Компания TrendMicro опубликовала информацию об уязвимости (CVE не присвоен) в драйвере v4l2, позволяющей непривилегированному локальному пользователю выполнить свой код в контексте ядра Linux. Сведения об уязвимости приводятся в контексте платформы Android, не детализируя, специфична ли данная проблема для ядра из Android или проявляется и в обычном ядре Linux. Для эксплуатации уязвимости требуется локальный доступ злоумышленника к системе. В Android для атаки вначале нужно получить контроль над непривилегированным приложением, имеющим полномочия обращения к подсистеме V4L (Video for Linux), например, над программой для работой камерой. Наиболее реалистичным применением уязвимости в Android является включение эксплоита в подготовленные злоумышленниками вредоносные приложения для повышения привилегий … Читать далее Уязвимость в драйвере v4l2, затрагивающая платформу Android

Ричард Столлман принял приглашение Microsoft и выступил с докладом перед сотрудниками компании в штаб-квартире Microsoft в Редмонде. До недавних пор подобное выступление выглядело маловероятным из-за активной критики и негативного отношения Столлмана к Microsoft (в свою очередь Стив Балмер сравнивал GPL с раковой опухолью). Алесандро Сегала (Alessandro Segala), менеджер по открытым продуктам в Azure, характеризовал состоявшееся выступление так — «Если сегодня наступит конец света, то вы знайте почему.». В своём докладе, кроме стандартного рассказа о важности свободного ПО, лицензии GPLv3 и взаимодействии GNU и Linux, Столлман также высказал ряд предложений о стимулировании пользователей GitHub к выбору лучших лицензий, работе с производителями … Читать далее Ричард Столлман выступил перед сотрудниками Microsoft

Сообщество State of the Art представило новую версию Handy 3D Scanner 0.5.1 и опубликовало исходные тексты проекта на GitHub. Проект развивает портативный интерфейс для трёхмерного сканирования объектов и местности, применяя доступные стерео-камеры Intel RealSense D400. Код написан на языке С++ (интерфейс на Qt5) и распространяется под лицензией Apache 2.0. Поддерживается Linux и Android. Программа обладает достаточной функциональностью, чтобы собрать сравнительно дешёвый (~$140) программно-аппаратный комплекс для решения задач детального переноса объектов из реального мира в виртуальный. Проект уже готов для повседневного использования при подготовке детальных моделей для решения таких задач, как сканирование для последующей 3D-печати, создание аватаров, подготовка 3D-моделей на основе … Читать далее Открыт код системы сканирования 3D-объектов Handy 3D Scanner

Компания Google опубликовала исходные тексты библиотеки «Differential Privacy» с реализацией методов дифференциальной приватности, позволяющих с достаточно высокой точностью выполнять статистические операции над набором данных без возможности идентификации отдельных записей в нём. Код библиотеки написан на языке C++ и открыт под лицензией Apache 2.0. Анализ с использованием методов дифференциальной приватности даёт возможность организациям производить аналитические выборки из статистических БД, не позволяя разделить данные и выделить из общей информации параметры конкретных лиц. Например, для выявления различий в уходе за больными исследователям можно предоставить информацию, позволяющую сравнить среднее количество времени пребывания пациентов в больницах, но при этом сохраняющую конфиденциальность пациентов и не допускающую … Читать далее Google открыл код библиотеки для конфиденциальной обработки данных

Организация The Document Foundation объявила о выходе LibreOffice 6.3.1, первого корректирующего выпуска из семейства LibreOffice 6.3 «fresh». Версия 6.3.1 ориентирована на энтузиастов, опытных пользователей и тех, кто предпочитает самые свежие версии программного обеспечения. Для консервативных пользователей и предприятий подготовлено обновление стабилизированной ветки LibreOffice 6.2.7 «still». Готовые установочные пакеты подготовлены для платформ Linux, macOS и Windows. Версия 6.3.1 включает исправление 93 ошибок (RC1, RC2), а версия 6.2.7 — 32 (RC1). Кроме исправления ошибок в новых выпусках реализованы методы для блокирования дополнительных векторов для эксплуатации уязвимости, позволяющей при открытии вредоносных документов, содержащих инструкции LibreLogo, добиться выполнения любого кода на языке Python. Проблема … Читать далее Обновление LibreOffice 6.3.1 и 6.2.7

После пяти месяцев разработки представлен релиз системного менеджера systemd 243. Из новшеств можно отметить интеграцию в PID 1 обработчика нехватки памяти в системе, поддержку прикрепления собственных BPF-программ для фильтрации трафика unit-ов, многочисленные новые опции для systemd-networkd, режим мониторинга пропускной способности сетевых интерфейсов, задействование по умолчанию на 64-разрядных системах 22-битных номеров PID вместо 16-битных, переход на унифицированную иерархию cgroups, включение в состав systemd-network-generator. Основные изменения: В обработчик PID 1 добавлено распознавание генерируемых ядром сигналов о нехватке памяти (Out-Of-Memory, OOM) для перевода юнитов, достигших лимита в потреблении памяти, в специальное состояние с опциональной возможностью их принудительного завершения или остановки; Для unit-файлов реализованы … Читать далее Выпуск системного менеджера systemd 243

С опозданием на сутки сформирован релиз специализированного дистрибутива Tails 3.16 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для обеспечения анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ, способный работать в Live-режиме, размером 1 Гб. В новом выпуске Tails обновлены версии Tor Browser 8.5.5, Thunderbird 60.8 и ядра Linux (4.19.37-5+deb10u2), в котором устранена уязвимость SWAPGS (вариант Spectre v1). Из поставки удалено приложение LibreOffice Math, … Читать далее Релиз дистрибутива Tails 3.16 и браузера Tor Browser 8.5.5

Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 6.0.12, в котором отмечено 17 исправлений. Основные изменения в выпуске 6.0.12: В дополнениях для гостевых систем c Linux решена проблема с невозможностью создания файлов внутри совместных каталогов непривилегированным пользователем; В дополнениях для гостевых систем c Linux улучшена совместимость vboxvideo.ko с системой сборки модулей ядра; Устранены проблемы сборки модулей ядра для хостов и гостевых систем с ядром из SLES 12 SP4; В функции экспорта в формате OCI обеспечена корректная обработка пустых дисковых образов; В звуковом драйвере AC97 обходным путём налажена работа с проблемными драйверами в гостевых системах, которые перепрограммируют частоту дискретизации; Решены проблемы … Читать далее Выпуск VirtualBox 6.0.12

Разработчики проекта Grsecurity поделились поучительной историей, демонстрирующей как необдуманное устранение предупреждений компилятора может привести к появлению уязвимостей в коде. В конце мая для ядра Linux было предложено исправление нового вектора эксплуатации уязвимости Spectre через системный вызов ptrace. В процессе тестирования патча разработчики обратили внимание, что при сборке компилятор выводит предупреждение о смешивании кода и определений из-за того что в исправлении структура была определена после кода: int index = n; if (n ptrace_bps[index]; Линус принял исправление в свою master-ветку, избавившись от предупреждения через использование конструкции: if (n ptrace_bps[index]; В июле исправление также было портировано в стабильные ветки ядра 4.4, 4.9, 4.14, … Читать далее Необдуманное исправление привело к неполному устранению уязвимости Spectre в ядре Linux

Представлен релиз языка программирования Go 1.13, который развивается компанией Google при участии сообщества как гибридное решение, сочетающее высокую производительность компилируемых языков с такими достоинствами скриптовых языков, как лёгкость написания кода, быстрота разработки и защищённость от ошибок. Код проекта распространяется под лицензией BSD. Синтаксис Go основан на привычных элементах языка Си с отдельными заимствованиями из языка Python. Язык достаточно лаконичен, но при этом код легко читается и воспринимается. Код на языке Go компилируется в обособленные бинарные исполняемые файлы, выполняемые нативно без использования виртуальной машины (модули профилирования, отладки и другие подсистемы выявления проблем на этапе выполнения интегрируются в виде runtime-компонентов), что позволяет … Читать далее Релиз языка программирования Go 1.13

Разработчики свободной облачной платформы Nextcloud сообщили, что всё больше учреждений и компаний из Евросоюза отказываются от использования централизованных облачных систем в пользу приватных облачных хранилищ, развёрнутых на собственных мощностях. В основном европейские организации мигрируют с публичных облачных систем для соответствия требованиям закона GDPR и из-за юридических проблем, вызванных применением в США закона Cloud Act, определяющего меры доступа правоохранительных органов к данным пользователей в облачных хранилищах, принадлежащих американским компаниям, независимо от территориального размещения дата-центров (большинство публичных облачных платформ поддерживаются американскими компаниями). Nextcloud позволяет развернуть в своей сети полноценное облачное хранилище с поддержкой синхронизации и обмена данными, а также предлагающего такие сопутствующие … Читать далее Госучреждения Франции, Германии, Швеции и Нидерландов переходят на платформу Nextcloud

Компания Mozilla объявила, что несмотря на использование в Firefox системы дополнений на основе API WebExtensions, разработчики не намерены полностью следовать будущей третьей редакции манифеста на дополнения Chrome. В частности, в Firefox будет продолжена поддержка блокирующего режима работы работы API webRequest, позволяющего менять принимаемый контент на лету и востребованного в блокировщиках рекламы и системах фильтрации контента. Основной идеей перехода на API WebExtensions была унификация технологии разработки дополнений для Firefox и Chrome, поэтому в текущем виде в Firefox почти на 100% обеспечена совместимость с актуальной второй версией манифеста Chrome. Манифест определяет перечень возможностей и ресурсов, предоставляемых дополнениям. Из-за внесения в третью версию … Читать далее Mozilla не станет переносить все ограничения API WebExtensions из нового манифеста Chrome

Подготовлены корректирующие выпуски пакета Samba 4.10.8 и 4.9.13, в которых устранена уязвимость (CVE-2019-10197), позволяющая пользователю получить доступ к корневому каталогу, в котором размещён сетевой раздел Samba. Проблема проявляется при указании в настройках опции ‘wide links = yes’ в сочетании с ‘unix extensions = no’ или ‘allow insecure wide links = yes’. Доступ к файлам вне текущего совместного раздела ограничен правами доступа пользователя, т.е. атакующий может прочитать и записать файлы в соответствии со своим uid/gid. Проблема вызвана тем, что после первого запроса корня совместного раздела клиенту возвращается ошибка доступа, но smbd кэширует обращение к каталогу и не очищает кэш в случае … Читать далее Обновление Samba 4.10.8 и 4.9.13 с устранением уязвимости

Компания Google опубликовала релиз открытой мобильной платформы Android 10. Связанные с новым выпуском исходные тексты размещены в Git-репозиторий проекта (ветка android-10.0.0_r1). Обновления прошивки уже подготовлены для 8 устройств серии Pixel, в том числе для первой модели Pixel. В ближайшие месяцы обновления с Android 10 будут выпущены для актуальных смартфонов таких компаний, как Sony Mobile, Xiaomi, Huawei, Nokia, Vivo, OPPO, OnePlus, ASUS, LG и Essential. Основные новшества: Представлен проект Mainline, позволяющий обновлять отдельные системные компоненты без обновления платформы целиком. Подобные обновления загружаются через Google Play отдельно от OTA-обновлений прошивки от производителя. Предполагается, что прямая доставка обновлений не привязанных к оборудованию компонентов … Читать далее Выпуск мобильной платформы Android 10

Состоялся релиз web-браузера Firefox 69, а также мобильной версии Firefox 68.1 для платформы Android. Кроме того, сформированы обновления веток с длительным сроком поддержки 60.9.0 и 68.1.0 (ESR-ветка 60.x больше обновляться не будет, рекомендован переход на ветку 68.x). В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 70, релиз которой намечен на 22 октября. Основные новшества: В применяемый по умолчанию стандартный режим блокировки нежелательного контента добавлены функции игнорирования Cookie всех сторонних систем отслеживания перемещений и блокирования JavaScript-вставок, осуществляющих майнинг криптовалют. Код для майнинга приводит к существенному увеличению нагрузки на процессор в системе пользователя и, как правило, внедряется на сайты в результате … Читать далее Релиз Firefox 69

Майкл Штапельберг (Michael Stapelberg), автор мозаичного оконного менеджера i3wm и в прошлом активный разработчик Debian (сопровождал около 170 пакетов), развивает экспериментальный дистрибутив distri и одноимённый пакетный менеджер. Проект позиционируется как исследование возможных путей увеличения производительности систем управления пакетами и воплощает некоторые новые идеи построения дистрибутивов. Код пакетного менеджера написан на языке Go и распространяется под лицензией BSD. Ключевой особенностью предложенного в дистрибутиве формата пакетов является поставка пакета в форме образов SquashFS, вместо сжатых tar-архивов. Применение SquashFS, по аналогии с форматами AppImage и Snap, позволяет «примонтировать» пакет без необходимости выполнения распаковки, что экономит дисковое пространство, допускает атомарные изменения и делает содержимое … Читать далее Distri — дистрибутив для обкатки технологий быстрого управления пакетами

Намечен план формирования релиза GTK 4. Отмечается, что для доведения GTK 4 до должного вида потребуется ещё около года (GTK 4 развивается с лета 2016 года). До конца 2019 года планируется подготовить ещё один экспериментальный выпуск серии GTK 3.9x, затем весной 2020 года будет предложен финальный тестовый выпуск GTK 3.99, включающий всю намеченную функциональность. Релиз GTK 4 ожидается в начале осени 2020 года, одновременно с GNOME 3.38. До финального выпуска необходимо довести до конца пять запланированных функциональных изменений, среди которых работа по замене фиксированных виджетов на масштабируемые представления, новый API для анимирования и перевод на него эффектов и индикаторов прогресса … Читать далее GTK 4 ожидается осенью следующего года

Издание TFIR опубликовало видеоинтервью с Грегом Кроа-Хартманом (Greg Kroah-Hartman), отвечающим за поддержку стабильной ветки ядра Linux, а также являющимся мэинтейнером ряда подсистем ядра Linux (USB, driver core) и основателем инициативы по разработке драйверов для Linux (Linux driver project). Грег рассказал о смене дистрибутива на своих рабочих системах. Несмотря на то, что до 2012 года Грег 7 лет проработал в SUSE/Novell, он прекратил использование openSUSE и теперь применяет в качестве основной ОС Arch Linux на всех своих ноутбуках, компьютерах и даже в облачных окружениях. Также на его компьютере выполняется несколько виртуальных машин с Gentoo, Debian и Fedora с целью тестирования некоторых … Читать далее Грег Кроа-Хартман перешёл на использование Arch Linux

Представлены новые выпуски руководств Linux From Scratch 9.0 (LFS) и Beyond Linux From Scratch 9.0 (BLFS), а также редакций LFS и BLFS с системным менеджером systemd. В Linux From Scratch приведены инструкции по созданию с нуля базовой Linux-системы, используя лишь исходные тексты необходимого программного обеспечения. Beyond Linux From Scratch дополняет инструкции LFS информацией о сборке и настройке около 1000 программных пакетов, охватывающих различные области применения, от СУБД и серверных систем, до графических оболочек и медиапроигрывателей. В Linux From Scratch 9.0 осуществлён переход на Glibc 2.30 и GCC 9.2.0. Обновлены 33 пакета, включая ядро Linux 5.2, Coreutils 8.31, Eudev 3.2.8, GRUB … Читать далее Опубликованы Linux From Scratch 9.0 и Beyond Linux From Scratch 9.0

Доступен выпуск 4MLinux 30.0, минималистичного пользовательского дистрибутива, не являющегося ответвлением от других проектов и использующего графическое окружение на базе JWM. 4MLinux может использоваться не только в качестве Live-окружения для воспроизведения мультимедийных файлов и решения пользовательских задач, но и в роли системы для восстановления после сбоев и платформы для запуска серверов LAMP (Linux, Apache, MariaDB и PHP). Размер iso-образа составляет 840 Мб (i686, x86_64). В новом выпуске в базовой поставке обеспечена поддержка OpenGL для игр, без необходимости установки дополнительных драйверов. Обеспечено автоматическое отключение звукового сервера Pulseaudio при необходимости (например, для старых классических игр). В состав добавлен звуковой проигрыватель FlMusic, звуковой редактор … Читать далее Выпуск дистрибутива 4MLinux 30.0

Компания Canonical опубликовала значительный выпуск проекта Dqlite 1.0 (Distributed SQLite), развивающего совместимый с SQLite встраиваемый SQL-движок, поддерживающий репликацию данных, автоматическое восстановление после сбоев и обеспечение отказоустойчивости через разнесение обработчиков на несколько узлов. СУБД реализована в форме прикрепляемой к приложениям Си-библиотеки и распространяется под лицензией Apache 2.0 (оригинальный SQLite поставляется как общественное достояние). Доступны биндинги для языка Go. Библиотека является надстройкой над существующей кодовой базой SQLite, которая добавляет поддержку сетевого протокола для связывания между собой нескольких экземпляров приложения, запущенных на разных хостах. Собранное с Dqlite приложение может функционировать как самодостаточный отказоустойчивый кластер, не зависящий от внешних СУБД. На практике Dqlite используется … Читать далее Доступен Dqlite 1.0, распределённый вариант SQLite от компании Canonical