Доступен релиз свободного антивирусного пакета ClamAV 0.100.1, в котором устранены уязвимости: CVE-2017-16932 — отказ в обслуживании (зацикленная рекурсия при обработке определённых XML-блоков ) в поставляемой в комплекте библиотеке libxml2, которая применяется только в сборках для платформы Windows (для Linux используются внешние зависимости); CVE-2018-0360 — целочисленное переполнение, которое можно использовать для вызова бесконечного зацикливания; CVE-2018-0361 — ошибка в коде проверки размера PDF-объектов, может привести к слишком длительной обработке специально оформленных мелких PDF-файлов; Чтение из области за пределами буфера в коде unRAR и Libmspack (используется при разборе файлов CHM); Серия ошибок в парсере PDF, связанных с отсутствием должных проверок размера буфера при … Читать далее Выпуск свободного антивирусного пакета ClamAV 0.100.1 с устранением уязвимостей

Опубликован корректирующий выпуск системы управления web-контентом WordPress 4.9.7, в котором устранены две уязвимости, при помощи которых можно удалить произвольные файлы на сервере, насколько позволяют права доступа пользователя, под которым выполняется WordPress. Например, в ходе атаки можно удалить файл wp-config.php и инициировать процесс установки нового экземпляра WordPress при следующем открытии сайта, в ходе которой атакующий может завести новый аккаунт администратора WordPress, при помощи которого можно запустить произвольный PHP-код на сервере. Для эксплуатации обеих уязвимостей атакующий должен иметь привилегии автора публикаций (Author) в WordPress. Уязвимости вызваны передачей в функцию unlink() имени файла, сформированного на основе переданных пользователем внешних параметров, не очищенных должным … Читать далее В WordPress 4.9.7 устранены уязвимости, позволяющие удалять файлы в системе

Опубликован релиз системы кеширования данных в оперативной памяти Memcached 1.5.9, оперирующей данными в формате ключ/значение и отличающейся простотой использования. Memcached обычно применяется как легковесное решение для ускорения работы высоконагруженных сайтов путём кэширование доступа к СУБД и промежуточным данным. Код поставляется под лицензией BSD. В новом выпуске добавлена опция «-L», включающая использование на платформе Linux больших страниц памяти (transparent hugepages), позволяющих снизить число используемых TLB-блоков (Translation Lookaside Buffer). В разряд экспериментальных переведена изоляция системных вызовов при помощи механизма seccomp (—enable-seccomp), а также отключен по умолчанию режим сброса привилегий из-за поступления жалоб о возникновении проблем (для включения следует явно указывать опцию «-o … Читать далее Релиз Memcached 1.5.9

Дэн Мэкниш (Dan Macnish), инженер и дизайнер, представил проект Draw This, в рамках которого из подручных деталей подготовлена фотокамера, напоминающая полароид, но печатающая фотографии в виде комиксов с интерпретацией окружающей действительности. Например, сфотографировав двух людей на выходе будет распечатано два мультяшных персонажа. Проект демонстрирует переход современных средств машинного обучения из категории разработок, развиваемых узким кругом исследователей, в форму широкодоступных инструментов, позволяющих любым желающим воплощать свои идеи и создавать готовые прототипы устройств. Программная начинка проекта написана на языке Python и распространяется под лицензией MIT. Аппаратная часть включает плату Raspberry Pi 3 с модулем камеры и типовой термопринтер для печати чеков, а … Читать далее Концепт камеры для печати фотографии в виде комиксов

После пяти месяцев разработки опубликован выпуск фонового процесса earlyoom 1.1, который периодически (10 раз в секунду) проверяет объем доступной памяти (MemAvailable, SwapFree) и пытается на ранней стадии отреагировать на возникновения нехватки памяти. Если объём доступной памяти меньше заданного значения, то earlyoom принудительно (через отправку SIGKILL) завершит работу процесса, наиболее активно потребляющего память (имеющего самое большое значение /proc/*/oom_score), не доводя состояние системы до очистки системных буферов и мешающего работе своппинга (обработчик OOM (Out Of Memory) в ядре срабатывает когда состояние нехватки памяти уже достигло критичных значений и обычно к этому моменту системе уже не реагирует на действия пользователя). Earlyoom поддерживает отправку … Читать далее Выпуск earlyoom 1.1, процесса для раннего реагирования на нехватку памяти

Марек Майковски (Marek Majkowski), разработчик ядра Linux, работающий в компании CloudFlare, опубликовал результаты оценки производительности различных решений на базе ядра Linux для отбрасывания огромного числа пакетов, поступающих в ходе DDoS-атаки. Наиболее высокопроизводительный метод позволил отбрасывать потоки запросов, поступающие с интенсивностью 10 млн пакетов в секунду. Наибольшей производительности удалось добиться при использовании подсистемы eBPF, представляющей встроенный в ядро Linux интерпретатор байткода, позволяющий создавать высокопроизводительные обработчики входящих/исходящих пакетов с принятием решений об их перенаправлении или отбрасывании. Благодаря применению JIT-компиляции, байткод eBPF на лету транслируется в машинные инструкции и выполняется с производительностью нативного кода. Для блокировки использовался вызов XDP_DROP, предоставляемый подсистемой XDP (eXpress … Читать далее Эксперимент по настройке Linux для блокирования 10 млн пакетов в секунду

Доступен выпуск srsLTE 18.06, открытого стека для развёртывания компонентов сотовых сетей LTE/4G без наличия спецоборудования, используя только универсальные программируемые приёмо-передатчики, форма сигнала и модуляция которых задаётся программно (SDR, Software Defined Radio). Код проекта поставляется под лицензией AGPLv3. Компоненты стека: srsUE — полная реализация LTE UE (User Equipment), определяющая компоненты на стороне пользователя, необходимые для подключения абонента к сети LTE. Среди возможностей отмечается реализация всех уровней от PHY до IP, функции поиска базовой станции, процедура синхронизации, аутентификация через программный USIM с использованием алгоритмов Milenage и XOR, поддержка карт USIM с подключением при помощи инструментария PCSC, создание виртуального сетевого интерйфейса tun_srsue. Реализация … Читать далее Выпуск открытого 4G-стека srsLTE 18.06

Группа исследователей из проекта ReCon, предоставляющего инструменты для анализа мобильного трафика для выявления возможных утечек данных, представила результаты (PDF) изучения 17260 приложений для платформы Android, представленных в каталогах Google Play, App China, Mi.com и Anzhi. Целью проверки была общая оценка отношения к приватности, анализ запрашиваемых расширенных полномочий и фиксация манипуляций с конфиденциальной аудио- и видеоинформацией, полученной с микрофона, экрана и камеры пользователя. В ходе исследования также было проанализировано наличие скрытых нарушений конфиденциальности, таких как передача информации через создание скриншотов, организацию прослушивания через включение микрофона и нецелевое включение камеры для скрытой видеозаписи. В итоге, исследователи не выявили явных шпионящих или вредоносных … Читать далее Анализ несанкционированной записи звука и видео в Android-приложениях

Проект GNU опубликовал пакетный менеджер GNU Guix 0.15 и построенного на его основе дистрибутива GNU/Linux — GuixSD (Guix System Distribution). Допускается установка как в качестве обособленной ОС в системах виртуализации и на обычном оборудовании, так и запуск в уже установленных типовых окружениях GNU/Linux. Для загрузки сформированы образы для установки на USB Flash и использования в QEMU (190 Мб). Поддерживается работа на архитектурах i686, x86_64, armv7, aarch64 и mips64el. Пакетный менеджер GNU Guix основан на наработках проекта Nix и кроме типичных функций управления пакетами поддерживает такие возможности, как выполнение транзакционных обновлений, возможность отката обновлений, работа без получения привилегий суперпользователя, поддержка привязанных … Читать далее Доступен пакетный менеджер GNU Guix 0.15 и дистрибутив GuixSD на его основе

Группа исследователей из проекта ReCon, предоставляющего инструменты для анализа мобильного трафика для выявления возможных утечек данных, представила результаты (PDF) изучения 17260 приложений для платформы Android, представленных в каталогах Google Play, App China, Mi.com и Anzhi. Целью проверки была общая оценка отношения к приватности, анализ запрашиваемых расширенных полномочий и фиксация манипуляций с конфиденциальной аудио- и видеоинформацией, полученной с микрофона, экрана и камеры пользователя. В ходе исследования также было проанализировано наличие скрытых нарушений конфиденциальности, таких как передача информации через создание скриншотов, организацию прослушивания через включение микрофона и нецелевое включение камеры для скрытой видеозаписи. В итоге, исследователи не выявили явных шпионящих или вредоносных … Читать далее Анализ несанкционированной записи звука и видео в Android приложениях

Доступен релиз видеоредактора Shotcut 18.07, который развивается автором проекта MLT и использует данный фреймворк для организации редактирования видео. Поддержка форматов видео и звука реализована через FFmpeg. Возможно использование плагинов с реализацией видео и аудио эффектов, совместимых с Frei0r и LADSPA. Из особенностей Shotcut можно отметить возможность многотрекового редактирования с компоновкой видео из фрагментов в различных исходных форматах, без необходимости их предварительного импортирования или перекодирования. Имеются встроенные средства для создания скринкастов, обработки изображения с web-камеры и приёма потокового видео. Для построения интерфейса применяется Qt5. Код написан на C++ и распространяется под лицензией GPLv3. В новом выпуске: Добавлено новое меню «Added View … Читать далее Релиз видеоредактора Shotcut 18.07 и бета-выпуск Kdenlive 18.08

Разработчики PSPDFKit представили новый инструментарий для измерения производительности реализации WebAssembly в различных web-браузерах, нацеленный на воспроизведение ситуаций, типичных для реальных проектов на C/C++, скомпилированных в WASM. Напомним, что WebAssembly предоставляет не зависящий от браузера универсальный низкоуровневый промежуточный код для выполнения в браузере приложений, скомпилированных из различных языков программирования. Лидером при тестировании производительности стал Firefox, который выполнил набор тестов WebAssembly в 2.4 раза быстрее, чем Chrome, в 8.7 раз быстрее Edge и в 6.4 раза быстрее Safari. В Chrome 69 ожидается рост производительности WebAssembly благодаря включению нового оптимизирующего компилятора для WebAssembly, который пока доступен только через экспериментальный флаг enable-webassembly-baseline. Тем не … Читать далее Сравнение производительности различных реализаций WebAssembly

После пяти лет существования проекта и спустя три года с момента первого выпуска традиционно ко Дню Независимости США подготовлен значительный релиз свободного оптимизирующего компилятора RPerl 4.0, позволяющего транслировать код на языке Perl 5 в представление на языке С++ с последующим преобразованием в машинный код при помощи С++-компилятора. Исходные тексты проекта распространяются под лицензиями Artistic и GPL, как и код интерпретатора Perl5. RPerl является ярким примером успешного проекта, поддерживаемого сообществом. История проекта берет начало с истории основания проекта Perl11. Решение о проекте RPerl родилось 1 января 2013 года. Создателем оптимизирующего компилятора rperl и лидером команды разработчиков является один из трёх соучредителей … Читать далее Релиз оптимизирующего компилятора Perl5-кода RPerl 4.0

Подготовлен корректирующий выпуск Firefox 61.0.1, в котором устранено несколько ошибок. Решённые проблемы: Устранена проблема, приводящая к отсутствию содержимого на странице , показываемой при открытии новой вкладки, а также в секции Home в настройках; Исправлена ошибка, при редком стечении обстоятельств приводившая к потере закладок после обновления с выпуска Firefox 60; Улучшено воспроизведение видеопотоков с Twitch при выборе уровня качества 1080p; Решена проблема с потерей фокуса ввода, в случае отображения браузером всплывающих окон; Исправлена проблема с запуском загрузки файлов без расширений на платформе Windows; Добавлена возможность загрузки файлов с FTP, при размещении ссылки на HTTP-страницах, при нажатии в контекстом меню «Save Link … Читать далее Обновление Firefox 61.0.1

Представлен новый выпуск графического редактора GIMP 2.10.4, в котором продолжено оттачивание функциональности стабильной ветки 2.10. Также сообщается о возрождении пакета gimp-data-extras, который не обновлялся более 10 лет. В gimp-data-extras вынесены скрипты Alpha-to-Logo, которые не были включены в ветку 2.10 из-за ненадлежащего качества графики (для установки скриптов достаточно скопировать файлы «.scm» из архива в каталог scripts GIMP). Кроме исправления ошибок в GIMP 2.10.4 представлено несколько новшеств: Упрощено выполнение операции выравнивания горизонта — вместо ручного выравнивания, после выполнения инструментом Measure измерения угла смещения от горизонтали не покидая данный инструмент теперь можно выровнять горизонт одним кликом на новой кнопке в разделе свойств; Реализована … Читать далее Выпуск графического редактора GIMP 2.10.4

В популярном браузерном дополнении Stylish, которое установлено на системах около 1.9 млн пользователей Chrome и 300 тысяч пользователей Firefox, выявлен код, который осуществляет отправку сведений об истории посещений. В прошлом году дополнение было продано компании SimilarWeb, специализирующейся на web-аналитике, и новый владелец добавил в дополнение код для отправки телеметрии. Изучение этого кода показало, что кроме заявленной общей обезличенной статистики на внешний сервер передаются полные URL страниц, которые посещает пользователь. Примечательно, что разработчик пытался скрыть данную особенность и передавал статистику на сервер «api.userstyles.org/tics/stats» в виде закодированного бинарного блоба. Один из пользователей заинтересовался подобной особенностью, декодировал и проанализировал состав передаваемых данных (для … Читать далее В браузерном дополнении Stylish выявлен код для отправки истории посещений

Опубликован отчёт с изложением хронологии событий, связанных с компрометацией GitHub-репозиториев проекта Gentoo, в результате которой удалось поместить в код вредоносные вставки. Злоумышленники подобрали пароль от учётной записи администратора репозитория на GitHub путём сопоставления с данными о паролях, полученных в результате утечки базы пользователей на стороннем сайте (администратор использовал похожие пароли на разных сайтах). Попытки получения доступа предпринимались начиная с апреля и только 28 июня увенчались успехом. После пяти дней блокировки доступа, целостность GitHub-репозиториев в настоящее время полностью восстановлена. Деструктивные изменения находились в GitHub-репозиториях (зеркала основных репозиториев) gentoo/gentoo, gentoo/musl и gentoo/systemd около 10 часов с вечера 28 до утра 29 июня. … Читать далее Проект Gentoo опубликовал отчёт о взломе своих репозиториев на GitHub

После трёх лет разработки представлен стабильный релиз прокси-сервера Squid 4.1, готовый для промышленного использования (выпуски 4.0.x имели статус бета-версий). После придания ветке 4.x статуса стабильной, в ней отныне будут производиться только исправления уязвимостей и проблем со стабильностью, также допускается внесение небольших оптимизаций. Разработка новых возможностей будет производиться в новой экспериментальной ветке 5.0. Пользователям прошлой стабильной ветки 3.5 рекомендуется спланировать переход на ветку 4.1. Основные новшества Squid 4: В соответствии с требованиями RFC 6176 прекращено использование устаревшей версии протокола SSLv2 при согласовании защищённых соединений. Поддержка SSLv3 пока сохранена, но объявлена устаревшей и рекомендована для отключения (tls-options=NO_SSLv3); Реализована возможность установки безопасных соединений … Читать далее Стабильный релиз прокси-сервера Squid 4

Выпущен второй кандидат в релизы NetBSD 8.0, судя по всему последний перед официальным релизом. Исправлено множество ошибок первого кандидата, продолжено тестирование мер защиты от ряда уязвимостей, например уязвимости LazyFP, проявляющейся на некоторых процессорах Intel. Новшества: Переработанный стек USB, добавлена поддержка USB3 Встроенный в ядро аудио-микшер Повторяемые сборки, позволяющие убедиться, что распространяемые бинарные файлы собраны из предоставляемых исходных текстов и не содержат скрытых изменений Полная отладочная информация для компонентов пространства пользователя (MKDEBUG) Защита памяти PaX MPROTECT (W^X) по умолчанию включена на архитектурах i386, amd64, evbarm, landisk и pmax; Рандомизация адресного пространства (ASLR) при сборке по умолчанию включена на архитектурах i386, amd64, … Читать далее Второй кандидат в релизы NetBSD 8.0

Доступно обновление почтового клиента Thunderbird 52.9.0. В новой версии устранено 28 уязвимостей, 19 из которых имеют критический уровень опасности (17 уязвимостей собрано под одним CVE-2018-5188). В новой версии также внесена дополнительная защита от атак EFAIL на систему шифрования почтовой переписки: обеспечена чистка опасных HTML-конструкций и добавлена опция mailnews.p7m_subparts_external для отключения автоматической расшифровки вложенных частей сообщения, если присутствуют незашифрованные части, которые могут потенциально использоваться для организации утечки расшифрованных данных. Из не связанных с безопасностью изменений отмечается обеспечение вывода напоминания об упаковке IMAP-папок, даже при использовании учётной записи online-сервисов. Также решены многие проблемы с пересылкой сообщений при использовании простого режима просмотра HTML. Читать далее Обновление почтового клиента Thunderbird 52.9.0

Состоялся выпуск новой основной ветки nginx 1.15.1, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.14 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей). Основные изменения: В блоке «upstream» реализована новая директива «random«, при помощи которой можно организовать балансировку нагрузки со случайным выбором сервера для проброса соединения; Увеличена производительность при исопльзовании директив «hash» и «ip_hash» вместе с директивой «zone»; Выставление параметра «reuseport» в директиве «listen» теперь приводит к установке флага SO_REUSEPORT_LB во FreeBSD 12; Решены проблемы с несрабатыванием операции HTTP/2 server push, если SSL-соединение прерывалось прокси, стоящим перед nginx; Исправлена ошибка, из-за которой директива … Читать далее Выпуск nginx 1.15.1