интерфейсов, позволяющих использовать … Читать далее Доступны язык Dart 2.15 и фреймворк Flutter 2.8

Компания Intel передала гипервизор Cloud Hypervisor, оптимизированный для применения в облачных системах, под покровительство организации Linux Foundation, инфраструктура и сервисы которой будут использованы в дальнейшей разработке. Переход под крыло Linux Foundation избавит проект от зависимости от отдельной коммерческой компании и упростит совместную работу с привлечением сторонних участников. О своей поддержке проекта уже объявили такие компании, как Alibaba, ARM, ByteDance и Microsoft, представители которых, наряду с разработчиками из Intel, образовали курирующий проект совет. Напомним, что Cloud Hypervisor предоставляет работающий поверх KVM и MSHV монитор виртуальных машин (VMM), написанный на языке Rust и построенный на основе компонентов совместного проекта Rust-VMM, позволяющего создавать … Читать далее Компания Intel перевела разработку Cloud Hypervisor в организацию Linux Foundation

Опубликован выпуск Unix-подобной операционной системы ToaruOS 2.0, написанной с нуля и поставляемой со своим ядром, загрузчиком, стандартной Си-библиотекой, пакетным менеджером, компонентами пространства пользователя и графическим интерфейсом с композитным оконным менеджером. Код проекта написан на языке Си и распространяется под лицензией BSD. Для загрузки подготовлен live-образ, размером 14.4 МБ, который можно протестировать в QEMU, VMware или VirtualBox. Проект стартовал в 2010 году в Иллинойсском университете и вначале развивался как исследовательская работа в области создания новых композитных графических интерфейсов. С 2012 года разработка трансформировалась в операционную систему ToaruOS, развиваемую заинтересованным в разработке сообществом. В текущем виде система снабжена композитным оконным менеджером, поддерживает … Читать далее Выпуск операционной системы ToaruOS 2.0