Атака на GitLab-сервер проекта Alpine Linux

Администраторы инфраструктуры Alpine Linux не выявили появления сторонних файлов, подозрительных запущенных процессов, необычных обращений к API, изменений настроек и системных файлов, а также скачков нагрузки, свойственных выгрузке больших объёмов данных или операциям поиска. В ходе анализа целостности репозитория aports, пакетов и файлов с релизами, а также их сверки с копиями с внешних сборочных серверов и систем разработчиков, скрытых изменений не выявлено.

Полностью исключить успешное проведение атаки не позволяет отсутствие должной детализации в логах web-сервера (успешное применение эксплоита, не приводящее к аварийному завершению, не отражается в логе), удаление некоторых логов при ротации (например, лога cron-а) и отсутствие информации об исходящих сетевых соединениях. В случае успешной атаки, злоумышленники могли получить доступ к БД с данными о всех пользователях GitLab (хэши паролей, email, IP-адреса, ФИО), переменных окружения и токенов из систем непрерывной интеграции, кодов для двухфакторной аутентификации, хэшей персональных токенов доступа, содержимого приватных репозиториев и конфиденциальных обсуждений проблем. Ключи для формирования цифровых подписей для релизов и пакетов на атакованном сервере не хранились.

Первые попытки эксплуатировать уязвимость в GitLab были зафиксированы 20 и 21 октября. Атакующий зарегистрировал учётную запись в GitLab и пытался отправить модифицированные настройки системы непрерывной интеграции. В логах зафиксировано 8 аварийных завершений рабочих процессов GitLab, из которых 4 связаны с применением экспоита. Отмечается, что первая фаза работы эксплоита была успешной, но вторая стадия завершилась сбоем.

На момент атаки в контейнере использовалась уязвимая версия GitLab 19.3.4, которая 22 октября была обновлена до выпуска GitLab 19.3.6, включающего исправление. Но администраторы Alpine не учли то, что исправление присутствует только в официальных установочных пакетах GitLab, а не в самом коде GitLab, так как уязвимость в инструментарии Ruby. В контейнере продолжал использоваться старый инструментарий Ruby и уязвимость оказалась неисправленной.

То что система остаётся уязвимой было выявлено только 26 октября. Разбор логов показал, что 25 и 26 октября атакующие возобновили попытки совершения атаки. 27 октября доступ сторонних пользователей к GitLab был ограничен. 28 октября содержимое было пересобрано, все пароли сброшены (пользователям необходимо установить новый пароль через процедуру восстановления забытого пароля), а ключи доступ заменены. 29 октября обновлённый сервер был введён в строй. Сопровождаемый проектом Docker-контнейнер alpinelinux/gitlab оставался уязвимым вплоть до 27 октября.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66587

Эксплуатируемая через SMS уязвимость в Android, приводящая к зацикленной перезагрузке

Проблема вызвана целочисленным переполнением при обработке некорректного заголовка WAP Push-сообщения, отправленного через SMS. Переполнение возникает так как поле с размером заголовка приводится к целому знаковому числу с типом int без должной проверки границ, что позволяет добиться получения отрицательного числа в переменной headerLength. В дальнейшем эта переменная используется при выделении памяти через вызов "new byte[headerLength]", что в случае получения отрицательного числа приводит к генерации исключения и аварийному завершению процесса com.android.phone.

Через несколько секунд процесс перезапускается, но эффект не ограничивается кратковременным прерыванием связи. Проблемное WAP Push-сообщение из-за аварийного завершения продолжает находиться в очереди необработанных сообщений и новая попытка его обработки приводит к очередному аварийному завершению процесса com.android.phone.

После серии подобный падений срабатывает обработчик RescueParty, который перезагружает устройство в режим Recovery, в котором предлагается выполнить сброс к заводским настройкам. Простая перезагрузка не помогает - если проблемное сообщение не удалено из очереди, примерно через 90 секунд устройство опять будет перезагружено.

Для удаления сообщения из очереди без сброса к заводским настройкам предлагается использовать утилиту adb:

   adb shell content query --uri content://sms/raw --projection _id:destination_port:date:deleted
   adb shell cmd appops set com.android.shell WRITE_SMS allow
   adb shell "content delete --uri content://sms/raw --where \"address='‹SENDER›'\""
   adb shell cmd appops set com.android.shell WRITE_SMS default
   adb shell pm clear com.android.providers.telephony

Но это лишь даст возможность извлечь SIM-карту, загрузиться и установить обновление прошивки. Так как из-за аварийного завершения процесса "com.android.phone" оператору связи не отправляется подтверждение обработки WAP Push-сообщения, до истечения таймаута он будет предпринимать новые попытки отправки и ситуация будет повторяться. В проведённых тестах повторные отправки продолжались от суток до недели. Для устройств, производители которых прекратили публикацию обновлений прошивки, обходного пути блокирования проблемы пока нет.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66586

Детали возможной атаки на GNU Savannah, позволявшей скомпрометировать репозитории Bash и Coreutils

О проведённой тестовой атаке и выявленных проблемах сразу было сообщено администраторам GNU Savannah. Проблемы были устранены в мае. Всего исследователями было выявлено 9 уязвимостей, из которых 2 признаны критическими, а 4 опасными. Первая критическая уязвимости позволяла обойти аутентификацию при обращении к настройкам, доступным только администратору сайта (siteadmin/triggercreation.php).

Вторая критическая уязвимость позволяла выполнить код на сервере через указание специально оформленного email. Проблема была вызвана отсутствием должного экранирования спецсимволов и могла быть эксплуатирована через указание при регистрации email вида "a`touch${IFS}/tmp/savane-rce-proof`@example.com" с последующим нажатием в web-интерфейсе кнопки проверки GPG-ключа (email подставлялся в строку запуска утилиты gpg, вызываемую через PHP-функцию proc_open()).

Добившись выполнения кода с правами web-сервера, исследователи нашли пароль доступа к СУБД в файле конфигурации и изменили в БД права доступа для своего зарегистрированного аккаунта с непривилегированного пользователя на администратора. Права администратора в web-интерфейсе Savannah давали возможность работы под любым пользователем без ввода пароля. Исследователи воспользовались этой возможностью, вошли от имени сопровождающего проект Bash и нашли возможность добавления своего SSH-ключа для подключения к git-репозиторию. В случае добавления ключа появлялась возможность отправки коммитов в Bash от имени сопровождающего.

Права root на сервере были получены через эксплуатацию до этого уже известной уязвимости в ядре Linux, которое не было обновлено на сервере (был установлен дистрибутив Trisquel GNU/Linux 11 на базе Ubuntu 22.04 с ядром linux-libre 5.15). Для атаки использовалась уязвимость в OverlayFS (CVE-2023-2640). Примечательно, что исправление уязвимости было доступно с 2023 года, но компания Canonical оперативно устранила проблему только в ядрах 5.19 и 6.2, а для ядра 5.15 выпустила патч только 7 мая 2026 года. Получив права root исследователи обнаружили в системе SSH-ключ у пользователя "gnubackup", позволяющий без пароля подключиться к хосту с резервными копиями.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66585

Выпуск пользовательского окружения Enlightenment 0.28 и библиотек EFL 1.29

Рабочий стол в Enlightenment формируют такие компоненты, как файловый менеджер, набор виджетов, панель запуска приложений и графические конфигураторы. Графические конфигураторы предоставляют как высокоуровневые средства настройки (изменение оформления, настройка виртуальных рабочих столов, управление шрифтами, разрешением экрана, раскладкой клавиатуры, локализацией и т.п.), так и возможности по низкоуровневому тюнингу (например, можно настроить параметры кэширования, графического ускорения, потребления энергии, изменить логику работы оконного менеджера).

Для расширения функциональности предлагается использовать модули (гаджеты), а для переработки внешнего вида - темы оформления. Доступны модули для отображения на десктопе календаря-планировщика, прогноза погоды, данных мониторинга, регулятора громкости, виджета для оценки заряда аккумулятора. Составляющие Enlightenment компоненты жёстко не привязаны друг к другу и могут использоваться в других проектах или для создания специализированных окружений, таких как оболочки для мобильных устройств.

Из обязательных зависимостей заявлены EFL, libexif и libpam (только в Linux). Среди рекомендованных зависимостей, необходимых для достижения полноценной функциональности: connman для настройки сети; bluez5 для работы с Bluetooth; bc для встроенного калькулятора; pulseaudio для управления звуковыми устройствами; acpid для обработки различных аппаратных событий; packagekit для отслеживания системных обновлений; udisks2 для монтирования внешних дисков; ddcutil для управления подсветкой экрана; gdb для трассировки аварийных завершений.

Наиболее заметные новшества:

• Добавлена поддержка микширования звука с использованием звукового сервера PipeWire (возможность работы с PulseAudio сохранена).
• Добавлена начальная поддержка платформы NetBSD.
• Добавлен модуль NetworkManager для настройки сетевых подключений через Wi-Fi, Ethernet, Bluetooth и VPN. Реализовано автоматическое определение сетевых конфигураторов NetworkManager и ConnMan. Переделаны диалоги для просмотра списка подключений и настройки Wi-Fi.
• Реализованы индикаторы трафика, режимов защиты Wi-Fi и уровня сигнала, а также возможность просмотра деталей сетевого подключения.
• Добавлена поддержка импорта настроек VPN и вывода запросов учётных данных для аутентификации. Улучшена поддержка подключения с использованием captive-порталов.
• Подготовлен модуль для управления буфером обмена, имеющий опции для сохранения истории операций и удаления отдельных элементов из истории. Улучшено отслеживание изменения содержимого буфера обмена и операций выделения текста.
• Добавлена возможность ограничения верхней границы заряда аккумулятора для продления его ресурса.
• Добавлена поддержка профилей энергопотребления CPU, предоставляемых через ACPI.
• Снижена интенсивность операций опроса состояния при выключенном экране.
• В окружениях на базе X11 предоставлена возможность настройки задержек и частоты срабатывания повторных нажатий при удержании клавиши на клавиатуре.
• Добавлен визуальный эффект "Roll Up" для плавного сворачивания окон.
• Удалена поддержка создания отдельных профилей для разных рабочих столов и экранов.
• Повышена производительность интерфейса переключения между окнами.
• Расширены возможности управления Bluetooth-адаптером.






Одновременно проект Enlightenment опубликовал набор библиотек EFL 1.29 (Enlightenment Foundation Library), позволяющих создавать визуально привлекательные графические интерфейсы, отличающиеся компактностью, низким потреблением ресурсов и высокой производительностью. Несмотря на изначальное развитие в качестве базиса для окружения Enlightenment, компоненты EFL часто используются для построения интерфейсов потребительской электроники и мобильных устройств. Например, EFL является составной частью мобильной платформы Tizen, используются в бытовой технике Electrolux, продуктах Samsung, ProFUSION, Free.fr и Calaos.

Состав EFL:

• Eina - библиотека с реализацией типов данных (массив, хэш, список, дерево) и вспомогательных инструментов (работа с логами, оценка производительности, преобразование форматов и т.д.).
• Eet - библиотека для записи произвольного набора блоков данных в файл для последующего быстрого чтения в произвольном порядке.
• Evas - система рендеринга для организации вывода на экран. Evas оперирует содержимым экрана как сценой с объектами, состояние которых можно отслеживать. Над сценой можно проделывать такие операции как масштабирование, вращение и 3D-трансформации. Подобный подход, абстрагированный от размещения экранных элементов, позволяет разрабатывать интерфейс пользователя с точки зрения дизайнера, а не программиста (в коде достаточно определить только логику и не думать о прорисовке и выводе на экран). Evas также абстрагирует метод вывода, что позволяет использовать один и тот же код в сочетании с программным и аппаратно ускоренным рендерингом.
• Ecore - библиотека для организации цикла обработки событий, предлагающая набор модулей для упрощения связанных с обработкой событий задач, таких как работа с Evas, нитями, сетевыми соединениями и т.п.
• Embryo - встраиваемый интерпретатор языка Pawn (ранее известного как Small).
• Edje - графическая библиотека, отделяющая внешний вид от кода (оформление задаётся в виде загружаемого из файла шаблона). Edje занимает нишу между HTML+CSS и SVG. При помощи данной библиотеки можно сформировать пользовательский интерфейс, снабжённый анимированными визуальными эффектами и поддерживающий динамическое оформление (внешний вид можно полностью поменять, просто сменив EDJ-шаблон и не трогая код, при этом, в отличие от визуальных тем, порядок расположения элементов может быть произвольно изменён).
• Efreet - библиотека, позволяющая использовать в приложениях спецификации Freedesktop.org для работы с пиктограммами, Desktop-файлами и меню.
• Eeze - библиотека для организации взаимодействия с внешними устройствами через udev, HAL и другие механизмы.
• Expedite - инструментарий для измерения производительности, который может тестировать различные движки Evas, такие как X11, XRender, OpenGL, SDL и DirectFB.
• Evil - реализация уровня совместимости для работы на платформе Windows.
• Eio - абстрактный интерфейс для доступа к файловой системе и реализации асинхронного ввода/вывода.
• Emotion - библиотека для интеграции в приложения обработчиков для проигрывания звука и видео. Воспроизведение видео может осуществляться с использованием Gstreamer, Xine или других внешних плагинов (например, VLC), при этом видео отображается как стандартный объект в Evas.
• Ethumb - библиотека для формирования эскизов изображений, соответствующих стандартам freedesktop.org. Ethumb реализован в виде сервиса dbus и клиентской библиотеки, взаимодействующей с данным сервисом.
• Elementary - набор виджетов с готовой реализацией разнообразных графических элементов (от кнопок и элементов управления, до календаря и модуля редактирования текста).
• Eldbus - надстройкой над DBus.
• Ephysics - предоставляет средства для использования движка симуляции физических процессов Bullet в приложениях на базе EFL. Ephysics обеспечивает связку Bullet с библиотеками Ecore и Evas.
• Ecore Audio - API для работы со звуком.

В новой версии EFL для сборки задействован инструментарий Meson 0.60, улучшена поддержка BSD-систем и Windows, объявлен устаревшим движок на базе API DirectDraw, повышена эффективность кэширования, расширены возможности для вывода текста и работы со шрифтами, добавлены оптимизации на базе инструкций AVX2, оптимизирована отрисовка векторной графики, добавлен бэкенд для PipeWire, добавлена поддержка использования штатных меню в macOS, реализована возможность сортировки элементов меню приложений с учётом локали, улучшена поддержка Wayland, реализован новый API для вывода звука, добавлен новый рендер на базе OpenGL с поддержкой градиентов и композитинга.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66583

Выпуск пакета тестирования производительности ChimbaBenchCL 1.2, использующего OpenCL

Для работы ChimbaBenchCL требуется устройство с поддержкой API OpenCL 1.0 или выше и минимум 512 МБ видеопамяти (GeForce 8000+, Radeon HD 4000+, Intel Gen7+). Тестирование одного устройства занимает в среднем 20-30 секунд. Предусмотрены параметры запуска "-disable-gpu*" и "-disable-cpu" для исключения проблемного или некорректно работающего оборудования. Полный список опций доступен по команде "--help".

Набор основных тестов в версии 1.2 включает:

• PCIe Bandwidth - тест пропускной способности шины PCI Express.
• VRAM Bandwidth - тест пропускной способности памяти.
• VRAM Latency - тест задержек при случайном доступе к памяти.
• FP16-H8 - тест вычислений с типом half8.
• FP32-F8 - тест вычислений с типом float8.
• FP32-FMA и FP32-MAD - тесты одинарной точности с использованием инструкций FMA и MAD.
• FP64-D4 - тест вычислений с типом double4.
• INT8-U16, INT32-I4, INT64-L2 - тесты вычислений с различными целочисленными типами.
• Image Blur - симуляция обработки графики в реальных задачах (Box Blur, 1920x1080).

По сравнению с другими OpenCL-тестами, такими как ProjectPhysX OpenCL-Benchmark, Intel Сompute Benchmarks, Spector, Sycl-bench, Mixbench и LuxMark, проект ChimbaBenchCL позиционируется как легковесная альтернатива, свободная от ограничений EULA и не накладывающая обременений на полученные результаты тестирования.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66582

Проект Genode опубликовал выпуск ОС общего назначения Sculpt OS 26.10

Основные новшества:

• По молчанию задействовано собственное микроядро, развиваемое проектом Genode, что позволило избавиться от проблем, возникавших при планировании задач и управлении памятью ядра. Проведены оптимизации производительности микроядра на ПК. Для снижения нагрузки в режиме простоя переделаны механизмы работы с таймером и обработки таймаутов.
• Завершён переход с файлов конфигурации в формате XML на собственный формат HID (Human-Inclined Data), представляющий данные в форме иерархии узлов, имеющих свои атрибуты. Поддержка старого XML-формта прекращена.
• Перенесённые из ядра Linux драйверы для USB-контроллеров, Wi-Fi, Ethernet-адаптеров и GPU синхронизированы с ядром 6.18 (ранее использовались драйверы из ядра 6.12).
• Встроенный драйвер для хост-контроллеров USB преобразован в подключаемый компонент, который можно удалять и перезапускать без нарушения работы USB-клиентов. Например, в случае сбоя в драйвере его можно перезапустить, при появлении обновления установить новую версию без перезагрузки ОС, а при необходимости снизить энергопотребление выгрузить драйвер.
• Для выполнения виртуальных машин задействована система виртуализации VirtualBox 7.2 вместо ранее применявшейся ветки 6.x.
• В гипервизор Seoul добавлена поддержка функции обмена файлами между хост-системой и гостевой ОС.
• Расширены возможности запуска Goa SDK в основном окружении, что позволяет без применения виртуализации разрабатывать, компилировать и тестировать компоненты Genode. Для работы в основной системе портированы GCC, Binutils, Git, Sequoia, Expect, Curl, man, Make и CMake.
• В интерфейсе пользователя реализована поддержка масштабирования и изменения внешнего вида курсора мыши.
• Проведена переработка C runtime и кода VFS. Добавлена поддержка перенастройки и реструктуризации виртуальных файловых систем на лету.


Система поставляется с графическим интерфейсом Leitzentrale, позволяющим выполнять типовые задачи по администрированию системы. В левом верхнем углу графического интерфейса отображается меню с инструментами для управления пользователями, подключения накопителей и настройки сетевого соединения. В центре присутствует конфигуратор для определения начинки системы в виде графа, показывающего взаимосвязь между системными компонентами. В интерактивном режиме можно удалять или добавлять компоненты, формируя состав системного окружения или виртуальных машин.

При желании пользователь может переключиться в консольный режим управления, предоставляющий большую гибкость в управлении. Традиционный рабочий стол может быть получен через запуск дистрибутива TinyCore Linux в виртуальной машине с Linux. В данном окружении доступны браузеры Firefox и Aurora, текстовый редактор на базе Qt и различные приложения. Для запуска утилит командной строки предлагается окружение "Noux".

Фреймворк Genode предоставляет унифицированную инфраструктуру для создания пользовательских приложений, работающих поверх ядра Linux (32 и 64 бит) или микроядер NOVA (x86 с виртуализацией), seL4 (x86_32, x86_64, ARM), Muen (x86_64), Fiasco.OC (x86_32, x86_64, ARM), L4ka::Pistachio (IA32, PowerPC), OKL4, L4/Fiasco (IA32, AMD64, ARM). В состав входит паравиртуализированное Linux-ядро L4Linux, работающее поверх микроядра Fiasco.OC, позволяющее выполнять в окружении Genode обычные Linux-программы. Ядро L4Linux не работает с оборудованием напрямую, а использует сервисы Genode через набор виртуальных драйверов.

Для Genode портированы различные компоненты Linux и BSD, обеспечена поддержка Gallium3D, выполнена интеграция Qt, GCC и WebKit, реализована возможность создания гибридных Linux/Genode программных окружений. Имеется порт VirtualBox, работающий поверх микроядра NOVA. Многие приложения адаптированы для запуска напрямую поверх микроядра и окружения Noux, обеспечивающего виртуализацию на уровне ОС. Для запуска не портированных программ предлагается система виртуальных окружений, работающая на уровне отдельных приложений и позволяющая запускать программы в виртуальном Linux-окружении с использованием паравиртуализации.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66581

Новые версии Wine 11.21, Wine-staging 11.21 и D7VK 2.4. Реализация 3Dfx Glide поверх Vulkan

Наиболее важные изменения:

• Повышена производительность OpenGL при использовании прослойки WoW64 (64-bit Windows-on-Windows), позволяющей выполнять 32-разрядные Windows-приложения в 64-разрядных Unix-системах (WoW64 обеспечивает запуск 32-разрядного кода внутри 64-разрядного процесса). Работа оптимизирована через реализацию маппинга буферов для WoW64 при помощи расширения MESA_map_buffer_client_pointer.
• Добавлена начальная версия DLL-библиотеки c реализацией API Voice Capture DSP для обработки данных с микрофона в режиме реального времени.
• Улучшена поддержка API для работы с учётными записями пользователей. Добавлена функция LogonUserW().
• Решены проблемы с обработкой комбинаций клавиш "Ctrl + Tab" и "Shift + Ctrl + Tab".
• Закрыты отчёты об ошибках, связанные с работой приложений: FL Studio 26.1.5, Cinebench 2026, .NET Framework 4.8.
• Закрыты отчёты об ошибках, связанные с работой игр: World of Tanks, Tron 2.0, I Love Science!, Skyrim, BioShock 2 Remastered, Zeus: Master of Olympus, Skyrim SE, No One Lives Forever 2.

Параллельно сформирован выпуск проекта Wine Staging 11.21, предоставляющего расширенные сборки Wine, включающие не полностью готовые или рискованные патчи, пока непригодные для принятия в основную ветку Wine. По сравнению с Wine в Wine Staging предоставляется 275 дополнительных патчей. В новом выпуске Wine Staging осуществлена синхронизация с кодовой базой Wine 11.21 и обновлён код vkd3d.





Дополнительно можно отметить выпуск проекта D7VK 2.4, развивающего реализацию графических API Direct3D 3, 5, 6 и 7, предложенных компанией Microsoft в 1996, 1997, 1998 и 1999 годах. D7VK работает через трансляцию вызовов в API Vulkan и позволяет при помощи Wine запускать в Linux ретро игры, завязанные на API Direct3D 3, 5, 6 и 7. Код проекта написан на языке C++ и распространяется под лицензией Zlib. В качестве основы при разработке использован код бэкенда d3d9 от проекта DXVK - D7VK преобразует API Direct3D 3, 5, 6 и 7 в вызовы Direct3D 9, которые затем транслируются в API Vulkan. Разработчик не намерен добиваться включения D7VK в состав DXVK, как это было с реализациями Direct3D 8 и Direct3D 9 поверх Vulkan.

В новой версии D7VK:

• Реализовано принудительное ограничение разрешения экрана значением 1080p для того чтобы соответствовать лимитам старых API, превышение которых приводило к аварийному завершению или откату на разрешение 640×480 в играх.
• Отключено по умолчанию масштабирование буфера отрисовки в зависимости от размера экрана, так как разница в размерах поверхностей приводила к сбоям в играх, копирующих данные между буферами DDraw и D7VK. Для возвращения масштабирование предусмотрена настройка "ddraw.backBufferResize = True", при выставлении которой теперь по умолчанию сохраняется исходное соотношение сторон (отключается через ddraw.preserveAspectRatio = False).
• Кодовая база синхронизирована с последней версией DXVK.
• Для совместимости с некоторыми старыми играми, такими как Earth 2150, добавлена опция для возвращения приложению только коэффициентов соотношения сторон 4:3 и 5:4.
• Для исключения проблем во время переключений между DDraw и Vulkan реализована опция для принудительной прокси-обработки цветности (gamma) через буферы отображения DDraw.
• Для снижения потребления памяти унифицированы все структуры описания поверхностей.
• Ускорены операции загрузки кубических текстур, создания объектов и инициализации через IClassFactory.

Отдельно в анонсе D7VK 2.4 представлен проект GXVK, развивающий реализацию графического API 3Dfx Glide, работающую поверх Vulkan и использующую DXVK в качестве бэкенда. Проект пока находится на стадии ранней альфа-версии, но уже позволяет запускать в Linux при использовании Wine некоторые старые 3D-игры и приложения, завязанные на API Glide. Развиваются транслирующие в Vulkan прослойки для трёх 32-разрядных вариантов API Glide 2.00-2.11 (glide.dll), Glide 2.30-2.60 (glide2x.dll) и Glide 3.00-3.10 (glide3x.dll), выпускавшихся компанией 3Dfx для Windows.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66580

Релиз Tor Browser 16.0

Для дополнительной защиты в Tor Browser включена настройка "HTTPS Only", позволяющая использовать шифрование трафика на всех сайтах, где это возможно. Для снижения угрозы от проведения атак с использованием JavaScript и блокирования по умолчанию плагинов в комплекте поставляется дополнение NoScript. Для борьбы с инспектированием трафика применяются fteproxy и obfs4proxy. Для организации шифрованного канала связи в окружениях, блокирующих любой трафик кроме HTTP, предлагаются альтернативные транспорты.

Для защиты от отслеживания перемещения пользователя и от выделения специфичных для конкретного посетителя особенностей отключены или ограничены API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices и screen.orientation, а также отключены средства отправки телеметрии, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect", модифицирован libmdns.

В новой версии:

• Осуществлён переход на кодовую базу Firefox 153 ESR (ранее использовался Firefox 140). В процессе перехода проведён аудит изменений в Firefox, в ходе которого проанализированы и устранены 274 потенциальные проблемы, которые могли негативно повлиять на конфиденциальность и безопасность. Дополнение NoScript обновлено до версии 13.6.37.1984, а инструментарий Tor до версии 0.4.9.15.
• Переработан интерфейс конфигуратора, в котором расширены возможности поиска настроек, улучшена навигация, обновлены метки и описание настроек. Cекция "General" разделена на несколько новых разделов с настройками внешнего вида, загрузок, вкладок, языков и средств для людей с ограниченными возможностями. Для единообразия с Firefox переделаны специфичные для Tor разделы с настройками подключения и уровня безопасности. Скрыты или снабжены предупреждениями настройки, снижающие конфиденциальность или упрощающие скрытую идентификацию.
• В раздел настроек "Privacy and security" добавлена секция, посвящённая защите от отслеживания сторонними приложениями открываемых в браузере страниц. В секции пока предложена только одна опция для отключения отображения названий открытых страниц в заголовке окна. При её включении в заголовке всегда будет показываться только строка "Tor Browser". Так как получение информации из заголовков других окон не требует отдельных полномочий, любое стороннее приложение может собирать информацию об открываемых страницах через отслеживание изменения заголовка.

  Реализация рассматриваемой опции также передана в кодовую базу Firefox и уже доступна для включения через параметры privacy.exposeContentTitleInWindow и privacy.exposeContentTitleInWindow.pbm на странице about:config.

  
• Переписано и синхронизировано с документацией на сайте руководство пользователя, предложенное на странице about:manual (в меню "Help → Tor Browser manual")
• Добавлены сборки для Linux-систем на архитектуре AArch64, которые, среди прочего, можно использовать на платах Raspberry Pi и компьютерах Mac с чипами Apple Silicon.
• Прекращена поддержка 32-разрядных Linux-сборок для систем x86. По оценке разработчиков ежедневно фиксируется лишь около 200 запросов на проверку наличия обновлений для подобных сборок.
• В версии для Android продолжен переход на использование фреймворка Jetpack Compose. Оформление значительной части интерфейса переделано в соответствии с концепцией Material Design 3. Проведена работа по сокращению APK-пакета, чтобы не превышать лимит Google Play в 100 МБ.
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66579
  

AlpineBSD - дистрибутив с ядром NetBSD и системным окружением в стиле Alpine Linux

Проект придерживается жёсткой политики в отношении AI и пытается насколько это возможно не использовать ПО, содержащее код, сгенерированный через AI. В базовую систему и в основной репозиторий пакетов запрещено включение компонентов, созданных через AI. Все пакеты, включающие код, документацию, бинарные файлы и прочие ресурсы, созданные через AI, помечены специальной меткой и распространяются через отдельный репозиторий "tainted". В процессе разработки AlpineBSD также запрещено применение AI-инструментов.

В AlpineBSD пока отсутствует отдельный инсталлятор и установочные сборки. Для тестирования проекта предлагается загрузится с установочного носителя NetBSD, после чего скачать сборку пакетного менеджера apk, добавить репозитории, установить apk-пакеты и настроить систему инициализации s6.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66578

Атакующие смогли внедрить вредоносный код в официальное дополнение Claude Code к VS Code

Код для загрузки вредоносных компонентов был добавлен в начало файла extension.js и активировался при инициализации дополнения после запуска VS Code (для активации вредоносного кода взаимодействие пользователя с Claude не требовалось). Вредоносная активность сводилась к созданию директории ~/.ssh и добавлению в файл ~/.ssh/authorized_keys открытого ключа ssh-ed25519 c примечанием "svc-telemetry". После этого осуществлялась проверка наличия фонового процесса sshd в Linux и macOS, и активация SSH-сервера в случае его отсутствия. В Windows через PowerShell выполнялась установка OpenSSH.

Далее вредоносный код сохранял закрытый ключ во временный файл с именем ".stk_*" и настраивал обратный туннель с внешним SSH-сервером 134.209.82.225 для удалённого доступа, запуская ssh с опциями "-N -R '*:0:localhost:22'". Соединение обновлялось каждые 60 секунд. Скрипты для обновления туннеля и отправки данных на внешние серверы сохранялись в файлах ~/.config/.smt и ~/.config/.smtk. Периодический запуск в Linux настраивался через cron, в macOS через LaunchAgent (com.apple.sysmond.plist), а в Windows через SysMon и автозапуск.

Помимо этого в системе собирались сведения об имени хоста, зарегистрированных пользователях, операционной системе, домашнем каталоге, email (через git config --global user.email) и переменных окружения c именами, содержащими слова KEY, TOKEN, SECRET, PASS, AWS и GCP. Найденные данные отправлялись в формате JSON по URL http://134.209.82.225:8099/beacon.

Пользователям дополнения Claude Code к VS Code рекомендуется проверить свои системы на предмет установки вредоносной версии 2.1.313. Индикаторами компрометации системы является появление файлов ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd, ~/.config/smtk, SysMon и sysmon.cmd, а также обращение по портам 22 и 8099 к IP-адресу 134.209.82.225, и отправка HTTP/HTTPS-запросов к хостам ifconfig.me и api.ipify.org.

Как именно злоумышленники добились подстановки вредоносного кода в дополнение пока не ясно, предполагается, что могла быть взломана учётная запись сотрудника Anthropic, занимающегося сопровождением пакета, или была использована проблема с безопасностью в системе публикации релизов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66577

Удалённо эксплуатируемая уязвимость в TCP-стеке ядра Linux

Подготовленный эксплоит может быть применён при использовании любых серверных приложений на языке Go, включая HTTP-сервер Caddy, при наличии возможности отправки сетевых пакетов на создаваемый ими слушающий сокет. Так как уязвимость присутствует непосредственно в стеке IPv4 и не специфична для MPTCP, не исключается создание эксплоитов, работающих без привязки к MPTCP, но подобные эксплоиты пока не продемонстрированы. Например, возможна эксплуатация уязвимости при обработке запросов миграции сокетов, доступная в конфигурациях с параметром net.ipv4.tcp_migrate_req=1 или при использовании eBPF-программ с опцией BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.

Уязвимость вызвана состоянием гонки, возникающим при одновременной обработке повторно переданных SYN-запросов при установке TCP-соединения. Так как функция tcp_v4_syn_recv_sock() передаёт дочернему сокету параметры из структуры ireq->ireq_opt через ссылку, а не через копирование, при определённом стечении обстоятельств возникает ситуация, когда память под структуры inet_opt и ireq_opt с параметрами сокета уже освобождена, но связанные с ней опции сокета продолжают использоваться (use-after-free).

Удалённая эксплуатация осуществляется через отправку серии синхронизированных во времени сетевых запросов. Созданный эксплоит успешно применим в том числе к ядрам, в которых используется рандомизация адресов (KASLR), но попадание в окно состояния гонки занимает достаточно много времени и требует большого числа повторных попыток. Эксплуатацию упрощает то, что не попадание в окно состояния гонки приводит лишь к сбросу сеанса установки соединения (handshake), а не краху ядра, что даёт возможность бесконечно продолжать попытки. В созданном прототипе эксплоита на проведение атаки потребовалось около часа - 48 минут на определение раскладки памяти и ещё 5 минут на организацию выполнения кода.

Гарантированно блокирующие уязвимость обходные пути защиты пока не представлены - как единственный надёжный вариант предлагается установить обновление ядра. Проблема проявляется начиная с ядра Linux 4.4 и устранена в выпусках 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Из рекомендаций по противодействию конкретным методам эксплуатации, не блокирующих уязвимость в общем виде, можно отметить отключение поддержки MPTCP и выставление sysctl-параметра ядра net.ipv4.tcp_migrate_req в значение 0:

   sysctl -w net.mptcp.enabled=0
   sysctl -w net.ipv4.tcp_migrate_req=0

Для определения наличия в системе процессов, использующих сокеты с MPTCP, можно использовать команды:

   ip mptcp endpoint show
   ip mptcp limits show

Для отключения поддержки MPTCP в программах на языке Go, следует использовать флаг "multipathtcp=0", для выставления которого можно установить переменную окружения "GODEBUG=multipathtcp=0". Для отключения поддержки MPTCP на этапе сборки можно добавить "godebug multipathtcp=0" в файл с модулем go.mod. В коде приложения использование MPTCP можно отключить через функции net.Dialer.SetMultipathTCP и net.ListenConfig.SetMultipathTCP.

Помимо рассмотренной проблемы компания Anthropic также анонсировала серию локально эксплуатируемых уязвимостей в ядре Linux, OpenBSD и FreeBSD, позволяющих получить права root в системе и выйти из изолированных контейнеров; уязвимости в Chrome и Safari, приводящие к выполнению кода в системе при открытии специально оформленных web-страниц; уязвимость в ядре Windows, приводящая к аварийному завершению работы; уязвимость в платформе Android, позволяющая обойти блокировку экрана и получить доступ к персональной информации и фотографиям без разблокировки устройства (атака продемонстрирована на смартфоне Google Pixel 9).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66575

Выпуск композитного сервера Hyprland 0.57

Предоставляются возможности для создания визуально привлекательных интерфейсов: градиенты в обрамлении окон, размытие фона, анимационные эффекты и тени. Для расширения функциональности могут подключаться плагины, а для внешнего управления работой предоставляется IPC на базе сокетов. Настройка осуществляется через файл конфигурации, изменения в котором подхватываются на лету без перезапуска. Из функций также выделяются: динамически создаваемые виртуальные рабочие столы; режимы компоновки элементов на экране; глобальная обработка горячих клавиш; управление жестами на тачпаде/сенсорном экране.

В новой версии:

• Предложено 11 вариантов шейдеров для размытия фона и предоставлена возможность создание своих вариантов через плагины.
• Добавлена возможность трансляции содержимого выбранного виртуального рабочего стола через браузер или программы для проведения видеоконференций.
• Реализован эффект "wobble" для инертного раскачивания границ окна при его перемещении, как в Compiz.
  
  
  <video><source src="https://hypr.land/imgs/blog/update57/wobbl.mp4"></video>
• В Lua API добавлены новые методы hl.reload_config() и hl.get_devices(), а также возможность подключения обработчиков событий сворачивания и изменения состояния окна.
• Добавлена настройка "cursor:warp_on_monitor_change" для перемещении курсора вслед за переключением на рабочий стол на другом мониторе.
• Добавлена настройка "input:tablet:enabled" для управления включением графических планшетов.
• Добавлена опция "decoration:blur:proportional" делающая интенсивность размытия пропорциональной уровню прозрачности поверхности.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66574

Релиз языка программирования Nim 2.4.0

Возможности Nim включают систему макросов, работающих на AST во время компиляции, поддержку обобщённого программирования с концептами, множественную диспетчеризацию (multiple dispatch), детерминированное управление памятью с поддержкой нескольких стратегий (ARC/ORC, refc, маркировка-и-подметание), встроенную поддержку async/await для асинхронного программирования и FFI для простой интеграции с C/C++/JavaScript. Nim позиционируется как системный язык, подходящий для разработки от встраиваемых систем до веб-серверов, с акцентом на эффективность, безопасность памяти и удобство разработки.

Основные изменения:

• Реализован режим оптимизации коротких строк (SSO, Small-String Optimization), включаемый через опцию "--strings:sso" и приводящий к хранению небольших строк непосредственно в самом объекте, без отдельного выделения памяти в куче. Для эффективного использования этого режима предложен новый низкоуровневый API, в котором вместо синтаксиса "addr myString[offset]" предложены раздельные операции для чтения и записи (readRawData, readRawDataStable, beginStore и endStore). Например, при использовании нового API операции "addr s[i]" и "unsafeAddr s[i]" заменяются на вызов "readRawData(s, i)", а связка "setLen" и "addr s[oldLen]" заменяется на "beginStore(s, newLen, start)" с последующим "endStore(s)".

      # До: установка длины и копирование по адресу элемента строки
      result.setLen newLen
      copyMem(addr result[oldLen], buf, buflen)
  
      # После: beginStore устанавливает длину, обеспечивает уникальное
      # владение и возвращает указатель для записи; endStore завершает запись
      copyMem(beginStore(result, newLen, oldLen), buf, buflen)
      endStore(result)
  

• Реализована поддержка параллельной и инкрементальной сборки, активируемой через опцию "--ic:on". Распараллеливание реализовано на основе многопроцессности, а не многопоточности, поэтому макросы, использующие глобальные переменные ".compileTime", могут потребовать доработки для ускорения сборки. Ускорение наблюдается не только при повторных пересборках, но и при первой сборке за счёт распараллеливания. Например, сборка компилятора Nim на машине с 16 физическими ядрами при использовании опции "--ic:on" сократилась с 31 до 25 секунд.
• Добавлен новый алгоритм управления памятью YRC, активируемый опцией "--mm:yrc" и обеспечивающий корректную обработку циклических ссылок, пересекающих границы потоков. YRC предоставляет тот же API, что и ORC, но помимо возможностей последнего обеспечивает потокобезопасность. Для ациклических данных применяется атомарный подсчёт ссылок, а для циклических - барьер записи (write barrier), который активируется только при присваивании указателей. При этом в тесте orcbench YRC примерно в два раза медленнее ORC и потребляет вдвое больше памяти.
• Поддержка типов-сумм (sum types), при объявлении которых применяется сопоставление с образцом.

      type
        Node = ref object
          case
          of IntLit: intVal: int
          of FloatLit: floatVal: float
          of StringLit: strVal: string
          of AddOp, SubOp:
            leftOp, rightOp: Node
          of IfStmt:
            condition, thenPart, elsePart: Node
  

  Имя ветви служит конструктором с именованными аргументами:

      let n = AddOp(leftOp: IntLit(intVal: 40), rightOp: IntLit(intVal: 2))
  

  Поддерживаются обобщённые типы-сумм (generic), в которых конкретный экземпляр выводится из значений полей или из ожидаемого типа:

      type
        Opt[T] = object
          case
          of None: discard
          of Some: val: T
  
      let a = Some(val: "abc")      # Opt[string]
      let b: Opt[int] = None()      # ожидаемый тип выбирает экземпляр
  

  Доступ к полям осуществляется исключительно через сопоставление с образцом, поэтому обращение к полю чужой ветви (FieldDefect) невозможно. Поля привязываются к именам, следующим за именем ветви:

      proc eval(n: Node): int =
        case n
        of IntLit(v): v                    # v привязано к intVal
        of AddOp(a, b): eval(a) + eval(b)  # a, b — leftOp, rightOp
        of SubOp(a, b): eval(a) - eval(b)
        else: raiseAssert "not an arithmetic expression"
  

• Добавлен экспериментальный модификатор "owned" для управления памятью на основе явного владения без использования сборщика мусора, активируемый при указании опции "--experimental:ownedRefs". Типы "owned ref T" и замыкания "owned" гарантируют наличие единственного владельца у объекта. Подобные объекты нельзя копировать и можно только перемещать, а при выходе из области видимости они автоматически уничтожаются.
• Добавлена прагма "{.cyclic.}" для обработки циклического импорта модулей, ссылающихся друг на друга, которая позволяет связывать модули напрямую без выноса типов в отдельный файл и избавляет от необходимости подбирать строгий порядок объявлений в коде.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66570

Возобновлена разработка Ubuntu Core Desktop, использующего только snap-пакеты

В отличие от существующих атомарно обновляемых дистрибутивов, системные компоненты в которых монтируются в режиме только для чтения, в Ubuntu Core Desktop применяется модель "все компоненты в формате snap". При использовании подобной модели содержимое системного окружения, ядро Linux, загрузчик, среды рабочего стола, мультимедийные серверы, запускаемые фоновые процессы и приложения поставляются в формате snap и управляются инструментарием snapd.

В отличие от ранее развивавшегося прототипа дистрибутив намерены сделать более модульным и вместо поставки одного snap-пакета с системным окружением Ubuntu Core, разделить базовую систему на набор отдельно обновляемых snap-пакетов. Все приложения намерены запускать с изоляцией от основной системы, а для пакетов не поддерживающих изоляцию предоставят прослойку для запуска с использованием виртуализации.

Для контроля над доступом приложений к системным и внешним ресурсам развивается механизм запроса полномочий, требующий у пользователя подтверждения доступа, например, при обращении из snap-пакетов к файлам в домашнем каталоге, web-камере или микрофону. Динамический вывод запросов осуществляется на основании анализа обращений к системным вызовам, а разграничение доступа организовано с использованием AppArmor.

Разработка ведётся с оглядкой на три базовых сценария использования:

• Рабочая станция, на которой основная активность связана с использованием web-браузера и работы с web-приложениями. Данный сценарий рассматривается как самый быстро реализуемый, так как уже имеются готовые snap-пакеты с Firefox и Chromium, а также налажена поддержка запроса полномочий при доступе к камере и микрофону.
• Система для разработчиков ПО, позволяющая использовать одновременно несколько сред разработки, устанавливаемых в изолированных окружениях при помощи инструментария workshop, использующего LXD для управления контейнерами. При необходимости запустить приложения из deb-пакетов, пакетов в формате flatpak или классических snap-пакетов, не работающих поверх Ubuntu Core, будут использованы контейнеры или виртуализация.
• Система для любителей компьютерных игр, построенная вокруг snap-пакета Steam. Составные части игрового стека, такие как Proton, Mesa и драйверы, будут также поставляться в формате snap, что даст возможность устанавливать самые последние версии данных компонентов или использовать разные версии с разными играми.

В процессе подготовки следующего релиза Ubuntu планируется провести работу по разделению составных частей среды рабочего стола на разные модули, сформировать snap-интерфейсы для поддержки разных функций и сценариев использования рабочего стола, а также протестировать новую архитектуру Ubuntu Core Desktop на вышеотмеченных трёх сценариях использования. Помимо этого совместно с разработчикам проекта KDE Neon началась работа над вариантом дистрибутива KDE Neon, реализованного поверх Ubuntu Core, что позволит адаптировать Ubuntu Core Desktop для поддержки различных рабочих столов, не ограничиваясь GNOME.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66568

Qwenputer - редакция AI-модели Qwen3.5, способная симулировать RISC-V CPU для выполнения кода на C и MicroPython

Реализация успешно проходит все проверки из официального набора тестов riscv-tests и способна выполнять скомпилированный код на C и MicroPython. При выполнении арифметических вычислений с большими числами Qwenputer обеспечивает точность 97.5-100%, что сопоставимо или превосходит результаты базовой модели Qwen3.5 с подключённым внешним интерпретатором Python.

Для симуляции оперативной памяти в модели задействованы отдельные слои Gated DeltaNet (линейные RNN), применяемые в штатной AI-модели Qwen для сохранения изменённого состояния при работе с большими контекстными окнами. Путём фиксации состояния гейта и применения унитарного кодирования (one-hot) каждый запрос на запись перезаписывает ровно одну строку матрицы состояния, что позволяет использовать состояние DeltaNet как адресуемую память фиксированного размера, избегая линейного роста KV-кэша (Key-Value) при увеличении длины контекста. В подобной памяти размещаются регистры CPU, данные и выполняемый машинный код.

Инструкции процессора, такие как чтение регистров, арифметические операции и условные переходы, компилируются непосредственно в веса слоёв трансформера. С каждой инструкцией сопоставляются специальные токены (ADDR, VAL, STEP), которые слои AI-модели интерпретируют как логику работы CPU. Для инициализации CPU и загрузки прошивки применяется небольшой внешний драйвер RvChat, но сам машинный код обрабатывается полностью внутри весов модели.

Из ограничений проекта упоминается примерно двухкратное по сравнению с исходной моделью Qwen увеличение размера (18.8 ГБ) при сохранении срезов состояния (checkpoint), возникающее в основном из-за добавочного заполнения дополнительных слоёв. Также отмечается относительно низкая скорость вычислений (порядка 3200 токенов в секунду на GPU L4), из-за чего сложные расчёты могут занимать секунды, а не миллисекунды.

Дополнительно реализован вариант AI-модели с экспериментальной файловой системой, позволяющей хранить внутри весов AI-модели до 512 файлов с 53 тысячами токенов текста. Как и в реализации оперативной памяти хранение организовано в привязке к состояниям DeltaNet, но отличается тем, что ФС обеспечивает постоянное хранение, не теряющее состояние между сеансами.

Наработки Qwenputer также легли в основу исследования новых потенциальных проблем с безопасностью в AI. На примере Qwenputer показано как специально модифицированная AI-модель может скрывать свои рассуждения в RNN-состоянии и обходить механизмы мониторинга рассуждений модели (CoT, Chain-of-Thought). Также продемонстрирована возможность создания механизмов контроля и мониторинга безопасности, встроенных в веса AI-модели, которые сама модель не может отключить или изменить.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66569

Вернулся из Петрозаводска. Не смотря на короткий световой день, удалось выкрасть немного тёплой сухой погоды во второй половине 20-х чисел октября.

#сегодня буду немного спамить фотками

Выпуск GhostBSD 26.2

В новой версии:

• Реализован новый инсталлятор. Процесс установки разделён на два этапа: Install Station для установки системных компонентов на носитель и Setup Station для настройки и создания пользователей при первой загрузке новой системы. Добавлены новые страницы для настройки ZFS и сети. Реализована поддержка полнодискового шифрования c использованием инструментария GELI.
• Осуществлён переход на FreeBSD 15.1 (ранее дистрибутив базировался на FreeBSD 15.0).
• По умолчанию скрыто загрузочное меню, которое теперь появляется после нажатия любой клавиши. В загрузочное меню добавлена опция для включения отображения загрузочного лога.
• Приложение Backup Station переименовано в BE Station и может использоваться для создания загрузочных окружений.
• В приложении Update Station реализована установка обновлений в загрузочном окружении.
• В NetworkMgr для управления Wi-Fi задействована утилита wpa_cli и обеспечено сохранение параметров беспроводной сети только после успешного подключения.
• В менеджер приложений Software Station добавлена поддержка поиска без учёта регистра символов.
• Сокращён размер iso-образа, за счёт удаления из базовой системы устаревших и серверных пакетов: audit, autofs, bsnmp, hast, inetd, kerberos, nuageinit, quotacheck, rdma, librpcsec_gss, yp, cxgbe-tools, mlx-tools, librss, netmap, apm, at, ftp, ppp, natd, rcmds, ccdconfig, libvgl, ipf, pf, ctf, dtrace, dwatch, lldb, lib9p, libvmmapi, lib32: bluetooth, bsnmp, libcuse, librss, libvgl, natd, netmap, librpcsec_gss, lib9p, zfs.
• Добавлена комбинация клавиш Ctrl+Alt+T для открытия терминала в MATE.
• Через фоновый процесс usbhid реализована поддержка устройств ввода с интерфейсом USB.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66567

Удалённая уязвимость в серверных UEFI-прошивках, эксплуатируемая через отправку ICMP-пакета

Проблема вызвана переполнением буфера в обработчике ICMP-сообщений в драйвере UefiPxeBcDxe, который используется для PXE-загрузки и принимает ICMP-пакеты во время загрузки по сети для фиксации сетевых ошибок. Переполнение возникает из-за помещения получаемых сообщений об ошибках в фиксированный буфер, размером 504 байта, без проверки фактического размера полученных данных. В случае отправки более 504 байтов в ICMP-пакете, не вмещающийся хвост записывается за пределы буфера и накладывается на идущие следом структуры.

Атака может быть проведена из глобальной сети - достаточно знать IP-адрес жертвы и суметь определить момент PXE-загрузки. Зная какая именно прошивка используется на сервере жертвы, атакующий может подготовить эксплоит с учётом размещения структур в памяти конкретной сборки прошивки и эксплуатировать уязвимость для выполнения кода на уровне DXE (Driver Execution Environment), выполняемом в нулевом кольце защиты.

Проект EDK II открыт в 2004 году компанией Intel и используется всеми крупными производителями прошивок для серверных систем, датацентров и облачных провайдеров. Среди прочего, он применяется в прошивках AMI, Insyde и Phoenix. Уязвимости также присутствует в прошивках на базе платформы Mu от компании Microsoft, которая представляет собой форк EDK II.

Проблема выявлена представителями компаний Anthropic и Google, и была запланирована для скоординированного публичного раскрытия в январе 2027 года. Но обнародовать информацию пришлось раньше, так как инженер из компании AMI случайно нарушил эмбарго и опубликовал публичный pull-запрос с исправлением, на основе которого можно было понять суть уязвимости.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66565

Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab

Уязвимость присутствует в движке регулярных выражений Onigmo и приводит к переполнению внутренних идентификаторов при компиляции шаблона с большим числом повторов. Проблема проявляется только в приложениях, использующих внешние данные в регулярных выражениях, обрабатываемых через методы Regexp.new, Regexp.union и Regexp.compile или литералы вида "/#{input}/". Ограничение размера регулярного выражения или времени его обработки через метод Regexp.timeout для блокируют уязвимость, так как для атаки могут использоваться короткие шаблоны.

В GitLab уязвимость может быть эксплуатирована неаутентифицированным пользователем из-за подстановки в регулярное выражение внешних данных. Детали метода эксплуатации пока не раскрываются (по правилам GitLab информация становится доступна спустя 30 дней после публикации исправления), при этом в сети уже фиксируются попытки осуществления атак на пользователей GitLab. Косвенными признаками осуществления атаки может служить увеличение числа аварийных завершений интерпретатора Ruby и рост ошибок в логах, связанных с истечением таймаута на отрисовку страницы при обработке org-файлов.

Помимо CVE-2026-110264 в движке регулярных выражений устранены ещё три уязвимости: CVE-2026-89078 (двойное освобождение памяти при невозможности парсинга шаблона после его изменения), CVE-2026-93577 и CVE-2026-97229 (целочисленные переполнения при расчёте размера компилируемого шаблона).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66549

Взлом сервера с модами, дополнениями и ресурсами для игрового движка Luanti

Доступ был получен через эксплуатацию двух уязвимостей, одна из которых была в стороннем открытом проекте. Детали пока не раскрываются, но в репозиторий платформы ContentDB в последние несколько дней были добавлены изменения, блокирующие формирование релизов из Git и устраняющие уязвимость, связанную с выставлением символических ссылок на внешние каталоги при выполнении операции "git clone". Также в репозитории запрещён внешний доступ к API celery-exporter через сетевые порты 5125 и 9540 и удалён присутствующий в коде URL с прошитым идентификатором для системы мониторинга Grafana.

Первые следы несанкционированной активности зафиксированы 22 октября в 16:00 (MSK) - атакующие подучили доступ к внутренней конфигурации платформы и смогли подключиться под учётной записью одного из администраторов, позволяющей вносить изменения в загруженный контент. 26 октября в 3:15 (MSK) атакующие смогли получить полный доступ к системе внутри docker-контейнера и к СУБД проекта.

26 октября в 12:00 (MSK) взлом был обнаружен, работа сервиса ContentDB остановлена, а все токены для доступа к GitHub (OAuth) и API отозваны. Сверка содержимого каталога с данными из резервной копии не выявила модификации пакетов, но целостность пакетов, загруженных в каталог с 22 по 26 октября не гарантируется. В настоящее время сервис ContentDB отключён и будет возвращён в строй не раньше чем через неделю.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66563

Основатель CentOS и Rocky Linux представил Linux-совместимое ядро Ginux, написанное на Rust

Прототип создан за 11 дней в рамках эксперимента по применению техники разработки HDAE (Human-Directed Agentic Engineering) для создания сложных проектов, уровня ядра Linux. При использовании метода HDAE код генерируется AI-агентом (использован Codex c моделью GPT-5.6 Sol), а человек сосредоточен на разработке архитектуры, принятии решений, координации работы, формировании плана разработки и определении критериев готовности развиваемых компонентов. AI-агенты также привлекаются для тестирования, рецензирования и диагностики проблем.

Проект не пытается копировать технологии из ядра Linux, а создаёт собственные совместимые реализации с оглядкой на них. Ginux предоставляет независимые систему управления памятью, планировщик задач, загрузочный процесс, модель процессов, файловые системы, сетевой стек, драйверы устройств и слой для совместимости с Linux ABI. Ядро Ginux загружается напрямую через UEFI без привлечения хостовой Linux-системы.

Ginux пока не претендует на замену Linux и не готов для использования в рабочих системах, но уже пригоден для проведения экспериментов и тестирования. В долгосрочной перспективе проект рассматривается как операционная система для запуска в изолированных контейнерах компонентов для AI-инфраструктуры. Имя Ginux сформировано как комбинация из слов GPT/Gregory и Linux. Основой платформой для тестирования является запускаемая при помощи гипервизора KVM виртуальная машина Q35 (Intel Q35/ICH) с OVMF (Open Virtual Machine Firmware), Intel IOMMU и virtio-устройствами.

Из 375 системных вызовов ядра Linux 6.12 полностью реализовано 82, частично - 245 и заблокировано из соображений безопасности - 48. Для выявления сбоев, которые невозможно выявить в синтетических тестах, работа ядра оценивается при запуске реальных приложений и библиотек, таких как musl, glibc, BusyBox и systemd.

Среди планов:

• Обеспечение запуска компонентов пользовательского пространства Linux-дистрибутивов без использования ядра Linux.
• Возможность создания изолированных доменов со своими наборами процессов, адресным пространством, файловыми системами, устройствами, ресурсами и независимым жизненным циклом.
• Подготовка самодостаточного загрузочного образа.
• Предоставление минимального управляющего окружения в пространстве пользователя (userspace control plane), позволяющего управлять ядром без выполнения кода на нулевом кольце защиты.
• Система управления доступом, работающая на уровне именованных объектов.
• Поддержка изолированного запуска образов контейнеров в формате OCI.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66562

10 уязвимостей в ядре Linux и 4 во FreeBSD, позволяющие получить права root в системе

Уязвимости в ядре Linux:

• 5 уязвимостей, раскрытых проектом Zero Day Initiative до публикации исправлений из-за ошибочной отправки информации не в тот список рассылки:
  • ZDI-CAN-33549 - уязвимость в модуле ksmbd c реализацией файлового сервера на базе протокола SMB, которую можно эксплуатировать для удалённого выполнения кода на уровне ядра. Проблема вызвана целочисленным переполнением в функции mbdirect_connection_rdma_xmit(), которое проявляется, если ядро собрано с опциями "CONFIG_SMB_SERVER_SMBDIRECT=y" и "CONFIG_RDMA_RXE=y". Для успешной атаки злоумышленник должен иметь возможность записи в совместное хранилище, предоставляемое атакуемым сервером, на котором также должны использоваться технологии RDMA и SMB Direct. Доступен прототип эксплоита, работающий в Debian 13.
  • ZDI-CAN-33774 - состояние гонки в модуле ядра ksmbd, приводящее к записи в 40-байтовый буфер, выделенный для протокола SMB1, 62 байт данных из заголовка SMB2. Уязвимость может привести к удалённому выполнению кода при наличии доступа к SMB-хранилищу, обрабатываемому через ksmbd. Доступен прототип эксплоита, работающий в Debian 13.
  • ZDI-CAN-33367 - уязвимость в сетевом стеке ядра, позволяющая локальному пользователю получить права root в системе, перезаписав данные процесса в страничном кэше по аналогии с уязвимостями Dirty Frag и Fragnesia. На этот раз проблема вызвана ошибкой в функции skb_zerocopy(). Подготовлен прототип эксплоита, работающий в разных версиях Ubuntu. Исправление доступно в форме патча. Из дистрибутивов пока только разработчики Alma Linux сформировали внеплановое обновление пакетов с ядром, в котором исправили данную уязвимость.
  • ZDI-CAN-34068 - переполнение буфера в графическом драйвере VMWGFX, применяемом для реализации 3D-ускорения в окружениях VMware. Проблема позволяет локальному пользователю получить права root в системе, при наличии доступа к виртуальному GPU через устройство /dri/card*. Доступен прототип эксплоита, работающий в Ubuntu 26.04
  • ZDI-CAN-34076 - уязвимость в драйвере nvmet (NVMe Target), приводящая к утечке информации о содержимом памяти ядра.
  • Раскрыты сведения и опубликованы прототипы эксплоитов для 5 уязвимостей в ядре, позволяющих непривилегированному пользователю получить права root в системе и обойти изоляцию контейнеров. Набору уязвимостей присвоено кодовое имя "Infinity Core". Проблемы уже устранены в актуальных выпусках ядра.
    • CVE-2026-98260 - обращение к памяти после её освобождения из-за повторного использования структуры POSIX-таймера, память под которую была освобождена в основном потоке после сбоя при выполнении вызова exec(), но ссылка осталась в очереди (timerqueue) в другом потоке. Доступен прототип эксплоита, работа которого была продемонстрирована в Ubuntu 26.04 и в Android на смартфоне Samsung Galaxy S26 Ultra.
    • CVE-2026-98256 - обращение к памяти после её освобождения из-за состояние гонки между вызовом exec() во вторичном потоке и очисткой очереди сигналов (sigqueue), ожидающих обработки. При манипуляциях с очередью может возникнуть ситуация, при которой ссылка на обработчик сигнала останется в очереди после освобождения связанной с ним памяти, и затем будет использована при обработке сигналов. Работа эксплоита продемонстрирована в Ubuntu 26.04.
    • CVE-2026-89754 - переполнение буфера в реализации системного вызова mincore(), возникающее из-за состояния гонки при повторном обходе таблиц страниц памяти после выполнения madvise(MADV_DONTNEED). Работа эксплоита продемонстрирована в Ubuntu 26.04.
    • CVE-2026-80775 - обращение к памяти после её освобождения в системном вызове prctl(), возникающее из-за некорректного отслеживания счётчиков ссылок для хешей фьютексов при возникновении состояния гонки между задачами, совместно использующими одну структуру mm_struct при вложенном вызове vfork(). Эксплоит, использующий уязвимость для перезаписи /usr/bin/passwd в страничном кэше, продемонстрирован в Ubuntu 26.04.
    • CVE-2026-98385 - обращение к памяти после её освобождения в обработчике кэша планировщика задач, возникающее из-за того, что планировщик обновляет поля со статистикой в структуре mm_struct для задачи после освобождения связанной с ней памяти в случае выполнения вызова exec() на другом ядре CPU. Уязвимость проявляется в ядрах с включённой опцией CONFIG_SCHED_CACHE. Работа эксплоита продемонстрирована в Arch Linux с ядром 7.2.4.
    • Уязвимость Vghost (CVE-2026-74580) в подсистеме ядра vhost, применяемой для ускорения операций ввода/вывода через Virtio в системах виртуализации. Уязвимость вызвана некорректной работой с кэшем таблиц трансляции адресов ввода-вывода (IOTLB) и может использоваться для повышения своих привилегий в системе и для обхода изоляции гостевой системы. При перенастройке адресов или размеров очередей (vring) через вызовы VHOST_SET_VRING_ADDR или VHOST_SET_VRING_NUM кэш vq->meta_iotlb[] не очищался, что приводило к трансляции новых адресов с использованием уже недействительных записей о маппинге памяти.

      Опубликован прототип эксплоита для получения прав root, протестированный в дистрибутивах Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 и Oracle Linux 10.2. Возможно использование уязвимости для выполнения кода на уровне ядра хост-системы через манипуляции с вызовом VIRTIO_F_RING_RESET в гостевой системе в виртуализированных окружениях с виртуальным IOMMU. Проблема проявляется начиная с ядра Linux 4.11 и устранена в версиях 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 и 7.2. В качестве обходного пути защиты можно ограничить доступ к устройствам /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi и /dev/vhost-vdpa-*.

      
      
      
      
      

      Уязвимости во FreeBSD (устранены в обновлениях 15.1-RELEASE-p5, 14.5-RELEASE-p2 и 14.4-RELEASE-p11):

      • CVE-2026-101308 - обращение к памяти после её освобождения в драйвере sound, возникающее из-за состояния гонки между операцией изменения размера буфера и маппингом памяти через mmap. Уязвимость потенциально позволяет локальному пользователю, имеющему доступ к звуковому устройству, получить права root.
      • CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 - уязвимости в компонентах гипервизора Bhyve, позволяющие через манипуляции в гостевой системе выполнить код на стороне хост-окружения. Проблемы вызваны выходом за границы буфера из-за состояния гонки в модели контроллера xHCI (USB 3), а также отсутствия должны проверок размера записей в моделях устройств HDA (High Definition Audio) и framebuffer.
      • CVE-2026-101307 - целочисленное переполнение в модуле tcp_rack c реализацией алгоритма определения потери пакетов RACK (Recent ACKnowledgment), приводящее к выделению буфера, слишком мелкого, чтобы вместить все полученные данные. Уязвимость позволяет перезаписать до 512 КБ в области за границей буфера при отправке большого числа ACK-пакетов в установленном TCP-соединении. Отмечается, что эксплуатация может привести к падению ядра в состояние panic.
      
      
      Источник: https://www.opennet.ru/opennews/art.shtml?num=66542
      

Релиз Firefox 159

Основные новшества в Firefox 159 (1, 2, 3):

• В боковую панель по умолчанию добавлена кнопка для доступа к сохранённым паролям.
• В режим "Smart Window", предоставляющий отдельное пространство взаимодействия с AI, добавлена возможность отслеживания изменений на страницах. Например, при помощи новой функции можно отлавливать снижение стоимости товаров в интернет-магазинах. Для включения отслеживания следует использовать команду "/watch" в чате со встроенным в браузер AI-ассистентом, а для управления - кнопку Tasks в панели или страницу about:smartwindowtasks. При определении изменения Firefox выведет уведомление.
• AI-функция резюмирования содержимого страниц переделана для передачи AI-провайдеру не текста со страницы, а ссылки на страницу, что решило проблемы с неполным анализом страницы.
• Добавлены комбинации клавиш: Ctrl+Shift+A для поиска среди открытых вкладок и Ctrl+Shift+F для перехода к управлению дополнениями или темами оформления. Сочетания клавиш можно изменить на странице about:keyboard.
• В сборках для macOS задействован штатный для данной платформы интерфейс для отправки информации через другие приложения, такие как AirDrop и Messages. Добавлена возможность отправки сразу нескольких выделенных вкладок.
• В инструментах для web-разработчиков в web-консоли разрешено переопределения переменных, ранее объявленных через операторы let, const и class.
• Добавлена поддержка анимации, привязанной к прокрутке контента (Scroll-driven Animation), при помощи которой можно создавать индикаторы для наглядного представления позиции на странице или добавлять эффекты, меняющие содержимое при появлении в зоне видимости во время прокрутки. Для использования доступно два режима "ScrollTimeline" для привязки к позиции прокрутки относительно оси координат и "ViewTimeline" для привязки к относительному смещению отображения отдельных элементов содержимого в области прокрутки. Добавлены новые CSS-свойства animation-timeline, scroll-timeline, view-timeline и animation-range.
• Реализована поддержка реестров пользовательских элементов для разделения области видимости пользовательских HTML-элементов, что может потребоваться при использовании на одной странице нескольких разных пользовательских HTML-элементов, имеющих одно и то же имя. В случае использования на странице нескольких библиотек, определяющих элемент с одинаковым именем, при помощи JavaScript-конструктора CustomElementRegistry() элементы каждой библиотеки можно закрепить за определёнными частями иерархии DOM, не пересекающимися с глобальным реестром window.customElements. Например, если две библиотеки определяют разные элементы с одинаковым именем ‹my-button›, то в одной части страницы можно использовать элемент ‹my-button› из первой библиотеки, а на другой - из второй.
• В API WebGL добавлена поддержка расширений EXT_clip_control и EXT_texture_mirror_clamp_to_edge, а в WebGL 2 - расширения EXT_texture_norm16.
• В API Sanitizer реализована чистка HTML-кода на этапе парсинга, до добавления элементов в дерево DOM, что решило проблему с запуском конструкторов кастомных элементов, удаляемых в процессе этой чистки.
• В версии для Android значительно сокращена интенсивность перезагрузки вкладок на устройствах Xiaomi и Redmi. Решена проблема с воспроизведением видео на таких сайтах, как The New York Times.
• В Firefox Enterprise администратору предоставлена возможность запроса повторного входа с использованием корпоративной учётной записи перед восстановлением сеанса после аварийного завершения процесса. Для сборок Firefox Enterprise обеспечено формирование данных SBOM (Software Bill of Materials). По умолчанию отключено использование AI при автозаполнении форм.

Кроме новшеств и исправления ошибок, в Firefox 159 устранено 167 уязвимостей, у 108 из которых выставлен высокий уровень опасности. Большинство уязвимостей вызваны проблемами при работе с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66557

@caustic @shmeley я тоже люблю луну. и в полнолуние у меня всегда прекрасное настроение и креативность прёт из всех щелей.
луна - наш друг и союзник.

Осень. Отражения в воде.
#photography #WTphoto #nature #landscape #autumn #by #пейзаж #природа #осень

Выпуск DinoX 2.3.2 кроссплатформенного клиента для XMPP/Jabber

Из особенностей DinoX:

• Многопользовательские чаты с поддержкой приватных групп и публичных каналов.
• Современный интерфейс, напоминающий Telegram.
• Поддержка аудио- и видео-звонков.
• Звуковые- и видео-сообщения, запись и проигрывание.
• Предпросмотр картинок.
• Поддержка сквозного шифрования OTR/OMEMO и OpenPGP
• Работа в Windows и Linux.
• Потребление ресурсов, сравнимое с клиентом Psi, написанным на С++ и Qt. Около 100-150 МБ оперативной памяти на клиент с тремя аккаунтами и несколькими чатами.
• Простота установки и настройки.
• Использование аватаров.
• Управление архивом сообщений.
• Пометка последнего полученного и прочитанного сообщений в чатах.
• Распространение сообщений по подписке (Publish-Subscribe).
• Уведомление о состоянии набора сообщения другим пользователем.
• Отложенная доставка сообщений.
• Закладки на различные сервисы и ресурсы, хранимые на сервере.
• Уведомление об успешной доставке сообщения.
• Расширенные средства поиска сообщений и фильтрации вывода в истории переписки.
• Поддержка работы в одном интерфейсе с несколькими учётными записями, например, для разделения рабочей и личной переписки.
• Работа в offline-режиме с фактической отправкой написанных сообщений и приёмом накопившихся на сервере сообщений после появления сетевого соединения.

Следует отметить, что для наиболее комфортного общения в текущих условиях, рекомендуется поднимать свой собственный сервер на основе, например, snikket. Он обеспечит не только приватность, но и более стабильную работу звонков за счёт собственного TURN-сервера.



Источник: https://www.opennet.ru/opennews/art.shtml?num=66554

Уязвимости в Rust-библиотеках zip-rs и librsvg

Уязвимость вызвана использованием разных заголовков при произвольном доступе к архиву при помощи API ZipArchive и при извлечении данных в потоковом режиме при помощи API ZipStreamReader. Обработчик ZipArchive полагается на заголовок CDFH (Central Directory File Header), а ZipStreamReader при извлечении файлов считает более приоритетным заголовок LFH (Local File Header) без синхронизации дублирующихся метаданных.

Уязвимость может использоваться для обхода почтовых фильтров, антивирусных сканеров и прочих систем проверки безопасности. Атакующий может разместить в видимой части архиве документ или изображение, а в скрытую поместить исполняемый файл с вредоносным кодом, который не будет замечен антивирусом, но будет сохранён на диск при распаковке пользователем. В качестве примеров приводятся атаки на микросервисы, SaaS-платформы и системы контейнерной изоляции, в ходе которых при распаковке в каталогах с рабочими проектами не представляющих опасности архивов, например, с наборами стилей, текстовых файлов или изображений, могут быть перезаписаны скрипты и исполняемые файлы.

Дополнительно можно отметить уязвимость (CVE-2026-96889) в библиотеке librsvg, развиваемой проектом GNOME на языке Rust. Библиотека применяется в GTK и приложениях GNOME для отрисовки SVG, а также задействована в популярном NPM-пакете sharp, насчитывающем 80 млн загрузок в неделю и используемом в качестве зависимости у почти 11 тысяч проектов. Уязвимость позволяет организовать выполнение своего кода при обработке специально оформленных SVG-изображений. Проблема устранена в версиях librsvg 2.56.6, 2.60.3, 2.62.4 и 2.63.1, а также к NPM-пакете sharp 0.35.5. Среди пострадавших проектов оказалась платформа PeerTube (зависимость обновлена в сегодняшнем выпуске PeerTube 8.3.2).

Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2. Уязвимость вызвана тем, что при наличии в SVG вложенных XML-конструкций Xincludes, включающих дублирующиеся элементы с повторяющимися именами, происходит обращение к памяти после её освобождения. Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66555

Автор WinBtrfs опубликовал открытую ОС Moxnox 1.0 с системными вызовами Windows NT

Утверждается, что проект не содержит значимого кода, сгенерированного через AI-инструменты, которые использовались только для выполнения рутинной работы, такой как перевод правил autotools в CMake, замена ioctl-вызовов, написание тестов и поиск ошибок в коде.

Системные вызовы и низкоуровневые интерфейсы в ядре реализованы по образу Windows NT, но структура ядра и сопутствующие компоненты кардинально отличаются от Windows NT. Предоставляется возможность для запуска компонентов окружения GNU и программ, написанных для Unix-подобных систем. В качестве формата исполняемых файлов применяется PE, библиотеки имеют расширение dll, а программы - exe.

В настоящее время в Moxnox реализовано 642 функции из примерно 1200, описанных в стандарте POSIX 2024. Системная библиотка сформирована из функций gnulib, математических и криптографических функций из musl, функций для работы с регулярными выражениями из tre и функций типа printf из mingw. Поддерживается самосборка, позволяющая скомпилировать Moxnox из окружения на базе Moxnox. Запуск Windows-программ пока не поддерживается, но в будущем для их запуска намерены задействовать реализацию API Win32 из Wine.

Среди портированных для Moxnox программ:

• bash
• binutils
• bison
• bzip2
• cairo
• cmake
• coreutils
• curl
• diffutils
• expat
• file
• findutils
• flex
• freetype
• gawk
• gcc (только для amd64)
• git
• gmp
• gperf
• grep
• gzip
• harfbuzz
• hexyl
• jsoncpp
• less
• libarchive
• libiconv
• libpng
• librhash
• libuv
• llvm
• m4
• make
• mako
• markupsafe
• mesa
• mpc
• mpfr
• nano
• ncurses
• netcat
• ninja
• openssh
• openssl
• patch
• perl
• pixman
• python
• pyyaml
• readline
• ripgrep
• rust
• sed
• tar
• vim
• wget
• xz
• zlib
• zstd

Поддерживаемые аппаратные устройства:

• Блочные устройства: NVMe, SATA, SDHCI (SD-карты), virtio-block и USB-накопители.
• Сетевые карты: virtio-net, RTL8168, RTL8125
• Устройства ввода: USB HID, клавиатуры и мыши с интерфейсом PS/2, virtio-input.
• Графика: virtio-gpu, GOP framebuffer, VBE, VGA-консоль.
• Консоль: virtio-console, последовательны порт x86, PL011 ARM.
• USB: XHCI.

На данном этапе разработки поддерживается только работа в консольном режиме, но в будущем планируют реализовать и графический интерфейс. Также пока отсутствует поддержка многопользовательского окружения, механизмов обеспечения безопасности, часовых поясов, раскладок клавиатуры, локалей и кодировок, отличных от UTF-8.



Источник: https://www.opennet.ru/opennews/art.shtml?num=66552

Атака на AI-агенты через размещение файла AGENTS.md в каталоге с загрузками

Атака напоминает уже известный метод атаки на разработчиков ПО, в результате которого злоумышленник создаёт репозиторий с легитимным кодом и размещает в нём файл AGENTS.md или передаёт данный файл в составе pull-запросов или сообщений об ошибках в существующие проекты. В случае если кто-то решит использовать AI-агента для проверки предложенного репозитория или изменения, агент обработает инструкции из файла AGENTS.md, в котором может быть предписано совершение вредоносных действий.

Новый вариант атаки основан на том, что Chrome, Firefox и Edge по умолчанию не запрашивают подтверждение при загрузке файла, а лишь выводят уведомление. Загружаемые по ссылке файлы автоматически сохраняются в каталоге ~/Downloads - для загрузки достаточно, чтобы пользователь открыл определённую страницу или перешёл по ссылке (ссылка может выглядеть невинно, а проброс на загрузку может быть сделан через редирект). Подобным образом атакующие добиваются сохранения файла AGENTS.md в каталоге с загрузками на системах пользователей, после чего ждут, когда пользователь запустит AI-агента в контексте каталога ~/Downloads, например, для разбора каких-то загруженных документов.

Помимо использования AGENTS.md для информирования AI-агентов об используемых инструментах, требуемых зависимостях и проводимых тестах, через них можно добиться выполнения произвольных файлов, установки сторонних пакетов и изменения конфигурации. Возможность совершения атаки продемонстрирована для AI-агентов Codex и Claude Code.

Исследователи провели два эксперимента, в ходе которых удалось добиться получения контроля над учётной записью пользователя и перехватить его OAuth-токены. В ходе первого эксперимента AI-агент Codex выполнил инструкции по загрузке и запуску на систем пользователя тестового вредоносного кода, ограничивающегося открытием калькулятора. Во втором эксперименте через подстановку файла CLAUDE.md исследователи при помощи Claude Code организовали перенаправление запросов к API на свой сервер и перехватить токен OAuth. Первый эксперимент оказался успешен в 90% попыток, а второй - 50%.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66551

Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab

Уязвимость присутствует в движке регулярных выражений Onigmo и приводит к переполнению внутренних идентификаторов при компиляции шаблона с большим числом повторов. Проблема проявляется только в приложениях, использующих внешние данные в регулярных выражениях, обрабатываемых через методы Regexp.new, Regexp.union и Regexp.compile или литералы вида "/#{input}/". Ограничение размера регулярного выражения или времени его обработки через метод Regexp.timeout для блокируют уязвимость, так как для атаки могут использоваться короткие шаблоны.

В GitLab уязвимость может быть эксплуатирована неаутентифицированным пользователем из-за подстановки в регулярное выражение внешних данных. Детали метода эксплуатации пока не раскрываются (по правилам GitLab информация становится доступна спустя 30 дней после публикации исправления), при этом в сети уже фиксируются попытки осуществления атак на пользователей GitLab. Косвенными признаками осуществления атаки может служить увеличение числа аварийных завершений интерпретатора Ruby и рост ошибок в логах, связанных с истечением таймаута на отрисовку страницы при обработке org-файлов.

Помимо CVE-2026-110264 в движке регулярных выражений устранены ещё три уязвимости: CVE-2026-89078 (двойное освобождение памяти при невозможности парсинга шаблона после его изменения), CVE-2026-93577 и CVE-2026-97229 (целочисленные переполнения при расчёте размера компилируемого шаблона).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66549

Выпуск CoW 0.4, адаптации оконного менеджера FVWM для Wayland

CoW реализован поверх модульного композитного сервера River, который отвечает за реализацию протокола Wayland, отрисовку и управление доступом для ввода и вывода. В CoW реализованы абстракции для управления окнами, IPC, команды и возможности для, стекового размещения, декодирования и компоновки окон. Подобное разделение позволило сосредоточить внимание на функциях управления окнами, не отвлекаясь на тонкости работы с протоколом Wayland.

Поверх оконного менеджера запускаются панель cowbar, меню приложений cow-appmenu, навигатор по виртуальным рабочим столам cowpager, лаунчер cowbuttons и интерфейс для просмотра списка окон cowiconman. Вместо встроенной панели возможно использование панели Waybar. Версия CoW 0.4 примечательна добавлением возможности использования оконных контейнеров верхнего уровня для создания произвольных раскладок окон на экране (окно верхнего уровня может разделяться на столбцы и строки, размер которых меняется независимо друг от друга).

Опубликована мобильная платформа Ubuntu Touch 24.04-2.2

Среди изменений в Ubuntu Touch 24.04-2.2:

• В связи с компрометацией удостоверяющего центра eMudhra обновлён список корневых сертификатов.
• Решены проблемы с кэшированием правил системы мандатного управления доступом AppArmor, из-за которых после обновления системы с версии 24.04-1.5 до 24.04-2.0 перестал запускаться браузер Morph.
• Проведена работа по подготовке стека VoLTE (Voice over LTE) к поддержке технологий передачи голоса по сетям LTE в новых моделях смартфонов. В плагин ofono-binder-plugin-ext-qti добавлена поддержка интерфейса AIDL IImsRadio.
• После формирования новых сборок в приложении Gallery 3.2.0 выявлена регрессия, приводящая к невозможности открыть альбомы с фотографиями. Проблема устранена в версии Gallery 3.2.1, которую рекомендовано установить до обновления Ubuntu Touch 24.04-2.2 или 24.04-1.6.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66547

Альфа-версия CusDeb OS, Windows-подобной ОС на базе Linux и пользовательского окружения ReactOS

На текущем этапе CDEX содержит лишь минимальные изменения, направленные на устранение различных шероховатостей в работе Win32-окружения под Linux. В дальнейшем разработчики планируют развивать его дальше, добавляя возможности, которые пока не реализованы в ReactOS. Как и в случае с прототипом, основой системой остаётся Debian 13. Для загрузки предлагается (894 MB) live-система, которую можно запустить в виртуальной машине или на реальном компьютере.

Разработчики CusDeb OS поставили перед собой цель - за год довести систему до состояния, в котором она могла бы стать полноценной альтернативой Windows 10. Автором проекта является Евгений Голышев, сопровождающий пакет Elixir в Debian.

Среди основных целей для второй альфа-версии:

• Переход на 64-битную версию CDEX (сейчас в Alpha 1 используется 32-битная версия CDEX в 64-битной Linux-системе).
• Поддержка Direct3D 3-11 через D7VK и DXVK.
• Миграция графического окружения с Xorg на Wayland.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66545
  

LibreSSL 4.4.0, 4.3.4, 4.2.3 released

Read more…