Гвидо Вренкен (Guido Vranken), в своё время выявивший несколько опасных уязвимостей в различых реализациях SSL/TLS и в OpenVPN, опубликовал результаты аудита мультипротокольного открытого VPN-сервера SoftEther. В ходе 80-часового исследования кода и fuzzing-тестирования в проекте было выявлено 11 уязвимостей. Разработчики SoftEther VPN оперативно выпустили обновление 4.25 Build 9656, в котором устранили обнаруженные проблемы. Семь уязвимостей были вызваны отсутствием должных проверок и могут привести к переполнению буфера. По предварительной оценке данные уязвимости проблематично использовать для создания эксплоитов для выполнения кода атакующего, но можно применять для инициирования краха серверного процесса. 4 уязвимости вызваны утечками памяти и могут привести к исчерпанию доступной процессу памяти. Читать далее В SoftEther VPN найдено 11 уязвимостей

Опубликован четвёртый публичный выпуск сервера приложений NGINX Unit, в рамках которого развивается решение для обеспечения запуска web-приложений на различных языках программирования. Под управлением NGINX Unit может одновременно выполняться несколько приложений на разных языках программирования, параметры запуска которых можно изменять динамически без необходимости правки файлов конфигурации и перезапуска. Проект пока находится на стадии бета-тестирования и не рекомендован для промышленного использования. Код написан на языке Си и распространяется под лицензией Apache 2.0. С особенностями NGINX Unit можно познакомиться в анонсе прошлого выпуска. В новой версии обеспечена совместимость с операционной системой DragonFly BSD и добавлена сборочная опция для статической сборки библиотеки libphp («configure … Читать далее Выпуск сервера приложений NGINX Unit 0.4

Компания Intel сообщила, что анализирует причины появления проблемы, всплывающей после установки на системы недавно опубликованного обновления микрокода. Пользователи, установившие обновление микрокода от Intel, столкнулись с проблемой частых перезагрузок. Intel традиционно не сообщает подробности — кроме того, что проблеме подвержены системы с CPU Broadwell и Haswell. Если связь проблемы с новым микрокодом подтвердится, то будет выпущено ещё одно обновление. Читать далее Обновление микрокода Intel приводит к перезагрузкам систем с CPU Broadwell и Haswell

Компания Intel сообщила, что анализирует причины появления проблемы, всплывающей после установки на системы недавно опубликованного обновления микрокода. Пользователи, установившие обновление микрокода от Intel, столкнулись с проблемой частых перезагрузок. Intel традиционно не сообщает подробности — кроме того, что проблеме подвержены системы с CPU Broadwell и Haswell. Если связь проблемы с новым микрокодом подтвердится, то будет выпущено ещё одно обновление. Читать далее Обновление микрокода intel приводит к перезагрузкам систем с CPU Broadwell и Haswell

Jan Böhmer опубликовал прототип системы для организации отслеживания перемещения посетителей по сайтам, который ограничивается использованием только CSS и не требует выполнения кода на JavaScript. При размещении на сайте представленного кода организуется передача на внешний сервер базовой информации о посетителе, включая сведения о разрешении экрана, типе браузера и наличии заданных шрифтов. На основе различий в доступных шрифтах можно определить тип ОС. Кроме того, определяется по каким ссылкам на странице переходил пользователь или к которым из ссылок подводил курсор мыши. Также могут быть выявлены общие особенности перемещения мыши по экрану (фоном выводится невидимая таблица полей, по которой определяется перемещение мыши). В текущем … Читать далее Метод отслеживания посетителей сайтов при помощи CSS, без JavaScript

Проект Mbed OS, в рамках которого компания ARM развивает открытую ОС для устройств «Интернета вещей», представил новую файловую систему LittleFS, оптимизированную для встраиваемых систем. Код ФС написан на языке Си и распространяется под лицензией Apache 2.0. ФС LittleFS доступна в составе Mbed OS 5.7, как FUSE-модуль для монтирования из Linux, в форме Си-библиотеки для интеграции с приложениями и как обвязка для JavaScrpt (emscripten) для обращения к данным из браузера. Реализация LittleFS включает около 2000 строк кода, система не требовательна к ресурсам и может работать в условиях ограниченного размера ОЗУ. В коде не используются рекурсивные вызовы и возможна работа без динамического … Читать далее Представлена LittleFS, компактная файловая система для встраиваемых устройств

В ночных сборках Firefox началось тестирование нового механизма ускорения перехода между открытыми вкладками. Суть метода в обеспечении упреждающей отрисовки содержимого, не дожидаясь явного клика на вкладке. При подведении курсора к вкладке браузер осуществляет отрисовку в буфер композитинга и в случае клика мгновенно выводит уже готовое содержимое на экран, устраняя задержку на отрисовку видимых областей. Без данной оптимизации браузер отправляет процессу обработки контента сообщение о необходимости отрисовки слоёв, после чего ожидает получение результата подсистемой композитинга, и только затем фактически показывает вкладку. Для многих сайтов данный этап выполняется с незаметной для пользователя задержкой, но для некоторых сайтов, особенно если используется SVG или … Читать далее В Firefox тестируют механизм ускорения навигации по вкладкам

В выпуске Firefox 59, который намечен на 13 марта, будет прекращена поддержка сборки с использованием библиотеки GTK+ 2. Для платформы GNU/Linux можно будет использовать только GTK+ 3. Возможность сборки с GTK+ 2 уже удалена из репозитория mozilla-central, на базе которого формируются ночные сборки Firefox. Читать далее В Firefox 59 будет прекращена поддержка GTK+ 2

Доступен релиз программы для управления коллекцией фотографий digiKam 5.8.0. В новом выпуске закрыто 230 отчётов об ошибках. Из новшеств можно отметить: Добавлен новый инструмент для экспорта коллекции фотографий на внешние устройства, доступные через UPNP/DLNA. Инструмент для вывода контента через DLNA встроен в основное меню digiKam и Showfoto и доступен во всех режимах отображения. Самодостаточные установочные пакеты для Linux переведены на использование свежего выпуска AppImage SDK и теперь поддерживают выполнение в изолированном режиме с использованием sandbox-окружения на базе инструментария Firejail. Установщик для Windows переведён на новую версию NSIS, совместимую с Windows 10. Расширены возможности пакета для macOS (например, появилась поддержка сканеров) … Читать далее Выпуск программы для управления фотографиями digiKam 5.8

В выпуске Firefox 59, который намечен на 23 марта и станет следующим релизом с длительным сроком поддержки (ESR), будет прекращена поддержка сборки с использованием библиотеки GTK2+. Для платформы GNU/Linux можно будет использовать только GTK3+. Возможность сборки с GTK2+ уже удалена из репозитория mozilla-central, на базе которого формируются ночные сборки Firefox. Читать далее В Firefox 59 будет прекращена поддержка GTK2+

Под вдохновением от проекта PingFS, предпринята попытка создания более надёжной ФС — DNSFS. Как и PingFS проект DNSFS позиционируется как эксперимент, не рассчитанный на серьёзное использование. В PingFS для хранения информации используется поле с данными в пакетах ICMP Echo — инициируется серия непрерывных операций ping, и каждый ответ синхронизирует примерно 1400 байт информации по аналогии с синхронизацией содержимого памяти (время жизни информации от отправки пакета до получения ответа). Но в случае остановки ping или потери пакета информация потеряется. В DNSFS для хранения информации решено использовать кэш DNS. Для определения общедоступных резолверов было произведено сканирование всех IP-адресов сети при помощи пакета … Читать далее Эксперимент по созданию файловой системы, хранящей данные в кэше DNS

Компания Canonical опубликовала обновлённый набор iso-образов Ubuntu 17.10.1, который заменил собой изначально предлагаемые сборки Ubuntu 17.10 для систем на базе архитектуры x86, которые были отозваны из-за проблем в пакете с ядром Linux, приводящих к повреждению прошивки некоторых моделей ноутбуков Lenovo, Acer, Dell, HP и Toshiba. Обновления подготовлены для Ubuntu Desktop, Ubuntu Server, Lubuntu, Ubuntu Budgie, Ubuntu Kylin, Ubuntu MATE и Xubuntu. Читать далее Обновление установочных сборок Ubuntu 17.10.1

Компания Lenovo сообщила о выявлении бэкдора (CVE-2017-3765) в операционной системе ENOS (Enterprise Network Operating System), которая поставляется в некоторых моделях коммутаторов Lenovo и IBM (Flex System Fabric, RackSwitch и BladeCenter). Проблема найдена в ходе аудита кодовой базы ENOS, проведённого сотрудниками Lenovo. Получив управление злоумышленник мог изменить произвольные настройки, в том числе организовать зеркалирование и анализ трафика или нарушить нормальную работу инфраструктуры. Найденный бэкдор позволял получить доступ к интерфейсу управления коммутатором с правами администратора, используя предопределённые учётные данные, уникальные для каждого коммутатора. Бэкдор действовал при входе через ssh, telnet, последовательный порт или web-интерфейс, в случае выполнения определённых условий в сочетании с … Читать далее В коммутаторах Lenovo и IBM выявлен бэкдор

Под вдохновением от проекта PingFS, предпринята попытка создания более надёжной ФС — DNSFS. Как и PingFS проект DNSFS позиционируется как эксперимент, не рассчитанный на серьёзное использование. В PingFS для хранения информации используется поле с данными в пакетах ICMP Echo — инициируется серия непрерывных операций ping, и каждый ответ синхронизирует примерно 1400 байт информации по аналогии с синхронизацией содержимого памяти (время жизни информации от отправки пакета до получения ответа). Но в случае остановки ping или потери пакета информация потеряется. В DNSFS для хранения информации решено использовать кэш DNS. Для определения общедоступных резолверов было произведено сканирование всех IP-адресов сети при помощи пакета … Читать далее Эксперимент по создания файловой системы, хранящей данные в кэше DNS

В стандартной библиотеке Glibc выявлена уязвимость (CVE-2018-1000001), вызванная переполнением через нижнюю границу буфера в функции realpath(), проявляющимся при возврате относительного пути системным вызовом getcwd(). Изначально ядро Linux возвращало в getcwd() только абсолютные пути, но затем в ядре 2.6.36 поведение было изменено, но функции Glibc не были адаптированы на обработку относительных путей. Относительные пути возвращаются при достаточно редкой ситуации, когда процесс не меняет текущую директорию после выполнения вызова chroot и путь к корню оказывается вне области текущего дерева каталогов. Начиная с ядра Linux 2.6.36 начальная часть такого пути заменяется на строку «(unreachable)». Непривилегированный пользователь может добиться аналогичного эффекта сменив текущую директорию … Читать далее Уязвимость в Glibc, позволяющая поднять привилегии в системе

В реализации sftp из состава OpenSSH выявлена недоработка, которая при редком стечении настроек может привести к выполнению кода в режиме chroot. Суть проблемы в том, что при использовании internal-sftp и chroot, OpenSSH всё равно предпринимает попытку запуска скрипта /etc/ssh/sshrc. Проявление проблемы маловероятно в реальных условиях, так как для этого необходимо достаточно специфичное сочетание некорректных настроек. Например, так как OpenSSH блокирует работу в случае доступности корня chroot-окружения на запись, для успешной атаки требуется наличие доступных на запись каталогов bin, etc, lib. Атакующий может скопировать необходимые файлы и библиотеки в эти каталоги и запустить код внутри chroot (будет ограничен доступ к ФС, … Читать далее Атака на OpenSSH sftp, осуществляемая при некорректной настройке chroot

В репозитории NPM произошёл инцидент, напоминающий произошедшую в 2016 году историю с модулем left-pad, удаление которого привело к неработоспособности многих проектов из-за потери зависимости. На этот раз причиной проблем стала система автоматизированной борьбы со спамом, из-за которой по ошибке были удалены пользователь floatdrop и 102 разработанных им модуля. Многие из заблокированных модулей пользовались популярностью и использовались в качестве зависимостей в других модулях и приложениях. Недоступность данных модулей привела к каскадному обрушению зависимостей и невозможности установить или обновить тысячи пакетов в NPM. Например, модуль require-from-string, содержащий всего 25 строк кода, насчитывает более 4.5 млн загрузок в месяц, а модуль timed-out (46 … Читать далее Сбой антиспам-системы привёл к коллапсу в репозитории NPM

После полутора лет разработки создатели облачной платформы Nextcloud (форк ownCloud) представили первый выпуск проекта Nextcloud Talk, в рамках которого подготовлено решение для развёртывания сервиса для обмена текстовыми сообщениями, совершения голосовых звонков и видеовызовов с возможность организации видеоконференций и проведения вебинаров. Как и облачное хранилище Nextcloud новая система может быть развёрнута на собственном сервере без привязки к внешним облачным сервисам, что позволяет запустить полностью подконтрольное и самодостаточное решение, не зависящее от третьих лиц. Взаимодействие возможно как через браузер, так и при помощи специального мобильного приложения (Android, iOS). Серверная часть реализована в форме модуля для платформы Nextcloud. Код написан на PHP и … Читать далее Доступна коммуникационная система Nextcloud Talk с поддержкой видеовызовов

Группа исследователей безопасности из Рурского университета опубликовала сведения о недоработках протокола в системе групповых чатов WhatsApp, позволяющих при получении доступа к серверу организовать прослушивание закрытого чата, несмотря на применение оконечного (end-to-end) шифрования на стороне участников чата. Таким образом, поставлена под сомнение способность групповых чатов WhatsApp обеспечить тайну переписки в случае компрометации инфраструктуры, диверсии персонала или предоставления доступа спецслужбам. Принцип работы группового чата WhatsApp и Signal сводится к тому, что каждый участник чата шифрует все отправляемые сообщения на своей стороне и рассылает всем участникам чата, используя групповой ключ. Каждый участник имеет подобный ключ, позволяющий остальным читать его сообщения (т.е. вместо создания … Читать далее Представлен метод атаки на групповой чат WhatsApp и Signal

Представлен релиз xine-lib 1.2.9, многоплатформенной библиотеки для проигрывания видео и аудио файлов, а также набора сопутствующих плагинов. Библиотека может использоваться в ряде видео-проигрывателей, среди которых Xine-UI, gxine, kaffeine. Xine поддерживает работу в многопоточном режиме, поддерживает большое число популярных и малоизвестных форматов и кодеков, может обрабатывать как локальный контент, так и передаваемые по сети мультимедиа потоки. Модульная архитектура позволяет легко наращивать функциональность через плагины. Различается 5 основных классов плагинов: плагины ввода для приёма данных (ФС, DVD, CD, HTTP и т.п.), плагины вывода (XVideo, OpenGL, SDL, Framebuffer, ASCII, OSS, ALSA и т.п.), плагины для распаковки медиаконтейнеров (демуксеры), плагины для декодирования видео и … Читать далее Выпуск xine 1.2.9

В результате аудита кодовой базы свободной системы 3D-моделирования Blender исследователями безопасности из компании Cisco выявлена 21 уязвимость. Уязвимость позволяют атакующему выполнить произвольный код при открытии в Blender специально подготовленных файлов в различных форматах. В том числе уязвимости затрагивают обработчики данных в форматах png, tiff, bmp, avi, blend, iris, cin и hdr. Примечательно, что на предложение исследователей оперативно выпустить обновление с устранением уязвимостей, разработчики Blender в сентябре отказались решать проблемы в экстренном порядке, поэтому уязвимости остаются неисправленными и после истечения 90-дневного эмбарго информация о них теперь опубликована публично. Более того, разработчики скептически относятся к угрозе атаки на системы пользователей через Blender, … Читать далее 21 неисправленная уязвимость в системе 3D-моделирования Blender