Qu Wenruo из компании SUSE, занимающийся сопровождением файловой системы Btrfs, обратил внимание на злоупотребления, связанные с отправкой в ядро Linux бесполезных косметических патчей, изменения в которых сводятся к исправлению опечаток в тексте или удалению отладочных сообщений из внутренних тестов. Обычно подобные мелкие патчи присылают начинающие разработчики, которые только учатся взаимодействию в сообществе. В этот раз патчи отправлялись сотрудниками компании Huawei и случай оказался не единичен. При этом подобные патчи отправлялись по отдельности, без объединения всех мелких правок в один более крупный патч, отвлекая сопровождающих от важной работы. Qu Wenruo предположил, что таким образом сотрудники Huawei пытаются поддерживать на должном уровне … Читать далее Работников Huawei подозревают в публикации бесполезных Linux-патчей для повышения KPI

Энтузиастами введён в строй репозиторий DUR (Debian User Repository), который позиционируется как аналог репозитория AUR (Arch User Repository) для Debian, позволяющий сторонним разработчикам распространять свои пакеты без включения в основные репозитории дистрибутива. Как и в AUR метаданные и инструкции сборки пакетов в DUR определяются с использованием формата PKGBUILD. Для сборки deb-пакетов из файлов PKGBUILD предлагается инструментарий makedeb, выступающий аналогом makepkg. В состав также входит пакетный менеджер mpm, позволяющий извлекать и устанавливать пакеты из AUR и репозиториев Arch Linux, а также утилита makedeb-db для замены специфичных для Arch Linux зависимостей на зависимости из Debian. Подготовленный инструментарий даёт возможность использовать в Debian … Читать далее Представлен DUR, аналог пользовательского репозитория AUR для Debian

Компания Valve опубликовала выпуск проекта Proton 6.3-5, который основан на наработках проекта Wine и нацелен на обеспечение запуска в Linux игровых приложений, созданных для Windows и представленных в каталоге Steam. Наработки проекта распространяются под лицензией BSD. Proton позволяет напрямую запускать в Linux-клиенте Steam игровые приложения, поставляемые только для Windows. Пакет включает в себя реализацию DirectX 9/10/11 (на базе пакета DXVK) и DirectX 12 (на базе vkd3d-proton), работающие через трансляцию вызовов DirectX в API Vulkan, предоставляет улучшенную поддержку игровых контроллеров и возможность использования полноэкранного режима независимо от поддерживаемых в играх разрешений экрана. Для увеличения производительности многопоточных игр поддерживаются механизмы «esync» (Eventfd … Читать далее Компания Valve выпустила Proton 6.3-5, пакет для запуска Windows-игр в Linux

В каталогах приложений, построенных на основе платформы Pling, выявлена уязвимость, позволяющая совершить XSS-атаку для выполнения JavaScript-кода в контексте других пользователей. Проблеме подвержены такие сайты, как store.kde.org, appimagehub.com, gnome-look.org, xfce-look.org и pling.com. Суть проблемы в том, что платформа Pling допускает добавление мультимедийных блоков в формате HTML, например, для вставки ролика с YouTube или изображения. Добавляемый через форму код не проверяется должным образом, что позволяет под видом изображения добавить код вида «‹img src=x onerror=alert(1)›» и разместить в каталоге информацию, при просмотре которой будет запущен JavaScript-код. Если информация будет открыта пользователям, имеющим учётную запись, то можно инициировать совершение в каталоге действий от имени … Читать далее Уязвимость в store.kde.org и каталогах OpenDesktop

Компания Western Digital рекомендовала пользователям срочно отключить устройства хранения WD My Book Live и My Book Live Duo от интернета в связи появлением массовых жалоб об удалении всего содержимого накопителей. На данный момент известно лишь то, что в результате деятельности неизвестного вредоносного ПО производится удалённое инициирование сброса устройств в исходное состояние с очисткой всего сохранённого на накопителе содержимого. Устройства WD My Book Live и My Book Live Duo поддерживает подключение к Ethernet и работу в форме сетевого хранилища с возможностью удалённого доступа к своим файлам и изменению конфигурации через облачный сервис Western Digital. Компания Western Digital заявила, что на данный … Читать далее Инцидент с потерей данных на сетевых накопителях WD My Book Live и My Book Live Duo

В реализации продвигаемых компанией Dell технологий удалённого восстановления ОС и обновления прошивок (BIOSConnect и HTTPS Boot) выявлены уязвимости, позволяющие добиться подмены устанавливаемых обновлений прошивок BIOS/UEFI и удалённо выполнить код на уровне прошивки. Запущенный код может изменить начальное состояния операционной системы и использоваться для обхода применяемых механизмов защиты. Уязвимости затрагивают 129 моделей различных ноутбуков, планшетов и ПК Dell, в том числе защищённых при помощи технологий UEFI Secure Boot и Dell Secured-core. Уязвимость CVE-2021-21571 вызвана некорректной проверкой сертификата домена dell.com в HTTPS-стеке, используемом в прошивках UEFI/BIOS, поддерживающих технологии Dell BIOSConnect и Dell HTTPS Boot. Проблема даёт возможность неаутентифицированному внешнему атакующему организовать MITM-атаку, … Читать далее Уязвимости в устройствах Dell, позволяющие совершить MITM-атаку для подмены прошивки

В подсистеме eBPF, позволяющей запускать обработчики внутри ядра Linux в специальной виртуальной машине с JIT, выявлена уязвимость (CVE-2021-3600), позволяющая локальному непривилегированному пользователю добиться выполнения своего кода на уровне ядра Linux. Проблема вызвана некорректным усечением 32-разрядных регистров при выполнении операций «div» и «mod», что может привести к чтению и записи данных за границей выделенной области памяти. Уязвимость внесена в некорректном исправлении 32-разрядного деления на ноль в выпуске 4.15, которое также было бэкпортировано в ветки 4.4.x, 4.9.x и 4.14.x. Эксплуатация уязвимости возможна для ядер, начиная с версии 4.14, в которой был изменён метод отслеживании значений в верификаторе BPF. Проблема устранена в ядре … Читать далее Уязвимость в eBPF, позволяющая выполнить код на уровне ядра Linux

Компания Google объявила об изменении планов, касающихся прекращения в Chrome поддержки сторонних Cookie, выставляемых при обращении к сайтам, отличным от домена текущей страницы. Подобные Cookie применяются для отслеживания перемещений пользователя между сайтами в коде рекламных сетей, виджетов социальных сетей и систем web-аналитики. Изначально поддержку сторонних Cookie в Chrome планировалось прекратить до 2022 года, но теперь этот срок сдвинут как минимум на полтора года, так как внедрение замены сторонним Cookie требует больше времени, чем ожидалось. До конца 2022 года планируется завершить тестирование идущих на смену отслеживающих Cookie технологий и активировать их в Chrome, после чего предоставить рекламным сетям и сайтам как … Читать далее Прекращение поддержки сторонних Cookie в Chrome отложено до 2023 года

Представлен Linux4yourself или «Linux для себя» — первый выпуск самостоятельного русскоязычного ответвления Linux From Scratch — руководства по созданию Linux-системы, используя лишь исходные тексты необходимого программного обеспечения. Все исходные тексты проекта размещены на GitHub под лицензией MIT. На выбор пользователя предлагается использование multilib системы, поддержка EFI и небольшой набор дополнительного программного обеспечения для организации комфортной работы. Кроме того, готовится к публикации расширенное руководство, в котором содержится информация о настройке окружения рабочего стола и программного обеспечения, охватывающего различные области применения. В ближайших планах проекта — создание руководства по созданию встраиваемой системы на базе BusyBox и библиотеки musl, создание LiveCD. Источник: http://www.opennet.ru/opennews/art.shtml?num=55386 Читать далее Первый выпуск самостоятельного русскоязычного ответвления Linux From Scratch

Звукозаписывающая компания Sony Music добилась в окружном суде Гамбурга (Германия) предписания о блокировке пиратских сайтов на уровне проекта Quad9, предоставляющего бесплатный доступ к публично доступному DNS-резолверу «9.9.9.9», а также сервисам «DNS over HTTPS» («dns.quad9.net/dns-query/») и «DNS over TLS» («dns.quad9.net»). Суд вынес решение о блокировке доменных имён, уличённых в распространении музыкального контента, нарушающего авторские права, несмотря на отсутствия явной связи некоммерческой организации Quad9 с блокируемым сервисом. В качестве основания для блокировки указано то, что разрешение имён пиратских сайтов через DNS способствует нарушению авторских прав Sony. Решение о блокировке на стороне стороннего публичного сервиса DNS вынесено впервые и воспринимается как попытку медиаиндустрии … Читать далее Sony Music добилась в суде блокировки пиратских сайтов на уровне DNS-резолвера Quad9

В каталоге PyPI (Python Package Index) выявлено несколько пакетов, включающих код для скрытого майнинга криптовалюты. Проблемы присутствовали в пакетах maratlib, maratlib1, matplatlib-plus, mllearnlib, mplatlib и learninglib, имена которых выбраны похожими по написанию на популярные библиотеки (matplotlib) с расчётом, что пользователь ошибётся при написании и не заметит отличий (тайпсквоттинг). Пакеты были размещены в апреле под учётной записью nedog123 и за два месяца в сумме были загружены около 5 тысяч раз. Вредоносный код был размещён в библиотеке maratlib, которая использовалась в остальных пакетах в форме зависимости. Вредоносный код был скрыт с использованием собственного механизма обфускации, не определяемого типовыми утилитами, и запускался при … Читать далее В каталоге PyPI (Python Package Index) выявлено 6 вредоносных пакетов

После года разработки компания SUSE представила релиз дистрибутива SUSE Linux Enterprise 15 SP3. На основе платформы SUSE Linux Enterprise сформированы такие продукты, как SUSE Linux Enterprise Server, SUSE Linux Enterprise Desktop, SUSE Manager и SUSE Linux Enterprise High Performance Computing. Дистрибутив можно загрузить и использовать бесплатно, но доступ к получению обновлений и исправлений ограничен 60-дневным пробным периодом. Выпуск доступен в сборках для архитектур aarch64, ppc64le, s390x и x86_64. В SUSE Linux Enterprise 15 SP3 обеспечена 100% бинарная совместимость пакетов с ранее выпущенным дистрибутивом openSUSE Leap 15.3, что позволяет максимально гладко переводить на SUSE Linux Enterprise системы, работающие под управлением OpenSUSE, … Читать далее Доступен дистрибутив SUSE Linux Enterprise 15 SP3

Доступен корректирующий выпуск Firefox 89.0.2, в котором устранены зависания, проявляющиеся на платформе Linux при использовании режима программной отрисовки в системе композитинга WebRender. Программная отрисовка применяется на системах со старыми видеокартами или проблемными графическими драйверами, для которых возникают проблемы со стабильностью или невозможен вынос на сторону GPU операции отрисовки содержимого страницы (WebRender использует шейдеры для выполнения операций сводной отрисовки элементов страницы). Источник: http://www.opennet.ru/opennews/art.shtml?num=55380 Читать далее Обновление Firefox 89.0.2

Международный консорциум OASIS, занимающийся разработкой и продвижением открытых стандартов, утвердил финальный вариант спецификации OpenDocument 1.3 (ODF) в качестве стандарта OASIS. Следующим этапом станет продвижение OpenDocument 1.3 в роли международного стандарта ISO/IEC. ODF представляет собой основанный на XML, независимый от приложений и платформ файловый формат для хранения документов, содержащих текст, электронные таблицы, диаграммы и графические элементы. Спецификации также включают требования к организации чтения, записи и обработки подобных документов в приложениях. Стандарт ODF применим для создания, редактирования, просмотра, обмена и архивирования документов, которые могут представлять собой текстовые документы, презентации, электронные таблицы, растровые графические материалы, векторные рисунки, схемы и другие типы контента. Наиболее … Читать далее Консорциум OASIS утвердил OpenDocument 1.3 в качестве стандарта

Компания Brave, развивающая одноимённый web-браузер, сосредоточенный на оберегании приватности пользователей, представила бета-версию поисковой системы search.brave.com, тесно интегрированной с браузером и не осуществляющей отслеживание посетителей. Поисковая система нацелена на сохранение конфиденциальности и построена на технологиях закрывшейся в прошлом году поисковой системы Cliqz, купленной Brave. Для обеспечения конфидерциальности во время обращения к поисковой системе поисковые запросы, клики и профиль интересов пользователя не отслеживаются (подробности реализации не приводятся, но для выбора наиболее релевантных материалов в Cliqz применялась модель на основе анализа анонимного лога запросов и кликов, совершаемых пользователями в браузере, в Brave Search лишь в общем виде упоминается, что система базируется на анонимном … Читать далее Проект Brave начал тестирование собственной поисковой системы

Опубликованы корректирующие обновления стабильной ветки DNS-сервера BIND 9.16.18 и находящейся в разработке экспериментальной ветки 9.17.15, в которых устранена серьёзная ошибка, появившаяся в выпусках BIND 9.16.17 и 9.17.14, опубликованных на прошлой неделе (на следующий день после данных релизов разработчики предупредили о наличии проблемы и рекомендовали не устанавливать версии 9.16.17 и 9.17.14). В версиях 9.16.17 и 9.17.14 в таблицах сопоставления символов в нижнем и верхнем регистре (maptoupper и maptolower) был пропущен символ «w», что привело к замене символов «W» и «w» в именах доменов на последовательность «00» и возвращению некорректного результата при обработке запросов по маске. Например, если в DNS-зоне присутствовала запись … Читать далее Ошибка в BIND 9.16.17, приводящая к неверной обработке символа W в DNS-запросах

Компания NVIDIA опубликовала выпуск новой ветки проприетарного драйвера NVIDIA 470.42.01, которая пока находится на стадии бета-тестирования. Драйвер доступен для Linux (ARM, x86_64), FreeBSD (x86_64) и Solaris (x86_64). Основные новшества: Добавлена начальная поддержка аппаратного ускорения OpenGL и Vulkan для приложений X11, выполняемых в Wayland-окружениях при помощи DDX-компонента Xwayland. Судя про проведённым тестам, при использовании ветки драйвера NVIDIA 470 производительность OpenGL и Vulkan в X-приложениях, запущенных при помощи XWayland, почти не отличается от запуска под управлением обычного X-сервера. Реализована возможность использования технологии NVIDIA NGX в Wine и пакете Proton, развиваемом компанией Valve для запуска Windows-игр в Linux. В том числе в Wine … Читать далее Выпуск проприетарного драйвера NVIDIA 470.42.01

Доступен новый выпуск Python-библиотеки plotly.py 5.0, предоставляющей средства для визуализации данных и различных видов статистики. Для отрисовки используется библиотека plotly.js, поддерживающая более 30 типов 2D и 3D графиков, диаграмм и карт (результат сохраняется в форме изображения или HTML-файла для интерактивного отображения в браузере). Код plotly.py распространяется под лицензией MIT. В новом выпуске прекращена поддержка Python 2.7 и Python 3.5, для работы теперь требуется как минимум Python 3.6. Внесены нарушающие совместимость изменения, в том числе удалена большая порция устаревших возможностей, изменены значения по умолчанию и прекращена поддержка браузеров Internet Explorer 9/10. Библиотека Plotly.js обновлена с версии 1.58.4 до 2.1. Реализовано новое … Читать далее Релиз библиотеки визуализации plotly.py 5.0

Доступен выпуск проекта Wine Launcher 1.4.55, развивающего Sandbox-окружение для запуска Windows-игр. Среди основных особенностей: изолированность от системы, отдельный Wine и Prefix для каждой игры, сжатие в образы SquashFS для экономии места, современный стиль лаунчера, автоматическая фиксация изменений в каталоге Prefix и генерация из этого патчей. Код проекта распространяется под лицензией GPLv3. Значимые изменения по сравнению с прошлой публикацией: Исправлено определение версии glibc для старых версий wine (3.20 и ниже). Во всплывающем окне удаления файла конфигурации реализована опция для удаления связанных файлов. Добавлена поддержка приложений MS-DOS. В dosbox добавлена русская локализация (включается, если в Wine Launcher выбрано RU). Исправлена проблема с … Читать далее Обновление Wine Launcher 1.4.55

Доступна новая версия браузера Tor Browser 10.0.18, ориентированного на обеспечение анонимности, безопасности и приватности. Браузер сосредоточен на обеспечении анонимности, безопасности и приватности, весь трафик перенаправляется только через сеть Tor. Обратиться напрямую через штатное сетевое соединение текущей системы невозможно, что не позволяет отследить реальный IP пользователя (в случае взлома браузера, атакующие могут получить доступ к системным параметрам сети, поэтому для полного блокирования возможных утечек следует использовать такие продукты, как Whonix). Сборки Tor Browser подготовлены для Linux, Windows, macOS и Android. В новом выпуске сборок для настольных систем обновлены компоненты Tor 0.4.5.9 с устранением уязвимости. Версия для Android синхронизирована с Firefox 89.1.1 … Читать далее Обновление Tor Browser 10.0.18

Регистратор APNIC, отвечающий за распределение IP-адресов в Азиатско-Тихоокеанском регионе, сообщил об инциденте, в результате которого в открытый доступ попал SQL-дамп сервиса Whois, включающий конфиденциальные данные и хэши паролей. Примечательно, что это не первая утечка персональных данных в APNIC — в 2017 году база Whois по уже попадала в открытый доступ и тоже по недосмотру персонала. В процессе внедрения поддержки протокола RDAP, призванного заменить протокол WHOIS, сотрудники APNIC разместили SQL-дамп базы, используемой в сервисе Whois, в облачном хранилище Google Cloud, но не ограничили к нему доступ. Из-за ошибки в настройках на протяжении трёх месяцев SQL-дамп был доступен публично и данный факт … Читать далее Утечка хэшей паролей Whois-сервиса интернет-регистратора APNIC