В федеральном окружном суде штата Калифорния (США) рассматривается дело о нарушении лицензии GPL, инициированное компанией Artifex, развивающей свободный пакет Ghostscript, против южнокорейской фирмы Hancom, выпускающей офисный пакет ThinkFree Office. Пакет Ghostscript распространяется под двойной лицензией — в случае открытия производных работ Ghostscript можно использовать бесплатно в рамках лицензии AGPL, а на случай если Ghostscript будет использован в составе закрытых продуктов, без раскрытия исходных текстов, предлагается коммерческая лицензия. Hancom использует Ghostscript в своих продуктах, но отказывается переходить на коммерческую лицензию или переводить свои продукты в разряд СПО. После выявления факта поставки Ghostscript в продуктах Hancom, компания Artifex предложила приобрести коммерческую лицензию … Читать далее Суд посчитал, что GPL попадает в область договорных отношений

Доступен релиз FreeType 2.8, модульного шрифтового движка, предоставляющего единый API для унификации обработки и вывода шрифтовых данных в различных векторных и растровых форматах. В новой версии доведена до конца работа по поддержке изменчивых шрифтов OpenType, определённых в спецификации OpenType 1.8, а также разработанного компанией Adobe формата шрифтов CFF2. В систему автоматического хинтинга добавлена поддержка 25 дополнительных видов письменности, включая нко и древнеливийское письмо. В изменчивых шрифтах толщина, ширина и другие стилистические характеристики глифа могут произвольно меняться. Вместо отдельного описания каждого представления, комбинации возможных вариантов определяются в одном шрифтовом ресурсе через определения возможных delta-отклонений от базового глифа с получением результата через … Читать далее Выпуск шрифтового движка FreeType 2.8

Спустя 11 месяцев с момента прошлого обновления (2.2.4) сформирован корректирующий релиз медиаплеера VLC 2.2.5.1, в котором устранены накопившиеся ошибки. В том числе устранены артефакты в виде зелёной линии при выводе видео на системах с проприетарными драйверами AMD, решены проблемы с искажением звука при воспроизведении некоторых mp3-файлов в macOS и 64-разрядных сборках Windows, улучшена обработка Lua-скриптов. Обновлены библиотеки для работы с кодеками. Устранены уязвимости в распаковщиках медиаконтейнеров и декодировщиках. Добавлена защита от подстановки вредоносных DLL на платформе Windows. Читать далее Обновление медиапроигрывателя VLC 2.2.5

Разработчики openSUSE предупредили о временном блокировании системы аутентификации и переводе в режим только для чтения некоторых сервисов проекта, включая форум, wiki и сборочную инфраструктуру Open Build Service. В качестве причины называется компрометация системы мультифакторной аутентификации, в результате которой злоумышленники могли получить доступ к учётным записям пользователей и разработчиков дистрибутива. Инцидент пока находится на стадии анализа и изучения имеющихся фактов, насколько далеко зашла атака пока не ясно. Средства аутентификации отключены до окончания разбирательства с целью защитить пользовательские данные и инфраструктуру от возможного распространения атаки. По имеющимся в текущий момент сведениям инцидент затрагивает только пользователей сторонних инфраструктур, в которых применялась общая с … Читать далее Некоторые сервисы openSUSE отключены из-за компрометации системы аутентификации

Компания Google анонсировала модульную систему Treble, которая позволит производителям создавать универсальные компоненты поддержки оборудования, не привязанные к конкретным версиям Android и используемым в них выпускам ядра Linux. Treble существенно упростит адаптацию новых версий Android для существующих устройств и поможет наладить оперативное создания обновлённых прошивок с актуальными выпусками Android. По аналогии с тем, как сейчас Android-приложения могут работать на любых устройствах с Android, Treble позволит использовать одни и те же драйверы с различными версиями Android. Если ранее производитель вынужден был портировать компоненты для поддержки оборудования для ядра каждого нового выпуска, то теперь для новых выпусков можно будет использовать уже подготовленную основу, … Читать далее Google представил прослойку для отделения поддержки оборудования от версий Android

Состоялся экспериментальный выпуск открытой реализации Win32 API — Wine 2.8. С момента выпуска версии 2.7 было закрыто 35 отчётов об ошибках. Наиболее важные изменения: Реализована возможность асинхронного выполнения обособленного потока обработки команд Direct3D; Улучшено автоопределение последовательных и параллельных портов; Внесены исправления, направленные на улучшение настроек для экранов с высокой плотностью пикселей (high DPI); На платформе macOS обеспечен вывод уведомлений в системный лоток; Закрыты отчёты об ошибках, связанные с работой игр и приложений: Chessbase Ludwig 3, MS Office 2007 SP3, Xvid 1.3.x, WinDjView, Prism Video Converter v2.48, Toad Data Modeler v5.4.8.1, Left 4 Dead 2 v2.1.4.6, Fill Up!, WindBot, B4J (Basic … Читать далее Выпуск Wine 2.8

Разработчики openSUSE предупредили о временном блокировании системы аутентификации и переводе в режим только для чтения некоторых сервисов проекта, включая форум, wiki и сборочную инфраструктуру Open Build Service. В качестве причины называется компрометация системы аутентификации, в результате которой злоумышленники могли получить доступ к учётным записям пользователей и разработчиков дистрибутива. Инцидент пока находится на стадии анализа и изучения имеющихся фактов, насколько далеко зашла атака пока не ясно. Средства аутентификации отключены до окончания разбирательства с целью защитить пользовательские данные и инфраструктуру от возможного распространения атаки на другие подсистемы. По имеющимся в текущий момент сведениям инцидент затрагивает только пользователей сторонних инфраструктур, в которых применялась … Читать далее Некоторые сервисы openSUSE отключены из-за взлома инфраструктуры

Доступен корректирующий выпуск растрового графического редактора GIMP 2.8.22, в котором отмечено 11 исправлений. В новом выпуске внесены изменения в организацию иерархии окон в однооконном режиме, что позволило добиться увеличения призводительности отрисовки при использовании некоторых видов тем оформления GTK+. Устранена уязвимость (CVE-2007-3126), которая теоретически могла привести к краху при попытке импорта специально оформленных изображений в формате ICO (ошибка оставалась в ветке 2.8, но не проявлялась). Устранены проблемы, приводящие к крахам на платформе macOS при выполнении операций с буфером обмена и перемещении элементов в режиме dragdrop. Устранён крах, проявляющийся на платформе Windows при использовании инструмента определения цвета точек в конфигурациях с несколькими … Читать далее Выпуск графического редактора GIMP 2.8.22

В Ubuntu временно заблокирована возможность использования гостевого сеанса в дисплейном менеджере LightDM из-за выявления уязвимости (CVE-2017-8900), которая позволяет получить доступ к файлам вне гостевой директории, в том числе к файлам в домашних каталогах обычных пользователей. Проблема проявляется начиная с Ubuntu 16.10 и вызвана прекращением применения ограничений AppArmor (в Ubuntu 16.04 и более ранних выпусках применялся профиль /usr/lib/lightdm/lightdm-guest-session) после перехода к использованию systemd для управления сеансами. В качестве возможного пути устранения проблемы рассматривается использование модуля pam_apparmor для применения ограничивающего профиля AppArmor. Читать далее Уязвимость в Ubuntu, открывающая доступ к чужим файлам из гостевого сеанса

Сформирован корректирующий выпуск пакета OpenVPN 2.4.2, в состав которого вошли исправления, устраняющие проблемы, выявленные в результате независимого аудита механизмов шифрования. Одновременно опубликован отчёт с раскрытием деталей аудита. Напомним, что аудит был инициирован фондом OSTIF (Open Source Technology Improvement Fund) и выполнен французской компанией QuarksLab, которая уже привлекалась для аудита проекта VeraCrypt. На основании выработанных в ходе проверки рекомендаций в OpenVPN 2.4.2 внесено семь исправлений: устранена одна опасная проблема, одна уязвимость средней степени опасности и пять несущественных недоработок. В частности, исправлены следующие уязвимости: CVE-2017-7478 — аутентифицированый пользователь может инициировать отказ в обслуживании VPN-сервера через отправку слишком большой порции данных в пакете … Читать далее Выпуск OpenVPN 2.4.2, в котором отражены результаты аудита безопасности

Группа исследователей из Нью-Йоркского университета разработала метод для генерации фиктивных отпечатков пальцев, которые можно использовать для разблокировки чужих смартфонов. По заявлению исследователей сгенерированные универсальные отпечатки позволяют разблокировать смартфон с вероятностью от 26% до 65%, в зависимости от модели смартфона, при предоставлении пяти попыток разблокировки. Метод основан на том, что обычно в смартфонах используются датчики, обладающие небольшим разрешением и охватывающие не весь рисунок кожи на пальце, а лишь небольшую его часть. Для того чтобы пройти аутентификацию в условиях информации о небольшом участке кожи программное обеспечение для выявления уникальных элементов рисунка кожи выполняет сопоставление с шаблонами небольших фрагментов, а не целого отпечатка. … Читать далее Метод создания фиктивных отпечатков пальцев для разблокировки смартфонов

Организация The Document Foundation объявила о выходе LibreOffice 5.3.3, третьего корректирующего выпуска из семейства LibreOffice 5.3 «fresh». Версия 5.3.3 ориентирована на энтузиастов, опытных пользователей и тех, кто предпочитает самые свежие версии программного обеспечения. Для консервативных пользователей и предприятий пока рекомендуется использовать выпуск LibreOffice 5.2.7. Готовые установочные пакеты подготовлены для платформ Linux, macOS и Windows. Обновление включает 75 исправлений (RC1, RC2), в том числе обновлены монохромные пиктограммы Sifr и устранены проблемы, связанные с совместимостью с документами Microsoft Office. Читать далее Обновление офисного пакета LibreOffice 5.3.3

Компания Mozilla объявила о расширении инициативы по выплате вознаграждений за выявления уязвимостей. До сих пор вознаграждения начислялись только за информацию об уязвимостях в продуктах Mozilla, но уязвимости на сайтах и web-сервисах для разработки, таких как mozilla.org и bugzilla.org, представляют не меньшую опасность и могут быть применены для атаки на всю инфраструктуру. Отныне вознаграждение можно будет получить и за сведения о проблемах с безопасностью на сайтах Mozilla. За информацию об уязвимости, позволяющей выполнить код на сервере будет выплачено вознаграждение в $5000 для ключевых сайтов Mozilla, $2500 для основных сайтов Mozilla и $500 для вторичных ресурсов Mozilla. За сведения об обходе механизмов … Читать далее Инициатива по выплате вознаграждений за поиск уязвимостей на сайтах Mozilla

Компания Яндекс опубликовала исходные тексты проекта Gixy, в рамках которого развивается статический анализатор, предназначенный для выявления проблемных настроек в файлах конфигурации nginx, которые могут отрицательно повлиять на безопасность. Код написан на языке Python и распространяется под лицензией MPL 2.0. В настоящее время Gixy включает следующие плагины, выявляющие различные классы проблем: ssrf — выявляет уязвимость Server Side Request Forgery, позволяющую выполнять различного рода запросы от имени Nginx. Проблема возникает, когда атакующий может контролировать адрес проксируемого сервера (второй аргумент директивы proxy_pass); http_splitting — выявляет уязвимость HTTP Splitting, возникающую из-за неправильной обработки входных данных. Уязвимость может применяться для атак на приложение стоящее за … Читать далее Yandex опубликовал статический анализатор файлов конфигурации nginx

Состоялся первый стабильный выпуск распределённой СУБД CockroachDB, позволяющей создавать высоконадёжные горизонтально масштабируемые хранилища. При помощи CockroachDB можно развернуть географически распределённые системы, отличающиеся высокой живучестью и не зависящие от сбоев дисков, узлов и даже выхода из строя целых центров обработки данных. Ситуации сбоев обрабатываются автоматически и работа восстанавливается с минимальными задержками. При этом CockroachDB гарантирует целостность ACID-транзакций, предоставляет возможность использования SQL для манипуляции с данными, позволяет вносить изменения в схему хранения на лету, поддерживает индексы и внешние ключи. CockroachDB разработан под впечатлением от технологий Google Spanner и F1, но в отличие от них является полностью открытым продуктом. Код проекта написан на … Читать далее Первый стабильный выпуск отказоустойчивой СУБД CockroachDB

Опубликован первый стабильный выпуск web-фреймворка GNU Artanis, развиваемого в рамках проекта GNU. Фреймворк написан на функциональном языке программирования Scheme (реализация от проекта Guile) и ориентирован на создание динамических сайтов, web-приложений и web-сервисов. Целью разработки GNU Artanis является предоставление возможности построения сайтов GNU с использованием языка Guile Scheme, который является официальным языком для разработки расширений GNU. Код поставляется под лицензиями GPLv3+ и LGPLv3+. Проектом применяется Sinatra-подобная система проброса запросов. Предоставляются компоненты для доступа к базам данных (MySQL, SQLite, PostgreSQL), управления сеансами, использования шаблонов, кэширования страниц, построения RESTful-сервисов и обработки форматов JSON/CSV/XML/SXML. Для самодостаточного применения поставляется встроенная реализация web-сервера с обработчиком ошибок. … Читать далее Проект GNU представил web-фреймворк GNU Artanis

Представлен новый стабильный релиз интерфейса для упрощения настройки параметров сети — NetworkManager 1.8. Вместе с NetworkManager выпущен апплет с реализацией индикатора для панели GNOME, но плагины для поддержки VPN, OpenConnect, PPTP, OpenVPN и OpenSWAN развиваются в рамках собственных циклов разработки. Ключевые новшества NetworkManager 1.8: Изменена логика восстановления состояния после перезапуска фонового процесса NetworkManager. Перед остановкой NetworkManager теперь сохраняет в файл текущее состояние сетевых настроек и восстанавливает его после перезапуска. Указанный подход позволяет избавиться от неопределённости с восстановлением настроек во время перезапуска — просто восстановить определённые в файлах конфигурации настройки недостаточно, так как в этом случае потеряются ручные изменения. Восстановление на … Читать далее Релиз сетевого конфигуратора NetworkManager 1.8

После трёх месяцев разработки опубликован релиз свободной реализации OpenGL API — Mesa 17.1. По сравнению с прошлым выпуском внесено около 3000 изменений от примерно 140 разработчиков. Первый выпуск ветки Mesa 17.1.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 17.1.1. Наиболее заметные изменения: В драйвере i965 для чипов Intel Ivy Bridge обеспечена поддержка OpenGL 4.2, что позволило добиться паритета функциональности с OpenGL-драйверами для Windows, macOS и Android; Реализована поддержка кэширования шейдеров на диске, что позволяет ускорить запуск и сократить время компиляции шейдеров в некоторых играх; Существенно увеличена производительность игр компании Feral Interactive, которая также предоставила … Читать далее Релиз Mesa 17.1.0

Представлен выпуск проприетарного браузера Opera 45, основанного на кодовой базе Chromium. Сборки сформированы для платформ Linux, macOS и Windows. Выпуск примечателен интеграцией наработок, развивавшихся в рамках экспериментального браузера Opera Neon, оценивающего новые методы взаимодействия в Web. В Opera 45 перенесена новая боковая панель, по умолчанию отображаемая на стартовой странице, и легко активируемая для отображения во время просмотра вкладок через специальный переключатель. Панель позволяет не только быстро вызывать функции просмотра истории посещений и закладок, но и предоставляет встроенные средства обмена сообщениями через Facebook Messanger, Telegram и WhatsApp. Мессенджеры уже закрепились на смартфонах как одно из самых популярных средств не только для … Читать далее Выпуск web-браузера Opera 45 с интеграцией наработок проекта Opera Neon

Исследователи безопасности из группы Zero, созданной компанией Google для предотвращения атак, совершаемых с использованием ранее неизвестных уязвимостей, опубликовали технику эксплуатации уязвимости (CVE-2017-7308) в ядре Linux, позволяющей поднять свои привилегии в системе через передачу специально оформленных параметров при манипуляции с RAW-сокетами AF_PACKET. Уязвимость проявляется в ядрах до 4.10.6 при включении сокетов AF_PACKET с поддержкой кольцевых буферов TPACKET_V3 ( «CONFIG_PACKET=y», в большинстве дистрибутивов включены по умолчанию). Проблема была выявлена в результате fuzzing-тестирования системных вызовов ядра Linux. Опубликован прототип эксплоита, работоспособного в Ubuntu 16.04.2 с ядром 4.8.0-41-generic с включенными механизмами защиты KASLR, SMEP и SMAP. Уязвимость вызвана целочисленным переполнением в функции packet_set_ring() для … Читать далее Локальная root-уязвимость в реализации сокетов AF_PACKET в ядре Linux

Организация Open Invention Network (OIN), ставящая перед собой цель защиты экосистемы Linux от патентных претензий, сообщила о расширении списка пакетов, на которые распространяется соглашение о невыдвижении патентных претензий и предоставлении возможности безвозмездного использования некоторых запатентованных технологий. Список компонентов дистрибутивов, подпадающих под определение системы Linux («Linux System»), на которую распространяется соглашение между участниками OIN, расширен на 395 пакетов. Из внесённых в список новых пакетов отмечаются Ansible, Kubernetes, Cockpit, Nagios, Ganglia, AVFS, Babel, crypto-utils, ModemManager, gpsd, ntfs3g, Cython, etcd, tmux, strongswan, составные части ChromeOS и компоненты, связанные с контейнерной изоляцией (criu, snappy, ostree, sandbox, наработки проекта Atomic). В итоге определение системы Linux … Читать далее Организация OIN включила 395 новых пакетов в программу защиты Linux от патентных претензий