Опубликован выпуск экспериментальной ветки инструментария для управления пакетами APT 2.9 (Advanced Package Tool), формирующей функциональность будущей стабильной версии APT 3.0, которая после стабилизации будет интегрирована в Debian Testing и войдёт в следующий значительный релиз Debian, а также будет добавлена в пакетную базу Ubuntu. Примечательно, что ещё не завершена стабилизация прошлой экспериментальной ветки APT 2.7 и не сформирован стабильный выпуск APT 2.8, который планировалось использовать в Debian 13. Версия APT 2.9 представляет интерес переработанным интерфейсом пользователя, наглядно представляющим список зависимостей, необходимых для загрузки при установке пакета. Если раньше имена пакетов с зависимостями выводились сплошным списком, то теперь они разбиваются на колонки … Читать далее Началось тестирование переработанного интерфейса пакетного менеджера APT 3.0

Опубликован корректирующий выпуск X.Org Server 21.1.13, в котором устранена ошибка, допущенная при исправлении уязвимости CVE-2024-31083 в прошлой версии. Исправление привело к двойному вызову функции free() в определённых ситуациях. Несмотря на наличие ошибки, которая обычно воспринимается как уязвимость класса «double-free», проблема явно не помечена разработчиками X.Org как уязвимость — упоминается только то, что она приводит к аварийному завершению X-сервера. Аналогичная проблема устранена в DDX-компоненте xwayland 23.2.6, обеспечивающем запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. Источник: http://www.opennet.ru/opennews/art.shtml?num=60983 Читать далее Обновление X.Org Server 21.1.13 с устранением потенциальной уязвимости в исправлении уязвимости

В открытом доступе обнаружены два эксплоита, в которых задействована ранее неизвестная уязвимость в драйвере n_gsm, входящем в состав ядра Linux. Уязвимость позволяет непривилегированному локальному пользователю выполнить код на уровне ядра и поднять свои привилегии в системе. CVE-идентификатор не присвоен. Проблема пока остаётся неисправленной. Драйвер n_gsm предоставляет реализацию протокола GSM 07.10, используемого в GSM-модемах для мультиплексирования соединений к последовательному порту. Уязвимость вызвана состоянием гонки в обработчике ioctl GSMIOC_SETCONF_DLCI, используемом для обновления конфигурации DLCI (Data Link Connection Identifier). Через манипуляции с ioctl можно добиться обращения к памяти после её освобождения (use-after-free). Эксплоит может использоваться на системах с ядрами Linux, начиная с 5.15 … Читать далее 0-day уязвимость в драйвере n_gsm, позволяющая выполнить код на уровне ядра Linux

Компания Google начала бета-тестирование открытой мобильной платформы Android 15. Релиз Android 15 ожидается в третьем квартале 2024 года. Для оценки новых возможностей платформы предложена программа предварительного тестирования. Сборки прошивки подготовлены для устройств Pixel 6/6a/6 Pro, Pixel 7/7a/7 Pro, Pixel 8/8a/8 Pro, Pixel Fold и Pixel Tablet. Изменения в Android 15 Beta1 по сравнению со второй предварительной версией: В операционную систему встроена возможность архивирования редко используемых приложений для высвобождения занимаемого ими пространства на накопителе. При возникновении потребности в приложении его можно вернуть из архива. Приложения с полномочиями REQUEST_DELETE_PACKAGES теперь могут вызвать метод requestArchive для запроса архивирования установленного пакета, что приведёт удалению … Читать далее Первая бета-версия Android 15

Представлен бета-выпуск дистрибутива Ubuntu 24.04 «Noble Numbat», после формирования которого произведена полная заморозка пакетной базы, и разработчики перешли к итоговому тестированию и исправлению ошибок. Релиз запланирован на 25 апреля. Ветка 24.04 отнесена к категории выпусков с длительным сроком поддержки (LTS), обновления для которых формируются в течение 12 лет (5 лет — общедоступные, плюс ещё 7 лет для пользователей сервиса Ubuntu Pro). Готовые тестовые образы созданы для Ubuntu, Ubuntu Server, Lubuntu, Kubuntu, Ubuntu Mate, Ubuntu Budgie, Ubuntu Studio, Xubuntu, UbuntuKylin (редакция для Китая), Ubuntu Unity, Edubuntu и Ubuntu Cinnamon. Основные изменения: Рабочий стол обновлён до выпуска GNOME 46, в котором появилась … Читать далее Бета-выпуск Ubuntu 24.04

Представлен экспериментальный выпуск инструментария динамической отладки DTrace для Linux 2.0.0-1.14, реализованный в виде работающего в пространстве пользователя процесса, использующего подсистему eBPF и штатные механизмы трассировки, предоставляемых ядром Linux. По функциональности реализация DTrace на базе eBPF близка к первой реализации DTrace для Linux, выполненной в форме модуля ядра. Код проекта распространяется под лицензией GPLv2. Инструментарий может использоваться со штатными ядрами Linux, поддерживающими BPF. Для работы требуется библиотека libctf с реализацией поддержки отладочного формата CTF (Compact Type Format), которая входит в состав пакета binutils, начиная с выпуска 2.40, или библиотека libdtrace-ctf, портированная из Solaris. Опционально предлагается два патча к ядру 6.7, позволяющих … Читать далее Компания Oracle опубликовала DTrace для Linux 2.0.0-1.14

Представлен выпуск инструментария OpenZiti 1.0, позволяющего интегрировать в приложения средства для распределённого сетевого взаимодействия и обращения к сервисам в изолированном сетевом окружении. OpenZiti даёт возможность развернуть специфичную для разрабатываемых приложений оверлейную сеть, работающую поверх обычного интернета и использующую mesh-маршрутизацию, при которой каждая точка сети связывается через соседние точки. Код проекта написан на языке Go и распространяется под лицензией Apache 2.0. Предоставляются обвязки для языков C, Go, Python, Swift, Java, Node.js и C# (.NET), а также инструментарий для интеграции с приложениями для платформы Android. Система OpenZiti изначально рассчитана на построение сетей, гарантирующих защиту и изоляцию трафика в условиях работы в незащищённых … Читать далее Доступен OpenZiti 1.0, инструментарий для встраивания оверлейных сетей в приложения

Организация ISRG (Internet Security Research Group), которая является учредителем проекта Let’s Encrypt и способствует развитию технологий для повышения защищённости интернета, представила проект zlib-rs по созданию защищённого аналога библиотеки сжатия данных zlib. Код zlib-rs написан на языке Rust и распространяется под лицензией Zlib. Разработка ведётся с оглядкой на проект zlib-ng, развивающий высокопроизводительный вариант zlib. Проектом разработаны две библиотеки: zlib-rs с реализаций API zlib, не использующей unsafe-блоки; libz-rs-sys — надстройка с поддержкой Си API, содержащая код в режиме «unsafe». В качестве причины создания zlib-rs упоминается намерение предоставить вариант zlib, избавленный от потенциальных проблем, вызванных ошибками при работе с памятью. По данным компаний … Читать далее Проект по реализации zlib на языке Rust

Организации Open Invention Network (OIN) и Unified Patents объявили об успешном развитии совместной инициативы Open Source Zone (OS Zone), созданной в 2019 году после патентной агрессии компании Rothschild Patent Imaging против проекта GNOME. С тех пор, кроме патента, в нарушении которого обвинялись разработчики GNOME, участники OS Zone смогли добиться признания недействительным ещё 53 патента, так или иначе нацеленных против открытого ПО. Из открытых проектов, интересы которых удалось защитить, добившись признания связанных с ними патентов недействительными, упоминаются Apache Cocoon, Apache mod_evasive, Argo, Bluez, Fail2Ban, FreeMesh, LibreMesh, iFolder, LibVLC, Linkerd, ядро Linux, Automotive Linux, Kubernetes, KVM, Magento, Mastodon, Firefox, Mycroft, OpenACH, OpenSwan, … Читать далее Инициативой OS Zone аннулировано 54 патента, направленных против открытого ПО

Состоялся релиз анонимной сети I2P 2.5.0 и C++-клиента i2pd 2.51.0. I2P представляет собой многослойную анонимную распределенную сеть, работающую поверх обычного интернета, активно использующую сквозное (end-to-end) шифрование, гарантирующую анонимность и изолированность. Сеть строится в режиме P2P и образуется благодаря ресурсам (пропускной способности), предоставляемым пользователями сети, что позволяет обойтись без применения централизованно управляемых серверов (коммуникации внутри сети основаны на применении шифрованных однонаправленных туннелей между участником и peer-ами). В сети I2P можно анонимно создавать web-сайты и блоги, отправлять мгновенные сообщения и электронную почту, обмениваться файлами и организовывать P2P-сети. Для построения и использования анонимных сетей для клиент-серверных (сайты, чаты) и P2P (обмен файлами, криптовалюты) … Читать далее Выпуск реализации анонимной сети I2P 2.5.0

Разработчики дистрибутива Gentoo объявили о переходе проекта под покровительство некоммерческой организации SPI (Software in the Public Interest), которой делегировано решение не связанных с технологиями административных задач, что позволит обойтись без поддержания своего юридического лица, избавиться от административной рутины и увеличить привлекательность для передачи пожертвований коммерческими компаниями, так как подобные пожертвования дадут возможность получить налоговый вычет в США. Среди прочего SPI будет курировать приём пожертвований, решать юридические вопросы, управлять активами, обеспечивать хранение средств проекта, оплачивать расходы, заключать контракты, проводить аудит и вести бухгалтерский учёт. В настоящее время под покровительством SPI находится 44 открытых проекта, среди которых Debian, Arch Linux, LibreOffice, X.Org, … Читать далее Проект Gentoo перешёл под крыло организации SPI

Приложения, запускающие сценарии в формате bat и cmd на платформе Windows при помощи штатных функций запуска процессов, подвержены уязвимости, позволяющей добиться выполнения своего кода в случае передачи при запуске аргументов без отдельного экранирования спецсимволов. Уязвимость получила кодовое имя BatBadBut и проявляется в приложениях, использующих стандартные библиотеки таких языков, как Rust, PHP, Node.js, Python, Ruby, Go, Erlang и Haskell. Проблема отмечена как уязвимость так как затрагивает функции библиотеки, такие как Command::arg и Command::args в Rust, рассчитанные на прямую передачу процессу аргументов, без их обработки командным интерпретатором. Подразумевается, что разработчик приложения может не проверять аргументы, так как они напрямую передаются запускаемому процессу. … Читать далее Уязвимость BatBadBut, затрагивающая стандартные библиотеки различных языков программирования

Доступен альфа выпуск языка программирования Python 3.13.0a6, который примечателен включением в состав ветки 3.13, на основе которой формируется осенний стабильный релиз Python 3.14, экспериментальной реализации JIT-компилятора, позволяющего добиться существенного повышения производительности. Для включения JIT в CPython добавлена сборочная опция «—enable-experimental-jit». Для работы JIT требуется установка LLVM в качестве дополнительной зависимости. Процесс трансляции машинного кода в JIT построен c использованием архитектуры «Copy-and-Patch«, при которой при помощи LLVM собирается объектный файл в формате ELF, содержащий данные об инструкциях байткода и информацию о необходимой замене данных. JIT заменяет сгенерированные в ходе интерпретации программы инструкции байткода на их представления в машинном коде, попутно подставляя … Читать далее В Python встроен JIT-компилятор

Подведены итоги конкурса среди графических дизайнеров, организованного для обновления элементов брендинга дистрибутива. В рамках конкурса предпринята попытка получить узнаваемый и современный дизайн, отражающий специфику Kubuntu, положительно воспринимаемый новичками и старыми пользователями, и гармонично сочетаемый со стилевым оформлением KDE и Ubuntu. На основе полученных в результате конкурса работ выработаны рекомендации по модернизации логотипа проекта, заставки рабочего стола, цветовой палитры и шрифтов. Также опубликованы векторные файлы с новым логотипом, предложенные в различных расцветках. Подготовленное на основе новых рекомендаций оформление будет задействовано в выпуске Kubuntu 24.04. Источник: http://www.opennet.ru/opennews/art.shtml?num=60965 Читать далее Проект Kubuntu представил обновлённый логотип и элементы брендинга

Группа исследователей из Амстердамского свободного университета выявила новый метод атаки «Native BHI» (CVE-2024-2201), позволяющий на системах с процессорами Intel определить содержимое памяти ядра Linux при выполнении эксплоита в пространстве пользователя. В случае применения атаки к системам виртуализации, атакующий из гостевой системы может определить содержимое памяти хост-окружения или других гостевых систем. Метод Native BHI предлагает иную технику эксплуатации уязвимости BHI (Branch History Injection, CVE-2022-0001), которая обходит ранее реализованные способы защиты. Предложенный в 2022 году метод атаки BHI подразумевал эксплуатацию уязвимости в CPU в рамках одного уровня привилегий, для чего эксплоит базировался на выполнении еBPF-программы, загруженной пользователем в ядро. Для блокирования метода … Читать далее Новый вариант атаки BHI на CPU Intel, позволяющий обойти защиту в ядре Linux

Компания KDAB объявила о разработке компонента Servo WebView для Qt, использующего браузерный движок Servo вместо модуля Qt WebEngine (на базе Chromium) для отображения web-контента в QML-приложениях. Предполагается, что проект поможет сократить поверхность атак на Qt-приложения, использующие API WebView, за счёт применения компонента, в котором благодаря языку Rust минимизировано возникновение уязвимостей, вызванных ошибками при работе с памятью. Код Servo WebView для Qt распространяется под лицензией MPL-2.0. Для организации работы кода Servo, написанного на языке Rust, в окружении на языке C++ задействована прослойка CXX-Qt. CXX-Qt позволяет создавать компоненты на языке Rust, интегрируемые с программами на С++, использующими Qt. Применение CXX-Qt даёт возможность … Читать далее Проект по интеграции с Qt web-движка Servo, развиваемого на языке Rust

Представлен выпуск проекта Rivendell 4.2, развивающего платформу цифровой обработки звука, которую можно использовать для автоматизации работы мультимедийных студий и станций профессионального радиовещания. В состав Rivendell входит набор компонентов, решающий такие задачи как планирование эфирной сетки, упорядочение и ротация композиций, автоматическое включение голоса, экспорт данных для объявления текущей композиции и анонса следующей, ведение подкастов. Код написан на языке С++ и распространяется под лицензиями GPLv2 и LGPLv2. Основные возможности платформы: Управление через простой графический интерфейс пользователя. Автоматическое получение радиопрограмм через web, ftp или спутниковый канал. Автоматическая генерация подкастов. Экспорт данных о текущей и следующей композициях в кодировщики потока и RDS (Radio Data … Читать далее Доступна платформа управления вещательными радиостанциями Rivendell 4.2

В ночных сборках Firefox, на базе которых 14 мая будет сформирован выпуск Firefox 126, появилась возможность автоматизированного машинного перевода фрагментов текста, выделенных на странице (ранее поддерживался только перевод страницы целиком). Функция перевода вызывается через контекстное меню, показываемое при нажатии правой кнопки мыши на выделенном блоке текста. Для активации перевода фрагментов в about:config добавлена настройка browser.translations.select.enable, которая по умолчанию отключена. Кроме того, в ночных сборках доступна возможность перевода на русский, украинский и эстонский языки, которые в стабильны сборках могут использоваться только в качестве исходных языков, с которых осуществляется перевод. Для перевода задействована встроенная в Firefox система перевода, которая выполняет перевод на … Читать далее В Firefox добавлена поддержка машинного перевода выделенных фрагментов текста

Комитет FESCo (Fedora Engineering Steering Committee), отвечающий за техническую часть разработки дистрибутива Fedora Linux, утвердил задействование по умолчанию пакетного менеджера DNF5 в осеннем выпуске Fedora 41. Пакеты dnf, libdnf и dnf-cutomatic будут заменены в Fedora 41 на инструментарий DNF5 и новую библиотеку libdnf5, а символическая ссылка /usr/bin/dnf начнёт указывать на исполняемый файл dnf5. Несмотря на то, что полный паритет в функциональности со старым инструментарием всё ещё не достигнут, разработчики считают, что дистрибутив готов к миграции, а недостающие возможности можно реализовать позднее. Например, пока недоступна функциональность, связанная с управлением историей транзакций, лежащая в основе команды «dnf history». Также ещё не завершена … Читать далее В Fedora 41 утверждён переход на пакетный менеджер DNF5

В сетевых хранилищах D-Link выявлена проблема с безопасностью (CVE-2024-3273), позволяющая выполнить любые команды на устройстве, воспользовавшись предопределённой в прошивке учётной записью. Проблеме подвержены некоторые модели NAS производства D-Link, среди которых DNS-340L, DNS-320L, DNS-327L и DNS-325. Сканирование глобальной сети показало наличие более 92 тысяч активных устройств, подверженных уязвимости. Компания D-Link не намерена публиковать обновление прошивки с устранением проблемы, так как цикл поддержки устройств уже завершён. Пользователям рекомендуется заменить проблемные устройства на новые модели. Проблема заключается в том, что к скрипту nas_sharing.cgi можно обратиться без прохождения аутентификации, указав логин «umessagebus» с пустым паролем и задав любую команду для исполнения в параметре «system», … Читать далее Бэкдор в сетевых хранилищах D-Link, позволяющий выполнить код без аутентификации

Компания Cloudflare опубликовала первый выпуск фреймворка Pingora, предназначенного для разработки защищённых высокопроизводительных сетевых сервисов на языке Rust. Построенный при помощи Pingoraа прокси около года используется в сети доставки контента Cloudflare вместо nginx и обрабатывает более 40 млн запросов в секунду. Код написан на языке Rust и опубликован под лицензией Apache 2.0. Основные возможности: Поддержка HTTP/1 и HTTP/2 (в планах HTTP/3), а также возможности для создания сервисов, использующих свои протоколы или UDP/TCP. Возможность многопоточной обработки запросов в асинхронном режиме. Поддержка прикрепления callback-обработчиков и фильтров, позволяющих управлять различными стадиями обработки запроса, а также изменять, перенаправлять, блокировать и журналировать запросы и ответы. Проксирование … Читать далее Первый выпуск фреймворка для создания сетевых сервисов Pingora