Компания Mozilla решила не продлевать контракт с маркетинговой компанией Leanplum, в рамках которого в мобильных версиях Firefox для Android и Chrome была организована отправка телеметрии. По умолчанию отправка телеметрии в Leanplum включалась примерно для 10% пользователей из США. Информация об отправке телеметрии отображалась в настройках и была доступна для отключения (в меню «Data collection» пункт «Marketing data»). Контракт с Leanplum истекает 31 мая, до этого времени компания Mozilla намерена отключить интеграцию с сервисами Leanplum в своих продуктах. На серверы Leanplum отправлялся случайно сгенерированный уникальный идентификатор программы (сервер также мог учитывать IP-адрес пользователя), и данные о том, когда пользователь открывал или … Читать далее Mozilla прекратит передачу телеметрии сервису Leanplum в Firefox для Android и iOS

Опубликован выпуск проекта EndeavourOS 2021.04.17, пришедшего на смену дистрибутиву Antergos, развитие которого было прекращено в мае 2019 года из-за нехватки у оставшихся мэйнтейнеров свободного времени для поддержания проекта на должном уровне. Дистрибутив предлагает простой инсталлятор для установки базового окружения Arch Linux с рабочим столом Xfce по умолчанию и возможностью установить из репозитория один из 9 типовых рабочих столов на основе i3-wm, Openbox, Mate, Cinnamon, GNOME, BSPWM, Sway, Budgie и KDE. Endeavour OS даёт возможность пользователю без лишних усложнений установить Arch Linux с необходимым рабочим столом в том виде, каким он задуман в своей штатной начинке, предлагаемой разработчиками выбранного рабочего стола, … Читать далее Выпуск дистрибутива EndeavourOS 2021.04.17

Опубликован релиз OpenSSH 8.6, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В новой версии устранена уязвимость в реализации директивы LogVerbose, появившейся в прошлом выпуске и позволяющей поднять уровень сбрасываемой в лог отладочной информации, в том числе реализовать возможность фильтрации по шаблонам, функциям и файлам, связанным с кодом, выполняемым со сброшенными привилегиями в процессе sshd, изолированном в sandbox-окружении. Атакующий, добившийся получения контроля за непривилегированным процессом при помощи какой-то ещё не известной уязвимости, может использовать связанную с LogVerbose проблему для обхода sandbox-изоляции и совершения атаки на процесс, выполняемый с повышенными привилегиями. Применение уязвимости в LogVerbose на … Читать далее Релиз OpenSSH 8.6 с устранением уязвимости

Подведены итоги ежегодных выборов лидера проекта Debian. В голосовании приняли участие 455 разработчиков, что составляет 44% от всех участников, имеющих право голоса (в прошлом году явка составила 33%, в позапрошлом 37%). В этом году в выборах приняли участие два кандидата на пост лидера. Победу одержал Джонатан Картер (Jonathan Carter), который был переизбран на второй срок. Джонатан с 2016 года занимается сопровождением более 60 пакетов в Debian, принимает участие в улучшении качества Live-образов в команде debian-live и является одним из разработчиков AIMS Desktop, сборки Debian, применяемой в ряде южноафриканских научных и образовательных учреждений. Вторым кандидатом на пост лидера была Sruthi Chandran … Читать далее Джонатан Картер переизбран на пост лидера проекта Debian

Компания Proxmox, известная разработкой продуктов Proxmox Virtual Environment и Proxmox Mail Gateway, представила выпуск дистрибутива Proxmox Backup Server 1.1, который преподносится как готовое решение для резервного копирования и восстановления виртуальных окружений, контейнеров и начинки серверов. Установочный ISO-образ доступен для свободной загрузки. Специфичные для дистрибутива компоненты открыты под лицензией AGPLv3. Для установки обновлений доступен как платный репозиторий Enterprise, так и два бесплатных репозитория, которые отличаются уровнем стабилизации обновлений. Системная часть дистрибутива базируется на пакетной базе Debian 10.9 (Buster), ядре Linux 5.4 и OpenZFS 2.0. Программный стек для управления резервным копированием написан на языке Rust и поддерживает инкрементальные бэкапы (на сервер передаются … Читать далее Выпуск дистрибутива Proxmox Backup Server 1.1

Завершилось общее голосование относительно возможной поддержки проектом Debian петиции с требованием отставки совета директоров FSF и отстранения Столлмана. Судя по рассчитанным автоматически предварительным итогам голосования, победил седьмой пункт бюллетеня: проект не будет делать каких-либо публичных заявлений относительно FSF и Столлмана, участники проекта вольны поддержать любую петицию по этому поводу. Кроме выбранной позиции в голосовании также присутствовали пункты: 1. Призвать к отставке всего совета Фонда СПО, как того требует петиция против Столлмана. 2. Призвать к уходу из Фонда СПО только Столлмана. 3. Ограничить взаимодействие с Фондом СПО, пока Столлман находится в числе руководителей организации. 4. Призвать Фонд СПО к реформированию (повышению … Читать далее Проект Debian выбрал нейтральную позицию относительно петиции против Столлмана

Компания NVIDIA опубликовала первый стабильный выпуск новой ветки проприетарного драйвера NVIDIA 465.24. Одновременно предложено обновление LTS-ветки NVIDIA 460.67 Драйвер доступен для Linux (ARM, x86_64), FreeBSD (x86_64) и Solaris (x86_64). В выпусках 465.24 и 460.67 добавлена поддержка GPU A10, A10G, A30, PG506-232, RTX A4000, RTX A5000, T400 и T600. Среди изменений, специфичных для новой ветки NVIDIA 465: Для платформы FreeBSD реализована поддержка графического API Vulkan 1.2. Обновлена панель nvidia-settings, в которой улучшена согласованность настроек управления раскладкой экранного пространства, специфичных для некоторых мониторов или GPU. Повышена производительность отрисовки текста с точечной штриховкой через DrawText() в окружении X11. Добавлена поддержка Vulkan-расширений VK_KHR_synchronization2, VK_KHR_workgroup_memory_explicit_layout … Читать далее Выпуск проприетарного драйвера NVIDIA 465.24

Компания Mozilla сообщила о намерении начать поэтапное включение протоколов HTTP/3 и QUIC в выпуске Firefox 88, намеченном на 19 апреля (изначально, релиз ожидался 20 апреля, но, судя по графику, сдвинут на один день). Вначале поддержка HTTP/3 будет активирована лишь для небольшого процента пользователей и, если не возникнет непредвиденных проблем, будет доведена до всех к концу мая. В ночных сборках и бета-версиях HTTP/3 был включён по умолчанию в конце марта. Напомним, что реализация HTTP/3 в Firefox основана на развиваемом компанией Mozilla проекте neqo, предоставляющем реализацию клиента и сервера для протокола QUIC. Код компонентов для поддержки HTTP/3 и QUIC написан на языке … Читать далее Включение поддержки HTTP/3 в Firefox намечено на конец мая

После полугода разработки состоялся релиз пользовательского окружения LXQt 0.17 (Qt Lightweight Desktop Environment), развиваемого объединённой командой разработчиков проектов LXDE и Razor-qt. Интерфейс LXQt продолжает следовать идеям классической организации рабочего стола, привнося современное оформление и приёмы, увеличивающие удобство работы. LXQt позиционируется как легковесное, модульное, быстрое и удобное продолжение развития рабочих столов Razor-qt и LXDE, вобравшее лучшие черты обеих оболочек. Код размещён на GitHub и поставляется под лицензиями GPL 2.0+ и LGPL 2.1+. Появление готовых сборок ожидается для Ubuntu (LXQt по умолчанию предлагается в Lubuntu), Arch Linux, Fedora, openSUSE, Mageia, FreeBSD, ROSA и ALT Linux. Особенности выпуска: В панели (LXQt Panel) добавлен … Читать далее Выпуск графического окружения LXQt 0.17

После шести месяцев разработки представлен релиз проекта LLVM 12.0 — GCC-совместимого инструментария (компиляторы, оптимизаторы и генераторы кода), компилирующего программы в промежуточный биткод RISC-подобных виртуальных инструкций (низкоуровневая виртуальная машина с многоуровневой системой оптимизаций). Сгенерированный псевдокод может быть преобразован при помощи JIT-компилятора в машинные инструкции непосредственно в момент выполнения программы. Улучшения в Clang 12.0: Реализована и включена по умолчанию поддержка предложенных в стандарте C++20 атрибутов «likely» и «unlikely», позволяющих информировать оптимизатор о вероятности срабатывания условной конструкции (например, «[[likely]] if (random > 0) {«). Добавлена поддержка процессоров AMD Zen 3 (-march=znver3), Intel Alder Lake (-march=alderlake) и Intel Sapphire Rapids (-march=sapphirerapids). Добавлена поддержка флагов … Читать далее Релиз набора компиляторов LLVM 12.0

Компания Mozilla приняла решение удалить из Firefox встроенную реализацию протокола FTP. В выпуске Firefox 88, намеченном на 19 апреля, поддержка FTP будет отключена по умолчанию (в том числе настройка browserSettings.ftpProtocolEnabled будет переведена в режим только для чтения), а в выпуске Firefox 90, запланированном на 29 июня, будет удалён код, связанный с FTP. При попытке открытия ссылок с идентификатором протокола «ftp://» браузер будет вызывать внешнее приложение по аналогии с тем как вызываются обработчики «irc://» и «tg://». В качестве причины прекращения поддержки FTP называется незащищённость данного протокола от модификации и перехвата транзитного трафика при совершении MITM-атак. По мнению разработчиков Firefox, в современных … Читать далее В Firefox 90 будет удалён код, обеспечивающий поддержку FTP

Проект Openwall опубликовал выпуск модуля ядра LKRG 0.9.0 (Linux Kernel Runtime Guard), предназначенного для выявления и блокирования атак и нарушений целостности структур ядра. Например, модуль может защитить от несанкционированного внесения изменений в работающее ядро и попыток изменения полномочий пользовательских процессов (определение применения эксплоитов). Модуль подходит как для организации защиты от эксплоитов уже известных уязвимостей ядра Linux (например, в ситуациях когда в системе проблематично обновить ядро), так и для противостояния эксплоитам для ещё неизвестных уязвимостей. Код проекта распространяется под лицензией GPLv2. Среди изменений в новой версии: Обеспечена совместимость с ядрами Linux с 5.8 по 5.12, а также со стабильными ядрами 5.4.87 … Читать далее Выпуск модуля LKRG 0.9.0 для защиты от эксплуатации уязвимостей в ядре Linux

Группа мэйнтейнеров и разработчиков различных проектов GNU, большинство из которых ранее выступали за уход от единоличного лидерства Столлмана в пользу коллективного управления, основали сообщество GNU Assembly, при помощи которого предприняли попытку реформирования системы управления проектом GNU. GNU Assembly преподносится как платформа для сотрудничества разработчиков пакетов GNU, которые действуют ради свободы пользователей и разделяют предложенное видение проекта GNU. GNU Assembly позиционируется как новый дом для разработчиков и мэйнтейнеров проектов GNU, которые не устраивает текущая организация управления. Модель управления GNU Assembly пока окончательно не определена и находится на стадии обсуждения. В качестве эталонных моделей рассматривается организация управления в GNOME Foundation и Debian. … Читать далее Инициатива GNU Assembly, продвигающая новую модель управления проектом GNU

Компания Google представила релиз web-браузера Chrome 90. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого видеоконтента (DRM), системой автоматической установки обновлений и передачей при поиске RLZ-параметров. Следующий выпуск Chrome 91 запланирован на 25 мая. Основные изменения в Chrome 90: Для всех пользователей включено открытие сайтов по умолчанию через HTTPS при наборе имён хостов в адресной строке. Например, при вводе хоста example.com по умолчанию будет открыт сайт https://example.com, а если при открытии возникли проблемы будет выполнен откат до http://example.com. Для управления использованием … Читать далее Релиз Chrome 90

Компания Google представила патчи с улучшенной реализацией механизма LRU для Linux. LRU (Least Recently User) — это механизм, позволяющий отбрасывать или выгружать в своп неиспользуемые страницы памяти. По мнению корпорации Google, существующая реализация механизма определения вытесняемых страниц создаёт слишком высокую нагрузку на CPU, а также часто принимает неудачные решения, какие именно страницы выгружать. В экспериментах, проведённых компанией, новая реализация LRU сократила количество принудительных завершений программ из-за нехватки памяти в системе (OOM kill) на 18%, в Chrome OS на 96% снизилось число отброшенных вкладок браузера из-за недостатка памяти и на 59% уменьшилось число OOM kill в нагруженных устройствах. Это вторая версия … Читать далее Компания Google представила патчи многоуровневого LRU для Linux

Кис Кук (Kees Cook), бывший главный сисадмин kernel.org и лидер Ubuntu Security Team, ныне работающий в компании Google над обеспечением защиты Android и ChromeOS, опубликовал набор патчей с реализацией рандомизации смещений в стэке ядра при обработке системных вызовов. Патчи повышают безопасность ядра путём изменения размещения стека, что делает атаки на стек значительно более сложным и менее успешным занятием. Начальная реализация поддерживает процессоры ARM64 и x86/x86_64. Изначальная идея патча принадлежит проекту PaX RANDKSTACK. В 2019 году Елена Решетова, инженер из фирмы Intel, попробовала создать реализацию данной идеи, пригодную для включения в основной состав ядра Linux. Позже инициативу подхватил Кис Кук, который … Читать далее Представлены патчи для рандомизации адресов стека ядра Linux при системных вызовах

Линус Торвальдс провёл рецензирование патчей c реализацией возможности создания драйверов на языке Rust для ядра Linux, и высказал некоторые критические замечания. Наибольшие претензии вызвала потенциальная возможность ухода в panic() в ошибочных ситуациях, например, в ситуации нехватки памяти, когда операции динамического распределения памяти, в том числе и внутри ядра, могут завершиться ошибкой. Торвальдс заявил, что подобный подход в ядре принципиально недопустим и при непонимании этого момента он может полностью отвернуть (totally NAKed) любой код, который попытается использовать подобный подход. С другой стороны, разработчик, занимающийся патчами, согласился с данной проблемой и считает её решаемой. Ещё одной проблемой стали попытки использования вычислений с … Читать далее Поддержка Rust для ядра Linux столкнулась с критикой Торвальдса

Компания Google сформировала обновление Chrome 89.0.4389.128, в котором исправлены две уязвимости (CVE-2021-21206, CVE-2021-21220), для которых доступны рабочие эксплоиты (0-day). Уязвимость CVE-2021-21220 была использована для взлома Chrome на соревновании Pwn2Own 2021. Эксплуатация указанной уязвимости осуществляется через выполнение определённым образом оформленного кода WebAssembly (уязвимость вызвана ошибкой в виртуальной машине WebAssembly, позволяющей записать или прочитать данные по произвольному адресу в памяти). При этом отмечается, что показанный эксплоит не позволяет обойти sandbox-изоляцию и для полноценной атаки требуется обнаружение ещё одной уязвимости для выхода из sandbox (на соревновании Pwn2Own 2021 такая уязвимость была продемонстрирована для Windows). Пример эксплоита для данной проблемы был опубликован на GitHub … Читать далее Обновление Chrome 89.0.4389.128 с устранением 0-day уязвимости. Chrome 90 задерживается

Сформирован выпуск основной ветки nginx 1.19.10, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.18 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей). Основные изменения: Значение по умолчанию параметра «keepalive_requests«, определяющего максимальное число запросов, которые можно отправить через одно keep-alive соединение, увеличено со 100 до 1000. Добавлена новая директива «keepalive_time«, которая ограничивает общее время жизни каждого keep-alive соединения, после истечении которого соединение будет закрыто (не путать с keepalive_timeout, определяющем время неактивности, после которого keep-alive соединение закрывается). Добавлена переменная $connection_time, через которую можно получить информацию о продолжительности соединения в секундах с миллисекундной точностью. Добавлен обходной … Читать далее Выпуск nginx 1.19.10

Опубликован релиз X.Org Server 1.20.11, в котором устранена уязвимость (CVE-2021-3472), позволяющая повысить свои привилегии в системах, в которых X-сервер выполняется с правами root. Проблема вызвана ошибкой в расширении XInput, приводящей к изменению содержимого области памяти вне выделенного буфера при обработке запросов ChangeFeedbackControl со специально оформленными входными данными. Аналогичная проблема также устранена в компоненте xwayland 21.1.1. Кроме исправления уязвимости в X.Org Server 1.20.11 также проведена работа по чистке DDX-компонента XQuartz, применяемого для запуска X11-приложений в окружении macOS. В новой версии убрана возможность сборки XQuartz для систем i386 и прекращена поддержка версий macOS 10.3 «Panther», 10.4 «Tiger», 10.5 «Leopard», 10.6 «Snow Leopard», … Читать далее Обновление X.Org Server 1.20.11 с устранением уязвимости

Компания System76, специализирующаяся на производстве ноутбуков, ПК и серверов, поставляемых с Linux, представила новое пользовательское окружение COSMIC (Computer Operating System Main Interface Components), которое придёт на смену модифицированному рабочему столу GNOME, поставляемому в дистрибутиве Pop!_OS. Поставка нового пользовательского окружения начнётся в выпуске Pop!_OS 21.04, намеченном на июнь. Код COSMIC развивается под лицензией GPLv3. Ранее поставляемое в Pop!_OS пользовательское окружение было основано на модифицированной оболочке GNOME Shell c дополнительными расширениями, своим оформлением, набором пиктограмм и изменёнными настройками. COSMIC продолжает это начинание и также базируется на технологиях GNOME, но отличается уходом в более глубокую переработку рабочего стола и внесением концептуальных изменений. Из … Читать далее Компания System76 объявила о разработке пользовательского окружения COSMIC