Доступен новый выпуск основной ветки высокопроизводительного HTTP-сервера nginx 1.11.9, в котором реализованы следующие изменения: В модуле stream исправлена ошибка, которая приводила к повышенной нагрузке на процессор; В почтовом прокси-сервере исправлена ошибка, при которой метод аутентификации EXTERNAL можно было использовать, даже если он не был разрешён в конфигурации; В модуле stream устранен крах (segmentation fault) рабочего процесса, проявляющийся при использовании директивы ‘ssl_verify_client’; В модуле stream исправлена ошибка из-за которой директива ‘ssl_verify_client’ могла не работать; Исправлена ошибка, приводившая к излишне агрессивному закрытию keepalive-соединений при исчерпании рабочим процессом свободных соединений; В директиве sendfile исправлена ошибка, из-за которой на системах FreeBSD и macOS мог … Читать далее Выпуск nginx 1.11.9

В systemd 228 выявлена опасная локальная уязвимость, которая позволяет непривилегированному пользователю выполнить свой код с правами root. Выпуск systemd 228 лежит в основе дистрибутива SUSE Linux Enterprise 12 SP2 и также применялся в Ubuntu Touch 15.04. Debian и RHEL проблеме не подвержены, но не исключено, что проблема перенесена в некоторые дистрибутивы, явно не использующие версию 228, в процессе бэкпортирвоания новых возможностей в старые пакеты с systemd. Уязвимость вызвана тем, что при использовании таймеров systemd выполнение функции touch() приводит к созданию файлов в директории /run, /var/run и /var/lib/systemd/timers/ с правами 07777. Проблема присутствует в кодовой базе systemd только в выпуске 228 … Читать далее В systemd 228 обнаружена локальная root-уязвимость

Официально представлен релиз web-браузера Firefox 51, а также мобильной версии Firefox 51 для платформы Android. В ближайшие часы ожидается обновление прошлой ветки с длительным сроком поддержки 45.7. Выпуск SeaMonkey 2.48 планируется сформировать в феврале. В скором времени на стадию бета-тестирования перейдёт ветка Firefox 52 и будет отделён Firefox Developer Edition 53. В соответствии с шестинедельным циклом разработки релиз Firefox 52 намечен на 7 марта, а Firefox 53 на 18 апреля. Основные новшества: Добавлена встроенная поддержка звукового кодека FLAC (Free Lossless Audio Codec), развиваемого сообществом Xiph.Org и обеспечивающего уровень сжатия звукового потока в 50-60% без потери качества (lossless). FLAC поддерживается в … Читать далее Релиз Firefox 51

Разработчики проекта Lineage OS, пришедшего на смену CyanogenMod после отказа от проекта компании Cyanogen Inc, сообщили о подготовке сборочной инфраструктуры к публикации сборок. На сайте проекта подготовлен раздел загрузки, запущен wiki с информацией о поддерживаемых устройствах и реализован отчёт со статистикой установок. В список поддерживаемых устройств включено более 80 смартфонов, совместимых с Android Marshmallow (6.x) и Nougat (7.x). Для загрузки пока подготовлено несколько сборок (Nexus 6, Nexus 5, OnePlus One, Moto G4, Moto X, Moto G, Xiaomi Mi4, Samsung Galaxy S3), но в дальнейшем сборки планируется сформировать для всех поддерживаемых устройств. Обновления планируется выпускать еженедельно. Кроме обычных еженедельных обновлений дополнительно … Читать далее Доступны первые сборки проекта Lineage OS, продолжившего развитие CyanogenMod

Представлен выпуск мультимедиа проигрывателя SMPlayer 17.1, выполненного в форме графической надстройки над MPlayer или MPV. SMPlayer отличается легковесным интерфейсом с возможностью смены тем оформления, поддержкой воспроизведения роликов с Youtube, поддержкой загрузки субтитров с opensubtitles.org, гибкими настройками воспроизведения (например, можно поменять скорость воспроизведения). Программа написана на языке C++ с использованием библиотеки Qt и распространяется под лицензией GPLv2. Бинарные сборки сформированы для Fedora, Ubuntu и Windows. В новой версии реализована экспериментальная поддержка отправки видео на внешний телевизор с использованием устройства Chromecast. Через Chromecast можно воспроизводить как локальные файлы, так и перенаправлять потоковое вещание и вывод от сервисов, подобных YouTube, Dailymotion, Vimeo и … Читать далее Новая версия медиапроигрывателя SMPlayer 17.1

Компания Microsoft объявила об открытии компилятора шейдеров DirectX Shader Compiler, предназначенного для трансляции шейдеров на языке HLSL (High-Level Shader Language, присутствует начиная с DirectX 9.0) в новый бинарный формат DXIL (DirectX Intermediate Language), поддерживаемый в DirectX 12. Код открыт под лицензией MIT и реализован в форме модифицированной версии LLVM/Clang. Для сообщества проект представляет интерес как отправная точка для создания трансляторов с HLSL/DXIL на языки GLSL и SPIR-V, чему способствует наличие готовых компонентов для трансляции в промежуточное представление LLVM. Код также может быть использован проектом Wine в бэкенде Gallium3D (state tracker) с реализацией DirectX 12. Читать далее Microsoft открыл код DirectX Shader Compiler

В браузерном дополнении, устанавливаемом при использовании платформы для проведения web-конференций Cisco WebEx, выявлена показательная уязвимость, позволяющая при открытии в браузере специально оформленной страницы выполнить код на уровне операционной системы с правами текущего пользователя. Платформа WebEx получила большое распространение в корпоративной среде и насчитывает более 20 млн пользователей. Уязвимость вызвана наличием предопределённого идентификатора, позволяющего передать дополнению команды. В частности, команды можно передать через запрос специально оформленно страницы, обращение к которой может быть скрыто от пользователя путем применения блоков iframe. Так как дополнение реализовано в виде надстройки над нативным кодом, вызываемым при помощи API nativeMessaging, атакущие могут добиться выполнения вызовов nativeMessaging от … Читать далее В браузерном дополнении Cisco WebEx выявлен URL, позволяющий выполнить код в системе

После шести месяцев разработки состоялся релиз кроссплатформенного фреймворка Qt 5.8, продолжившего развитие ветки Qt 5.x. Исходные тексты компонентов Qt поставляются под лицензиями LGPLv3 и GPLv2, инструменты Qt для разработчиков, такие как Qt Creator и qmake, а также некоторые модули поставляются под лицензией GPLv3. Выпуск примечателен началом реализации идей, предложенных в рамках инициативы Qt Lite, нацеленной на предоставление возможности формирования сборок Qt, содержащих только необходимые компоненты. Основные изменения: Включены наработки по обеспечению гранулированной сборки, позволяющие собирать модули, выборочно активируя только необходимую функциональность. Отныне Qt позволяет не только манипулировать подключением отдельных модулей, но и управлять составом модулей. Отключенная функциональность не включается в … Читать далее Релиз фреймворка Qt 5.8

Исследователи безопасности, изучающие поражение вредоносным ПО незащищённых систем с СУБД MongoDB, опубликовали обновление статистики. За неделю вымогатели довели до 40 тысяч число захваченных систем c СУБД MongoDB, на которых под видом применения шифровальщика удаляются все данные и публикуется требование заплатить выкуп за восстановление. Также зафиксированы атаки и на другие хранилища, доступ к которым оставлен открытым без аутентификации. В частности, похожим способом поражено более 5 тысяч серверов с Elastic Search и около 500 серверов с СУБД Apache CouchDB. Число уязвимых систем, потенциально доступных для атаки, оценивается в 33000 и 4600 серверов Elastic Search и CouchDB, соответственно. Также начинается волна атак на … Читать далее Следом за MongoDB начались атаки на CouchDB, Hadoop и ElasticSearch

Проект CoreOS, развивающий основанное на идеях контейнерной изоляции серверное окружение, представил релиз etcd 3.1, высоконадёжного распределённого хранилища параметров конфигурации, задаваемых в форме ключ/значение. Основным назначением etcd является предоставление унифицированного механизма хранения конфигурации и информации о работающих сервисах для изолированных контейнеров с типовой начинкой. Код etcd написан на языке Go и распространяется под лицензией Apache 2.0. Etcd позволяет организовать единое хранилище конфигурации для группы серверов, которое реплицируются на все узлы и поддерживается в синхронизированном состоянии с использованием протокола Raft. Наличие копии данных на всех хостах позволяет исключить потерю конфигурации при выходе из строя отдельного узла. В etcd также могут сохраняться временные … Читать далее Релиз распределенной системы хранения конфигурации etcd 3.1

Джонатан Риддел (Jonathan Riddell), развивающий дистрибутив KDE Neon, предупредил пользователей о проблемах с безопасностью на одном из зеркал, на которые организован автоматический проброс запросов со страницы загрузки iso-образов проекта. В частности, FTP-сервер ftp.icm.edu.pl, на котором в том числе размещено зеркало iso-образов проекта KDE neon, отнесён сервисом Google Safebrowsing к категории опасных из-за выявления в загрузках вредоносного ПО. В настоящее время в iso-образах KDE neon на проблемном зеркале изменений не замечено, а администрация зеркала не подтвердила инцидент. Пользователям рекомендуется обязательно проверять загружаемые сборки KDE neon по цифровой подписи. gpg2 —recv-key ‘348C 8651 2066 33FD 983A 8FC4 DEAC EA00 075E 1D76’ wget … Читать далее Возможно, скомпрометировано одно из зеркал проекта KDE neon

Корпорация TrendMicro после поглощения компании TippingPoint, основателя инициативы Zero Day Initiative (ZDI), взяла на себя организацию ежегодного мероприятия Pwn2Own, участники которого демонстрируют рабочие техники эксплуатации ранее неизвестных уязвимостей и получают за это вознаграждение. В 2017 году соревнованиям Pwn2Own исполняется 10 лет, в честь чего добавлено несколько новых номинаций, касающихся Linux (ранее соревнования обходили Linux стороной). Мероприятие состоится с 15 по 17 марта, размер призового фонда составит более миллиона долларов. Наиболее интересным нововведением является появление номинации за демонстрацию успешного взлома HTTP-сервера на базе Apache httpd. Участнику, который успешно продемонстрирует удалённую эксплуатацию Apache httpd в окружении Ubuntu Server 16.10, в котором установлены … Читать далее На соревновании Pwn2Own 2017 появились номинации за взлом Linux и Apache httpd

Состоялся первый выпуск дистрибутива BitKey (14.1.0), предоставляющего автономное Live-окружение для безопасного проведения транзакций с использованием платёжной системы Bitcoin. Дистрибутив основан на пакетной базе Debian Jessie, для создания самодостаточного Live-образа использован сборочный инструментарий Turnkey Linux (номер выпуска BitKey 14.1.0 отражает версию инструментария Turnkey Linux). Дистрибутив может целиком загружаться в оперативную память и ориентирован на предоставление высокого уровня безопасности, например, большинство приложений лишены сетевого доступа, используется шифрование и верификация компонентов, применяются средства для удаления из памяти остаточной информации. Размер iso-образа 445 Мб. BitKey может применяться для выполнения сохраняемых в облачном хранилище транзакций при хранении кошелька на отдельной системе, физически изолированной от интернета. … Читать далее Выпуск BitKey, Live-дистрибутива для безопасной работы с Bitcoin

Состоялся релиз инструментария для построения инсталляторов Calamares 3.0, не зависящего от конкретных дистрибутивов Linux. Разработчикам дистрибутивов предоставлено несколько десятков готовых модулей c реализацией различных возможностей, востребованных в инсталляторах. Код написан на языке С++, графический интерфейс основан на библиотеке Qt 5 (используется QML), для разработки модулей могут применяться языки C++ и Python. Calamares уже используется для организации установки дистрибутивов Manjaro, Sabayon, Chakra, NetRunner, KaOS, BBQLinux, Tanglu, OpenMandriva и KDE neon. Проект развивается при участии сообществ KDE, Fedora, Kubuntu и Maui. Calamares предоставляет такие возможности, как ручной и автоматический режимы разбиения дисковых разделов, гибкая система адаптации внешнего вида, модульная архитектура, большой выбор … Читать далее Выпуск независимого от дистрибутивов инсталлятора Calamares 3.0

Джонатан Риддел (Jonathan Riddell), развивающий дистрибутив KDE Neon, предупредил пользователей о проблемах с безопасностью на одном из зеркал, на которые организован автоматический проброс запросов со страницы загрузки iso-образов проекта. В частности, зеркало ftp.icm.edu.pl отнесено сервисом Google Safebrowsing к категории опасных из-за выявления в загрузках вредоносного ПО. В настоящее время в iso-образах KDE neon на проблемном зеркале изменений не замечено, а администрация зеркала не подтвердила инцидент. Пользователям рекомендуется обязательно проверять загружаемые сборки KDE neon по цифровой подписи. gpg2 —recv-key ‘348C 8651 2066 33FD 983A 8FC4 DEAC EA00 075E 1D76’ wget http://files.kde.org/neon/images/neon-useredition/current/neon-useredition-current.iso.sig gpg2 —verify neon-useredition-current.iso.sig gpg: Signature made Thu 19 Jan 2017 … Читать далее Возможно скомпрометировано одно из зеркал проекта KDE neon

После шести месяцев разработки подготовлен релиз инструментария для управления изолированными Linux-контейнерами Docker 1.13, предоставляющего высокоуровневый API для манипуляции контейнерами на уровне изоляции отдельных приложений. Docker позволяет, не заботясь о формировании начинки контейнера, запускать произвольные процессы в режиме изоляции и затем переносить и клонировать сформированные для данных процессов контейнеры на другие серверы, беря на себя всю работу по созданию, обслуживанию и сопровождению контейнеров. Инструментарий базируется на применении встроенных в ядро Linux штатных механизмов изоляции на основе пространств имён (namespaces) и групп управления (cgroups). Код Docker написан на языке Go и распространяется под лицензией Apache 2.0. Основные изменения: Расширены возможности режима Swarm, … Читать далее Выпуск cистемы управления контейнерной виртуализацией Docker 1.13

В состав фреймворка Qt 5.8, релиз которого ожидается на следующей неделе, будет включена экспериментальная поддержка модуля Qt Speech, предоставляющего средства для синтеза речи. В Linux преобразование текста в речь осуществляется при помощи библиотеки Speech Dispatcher (libspeechd), а на других платформах через штатный API операционной системы. m_speech = new QTextToSpeech(this); connect(m_speech, QTextToSpeech::stateChanged, this, Window::stateChanged); m_speech-say(«Hello World!»); Речевое сопровождение может применяться для повышения доступности приложений для людей с ограниченными возможностями или для реализации новых средств фонового информирования пользователя, что особенно востребовано для вывода уведомлений в приложениях для автомобильных информационно-развлекательных систем. Например, клиент мгновенного обмена сообщениями может зачитать текст поступившего сообщения, не отвлекая … Читать далее В Qt появится поддержка синтезатора речи

Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной ветки ядра Linux, объявил об официальном придании ядру 4.9 статуса ветки с длительным сроком поддержки. Обновления для ветки 4.9 будут выпускаться до января 2019 года. Напомним, что для обычных выпусков ядра обновления выпускаются только до выхода следующей стабильной ветки (например, обновления для ветки 4.8 выпускались до выхода 4.9.1). Кроме 4.9 также продолжается сопровождение longterm-веток 4.4, 4.1, 3.18, 3.16, 3.14, 3.12, 3.10 и 3.2. Поддержка веток 4.9 и 4.4 (до февраля 2018) осуществляется самим Грегом Кроа-Хартманом (трудоустроен в Linux Foundation). Ветки 3.18 (поддержка истекает в этом месяце) и 4.1 (до сентября 2018) сопровождает … Читать далее Ядро Linux 4.9 отнесено к категории выпусков с длительным сроком поддержки

Опубликованы корректирующие выпуски языка программирования PHP 7.1.1, 7.0.15 и 5.6.30, в которых внесено 35 изменений, в том числе устранено несколько уязвимостей. Из связанных с безопасностью исправлений выделяются проблемы с использованием вызова unserialize(), а также уязвимости в расширениях GD и mbstring. Возможно исправлены и другие проблемы с безопасностью, так как уязвимости явно не отделяются от ошибок и не выделены в публикуемом на сайте PHP списке изменений. Читать далее Выпуск PHP 7.1.1, 7.0.15 и 5.6.30 с устранением уязвимостей

Опубликованы корректирующие выпуски языка программирования PHP 7.1.1 и 7.0.15, в которых внесено 35 изменений, в том числе устранено несколько уязвимостей. Из связанных с безопасностью исправлений выделяются проблемы с использованием вызова unserialize(), а также уязвимости в расширениях GD и mbstring. Возможно исправлены и другие проблемы с безопасностью, так как уязвимости явно не отделяются от ошибок и не выделены в публикуемом на сайте PHP списке изменений. Читать далее Выпуск PHP 7.1.1 и 7.0.15 с устранением уязвимостей

Компания Mozilla представила новый логотип и набор графических элементов бренда. Логотип выбран из 7 концептуальных прототипов нового дизайна, подготовленных британской дизайнерской компанией Johnson Banks. Используемое в логотипе и фирменном стиле начертание символов воплощено в открытом шрифте Zilla, разработанном компанией Typotheque по заказу Mozilla. Новый логотип обыгрывает комбинацию символов «://», используемую в URL. Примечательно, что данный набор символов также обыгрывается в утверждённом в прошлом году логотипе проекта Curl. Создатель Curl, который трудоустроен в Mozilla, заявил, что ничего не имеет против такого заимствования. Более того, он даже рад, что выбрали именно этот вариант логотипа Mozilla, а обыгрывание символов интернет протокола «://» воспринимает … Читать далее Проект Mozilla представил новый логотип