Себастьян Шинцель (Sebastian Schinzel), авторитетный немецкий эксперт по компьютерной безопасности (один из авторов атаки DROWN), предупредил о выявлении критических уязвимостей в системах шифрования почтовой переписки, основанных на использовании PGP/GPG и S/MIME. Проблемы позволяют определить исходный открытый текст шифрованных писем, в том числе отправленных ранее зашифрованных писем. В настоящее время доступно лишь общее предупреждение, детали будут раскрыты 15 мая в 7 утра (UTC). Проблемам присвоено имя Efail. Правозащитная организация Electronic Frontier Foundation (EFF) подтвердила, что выявленные уязвимости относятся к разряду наиболее критических проблем и представляют серьёзных риск для пользователей шифрованных коммуникаций по электронной почте, особенно так как проблемы позволяют получить доступ … Читать далее Критическая уязвимость в системах шифрования email на основе PGP/GPG и S/MIME

Сформирован первый бета-выпуск FreeBSD 11.2. Выпуск FreeBSD 11.2-BETA1 доступен для архитектур amd64, i386, powerpc, powerpc64, sparc64, aarch64 и armv6 (BEAGLEBONE, CUBIEBOARD, CUBIEBOARD2, CUBOX-HUMMINGBOARD, RPI-B, RPI2, PANDABOARD, WANDBOARD). Дополнительно подготовлены образы для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2. Релиз FreeBSD 11.2 запланирован на 27 июня. Среди основных изменений: В утилиту crontab добавлена опция «-f» для принудительного удаления файла crontab при использовании опции «-r» в неинтерактивном режиме (предотвращает случайное удаление при ошибочном указании «-r» в командной строке); В утилиту diskinfo добавлены флаги «-s» для отображения идентификатора диска (серийного номера) и «-p» для вывода физического пути (physpath) к … Читать далее Началось бета-тестирование FreeBSD 11.2

Состоялся релиз независимого легковесного Linux-дистрибутива CRUX 3.4, развиваемого с 2001 года в соответствии с концепцией KISS (Keep It Simple, Stupid) и ориентированного на опытных пользователей. Целью проекта является создание простого и прозрачного для пользователей дистрибутива, основанного на BSD-подобных скриптах инициализации, имеющего максимально упрощённую структуру и содержащего относительно небольшое число готовых бинарных пакетов. CRUX поддерживает систему портов, позволяющую легко устанавливать и обновлять приложения в стиле FreeBSD/Gentoo. Размер iso-образа, подготовленного для архитектуры x86-64, составляет 777 Мб. В новом выпуске обновлены версии системных компонентов, включая ядро Linux 4.14.40, glibc 2.27, GCC 7.3.0 и binutils 2.29.1. Графический стек обновлён до xorg-server 1.20.0. Загрузочный iso-образ … Читать далее Выпуск Linux-дистрибутива CRUX 3.4

Пользователи Ubuntu обратили внимание на наличие в snap-пакете 2048buntu, распространяемом через Ubuntu Snap Store, встроенного кода для майнинга криптовалюты. Дальнейшее разбирательство показало, что аналогичный вредоносный код присутствует и в других пакетах автора Nicolas Tomb, в частности проблема присутствует в пакете hextris. После поступления сообщения о проблеме вредоносные пакеты были удалены из репозитория. Инициировано проведение расследования инцидента, результаты которого и сделанные выводы пока не опубликованы. Ожидается, что случай с вредоносными пакетами заставит Canonical пересмотреть политику включения и рецензирования программ в Ubuntu Snap Store. Сейчас разместить пакет в каталоге может любой желающий. Код майнинга был камуфлирован под процесс systemd и поставлялся как … Читать далее В Ubuntu Snap Store и Chrome Web Store выявлены вредоносные пакеты

Компания Google намерена радикально решить проблему с нахождением в обиходе большого числа уязвимых Android-устройств, добавив в соглашение с OEM-производителями пункт, обязывающий регулярно выпускать обновления с устранением уязвимости. В настоящее время, гарантированная доставка обновлений с устранением проблем с безопасностью производится только для устройств, выпускаемых под брендом Google, остальные же производители зачастую не утруждают себя выпуском обновлений или делают это с большим опозданием. Появление в Android 8 технологии Treble, позволяющей производителям создавать универсальные компоненты поддержки оборудования, не привязанные к конкретным версиям Android (можно использовать одни и те же драйверы с различными версиями Android), существенно упрощает сопровождение прошивок и создание обновлённых прошивок с … Читать далее Google планирует обязать OEM-производителей выпускать обновления безопасности для Android-устройств

Группа исследователей из Амстердамского и Кипрского университетов разработала метод атаки, позволяющий удалённо эксплуатировать уязвимость RowHammer в чипах памяти DRAM и добиться изменения содержимого отдельных битов в ОЗУ через манипуляцию с сетевыми пакетами, отправляемыми на целевую систему по локальной сети. Проблема RowHammer была выявлена в 2012 году, но до сих пор остаётся актуальной в виду трудности устранения уязвимости на аппаратном уровне. Вариант атаки с использованием сетевых адаптеров получил название «Throwhammer». Целью исследования была демонстрация того, что уязвимость значительно опаснее, чем предполагалось, и уязвимые системы с высокоскоростным сетевым адаптером могут быть атакованы удалённо через отправку специально оформленного потока сетевых пакетов. Возможность применения … Читать далее Эксплуатация уязвимости в DRAM-памяти через локальную сеть

В недавно выпущенном релизе Firefox 60 была существенно улучшена sandbox-изоляция для платформы Linux, но к сожалению данное новшество не было отражено в официальном списке изменений. Процессы обработки контента, в которых осуществляется отрисовка web-страниц и выполнение JavaScript-кода, теперь лишены возможности прямой установки сетевых соединений и использования Unix-сокетов для обращения к локальным сервисам, таким как PulseAudio. Также теперь блокируются любые обращения к System V IPC (исключение сделано только для взаимодействия с fglrx и VirtualGL). В настройках about:config блокирование сетевого доступа ассоциировано с четвёртым уровнем изоляции в параметре security.sandbox.content.level. Sandbox-изоляция значительно усложняет эксплуатацию уязвимостей в web-движке и вынуждает для проведения атаки на систему … Читать далее Улучшение sandbox-изоляции в Firefox

Сформированы корректирующие обновления для всех поддерживаемых веток PostgreSQL: 10.4, 9.6.9, 9.5.13, 9.4.18 и 9.3.23, в которых представлена порция исправлений ошибок. Выпуск обновлений для ветки 9.3 продлится до сентября 2018 г., 9.4 до декабря 2019 г., 9.5 до января 2021 г., 9.6 — до сентября 2021 года, 10 — до октября 2022 года. В обновлении устранена уязвимость (CVE-2018-1115), связанная с предоставлением общих привилегий (вместо привязки к администратору) для вызова функции pg_logfile_rotate(), устаревшего варианта pg_rotate_logfile() из contrib/adminpack. Уязвимость позволяет любому пользователю PostgreSQL инициировать ротацию лога, в случае если установлен adminpack. Для устранения уязвимости после установки обновления пользователям adminpack следует выполнить «ALTER EXTENSION … Читать далее Обновление PostgreSQL 10.4, 9.6.9, 9.5.13, 9.4.18 и 9.3.23

Проект GNU LibreJS 7.14, дополнения к Firefox, позволяющего отказаться от выполнения несвободного JavaScript-кода. По мнению Ричарда Столлмана, проблема с JavaScript состоит в том, что код загружается без ведома пользователя, не давая возможности оценить степень его свободности перед загрузкой и воспрепятствовать выполнению проприетарного JavaScript-кода. Определение применяемой в JavaScript-коде лицензии производится через указание на сайте специальных меток или через анализ наличия упоминания лицензии в комментариях к коду. Кроме того, по умолчанию допускается выполнение тривиального JavaScript-кода, известных библиотек и кода с сайтов, занесённых пользователем в белый список. В новой версии устранены проблемы, выявленные после перевода прошлого выпуска на использование технологии WebExtensions. Добавлена проверка … Читать далее Выпуск GNU LibreJS 7.14, дополнения для блокирования несвободного JavaScript в Firefox

Компания Google намерена радикально решить проблему с нахождением в обиходе большого числа уязвимых Android-устройств добавив в соглашение с OEM-производителями пункт, обязывающий регулярно выпускать обновления с устранением уязвимости. В настоящее время, гарантированная доставка обновлений с устранением проблем с безопасностью производится только для устройств, выпускаемых под брендом Google, остальные же производители зачастую не утруждают себя выпуском обновлений или делают это с большим опозданием. Появление в Android 8 технологии Treble, позволяющей производителям создавать универсальные компоненты поддержки оборудования, не привязанные к конкретным версиям Android (можно использовать одни и те же драйверы с различными версиями Android), существенно упрощает сопровождение прошивок и создание обновлённых прошивок с … Читать далее Google планирует обязать OEM-производителей выпускать обновления для Android-устройств

Состоялся экспериментальный выпуск открытой реализации Win32 API — Wine 3.8. С момента выпуска версии 3.7 было закрыто 32 отчёта об ошибках и внесено 189 изменений. Наиболее важные изменения: Добавлена инфраструктура для написания тестов для драйверов ядра; В оболочке добавлена поддержка показа свойств файлов; Добавлен MP3 декодировщик, реализованный как медиаобъект DirectX; Расширена поддержка планировщика запуска задач по расписанию (Task Scheduler); В UrlMon добавлена поддержка агрегирования COM; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Acrobat Reader X/XI, Photoshop CS, Microsoft Visual C++, Trip Undead Undressed, WickrMe 4.19.7, Autodesk Fusion 360, Adobe Premiere Elements 14, Dragon Naturally Speaking 15, UFOHD2, … Читать далее Выпуск Wine 3.8

GitHub опубликовал ежегодный отчёт, в котором отражены поступившие за 2017 год уведомления о нарушении интеллектуальной собственности и публикации незаконного содержимого. В соответствии с действующим в США Законом об авторском праве в цифровую эпоху (DMCA, Digital Millennium Copyright Act), в 2017 году GitHub получил 1380 требований о блокировке и 55 опровержений от владельцев репозиториев. Для сравнения, в 2016 году поступило 757 запросов о блокировке, в 2015 году — 505, а в 2014 году — 258. От государственных служб поступило 8 требований о принятии мер, все из России от Роскомнадзора, которые были удовлетворены и привели к блокировке 6 репозиториев, одного gist и … Читать далее GitHub опубликовал отчёт о блокировках в 2017 году

Компании Purism продемонстрировала первые макеты мобильного интерфейса GNOME, развиваемого для смартфона Librem 5, оснащённого прошивкой на базе Debian и свободного ПО. Программное обеспечение для смартфона должно быть готово к январю 2019 года. Работа над мобильной версией разделена на несколько этапов и ведётся совместно с разработчиками GNOME. Итоговые наработки будут предложены в качестве универсального GNOME Mobile Shell, который можно будет применять и для других мобильных устройств. Первый выпуск мобильной оболочки GNOME, который намерены поставлять при начале продаж Librem 5, будет обладать только простейшими возможностями и будет сосредоточен на оттачивании общей архитектуры, базовых принципов построения интерфейса, надёжности и эффективности. В составе первого … Читать далее Опубликованы макеты мобильного интерфейса GNOME для смартфона Librem 5

Компания AMD опубликовала выпуск набора драйверов AMD Radeon Pro 18.Q2 для Linux, основанного на свободном модуле ядра AMDGPU, развиваемого в рамках инициативы по унификации графического стека AMD для проприетарных и открытых видеодрайверов. В рамках AMD Radeon Pro в одном наборе интегрированы открытый и проприетарный стеки драйверов. Драйверы amdgpu-pro и amdgpu-all-open (vulkan-драйвер RADV и OpenGL-драйвер RadeonSE, основанные на коде из Mesa) теперь предлагаются в одном пакете и пользователь на своё усмотрение может выбрать открытые или закрытые драйверы. Драйвер поддерживает API OpenGL 4.5, GLX 1.4, OpenCL 1.2, Vulkan 1.1 и VDPAU/VAAPI, включает базовые средства для управления экраном и питанием, поддерживает интерфейсы KMS … Читать далее Выпуск видеодрайвера AMD Radeon Pro 18.Q2

Официально представлен релиз дистрибутива Scientific Linux 7.5, построенного на пакетной базе Red Hat Enterprise Linux 7.5 и дополненного средствами, ориентированными на использование в научных учреждениях. Дистрибутив поставляется для архитектуры x86_64, в форме DVD-сборок (8.4 Гб и 7.2 Гб), сокращённого образа для установки по сети (451 Мб). Публикация Live-сборок задерживается. Формирование DVD-сборок размером 4.7 Гб прекращено, для записи образа на USB-накопитель предлагается использовать утилиту livecd-iso-to-disk. Отличия от RHEL в основной массе сводятся к ребрендингу и чистке привязок к службам Red Hat. Специфичные для научного применения приложения, а также дополнительные драйверы, предлагаются для установки из внешних репозиториев, таких как EPEL и elrepo.org. … Читать далее Релиз дистрибутива Scientific Linux 7.5

Доступно обновление браузера Chrome 66.0.3359.170, в котором устранено четыре уязвимости, одной из которых присвоен статус критической проблемы, позволяющей обойти все уровни защиты браузера и выполнить код в системе, за пределами sandbox-окружения. Детали о критической уязвимости пока не раскрываются (доступ к информации будет открыт после того, как большая часть пользователей установит обновление). Остальные три проблемы помечены как опасные: CVE-2018-6121 позволяет повысить свои привилегии в дополнениях, CVE-2018-6122 связана с неверной интерпретацией типов в V8, CVE-2018-6120 приводит к переполнению буфера при открытии специально оформленных PDF-файлов в PDFium. Дополнительно можно отметить, что в опубликованном 9 мая релизе Firefox 60 было устранено 54 уязвимости, из … Читать далее Обновление Chrome 66 с устранением критической уязвимости

Опубликован корректирующий выпуск пользовательского окружения GNOME 3.28.2, в который включены исправления накопившихся ошибок. Отдельно упоминается проведение работы по устранению утечек памяти, в том числе решены проблемы с ростом потребления памяти GNOME Shell, которые вызвали большое недовольство пользователей. Наиболее значительная утечка памяти была вызвана сбоем в работе сборщика мусора GJS, который не вызывался должным образом, что приводило к неуклонному росту потребления памяти в процессе работы с GNOME. Свободная память утекала достаточно интенсивно, при каждом запуске Alt Tab или открытии меню свободной памяти становилось всё меньше и меньше. Например, если при запуске GNOME Shell потреблял примерно 70 Мб памяти, то после открытия … Читать далее Выпуск GNOME 3.28.2 с устранением серьёзной утечки памяти

Доступен дистрибутив CentOS 7.5.1804, вобравший в себя изменения из Red Hat Enterprise Linux 7.5. Дистрибутив полностью бинарно совместим с RHEL 7.5, внесенные в пакеты изменения, как правило, сводятся к ребрендингу и замене художественного оформления. Сборки доступны для архитектур x86_64, i386, ARMv7 (armhfp), AArch64/ARM64, ppc64 (POWER7, Big Endian) и ppc64le (POWER8, Little Endian). Для x86_64 подготовлены установочные DVD-сборки (4 Гб), образ NetInstall для установки по сети (495 Мб), минимальная серверная сборка (906 Мб), полный образ для USB Flash (8 Гб) и Live-сборки с GNOME (1 Гб) и KDE (2 Гб). Сборки для контейнеров, Vagrant, Cloud и Atomic Host планируется подготовить в … Читать далее Выпуск дистрибутива CentOS 7.5

Состоялся выпуск проприетарного браузера Opera 53, основанного на кодовой базе Chromium. Сборки сформированы для платформ Linux, macOS и Windows. В новом выпуске обновлён внешний вид вкладок и адресной строки. Улучшена навигация при большом числе открытых вкладок, иконки вкладок сделаны более заметными, а клик на значке расширяет кнопку. Изменено цветовое оформление адресной строки. Браузерный движок обновлён до Chromium 66 с включением представленных в нём изменений для web-разработчиков. Читать далее Доступен web-браузер Opera 53

Компания Oracle сформировала корректирующий релиз системы виртуализации VirtualBox 5.2.12, в котором отмечено 5 исправлений. В новой версии на стороне хост-окружения добавлена поддержка ядра Linux 4.17, для гостевых систем добавлена поддержка ядра Linux 4.16 и ядра из состава RHEL 7.5. Для гостевых систем под управлением Linux добавлены исправления проблем с 3D-графикой, наблюдаемые в новых дистрибутивах. Устранено потенциальное повреждение данных в коде эмулируемого последовательного порта (Serial). Решены проблемы с запуском и остановкой записи видео. Читать далее Релиз системы виртуализации VirtualBox 5.2.12

Доступен релиз специализированного дистрибутива Tails 3.7 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для обеспечения анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ, способный работать в Live-режиме, размером 1.2 Гб. В новом выпуске обновлены версии Tor Browser, OpenSSL, Perl, LibreOffice и libmad, в которых устранены недавно выявленные уязвимости. Прекращена установка пакетов python-qt4 и python-trezor. Упрощён доступ к WhisperBack из обзорного режима GNOME. Одновременно, … Читать далее Релиз дистрибутива Tails 3.7 и браузера Tor Browser 7.5.4