В серверах IBM Cloud выявлена проблема с безопасностью, позволяющая злоумышленнику заменить прошивку BMC-контроллера (Baseboard Management Controller). В контексте предоставления серверов IBM Cloud во временную аренду злоумышленник может оставить бэкдор или закладку в прошивке BNC и сохранить контроль за сервером после его освобождения, очистки и смены арендатора. Услуга «IBM Cloud Bare Metal» подразумевает предоставление в краткосрочную аренду полноценных серверов с полным доступом к аппаратному обеспечению. Поддерживается как почасовая, так и помесячная аренда. Т.е. атакующий может арендовать сервер на час, заменить прошивку BMC и получить доступ к системам последующих арендаторов. Возможность атаки продемонстрирована на используемых в IBM Cloud серверах IBM SoftLayer, построенных … Читать далее Манипуляции с BMC позволяют контролировать серверы IBM Cloud после смены арендатора

Доступен выпуск проекта OBS Studio 23.0, в рамках которого развивается пакет для потокового вещания, стриминга, композитинга и записи видео. Код написан на языках Си/Си++ и распространяется под лицензией GPLv2. Сборки сформированы для Linux, Windows и macOS. Целью разработки OBS Studio является создание свободного аналога приложения Open Broadcaster Software, не привязанного к платформе Windows, поддерживающего OpenGL и расширяемого через плагины. Отличием также является использование модульной архитектуры, подразумевающей разделение интерфейса и ядра программы. Поддерживается перекодировние исходных потоков, захват видео во время игр и стриминг в Twitch, Mixer, YouTube, DailyMotion, Hitbox и другие сервисы. Для обеспечения высокой производительности возможно использование механизмов аппаратного ускорения … Читать далее Выпуск системы потокового видеовещания OBS Studio 23.0

Группа исследователей из Кембриджского университета представила новый вид атак Thunderclap (PDF), позволяющий получить доступ к содержимому всей памяти компьютера при подключении специально модифицированных периферийных устройств с интерфейсом Thunderbolt. Проблема проявляется в Windows, мacOS, Linux и FreeBSD. Для демонстрации атаки на основе FPGA Arria 10 исследователями подготовлен прототип вредоносного устройства, а также эмулятор вредоносной сетевой карты на базе QEMU и необходимая для атаки программная начинка. В отличие от атак BadUSB, в которых вредоносное USB-устройство эксплуатирует уязвимости в USB-стеке или притворяется USB-клавиатурой или сетевой картой для подстановки данных или перенаправления трафика, атака Thunderclap основана на методе обхода ограничений IOMMU и использовании DMA … Читать далее Атака с использованием вредоносных устройств с интерфейсом Thunderbolt

Компания Avast опубликовала результаты (PDF) анализа безопасности устройств в домашних сетях и системах «умный дом». Анализ применяемых в домашних сетях маршрутизаторов показал, что 59.7% маршрутизаторов имеют проблемы с безопасностью из-за наличия неисправленных уязвимостей или применения ненадёжных паролей. Исследование также выявило, что 40.8% из всех домашних сетей содержат как минимум одно устройство, содержащее уязвимости, компрометация которого может угрожать безопасности всей домашней сети. Уязвимость 69.2% из проблемных устройств вызвана использованием ненадёжных параметров доступа, например, применением тривиальных паролей. Остальные 31.8% из проблемных устройств остаются уязвимыми из-за использования не обновлённых прошивок. Процентное соотношение сетей с как минимум одним уязвимым устройством в зависимости от разных … Читать далее 59.7% маршрутизаторов в домашних сетях имеют проблемы с безопасностью

Доступен выпуск основной ветки nginx 1.15.9, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.14 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей). Основные изменения: Добавлена возможность использования переменных в директивах ‘ssl_certificate’ и ‘ssl_certificate_key’; Добавлена поддержка метода poll на системах Windows при использовании Windows Vista и новее; Устранена проблема с установлением соединения с бэкендом при использовании метода select на системах Windows, где nginx ожидал истечения таймаута на установление соединения; В модуле stream внесены исправления в директивы ‘proxy_upload_rate’ и ‘proxy_download_rate’, которые работали некорректно при проксировании UDP-пакетов. Читать далее Выпуск nginx 1.15.9

Компания Canonical объявила о сертификации дистрибутива Ubuntu по программе соответствия уровню безопасности Common Criteria EAL2 (Evaluation Assurance Level 2). Сертификат получен для Ubuntu Server 16.04.4 LTS при работе на 5 протестированных аппаратных платформах: Supermicro SYS-5018R-WR, IBM z13, IBM Power System S822L PowerNV 8247-22L, 8001-22C и 8335-GTB. Сертификация позволит использовать Ubuntu для обработки секретной и критичной информации, требующей повышенного уровня защиты. Подобная сертификация требуется для использования программных продуктов в финансовых структурах, государственных и военных учреждениях 30 стран. Читать далее Ubuntu сертифицирован на соответствие уровню безопасности EAL2

Доступны корректирующие выпуски криптографической библиотеки OpenSSL 1.0.2r и 1.1.1b. В выпуске 1.0.2r устранена уязвимость (CVE-2019-1559), которая связана с некорректной обработкой нулевых байтов в добавочном заполнении (padding oracle). При возникновении ошибки и двойном вызове функции SSL_shutdown() в приложении уязвимость позволяет разделять ситуации в случае получения некорректного добавочного заполнения и некорректного MAC. Манипулируя информацией о корректности блоков добавочного заполнения атакующий может путём перебора определить содержимое шифротекста. Уязвимость отнесена к категории проблем среднего уровня опасности так как для атаки требуется применение нетипичных наборов шифров («non-stitched») и необходимо, чтобы приложение вызывало функцию SSL_shutdown() дважды (один раз для отправки уведомления close_notify, а второй для приёма). … Читать далее Обновление OpenSSL с устранением уязвимости в реализации TLS

Представлен релиз языка программирования Go 1.12, который развивается компанией Google при участии сообщества как гибридное решение, сочетающее высокую производительность компилируемых языков с такими достоинствами скриптовых языков, как лёгкость написания кода, быстрота разработки и защищённость от ошибок. Код проекта распространяется под лицензией BSD. Синтаксис Go основан на привычных элементах языка Си с отдельными заимствованиями из языка Python. Язык достаточно лаконичен, но при этом код легко читается и воспринимается. Код на языке Go компилируется в обособленные бинарные исполняемые файлы, выполняемые нативно без использования виртуальной машины (модули профилирования, отладки и другие подсистемы выявления проблем на этапе выполнения интегрируются в виде runtime-компонентов), что позволяет … Читать далее Релиз языка программирования Go 1.12

Организация Linux Foundation объявила об обеспечении длительного цикла поддержки для ветки ядра Linux 4.19. Поддержка будет осуществляться в рамках программы SLTS (Super Long Term Support), которая в отличие от выпусков LTSI (Long Term Support Initiative) обеспечивает более длительный цикл поддержки, ориентированный на применение ядра в технических системах гражданской инфраструктуры и в важных промышленных системах. Утверждается, что ветка SLTS будет поддерживаться 10-20 лет, на протяжении которых в ядро будут переноситься исправления, влияющие на надёжность и безопасность. Для отслеживания обновлений в SLTS-ветке 4.19 предложен git-репозиторий linux-cip. Поддержанием SLTS ветки будет заниматься работающий под эгидой Linux Foundation проект Civil Infrastructure Platform (CIP), развивающийся … Читать далее Организация Linux Foundation выпустила LTS-ветку на базе ядра Linux 4.19

Доступен выпуск прослойки DXVK 1.0, предоставляющей реализацию DXGI (DirectX Graphics Infrastructure), Direct3D 10 и Direct3D 11, работающую через трансляцию вызовов в API Vulkan. DXVK может применяться для запуска 3D-приложений и игр в Linux при помощи Wine, выступая в качестве более высокопроизводительной альтернативы для предоставляемой в Wine реализации Direct3D 11, работающей поверх OpenGL. Для использования DXVK требуется наличие драйверов с поддержкой API Vulkan, таких как AMD RADV 18.3+, AMDGPU PRO 18.50+, NVIDIA 415.22+, Intel ANV 18.2+ и AMDVLK. В некоторых играх производительность связки Wine+DXVK отличается от запуска в Windows всего на 10%, в то время как при использовании реализации Direct3D 11 … Читать далее Выпуск проекта DXVK 1.0 с реализацией Direct3D 10/11 поверх API Vulkan

Facebook объявил об открытии исходных текстов платформы Magma, включающей компоненты для быстрого развёртывания сотовых сетей (2G, 3G, 4G и 5G). Проект создан в рамках инициативы по обеспечению глобальной сетевой доступности и рассчитан на использование операторами связи. Платформа позволяет добиться кардинального упрощения процесса создания новых узлов сети, делая развёртывание LTE-сетей не сложнее, чем создание беспроводных точек доступа Wi-Fi. Код написан на языке Си и Python, и распространяется под лицензией BSD. Платформа также предлагает новый подход в работе операторов связи, основанный на использовании открытого ПО и позволяющий создавать новые типы сетей, в которых применяется быстрый цикл обновления и непрерывная интеграция программных компонентов. … Читать далее Facebook открыл платформу для быстрого развёртывания LTE-сетей

Разработчики проекта X.Org объявили, что не намерены больше выпускать сводные релизы X.org, в рамках которых под общим номером версии X.org предлагался набор всех развиваемых модулей X Window System. Последний сводный выпуск X.Org 7.7 был сформирован в 2012 году и с тех пор окончательно утвердилась модель с формированием отдельных выпусков для разных модулей X.Org. Напомним, что X.org был логически разделён на 9 модулей: X-сервер, приложения, сопутствующие данные, документация, драйверы, шрифты, библиотеки, спецификации протоколов и утилиты. Каждый модуль развивается независимо и может быть собран и установлен по отдельности. Выпуски модулей публикуются независимо друг от друга. Сводные релизы X.org формировались раз год, в … Читать далее Объявлено о прекращении формирования сводных релизов X.org

Разработчики проектов F-Droid и Android Rebuilds представили новый репозиторий с пересобранным вариантом инструментария Android SDK/NDK, в который включены только инструменты и библиотеки, поставляемые под свободными лицензиями. Новый публичный репозиторий примечателен разделением SDK на отдельные модули (платформа, документация, утилиты, библиотеки, примеры и т.п.), что позволяет упростить установку сборок SDK от проекта Android Rebuilds. В частности, при помощи sdkmanager можно выбрать только необходимые компоненты, без необходимости загрузки монолитной версии SDK и не прибегая к ручной пересборке из исходных текстов. Необходимость создания альтернативных сборок Android SDK обусловлена тем, что несмотря на то, что исходные тексты компонентов SDK поставляются под свободными лицензиями (в основном … Читать далее Проекты F-Droid и Android Rebuilds ввели в строй репозиторий с пересобранным Android SDK

Представлен выпуск распределенной системы управления исходными текстами Git 2.21.0. Git является одной из самых популярных, надёжных и высокопроизводительных систем управления версиями, предоставляющей гибкие средства нелинейной разработки, базирующиеся на ответвлении и слиянии веток. Для обеспечения целостности истории и устойчивости к изменениям задним числом используются неявное хеширование всей предыдущей истории в каждом коммите, также возможно удостоверение цифровыми подписями разработчиков отдельных тегов и коммитов. По сравнению с прошлым выпуском в новую версию принято 500 изменений, подготовленных при участии 74 разработчиков, из которых 20 впервые приняли участие в разработке. Основные новшества: В «git log» и другие команды добавлена опция «—date=human», позволяющая выводить даты в … Читать далее Выпуск распределенной системы управления исходными текстами Git 2.21

Несколько изменений, добавленных в кодовую базу Firefox и ожидаемых в одном из следующих выпусков: В ночные сборки Firefox добавлена начальная поддержка API Picture-in-Picture и возможность просмотра видео в режиме «картинка в картинке», позволяющем отсоединить видео в форме плавающего окна, которое остаётся на виду в процессе навигации в браузере. Для включения нового режима в Firefox в about:config следует активировать опцию «media.videocontrols.picture-in-picture.enabled». Для просмотра в данном режиме видео с YouTube необходимо два раза кликнуть на видео правой кнопкой мыши и выбрать режим «Picture in picture»; Предложена новая реализация менеджера дополнений (about:addons), который по аналогии с about:config переписан с использованием JavaScript и стандартных … Читать далее В Firefox появится режим картинка в картинке и переработанный менеджер дополнений

Организация ICANN, регулирующая вопросы, связанные с IP-адресами и доменными именами и интернете, выступила с инициативой повсеместного перехода на использование DNSSEC для всех доменных имён. ICANN отмечает наличие значительного риска для ключевых частей инфраструктуры DNS, вызванного увеличением числа атак на DNS-серверы и ростом связанной с DNS вредоносной активностью. Последнее время фиксируется множество различных типов атак на DNS, от захвата доменов через перехват параметров учётной записи к интерфейсу регистратора или DNS-сервиса, проводимых с целью изменения списка DNS-серверов или содержимого отдельных записей, до применения BGP для подмены DNS-серверов. Большую часть из атак, связанных с заменой привязки имени к IP, отравлением DNS-кэша или MITM-подменой, … Читать далее ICANN призывает к повсеместному внедрению DNSSEC. Обновление BIND с устранением уязвимостей

Компания BMW открыла исходные тексты проекта RAMSES (Rendering Architecture for Multi-Screen EnvironmentS), в рамках которого подготовлена распределённая система отрисовки 3D-контента, сфокусированная на обеспечении высокой эффективности с позиции потребления ресурсов при использовании на встраиваемых системах и пропускной способности при трансляции вывода по сети. Код написан на языке C++ и распространяется под лицензией MPL 2.0 (Mozilla Public License). Проект разработан в процессе оптимизации отрисовки контента в автомобильных информационно-развлекательных системах, содержащих несколько экранов и вычислительных устройств. RAMSES представляет собой прослойку, позволяющую применить клиент-серверную модель для отрисовки, при которой один процесс формирует 3D-контент, а другой занимается его отрисовкой. При этом процессы могут выполняться на … Читать далее Компания BMW открыла систему распределённой отрисовки RAMSES

В реализации протокола SCTP, предлагаемой в ядре Linux, выявлена уязвимость (CVE-2019-8956), потенциально позволяющая локальному пользователю получить root привилегии в системе (выполнить код в контексте ядра). Прототип эксплоита пока не подготовлен. Проблема вызвана ошибкой в коде функции sctp_sendmesg(), которая позволяет через манипуляцию с локальным сокетом создать условия для обращения к уже освобождённой области памяти (use-after-free). В частности, проблема проявляется при обработке списка ассоциаций получателей, привязанных к сообщению, отправленному по нескольким адресам в режиме SCTP_SENDALL. В случае удаления ассоциации во время перебора продолжается обработка повреждённого списка, в то время как в ранее используемой для элементов списка памяти могут находиться уже другие структуры … Читать далее Локальная root-уязвимость в реализации SCTP в ядре Linux

Компания BMW открыла исходные тексты проекта RAMSES (Rendering Architecture for Multi-Screen EnvironmentS), в рамках которого подготовлена распределённая система отрисовки 3D-контента, сфокусированная на обеспечении высокой эффективности с позиции потребления ресурсов при использовании на встраиваемых системах и пропускной способности при трансляции вывода по сети. Код написан на языке C++ и распространяется под лицензией MPL 2.0 (Mozilla Public License). Проект разработан в процессе оптимизации отрисовки контента в автомобильных информационно-развлекательных системах, содержащих несколько экранов и вычислительных устройств. RAMSES представляет собой прослойку, позволяющую применить клиент-серверную модель для отрисовки, при которой один процесс формирует 3D-контент, а другой занимается его отрисовкой. При этом процессы могут выполняться на … Читать далее Компания BMW открыла систему распределённой 3D-отрисовки RAMSES

Доступен корректирующий релиз набора компиляторов GCC 8.3, в котором проведена работа по исправлению ошибок, регрессивных изменений и проблем с совместимостью. По сравнению с версией 8.2 в GCC 8.3 внесено 153 исправления, в основном связанных с устранением регрессивных изменений. В конце апреля или начале мая ожидается новый значительный выпуск GCC 9. Читать далее Выпуск набора компиляторов GCC 8.3

Компания NVIDIA представила первый выпуск новой стабильной ветки проприетарного драйвера NVIDIA 418.43. Драйвер доступен для Linux (ARM, x86_64), FreeBSD (x86_64) и Solaris (x86_64). Ветка будет развиваться в рамках длительного цикла поддержки (LTS) до февраля 2020 года. Одновременно выпущены обновления ещё поддерживаемых старых веток NVIDIA 390.116 и 410.104, в которых проведена работа над ошибками и добавлена поддержка ядра Linux 5.0 (в 390.116 также обеспечена поддержка FreeBSD 12). Основные новшества ветки NVIDIA 418: Добавлена поддержка GPU GeForce GTX 1660 Ti, GeForce RTX 2070 Max-Q Design, GeForce RTX 2080 Max-Q Design и Tesla V100-SXM3-32GB-H; Добавлена поддержка аппаратных кодировщиков и декодировщиков видео (NVENC/NVDEC), используемых … Читать далее Выпуск проприетарного драйвера NVIDIA 418.43