Специализирующаяся на компьютерной безопасности компания Zimperium zLabs объявила о выявлении критической уязвимости в коде обработки мультимедийных данных платформы Android, позволяющей организовать выполнение кода через отправку сообщений MMS или Google Hangout. По предварительной оценке проблеме подвержено около 95% имеющихся в обиходе Android-устройств, т.е. потенциальными жертвами уязвимости являются 950 млн пользователей. Касающиеся уязвимости детали планируется объявить на конференциях Black Hat USA и DEF CON 23, которые пройдут 5 и 7 августа. Проблема может быть эксплуатирована в момент начальной обработки сообщения без необходимости выполнения пользователем каких-либо действий. Для получения контроля над устройством достаточно знать номер мобильного телефона жертвы. В некоторых случаях атакующий может … Читать далее Критическая уязвимость в Android, позволяющая получить контроль через отправку MMS

Новые требования Федеральной комиссии по связи США (FCC) представляют угрозу существованию альтернативых прошивок для беспроводных маршрутизаторов, таких как OpenWRT. В соответствии с действующими со 2 июня новыми требованиями FCC, устройства для организации беспроводного доступа не должны предоставлять пользователю возможность произвольного изменения частоты, каналов, мощности передач и других влияющих на формирование сигнала параметров. В ответ на данные требования производители беспроводных маршрутизаторов и точек доступа начали вводить в практику привязку прошивки к устройству с проверкой по цифровой подписи, что делает невозможным легальную установку альтернативных прошивок. Так как производители реализуют типовые схемы формирования продукта и сертифицируют его сразу на соответствие требованиям регулирующих органов … Читать далее Новые требования FCC могут помешать использованию OpenWRT

Разработчики Debian GNU/Linux объявили о прекращении поддержки архитектуры SPARC и её удалении из архива пакетов Debian, в том числе из репозиториев unstable, experimental и jessie-updates. Изменения касаются только заброшенной и не вошедшей в состав Debian Jessie архитектуры sparc, развитие архитектуры sparc64 будет продолжено в полном объёме (на смену sparc придёт порт sparc64). Читать далее Debian прекращает поддержку архитектуры SPARC в пользу SPARC64

Представлен релиз популярного SSH-клиента для Unix и Windows — PuTTY 0.65, исходные тексты которого доступны под лицензией MIT. Новый выпуск в основном имеет корректирующий характер, кроме устранения ошибок в новой версии обеспечено отображение в логе источника входящих соединений к локально пробрасываемым портам и идентификатора процесса, которому перенаправляются запросы в режиме совместного использования соединений. Проведены оптимизации производительности — 64-разрядные сборки для Unix-систем, собранные при помощи gcc или clang, демонстрируют двукратный прирост производительности криптографических алгоритмов RSA и DSA. Читать далее Обновление SSH-клиента PuTTY 0.65

В развиваемом проектом QEMU коде эмуляции подсистемы IDE выявлена критическая уязвимость (CVE-2015-5154), позволяющая инициировать выполнения кода вне гостевого окружения через передачу специально оформленных команд ATAPI. Уязвимость проявляется в системах x86, работающих в режиме виртуализации с полной эмуляцией оборудования, таких как HVM-окружения Xen, VirtualBox и QEMU/KVM, при включении доступа к виртуальному CD-ROM из гостевой системы. В системах с паравиртуализацией и на архитектуре ARM уязвимость не проявляется. В случае успешной атаки злоумышленник, имеющий права root в гостевой системе, может выполнить произвольный код на стороне хост-системы с правами драйверов QEMU (обычно root, а при запуске в режиме stubdomain (qemu-dm) под отдельным непривилегированным пользователем). … Читать далее Уязвимость в IDE-подсистеме QEMU позволяет скомпрометировать Xen, KVM и VirtualBox

После полутора лет разработки доступен релиз лёгкого и быстрого почтового клиента Claws Mail 3.12.0, который отделился от проекта Sylpheed в 2005 году (с 2001 по 2005 г. проекты развивались совместно, Claws использовался для тестирования будущих новшеств Sylpheed). Интерфейс Claws Mail построен с использованием GTK+, код распространяется под лицензией GPL. Ключевые новшества: Новый плагин ManageSieve для настройки Sieve-скриптов фильтрации почты на стороне IMAP-сервера; В системе локальных фильтров расширены условия выборки по возрасту сообщений. Опция mark_as_spam ограничена только пометкой спама, без привязки сторонних операций. В окне написания сообщения для строки с адресом отправителя (From) добавлена отдельная метка со своей мнемоникой. Реализовано более … Читать далее Выпуск почтового клиента Claws Mail 3.12.0

Компания НТЦ ИТ РОСА представила выпуск дистрибутива ROSA Desktop Fresh KDE R6, основанного на платформе rosa2014.1. Для свободной загрузки подготовлена DVD-сборка, размером 1.9 Гб, оформленная в вариантах для платформ i586 и x86_64. Особенности новой версии: В состав сборки включены приложения Chromium (помимо Firefox), GIMP, Audacity, Kdenlive, EasyTag и Filelight. Добавлен графический интерфейс для работы с базой данных оборудования ROSA Linux (hw-probe). Изменены настройки меню SimpleWelcome и панели RocketBar, редко запускаемые приложения спрятаны в группы. В параметры системы управления питанием внесены изменения, предотвращающие гашение экрана при просмотре онлайн-видео; Обновление версий программ: Mesa 10.5.3, PulseAudio 6.0, Chromium 43.0.2357.134, Firefox 39.0 (в репозиториях … Читать далее Доступен дистрибутив ROSA Desktop Fresh KDE R6

Увидел свет релиз легковесного http-сервера lighttpd 1.4.36. Релиз в основном носит корректирующий характер и устраняет накопившиеся за последние полтора года проблемы. Из улучшений можно отметить реализацию поддержки unix domain сокетов, отключение поддержки SSLv3, возможность использования расширенных файловых атрибутов во FreeBSD, переработку кода работы с буферами и chunk-запросами, расширение списка mime-типов, добавление экранирования всех выводимых в лог строк. Читать далее Релиз http-сервера lighttpd 1.4.36

Представлен релиз почтового сервера Exim 4.87, в который внесены накопившиеся исправления и добавлены новые экспериментальные возможности. В соответствии с данными, полученными в результате автоматизированного опроса около двух с половиной миллионов почтовых серверов, Exim используется на 52.97% (в прошлом году было 50.23%) почтовых серверов, доля Postfix составляет 31.36% (28.01%), Sendmail — 7.25% (9.39%), Microsoft Exchange — 2.68% (5.63%). Основные новшества Exim 4.86: Экспериментальная возможность перенаправления исходящего трафика через прокси Socks5; Экспериментальная поддержка использования символов UTF-8 в адресах получателя и отправителя; Поддержка использования предоставляемого системой набора сертификатов удостоверяющих центров; Поддержка аутентификации по клиентскому сертификату; Поддержка методов на основе эллиптических кривых в TLS … Читать далее Выпуск почтового сервера Exim 4.86

Спустя почти три года с момента прошлой версии доступен новый выпуск надежного, защищенного и высокопроизводительного FTP-сервера vsftpd 3.0.3, в котором представлено несколько улучшений, связанных с организацией шифрованных каналов передачи данных и предотвращения возможных атак при использовании FTP поверх SSL. Добавлена поддержка протокола обмена ключами Диффи-Хеллмана на эллиптических кривых (ECDHE), в список предлагаемых по умолчанию шифров добавлен ECDHE-RSA-AES256-GCM-SHA384. Реализована защита от нескольких потенциальных проблем, которые можно использовать для организации MITM-атак. Например, обеспечено блокирование активности, указывающей на попытки манипуляции запросами с использованием разных протоколов, которые могут применяться при организации атак на системы, использующие один сертификат для FTP и HTTP. Для защиты от … Читать далее Выпуск vsftpd 3.0.3

Проект KDE анонсировал платформу Plasma Mobile, в рамках которой подготовлен полностью свободный стек для оснащения мобильных устройств. Рабочий прототип прошивки на базе Plasma Mobile доступен для смартфона Nexus 5 и поддерживает совершение и приём звонков. Отдельно сформированы сборки для нетбука ExoPC, которые можно использовать для тестирования Plasma Mobile на компьютерах с архитектурой x86. Платформа основана на мобильной редакции рабочего стола Plasma 5, библиотеках KDE Frameworks 5, телефонном стеке Voicecall/Ofono и коммуникационном фреймворке Telepathy. Для вывода графики используется Wayland. Для поддержки оборудования используются компоненты платформы Android, подключаемые при помощи библиотеки libhybris. Платформа ориентирована на запуск мобильных приложений, написанных с использованием фреймворка … Читать далее Проект KDE представил мобильную платформу Plasma Mobile

Вышла новая версия мультипротокольного средства тестирования производительности сетевых сервисов Tsung 1.6.0. Программа симулирует активность большого числа виртуальных пользователей и может применяться для нагрузочного и стресс-тестирования таких служб, как HTTP, WebDAV, SOAP, PostgreSQL, MySQL, LDAP и Jabber/XMPP. Читать далее Релиз Tsung 1.6.0

Началось тестирование первой предварительной версии openSUSE Leap 42.1, примечательной переходом к использованию в качестве основы наработок SUSE Linux Enterprise, поверх которых поставляются свежие выпуски рабочего стола и новых версий пользовательских приложений. В качестве рабочих окружений предлагаются GNOME 3.16 и KDE Plasma 5. Релиз ожидается в ноябре. Читать далее Первый тестовый выпуск дистрибутива openSUSE Leap 42.1

В ночных сборках Firefox, на базе которых будет сформирован выпуск Firefox 42, осуществлён переход к сборке по умолчанию с библиотекой GTK3+. Поддержка GTK2+ пока сохранена и поддерживается в полном объёме. Переход Firefox на GTK3+ является важным звеном в реализации работы поверх Wayland. Читать далее Ночные сборки Firefox переведены по умолчанию на GTK3+

Организация HEVC Advance, сформировавшая патентный пул, охватывающий технологии, используемые в системах сжатия видео HEVC/H.265, объявила, что намерена собирать по 0.5% от дохода владельцев и распространителей контента, доставляемого пользователям с использованием HEVC/H.265. Примечательно, что кроме HEVC Advance патентный пул для сбора отчислений также сформировала организация MPEG LA (MPEG Licensing Authority), что приведёт к тому, что производители будут вынуждены выплачивать отчисления сразу двум организациям и стоимость лицензирования HEVC/H.265 будет значительно выше, чем предполагалось. Патентный пул HEVC Advance насчитывает более 500 связанных c HEVC/H.265 патентов, полученных от таких компаний, как GE, Technicolor, Dolby, Philips и Mitsubishi Electric. В свою очередь, патентный пул MPEG … Читать далее Организация HEVC Advance объявила размер отчислений с HEVC/H.265

В приложении userhelper и библиотеке libuser, поставляемым по умолчанию в дистрибутивах, основанных на пакетной базе Red Hat, выявлена серия уязвимостей (CVE-2015-3245, CVE-2015-3246), позволяющих выполнить код с привилегиями пользователя root. Для демонстрации проблемы приводится рабочий эксплоит, применяемый к приложениям, использующим libuser для манипуляций с учётными записями пользователей. Первая уязвимость присутствует в программе userhelper. Программа предназначена для смены информации о пользователе и примечательна тем, что поставляется с установленным флагом setuid-root. Уязвимость вызвана тем, что при разборе передаваемых опций не осуществляется проверка на наличие символа перевода строки (‘\n’), что позволяет атакующим передать данные, добавление которых в файл /etc/passwd приведёт к появлению новой строки. … Читать далее Несколько уязвимостей в Linux, позволяющих повысить свои привилегии

В связи с истечением срока выданного в 1995 году патента US5724453, описывающего методы оптимизации таблиц квантования изображений JPEG, разработчики свободного проекта mozjpeg получили возможность интеграции кода, охватываемого данным патентом. В итоге, интеграция нового метода оптимизации позволила дополнительно снизить размер создаваемых файлов на 2-5%. Читать далее Истёк срок патента на методы оптимизации JPEG

Объявлено об изменении в работе зеркал Subversion-репозиториев проекта FreeBSD. Основным изменением является запуск системы балансировки нагрузки, автоматически выбирающей ближайший к пользователю работоспособный узел. Таким образом отныне не требуется вручную выбирать зеркала, а достаточно указать svn.freebsd.org. Старые имена зеркал, такие как svn0.ru.freebsd.org, признаны устаревшими и больше не упоминаются в документации. Для svn.freebsd.org задействован реальный TLS-сертификат и рекомендовано использование защищённого канала связи. Совместимость со старыми конфигурациями сохранена, что позволяет продолжить использовать старую схему работы с SVN в обозримом будущем. При необходимости перехода на новую схему и HTTPS рекомендован следующий алгоритм (при переходе с svn://svn0.ru.freebsd.org/base/head/sys) # pkg install ca_root_nss $ svn relocate svn://svn0.ru … Читать далее Изменения в работе SVN-зеркал FreeBSD

Доступны корректирующие выпуски почтового сервера Postfix — 3.0.2, 2.11.6, 2.10.8 и 2.9.14, в которых внесено принципиальное с точки зрения безопасности изменение — прекращена поддержка протоколов SSLv2 и SSLv3, а также экспортных наборов шифров. При этом в анонсе отмечается, что прекращение поддержки слабых шифров не стоит воспринимать как повышение безопасности TLS, без принятия мер по улучшению средств аутентификации серверов, таких как Secure DNS и TLSA. Напомним, что протокол SSLv3 был скомпрометирован осенью прошлого года, после выявления атаки POODLE (CVE-2014-3566), позволяющей атакующему извлечь из зашифрованного канала связи закрытую информацию, такую как содержимое Cookies, которые могут содержать идентификаторы сеанса и коды доступа, что … Читать далее Обновление Postfix 3.0.2, 2.11.6, 2.10.8, 2.9.14

Разработчики проекта Mesa, в рамках которого развивается свободная реализация OpenGL API, преодолели важный рубеж — в свободном драйвере Nouveau nvc0 полностью реализованы все расширения OpenGL 4.0. Реализация поддержки OpenGL 4.x в одном из драйверов даёт зелёный свет на формирование новой ветки Mesa 11. Драйвер Nouveau nvc0 обеспечивает поддержку видеокарт NVIDIA на базе GPU Fermi и Kepler, таких как GeForce 400/500/600. Что качается других драйверов, то в драйвере Intel i965 до поддержки OpenGL 4 остаётся реализовать три расширения, в драйвере RadeonSI — шесть. Читать далее В Mesa полностью реализована поддержка OpenGL 4.0 для чипов NVIDIA

Разработчики окружения рабочего стола GNOME Flashback, продолжающего развитие кода классической панели GNOME, оконного менеджера Metacity и апплетов, ранее доступных в составе fallback-режима GNOME 3, сообщили о добавлении в репозитории Debian Testing и Ubuntu 15.10 пакетов с выпусками GNOME Flashback 3.16/3.17. Из улучшений, добавленных по сравнению с выпуском 3.14, отмечается: Возвращена возможность использования прозрачной панели; Апплет netspeed портирован на новый API и интегрирован в состав исходных текстов набора gnome-applets. Из совместимых с gnome-panel 3.16 апплетов отмечаются command-runner-applet, gnubiff, sensors-applet, uim и workrave; Проведена модернизация кода и устранено множество предупреждений, выводимых на стадии компиляции; В GNOME Flashback helper добавлена поддержка OSD-экрана для … Читать далее GNOME Flashback 3.16 добавлен в Debian Testing и Ubuntu 15.10