Доступны предварительные результаты обратного инжиниринга вредоносного объектного файла, встроенного в liblzma в результате кампании по продвижению бэкдора в пакет xz. Изначально предполагалось, что бэкдор позволяет обойти аутентификацию в sshd и получить доступ к системе через SSH. Более детальный анализ показал, что это не так и бэкдор предоставляет возможность выполнить произвольный код в системе, не оставляя следов в логах sshd. В частности, перехватываемая бэкдором функция RSA_public_decrypt проверяет подпись хоста, используя фиксированный ключ Ed448, и в случае успешной проверки выполняет переданный внешним хостом код при помощи функции system() на стадии до сброса привилегий процессом sshd. Данные, содержащие код для исполнения, извлекаются из … Читать далее Разбор логики активации и работы бэкдора в пакете xz

После нескольких повторяющихся инцидентов с размещением в каталоге Snap Store вредоносных приложений, выдающих себя за официальные клиенты известных криптовалютных кошельков, компания Canonical приняла решение перейти на ручное рецензирование всех новых имён пакетов, впервые размещаемых в Snap Store. При регистрации нового имени пакета будет выводиться анкета, содержащая вопросы о назначении и источнике сборки. Учётная запись будет активироваться только после ручного рецензирования заявки, проводимого для отсеивания подозрительных имён, например, притворяющиеся чужими известными проектами. Проверка будет занимать до двух рабочих дней. Под запрет попадут имена, имеющие отношение к криптовалютам и некоторым критичным видам приложений. Для регистрации имён подобных программ будет применяться отдельная процедура, … Читать далее Каталог Snap Store переходит на ручное рецензирование новых имён пакетов

Доступен релиз многотрековой системы нелинейного видеомонтажа Flowblade 2.14, позволяющей компоновать фильмы и видеоролики из набора отдельных видео, звуковых файлов и изображений. Редактор предоставляет средства для обрезки клипов с точностью до отдельных кадров, их обработки при помощи фильтров и многоуровневой компоновки изображений для встраивания в видео. Имеется возможность произвольного определения порядка применения инструментов и корректировки поведения шкалы времени. Код проекта написан на языке Python и распространяется под лицензией GPLv3. Сборки подготовлены в формате Flatpak. Для организации редактирования видео применяется фреймворк MLT. Для обработки различных форматов видео, звука и изображений применяется библиотека FFmpeg. Интерфейс построен с использованием PyGTK. Для математических вычислений задействована … Читать далее Опубликован видеоредактор Flowblade 2.14

Репозитории Debian 10 «Buster» перемещены в archive.debian.org, после чего дистрибутив скоро перестанет быть доступным через основную сеть зеркал. Удаление с зеркал пакетов Debian 10 для архитектур, для которых отсутствует LTS-поддержка, планируют произвести в середине апреля. Релиз Debian 10 был представлен 7 июля 2019 года и поддерживался штатно до сентября 2022 года. В рамках цикла LTS выпуск обновлений для Debian 10 будет осуществляться для архитектур i386, amd64, armhf и arm64 до 30 июня 2024 года. Далее к дистрибутиву будет применена расширенная программа «Extended LTS«, подразумевающая публикацию обновлений с устранением уязвимостей в ограниченном наборе пакетов Debian 10 для архитектуры amd64. Поддержка Extended … Читать далее Debian 10 «Buster» перемещён в архив

Предположительно бэкдор в пакет xz был внедрён разработчиком Jia Tan, который в 2022 году получил статус сопровождающего и выпускал релизы начиная с версии 5.4.2. Помимо проекта xz предполагаемый автор бэкдора также участвовал в разработке пакетов xz-java и xz-embedded, и был включён в число мэйнтейнеров проекта XZ Embedded, используемого в ядре Linux. В организации продвижения бэкдора также замечены ещё два участника — Jigar Kumar и Hans Jansen, которые, судя по всему, являются виртуальными персонажами. Jigar Kumar в апреле 2022 года способствовал принятию в xz ранних патчей Jia Tan c реализацией поддержки строковых фильтров и оказывал моральное давление на Lasse Collin, тогдашнего … Читать далее Ретроспектива продвижения бэкдора в пакет xz

В пакете XZ Utils, включающем библиотеку liblzma и утилиты для работы со сжатыми данными в формате «.xz», выявлен бэкдор (CVE-2024-3094), позволяющий перехватывать и модифицировать данные, обрабатываемые приложениями, связанными с библиотекой liblzma. Основной целью бэкдора является сервер OpenSSH, в котором используется liblzma. Связывание sshd с уязвимой библиотекой позволяет злоумышленникам получить доступ к SSH-серверу без аутентификации. Бэкдор присутствовал в официальных выпусках 5.6.0 и 5.6.1, опубликованных 24 февраля и 9 марта, которые успели попасть в состав некоторых дистрибутивов и репозиториев, например, Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-beta, openSUSE factory, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware … Читать далее В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd

Репозиторий Python-пакетов PyPI (Python Package Index) временно запретил регистрацию новых пользователей и создание новых проектов из-за непрекращающейся массовой загрузки вредоносных пакетов в ходе автоматизированной атаки. Блокировка была введена после того, как 26 и 27 марта в репозиторий было загружено 566 пакетов с вредоносным кодом, стилизованных под 16 популярных Python-библиотек. Имена пакетов сформированы с использованием тайпсквотинга, т.е. назначение похожих имён, отличающихся отдельными символами, например, temsorflow вместо tensorflow, requyests вместо requests, asyincio вместо asyncio и т.п. При проведении подобных атак злоумышленники рассчитывают на невнимательных пользователей, совершивших опечатку или не заметивших отличий в названии при поиске или переходе по ссылке из форумов и … Читать далее PyPI приостановил регистрацию новых пользователей и проектов из-за всплеска вредоносных публикаций

Представлен рабочий прототип проекта FuryGpu, развивающего самодельный GPU на основе FPGA Xilinx Zynq UltraScale+, оформленный в виде отдельной платы, подключаемой к ПК через интерфейс PCIe. Описания аппаратных блоков реализованы на языке SystemVerilog, а проект платы подготовлен в свободной системе автоматизированного проектирования печатных плат KiCAD. В текущем виде GPU FuryGpu уже позволяет запустить игру Quake с производительностью отрисовки 60 FPS при разрешении 1280 x 720. Проект разрабатывается с 2021 года в качестве хобби программистом, специализирующемся на разработке компьютерных игр и интересующимся аппаратным обеспечением. Схемы платы, Verilog-описания и драйверы пока недоступны публично, но автор проекта заявил о намерении открыть все связанные с … Читать далее Проект FuryGpu развивает GPU на базе FPGA

Опубликована стабильная версия набора базовых системных утилит GNU Coreutils 9.5, в состав которого входят такие программы, как sort, cat, chmod, chown, chroot, cp, date, dd, echo, hostname, id, ln, ls и т.д. Ключевые новшества: В утилитах cp, mv, install, cat и split проведена оптимизация операций записи и чтения. Размер минимального читаемого или записываемого блока увеличен с 128KiB до 256KiB, что привело к повышению пропускной способности при чтении прокэшированных файлов на 10-20%. В утилиты env, kill и timeout добавлена поддержка неименованных сигналов. За счёт исключения трансляции ненужных меток MCS/MLS повышена эффективность операций копирования при использовании в системе SELinux. Сокращено время запуска … Читать далее Выпуск набора утилит GNU Coreutils 9.5 и его варианта на языке Rust

Организация Linux Foundation объявила о создании проекта Valkey, который продолжит развитие открытой кодовой базы СУБД Redis, распространяемой под лицензией BSD. Проект будет развиваться под эгидой организации Linux Foundation на независимой площадке с привлечением сообщества разработчиков и компаний, заинтересованных в продолжении сохранения открытой кодовой базы Redis. К работе над проектом присоединились такие компании, как Amazon Web Services (AWS), Google Cloud, Oracle, Ericsson и Snap Inc. Среди разработчиков, которые вошли в команду Valkey упоминаются Madelyn Olson, бывший мэйнтейнер Redis, работающий в компании Amazon, Ping Xie, один из разработчиков Redis, работающий в компании Google, Viktor Söderqvist из компании Ericsson, Harkrishn Patro из компании … Читать далее Amazon, Google, Oracle, Ericsson и Snap основали Valkey, форк СУБД Redis

Состоялся выпуск Lanemu P2P VPN 0.11.6 — реализации децентрализованной виртуальной частной сети, работающей по принципу Peer-To-Peer, при котором участники подключены друг к другу, а не через центральный сервер. Участники сети могут находить друг друга через BitTorrent-трекер или BitTorrent DHT, либо через других участников сети (peer exchange). Приложение является бесплатным и открытым аналогом VPN Hamachi, написано на языке Java (c отдельными компонентами на языке Си) и распространяется под лицензией GNU LGPL 3.0. Изменения в версиях 0.11.5 и 0.11.6: Добавлена начальная поддержка запуска приложения на FreeBSD. Для достижения паритета функционала tap драйвера, может понадобиться собрать ядро с экспериментальными патчами. Добавлена возможность использования … Читать далее Выпуск VPN Lanemu 0.11.6

В утилите wall, поставляемой в пакете util-linux и предназначенной для отправки сообщений в терминалы, выявлена уязвимость (CVE-2024-28085), позволяющая осуществить атаку на терминалы других пользователей через манипуляцию с escape-последовательностями. Проблема вызвана тем, что утилита wall блокирует использование escape-последовательности во входном потоке, но не выполняет эту операцию для аргументов в командной строке, что позволяет атакующему выполнить escape-последовательности в терминале других пользователей. Например, выполнив ‘wall $(printf «33[33mHI»)’ можно вывести надпись «HI» жёлтым цветом. При помощи escape-последовательностей, которые позволяют перемещать указатель, очищать и заменять содержимое на экране, можно симулировать показ приглашения о вводе пароля от утилиты sudo в терминале другого пользователя. Если пользователь не … Читать далее Уязвимость, позволяющая подставить escape-последовательности в чужие терминалы

После 6 месяцев разработки представлен релиз Samba 4.20.0, продолживший развитие ветки Samba 4 с полноценной реализацией контроллера домена и сервиса Active Directory, совместимого с реализацией Windows 2008 и способного обслуживать все поддерживаемые Microsoft версии Windows-клиентов, в том числе Windows 11. Samba 4 является многофункциональным серверным продуктом, предоставляющим также реализацию файлового сервера, сервиса печати и сервера идентификации (winbind). Ключевые изменения в Samba 4.20: По умолчанию включена сборка новой утилиты «wspsearch» с реализацией экспериментального клиента для протокола WSP (Windows Search Protocol). Утилита позволяет отправлять поисковые запросы на Windows-сервер, на котором запущен сервис WSP. В команде «smbcacls» реализована поддержка записи списков управления доступом … Читать далее Выпуск Samba 4.20.0

Опрос, проведённый среди 2000 американцев, показал, что 52% пользователей применяют блокировщики рекламы в браузере. Наиболее популярной причиной установки блокировщика рекламы отмечена забота о своей конфиденциальности (20%), а нежелание смотреть рекламу находится на втором месте (18%). 9% в качестве причины упомянули возможность ускорить загрузку страниц. Опрос был проведён среди жителей США компанией Censuswide, специализирующейся на независимых маркетинговых исследованиях, по заказу разработчиков блокировщика Ghostery. В похожем исследовании, проведённом в 2022 году, число пользователей блокировщиков оценивалось в 34%. Наибольшей популярностью блокировщики рекламы пользуются у людей, профессиональная деятельность которых связана с информационной безопасностью (76%), программированием (72%) и рекламой (66%). Примечательно, что общий процент использующих … Читать далее Более половины опрошенных американцев используют блокировщики рекламы

Сформирован релиз специализированного дистрибутива Tails 6.1 (The Amnesic Incognito Live System), основанного на пакетной базе Debian 12, поставляемого с рабочим столом GNOME 43 и предназначенного для анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ, способный работать в Live-режиме, размером 1 ГБ. В новой версии обновлены версии Tor Browser 13.0.13 (на базе Firefox 115.9.1) и Thunderbird 115.9. Добавлена новая версия микрокода для CPU Intel с изменениями, необходимыми для блокирования … Читать далее Выпуск дистрибутива Tails 6.1

Опубликован выпуск высокопроизводительного HTTP-сервера и многопротокольного прокси-сервера Angie 1.5.0, ответвлённого от Nginx группой бывших разработчиков проекта, уволившихся из компании F5 Network. Исходные тексты Angie доступны под лицензией BSD. Проект получил сертификаты совместимости с российскими операционными системами Ред ОС, Astra Linux Special Edition, Роса Хром Сервер, Альт и ФСТЭК-версии Альт. Сопровождением разработки занимается компания «Веб-сервер«, образованная осенью 2022 года и получившая инвестиции в размере 1 млн долларов. Среди совладельцев компании Веб-сервер: Валентин Бартенев (лидер команды, развивавшей продукт Nginx Unit), Иван Полуянов (бывший руководитель фронтэнд-разработчиков Rambler и Mail.Ru), Олег Мамонтов (руководитель команды техподдержки NGINX Inc) и Руслан Ермилов (ru@FreeBSD.org). Изменения в выпуске … Читать далее Выпуск Angie 1.5.0, российского форка Nginx

В Netfilter, подсистеме ядра Linux, используемой для фильтрации и модификации сетевых пакетов, выявлена уязвимость (CVE-2024-1086), позволяющая локальному пользователю выполнить код на уровне ядра и поднять свои привилегии в системе. Проблема вызвана двойным освобождением памяти (double-free) в модуле nf_tables, обеспечивающем работу пакетного фильтра nftables. Выявивший уязвимость исследователь безопасности разработал и опубликовал рабочий прототип эксплоита. Работа эксплоита продемонстрирована в актуальных выпусках Debian и Ubuntu с ядрами Linux 5.14 — 6.6, а также в окружении с ядром KernelCTF (Capture the Flag), включающем дополнительные патчи для блокирования типовых методов работы эксплоитов и используемом компанией Google в программе выплаты вознаграждений за поиск уязвимостей. Степень успешности … Читать далее Уязвимости в ядре Linux, позволяющие поднять свои привилегии через nf_tables и ksmbd

Представлен выпуск операционной системы Qubes 4.2.1, реализующей идею использования гипервизора для строгой изоляции приложений и компонентов ОС (каждый класс приложений и системные сервисы работают в отдельных виртуальных машинах). Для работы рекомендуется система с 16 Гб ОЗУ (минимум — 6 Гб) и 64-разрядным CPU Intel или AMD с поддержкой технологий VT-x c EPT/AMD-v c RVI и VT-d/AMD IOMMU, желательно наличие GPU Intel (GPU NVIDIA и AMD недостаточно хорошо протестированы). Размер установочного образа — 6 ГБ (x86_64). Приложения в Qubes разделены на классы в зависимости от важности обрабатываемых данных и решаемых задач. Каждый класс приложений (например, работа, развлечения, банковские операции), а также … Читать далее Обновление ОС Qubes 4.2.1, использующей виртуализацию для изоляции приложений

После года разработки опубликована новая версия инструментария для организации работы изолированных окружений Bubblewrap 0.9, используемого для ограничения отдельных приложений непривилегированных пользователей. На практике Bubblewrap применяется проектом Flatpak в качестве прослойки для изоляции запускаемых из пакетов приложений. Код проекта написан на языке Си и распространяется под лицензией LGPLv2+. Для изоляции используются традиционные для Linux технологии контейнерной виртуализации, основанные на использовании cgroups, пространств имён (namespaces), Seccomp и SELinux. Для выполнения привилегированных операций по настройке контейнера Bubblewrap запускается с правами root (исполняемый файл c suid-флагом) с последующим сбросом привилегий после завершения инициализации контейнера. Активация в системе пространств имён идентификаторов пользователя (user namespaces), позволяющих … Читать далее Выпуск Bubblewrap 0.9, прослойки для создания изолированных окружений

Началось тестирование бета-версии дистрибутива Fedora Linux 40. Бета-выпуск ознаменовал переход на финальную стадию тестирования, при которой допускается только исправление критических ошибок. Релиз запланирован на 23 апреля. Выпуск охватывает Fedora Workstation, Fedora Server, Fedora Silverblue, Fedora IoT, Fedora CoreOS, Fedora Cloud Base, Fedora Onyx и Live-сборки, поставляемые в форме спинов c пользовательскими окружениями KDE Plasma 5, Xfce, MATE, Cinnamon, LXDE, Phosh, LXQt, Budgie и Sway . Сборки сформированы для архитектур x86_64, Power64 и ARM64 (AArch64). Наиболее значимые изменения в Fedora Linux 40: Рабочий стол в Fedora Workstation обновлён до выпуска GNOME 46. Редакция с рабочим столом KDE обновлена до выпуска KDE … Читать далее Дистрибутив Fedora Linux 40 перешёл на стадию бета-тестирования

В кодовую базу, на основе которой формируется ядро Linux 6.9, принято изменение, переводящее драйвер с реализацией файловой системы Ext2 из категории поддерживаемых в разряд устаревших (deprecated). В качестве причины упоминается поддержка в драйвере только 32-разрядных счётчиков времени в inode, которые переполнятся 19 января 2038 года. Для работы с существующими разделами вместо драйвера ext2 предлагается использовать драйвер ext4, который поддерживает работу с файловой системой Ext2 и полностью совместим с ней, но при этом может использовать в ext2-разделах временные метки, не подверженные проблеме 2038 года, если ФС создана с inode, размером более 255 байт (в драйвере ext2 32-счётчики времени использовались независимо от … Читать далее Драйвер для файловой системы Ext2 объявлен устаревшим