Компания Canonical приостановила распространение одного из исправлений, поставляемого в пакете с обновлённым микрокодом Intel. В новой версии микрокода выявлено регрессивное изменение, приводящее к проблемам с загрузкой Ubuntu на некоторых системах с процессорами Intel на базе микроархитектуры Tiger Lake. Проблема не специфична для Ubuntu и компании Intel уже уведомлена об её наличии. Из оборудования, на котором проявляется ошибка, отмечен ноутбук Dell XPS 9310, использование нового микрокода на котором приводит к зависанию с отображением артефактов на экране. В Ubuntu проявление ошибки блокировано в пакете intel-microcode 3.20201110.0ubuntu0.*.2 (версия 3.20201110.0ubuntu0.*.1 подвержена проблеме) путём удаления микрокода 06-8c-01/0x000806c1, вызывающего проблему. В случае зависания рекомендуется в загрузочном … Читать далее В обновлении микрокода Intel выявлена проблема, приводящая к зависанию на системах Tiger Lake

Доступен выпуск проекта Open CASCADE Technology (OCCT) 7.5.0, предоставляющего ядро геометрического моделирования для таких программ, как FreeCAD, KiCAD, Netgen, gmsh, CadQuery и pyOCCT. Проект развивается уже более двадцати лет и включает в себе набор библиотек и средств разработки ПО, ориентированных на 3D-моделирование и автоматизированное проектирование (САПР). Начиная с версии 6.7.0, исходный код OCCT распространяется по лицензии GNU LGPL 2.1. Версия OCCT 7.5.0 включает в себя более 400 улучшений и исправлений. Среди новых возможностей отмечается Draw Harness 3D Viewer, который позволяет перемещаться по большим моделям реального размера, включая навигацию в стиле телепорта при просмотре в режиме виртуальной реальности. Функциональность обмена данными … Читать далее Новая версия Open CASCADE Technology (OCCT) 7.5.0

Группа исследователей из Грацского технического университета (Австрия), ранее известная разработкой методов атак MDS, NetSpectre, Throwhammer и ZombieLoad, разработала новый метод атаки по сторонним каналам, получивший кодовое имя PLATYPUS. Атака позволяет воссоздать обрабатываемые при вычислении данные на основе сведений, получаемых непривилегированным пользователем через интерфейс мониторинга энергопотребления RAPL, предоставляемый в современных процессорах Intel (CVE-2020-8694, CVE-2020-8695) и AMD (CVE-2020-12912). Исследователям удалось продемонстрировать извлечения из анклава Intel SGX закрытого RSA-ключа, применяемого при шифровании с использованием библиотеки mbed TLS, а также AES-ключей используемых для шифрования AES-NI на уровне ядра Linux. Кроме того, показана возможность применения атаки для для обхода механизмов защиты и определения параметров рандомизации … Читать далее Новая атака Platypus на процессоры Intel и AMD

Разработчики Chrome намерены прекратить поддержку механизма Server Push в протоколах HTTP/2 и gQUIC, а также не реализовывать её для протокола HTTP/3, находящегося на стадии утверждения стандарта. В протоколе HTTP/1.1 технология Server Push не предусмотрена изначально. Причиной удаления является желание избавиться от большого усложнения в коде, на фоне невостребованности и лишь теоретических предпосылок в эффективности оптимизаций на основе Server Push. Технология Server Push определена в стандарте HTTP/2 и нацелена на оптимизацию загрузки данных. Помимо браузеров на базе движка Chromium поддержка Server Push в настоящее время реализована в Firefox и Safari, а на стороне сервера в nginx и в Apache httpd. При … Читать далее В Chrome намерены удалить поддержку технологии Server Push

Опубликован релиз приложения AndroWish («The Flux Capacitor»), позволяющего запускать Tcl/Tk скрипты на системах c платформой Android, без их изменения, либо с минимальными изменениями (например, работает tkabber). Проектом предоставляется нативный порт Tcl/Tk 8.6 для Android. В состав входит всё необходимое для работы, включая эмулятор X11, SDL 2.0, FreeType для отрисовки шрифтов. Имеется полная поддержка Unicode и поддержка отрисовки 3D-виджетов, используя OpenGL с эмуляцией OpenGL ES 1.1. В текущем релизе обновлен Tcl/Tk 8.6.10, sqlite 3.33.0, sdl 2.0.6 с текущими патчами и другие пакеты. Проектом также разрабатываются android-специфичные команды, для взаимодействия с системой и устройствами: borg — управление и взаимодействие с Android; ble … Читать далее Новый выпуск Androwish, окружения для запуска приложений Tcl/Tk на системах с Android

Компания Microsoft представила новый значительный выпуск платформы .NET 5, в котором предоставлена поддержка Linux, macOS и WebAssembly. В рамках .NET 5 пользователям предложен единый открытый фреймворк и runtime, которые можно использовать в различных областях разработки и на разных платформах. Выпуск .NET 5 сформирован благодаря унификации .NET Framework, .NET Core и Mono. На основе .NET 5 можно создавать многоплатформенные приложения, используя единую кодовую базу и общий процесс сборки, не зависящий от типа приложения. Продукт .NET 5 продолжил развитие открытого проекта .NET Core 3.0 и пришёл на смену классическому .NET Framework, который отдельно больше развиваться не будет и остановится на выпуске .NET … Читать далее Релиз унифицированной платформы .NET 5 с поддержкой Linux и WebAssembly

Исследователь безопасности из GitHub выявил уязвимость (CVE-2020-16125) в дисплейном менеджере GDM (GNOME Display Manager), отвечающем за вывод экрана входа в систему. В сочетании с другой уязвимостью в сервисе отслеживания учётных записей (accounts-daemon) проблема позволяет выполнить код с правами root. Уязвимость устранена в GNOME 3.36.2 и 3.38.2. Возможность эксплуатации уязвимости подтверждена в Ubuntu и производных дистрибутивах. Уязвимость связана с некорректным запуском утилиты начальной настройки в случае невозможности обратиться к сервису accounts-daemon через DBus. Непривилегированный пользователь может вызвать крах или зависание процесса accounts-daemon, что создаст условия для запуска из GDM утилиты gnome-initial-setup, через которую можно зарегистрировать нового пользователя, входящего в группу sudo, … Читать далее Уязвимость в GDM, позволяющая получить привилегии root в Ubuntu

После более года разработки и шести с половиной лет с момента прошлого значительного выпуска сформирован корректирующий релиз офисного пакета Apache OpenOffice 4.1.8, в котором предложено 24 исправления. Готовые пакеты подготовлены для Linux, Windows и macOS. Изменения в новом выпуске: Устранена уязвимость (CVE-2020-13958), потенциально позволяющая организовать выполнение кода при открытии специально оформленных документов. Злоумышленник может оформить ссылку, ссылающуюся на существующий исполняемый файл в локальной файловой системе. При активации данной ссылки файл будет исполнен. Проблеме присвоен низкий уровень опасности так как для эксплуатации требуется клик пользователя на ссылке внутри документа или срабатывание в документе обработчика событий. Обеспечена возможность сборки OpenOffice SDK с … Читать далее Выпуск офисного пакета Apache OpenOffice 4.1.8

Компания Google объявила о введении обязательного использования инклюзивной терминологии в проектах, развиваемых в рамках инициативы Google Open Source Programs Office (OSPO), которая охватывает более 2000 открытых проектов, в которых участвует Google и которые используются в Google. Начиная с октября 2020 года требование стало действовать для новых проектов, а с 2021 года его планируется распространить и на все существующие проекты OSPO. Запрет касается терминов, которые вызывают негативные ассоциации. В частности, предписывается обязательно исключить использование терминов «slave», «whitelist» и «blacklist», вместо которых следует использовать альтернативные термины, такие как «replica», «allowlist» и «blocklist». К числу нерекомендованных для применения выражений также отнесены «master», «native … Читать далее Google обязал применять инклюзивную терминологию в своих открытых проектах

Представлен релиз инструментария для построения инсталляторов Calamares 3.2.33, не зависящего от конкретных дистрибутивов Linux. Разработчикам дистрибутивов предоставлено несколько десятков готовых модулей c реализацией различных возможностей, востребованных в инсталляторах. Код написан на языке С++, графический интерфейс основан на библиотеке Qt 5 (используется QML), для разработки модулей могут применяться языки C++ и Python. Calamares уже используется для организации установки дистрибутивов Manjaro, Sabayon, Chakra, NetRunner, KaOS, OpenMandriva и KDE neon. Проект развивается при участии сообществ KDE, Fedora, Kubuntu и Maui. Calamares предоставляет такие возможности, как ручной и автоматический режимы разбиения дисковых разделов, гибкая система адаптации внешнего вида, модульная архитектура, большой выбор готовых модулей … Читать далее Релиз фреймворка для создания установщиков Calamares 3.2.33

Сами Камкар (Samy Kamkar), исследователь безопасности, известный созданием различных замысловатых устройств для проведения атак, таких как кейлоггер в USB-зарядке телефона, представил новую технику атаки «NAT slipstreaming«. Атака позволяет при открытии страницы в браузере организовать соединение сервера атакующего с любым портом UDP или TCP на системе пользователя, находящейся за транслятором адресов. Инструментарий для проведения атаки опубликован на GitHub. Метод основан на обмане механизма отслеживания соединений ALG (Application Level Gateways) в трансляторах адресов или межсетевых экранах, который применяется для организации проброса через NAT протоколов, в которых используется несколько сетевых портов (один для данных, а другой для управления), таких как SIP, H323, IRC … Читать далее Атака NAT slipstreaming для отправки запросов на внутренний IP

Опубликованы корректирующие выпуски Firefox 82.0.3, Firefox 78.4.1 и Thunderbird 78.4.2, в которых устранена критическая уязвимость (CVE-2020-26950). Доступ к подробной информации о характере уязвимости пока ограничен, сообщает лишь, что проблема связана с неверным использованием кода операции MCallGetProperty и может привести к обращению к уже освобождённой области памяти (use-after-free), пригодному для создания рабочего эксплоита. Источник: http://www.opennet.ru/opennews/art.shtml?num=54059 Читать далее Обновление Firefox 82.0.3 и Thunderbird 78.4.2 с устранением уязвимости

Началась подготовка к предстоящей заморозке пакетной базы выпуска Debian 11 «Bullseye», релиз которого ожидается летом 2021 года. Первая стадия заморозки пакетной базы намечена на 12 января 2021 года. На данном этапе будет прекращено выполнение «transitions» (обновление пакетов, требующее корректировки зависимостей у других пакетов, которое приводит к временному удалению пакетов из Testing), а также прекращено обновление пакетов, необходимых для сборки (build-essential). 12 февраля 2021 года состоится мягкая заморозка пакетной базы, при которой будет прекращён приём новых исходных пакетов и закрыта возможность повторного включения ранее удалённых пакетов. 12 марта 2021 года будет применена жёсткая заморозка перед релизом, при которой процесс переноса ключевых … Читать далее Подготовка к заморозке пакетной базы Debian 11. Объявлено кодовое имя Debian 13

Доступен релиз консольного почтового клиента Mutt 2.0. Переход на новый значительный номер версии обусловлен внесением изменений, нарушающих обратную совместимость. Например, изменено поведение при прикреплении файлов во вложение, по умолчанию выставлен режим $ssl_force_tls, отключена чистка заголовков при выполнении операций decode-copy и decode-save, установка параметра $hostname теперь производится после обработки muttrc и опций «-e» в командной строке. Среди новых возможностей: Возможность указания IP-адреса вместо имени хоста в email, например «user@[IPv6:fcXX:….]». Добавлена команда «cd» для смены рабочего каталога. Добавлена поддержка XOAUTH2 (аутентификация в IMAP, POP и SMTP при помощи OAuth), активируемая через установку параметра «xoauth2» в настройках $imap_authenticators, $smtp_authenticators и $pop_authenticators. Обеспечена автоматическая … Читать далее Выпуск почтового клиента Mutt 2.0

Представлен выпуск графического редактора GIMP 2.99.2, в котором предложена для тестирования функциональность будущей новой стабильной ветки GIMP 3.0. В новой ветке выполнен переход на GTK3, добавлена штатная поддержка Wayland и HiDPI, проведена значительная чистка кодовой базы, предложен новый API для разработки плагинов, реализовано кэширование отрисовки, добавлена поддержка выделения нескольких слоёв (Multi-layer selection) и обеспечено редактирование в исходном цветовом пространстве. Для установки доступен пакет в формате flatpak (org.gimp.GIMP в репозитории flathub-beta) и сборки для Windows. Ключевые изменения: Осуществлён переход на использование библиотеки GTK3 вместо GTK2, существенно модернизировано оформление интерфейса и предложены новые виджеты. Для диалогов применено декорирования окон на стороне клиента … Читать далее Доступен предварительный выпуск графического редактора GIMP 3.0

Исследователи из Лаборатории Касперского выявили версию вымогательского вредоносного ПО RansomEXX для Linux. Изначально RansomEXX распространялся только на платформе Windows и стал известен, благодаря нескольким крупным инцидентам с поражением систем различных госучреждений и компаний, включая Департамент транспорта штата Техас и компанию Konica Minolta. RansomEXX выполняет шифрование данных на диске, после чего требует выкуп для получения ключа расшифровки. Шифрование организовано при помощи открытой библиотеки mbedtls. После запуска вредоносное ПО генерирует 256-битный ключ и использует его для шифрования всех доступных файлов, применяя блочный шифр AES в режиме ECB. Каждую секунду генерируется новый AES-ключ, т.е. разные файлы оказываются зашифрованы разными ключами AES. Каждый AES-ключ … Читать далее Выявлен порт программы-вымогателя RansomEXX для Linux

Компания Collabora сообщила о прогрессе в разработке проекта Zink, развивающего Gallium-драйвер для Mesa с реализацией API OpenGL поверх Vulkan. Zink позволяет получить аппаратно ускоренный OpenGL при наличии в системе драйверов, ограниченных поддержкой только API Vulkan. Отмечается, что производительность Zink теперь близка к производительности родных реализаций OpenGL и отстаёт от них лишь примерно на 5%. Напомним, что на начальном этапе разработки производительность Zink отставала от родных реализаций более чем в три раза. Кроме производительности заметно расширены и функциональные возможности драйвера: обеспечена полноценная поддержка OpenGL 3.3, реализована совместимость с платформой macOS и добавлена поддержка устройств Raspberry Pi 4. В ближайшее время ожидается … Читать далее Существенное увеличение производительности Zink, реализации OpenGL поверх API Vulkan

Состоялся экспериментальный выпуск открытой реализации WinAPI — Wine 5.21. С момента выпуска версии 5.20 было закрыто 24 отчёта об ошибках и внесено 272 изменения. Наиболее важные изменения: Библиотека GDI32 преобразована в формат PE. В GDI32 изменена обработка шрифтов. Улучшена работа форм RichEdit в безоконном режиме (windowless). Обновлена информация о часовых поясах. Решены проблемы со сборкой в Ubuntu 16.04 и 18.04. Закрыты отчёты об ошибках, связанные с работой игр и приложений: Adobe Reader X/XI, StreetFighter V, World of Warcraft, League of Legends 8.15+, Valorant/Vanguard, GOG Galaxy, Far Manager 3, Wolf, Terraria Mobile Server, Microsoft Flight Simulator, Fallout 76. Кроме того, сформирован … Читать далее Выпуск Wine 5.21 и Wine staging 5.21

Некоммерческий удостоверяющий центр Let’s Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, анонсировал грядущий переход на формирование подписей с использованием только своего корневого сертификата, без применения сертификата, перекрёстно подписанного удостоверяющим центром IdenTrust. Время жизни перекрёстно подписанного сертификата истекает 1 сентября 2021 года. Корневой сертификат Let’s Encrypt поддерживается во всех современных браузерах, но распознаётся только начиная с платформы Android 7.1.1, выпущенной в конце 2016 года. Проблема в том, что по имеющейся статистике Android 7.1 и более новые выпуски используются лишь на 66.2% от всех Android-устройств. Таким образом 33.8% находящихся в обиходе Android-устройств не имеют данных о корневом сертификате Let’s Encrypt … Читать далее Сертификаты Let’s Encrypt перестанут восприниматься на 33% Android-устройств

Компания Valve опубликовала выпуск VKD3D-Proton 2.0, ответвления от кодовой базы vkd3d, созданного для улучшения поддержки Direct3D 12 в пакете для запуска игр Proton. В VKD3D-Proton поддерживаются специфичные для Proton изменения, оптимизации и улучшения для более качественной работы Windows игр на базе Direct3D 12, которые пока не приняты в основной состав vkd3d. Из отличий также отмечается ориентация на использование современных расширений Vulkan и возможностей свежих выпусков графических драйверов для достижения полной совместимости с Direct3D 12. В новой версии предложена поддержка уровня функциональности D3D12 12_0 и модели шейдеров 6.0 (DXIL), достаточных для полноценной работы игр: Control Death Stranding Devil May Cry 5 … Читать далее Выпуск VKD3D-Proton 2.0, форка Vkd3d с реализацией Direct3D 12

Якуб Елень (Jakub Jelen), инженер по обеспечению безопасности из компании Red Hat, предложил перевести протокол SCP в разряд устаревших. SCP концептуально близок к протоколу RCP и наследует фундаментальные архитектурные проблемы, которые являются источником потенциальных уязвимостей. В частности, в SCP и RCP решение о том, какие файлы и каталоги отправить клиенту принимает сервер, а клиент следует предписанию сервера и лишь проверяет корректность возвращённых имён объектов. При подключении к серверу, подконтрольному злоумышленнику, сервер может выдать другие файлы, что уже ни раз приводило к выявлению уязвимостей. Например, до недавних пор клиент лишь проверял соблюдение текущего каталога, но не учитывал, что сервер мог выдать … Читать далее В Fedora предложили перевести протокол SCP в разряд устаревших