В сервере NFS (NFSv2 и NFSv3), входящем в состав ядра Linux, выявлена удалённо эксплуатируемая уязвимость (CVE-2017-7895), позволяющая прочитать содержимое произвольных областей памяти ядра и пространства пользователя (от 1 до 4 Мб) через отправку специально оформленных запросов к NFS. Для успешного проведения атаки необходимо наличие доступного на запись NFS-раздела, примонтированного в системе с которой совершается атака. Проблема вызвана ошибкой, внесённой при добавлении изменения в код fs/nfsd более 10 лет назад (при подготовке ядра 2.6.22). Уязвимость устранена в выпусках 4.11 и 4.10.13. В дистрибутивах проблема пока остаётся неисправленной (Debian, RHEL, Ubuntu, SUSE). Читать далее Уязвимость в реализации NFS-сервера, поставляемой в ядре Linux

Выпущены новые версии фреймворка Redisson, основанного на Redis и представляющего полный набор Java-объектов и сервисов, которые необходимы для создания распределенных приложений. Код проекта написан на языке Java и поставляется под лицензией Apache 2.0. Redisson может работать с любыми конфигурациями Redis: Master/Slave, Sentinel, Cluster, а также в облачной инфраструктуре AWS Elasticache и Azure Redis Cache. Предоставляется более 30 распределенных объектов, коллекций, локов и сервисов. Также есть интеграция с Tomcat, Hibernate и Spring. В версиях 2.9.0 и 3.4.0 появилась реализация фреймворка MapReduce для всех коллекций типа Map, List и Set. Читать далее Выпуск Redisson 2.9.0 и 3.4.0, In-Memory Data Grid для Java

Состоялся релиз GStreamer 1.12, написанного на языке Си кроссплатформенного набора компонентов для создания широкого спектра мультимедиа приложений, от медиаплееров и конвертеров аудио/видео файлов, до VoIP-приложений и систем потокового вещания. Код GStreamer распространяется под лицензией LGPLv2.1. Одновременно доступны обновления плагинов gst-plugins-base 1.12, gst-plugins-good 1.12, gst-plugins-bad 1.12, gst-plugins-ugly 1.12, а также обвязка gst-libav 1.12 и сервер потокового вещания gst-rtsp-server 1.12. На уровне API и ABI новый выпуск обратно совместим с веткой 1.0. Бинарные сборки в скором времени будут подготовлены для Android, iOS, macOS и Windows (в Linux рекомендуется использовать пакеты из дистрибутива). Ключевые улучшения GStreamer 1.12: Новый плагин msdk, позволяющий использовать Intel … Читать далее Выпуск мультимедийного фреймворка GStreamer 1.12

В системе управления web-контентом WordPress выявлена уязвимость (CVE-2017-8295), позволяющая получить контроль за аккаунтом через манипуляции с формой сброса пароля. В частности, атакующий может без прохождения необходимой аутентификации организовать отправку владельцу аккаунта письма с кодом сброса пароля и подконтрольным email в поле отправителя (From/Return-Path). Несмотря на то, что информация об уязвимости несколько раз отправлялась разработчикам WordPress (первое уведомление было отправлено летом прошлого года), проблема до сих пор остаётся неисправленной и проявляется во всех версиях WordPress, включая самый свежий выпуск 4.7.4. Возможность подстановки своего значения email отправителя вызвано тем, что WordPress формирует содержимое полей From и Return-Path на основе переменной $_SERVER[‘SERVER_NAME’], значение … Читать далее Уязвимость, позволяющая получить контроль за WordPress через форму сброса пароля

Представлен проект Kryptonite, предлагающий хранить закрытые ключи SSH на смартфоне, вместо размещения в файле ~/.ssh/id_rsa. Kryptonite состоит из двух частей — ssh-агента, запускаемого на стороне рабочих станций, и мобильного приложения для Android и iOS, занимающегося хранением ключей. Агент написан на языке Go и распространяется в исходных текстах, но лицензия на код пока не определена. Kryptonite может рассматриваться как подобие двухфакторной аутентификации для доступа к SSH-ключам. Все операции с ключами выполняются на смартфоне, а размещаемый на локальной системе агент лишь получает результат операции, выполненной на стороне смартфона с закрытым ключом. На локальной системе ключи не фигурируют ни в каком виде. Каждая … Читать далее Проект Kryptonite развивает систему хранения закрытых ключей SSH на смартфоне

После 6 месяцев разработки представлен релиз свободного дистрибутива OpenIndiana 2017.04, пришедшего на смену бинарному дистрибутиву OpenSolaris, развитие которого было прекращено компанией Oracle. OpenIndiana предоставляет пользователю рабочее окружение, построенное на базе свежего среза кодовой базы проекта Illumos. Непосредственно разработка технологий OpenSolaris продолжается проектом Illumos, в котором развивается ядро, сетевой стек, файловые системы, драйверы, а также базовый набор пользовательских системных утилит и библиотек. Для загрузки сформировано три вида iso-образов — серверная редакция с консольными приложениями (639 Мб), минимальная сборка (383 Мб) и сборка с графическим окружением MATE (1.5 Гб). Основные изменения в OpenIndiana 2017.04: В USB-стек добавлена поддержка устройств USB 3.0; Переработан … Читать далее Выпуск дистрибутива OpenIndiana 2017.04, продолжающего развитие OpenSolaris

В гипервизоре Xen выявлены три уязвимости (XSA-213, XSA-214 и XSA-215), каждая из которых позволяет выйди за пределы текущего гостевого окружения. Уязвимости также могут использоваться для обхода механизмов изоляции в ОС Qubes. Проблемы выявлены исследователями безопасности из группы Zero, созданной компанией Google для предотвращения атак, совершаемых с использованием ранее неизвестных уязвимостей. Исправления пока доступны в виде патчей. CVE-идентификатор пока не присвоен. Некоторые провайдеры публичных облачных систем были уведомлены о проблеме две недели назад и уже устранили уязвимость. Всем пользователям Xen и провайдерам, не включённым в список упреждающей отправки уведомлений, рекомендуется срочно установить обновление. Для эксплуатации всех уязвимостей атакующий должен иметь доступ … Читать далее Уязвимости в гипервизоре Xen, позволяющие выйти за пределы гостевого окружения

Разработчики проекта OpenBSD опубликовали выпуск переносимой редакции пакета LibreSSL 2.5.4, в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. Проект LibreSSL ориентирован на качественную поддержку протоколов SSL/TLS с удалением излишней функциональности, добавлением дополнительных средств защиты и проведением значительной чистки и переработки кодовой базы. В новой версии: Отменено изменение, привязавшее код возврата и код ошибки при выполнении callback-обработчиков верификации сертификатов, что нарушало документированный API и приводило к пропуску проверки сертификатов в nginx и некоторых других программах (CVE-2017-8301); Реализация вызова getrandom() в Linux переведена на работу в неблокирующем режиме с задействованием запасного обработчика в случае сбоя, что позволяет … Читать далее Выпуск LibreSSL 2.5.4 с устранением уязвимости

Разработчики SeaMonkey поделились планами по дальнейшей разработке проекта, в условиях прекращения поддержки XUL-дополнений в ноябрьском выпуске Firefox 57 и полном переходе Mozilla на WebExtensions. XUL является ключевой технологией при построении интерфейса SeaMonkey и для перехода на WebExtensions требуется почти полная переработка проекта. SeaMonkey поддерживается небольшой группой энтузиастов (7 основных разработчиков), которые занимаются поддержанием проекта в своё свободное время и не имеют ресурсов для выполнения портирования на WebExtensions или создания форка кода для поддержки XUL. Ситуация такова, что имеющаяся команда кое-как справляется с сопровождением текущей кодовой базы и уход даже одного из ключевых участников скорее всего приведёт к невозможности поддерживать проект. … Читать далее Существование SeaMonkey в условиях прекращения поддержки XUL в Firefox

Компания Google представила релиз операционной системы Chrome OS 58, основанной на ядре Linux, системном менеджере upstart, сборочном инструментарии ebuild/portage, открытых компонентах и web-браузере Chrome 58. Пользовательское окружение Chrome OS ограничивается web-браузером, а вместо стандартных программ задействованы web-приложения, тем не менее, Chrome OS включает в себя полноценный многооконный интерфейс, рабочий стол и панель задач. Сборка Chrome OS 58 доступна для всех актуальных моделей Chromebook, за исключением Acer Chromebase 24, Acer Chromebook R11, AOpen Chromebase Mini, AOpen Chromebox Mini, Google Chromebook Pixel (2015), ASUS Chromebook Flip C100PA, Dell Chromebook 11 (3120), Lenovo ThinkPad 11e Chromebook и Samsung Chromebook Plus. Энтузиастами сформированы неофициальные … Читать далее Выпуск операционной системы Chrome OS 58

После полутора лет разработки сформирован релиз Neovim 0.2, ответвления от редактора Vim, сфокусированного на повышении расширяемости и гибкости. В рамках проекта Neovim уже более трёх лет проводится агрессивная переработка кодовой базы Vim, в результате которой вносятся изменения, упрощающие сопровождение кода, предоставляющие средства разделения труда между несколькими мэйнтейнерами, отделяющие интерфейс от базовой части (интерфейс можно менять не трогая внутренности) и реализующие новую расширяемую архитектуру на основе плагинов. Из проблем Vim, побудивших к созданию Neovim, отмечается раздутая монолитная кодовая база, состоящая более чем из 300 тысяч строк кода на языке Си (C89). Во всех нюансах кодовой базы Vim разбирается всего несколько человек, … Читать далее Доступен Neovim 0.2, модернизированный вариант редактора Vim

Увидел свет свободный гипервизор Jailhouse 0.7, развиваемый компанией Siemens. Гипервизор поддерживает работу на системах x86_64 с расширениями VMX+EPT или SVM+NPT (AMD-V), а также на процессорах ARMv7 (Banana Pi, NVIDIA Jetson TK1, Versatile Express с Cortex-A15 или A7) и ARMv8/ARM64 (AMD Seattle, LeMaker HiKey, NVIDIA Jetson TX1, Xilinx ZCU102 ) с расширениями для виртуализации. Код проекта распространяется под лицензией GPLv2. Гипервизор реализован в виде модуля для ядра Linux и обеспечивает виртуализацию на уровне ядра. Для управления изоляцией используются предоставляемые современными CPU аппаратные механизмы виртуализации. Отличительными особенностями Jailhouse являются легковесная реализация и ориентация на привязку виртуальных машин к фиксированному CPU, области ОЗУ … Читать далее Представлен открытый гипервизор Jailhouse 0.7, развиваемый компанией Siemens

Доступен новый выпуск экспертной системы для проверки лицензий установленных программ, которая отображает лицензию, условия распространения, примерную стоимость (если программа платная) и свободно распространяемую замену (если есть). Интерфейс полностью на русском языке. Работает на операционных системах семейства Windows. Код распространяется под лицензией GPLv3. Функциональные возможности Lpro: Поиск платных, условно-бесплатных и свободных программ на компьютере; Поиск программ по названию в базе данных; Поиск следов программ в указанной папке; Просмотр информации об установленных на компьютере программах; Подбор свободно-распространяемой замены; Сортировка результатов поиска (по названию, по типу, по лицензии, по стоимости, по замене); Экспорт результатов поиска в HTML и CSV; Передача результатов поиска в … Читать далее Релиз Lpro 1.4.3, инструмента для проверки лицензий программ

Компания «Перкона» (Percona) объявила о выходе расширенной версии открытого продукта Percona XtraDB Cluster 5.7, предоставляющего решение для создания кластеров с синхронной репликаций между узлами, работающими в режиме multi-master и обеспечивающими бесперебойную работу приложений. Система основана на наработках Percona Server 5.7, и Codership Galera Replicator 3.17. Исходные тексты проекта распространяются под лицензией GPLv2. Версия 5.7.17-29.20 более стабильна, значительно ускоряет работу кластера для ряда сценариев использования, а также предлагает расширенные возможности мониторинга кластера и отслеживания передачи данных. Особенностями выпуска также являются улучшенная производительность, полная совместимость с ProxySQL, Percona XtraBackup, Percona Monitoring and Management, а также возможность запуска Percona XtraDB Cluster из контейнера … Читать далее Вышел Percona XtraDB Cluster 5.7.17-29.20

В конце апреля истёк срок действия последнего патента (US6009399A), затрагивающего формат цифрового кодирования звука MP3. Компания Technicolor официально закрыла программу лицензирования, в рамках которой производился сбор отчислений с производителей оборудования и ПО, реализующих кодировщики и декодировщики MP3. В действии остаются два сторонних патента (5924060 до 29 августа 2017 года и 5703999 до 30 декабря 2017 года), описывающие расширенные техники оптимизации в высококачественных кодировщиках, но они не охватывают все реализации и не подпадают под официальную программу лицензирования. Реализации декодировщиков и базовых кодировщиков MP3 теперь могут быть включены в состав дистрибутивов, не допускающих поставку пакетов, обременённых патентами на ПО. Проект Fedora осенью … Читать далее Истёк срок действия патентов на MP3

После года разработки состоялся релиз свободного набора компиляторов GCC 7.1, первый значительный выпуск в новой ветке GCC 7.x. Релиз приурочен к 30-летию с момента формирования первого выпуска GCC 1.0. В соответствии с новой схемой нумерации выпусков, версия 7.0 использовалась в процессе разработки, а незадолго до выхода GCC 7.1 уже ответвилась ветка GCC 8.0, на базе которой будет сформирован следующий значительный релиз GCC 8.1. GCC 7.1 примечателен удалением из состава компилятора для языка Java, реализацией экспериментальной поддержки грядущего стандарта C++17, расширением средств диагностики, реализацией новых оптимизаций, поддержкой OpenMP 4.5 для GPGPU NVidia PTX, поддержкой набора инструкций RISC-V, поддержкой операционной системы Fuchsia, … Читать далее Релиз набора компиляторов GCC 7

Компания Intel сообщила об устранении критической уязвимости, позволяющей непривилегированному атакующему получить доступ к функциям удалённого управления оборудованием. Проблема затрагивает серверные системы с чипами, предоставляющими независимые интерфейсы Intel Active Management Technology (AMT), Intel Standard Manageability (ISM) и Intel Small Business Technology (SBT), применяемые для мониторинга и управления оборудованием. Утверждается, что уязвимость проявляется в версиях прошивок с 6 по 11.6 включительно. Персональные компьютеры на чипах Intel проблеме не подвержены. Описывается два возможных вектора атаки — сетевой и локальный. При сетевой атаке злоумышленник может получить привилегии для управления системой через AMT и ISM (сетевые порты 16992 и 16993, проброс на которые осуществляется автоматически … Читать далее Intel устранил удалённую уязвимость в технологии AMT (Active Management Technology)

После более четырёх лет разработки состоялся релиз проекта Rockbox 3.14, в рамках которого развивается альтернативная прошивка для многих моделей аудиоплееров. По сравнению с штатными прошивками Rockbox обеспечивает поддержку дополнительных форматов, набор расширенных функций и большую коллекцию плагинов. Проект не основан на Linux и поставляется с POSIX-совместимым ядром собственной разработки. Rockbox распространяется под лицензией GPL и может быть загружен с карты памяти, без удаления основной прошивки плеера. Среди доступных в Rockbox функций: будильник, просмотр документов, фотографий и видео (3gp), голосовой интерфейс, поддержка Cue, возможность вывода текстов песен и обложек альбомов, гибкая система закладок, диктофон, запись с FM Radio, простой файловый менеджер. … Читать далее Релиз Rockbox 3.14, открытой прошивки для аудиоплееров

Доступен релиз растрового графического редактора Krita 3.1.3, развиваемого для художников и иллюстраторов. Редактор поддерживает многослойную обработку изображений, предоставляет средства для работы с различными цветовыми моделями и обладает большим набором средств для цифровой живописи, создания скетчей и формирования текстур. Для установки подготовлены самодостаточные образы в форматах AppImage и Snap для Linux (для Ubuntu дополнительно подготовлен PPA), а также бинарные сборки для macOS и Windows. Кроме исправления ошибок в новой версии добавлена возможность одновременно запуска нескольких экземпляров Krita, реализована функция для масштабирования вокруг точки привязки, для инструмента по умолчанию представлено контекстное меню с опциями копирования, вырезания, вставки и группировки объектов. Также предложен … Читать далее Выпуск растрового графического редактора Krita 3.1.3

Представлен релиз пакета Rakudo Star 2017.04, включающего компилятор Rakudo, виртуальную машину MoarVM, документацию, модули и инструменты, необходимые для разработки на языке Perl 6. Компилятор соответствует спецификации Perl v6.c, за исключением поддержки расширенных макросов, неблокирующего ввода/вывода и ряда мелких особенностей, которые планируется довести до рабочего состояния в будущих выпусках. В качестве виртуальной машины для исполнения байткода предлагается MoarVM, которая проходит все тесты (альтернативный бэкенд на базе JVM пока не обладает всей необходимой функциональностью). В новой версии отмечается большая порция важных улучшений в подсистеме ввода/вывода и утилите для установки модулей «zef«. В состав также включена новая версия модуля DBIish с поддержкой pg-consume-input … Читать далее Выпуск Rakudo Star 2017.04, дистрибутива Perl 6

Разработчики проекта OpenBSD сообщили об удалении из кодовой базы OpenSSH всех компонентов, связанных в реализацией протокола SSH1. Таким образом следующий выпуск OpenSSH 7.5 будет лишён возможности сборки с поддержкой SSH1 на стороне клиента (серверная часть давно удалена), что не позволит использовать его для соединения с устаревшими системами и некоторым оборудованием (например, некоторые модели Cisco и HUAWEI). Во многих дистрибутивах OpenSSH уже достаточно давно собирается без SSH1, но до сих пор имелась возможность самостоятельно пересобрать OpenSSH с поддержкой SSH1. Напомним, что протокол SSHv1 был признан устаревшим около 10 лет назад. Кроме недостаточного уровня защиты, сохранение SSHv1 накладывает определённые ограничения на кодовую … Читать далее Из OpenSSH удалена поддержка протокола SSH1