Волна атак на серверные системы с целью запуска на них кода для майнинга криптовалюты дошла до компании Tesla. Подобное вредоносное ПО обнаружено на серверах Tesla в облаке Amazon Web Services (AWS), на которых была развёрнута инфраструктура изолированных контейнеров на базе платформы Kubernetes. Сообщается, что атакующие получили доступ из-за наличия на одном из хостов открытого доступа к управляющей консоли Kubernetes, не защищённой паролем. Далее злоумышленники смогли извлечь на данной системе параметры доступа к принадлежащему Tesla окружению AWS и хранилищу Amazon S3, в котором в том числе размещались конфиденциальные данные, полученные в результате сбора телеметрии с автомобилей. По заявлению компании Tesla проблема … Читать далее Незащищённый хост компании Tesla был использован для майнинга криптовалюты

Разработчики Linux-дистрибутива Mageia, в рамках которого независимым сообществом энтузиастов развивается форк проекта Mandriva, сообщили о компрометации сервера идентификации проекта и утечке базы пользователей. Неизвестный атакующий смог получить доступ к LDAP-серверу Mageia (identity.mageia.org) и опубликовал хранящиеся там данные, включая имена пользователей, хэши паролей и email-адреса. В опубликованном варианте базы хеши паролей были модифицированы и приведены к одному регистру символов, что немного снижает угрозу для участников разработки Mageia. Тем не менее, исходная база находится в руках злоумышленников и не исключено распространение актуальной базы или попытки реконструкции паролей по хэшам (хэши хранились с солью). После выявления атаки все пароли были сброшены и пользователям … Читать далее Скомпрометирована инфраструктура проекта Mageia

Компания Jolla, основанная бывшими сотрудниками Nokia с целью разработки новых смартфонов, построенных на базе Linux-платформы MeeGo, представила релиз операционной системы Sailfish 2.1.4. Сборки подготовлены для устройств Jolla 1, Jolla C и Sony Xperia X, но поставляются пока только для зарегистрированных участников программы раннего доступа к прошивкам (для всех остальных доступ будет открыт позднее). Sailfish использует графический стек на базе Wayland и библиотеки Qt5, системное окружение построено на основе Mer (форк MeeGo) и пакетов Mer-дистрибутива Nemo. Пользовательская оболочка, базовые мобильные приложения, QML-компоненты построения графического интерфейса Silica, прослойка для запуска Andrоid-приложений, движок умного ввода текста и система синхронизации данных являются проприетарными, но … Читать далее Выпуск мобильной ОС Sailfish 2.1.4

Подготовлен выпуск основной ветки высокопроизводительного HTTP-сервера nginx 1.13.9, в котором реализован механизм Server Push для протокола HTTP/2. Server Push предоставляет возможность отправки ресурсов от сервера к клиенту, не дожидаясь их явного запроса (например, подобным образом можно передавать файлы CSS, скрипты и изображения, которые необходимы для отрисовки страницы). Для отправки push-запросов используется уже установленное клиентом соединение. Т.е. клиент подключается и запрашивает определённую страницу, после этого сервер на основании своих настроек или содержимого переданного клиентом заголовка Link сам инициирует передачу определённых ресурсов через уже установленное соединение HTTP/2, не дожидаясь запроса этих ресурсов от клиента. При этом клиент может отвергнуть попытку push-отправки, вернув … Читать далее Выпуск nginx 1.13.9 c поддержкой технологии HTTP/2 Server Push

Разработчики FreeBSD интегрировали в ветку 11-STABLE набор патчей, блокирующих проведение атак Spectre и Meltdown. Защита от Meltdown базируется на уже опробованной в других ОС технике PTI (Page Table Isolation), основанной на разделении таблиц страниц памяти ядра и пространства пользователя при переключении контекста во время системного вызова. Патч также включает оптимизации при помощи инструкции PCID, позволяющие снизить негативное влияние на производительность при включении PTI. Защита от второго варианта атаки Spectre основана на использования новой инструкции IBRS (Indirect Branch Restricted Speculation), представленной компанией Intel в недавнем обновлении микрокода. IBRS позволяет во время работы в зависимости от ситуации разрешать и запрещать спекулятивное выполнение … Читать далее Для FreeBSD и QEMU/KVM реализованы механизмы блокировки атак Spectre и Meltdown

После четырёх месяцев разработки подготовлен релиз мультимедиа проигрывателя SMPlayer 18.2.2, выполненного в форме графической надстройки над MPlayer или MPV. SMPlayer отличается легковесным интерфейсом с возможностью смены тем оформления, поддержкой воспроизведения роликов с Youtube, поддержкой загрузки субтитров с opensubtitles.org, гибкими настройками воспроизведения (например, можно поменять скорость воспроизведения). Программа написана на языке C++ с использованием библиотеки Qt и распространяется под лицензией GPLv2. Бинарные сборки сформированы для Fedora, Ubuntu и Windows. В новом выпуске добавлена возможность отображения субтитров на полупрозрачной подложке. Настройка степени прозрачности фона блока с субтитрами может быть произведена через меню «Preferences — Subtitles — Font and colors». Кроме того, в … Читать далее Новая версия медиапроигрывателя SMPlayer 18.2.2

Состоялся релиз SuiteCRM 7.10, CRM-системы для организации взаимодействия с клиентами на предприятии, обеспечения работы службы продаж, ведения партнёрской сети, предоставления сервисов и планирования работы сотрудников. В том числе предоставляются модули для работы с контрактами, накладными, PDF-шаблонами, котировками, базой продуктов, формирования отчётов и диаграмм, управления событиями. SuiteCRM позиционируется в качестве полноценной открытой альтернативы проприетарному продукту SugarCRM, а также таким системам, как SalesForce и Microsoft Dynamics. Код системы и модулей написан на PHP и поставляется под лицензией GPLv3. В качестве СУБД по умолчанию предлагается использовать MariaDB. SuiteCRM развивается компанией SalesAgility, использующей бизнес-модель, подразумевающую неограниченное распространение и разработку полностью открытого продукта, с получением … Читать далее Выпуск CRM-системы SuiteCRM 7.10

Доступен начальный прототип нового эмулятора 2ine, нацеленного на выполнение исполняемых файлов OS/2 в Linux по аналогии с тем как Wine позволяет запускать исполняемые файлы Windows. В текущем виде проект уже может выполнять консольные приложения, такие как порты GCC и Watcom C для OS/2, сетевые приложения (например, FTP.EXE) и простейшие графические программы для Presentation Manage. Работа графики симулируется через SDL. Проект развивает в качестве эксперимента Райан Гордон (Ryan C. Gordon), который является автором системы MojoELF, позволяющей запускать приложения Linux в окружении macOS. Райан также принимал участие в портировании огромного количества игр и программ для Linux (Google Earth, Quake 3, Unreal Tournament, … Читать далее Опубликован прототип эмулятора для запуска исполняемых файлов OS/2 в Linux

Некоммерческая организация KDE e.V., курирующая развитие проекта KDE, сообщила о получении пожертвования в размере 200 тысяч долларов (18.7 BTC) от благотворительного фонда Pineapple. Фонд Pineapple был учреждён анонимным биткоиновым миллионером для содействия развитию важных некоммерческих проектов и уже выделил средства 57 организациям, среди которых как Фонд СПО ($1 млн), Electronic Frontier Foundation ($1 млн), Apache Software Foundation ($1 млн), Let’s Encrypt ($250 тысяч), OpenStreetMap Foundation ($150 тысяч) и OpenBSD Foundation ($50 тысяч). Читать далее Фонд Pineapple пожертвовал 200 тысяч долларов проекту KDE

Состоялся релиз фреймворка DPDK (Data Plane Development Kit), предоставляющего средства для создания высокопроизводительных сетевых приложений, напрямую работающих с сетевым оборудованием и обрабатывающих пакеты минуя сетевой стек ядра. В качестве первичной платформы заявлен Linux, но имеется ограниченный по своим возможностям вариант для FreeBSD. Исходные тексты библиотек и драйверов поставляются под лицензией BSD, а компоненты для ядра Linux доступны под GPLv2. Разработчикам предлагается набор библиотек для низкоуровневой работы с сетевыми адаптерами, взаимодействия в многоядерных системах, задействования кольцевых буферов и больших страниц памяти («huge page»). При помощи данных библиотек можно принимать и отправлять сетевые пакеты с выполнением минимального числа циклов CPU (около 80 … Читать далее Выпуск DPDK 18.02, фреймворка для высокопроизводительных сетевых приложений

После десяти месяцев разработки представлен релиз asciinema 2.0, программы для записи сеансов работы в терминале и их распространения в форме анимированных текстовых скринкастов (ascii-кастов), в которых в отличие от видео можно выделять и копировать текст. Записанные аscii-касты можно одной командой загрузить на сервер asciinema.org и интегрировать в свой блог или в статью. Проект написан на языке Python и распространяется под лицензией GPLv3. Новый выпуск примечателен переходом на использование нового формата asciicast v2, позволяющего записывать и воспроизводитель сеансы любой продолжительности при минимальном потреблении памяти. Новый формат также позволил реализовать инкрементальную запись (продолжение записи после прерывания сеанса) и потоковое вещание. Среди новых … Читать далее Выпуск asciinema 2.0, программы для записи текстовых скринкастов

Состоялся релиз языка программирования Go 1.10, который развивается компанией Google при участии сообщества как гибридное решение, сочетающее высокую производительность компилируемых языков с такими достоинствами скриптовых языков, как лёгкость написания кода, быстрота разработки и защищённость от ошибок. Код проекта распространяется под лицензией BSD. Синтаксис Go основан на привычных элементах языка Си с отдельными заимствованиями из языка Python. Язык достаточно лаконичен, но при этом код легко читается и воспринимается. Код на языке Go компилируется в обособленные бинарные исполняемые файлы, выполняемые нативно без использования виртуальной машины (модули профилирования, отладки и другие подсистемы выявления проблем на этапе выполнения интегрируются в виде runtime-компонентов), что позволяет … Читать далее Релиз языка программирования Go 1.10

Исследователи из компании Check Point выявили одну из крупнейших атак по майнингу криптовалют на уявзимых серверах. В результате запуска вредоносного кода на уязвимых системах непрерывной интеграции Jenkins, злоумышленникам удалось добыть криптовалюты Monero более, чем на 3.3 млн долларов (10800 Monero). Для получения доступа к серверам использовалась исправленная в прошлом году уязвимость (CVE-2017-1000356) в платформе Jenkins, позволяющая выполнить произвольный код на сервере без прохождения аутентификации. Атакующие поражают в основном необновлённые конфигурации Jenkins, установленные на компьютерах разработчиков под управлением Windows (злоумышленники используют программу для майнинга minerxmr.exe). По предварительной оценке в сети присутствует около 25 тысяч публично доступных Jenkins-серверов, сколько из них уязвимы … Читать далее Атакующие заработали 3.3 млн долларов, организовав майнинг на уязвимых серверах Jenkins

Представлена новая версия торрент-клиента qBittorrent 4.0.4, написанного с использованием тулкита Qt и развиваемого как открытая альтернатива µTorrent, приближенная к нему по интерфейсу и функциональности. Кроме исправления нескольких десятков ошибок в новом выпуске в контекстное меню добавлена опция для принудительной переотправки анонса. В интерфейсе для создания Torrent-ов максимальный размер элемента увеличен до 32 Мб и добавлено поле с источником данных. Читать далее Доступен торрент-клиент qBittorrent 4.0.4

Сформирован новый релиз программы LaTeX2HTML 2018, предназначенной для преобразования исходных документов в формате LaTeX в web-страницы с разметкой HTML. Поддерживается разбиение документа на несколько связанных HTML-файлов с автоматически генерируемыми панелями для навигации, перекрёстными ссылками, оглавлением и сносками. Сложные формулы и таблицы могут экспортироваться в виде изображений, для которых возможно inline-встраивание в HTML без сохранения в отдельных файлах. Код проекта поставляется под лицензией GPLv2. Для русскоязычного сообщества наиболее интересное изменение в новой версии связано с добавлением поддержки русской локали, включая поддержку кодировок KOI8-R, CP1251 и UTF-8. Читать далее Выпуск LaTeX2HTML 2018

Себастьян Лакнер (Sebastian Lackner) и Майкл Мюллер (Michael Müller) сообщили, что они больше не имеют возможности выпускать новые версии проекта Wine Staging, в рамках которого формировались расширенные сборки Wine, включающие не полностью готовые или рискованные патчи, перед их интеграцией в основное дерево исходных текстов Wine. Себастьян и Майкл, занимавшие пост мэйнтейнеров Wine Staging, пояснили, что работают над проектом исключительно в своё свободное время, которого последнее время сильно не хватает в связи с окончанием обучения и трудоустройством в режиме полного рабочего дня. Для тех кому необходима дополнительная функциональность, такая как поддержка Windows ACL, CUDA/PhysX/NVENC для видеокарт NVIDIA, EAX 1, API Vulkan, … Читать далее Проект Wine Staging прекращает подготовку релизов

В Rubygems, системе управления пакетами для приложений на языке Ruby, устранено семь уязвимостей. Проблемы исправлены в выпуске RubyGems 2.7.6 . Всем пользователям рекомендуется обновить RubyGems (gem update —system) или установить патчи. Среди выявленных проблем: возможность выхода за корневой каталог с содержимым пакета, небезопасная десериализация объектов, некорректная интепретация полей в заголовках, возможность размещения дубликатов файлов в пакете, подстановка некорректных URL и проведение XSS-атаки через атрибут homepage. Читать далее В RubyGems устранено 7 уязвимостей

Следом за React, Jest, Flow, Immutable.js и GraphQL компания Facebook выполнила перелицензирование кодовых баз проектов React Native и Yoga, которые переведены с лицензии BSD с дополнительным соглашением об использовании патентов («BSD+Patent») на лицензию MIT. Изменение лицензии позволит добиться совместимости кода React Native и Yoga с проектами фонда Apache. Напомним, что в июле 2017 года Фонд Apache добавил «BSD+Patent» в список несовместимых лицензий, код под которыми не разрешается использовать в проектах Apache. Проектам Apache было предписано избавиться от зависимостей под лицензией «BSD+Patent». Вначале Facebook отказался сменить лицензию, указав, что патентное дополнение, в котором фонд Apache усмотрел несбалансированное перекладывание рисков на потребителей … Читать далее Facebook сменил лицензию на React Native и Yoga

Группа исследователей из Принстонского университета и компании NVIDIA опубликовали новые варианты атак Meltdown и Spectre, получившие названия MeltdownPrime и SpectrePrime, которые отличаются иным способов воссоздания информации из процессорного кэша. Ключевым отличием новых методов является задействование двух ядер CPU для проведения атаки с применением в качестве канала утечки данных особенностей работы протокола согласования содержимого кэша для разных ядер CPU. Для организации атаки по сторонним каналам в классических Meltdown и Spectre применяется восстановление содержимого кэша на основе техники FLUSH+RELOAD, в то время как в новых вариантах применён метод «Prime and Probe«. Суть метода в том, что перед выполнением операции с кэшем, содержимое … Читать далее Представлены новые виды атак MeltdownPrime и SpectrePrime

Компания Intel представила новую инициативу по выплате вознаграждений за выявление уязвимостей в своих продуктах. В отличие от ранее действовавшей программы, участники которой отбирались по приглашениям, в новой программе может принять участие любой исследователь безопасности. Максимальный размер вознаграждения за уязвимости увеличен до 100 тысяч долларов (минимальная премия — $500). Для атак на оборудование по сторонним каналам, таким как Meltdown, учреждена отдельная премия, выплаты по которой составляют от 5 до 250 тысяч долларов. Размер выплаты сильно зависит от уровня опасности уязвимости (CVSS) и типа продукта. За критическую уязвимость (CVSS 9.0 — 10.0) в программном обеспечении (драйверы, приложения и утилиты, за исключением открытых … Читать далее Компания Intel представила программу выплаты вознаграждений за поиск уязвимостей

Состоялся экспериментальный выпуск открытой реализации Win32 API — Wine 3.2. С момента выпуска версии 3.1 было закрыто 34 отчётов об ошибках и внесено 340 изменений. Наиболее важные изменения: Отдельная реализация пользовательских управляющих элементов интерфейса для ComCtl32 v6 (Common Control library). В том числе добавлены классы ComboBox, ListBox, Button и Static; Поддержка мультисэмплинга текстур (Multisample texture) в реализации Direct3D; Поддержка геймпадов в HID-драйвере; Поддержка дополнительных событий в MSHTML; Удалён устаревший код DOS; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Tages Protection v5.x, notepad++, Visual C++ 2010 Express, Mindjet MindManager 14.x/15.x, MS Office Pro Plus 2010, B4A (Basic 4 … Читать далее Выпуск Wine 3.2