Представлен релиз PacketFence 8.2, свободной системы для управления доступом к сети (NAC), которая может использоваться для организации централизованного доступа и эффективной защиты сетей любого размера. Код системы написан на языке Perl и распространяется под лицензией GPLv2. Установочные пакеты подготовлены для RHEL 7 и Debian 8. PacketFence поддерживает обеспечение централизованного входа пользователей в сеть по проводным и беспроводным каналам с возможностью активации через web-интерфейс (captive portal). Поддерживается интеграция с внешними базами пользователей через LDAP и ActiveDirectory, возможна блокировка нежелательных устройств (например, запрет на подключение мобильных устройств или точек доступа), проверка трафика на вирусы, выявление вторжений (интеграция со Snort), аудит конфигурации и … Читать далее Релиз системы управления доступом к сети PacketFence 8.2

В WooCommerce, плагине к системе управления контентом WordPress, позволяющем создавать площадки для продажи товаров, выявлена уязвимость, позволяющая выполнить код на сервере и получить полный контроль за сайтом. WooCommerce насчитывает более 4 млн установок и по статистике разработчиков используется для обеспечения работы около 30% всех интернет-магазинов в сети. Проблема устранена в выпуске WooCommerce 3.4.6. Для эксплуатации уязвимости необходимо наличие прав менеджера торговой площадки. Отправив определённым образом оформленный запрос можно удалить произвольные файлы на сервере, насколько это позволяют полномочия, под которыми выполняется WordPress. Например, в ходе атаки можно удалить файл wp-config.php и инициировать процесс установки нового экземпляра WordPress. В ходе атаки злонамеренный … Читать далее Уязвимость в платформе для создания интернет-магазинов WooCommerce

Компания Oracle опубликовала релиз промышленного дистрибутива Oracle Linux 7.6, созданного на основе пакетной базы Red Hat Enterprise Linux 7.6. Для загрузки без ограничений, но после бесплатной регистрации, распространяется установочный iso-образ, размером 4.7 Гб, подготовленный для архитектур x86_64 и ARM64 (aarch64). Для Oracle Linux также открыт неограниченный и бесплатный доступ к yum-репозиторию с бинарными обновлениями пакетов с устранением ошибок (errata) и проблем безопасности. Помимо пакета с ядром из состава RHEL в Oracle Linux поставляется выпущенное летом ядро Unbreakable Enterprise Kernel 5 (4.14.35-1818.3.3), которое предложено по умолчанию. Исходные тексты ядра, включая разбивку на отдельные патчи, доступны в публичном Git-репозитории Oracle. Ядро позиционируется … Читать далее Доступен дистрибутив Oracle Linux 7.6

Компания Mozilla тестирует возможность сохранения файлов в облачных хранилищах. Поддерживается как сохранение загрузок в облачных хранилищах, так и перемещение ранее сохранённых в локальной ФС файлов в облачные хранилища. В настоящее время обеспечена поддержка сервисов Dropbox и Google Drive, но в будущем возможно расширение списка доступных облачных хранилищ. В ходе тестирования новая возможность предложена 1% пользователей Firefox 60 и более новых выпусков, у которых установлена локаль en-US. Выбранным для тестирования пользователям выводится диалог с предложением установить системное дополнение с реализацией новой функции. Пользователь вправе согласиться или отказаться от участия в эксперименте. Целью эксперимента является оценка востребованности функции сохранения в облачные хранилища … Читать далее В Firefox тестируют поддержку сохранения в облачные хранилища

К инициативе по увеличению предсказуемости процесса лицензирования открытого ПО присоединилось ещё 16 компаний, который согласились применить для своих открытых проектов более мягкие условия отзыва лицензии, предоставляющие время на устранение выявленных нарушений. Предлагаемое в рамках инициативы соглашение GPL Cooperation Commitment подписали компании Adobe, Alibaba, Amadeus, Ant Financial, Atlassian, Atos, ATT, Bandwidth, Etsy, GitHub, Hitachi, NVIDIA, Oath, Renesas, Tencent и Twitter. Утверждённые условия применяются для кода под лицензиями GPLv2, LGPLv2 и LGPLv2.1 и полностью соответствуют условиям, принятым осенью прошлого года разработчиками ядра Linux и компаниями Red Hat, Facebook, Google и IBM, к которым затем присоединились Microsoft, Cisco, HPE, SAP, SUSE, Amazon, Arm, … Читать далее Adobe, AT&T, GitHub, NVIDIA и Twitter изменили условия расторжения лицензии для GPLv2-кода

В анонсированных на прошлой неделе новых моделях компьютеров и ноутбуков iMac Pro, Mac mini, MacBook Pro и MacBook Air для обеспечения безопасности компания Apple задействовала специализированный чип T2, который тесно интегрирован с различными контроллерами, включая System Management Controller и контроллер SSD-накопителей. На оборудовании с чипом T2 может загружаться и функционировать только программное обеспечение, заверенное цифровой подписью Apple, что привело к невозможности установить Linux на подобные устройства. Чип предоставляет полностью отделённое от основной системы анклав-окружение, в котором выполняются операции, связанные с обеспечением безопасности и шифрованием. Например, на стороне T2 выполняются операции шифрования данных в хранилище, верификации процесса загрузки, распознавания отпечатков пальцев … Читать далее Пользователи столкнулись с невозможностью установить Linux на новые iMac и MacBook

Представлен релиз Zulip 1.9, серверной платформы для развёртывания корпоративных мессенджеров, подходящих для организации общения сотрудников и групп разработчиков. Проект изначально был разработан компанией Zulip и открыт после её поглощения компанией Dropbox под лицензией Apache 2.0. Код серверной части написан на языке Python с использованием фреймворка Django. Клиентское ПО доступно для Linux, Windows, macOS, Android и iOS, также предоставляется встроенный web-интерфейс. Система поддерживает как прямой обмен сообщениями между двумя людьми, так и проведение групповых обсуждений. Zulip можно сравнить с сервисом Slack и рассматривать как внутрикорпоративный аналог Twitter, применяемый для общения и обсуждений рабочих вопросов в больших группах сотрудников. Предоставляются средства для … Читать далее Выпуск платформы обмена сообщениями Zulip 1.9

Сергей Зеленюк раскрыл детальную информацию об ещё не исправленной (0-day) критической уязвимости в системе виртуализации VirtualBox, позволяющей обойти механизм изоляции гостевых систем и выполнить код на стороне хост-окружения. Для демонстрации уязвимости подготовлен рабочий прототип эксплоита. Для атаки требуется наличие прав root или администратора в гостевой системе. Проблема проявляется в конфигурации по умолчанию с сетевым адаптером E1000 при применении трансляции адресов (NAT) для организации сетевого взаимодействия. Проблема вызвана переполнением буфера в коде эмуляции сетевого адаптера E1000 (Intel PRO/1000 MT Desktop). Практическая атака, использующая данное переполнение буфера, разделена на несколько этапов: через манипуляцией с Tx-дескрипторами пакета (структура с информацией о пакете), создаются … Читать далее Уязвимость в VirtualBox, позволяющая выполнить код на стороне хост-системы

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 4.1. Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2. Основные изменения: Добавлена поддержка разбора и ведения лога для протоколов SMBv1/2/3, NFSv4, Kerberos, DHCP и IKEv2. Для FTP реализована возможность извлечения передаваемых файлов. Для TFTP предложена поддержка ведения … Читать далее Доступна система обнаружения атак Suricata 4.1

Опубликованы новые выпуски основной и стабильной веток высокопроизводительного HTTP-сервера nginx — 1.14.1 и 1.15.6, в которых устранены три уязвимости: CVE-2018-16845 — ошибка в модуле ngx_http_mp4_module (не собирается по умолчанию) может привести к краху рабочего процесса или отправке в составе ответа содержимого областей памяти рабочего процесса при обработке специально оформленных файлов mp4; CVE-2018-16843 — DoS-уявзимость в реализации протокола HTTP/2, которая может привести к исчерпанию доступной процессу памяти. Проблема проявляется только при использовании модуля ngx_http_v2_module и указании опции «http2» в блоке «listen»; CVE-2018-16844 — DoS-уявзимость в реализации протокола HTTP/2, которая может привести к утилизации доступных ресурсов CPU. В выпуске 1.15.6 дополнительно добавлены … Читать далее Обновление nginx 1.14.1 и 1.15.6 с устранением трёх уязвимостей

Зафиксирован взлом популярного сервиса web-аналитики StatCounter, JavaScript-код со счётчиком которого размещён на более чем двух миллионах сайтах, а число загрузок составляет около 10 миллиардов страниц в месяц. По данным компании ESET взлом выполнен для совершения целевой атаки на биржу криптовалют gate.io, на страницах которой размещён код счётчика StatCounter. После взлома злоумышленники добавили в код счётчика несколько дополнительных строк, которые перехватывают информацию о всех транзакциях с криптовалютой Bitcoin в web-интерфейсе Gate.io. Вредоносный код активируется только для страниц, содержащих в URL маску «myaccount/withdraw/BTC», которая специфична для сайта Gate.io и используется на странице перевода средств. При совпадении маски осуществляется загрузка дополнительного скрипта https://www.statconuter.com/c.php … Читать далее Атака на биржу криптовалюты через взлом счётчика StatCounter

Группа исследователей из Университета Неймегена (Нидерланды) в ходе проведения обратного инжиниринга начинки некоторых моделей самошифруемых SSD-накопителей выявила фундаментальную недоработку, позволяющую получить доступ к зашифрованным данным. Пользователям рекомендовано не доверять встроенным в SSD-накопители аппаратным механизмам шифрования, а использовать полностью программные реализации, такие как VeraCrypt. Суть проблемы в некорректной организации шифрования, позволяющей расшифровать данные без знания заданного пользователем пароля. Оказалось, что реализуемые в накопителях схемы шифрования не соответствуют стандарту TCG Opal и задаваемый пользователем пароль никак не используется для генерации или защиты DEK-ключа (Data Encryption Key), непосредственного применяемого для шифрования. Несмотря на то, что задаваемый пользователем пароль позиционируется как пароль для шифрования, … Читать далее Уязвимость, предоставляющая доступ к данным на самошифруемых SSD-накопителях

Представлен релиз операционной системы ReactOS 0.4.10, нацеленной на обеспечение совместимости с программами и драйверами Microsoft Windows. Это восьмой выпуск, подготовленный после перехода проекта к более оперативному формированию релизов, которые теперь выходят не раз в год, а раз в три месяца. Операционная система находится на «альфа»-стадии разработки. Для загрузки подготовлены установочный ISO-образ (112 Мб) и Live-сборка (в zip-архиве 79 Мб). Код проекта распространяется под лицензиями GPLv2 и LGPLv2. Ключевые изменения: Реализована возможность загрузки с дискового раздела с файловой системой Btrfs. Если в самой ОС поддержка Btrfs на базе свободного драйвера WinBtrfs была добавлена ещё в прошлом году (также поддерживаются NTFS, FAT, … Читать далее Релиз операционной системы ReactOS 0.4.10

После шести месяцев разработки доступен мультимедиа-пакет FFmpeg 4.1, включающий набор приложений и коллекцию библиотек для операций над различными мультимедиа-форматами (запись, преобразование и декодирование звуковых и видеоформатов). Пакет распространяется под лицензиями LGPL и GPL, разработка FFmpeg ведётся смежно с проектом MPlayer. Из изменений, добавленных в FFmpeg 4.1, можно выделить: Добавлена возможность использования формата кодирования видео AV1 в контейнерах MP4 и реализован парсер для AV1. AV1 разработан альянсом Open Media (AOMedia) и позиционируется как общедоступный и не требующий оплаты отчислений свободный формат кодирования видео, который заметно опережает H.264 и VP9 по уровню сжатия; Добавлена поддержка реализации TLS на базе библиотеки mbedTLS; Новые … Читать далее Выпуск мультимедиа-пакета FFmpeg 4.1

После шести месяцев разработки сформирован релиз пользовательского окружения Cinnamon 4.0, в рамках которого сообществом разработчиков дистрибутива Linux Mint развивается форк оболочки GNOME Shell, файлового менеджера Nautilus и оконного менеджера Mutter, нацеленный на предоставление окружения в классическом стиле GNOME 2 c поддержкой удачных элементов взаимодействия из GNOME Shell. Cinnamon основывается на компонентах GNOME, но эти компоненты поставляются как периодически синхронизируемый форк, не связанный внешними зависимостями с GNOME. Выпуск 4.0 не является кардинальным, а продолжает традицию использования четных десятичных цифр для нумерацию стабильных версий (3.6, 3.8, 4.0 и т.п.). Новый выпуск Cinnamon будет предложен в дистрибутиве Linux Mint 19.1, который планируется выпустить … Читать далее Выпуск десктоп-окружения Cinnamon 4.0

Компания Google сообщила о скором включении блокировки вредоносных или вводящих пользователя в заблуждение рекламных блоков. Начиная с выпуска Chrome 71, намеченного на декабрь, в случае выявления на сайте мошеннической рекламы, Chrome будет блокировать всю рекламу на данных сайтах. Для проверки сайта на наличие подобной рекламы и устранения возникших проблем предложен специальный инструмент для web-мастеров — Ad Experience Report. В качестве примеров недопустимой рекламы приводятся: Перекрывающие контент рекламные блоки с фиктивными кнопками закрытия (например, вместо закрытия открывается ссылка или отображаются всплывающие окна с другой рекламой); Блоки в которых обманным путём стимулируются клики (например, реклама камуфлируется под системные диалоги, предупреждения или уведомления); … Читать далее В Chrome 71 начнётся блокировка вводящих в заблуждение рекламных блоков

Состоялся релиз мозаичного (тайлового) оконного менеджера i3wm 4.16. Проект i3wm был создан с нуля после серии попыток устранить недостатки оконного менеджера wmii. I3wm отличается хорошо читаемым и документированным кодом, использует xcb вместо Xlib, корректно поддерживает работу в многомониторных конфигурациях, использует древовидные структуры данных для позиционирования окон, предоставляет IPC-интерфейс, поддерживает UTF-8, сохраняет минималистичность в оформлении окон. Код проекта распространяется под лицензией BSD. В новом выпуске: Расширена документация. Реализована команда IPC для синхронизации с i3bar, в i3bar-protocol добавлены модификаторы для отправки событий со стороны i3bar. В dump-asy добавлены флаги «-gv» и «-save» для отключения открытия ghostview и для сохранения в файл результата … Читать далее Доступен оконный менеджер i3wm 4.16

Опубликован выпуск Icecast 2.4.4, сервера для организации потокового вещания звука и видео по сети. В новой версии устранена опасная уязвимость (CVE-2018-18820), вызванная переполнением буфера в коде аутентификации по URL. Уязвимость потенциально может привести к выполнению кода злоумышленника при отправке на сервер HTTP-запроса со специально оформленными слишком длинными HTTP-заголовками. Проблема присутствует во всех выпусках ветки 2.4.x и проявляется при включении аутентификации по URL («authentication type=url») в секции «mount» (не применяется по умолчанию). Читать далее Выпуск сервера потокового вещания Icecast 2.4.4 с устранением уязвимостей

Доступен релиз распределённой системы управления версиями Mercurial 4.8. Код Mercurial написан на языке Python (требующие высокой производительности части оформлены в виде модулей на Си) и распространяется под лицензией GPLv2+. Среди проектов, использующих Mercurial, можно выделить следующие: Mozilla, OpenOffice.org, OpenSolaris, NetBeans, OpenJDK, Nginx, Xine и W3C. Основные изменения: Стабилизирована реализация шаблонов форматирования, которые можно применять для настройки формата вывода любых команд, в том числе для применения JSON и XML для вывода; Реализовано расширение «closehead» для закрытия произвольных веток без выполнения операции checkout; Добавлена новая настройка commands.resolve.mark-check для вывода предупреждения или ошибки при выполнении операции «—mark» при наличии конфликтующих файлов; Добавлена новая … Читать далее Выпуск распределённой системы управления версиями Mercurial 4.8

После трёх месяцев разработки опубликован выпуск фонового процесса earlyoom 1.2, который периодически проверяет объем доступной памяти (MemAvailable, SwapFree) и пытается на ранней стадии отреагировать на возникновения нехватки памяти. Если объём доступной памяти меньше заданного значения, то earlyoom принудительно (через отправку SIGTERM или SIGKILL) завершит работу процесса, наиболее активно потребляющего память (имеющего самое большое значение /proc/*/oom_score), не доводя состояние системы до очистки системных буферов и мешающего работе своппинга (обработчик OOM (Out Of Memory) в ядре срабатывает когда состояние нехватки памяти уже достигло критичных значений и обычно к этому моменту система уже не реагирует на действия пользователя). Earlyoom поддерживает отправку уведомлений о … Читать далее Выпуск earlyoom 1.2, процесса для раннего реагирования на нехватку памяти

Доступен третий бета-выпуск FreeBSD 12.0. Выпуск FreeBSD 12.0-BETA3 доступен для архитектур amd64, i386, powerpc, powerpc64, powerpcspe, sparc64 и armv6, armv7 и aarch64. Дополнительно подготовлены образы для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2. Релиз FreeBSD 12.0 запланирован на 4 декабря. По сравнению со вторым бета-выпуском во FreeBSD 12.0-BETA3 представлены следующие изменения: Для архитектуры powerpcspe реализована обработка исключений SPE (Signal Processing Engine); В утилиту localedef добавлены опции ‘-b’ и ‘-l’ для определения порядка следования байт в выводе. Утилита localedef теперь используется при сборке share/ctypedef и share/colldef; Обновлён драйвер uplcom, в котором появилась возможность назначения произвольной скорости передачи … Читать далее Третий бета-выпуск FreeBSD 12.0