Опубликован корректирующий релиз системы управления web-контентом WordPress 5.1.1, в котором устранена CSRF-уязвимость, позволяющая совершить атаку на администратора сайта для выполнения кода на сервере. Предложенная атака требует, чтобы администратор сайта на базе WordPress открыл в своём браузере подготовленную злоумышленниками страницу, содержащую код для эксплуатации CSRF-уязвимости в обработчике комментариев WordPress. Уязвимость проявляется только на сайтах с включенной поддержкой отправки комментариев. При открытии вредоносной страницы в браузере администратора, от его имени создаётся комментарий к одной из записей на сайте. Так как администратор обладает расширенными полномочиями по использованию HTML-тегов в комментариях, имеется возможность через манипуляцию с текстом, подставляемым в атрибут «title» тега «а href», … Читать далее В WordPress 5.1.1 устранена уязвимость, позволяющая получить контроль над сайтом

Доступны корректирующие версии языка программирования Ruby 2.6.2 и 2.5.4, в которых устранено шесть уязвимостей в системе управления пакетами RubyGems: CVE-2019-8324: возможность выполнения кода при установке непроверенного пакета (атакующий может разместить код в gemspec и этот код будет выполнен через вызов eval в ensure_loadable_spec на стадии проверки перед установкой); CVE-2019-8320: возможность удаления каталогов через манипуляции с символическими ссылками при распаковке файлов tar; CVE-2019-8321: возможность подстановки escape-последовательностей через обработчик Gem::UserInteraction CVE-2019-8322: возможность подстановки escape-последовательностей через команду «gem owner»; CVE-2019-8323: возможность подстановки escape-последовательностей в обработчике API (Gem::GemcutterUtilities#with_response); CVE-2019-8325: возможность подстановки escape-последовательностей через обработчики ошибок (Gem::CommandManager#run вызывает alert_error без экранирования символов). Кроме того, представлено … Читать далее Обновление Ruby и Rails с устранением уязвимостей

Компания Amazon представила проект «Open Distro for Elasticsearh«, в рамках которого будет развиваться полностью открытая редакция платформы поиска, анализа и хранения данных Elasticsearch. Опубликованная редакция пригодна для применения на предприятиях и включает расширенные возможности, доступные только в коммерческой версии оригинального продукта, такие как поддержка SQL, генерация уведомлений, механизмы диагностики кластера и дополнительные средства для обеспечения безопасности. Все компоненты проекта распространяются под лицензией Apache 2.0. Проект создан совместно с компаниями Expedia Group и Netflix в ответ на изменение политики компании Elasticsearch B.V., которая последнее время сосредоточила основное внимание на разработке проприетарной редакции Elasticsearch и почти прекратила развитие открытого продукта. Целью создания … Читать далее Amazon представил редакцию Elasticsearch, решающую проблемы с открытостью кода

Опубликован релиз свободной реализации API OpenGL и Vulkan — Mesa 19.0.0. Первый выпуск ветки Mesa 19.0.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 19.0.1. В Mesa 19.0 предоставляется полная поддержка OpenGL 4.5 для драйверов i965, radeonsi и nvc0, поддержка Vulkan 1.1 для карт Intel и AMD, а также частичная поддержка стандарта OpenGL 4.6. Наиболее заметные изменения: Объявлена устаревшей сборочная система на основе autotools. По умолчанию для сборки теперь применяется Meson. Для продолжения сборки с autotools при запуске autogen.sh следует указать опцию «—enable-autotools». В следующем выпуске 19.1 планируется полностью удалить поддержку autotools; В драйвер ANV … Читать далее Выпуск Mesa 19.0.0, свободной реализации OpenGL и Vulkan

Состоялся выпуск новой стабильной ветки WebKitGTK 2.24.0, порта браузерного движка WebKit для платформы GTK+. WebKitGTK позволяет использовать все возможности WebKit через GNOME-ориентированный программный интерфейс на основе GObject и может применяться для интеграции средств обработки web-контента в любые приложения, от использования в специализированных HTML/CSS-парсерах, до создания полнофункциональных web-браузеров. Из известных проектов, использующих WebKitGTK, можно отметить Midori и штатный браузер GNOME (Epiphany). Ключевые изменения: По аналогии с GTK название проекта изменено с WebKitGTK+ на WebKitGTK; Добавлен API для подключения пользовательских фильтров контента; Реализована поддержка изменчивых шрифтов (variable fonts), в которых толщина, ширина и другие стилистические характеристики глифа могут произвольно меняться; Обеспечена полноценная … Читать далее Релиз браузерного движка WebKitGTK 2.24.0

После шести месяцев разработки представлен выпуск десктоп-окружения GNOME 3.32. По сравнению с прошлым выпуском было внесено более 26 тысяч изменений, в реализации которых приняли участие 798 разработчиков. Для быстрой оценки возможностей GNOME 3.32 подготовлены специализированные Live-сборки на основе openSUSE и Ubuntu. Основные новшества: Обновлён визуальный стиль элементов интерфейса, рабочего стола и пиктограмм. Тема оформления приведена к более современному виду. Проведена корректировка цветовой схемы — цвета стали более яркими, а панели и кнопки более элегантными и лёгкими. Более современного внешнего вида удалось добиться при помощи инвертирования яркости, избавления от выделяющихся рамок и чуть большего скругления углов. В светлом варианте темы оформления … Читать далее Выпуск пользовательского окружения GNOME 3.32

Компания Google представила релиз web-браузера Chrome 73. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается использованием логотипов Google, возможностью загрузки модуля Flash по запросу, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого видеоконтента, системой автоматической установки обновлений и передачей при поиске RLZ-параметров. Следующий выпуск Chrome 74 запланирован на 23 апреля. Основные изменения в Chrome 73: В версию для Android добавлен режим «Lite pages», позволяющий ускорить загрузку сайтов и сократить трафик за счёт обращения через прокси в Google, на лету осуществляющий оптимизацию запрашиваемых страниц для просмотра на мобильном устройстве. На серверы Google передаётся … Читать далее Релиз web-браузера Chrome 73

Разработчики проекта Debian сообщили о переводе пакетной базы Debian 10 «Buster» на стадию полной заморозки, при которой процесс переноса пакетов из unstable в testing остановлен и начался этап интенсивного тестирования и исправления блокирующих релиз проблем. В особых случаях пакеты из unstable могут быть перенесены вручную, но для этого требуется получение одобрения от команды, ответственной за подготовку релиза. Напомним, что 21 января 2019 года была выполнена первая стадия заморозки пакетной базы Debian 10, в рамках которой было прекращено выполнение «transitions» (обновление пакетов, требующее корректировки зависимостей у других пакетов, которое приводит к временному удалению пакетов из Testing). 12 февраля состоялась мягкая заморозка … Читать далее Debian 10 "Buster" перешёл на стадию полной заморозки перед релизом

В пакетном менеджере pacman, применяемом в дистрибутиве Arch Linux, выявлена уязвимость (CVE-2019-9686), позволяющая добиться выполнения кода с правами root в момент установки пакета, в случае контроля атакующим за за зеркалом репозитория или транзитным трафиком жертвы (например, при подключении пользователя через сетевой шлюз, VPN или беспроводную точку доступа, подконтрольные атакующему). Проблема устранена в обновлении pacman 5.1.3-1. Уязвимость напоминает недавно выявленную проблему в пакетном менеджере APT и также связана с возможностью подмены определённых полей в HTTP-ответах. В Arch Linux, как и большинстве других дистрибутивов, обращение к репозиториям может осуществляться по HTTP без шифрования трафика, но с применением верификация целостности и источника пакета … Читать далее Уязвимость в пакетном менеджере pacman, позволяющая выполнить код в ходе MITM-атаки

Доступен новый выпуск WineVDM, слоя совместимости, позволяющего запускать 16-разрядные приложения (Windows 1.x, 2.x, 3.x) на 64-разрядных версиях Windows. В своей работе WineVDM использует наработки проекта Wine. Код проекта распространяется под лицензией GPLv2. Для загрузки доступны сборки стабильной версии (0.7) и master-ветки (рекомендуется). WineVDM транслирует вызовы программ, написанных для Win16, в вызовы Win32. Поддерживается возможность ассоциации запускаемых программ с WineVDM, а также работа инсталляторов, что делает работу с 16-разрядными программами для пользователя неотличимой от работы с 32-разрядными. В новой версии можно отметить следующие улучшения: Исправления в системе диалогов: Civilization I теперь идёт без каких-либо проблем (раньше были проблемы с памятью); Поддержка … Читать далее Вышел WineVDM 0.7

Компания Mozilla запустила новый сервис Firefox Send, предоставляющий средства для обмена файлами между пользователями с применением оконечного шифрования (end-to-end). Изначально данный сервис проходил тестирование в рамках программы Test Pilot ещё в 2017 году, а теперь признан готовым для повсеместного использования. Firefox Send позволяет загрузить в хранилище на серверах Mozilla файл, размером до 1 Гб в анонимном режиме и 2.5 Гб при создании зарегистрированной учётной записи. На стороне браузера файл шифруется и передаётся на сервер уже в зашифрованном виде. После загрузки файла пользователю предоставляется ссылка, которая генерируется на стороне браузера и включает идентификатор и ключ для расшифровки. При помощи предоставленной ссылки … Читать далее Компания Mozilla ввела в строй сервис обмена файлами Firefox Send

Состоялся релиз системы фильтрации спама Rspamd 1.9, предоставляющей средства для оценки сообщений по различным критериям, включая правила, статистические методы и чёрные списки, на основе которых формируется итоговый вес сообщения, используемый для принятия решения о необходимости блокировки. Rspamd поддерживает практически все возможности, реализованные в SpamAssassin, и имеет ряд особенностей, позволяющих фильтровать почту в среднем в 10 раз быстрее, чем SpamAssassin, а также обеспечивать лучшее качество фильтрации. Код системы написан на языке Си и распространяется под лицензией Apache 2.0. Rspamd построен с использованием событийно-ориентированной архитектуры (Event-driven) и изначально рассчитан на применение в высоконагруженных системах, позволяя обрабатывать сотни сообщений в секунду. Правила для … Читать далее Доступна система фильтрации спама Rspamd 1.9

Под крылом некоммерческой организации Linux Foundation образован новый проект CHIPS Alliance (Common Hardware for Interfaces, Processors and Systems), нацеленный на продвижение открытых аппаратных систем и развитие решений на базе архитектуры RISC-V. Учредителями проекта выступили компании Google, SiFive, Western Digital и Esperanto Technologies. CHIPS Alliance позиционируется как нейтральная и независимая площадка, на которой различные производители оборудования могут совместно развивать проекты по созданию готовых реализаций открытых CPU и одночиповых систем (SoC), использующих архитектуру RISC-V. Если организация RISC-V Foundation занимается только архитектурой набора команд, но не касается конкретных реализаций, то задачей CHIPS Alliance является подготовка стандартного открытого дизайна чипов для мобильных устройств, вычислительных … Читать далее Google, SiFive и WD основали альянс для продвижения открытых чипов и SoC

Компания NGINX объявила о заключении сделки по продаже своего бизнеса компании F5 Networks, специализирующейся на предоставлении облачных приложений и сетей доставки приложений (ADN). Сумма сделки составит 670 млн долларов. F5 Networks продолжит развитие открытого проекта NGINX и поддержку сформировавшегося вокруг него сообщества. Игорь Сысоев и Максим Коновалов останутся в числе технических руководителей проекта NGINX. Развитие продуктов NGINX будет продолжено под теми же брендами. После завершения сделки компания F5 Networks намерена инвестировать дополнительные средства в развитие продуктов NGINX и интегрировать в них поддержку собственных технологий для управления микросервисами и обеспечения безопасности работы приложений на базе архитектуры Cloud-Native. Концепция микросервисов подразумевает разбиение … Читать далее Компания F5 Networks поглотила NGINX за 670 млн долларов

Компания Microsoft объявила о портировании системы динамической отладки DTrace для платформы Windows. Подготовленные в рамках проделанной работы изменения, за исключением драйвера ядра, размещены в форме отдельной ветки в репозитории проекта OpenDTrace, нацеленного на создание переносимой реализации DTrace, способной работать в различных операционных системах. В течение нескольких месяцев планируется добиться включения кода в основной состав OpenDTrace. Поддержка DTrace в Windows 10 доступна начиная с экспериментальной сборки 18342. Для включения следует активировать опцию dtrace («bcdedit /set dtrace on») и установить специально подготовленный msi-пакет. Для отладки событий в ядре Windows дополнительно требуется настройка режима удалённой отладки. Управление осуществляется при помощи штатной команды dtrace. … Читать далее Microsoft портировал DTrace для Windows

Комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, завершил формирование RFC для протокола ACME (Automatic Certificate Management Environment) и опубликовал связанную с ним спецификацию под идентификатором RFC 8555. RFC получил статус «Предложенного стандарта», после чего начнётся работа по приданию RFC статуса чернового стандарта (Draft Standard), фактически означающего полную стабилизацию протокола и учёт всех высказанных замечаний. Протокол ACME применяется для организации взаимодействия удостоверяющего центра и web-сервера, например, для автоматизации получения и обслуживания сертификатов. Запросы передаются в формате JSON поверх HTTPS. Стандартизирована вторая версия протокола ACMEv2, обеспечивающая поддержку масок в сертификатах, предоставляющая усовершенствованный механизм авторизации, поддерживающий операции переименования … Читать далее Разработанный проектом Let’s Encrypt протокол ACME утверждён в качестве интернет-стандарта

Представлен первый стабильный релиз композитного менеджера Sway 1.0, построенного с использованием протокола Wayland и полностью совместимого с мозаичным оконным менеджером i3 и панелью i3bar. Код проекта написан на языке Си и распространяется под лицензией MIT. Проект нацелен на использование в Linux и FreeBSD. Совместимость с i3 обеспечена на уровне команд, файлов конфигурации и IPC, что позволяет использовать Sway в качестве прозрачной замены i3, использующей Wayland вместо X11. Sway позволяет размещать окна на экране не пространственно, а логически. Окна располагаются, образуя сетку, оптимально использующую экранное пространство и позволяющую быстро манипулировать окнами только при помощи клавиатуры. Среди расширенных возможностей, появившихся в новой … Читать далее Выпуск пользовательского окружения Sway 1.0, использующего Wayland

После более чем 4 месяцев разработки представлен выпуск платформы для построения децентрализованных социальных сетей Hubzilla 4.0. Hubzilla предоставляет коммуникационный сервер, интегрируемый с системами web-публикации, снабжённый прозрачной системой идентификации и средствами управления доступом в децентрализованных сетях Fediverse. Код проекта написан на PHP и Javascript и распространяется под лицензией MIT. Hubzilla поддерживает единую систему аутентификации для работы в качестве социальной сети, форумов, дискуссионных групп, Wiki, систем для публикации статей и веб-сайтов. Также реализовано хранилище данных с поддержкой WebDAV и работа с событиями с поддержкой CalDAV. Распределённая система управления доступом на базе «Nomadic Identity» позволяет обеспечить единый уровень доступа к любой публикации на … Читать далее Релиз децентрализованной коммуникационной платформы Hubzilla 4.0

Некоммерческая организация SPI (Software in the Public Interest), курирующей приём пожертвований и юридические вопросы (торговые марки, владение активами и т.п.) для таких проектов, как Debian, Arch Linux, X.Org, systemd, 0.A.D, PostgreSQL, FFmpeg, freedesktop.org, OpenWrt и OpenEmbedded, опубликовала отчёт (PDF) с финансовыми показателями за 2018 год. Общий размер собранных средств составил 1.4 млн долларов. Некоторые из получивших пожертвования проектов (сумма в долларах): Debian 337196 (+ 150 тысяч на DebConf) Arch Linux 294268 systemd 190004 FFmpeg 105606 ArduPilot 40465 X.Org 39981 PostgreSQL 30961 OpenZFS 22168 LibreOffice 16786 Jenkins 6202 0 A.D. 3190 OpenWrt 2368 NTPsec 674 OpenEmbedded 313 freedesktop.org 203 Open MPI … Читать далее Отчёт SPI о пожертвованиях Debian, X.Org, systemd, FFmpeg, OpenWrt и другим проектам

Доступна стабильная версия набора базовых системных утилит GNU Coreutils 8.31, в состав которого входят такие программы, как sort, cat, chmod, chown, chroot, cp, date, dd, echo, hostname, id, ln, ls и т.д. Основные новшества: В утилиту «id» добавлена возможность отображения идентификаторов сразу для нескольких пользователей; В утилиту «date» добавлен флаг ‘+’ для преобразования формата времени в соответствии с POSIX.1-2017; В утилитах printf, seq, sleep, tail и timeout появилась возможность указания чисел с плавающей точкой в соответствии с форматом, определённым как текущей локалью, так и локалью «C». Например, теперь можно указывать как ‘sleep 0,1’, так и ‘sleep 0.1’; В утилиту «test» … Читать далее Выпуск набора базовых системных утилит GNU Coreutils 8.31

Компания Google анонсировала программу «Season of Docs«, похожую на «Summer of Code«, но нацеленную на подготовку документации для открытых проектов. Для участия в программе приглашаются технические писатели, которые совместно с кураторами из открытых проектов попытаются улучшить положение дел с документацией. В случае успешного завершения проекта участники получат вознаграждение, размером от 2400 до 6600 долларов, в зависимости от покупательной способности в стране, где проживает участник. Куратор из открытого проекта получит 500 долларов. Со 2 по 23 апреля будут приниматься заявки на проведение работ от открытых проектов, после чего 30 апреля будет подготовлен список участвующих в программе проектов и их заданий. С … Читать далее Google представил инициативу по стимулированию написания документации для СПО