В Google Play зафиксирована одна из крупнейших мошеннических акций, жертвами которой стало более миллиона пользователей. Мошенники разместили в каталоге приложение «Update WhatsApp Messenger» и стилизовали логотип и оформление страницы под оригинальный «WhatsApp Messenger». После установки мошенническое приложение загружало и устанавливало оригинальный WhatsApp, но добавляло прослойку для показа полноэкранной рекламы. слева — мошенники, справа — оригинал Интересной особенностью атаки стало то, что мошенническое приложение было размещено от имени компании WhatsApp Inc., что и позволило ввести в заблуждение более миллиона пользователей. При этом, судя по средней оценке приложения в 4.3 балла (у оригинального WhatsApp — 4.4 балла), мало кто заметил подвох несмотря … Читать далее Поддельное приложение WhatsApp в Google Play установили более миллиона пользователей

В рамках сборки LineageOS for microG подготовлен вариант платформы LineageOS (продолжение развития CyanogenMod), в котором предлагается альтернативная свободная реализация сервисов Google, развиваемая проектом microG. Приложения и библиотеки из набора microG позволяют получить функциональность, необходимую для использования API Google Play, Google Cloud Messaging и Google Maps, но без установки проприетарных компонентов Google. Для определения местоположения без GPS по Wi-Fi и базовым станциям вместо Google Network Location Provider предлагается прослойка для использования Mozilla Location Service или OpenStreetMap Nominatim. По сравнению с оригинальными приложениями Google в microG существенно сокращёно потребление ресурсов, например, обособленный набор OpenGApps с приложениями Google занимает 125 Мб, а microG … Читать далее Проект microG выпустил сборку LineageOS с альтернативной реализацией сервисов Google

Сформирован корректирующий релиз специализированного браузера Tor Browser 7.0.9, ориентированного на обеспечение анонимности, безопасности и приватности. Браузер построен на кодовой базе Firefox и отличается тем, что весь трафик перенаправляется только через сеть Tor. В выпуске устранена опасная уязвимость, позволяющая раскрыть информацию об IP-адресе системы пользователя через манипуляцию с открытием ресурсов с использованием схемы «file://», при помощи которой можно инициировать прямое соединение в обход Tor. Уязвимости присвоено кодовое имя TorMoil. Атака может быть реализована на платформах Linux и macOS и требует, чтобы пользователь кликнул по подготовленной атакующим ссылке. Детали уязвимости пока не раскрыты публично и доступны только разработчикам браузера (вероятно, проблема сходна … Читать далее В Tor Browser 7.0.9 устранена уязвимость, раскрывающая реальный IP-адрес

Фонд свободного ПО предупредил об инциденте, в результате которого в публичном доступе оказалась некоторая не подлежащая огласке информация, связанная с проектом Defective By Design, включая IP-адреса авторов комментариев, номера телефонов и email пользователей. Данные оказались общедоступными из-за ненадлежащего ограничения доступа к архиву с резервной копией СУБД сайта defectivebydesign.org, который был создан Drupal-модулем backup-migrate в 2012 году в процессе миграции сайта на другой хост. По недосмотру файл с резервной копией СУБД не был удалён, но содержимое директории с бэкапами, которая находилась в области контента сайта (/sites/default/files/backup_migrate/), было скрыто через .htaccess. В 2014 году в процессе обновления было изменено имя каталога с … Читать далее Фонд СПО сообщил об утечке данных пользователей из-за забытой резервной копии

В Vesta Control Panel, web-панели управления сервером хостинга, распространяемой под лицензией GPLv3, выявлена критическая уязвимость, позволяющая поднять свои привилегии в системе. Суть уязвимости в том, что связанные с аутентификацией настройки передаются http-серверу nginx через включение файла директивой «include» в nginx.conf. Файл с дополнительными настройками сохраняется в каталогах пользователей (/home/{user}/web/{domain}/stats/auth.conf) с правами непривилегированного пользователя хостинга, но при перезапуске nginx обрабатывает настройки с правами root. Пользователь хостинга может подменить содержимое auth.conf и получить доступ к содержимому любых системных файлов, в том числе узнать содержимое /etc/shadow. Например, пользователь может записать в файл client_body_temp_path /etc/shadow; location /vstats/steal { alias / ; } Первая стока … Читать далее Уязвимость в панели управления хостингом Vesta, позволяющая получить права root

Сформирован корректирующий релиз специализированного браузера Tor Browser 7.0.9, ориентированного на обеспечение анонимности, безопасности и приватности. Браузер построен на кодовой базе Firefox и отличается тем, что весь трафик перенаправляется только через сеть Tor. В выпуске устранена опасная уязвимость, позволяющая раскрыть информацию об IP-адресе сетевого интерфейса системы пользователя через манипуляцию с открытием ресурсов с использованием схемы «file://», при помощи которой можно инициировать прямое соединение в обход Tor. Уязвимости присвоено кодовое имя TorMoil. Атака может быть реализована на платформах Linux и macOS и требует, чтобы пользователь кликнул по подготовленной атакующим ссылке. Детали уязвимости пока не раскрыты публично и доступны только разработчикам браузера (вероятно, … Читать далее Tor Browser 7.0.9 с устранением уязвимости, раскрывающей реальный IP-адрес

Организация Software Freedom Conservancy (SFC) сообщила о получении иска об отзыве торговой марки, инициированном организацией Software Freedom Law Center (SFLC). В иске утверждается, что торговая марка «SFC» близка к «SFLC» и создаёт путаницу из-за сходности названий, поэтому SFLC требует у ведомства по патентам и товарным знакам США (USPTO) лишить SFC торговой марки. Иск был подан в конце сентября. В ноябре организация SFC направила в USPTO протест и решила придать дело огласке. Представители SFC выразили большое удивление, получив иск от организации, которая в своё время помогала становлению SFC и около пяти лет оказывала юридическое сопровождение. SFC считает иск SFLC легкомысленным и … Читать далее Против организации Software Freedom Conservancy подан иск об отзыве торговой марки

Компания GitLab, развивающая одноимённую платформу для организации совместной работы с Git-репозиториями, сообщила об отказе от необходимости заключения специального CLA-соглашения (Contributor License Agreement) при передаче изменений, улучшений или исправлений проекту. Для участия в разработке теперь не нужно подписывать документ о передаче имущественных прав на использование своего кода в составе GitLab, а достаточно согласиться с условиями Developer Certificate of Origin (DCO). Документ Developer Certificate of Origin подготовлен юристами организации Linux Foundation и уже 13 лет используется при передаче изменений в состав ядра Linux, позволяя отслеживать авторство каждого изменения в коде. Принятие изложенных в документе условий осуществляется через указание при передаче патча строки … Читать далее GitLab отказался от CLA-соглашения при приёме изменений

Компания Black Duck Software, занимающаяся разработкой инструментов для автоматизации оценки лицензий, качества и безопасности применяемых открытых проектов, а также владеющая поисковой системой по исходным текстам Koders.com и социальной сетью для разработчиков и пользователей открытого ПО Ohloh.net, сообщила о продаже бизнеса корпорации Synopsys, развивающей продукты для проектирования электроники. Сумма сделки составит приблизительно 565 млн долларов. Synopsys планирует использовать наработки Black Duck для создания унифицированной платформы для отслеживания качества и безопасности приложений, применяемых в инфраструктурах предприятий. В основу будет положен уже предлагаемый компанией Black Duck инструментарий для автоматизации процесса выявления и учёта использования открытого кода в проектах. Инструментарий предоставляет средства для определения … Читать далее Synopsys покупает Black Duck Software

После двух с половиной лет разработки доступен релиз свободного редактора звука Audacity 2.2, предоставляющего средства для редактирования звуковых файлов (Ogg Vorbis, FLAC, MP3 и WAV), записи и оцифровки звука, изменения параметров звукового файла, наложения треков и применения эффектов (например, подавление шума, изменение темпа и тона). Код Audacity распространяется под лицензией GPL, бинарные сборки доступны для Linux, Windows и macOS. Основные новшества: Предложены четыре базовые темы оформления (классическая, лёгкая, тёмная и контрастная), которые можно выборать через меню Edit/ Preferences/ Interface. Также расширены средства для изменения параметров оформления с учётом предпочтений пользователей; Добавлена возможность воспроизведения файлов MIDI и Allegro. Для работы в … Читать далее Релиз звукового редактора Audacity 2.2.0

После восемнадцати месяцев разработки состоялся релиз пользовательского окружения Enlightenment 0.22, которое базируется на наборе библиотек EFL (Enlightenment Foundation Library) и виджетах Elementary. Выпуск доступен в исходных текстах, пакеты для дистрибутивов пока не сформированы. Наиболее заметные новшества Enlightenment 0.22: Существенно улучшена поддержка Wayland; Усовершенствована новая инфраструктура гаджетов; Добавлен графический интерфейс для запроса пароля для выполнения привилегированных операций через sudo или запуска команд на других хостах через ssh; Реализована возможность настройки громкости, раздельно для каждого окна; Осуществлён переход на систему сборки Meson, на которую ранее перешли systemd, GTK+ и GNOME; Модернизирован набор правил применения мозаичной компоновки элементов (tiling policy); Решены проблемы со … Читать далее Выпуск пользовательского окружения Enlightenment 0.22

Компания Feral Interactive объявила о выходе Linux-версии гоночной игры F1 2017, созданной по мотивам гонок Формула-1 сезона 2017 года. Игра доступна для установки через Steam для Linux или через каталог-магазин Feral Store. Игра примечательная тем, что стала первой высокобюджетной игрой для Linux, поддерживающей только графический API Vulkan. В качестве минимальных требований заявлены дистрибутивы Ubuntu 17.04 или SteamOS, ПК с процессором начиная с 3.3Ghz Intel Core i3-3225, 4GB ОЗУ, GPU 2GB NVIDIA GeForce GTX 680 с драйвером NVIDIA 384.90 или графические карты AMD GCN третьего поколения с открытыми драйверами и Mesa 17.2.2. Читать далее Игра F1 2017 выпущена для Linux

Компания Canonical перенесла разработку дисплейного сервера Mir, который продолжает применяться для встраиваемых устройств и интернета вещей (IoT), с системы управления исходными текстами Bazaar (bzr) на Git с задействованием в качестве платформы для совместной работы GitHub вместо ранее применяемой платформы Launchpad. Основными мотивами перехода на GitHub является снижение порога вхождения в проект новых разработчиков и упрощение процесса передачи исправлений. В качестве системы отслеживания ошибок также будет применяться GitHub, на котором рекомендуется заводить новые уведомления (старая база ошибок не будет перенесена и остаётся на Launchpad). Для тестирования кода задействована система непрерывной интеграции Travis. В строй также введён новый сайт проекта mir-server.io. Одновременно … Читать далее Разработка дисплейного сервера Mir перенесена на Git и GitHub

Доступны корректирующие выпуски криптографической библиотеки OpenSSL 1.0.2m и 1.1.0g , в которых устранены две уязвимости, из которых одна отмечена как неопасная (CVE-2017-3735), а вторая (CVE-2017-3736) отнесена к категории проблем среднего уровня опасности. Уязвимость CVE-2017-3736 связана с ошибкой вычислений при выполнении процедур возведения в степень на системах с Intel Broadwell, AMD Ryzen и более новыми процессорами с поддержкой расширений BMI1, BMI2 и ADX. Проблема теоретически может применяться для атаки по восстановлению закрытых ключей. Для алгоритмов EC атака не применима, а для RSA и DSA очень сложна в организации и маловероятно, что вообще сможет быть воплощена на практике. Атака против DH тоже … Читать далее Обновление OpenSSL 1.1.0g и 1.0.2m с устранением уязвимостей

Разработчики дистрибутива Solus, которые развивают собственный рабочий стол Budgie, опубликовали выпуск Brisk Menu 0.5, реализации эффективного и современного меню приложений для рабочего стола MATE, развиваемое совместно с проектом Ubuntu MATE. Brisk Menu предоставляет средства для быстрого запуска приложений, интерактивного поиска нужных программ, доступа к центру управления и средствам управления сеансом (выход, переход в спящий режим и т.п.). В новом выпуске добавлен раздел «Избранное», в котором можно закрепить наиболее востребованные элементы из других разделов меню. Также добавлена функция закрепления элементов из меню на рабочем столе. Появилась возможность вызова через контекстное меню специфичных действий с приложениями, определённых в файлах .desktop. Например, можно … Читать далее Выпуск Brisk Menu 0.5.0, альтернативного меню для рабочего стола MATE

Подготовлен второй кандидат в релизы свободного web-браузера Otter, нацеленного на воссоздание классического интерфейса Opera 12, независимого от конкретных браузерных движков и ориентированного на продвинутых пользователей, не принимающих тенденции по упрощению интерфейса и сокращению возможностей кастомизации. Браузер написан на языке C++ с использованием библиотеки Qt5 (без QML) . Исходные тексты доступны под лицензией GPLv3. Бинарные сборки подготовлены для Linux (пакет AppImage), macOS и Windows. . Браузер предоставляет большинство базовых возможностей Opera, включая стартовую страницу, конфигуратор, систему закладок, боковую панель, менеджер загрузок, интерфейс для просмотра истории посещений, редактор Cookie, менеджер содержимого локального кэша, панель поиска, менеджер сеансов, инструмент инспектирования web-страниц, менеджер SSL-сертификатов, … Читать далее Вышел второй кандидат в релизы браузера Otter

Себастьян Кюглер (Sebastian Kügler), вице-президент организации KDE e.V., опубликовал план разработки мобильной платформы Plasma Mobile. Разработка разделена на 4 стадии, подразумевающих создание базовой стабильной основы с постепенным наращиванием функциональности и адаптации для различных областей применения. В настоящее время, уже завершена стадия создания начального прототипа (Plasma Mobile 0.1), отражающего общие концепции интерфейса, и ведётся работа над выпуском Plasma Mobile 1.0, в котором ожидается минимальный набор функций, пригодных для использования нетребовательными конечными пользователями, которым достаточно функциональности простого телефона. На данной стадии будут предоставлены средства для запуска и установки приложений, настройки сетевого доступа, отображения состояния, совершения звонков, отправки SMS, работы с адресной книгой, … Читать далее План разработки мобильной платформы KDE Plasma Mobile

Организация GNOME Foundation, поддерживающая разработку окружения рабочего стола GNOME, объявила о включении компании Canonical в число членов консультативного совета проекта (GNOME Advisory Board). Входящие в совет компании и организации курируют развитие проекта, оказывают финансовую поддержку и проводят экспертные консультации. Среди известных участников совета отмечаются Фонд свободного ПО, Document Foundation, Debian, Linux Foundation и такие компании, как Red Hat, SUSE и Google. В этот же день опубликован корректирующий выпуск GNOME 3.26.2, в котором устранены накопившиеся ошибки и обновлены файлы с переводами. Читать далее Компания Canonical вошла в состав консультативного совета проекта GNOME

Представлен релиз открытого фреймворка для создания браузерных 3D-приложений Blend4Web 17.10. Blend4Web предназначен для создания трехмерного интерактивного контента, работающего в браузерах без использования плагинов. Пакет тесно интегрирован с открытым пакетом Blender, использующимся в качестве основного инструмента редактирования 3D-сцен. Воспроизведение контента осуществляется средствами WebGL, Web Audio и других браузерных технологий. Наработки проекта распространяются под лицензией GPLv3. Основные изменения: Новый режим визуализации контента Side-by-side. В этом режиме выполняется разделение кадра на две части, с подачей изображения для левого и правого глаза. К примеру, телевизоры с поддержкой 3D способны самостоятельно собирать стереоизображение из этого формата. При этом передача данных может выполняться по простому кабелю … Читать далее Релиз движка для создания браузерных 3D-приложений Blend4Web 17.10

Состоялся релиз СloudStack-UI 1.49.13, открытого проекта по разработке альтернативного интерфейса для Apache CloudStack. В новой версии представлены значительные функциональные изменения: Управление общими группами безопасности — пользователь теперь может создавать группы, комбинируя различные правила шаблонов и использовать группы безопасности, разделяемые с другими VM. Root-диски теперь визуально отличаются от data-дисков. Также появилась опция отображения только свободных дисков — в определенных ситуациях это значительно экономит время пользователя. Добавлена возможность задавать описание для SSH-ключей. Реализована возможность отключения отображения системных тегов в деталях VM; Улучшен интерфейс пользователя для создания виртуальной машины. Пользователю предоставлен доступ к полному списку всех этапов создания ВМ, что при возникновении ошибки … Читать далее Вышла новая версия CloudStack-UI 1.49.13

В системе управления web-контентом WordPress выявлена уязвимость, позволяющая выполнить произвольные SQL-запросы на сервере. Уязвимость устранена в выпуске 4.8.3. Проблема связана с генерацией функцией $wpdb-prepare() запросов, допускающих совершение атак через подстановку SQL-запросов из-за отсутствия экранирования последовательности «%s» функцией esc_sql(). Утверждается, что базовая часть WordPress напрямую не подвержена атаке, но уязвимость может проявиться в плагинах и темах оформления при наличии двойного вызова prepare в сочетании с подстановками через «%s». Например, если в коде $value_clause = $wpdb-prepare( » AND meta_value = %s», $meta_value ); $object_ids = $wpdb-get_col( $wpdb-prepare( «SELECT $type_column FROM $table WHERE meta_key = %s $value_clause», $meta_key ) ); в качестве значения … Читать далее В WordPress 4.8.3 устранена уязвимость, которая может привести к подстановке SQL-кода