Прошли очередные полгода и проект Repology, в рамках которого регулярно собирается и сравнивается информация о версиях пакетов во множестве репозиториев, публикует очередной отчёт. Целью проекта является улучшение взаимодействия мантейнеров пакетов из различных дистрибутивов как между собой, так и с авторами ПО — в частности, проект помогает быстрее обнаруживать выпуски новых версий ПО, следить за актуальностью пакетов, унифицировать схемы именования и версионирования, поддерживать метаинформацию в актуальном состоянии, делиться патчами и решениями проблем и улучшать переносимость ПО. Число поддерживаемых репозиториев превысило 230. Добавлена поддержка BunsenLabs, Pisi, Salix, Solus, T2 SDE, Void Linux, ELRepo, Mer Project, репозиториев EMacs пакетов GNU Elpa и MELPA, … Читать далее Итоги полугода работы проекта Repology, анализирующего информацию о версиях пакетов

Доступен релиз открытой биллинговой системы ABillS 0.81, компоненты которой поставляются под лицензией GPLv2. Новые возможности: Модуль Internet+ Информация о мультисервисности теперь выводится также в личном кабинете абонента Настраиваемый период сохранения логов без ротации для сервиса IPN Визуальный мониторинг домов теперь показывает гостевые сессии Автоформатирование MAC-адреса Уникальность s-vlan и c-vlan Привязка тарифов к местоположению В arpping реализовано добавление производителя Проверка на дубликаты CID и IP при добавлении Diagnostic пинг через Mikrotik Реализована опция снятия абонплаты за целый месяц при статусе «слишком маленький депозит» Модуль IPTV Добавлена возможность поиска абонентов по количеству сервисов Добавлено предупреждение о следующем учётном периоде и сумме оплаты … Читать далее Новая версия открытой биллинговой системы ABillS 0.81

Состоялся релиз проекта srsLTE 19.03, развивающего открытый стек для развёртывания компонентов сотовых сетей LTE/4G без наличия спецоборудования, используя только универсальные программируемые приемопередатчики, форма сигнала и модуляция которых задаётся программно (SDR, Software Defined Radio). Код проекта поставляется под лицензией AGPLv3. SrsLTE включает реализацию LTE UE (User Equipment, клиентские компоненты для подключения абонента к сети LTE), базовой станции LTE (eNodeB, E-UTRAN Node B), а также элементов опорной сети LTE (MME — Mobility Management Entity для взаимодействия с базовыми станциями, HSS — Home Subscriber Server для хранения базы абонентов и информации о привязанных к абонентам услугах, SGW — Serving Gateway для обработки и … Читать далее Выпуск открытого 4G-стека srsLTE 19.03

В OpenBSD добавлена утилита sysupgrade, предназначенная для автоматического обновления системы до нового релиза или снапшота ветки CURRENT. Sysupgrade загружает необходимые для обновления файлы, проверяет их при помощи signify, копирует bsd.rd (специальный ramdisk, работающий полностью из оперативной памяти, используемый для установки, обновления и восстановления системы) в bsd.upgrade и инициирует перезагрузку системы. Загрузчик, обнаружив наличие bsd.upgrade, начинает его автоматическую загрузку (может быть отменено пользователем) и автоматическое обновление системы до загруженной ранее версии. Уже сейчас sysupgrade можно использовать для автоматического обновления до актуальных ежедневных снапшотов CURRENT, начиная с релиза OpenBSD 6.6 предполагается его использование для обновления с релиза на релиз. До появления sysupgrade … Читать далее В OpenBSD-CURRENT добавлена утилита sysupgrade для автоматического обновления

Опубликован выпуск прослойки DXVK 1.2, предоставляющей реализацию DXGI (DirectX Graphics Infrastructure), Direct3D 10 и Direct3D 11, работающую через трансляцию вызовов в API Vulkan. Для использования DXVK требуется наличие драйверов с поддержкой API Vulkan, таких как AMD RADV 18.3, AMDGPU PRO 18.50, NVIDIA 415.22, Intel ANV 19.0 и AMDVLK. DXVK может применяться для запуска 3D-приложений и игр в Linux при помощи Wine, выступая в качестве более высокопроизводительной альтернативы встроенной в Wine реализации Direct3D 11, работающей поверх OpenGL. В некоторых играх производительность связки Wine+DXVK отличается от запуска в Windows всего на 10-20%, в то время как при использовании реализации Direct3D 11 на … Читать далее Выпуск проекта DXVK 1.2 с реализацией Direct3D 10/11 поверх API Vulkan

Сообщается о волне атак, направленных на шифрование Git-репозиториев в сервисах GitHub, GitLab и Bitbucket. Атакующие очищают репозиторий и оставляют сообщение с просьбой отправить 0.1 BTC (примерно $700) для восстановления данных из резервной копии (на деле лишь портятся заголовки коммитов и информация может быть восстановлена). На GitHub подобным образом уже пострадал 371 репозиторий. Некоторые жертвы атаки признаются, что использовали ненадёжные пароли или забыли удалить токены доступа из старых приложений. Некоторые считают (пока это лишь домыслы и гипотеза ещё не подтверждена), что причиной утечки учётных данных стала компрометация приложения SourceTree, предоставляющего GUI для работы с Git из macOS и Windows. В марте … Читать далее Зафиксирована атака вредоносных шифровальщиков на Git-репозитории (дополнено)

Исследователь безопасности Боб Дьяченко (Bob Diachenko) выявил новую крупную общедоступную БД, в которой из-за ненадлежащих настроек доступа СУБД MongoDB оказались выставлены сведения о 275 млн жителей Индии. База включает в себя такие сведения как ФИО, email, номер телефона, дата рождения, данные об образовании и профессиональных навыках, историю трудоустройства, информацию о текущей работе и зарплате. Пока не ясно кто является владельцем БД, проблемный экземпляр MongoDB выполняется в окружении Amazon AWS. База была обнаружена 1 мая (в Shodan была проиндексирована 23 апреля). Примечательно, что уже 8 мая неизвестные злоумышленники зашифровали имеющиеся данные и стали требовать у владельца выкуп за расшифровку. Источник: http://www.opennet.ru/opennews/art.shtml?num=50670 Читать далее Утечка персональных данных 275 млн индийских пользователей через публичную СУБД MongoDB

Представлен выпуск проекта KWin-lowlatency 5.15.5, в рамках которого подготовлен вариант композитного менеджера для KDE Plasma 5.15, дополненный патчами для увеличения отзывчивости интерфейса и исправления некоторых проблем, связанных со скоростью реакции на действия пользователя, таких как притормаживание ввода. Наработки проекта распространяются под лицензией GPLv2. Для Arch Linux в AUR предоставляется готовый PKGBUILD. Для включения в Gentoo ebuild готовится опция для сборки KWin с патчами lowlatency. Новый выпуск примечателен обеспечением поддержки систем с видеокартами NVIDIA. Код DRM VBlank заменён на использование glXWaitVideoSync для предоставления защиты от появления разрывов при выводе (tearing) без негативного влияния на отзывчивость. Изначально присутствующая в KWin защита от … Читать далее Выпуск композитного менеджера KWin-lowlatency 5.15.5

Компании «НПО РусБИТех» опубликовала выпуск дистрибутива Astra Linux Common Edition 2.12.13, построенного на пакетной базе Debian GNU/Linux и поставляемого с собственным проприетарным рабочим столом Fly (интерактивная демонстрация), использующим библиотеку Qt. Для загрузки доступны iso-образы (3.7 Гб, x86-64), бинарный репозиторий и исходные тексты пакетов. Дистрибутив распространяется в рамках лицензионного соглашения, которое накладывает ряд ограничений на пользователей, в частности, запрещены коммерческое использование, декомпиляция и дизассемблирование продукта. Основные изменения: Графическое окружение Fly адаптировано для использования на экранах с высокой плотностью пикселей (HiDPI). Обеспечена группировка запущенных приложений на панели задач. В режиме киоска предоставлена возможность определения собственных параметров изоляции для отдельного приложения. Реализовано удаление … Читать далее Выпуск российского дистрибутива Astra Linux Common Edition 2.12.13

10 лет назад 11 мая 2009 года Михаил Зарипов (МихаилZ) анонсировал первую модульную сборку на базе репозиториев Mandriva, которая и стала первым выпуском MagOS. MagOS — преднастроенный для русскоязычных пользователей дистрибутив Linux, совмещающий модульную архитектуру (как Slax) с репозиториями «донорского» дистрибутива. Первым донором был проект Mandriva, сейчас используются репозитории Rosa (fresh и red). «Модульность» делает MаgOS практически неубиваемым и хорошо подходящим для экспериментов, так как всегда можно откатиться к начальному или сохраненному состоянию. А репозитории донора делают его универсальным, так как доступно все, что доступно в Rosa. MagOS поддерживает загрузку с Flash и сохраняет результаты работы в каталог или в … Читать далее Linux-дистрибутиву MagOS исполнилось 10 лет

В библиотеке PharStreamWrapper, предоставляющей обработчики для защиты от проведения атак через подстановку файлов в формате «Phar», выявлена уязвимость (CVE-2019-11831), позволяющая обойти защиту от десериализации кода через подстановку символов «..» в пути. Например, атакующий может использовать для атаки URL вида «phar:///path/bad.phar/../good.phar» и библиотека выделит при проверке базовое имя «/path/good.phar», хотя при дальнейшей обработке подобного пути будет использован файл «/path/bad.phar». Библиотека разработана создателями CMS TYPO3, но также применяется в проектах Drupal и Joomla, что делает их также подверженными уязвимости. Проблема устранена в выпусках PharStreamWrapper 2.1.1 и 3.1.1. Проект Drupal устранил проблему в обновлениях 7.67, 8.6.16 и 8.7.1. В Joomla проблема проявляется начиная … Читать далее Уязвимость в библиотеке PharStreamWrapper, затрагивающая Drupal, Joomla и Typo3

Доступен экспериментальный выпуск открытой реализации Win32 API — Wine 4.8. С момента выпуска версии 4.7 было закрыто 38 отчётов об ошибках и внесено 315 изменений. Наиболее важные изменения: Добавлена поддержка сборки в формате PE для большинства программ; Данные Unicode обновлены до версии 12.0; Добавлена поддержка patch-файлов MSI; В сборочные сценарии добавлена поддержка флага «-fno-PIC» для отключения PIC (Position Independent Code). Сборка без PIC по умолчанию включена для архитектуры i386; Улучшена поддержка джойстика. В dinput добавлена эвристика для определения является устройство геймпадом или джойстиком. В winejoystick добавлена поддержка координат для колеса на джойстике; Закрыты отчёты об ошибках, связанные с работой игр … Читать далее Выпуск Wine 4.8. Доступен D9VK 0.10 с реализацией Direct3D 9 поверх Vulkan

Компания Intel опубликовала сведения о новом классе уязвимостей в своих процессорах — MDS (Microarchitectural Data Sampling). Как и прошлые атаки класса Spectre новые проблемы могут привести к утечке закрытых данных операционной системы, виртуальных машин и чужих процессов. Утверждается, что проблемы сперва были выявлены сотрудниками и партнёрами Intel в ходе внутреннего аудита. В июне и августе 2018 года информацию о проблемах в Intel передали независимые исследователи, после чего почти год велась совместная работа с производителями и разработчиками операционных систем по выработке и доставке исправлений, а также определении возможных векторов для атак. Процессоры AMD и ARM проблеме не подвержены. На основе выявленных … Читать далее Представлен новый класс уязвимостей в процессорах Intel

Раскрыты сведения о критической уязвимости (CVE-2019-3568) в мобильном приложении WhatsApp, позволяющей добиться выполнения своего кода через отправку специально оформленного голосового вызова. Для успешной атаки ответ на вредоносный вызов не требуется, достаточно поступления звонка. При этом часто подобный вызов не оседает в журнале звонков и атака может остаться незамеченной пользователем. Уязвимость не связана с протоколом Signal, а вызвана переполнением буфера в специфичном для WhatsApp VoIP-стеке. Проблему можно эксплуатировать через отправку на устройство жертвы специально оформленной серии пакетов SRTCP (Secure Real-time Transport Protocol). Уязвимость проявляется в WhatsApp для Android (исправлено в 2.19.134), WhatsApp Business для Android (исправлено в 2.19.44), WhatsApp для iOS … Читать далее Критическая уязвимость в приложении WhatsApp, пригодная для внедрения вредоносного ПО

В коде обработчика протокола RDS на базе TCP (Reliable Datagram Socket, net/rds/tcp.c) выявлена уязвимость (CVE-2019-11815), которая может привести к обращению к уже освобождённой области памяти и отказу в обслуживании (потенциально не исключается возможность эксплуатации проблемы для организации выполнения кода). Проблема вызывается состоянием гонки (race condition), которое может возникнуть при выполнении функции rds_tcp_kill_sock в момент очистки сокетов для пространства сетевых имён. В спецификации NVD проблема помечена как удалённо эксплуатируемая по сети, но судя по описанию исправления, без локального присутствия в системе и манипуляции с пространствами имён удалённо организовать атаку не получится. В частности, по мнению разработчиков SUSE уязвимость эксплуатируется только локально, … Читать далее Уязвимость в сетевом стеке ядра Linux

Исследователи из французского государственного института исследований в информатике и автоматике (INRIA) и Наньянского технологического университета (Сингапур) разработали усовершенствованный метод атаки на алгоритм SHA-1, существенно упрощающий создание двух разных документов с одинаковыми хэшами SHA-1. Суть метода в сведении операции полного подбора коллизии в SHA-1 к коллизионной атаке с заданным префиксом, при которой для существующих данных можно подобрать определённые дополнения, при которых для общего набора возникает коллизия. Иными словами, для двух существующих документов можно вычислить два дополнения, и если одно присоединить к первому документу, а другое ко второму — результирующие хэши SHA-1 для этих файлов будут одинаковы. Данный вид атаки всё ещё … Читать далее Представлен более эффективный метод определения коллизий для SHA-1

Исследователь безопасности Виллем де Гроот (Willem de Groot) сообщил, что в результате взлома инфраструктуры атакующие смогли внедрить вредоносную вставку в код системы web-аналитики Picreel и открытой платформы для генерации интерактивных web-форм Alpaca Forms. Подмена JavaScript-кода привела к компрометации 4684 сайтов, применяющих на своих страницах указанные системы (1249 — Picreel и 3435 — Alpaca Forms). Внедрённый вредоносный код осуществлял сбор сведений о заполнении всех web-форм на сайтах и в том числе мог привести к перехвату ввода платёжной информации и параметров аутентификации. Перехваченная информация отправлялась на сервер font-assets.com под видом запроса изображений. Информации о том, как именно была скомпрометирована инфраструктура Picreel и … Читать далее Подмена кода проектов Picreel и Alpaca Forms привела к компрометации 4684 сайтов

Доступен релиз свободного дистрибутива OpenIndiana 2019.04, пришедшего на смену бинарному дистрибутиву OpenSolaris, развитие которого было прекращено компанией Oracle. OpenIndiana предоставляет пользователю рабочее окружение, построенное на базе свежего среза кодовой базы проекта Illumos. Непосредственно разработка технологий OpenSolaris продолжается проектом Illumos, в котором развивается ядро, сетевой стек, файловые системы, драйверы, а также базовый набор пользовательских системных утилит и библиотек. Для загрузки сформировано три вида iso-образов — серверная редакция с консольными приложениями (702 Мб), минимальная сборка (524 Мб) и сборка с графическим окружением MATE (1.6 Гб). Основные изменения в OpenIndiana 2019.04: Рабочий стол MATE обновлён до выпуска 1.22; В состав включён пакет с … Читать далее OpenIndiana 2019.04 и OmniOS CE r151030, продолжающие развитие OpenSolaris

Представлен релиз отладчика GDB 8.3, поддерживающего отладку на уровне исходных текстов для широкого спектра языков программирования (Ada, C, C++, Objective-C, Pascal, Go и т.д.) на различных аппаратных (i386, amd64, ARM, Power, Sparc, RISC-V и т.д.) и программных платформах (GNU/Linux, *BSD, Unix, Windows, macOS). Ключевые улучшения: В интерфейсах CLI и TUI реализована возможность определения стиля терминала (добавлена команда «set style»). При наличии GNU Highlight реализована подсветка исходных текстов; Реализована экспериментальная поддержка компиляции и подстановки исходного кода на языке C++ в контролируемый при помощи GDB процесс (inferior). Для работы требуется наличие как минимум версии GCC 7.1б, собранной с libcp1.so; В GDB и … Читать далее Выпуск отладчика GDB 8.3

GitHub объявил о запуске нового сервиса Package Registry, в рамках которого разработчикам предоставлена возможность публикации и распространения пакетов с приложениями и библиотеками. Поддерживается создание как приватных репозиториев пакетов, доступных только для определённых групп разработчиков, так и публичных общедоступных репозиториев для поставки готовых сборок своих программ и библиотек. Представленный сервис позволяет вести разработку кода и подготовку пакетов в одном месте, а также организовать централизованный процесс доставки зависимостей напрямую с GitHub, минуя посредников и специфичные для разных платформ репозитории пакетов. Для установки и публикации пакетов при помощи GitHub Package Registry могут использоваться уже существующие привычные пакетные менеджеры и команды, такие как npm, … Читать далее GitHub ввёл в строй реестр пакетов, совместимый с NPM, Docker, Maven, NuGet и RubyGems

Компания Google представила грядущие изменения в Chrome, нацеленные на повышение конфиденциальности. Первая часть изменений касается обработки Cookie и поддержки атрибута SameSite. Начиная с выпуска Chrome 76, ожидаемого в июле, будет активирован флаг «same-site-by-default-cookies», который в случае отсутствие атрибута SameSite в заголовке Set-Cookie по умолчанию будет выставлять значение «SameSite=Lax», ограничивающее отправку Cookie для вставок со сторонних сайтов (но сайты по-прежнему смогут отменить ограничение, явно выставляя при установке Cookie значение SameSite=None). Атрибут SameSite позволяет определять ситуации, в которых допустима передача Cookie при поступлении запроса со стороннего сайта. В настоящее время браузер передаёт Cookie на любой запрос к сайту, для которого имеются выставленные … Читать далее В Chrome появится защита от передачи сторонних Cookie и скрытой идентификации