Проект Fedora представил ультрабук Fedora Slimbook, подготовленный совместно с испанским поставщиком оборудования Slimbook. Устройство оптимизировано для работы дистрибутива Fedora Linux и специально тестируется для достижения высокого уровня стабильности окружения и совместимости программного обеспечения с оборудованием. Начальная стоимость устройства заявлена в 1799 евро, при этом 3% выручки от продажи устройств планируют направлять в качестве пожертвования организации GNOME Foundation. Основные характеристики: 16-дюймовый экран (16:10, 99% sRGB) с разрешением 2560*1600 и частотой обновления 90Hz. CPU Intel Core i7-12700H (14 ядер, 20 потоков). Видеокарта NVIDIA GeForce RTX 3050 Ti. ОЗУ от 16 до 64GB. Накопитель SSD Nvme до 4TB. Аккумулятор 82WH. Разъёмы: USB-C Thunderbolt, … Читать далее Проект Fedora представил ноутбук Fedora Slimbook

В утилите для получения и отправки данных по сети curl и развивающейся параллельно библиотеке libcurl выявлена уязвимость (CVE-2023-38545), которая может привести к переполнению буфера и потенциально к выполнению кода атакующего на стороне клиента при обращении при помощи утилиты curl или приложения, использующего libcurl, к HTTPS-серверу, подконтрольному злоумышленнику. Проблема проявляется только в случае включения в curl доступа через прокси SOCKS5. При прямом обращении без прокси уязвимость не проявляется. Уязвимость устранена в выпуске curl 8.4.0. Выявивший ошибку исследователь безопасности получил вознаграждение, размером $4660 в рамках инициативы Internet Bug Bounty на Hackerone. Уязвимость вызвана ошибкой в коде резолвинга имени хоста перед обращением к … Читать далее Переполнение буфера в curl и libcurl, проявляющееся при обращении через SOCKS5-прокси

Фонд СПО принимает заявки от желающих выступить на конференции LibrePlanet 2024, проводимой для активистов, хакеров, специалистов в области права, художников, работников образования, студентов, политиков и просто любителей технологий, которые уважают свободу пользователя и желают обсудить актуальные проблемы. На конференции приветствуют новичков, как в роли докладчиков, так и в роли посетителей. Конференция состоится в марте 2024 года, недалеко от Бостона (США). LibrePlanet не будет проводиться онлайн, однако, будет предусмотрена онлайн-трансляция докладов и возможность задавать вопросы через IRC. Тема конференции 2024 года — «Развитие сообщества». Предлагается обсудить темы по расширению сообщества свободного программного обеспечения, привлечению неактивных участников и созданию сообществ. Заявки на … Читать далее Открыта подача заявок на доклады на конференцию LibrePlanet 2024

Обнародована информация о пяти уязвимостях в библиотеках libX11 и libXpm, развиваемых проектом X.Org. Проблемы устранены в выпусках libXpm 3.5.17 и libX11 1.8.7. Три уязвимости выявлены в библиотеке libx11, предлагающей функции с клиентской реализацией протокола X11: CVE-2023-43785 — выход за границы буфера в коде libX11, проявляющийся при обработке ответа от X-сервера с числом символов, не соответствующих ранее отправленному запросу XkbGetMap. Уязвимость вызвана ошибкой в X11R6.1, существующей с 1996 года. Уязвимость может быть эксплуатирована при подключении приложения, использующего libx11, к вредоносному X-серверу или промежуточному прокси, контролируемому злоумышленником. CVE-2023-43786 — исчерпание стека в результате бесконечной рекурсии в функции PutSubImage() в libX11, возникающей при … Читать далее Уязвимости в библиотеках X.Org, две из которых присутствуют с 1988 года

Опубликован выпуск классического инструментария для управления пакетным фильтром iptables 1.8.10, развитие которого последнее время сосредоточено на компонентах для сохранения обратной совместимости — iptables-nft и ebtables-nft, предоставляющих утилиты с тем же синтаксисом командной строки, как в iptables и ebtables, но транслирующих полученные правила в байткод nftables. Оригинальный набор программ iptables, включая ip6tables, arptables и ebtables, в 2018 году переведён в разряд устаревших и уже заменён на nftables в большинстве дистрибутивов. В новой версии: В утилиту xtables-translate добавлена поддержка правил insert, в которых указан номер индекса (преобразуются в ntf-правила ‘insert rule … index N’). В ebtables-nft добавлена поддержка таблиц broute (bridge route). … Читать далее Выпуск пакетного фильтра iptables 1.8.10

Доступен корректирующий выпуск Firefox 118.0.2, в котором предложены следующие исправления: Решены проблемы с загрузкой игр с сайта betsoft.com. Устранены проблемы с выводом на печать некоторых SVG-изображений. Устранено регрессивное изменение в ветке 118, из-за которого перестала работать обработка ответов «WWW-Authenticate: Negotiate» с других сайтов. Исправлена ошибка, из-за которой в некоторых контекстах в WebRTC не работало декодирование видео в формате H.264. Решены проблемы, мешавшие использованию функции Firefox Translations на некоторых страницах. Устранены три проблемы, приводивших к аварийному завершению работы (две ошибки проявляются при запуске, а одна при нажатии кнопок «назад» или «вперёд»). Среди других недавних изменений в Firefox: В ветке Firefox 119 … Читать далее Обновление Firefox 118.0.2

Компания Google зафиксировала крупнейшую DDoS-атаку на свою инфраструктуру, интенсивность которой составила 398 миллионов запросов в секунду. Новая атака в 7 раз превосходит по интенсивности прошлую рекордную DDoS-атаку, в которой злоумышленникам удалось сформировать поток из 47 миллионов запросов в секунду. Для сравнения весь трафик во всём Web оценивается на уровне 1-3 миллиардов запросов в секунду. Помимо Google с атакой также столкнулись компании Amazon и Сloudflare. Возможность совершения новой атаки связана с выявлением в протоколе HTTP/2 уязвимости (CVE-2023-44487), позволяющей при минимальной нагрузке на клиента направлять огромный поток запросов на сервер. Новая техника атаки получила название «Rapid Reset» и пользуется тем, что предоставляемые … Читать далее Уязвимость в протоколе HTTP/2, задействованная в крупнейшей DDoS-атаке

В рамках работы по усилению безопасности критически важных программных компонентов платформы Android компания Google переписала на языке Rust прошивку pvmfm, используемую для организации работы виртуальных машин, запускаемых гипервизором pVM из состава Android Virtualization Framework. Ранее прошивка была написана на языке Си и реализована поверх загрузчика U-Boot, в коде которого ранее находили уязвимости, вызванные проблемами при работе с памятью. Переписанная на Rust прошивка включена в состав Android 14, а созданные в процессе разработки прошивки универсальные библиотеки, оформлены в виде crate-пакетов и переданы сообществу Rust. Например, опубликован пакет smccc для поддержки ARM-интерфейсов PSCI (Power State Coordination Interface) и вызовов SMCCC (SMC Calling … Читать далее Google переписал на языке Rust прошивку pvmfm, используемую в Android

После почти трёх лет разработки опубликован релиз композитного сервера Wayfire 0.8, использующего Wayland и позволяющего формировать нетребовательные к ресурсам интерфейсы пользователя c 3D-эффектами в стиле 3D-плагинов к Compiz (переключение экранов через 3D-куб, пространственная раскладка окон, морфинг при работе с окнами и т.п.). Wayfire поддерживает расширение через плагины и предоставляет гибкую систему настройки. Код проекта написан на языке C++ и распространяется под лицензией MIT. Проект построен на базе библиотеки wlroots, развиваемой разработчиками пользовательского окружения Sway и предоставляющей базовые функции для организации работы композитного менеджера на базе Wayland. Для управления сеансами могут применяться systemd, elogind или seatd. Поддерживается запуск X11-приложений при помощи … Читать далее Доступен композитный сервер Wayfire 0.8, использующий Wayland

Компания Canonical объявила о внесении в Ubuntu 23.10 изменений, ограничивающих доступ пользователей к пространствам имён идентификаторов пользователя (user namespace), что позволит повысить защищённость систем, использующих контейнерную изоляцию, от уязвимостей, для эксплуатации которых необходимы манипуляции с user namespace. По данным Google, 44% эксплоитов, участвующих в программе по выплате денежных вознаграждений за выявление уязвимостей в ядре Linux, требуют наличия возможности создания пространств имён идентификаторов пользователя. Вместо полной блокировки доступа к user namespace в Ubuntu применена гибридная схема, выборочно оставляющая некоторым программам возможность создавать user namespace при наличии профиля AppArmor с правилом «allow userns create» или прав CAP_SYS_ADMIN. Например, для Chrome создан профиль … Читать далее Ubuntu ограничит доступ к user namespace

В библиотеке libcue, используемой для разбора метаданных cо сведениями о порядке и длительности звуковых треков, выявлена уязвимость (CVE-2023-43641), позволяющая организовать выполнение кода при обработке специально оформленных cue-файлов. Библиотека используется в некоторых мультимедийных проигрывателях и звуковых редакторах, включая Audacious, и может быть использована для компрометации системы при открытии в них непроверенных данных. Более того, библиотека libcue используется в поисковом движке tracker-miners, применяемом в пользовательском окружении GNOME. Так как tracker-miners автоматически индексирует новые мультимедийные файлы в домашнем каталоге, для атаки на системы с GNOME и организации выполнения кода злоумышленника достаточно, чтобы пользователь просто загрузил специально оформленный файл в каталог ~/Downloads, ~/Music или … Читать далее Уязвимость в libcue, приводящая к выполнению кода при загрузке файлов в GNOME

Опубликована новая версия многоплатформенного высокопроизводительного POP3/IMAP4-сервера Dovecot 2.3.21, поддерживающего протоколы POP3 и IMAP4rev1 с популярными расширениями, такими как SORT, THREAD и IDLE, и механизмами аутентификации и шифрования (SASL, TLS, SCRAM). Dovecot сохраняет полную совместимость с классическими mbox и Maildir, применяя внешние индексы для повышения производительности. Для расширения функциональности могут использоваться плагины (например, через плагины реализованы квоты и ACL). Код проекта распространяется под лицензиями LGPL и MIT. Основные изменения: lib-oauth2: Разрешена проверка JWT-токенов с отсутствующим полем «typ». Поле «typ» не используется некоторыми эмитентами ключей для экономии места, в частности, kubernetes. Теперь отсутствие «typ» допускается, но если оно присутствует, то все равно … Читать далее Новая версия POP3 и IMAP4 сервера Dovecot 2.3.21

Опубликован выпуск медиапроигрывателя VLC 3.0.19, в котором для систем с GPU Intel и NVIDIA реализована поддержка технологии суперсэмплинга (Super Resolution), использующей алгоритмы пространственного масштабирования и реконструкции деталей для снижения потери качества изображения при увеличении масштаба и отображении с более высоким разрешением. Среди других изменений: Улучшена поддержка видео в формате AV1. Улучшена обработка видео с HDR при программном декодировании AV1. Реализована возможность использования средств аппаратного декодирования AV1 на платформе Windows (DxVA). Решены проблемы с потоками AV1 GBRP. Улучшено использование аппаратного декодирования при использовании D3D11 и OpenGL. Улучшена поддержка форматов MP4, AVI (Qnap, GBRP) и RealVideo. Решены проблемы с воспроизведением видео, повёрнутого … Читать далее Выпуск медиаплеера VLC 3.0.19

Джордан Петридис (Jordan Petridis), входящий в команды, отвечающие за контроль качества и выпуск релизов GNOME, опубликовал запрос на изменение, удаляющее из пакета gnome-session systemd-таргеты для запуска в окружениях с X11. Отмечается, что это первый шаг на пути к отказу от поддержки протокола X11 в GNOME. Тем не менее, на текущей стадии остальная функциональность, необходимая для запуска сеанса X11, остаётся на месте (но намечена для удаления в следующем цикле разработки) и пользователи могут вернуть поддержку X11, добавив systemd-таргеты вручную. В качестве причины внесения изменений указано, что X11 тестируется разработчиками всё меньше и меньше. Сеанс на базе протокола Wayland применяется в GNOME … Читать далее Для GNOME предложены изменения, нацеленные на прекращение поддержки X11

Представлен первый выпуск проекта Incus, в рамках которого сообществом Linux Containers развивается форк системы управления контейнерами LXD, созданный старой командой разработчиков, когда-то создавшей LXD. Код Incus написан на языке Go и распространяется под лицензией Apache 2.0. Напомним, что сообщество Linux Containers курировало разработку LXD до того, как компания Canonical решила развивать LXD отдельно как корпоративный проект. Целью форка называется предоставление управляемой независимым сообществом альтернативы проекту LXD, подконтрольному компании Canonical. В рамках проекта Incus также планируется устранить некоторые концептуальные ошибки, допущенные при разработке LXD, которые ранее невозможно было исправить без нарушения обратной совместимости. Incus предоставляет средства для централизованного управления контейнерами и … Читать далее Первый выпуск Incus, форка системы управления контейнерами LXD

Linux Foundation, BastionZero и Docker представили новый открытый проект OpenPubKey, развивающий одноимённый криптографический протокол для заверения цифровой подписью произвольных объектов. Технология разработана как совместный проект компаний BastionZero и Docker с целью упрощения заверения цифровыми подписями образов контейнеров Docker для исключения их подмены и подтверждения сборки заявленным создателем. Проект будет развиваться на нейтральной площадке под покровительством организации Linux Foundation, что исключит зависимость от отдельных коммерческих компаний и упростит совместную работу с привлечением сторонних участников. Эталонная реализация OpenPubKey написана на языке Go и распространяется под лицензией Apache 2.0. Возможности OpenPubKey не ограничиваются только образами контейнеров и технология может применяться для подтверждения источника … Читать далее Представлен OpenPubKey, протокол криптографической верификации объектов

Компания JetBrains и организация Python Software Foundation опубликовали результаты совместного ежегодного опроса, в котором приняли участие более 23 тысяч разработчиков, использующих язык программирования Python. В ходе опроса, который проводился в 2022 году, о переходе на использование Python 3 заявили 93% опрошенных, а 7% продолжают пользоваться веткой Python 2, которая в настоящее время не поддерживается в большинстве дистрибутивов Linux и была переведена в разряд неподдерживаемых ещё в апреле 2020 года (изначально прекратить поддержку планировалось в 2015 году, но сроки постоянно продлевались). Примечательно, что при опросе в 2021 году лишь 5% заявили об использовании Python 2, в 2020 — 6%, в 2019 … Читать далее 7% разработчиков продолжают использовать Python 2

Сформировано второе корректирующее обновление дистрибутива Debian 12, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 117 обновлений с устранением проблем со стабильностью и 52 обновления с устранением уязвимостей. Из изменений в Debian 12.2 можно отметить обновление до свежих стабильных версий пакетов clamav, dbus, dpdk, gtk+3.0, mariadb, mutt, nvidia-settings, openssl, qemu, rar, roundcube, samba и systemd. Удалён пакет https-everywhere, так как данное браузерное дополнение объявлено разработчиками устаревшим из-за интеграции аналогичной функциональности в состав основных браузеров. Для загрузки и установки «с нуля» в ближайшие часы будут подготовлены установочные сборки c Debian 12.2. Системы, установленные ранее и поддерживаемые … Читать далее Обновление Debian 12.1 и 11.8

Компания Amazon опубликовала компилятор jsii 1.90, представляющий собой модификацию компилятора TypeScript, позволяющую извлечь из компилируемых модулей информацию об API и сгенерировать универсальное представление данного API для обращения к JavaScript-классам из приложений на различных языках программирования. Код проекта написан на TypeScript и распространяется под лицензией Apache 2.0. Jsii даёт возможность создавать на языке TypeScript библиотеки классов, которые могут использоваться в проектах на языках C#, Go, Java и Python, благодаря трансляции в родные для этих языков модули, предоставляющие тот же самый API. Инструментарий используется в AWS Cloud Development Kit для поставки библиотек для разных языков программирования, формируемых из одной кодовой базы. В … Читать далее Выпуск jsii 1.90, генератора кода C#, Go, Java и Python из TypeScript

Автор DNS-сервера Trust-DNS объявил о переименовании проекта в Hickory DNS. В качестве причины смены имени называется желание сделать проект более привлекательным для пользователей, разработчиков и спонсоров, избежать пересечений при поиске с концепцией «Trusted DNS», а также зарегистрировать товарный знак и защитить связанный с проектом бренд (имя Trust-DNS будет проблематично использовать как товарный знак, так как оно образовано из типовых слов, которые нельзя рассматривать как уникальные). Изначально проект развивался как эксперимент по созданию системных компонентов на языке программирования, предоставляющем средства для безопасной работы с памятью, но нынешние планы связываются с превращением его в полноценный продукт. Разработка DNS-сервера Hickory будет вестись под … Читать далее DNS-сервер Trust-DNS переименован в Hickory и будет задействован в инфраструктуре Let’s Encrypt

Компания Ferrous Systems объявила о начале преобразования Ferrocene, проприетарного дистрибутива с Rust-компилятором для критически важных систем, в открытый проект. Код Ferrocene опубликован под лицензиями Apache 2.0 и MIT. Ferrocene предоставляет инструментарий для разработки на языке Rust приложений для защиты информации и критически важных систем, требующих повышенной надёжности (Safety-Critical Systems), сбой в которых может угрожать жизни людей, нанести вред окружающей среде или привести к серьёзным повреждениям оборудования. В качестве основы задействован rustc, штатный компилятор от проекта Rust, приведённый к соответствию требованиям программных окружений для автомобильных и промышленных систем (ISO 26262 и IEC 61508). Надёжность Ferrocene верифицирована через применение расширенных методов проверки, … Читать далее Открытие кода Rust-компилятора Ferrocene