Раскрыты сведения об уязвимости (CVE-2020-12695) в протоколе UPnP, позволяющей организовать отправку трафика произвольному получателю, используя предусмотренную в стандарте операцию «SUBSCRIBE». Уязвимости присвоено кодовое имя CallStranger. Уязвимость может применяться извлечения данных из сетей, защищённых системами предотвращения утечек данных (DLP), организации сканирования портов компьютеров во внутренней сети, а также для усиления DDoS-атак при помощи миллионов подключённых к глобальной сети UPnP-устройств, таких как кабельные модемы, домашние маршрутизаторы, игровые консоли, IP-камеры, TV-приставки, медиацентры и принтеры. Проблема вызвана тем, что предусмотренная в спецификации функция «SUBSCRIBE» позволяет любому внешнему атакующему отправить HTTP-пакеты с заголовком Callback и использовать UPnP-устройство в качестве прокси для отправки запросов на другие … Читать далее Уязвимость в UPnP, подходящая для усиления DDoS-атак и сканирования внутренней сети

Доступен релиз пользовательской оболочки KDE Plasma 5.19, построенной с использованием платформы KDE Frameworks 5 и библиотеки Qt 5 с применением OpenGL/OpenGL ES для ускорения отрисовки. Оценить работу новой версии можно через Live-сборку от проекта openSUSE и сборки от проекта KDE Neon User Edition. Пакеты для различных дистрибутивов можно найти на данной странице. Ключевые улучшения: Обновлён внешний вид апплета для управления воспроизведением мультимедийных файлов, размещённого в системном лотке. В менеджере задач обновлено оформление всплывающих информационных подсказок. Проведена работа по унификации дизайна и заголовков апплетов в системном лотке, а также уведомлений, отображаемых на рабочем столе. В панели улучшена расстановка отступов и обеспечена … Читать далее Релиз рабочего стола KDE Plasma 5.19

После 6 месяцев разработки состоялся релиз почтового сервера Exim 4.94, в который внесены накопившиеся исправления и добавлены новые возможности. В соответствии с майским автоматизированным опросом около миллиона почтовых серверов, доля Exim составляет 57.59% (год назад 53.03%), Postfix используется на 34.70% (34.51%) почтовых серверов, Sendmail — 3.75% (4.05%), Microsoft Exchange — 0.42% (0.57%). Изменения в новом выпуске могут привести к нарушению обратной совместимости. В частности, некоторые виды транспорта перестали работать с очищенными данными (tainted) при определении местоположения доставки. Например, проблемы могут возникнуть при использовании переменной $local_part в настройке «check_local_user» при маршрутизации письма. Вместо $local_part следует использовать новую неочищенную переменную «$local_part_data». Кроме … Читать далее Новая версия почтового сервера Exim 4.94

В библиотеке GnuTLS, которая применяется по умолчанию во многих пакетах из состава Debian, включая пакетный менеджер APT и многие утилиты, выявлена уязвимость (CVE-2020-13777), позволяющая возобновить ранее остановленный сеанс TLS без знания сессионного ключа. С практической стороны уязвимость может применяться для осуществления MITM-атак. Уязвимость вызвана некорректным построением сессионного ticket-ключа — TLS-сервер не осуществлял привязку сессионного ключа шифрования со значением, переданным приложением. До первой ротации ключа TLS-сервер при формировании сессионных ключей продолжает использовать некорректные данные вместо ключа шифрования, полученного от приложения, что позволяет атакующему обойти аутентификацию в TLS 1.3 и возобновить прошлые сеансы в режиме TLS 1.2. Уязвимость устранена в выпуске 3.6.14, … Читать далее Уязвимость в GnuTLS, позволяющая возобновить сеанс TLS 1.3 без знания ключа

Компания Canonical предложила в списке рассылки разработчиков ядра Linux набор патчей с реализацией оппортунистической чистки памяти («opportunistic memory reclaim»), позволяющей существенно сократить время перехода в спящий режим. Оптимизация достигается за счёт упреждающего вызова операции высвобождения вторичных структур памяти, которые не содержат уникальных сведений и могут быть динамически восстановлены после возвращения из спящего режима (например, области анонимной памяти и различные кэши страниц памяти). Основная идея в том, что после удаления излишних данных сокращается размер образа памяти для сохранения перед переходом в спящий режим и, соответственно, требуется меньше времени на его запись и чтение с медленного носителя. По умолчанию при переходе в … Читать далее Компания Canonical предложила патчи для ускорения активации спящего режима

Компания KDAB опубликовала релиз инструментария Kuesa 3D 1.2, предоставляющего средства для создания 3D-приложений на базе Qt 3D. Проект нацелен на упрощение совместной работы дизайнеров, создающих модели в таких пакетах, как Blender, Maya и 3ds Max, и разработчиков, пишущих код приложения с использованием Qt. Работа с моделями отделяется от написания кода, и Kuesa выступает связующим звеном для объединения данных процессов. Проект написан на языке C++ и распространяется под двойной лицензией: AGPLv3 и коммерческая лицензия, позволяющая использовать для Kuesa создания проприетарных приложений. Kuesa предоставляет модуль к Qt 3D, позволяющий решать задачи создания и интеграции 3D-ресурсов, такие как импорт моделей в формате glTF … Читать далее Выпуск Kuesa 3D 1.2, пакета для упрощения разработки 3D-приложений на Qt

В применяемый в uBlock Origin фильтр EasyPrivacy добавлены правила для блокировки типовых скриптов сканирования сетевых портов на локальной системе пользователя. Напомним, что в мае было выявлено сканирование локальных портов при открытии сайта eBay.com. Выяснилось, что подобная практика не ограничивается eBay и многие другие сайты (Citibank, TD Bank, Sky, GumTree, WePay и т.п.) применяют сканирование портов локальной системы пользователя при открытии своих страниц, используя код для выявления попыток обращения со взломанных компьютеров, предоставляемый сервисом ThreatMetrix. В случае eBay выполнялось проверка 14 сетевых портов, ассоциированных с клиентами удалённого доступа, такими как VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Вероятно проверка … Читать далее В uBlock Origin добавлена блокировка скриптов для сканирования сетевых портов

Представлен релиз Live-дистрибутива NST (Network Security Toolkit) 32-11992, предназначенного для проведения анализа безопасности сети и мониторинга её функционирования. Размер загрузочного iso-образа (x86_64) составляет 4.1 ГБ. Для пользователей Fedora Linux подготовлен специальный репозиторий, дающий возможность установить все созданные в рамках проекта NST наработки в уже установленную систему. Дистрибутив построен на базе Fedora 30 и допускает установку дополнительных пакетов из внешних репозиториев, совместимых с Fedora Linux. В состав дистрибутива включена большая подборка приложений, имеющих отношение к сетевой безопасности (например: Wireshark, NTop, Nessus, Snort, NMap, Kismet, TcpTrack, Etherape, nsttracroute, Ettercap и т.д.). Для управления процессом проверки безопасности и автоматизации вызова различных утилит подготовлен … Читать далее Релиз дистрибутива Network Security Toolkit 32

В web-браузере Brave выявлена подстановка реферальных ссылок при попытке открытия некоторых сайтов через набор их домена в адресной строке (на открытых страницах ссылки не изменяются). Например, при вводе «binance.com» в адресной строке система автодополнения ввода автоматически добавляет к домену реферальную ссылку «binance.com/en?ref=35089877». Аналогичное поведение наблюдалось для доменов coinbase.com, binance.us, ledger.com и trezor.io. Подобные действия были восприняты многими как некорректная манипуляция, подрывающая доверие пользователей, или как попытка скрыто заработать нечистых на руку участников проекта. Руководитель проекта пояснил, что появление подобной функциональности в механизме автодополнения ввода вызвано ошибкой. Brave действительно связан партнёрской программой с Binance и некоторыми другими криптобиржами, но реферальный код … Читать далее В браузере Brave выявлена подстановка реферального кода при открытии некоторых сайтов

Опубликован новый выпуск SAS.Планета, свободной программы для просмотра и загрузки спутниковых снимков высокого разрешения и обычных карт, представляемых такими сервисами, как Google Earth, Google Maps, Bing Maps, DigitalGlobe, «Космоснимки», Яндекс.карты, Yahoo! Maps, VirtualEarth, Gurtam, OpenStreetMap, eAtlas, iPhone maps, карты Генштаба и др. В отличие от упомянутых сервисов, все загруженные карты остаются в локальной системе, и их можно просматривать даже без подключения к интернету. Помимо спутниковых карт возможна работа с политической, ландшафтной, совмещённой картами, а также картой Луны и Марса. Программа написана на языке Pascal и распространяется под лицензией GPLv3. Сборка поддерживается только для Windows, но в Linux и FreeBSD программа … Читать далее Доступна программа для работы с картами и спутниковыми снимками SAS.Планета 200606

Социал-демократическая партия Германии и Европейская партия зелёных, до следующих выборов в 2026 году занявшие лидирующие позиции в городских советах Мюнхена и Гамбурга, опубликовали коалиционное соглашение, определяющее снижение зависимости от продуктов Microsoft и возвращение инициативы по переводу IT-инфраструктур государственных учреждений на Linux и открытое программное обеспечение. Партиями подготовлен и согласован, но пока не подписан, 200-страничный документ, описывающий стратегию управления Гамбургом в течение последующих пяти лет. В области IT документ определяет, что для избежания зависимости от отдельных поставщиков при наличии технологических и финансовых возможностей акцент будет сделан на открытых стандартах и приложениях под открытыми лицензиями. Кроме того, в документе определён принцип «общественные … Читать далее В Мюнхене и Гамбурге согласован перевод госучреждений с продуктов Microsoft на открытое ПО

Опубликован выпуск пакетного фильтра nftables 0.9.5, развивающегося в качестве замены iptables, ip6table, arptables и ebtables за счёт унификации интерфейсов фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. Необходимые для работы выпуска nftables 0.9.5 изменения включены в состав ядра Linux 5.7. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком. Непосредственно … Читать далее Выпуск пакетного фильтра nftables 0.9.5

В основную кодовую базу языка Go принято изменение, убирающее из исходных текстов и документации фразы whitelist/blacklist и master/slave, неприятие которых усилилось на фоне бушующих в США протестов. Фразы «whitelist» и «blacklist» заменены на «allowlist» и «blocklist», а «master» и «slave» в зависимости от контекста на «process», «pty», «proc» и «control». Изменение не приведёт к нарушению обратной совместимости и путанице, так как большая часть исправлений приходится на комментарии, тесты и внутренние переменные. Замена master/slave последнее время стала привычной практикой, например, от данных терминов два года назад избавились проекты Python и Redis. Термины allowlist/blocklist самодостаточны и лучше описывают свою суть, чем устоявшиеся … Читать далее Язык Go избавляется от неполиткорректных терминов whitelist/blacklist и master/slave

Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 6.1.10, в котором отмечено 7 исправлений. Основные изменения в выпуске 6.1.10: В дополнениях для гостевых систем и в хост-окружении обеспечена поддержка ядра Linux 5.7; В настройках при создании новых виртуальных машин по умолчанию отключены звуковые входы и выходы; В дополнениях для гостевых систем налажена обработка изменения размера экрана и улучшена работа в многомониторных конфигурациях в гостевых системах на базе Wayland; Решена проблема с крахом графического интерфейса при использовании Qt в сеансах Xwayland; Устранена ошибка, мешавшая нормальной работе указателя мыши в гостевых системах Windows при использовании масштабирования; Устранён крах при выполнении команды ‘VBoxManage … Читать далее Выпуск VirtualBox 6.1.10

Компания Valve опубликовала выпуск проекта Proton 5.0-8, который основан на наработках проекта Wine и нацелен на обеспечение запуска в Linux игровых приложений, созданных для Windows и представленных в каталоге Steam. Наработки проекта распространяются под лицензией BSD. Proton позволяет напрямую запускать в Linux-клиенте Steam игровые приложения, поставляемые только для Windows. Пакет включает в себя реализацию DirectX 9/10/11 (на базе пакета DXVK) и DirectX 12 (на базе vkd3d), работающие через трансляцию вызовов DirectX в API Vulkan, предоставляет улучшенную поддержку игровых контроллеров и возможность использования полноэкранного режима независимо от поддерживаемых в играх разрешений экрана. Для увеличения производительности многопоточных игр поддерживаются механизмы «esync» (Eventfd … Читать далее Компания Valve выпустила Proton 5.0-8, пакет для запуска Windows-игр в Linux

Состоялся экспериментальный выпуск открытой реализации WinAPI — Wine 5.10. С момента выпуска версии 5.9 было закрыто 47 отчётов об ошибках и внесено 395 изменений. Наиболее важные изменения: Продолжена разработка бэкенда WineD3D на базе графического API Vulkan; Предоставлена начальная реализация отдельной разделяемой библиотеки Unix (.so) для NTDLL; Улучшена поддержка драйверов для ядра Windows от систем античита StarForce v3, и Denuvo Anti-Cheat; Расширены средства подстановки глифов в DirectWrite; Добавлена поддержка закрытых ключей DSS; Решены проблемы с обработкой исключений на системах ARM64; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Microsoft Word 6.0, PsInfo, Foxit Reader 6.12, Total Commander 9.x, TrackMania … Читать далее Выпуск Wine 5.10

Представлен релиз web-браузера Pale Moon 28.10, ответвившегося от кодовой базы Firefox для обеспечения более высокой эффективности работы, cохранения классического интерфейса, минимизации потребления памяти и предоставления дополнительных возможностей по настройке. Сборки Pale Moon формируются для Windows и Linux (x86 и x86_64). Код проекта распространяется под лицензией MPLv2 (Mozilla Public License). Проект придерживается классической организации интерфейса, без перехода к интегрированному в Firefox 29 интерфейсу Australis, и с предоставлением широких возможностей кастомизации. Из удалённых компонентов можно отметить DRM, Social API, WebRTC, PDF-просмотрщик, Сrash Reporter, код для сбора статистики, средства для родительского контроля и людей с ограниченными возможностями. По сравнению с Firefox в браузере … Читать далее Выпуск браузера Pale Moon 28.10

Срок поддержки LTS-ядер Linux 5.4 и 4.19, сопровождением которых занимаются Грег Кроа-Хартман (Greg Kroah-Hartman) и Саша Левин (Sasha Levin), продлён до декабря 2025 и 2024 года соответственно. Ядро Linux 4.19 используется в Debian 10, рассматривается Google как основа для базового универсального ядра Android и поставляется в платформе Android 10, а ядро 5.4 используется в Ubuntu 20.04 LTS. Таким образом, как и в случае ядер 3.16, 4.9, 4.4 и 4.14, ветки 5.4 и 4.19 будут поддерживаться 6 лет. Изначально указанные ядра планировалось поддерживаться 2 года (до декабря 2020 и 2021 года). Поддержка ядра Linux 3.16, выпущенного в августе 2014 года заканчивается … Читать далее Срок поддержки LTS-ядер Linux 5.4 и 4.19 увеличен до шести лет

Для реализации в Fedora 33 намечено изменение правил применения компиляторов в дистрибутиве, в соответствии с которым компилятор для сборки пакета сможет выбираться в зависимости от рекомендаций и предпочтений основного проекта (upstream). В настоящее время в Fedora жёстко предписано использовать GCC для сборки всех пакетов, за исключением случаев, когда пакет может быть собран только в Clang/LLVM. Мотивом предоставления возможности сборки при помощи Clang является то, что некоторые проекты, например, Firefox и Chromium, при разработке используют Clang в качестве основного компилятора и сборки на его основе являются более качественно протестированными. Использование Clang для подобных пакетов позволит избежать вылавливания ошибок, всплывающих при сборке … Читать далее В Fedora планируют предоставить возможность сборки пакетов в Clang вместо GCC

В кодовую базу, на основе которой будет подготовлен релиз Firefox 78, добавлена возможность экспорта сохранённых в менеджере паролей учётных данных в формате CSV (текстовые поля с разделителями, которые можно импортировать в табличный процессор). В дальнейшем также планируется реализовать функцию импорта паролей из сохранённого ранее CSV-файла (подразумевается, что пользователю может потребоваться резервное копирование и восстановление сохранённых паролей или перенос паролей из другого браузера). При экспорте пароли помещаются в файл в открытом виде. Напомним, что при задании мастер-пароля пароли во встроенном в Firefox менеджере паролей хранятся зашифрованными. Примечательно, что предложение по добавлению в Firefox функции экспорта паролей было добавлено 16 лет назад, … Читать далее В Firefox появится возможность экспорта сохранённых паролей в формате CSV

Опубликован релиз языка системного программирования Rust 1.44, основанного проектом Mozilla. Язык сфокусирован на безопасной работе с памятью, обеспечивает автоматическое управление памятью и предоставляет средства для достижения высокого параллелизма выполнения заданий, при этом обходясь без использования сборщика мусора и runtime. Автоматическое управление памятью в Rust избавляет разработчика от манипулирования указателями и защищает от проблем, возникающих из-за низкоуровневой работы с памятью, таких как обращение к области памяти после её освобождения, разыменование нулевых указателей, выход за границы буфера и т.п. Для распространения библиотек, обеспечения сборки и управления зависимостями проектом развивается пакетный менеджер Cargo, позволяющий получить нужные для программы библиотеки в один клик. Для … Читать далее Выпуск языка программирования Rust 1.44