В состав OpenBSD принят набор патчей с реализацией технологии Trapsleds, позволяющей усложнить выполнение эксплоитов, использующих технику заимствования кусков кода, основанную на приёмах возвратно-ориентированного программирования (ROP, Return-Oriented Programming). Суть добавленного в OpenBSD метода защиты в применении для заполнения добавочных областей (используются для выравнивания блоков с кодом функций по 16-байтовой границе) инструкций INT3 вместо NOP на системах с архитектурой AMD64. Любые последовательности NOP длиннее двух байт заменяются на двухбайтовый короткий переход JMP поверх набора инструкций INT3, используемых для заполнения. Таким образом, при штатном выполнении программа перепрыгнет набор инструкций INT3 вместо холостого выполнения серии инструкций NOP. В случае осуществления атаки, при переходе на … Читать далее В OpenBSD добавлена новая защита от атак на основе заимствования кусков кода

Разработчики проекта Mozilla объявили о включении в ночных сборках Firefox нового оформления меню и других изменений интерфейса, подготовленных в рамках проекта Photon, сфокусированного на модернизации интерфейса Firefox, проводимую для выпуска Firefox 57. Новое меню примечательно переходом от компоновки в виде многоколоночной сетки пиктограмм в пользу обычного классического меню в виде списка. На стартовую страницу (about:newtab) добавлена кнопка для вызова набора их пяти обзоров возможностей Firefox. Проведена реорганизация раздела настроек, по умолчанию включена поддержка поиска настроек. Внесена порция улучшений в обновлённую систему автозаполнения форм, тестируемую в ночных сборках: добавлена дополнительная эвристика для определения типа данных в полях форм ввода, обеспечена возможность … Читать далее В ночных сборках Firefox предложено новое оформление меню

Опубликован 49-й выпуск рейтинга 500 самых высокопроизводительных компьютеров мира. В десятке самых мощных кластеров отмечается только одно изменение: кластер Piz Daint, развиваемый в швейцарском национальном суперкомпьютерном центре, был модернизирован и переместился с 8 на 3 место. Кластер построен на платформе Cray XC50, в ходе обновления он был укомплектован акселераторами на базе GPU NVIDIA Tesla P100, что позволило удвоить его суммарную производительность в тестах Linpack (с 9.8 до 19.6 петафлопс). Занимавший ранее третье место кластер Titan, построенный в Национальной лаборатории Оук-Ридж (министерство энергетики США) на базе платформы Cray XK7, переместился на четвёртое место, показав производительность в 17.6 петафлопс. Рейтинг возглавляет китайский … Читать далее Опубликована 49 редакция списка самых высокопроизводительных суперкомпьютеров

Состоялся экспериментальный выпуск открытой реализации Win32 API — Wine 2.11. С момента выпуска версии 2.10 было закрыто 16 отчётов об ошибках. Наиболее важные изменения: Продолжено развитие компонентов для обеспечения работы Wine в окружении платформы Android. В новом выпуске добавлена поддержка OpenGL в драйвере для Android; Добавлена поддержка системы контроля доступа на основе меток безопасности (security labels); Добавлена возможность использования режима отладки relay на системах ARM64; В WebServices расширено число поддерживаемых словарей; В RegEdit реализован новый парсер файлов реестра; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Call of Duty: Modern Warfare 2, Battlefield Bad Company 2, Scrabble, PresentMon, … Читать далее Выпуск Wine 2.11

Подготовлен релиз программы для управления коллекцией фотографий digiKam 5.6.0. Кроме закрытия 81 отчёта об ошибках новый выпуск примечателен следующими изменениями: Новый инструмент «HTML-галерея», позволяющий экспортировать выбранный набор фотографий в виде web-страницы для последующего размещения на сайте и просмотра через браузер. Пользователю доступна коллекция тем для оформления галереи, поддерживаются средства для интерактивного управления на JavaScript. Новый инструмент «Video Slideshow», позволяющий сформировать слайдшоу из выбранных фотографий и записать его в форме видеоролика. Предоставляются средства для выбора разрешения видео, формата, кодека, эффектов при смене фотографий. Улучшен инструмент проверки целостности БД и проведения чистки от устаревшей информации, которая позволяет заметно сократить размер БД. В … Читать далее Выпуск программы для управления фотографиями digiKam 5.6

В системе Flatpak, предоставляющей средства для создания самодостаточных пакетов, которые не привязаны к конкретным дистрибутивам Linux и выполняются в специальном изолированном контейнере, выявлена опасная уязвимость (CVE-2017-9780), позволяющая повысить свои привилегии в системе. Проблема устранена в выпуске Flatpak 0.8.7 и 0.9.6, а также в пакетах для Debian. Уязвимость пока остаётся неисправленной в репозиториях Fedora и Ubuntu. Уязвимость позволяет подготовить вредоносный Flatpak-пакет, содержащего файлы с некорректными правами доступа, например с флагом setuid или открытые всем на запись. После установки такого пакета, подобные файлы сохраняются в локальной системе с теми же правами, что позволяет локальному атакующему добиться выполнения поставляемого в пакете исполняемого файла … Читать далее Уязвимость во Flatpak, позволяющая повысить привилегии в системе

Разработчики Ubuntu сообщили о переводе находящегося в разработке осеннего выпуска дистрибутива (17.10) на использование системы netplan для хранения настроек сетевых интерфейсов, вместо ранее применяемого инструментария ifupdown, хранящего настройки в файле /etc/network/interfaces. Netplan обеспечивает хранение параметров в формате YAML и предоставляет бэкенды, абстрагирующие доступ к конфигурации для NetworkManager и systemd-networkd. Для миграции на Netplan предусмотрена команда «netplan ifupdown-migrate», которая осуществляет преобразование старых настроек /etc/network/interfaces в формат netplan. Пользователям также предоставлена возможность продолжить использование ifupdown, явно установив данный пакет («sudo apt install ifupdown»). В ежедневных сборках Ubuntu Server новая система уже задействована для записи сетевой конфигурации в каталог /etc/netplan. В Ubuntu Desktop … Читать далее Ubuntu переходит на формат сетевой конфигурации netplan

Состоялся выпуск проприетарного браузера Opera 46, основанного на кодовой базе Chromium. Сборки сформированы для платформ Linux, macOS и Windows. В новой версии продолжен перенос улучшений интерфейса, развивавшихся в рамках экспериментального браузера Opera Neon, оценивающего новые методы взаимодействия в Web. Основные изменения: Экспресс панель теперь отображается с тёмным фоном, в случае отключения фонового изображения и применения тёмной темы оформления; При импорте закладок, элементы из панели закладок теперь автоматически появляются на панели закладок в Opera; Добавлены дополнительные фоновые изображения, в том числе анимированные; На сенсорной панели Touch Bar, которая заменила собой строку кнопок Esc и F1-F12 на клавиатуре новых ноутбуков Macbook, добавлена … Читать далее Выпуск web-браузера Opera 46

В корректирующих выпусках системы управления контентом Drupal 8.3.4 и 7.56 устранены три уязвимости. Одной из проблем (CVE-2017-6920) присвоен наивысший уровень опасности — ошибка в обработчике сериализации объектов в парсере PECL YAML может привести к удалённому выполнению кода на стороне сервера. Вторая уязвимость (CVE-2017-6921) присутствует в коде проверки REST-параметров, через которые осуществляется обработка файлов. На сайтах, на которых включен модуль rest (RESTful Web Services), активирован REST-ресурс file и разрешены запросы PATCH, атакующий может получить или зарегистрировать учётную запись пользователя с правами загрузки файлов и изменения ресурса file. Третья уязвимость (CVE-2017-6922) позволяет анонимным пользователям получить доступ к файлам, загруженным другими анонимными пользователями … Читать далее Обновление Drupal 8.3.4 и 7.56 с устранением критической уязвимости

Агентство национальной безопасности США ввело в строй сайт nationalsecurityagency.github.io и репозитории на GitHub с подборкой открытых проектов, разработанных или развиваемых при участии сотрудников АНБ. В каталоге представлено 32 проекта, включая: распределённая СУБД Accumulo (аналог Google BigTable); система принудительного контроля доступа SELinux; наработки в области проверки целостности выполнения программы CFI (Control Flow Integrity); реализация языка OCIL (Open Checklist Interactive Language); система поиска и индексации данных в произвольных форматах (FEMTO); VPN GoSecure; статический анализатор кода для Java JPF-MANGO; графоориентированная транзакционная СУБД Lemongraph, хранящая данные в одном файле в виде лога, и связанный с ней движок для обработки потоков данных Lemongrenade; инструмент для … Читать далее Агентство национальной безопасности США опубликовало каталог своих открытых проектов

В гипервизоре Xen выявлено 10 уязвимостей, из которых пять (XSA-224, XSA-222, XSA-219, XSA-218, XSA-217) потенциально позволяют выйти за пределы текущего гостевого окружения, две (XSA-225, XSA-223) дают возможность инициировать крах гипервизора из гостевой системы, а три уязвимости (XSA-221, XSA-220, XSA-216) могут привести к утечке содержимого памяти из адресного пространства других окружений или хост-системы. Исправления пока доступны в виде патчей. CVE-идентификаторы пока не присвоены. Некоторые провайдеры публичных облачных систем были уведомлены о проблеме две недели назад и уже устранили уязвимость. Всем пользователям Xen и провайдерам, не включённым в список упреждающей отправки уведомлений, рекомендуется срочно установить обновление. Для эксплуатации наиболее опасных уязвимостей атакующий … Читать далее Серия критических уязвимостей в гипервизоре Xen

Проект KTechLab, в рамках которого развивается интегрированная среда для проектирования и симуляции микроконтроллеров и различных электронных схем, объявил о переводе разработки в экосистему KDE и дальнейшем развитии продукта в соответствии с принципами KDE. Проект KTechLab вернулся к жизни после долгой стагнации — последнее обновление было выпущено в 2009 году. В текущем виде KTechLab переведён на Qt4 и технологии KDE4, запускается и работает в современных Linux-дистрибутивах. В том числе работает визуальный редактор Flowcode для разработки приложений, преобразующий наглядное определение логики в форме диаграмм в ассемблерное представление для микроконтроллеров или в универсальный язык программирования микроконтроллеров Microbe. В симуляторе выполнения программ для микроконтроллеров … Читать далее Проект KTechLab вернулся в строй и перешёл под крыло сообщества KDE

Компания Free Electrons, специализирующая на разработке открытого ПО для встраиваемых систем, ввела в строй сервис, предоставляющий доступ к коллекции из более 100 вариантов инструментариев для кросс-компиляции. Разработчик может выбрать необходимую архитектуру и набор библиотек (glibc, uClibc-ng и musl), и получить готовый образ с инструментарием на базе gcc, gdb, binutils и ядра Linux. Каждый набор предлагается в двух вариантах — стабильная сборка и сборка с самыми свежими версиями компонентов. Образы пригодны для запуска в QEMU и других системах виртуализации. Поддерживаемые архитектуры: AArch64 (little и big endian), ARC, ARM (little и big endian, ARMv5, ARMv6, ARMv7), Blackfin, m68k (Coldfire and 68k), Microblaze … Читать далее Коллекция инструментариев кросс-компиляции для различных систем

Гвидо Вренкен (Guido Vranken), известный разработкой нескольких атак против различных реализаций SSL/TLS, опубликовал результаты fuzzing-тестирования кодовой базы пакета для создания виртуальных частных сетей OpenVPN, в результате которого им было выявлено 4 опасные уязвимости и две неопасные. Одна из уязвимостей потенциально может привести к выполнению кода на сервере. Публикация сведений об уязвимостях скоординирована с разработчиками OpenVPN, благодаря чему уже опубликованы релизы OpenVPN 2.4.3 и 2.3.17, в которых устранены выявленные проблемы. При этом в дистрибутивах уязвимости пока остаются неисправлеными (Debian, RHEL, SUSE, Fedora, Ubuntu). Интересно, что незадолго до выявления уязвимостей, проект OpenVPN успешно прошёл два независимых аудита кодовой базы, которые не выявили … Читать далее Уязвимость в OpenVPN, которая может привести к выполнению кода на сервере

Разработчики коллекции компиляторов GCC объявили о принятии решения по включению в число поставляемых в составе GCC компиляторов фронтэнда GDC (Gnu D Compiler) и runtime-компонентов, необходимых для сборки программ на языке программирования D. Процесс включения поддержки языка D в GCC начался ещё в 2011 году, но затянулся из-за необходимости приведения кода к соответствию требованиям GCC и проблем с передачей прав на интеллектуальную собственность компании Digital Mars, развивающей язык программирования D. Проблемы с интеллектуальной собственностью были достаточно быстро решены, но для решения технических проблем и синхронизации разработки с компилятором DMD потребовалось почти полностью переписать GDC. Язык D использует статическую типизацию, обладает синтаксисом, … Читать далее В состав GCC одобрено включение языка программирования D

Состоялся релиз функционального языка программирования Erlang 20.0, нацеленного на разработку распределённых отказоустойчивых приложений, обеспечивающих параллельную обработку запросов в режиме реального времени. Язык получил распространение в таких областях, как телекоммуникации, банковские системы, электронная коммерция, компьютерная телефония и организация мгновенного обмена сообщениями. Одновременно выпущен релиз OTP 20.0 (Open Telecom Platform) — сопутствующего набора библиотек и компонентов для разработки распределённых систем на языке Erlang. В новой версии отмечена достаточно большая порция потенциальных нарушений совместности в ERTS (Erlang Run-Time System), в том числе объявлен устаревшим не-SMP Erlang VM, удален erlang:hash/2, Atoms теперь могут содержать произвольные символы unicode, удалены устаревшие модули и функции Asn1 (asn1rt, … Читать далее Релиз Erlang/OTP 20.0

Доступен релиз HTTP-сервера Apache 2.4.26, в котором представлено 63 изменения, 22 из которых связаны с исправлениями в модуле mod_http2. Из изменений можно отметить: C модуля mod_http2 снята метка экспериментальной разработки, реализация протокола HTTP/2 отныне признана готовой для повсеместного применения; Добавлен новый модуль mod_brotli для сжатия с использованием алгоритма Brotli (RFC 7932); В файле конфигурации обеспечено выполнение вложенных блоков If/ElseIf/Else; В mod_lua добавлена поддержка Lua 5.3; Изменено поведение mod_rewrite: если подстановка является полным URL, а схема/хост/порт совпадают с текущим виртуальным хостом, то компонент пути в URL больше не интерпретируется как локальны путь, если он присутствует в файловой системе. Для возвращения старого … Читать далее Выпуск http-сервера Apache 2.4.26 с полноценной поддержкой HTTP/2

В рамках проекта CloudStack-UI развивается альтернативный пользовательский интерфейс для платформы Apache CloudStack, предназначенной для организации гетерогенных решений виртуализации по моделям IaaS и PaaS. Новый интерфейс нацелен на провайдеров, предоставляющих аренду виртуальных машин по модели AWS с использованием гипервизора KVM и базовых зон Apache CloudStack. Продукт разработан с помощью технологий Angular, TypeScript, Material Design Lite и распространяется в соответствии с лицензией Apache 2.0. Особенности CloudStack-UI: Быстрое и интуитивно-понятное взаимодействие, благодаря SPA-интерфейсу и продуманной логике клиентского приложения. Создание виртуальной машины за один шаг, с немедленной диагностикой ошибок, возможностью их исправления и пересоздания виртуальной машины. Приложение запоминает положение пользователя в интерфейсе и позволяет … Читать далее Альтернативный пользовательский интерфейс для Apache CloudStack

Гвидо Вренкен (Guido Vranken), известный разработкой нескольких атак против различных реализаций SSL/TLS, опубликовал результаты fuzzing-тестирования кодовой базы пакета для создания виртуальных частных сетей OpenVPN, в результате которого им было выявлено 4 опасные уязвимости, одна из которых потенциально может привести к выполнению кода на сервере. Публикация сведений об уязвимостях скоординирована с разработчиками OpenVPN, благодаря чему уже опубликованы релизы OpenVPN 2.4.3 и 2.3.17, в которых устранены выявленные проблемы. При этом в дистрибутивах уязвимости пока остаются неисправлеными (Debian, RHEL, SUSE, Fedora, Ubuntu). Интересно, что незадолго до выявления уязвимостей, проект OpenVPN успешно прошёл два независимых аудита кодовой базы, которые не выявили данных проблем. Наиболее … Читать далее Серия критических уязвимостей в OpenVPN

Компания Google сообщила о прекращении поддержки приложения Android Market для платформы Android 2.1 и более ранних выпусков. Программы для старых устройств, выпущенных более 7 лет назад, теперь можно будет установить только в ручном режиме, предварительно загрузив APK-файл. В Android 2.2 каталог приложений продолжит работу без изменений, так как для данного выпуска кроме Android Market на замену доступно приложение Google Play. Читать далее Google прекращает поддержку Android Market в Android 2.1 и более ранних выпусках

Сформирован релиз Automake 1.15.1, утилиты для автоматической генерации make-файлов, соответствующих стандартам кодирования проекта GNU. Выпуск подготовлен спустя два с половиной года с момента прошлого выпуска и после почти полутора лет остановки разработки GNU Automake. В качестве ключевой цели выпуска отмечается устранение отображения предупреждений, связанных с переводом в разряд устаревших некоторых возможностей Perl и gzip. В скрипте compile по аналогии с Microsoft C Compiler добавлена поддержка Windows-версии компилятора icс (Intel C Compiler). В примечании к выпуску GNU Automake 1.15.1 также включено уведомление о ряде нарушений совместимости в будущей ветке Automake 2.0, разработка которой последние годы находилась в заброшенном состоянии. Например, работа … Читать далее Выпуск генератора файлов сборки GNU Automake 1.15.1