Компания Qualcomm опубликовала дистрибутив Qualcomm Linux 2.0

Дистрибутив развивается с использованием отрытой модели разработки и передаёт подготовленные изменения в upstream-проекты. Проприетарные компоненты Qualcomm интегрируются в дистрибутив в форме явно выделенных модульных оверлеев. Предлагаемый программный стек поддерживает все процессоры, подсистемы и компоненты платформы Qualcomm, включая CPU, GPU и различные аппаратные ускорители для AI, обработки данных и мультимедийных операций (VPU, DPU, NPU, DSP). Помимо пользовательского окружения на базе Yocto в состав входит загрузчик с возможностью верифицированной загрузки, прошивки UEFI и поддерживаемые инженерами Qualcomm пакеты с ядром Linux, включающие дополнительные драйверы и патчи.

Платформа отмечена как полностью готовая для создания рабочих систем на базе оборудования Qualcomm. Предоставляются такие возможности, как поддержка виртуализации, мандатное управление доступом при помощи SELinux, тестирование всех компонентов на эталонном оборудовании, длительный цикл сопровождения пакетов для всех поддерживаемых платформ, возможность интеграции собственных BSP (Board Support Package) и OEM-слоёв. Для обновления может применяться перезапись системного образа или автоматическая доставка обновлений в режиме OTA.

Выпуск Qualcomm Linux 2.0 примечателен переходом на использование платформы Yocto 6.0 и задействованием ядра Linux 6.18 (ранее применялись Yocto 5.0 и ядро 6.6). В основной состав встроены возможности для выполнения приложений в режиме реального времени (ядро собрано с поддержкой PREEMPT_RT). Вместо двух раздельно сопровождаемых вариантов дистрибутива "Base" и "Custom", предложен унифицированный стек с одним общим ядром и системным окружением (rootfs).

Повышена открытость процессов разработки: релизы теперь формируются не за закрытыми дверями, а публично на GitHub с использованием открытой системы непрерывной интеграции и предсказуемым графиком публикации обновлений. Переделана организация формирования модульных оверлеев с дополнениями, которые теперь создаются на основе одной открытой кодовой базы, а не c разделением открытых и проприетарных сборок. Помимо ранее поддерживаемых SoC QCS5430, QCS6490, IQ9075, IQ8275 и IQ615, добавлена поддержка платформы IQ-X для промышленных компьютеров.

Мета-пакеты с базовой функциональностью теперь развиваются в публично доступных репозиториях и доступны для приёма изменений от сторонних участников, создания форков или использования не дожидаясь релизов. Среди подобных мета-пакетов: meta-qcom (слой для поддержки оборудования), meta-qcom-distro (каркас дистрибутива, сценарии сборки системных образов и настройки), meta-qcom-3rdparty (компоненты для поддержки сторонних платформ) и meta-qcom-releases (воспроизводимые сборки релизов), meta-selinux (мандатное управление доступом через SELinux), meta-updater (OTA-обновления на базе OSTree), meta-security (дополнительные механизмы для усиления базопасности и аудита), meta-virtualization (Docker, Kubernetes, KVM).

Отдельно предлагаются оверлеи, отдельно поставляемые версионированные наборы с модулями ядра и библиотеками для поддержки таких возможностей, как работа со звуком (AudioReach и аппаратное ускорение обработки звука), управление камерой (camX ISP), работа с графикой (ускорение OpenGL ES, OpenCL и Vulkan на GPU Adreno), обработка видео (использование VPU Iris для ускорения кодирования и декодирования видео), поддержка датчиков (интеграция Qualcomm Sensor Hub integration) и решение задач компьютерного зрения (ускорение FastCV на DSP/Adreno). Установка оверлея приводит к установке соответствующих оптимизированных модулей ядра и библиотек поверх типового базового окружения без его изменения.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65828

Юрий Кротов (1964) — весьма интересный художник

#искусство #art

Неизбежное свойство войны - совершенствование средств уничтожения. Дешевизны, безнаказанности и смертоносности. Война - это расширение не-жизни. Длинные войны совершенствуют средства смерти радикально. Считайте, что столбик жизни человечества каждый час уменьшается. А иногда медные каски из него просто хлебают. Потому что самонаводящикся автономные жужжащие смерти не разизобретешь и послезавтра они будут у террористов и фундаменталистов.

После завтра будут парить аэростаты-матки и в автоматическом режиме уничтожать пространство для жизни либо ради вашей безопасности либо декоммунизации и денацификации.

Война - это разрушение среды обитания. И природы и социума.

Войны должны быть уничтожены. В первую очередь внутри человека. Радикально. Это вопрос выживания.

Обновление OpenWrt 25.12.5

Среди изменений:

• Добавлена поддержка устройств:
  • ipq40xx: Linksys MR9000
  • mediatek: GL.iNET GL-MT3600BE, Huasifei WH3000R (NAND), JioRouter AX6000 (JIDU6101), netis EAP930 V1, netis MEX605, TP-Link F65 v1, Zbtlink ZBT-Z8106AX-S
  • mvebu: Zyxel NAS326
  • ramips (mt76x8): Cudy WR300 v1
  • ramips (mt7621): I-O DATA WN-AX2033GR2
  • Добавлены новые варианты сборок для ранее поддерживаемых устройств на чипах mediatek: Qihoo 360T7, Creatlentem CLT-R30B1 и Bazis AX3000WM.
  • Внесены исправления, связанные с работой платформ:
    • ath79: MikroTik AR8216/AR8236/AR8316
    • mediatek: Wavlink WL-WN536AX6 rev A, Qihoo 360T7
    • ramips: PAX1800 Lite, Cudy LT300 v3
    • rtl8367b: RTL8367S-VB
    • mvebu: uDPU / eDPU
    • ipq806x: AP3935
    • airoha: an7581
    • Добавлен новый обработчик для отображения активности сетевых интерфейсов через светодиодные индикаторы, имеющиеся на устройствах.
    • Внесены исправления проблем, влияющих на стабильность, в odhcpd, odhcp6c, ubus, rpcd, uhttpd, umdns, uclient и fstools.
    • Обновлены версии ядра Linux 6.12.94 (было 6.12.87), OpenSSL 3.5.7, wireless-regdb 2026.05.30, dnsmasq 2.93, util-linux 2.41.5.
    • Устранены удалённо эксплуатируемые уязвимости в сетевых сервисах, включённых по умолчанию:
      • odhcpd (CVE-2026-53921) - удалённое переполнение буфера, экслуатируемое через специально оформленный DHCPv6-запрос.
      • LuCI - подстановка кода в web-интерфейс через отдачу специально оформленного имени хоста через DHCPv6.
      • luci-app-tailscale-community - возможность пользователю, имеющему доступ в web-интерфейс, выполнить команды с правами root.
      • uhttpd (CVE-2026-55612) - вклинивание в чужие запросы.
      • cgi-io - обход ACL для чтения файлов, принадлежащих root.
      • ead (Emergency Access Daemon) - DoS-атака на стадии до прохождении аутентификации.
      • накопившиеся уязвимости в ядре Linux, OpenSSL, musl и Dropbear SSH.
      
      
      Источник: https://www.opennet.ru/opennews/art.shtml?num=65827
      

Linux портирован для игровых приставок Sega MegaDrive

Запуск ядра Linux на устройстве с всего несколькими килобайтами ОЗУ удалось реализовать через задействование аппаратных возможностей картриджей Mega EverDrive, представляющих собой отдельный компьютер на базе FPGA с собственным ОЗУ. При фактическом выполнении Linux на CPU приставки Sega MegaDrive в качестве ОЗУ было задействовано 4 МБ памяти картриджа, благодаря применению техники переключения банков памяти (SSF2-маппер), ранее применявшейся в игре Super Street Fighter II для расширения размера ОЗУ.

Работа с файловой системы была организована с задействованием протокола обмена данными с картриджем Mega EverDrive, позволяющем из окружения Sega MegaDrive обращаться к данным на SD-карте, вставленной в картридж. В качестве таймера высокого разрешения в ядре Linux был задействован таймер, предоставляемый FPGA-чипом картриджа EverDrive. Так как процессор Motorola 68000 не имеет аппаратного модуля управления памятью (MMU), ядро Linux было собрано в режиме "NOMMU", применяемом при сборке для микроконтроллеров.

Порт включает в себя ядро Linux 7.2-rc1, u-boot 2026.01 и обораз rootfs с минимальным набором утилит. Для тестирования запуска Linux в эмуляторе без реального оборудования потребовалось создание собственного форка QEMU, так как существующие эмуляторы могут эмулировать саму приставку Sega MegaDrive, но не умеют эмулировать аппаратные особенности сторонних картриджей EverDrive. При этом в предложенном эмуляторе пока отсутствует ограничение производительности и работа CPU эмулируется значительно быстрее, чем производительность оригинального CPU Motorola 68000.

В Fedora 45 намерены включить защиту на основе теневого стека

Защита реализуется с использованием аппаратных возможностей процессоров и сводится к тому, что после передачи управления функции, адреса возврата сохраняются процессором не только в обычном стеке, но и в отдельном "теневом" стеке, который не может быть изменён напрямую. Перед выходом из функции адрес возврата извлекается из теневого стека и сверяется с адресом возврата из основного стека. Несовпадение адресов приводит к генерации исключения, блокирующего ситуации, когда эксплоиту удалось перезаписать адрес в основном стеке. Механизм теневого стека поддерживается начиная с 11 поколения процессоров Intel ("Tiger Lake" и "Rocket Lake") и микроархитектуры Zen3 в процессорах AMD.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65825

Выпуск дистрибутива ArchBang Linux 010726

В новой версии осуществлён переход на использование по умолчанию композитного менеджера MangoWM (ранее поставлялся Labwc, а до этого Openbox), предоставляющего функциональность, похожую на оконный менеджер DWM, реализованную с использованием протокола Wayland. В состав включён опциональный графический инсталлятор abi-install, альтернативный консольному инсталлятору и реализованный в форме открываемого в Firefox web-интерфейса на базе Cockpit.

Выпуск утилиты для проверки целостности файлов Precizer 0.16.0

Проект Precizer развивается более двух лет и позиционируется как небольшая, быстрая и удобная CLI-утилита для задач, где обычного сравнения метаданных файлов уже недостаточно. Программа обходит дерево каталогов, вычисляет контрольные суммы файлов (SHA512) и сохраняет сведения в SQLite-базу. После этого базы, созданные для разных источников данных, можно сравнить между собой и получить список отсутствующих файлов, лишних файлов и объектов с несовпадающими контрольными суммами.

Основной сценарий использования связан с проверкой результатов синхронизации больших хранилищ, резервных копий и disaster recovery-копий. В отличие от разового запуска утилит, пересчитывающих контрольные суммы с нуля, Precizer сохраняет состояние между запусками и позволяет возобновлять длительные операции после прерывания. Это особенно важно для файловых деревьев с большим числом объектов или объёмами, измеряемыми терабайтами и петабайтами, где повторный полный проход по данным после случайной остановки может превратиться в задачу, у которой нет хорошего практического решения.

Также отмечена возможность применения Precizer в качестве инструмента контроля безопасности для выявления несанкционированных изменений файлов, в том числе в случаях, когда метаданные не позволяют заметить подмену содержимого.

Для обновления ранее созданной базы предусмотрен режим "--update", позволяющий добавлять новые файлы, удалять записи об исчезнувших объектах и пересчитывать контрольные суммы изменённых файлов. Для ограничения области проверки и сравнения поддерживаются фильтры путей через "--ignore" и "--include".

Готовые архивы Precizer 0.16.0 доступны для Linux x86_64, Linux AArch64, macOS arm64 и Windows x64. Для Linux предлагаются переносимые статически собранные ELF-файлы, не привязанные к конкретному дистрибутиву. Для сборки из исходных текстов можно использовать обычный Makefile или подготовленные Docker-окружения для AlmaLinux, Alpine, Arch, Debian, Gentoo, Rocky и Ubuntu.

В составе релиза подготовлены два варианта Windows-сборки: ZIP-архив с исполняемым файлом и необходимой DLL-зависимостью, а также переносимый EXE-файл без внешних зависимостей. Windows-сборки пока не имеют цифровой подписи издателя. Кроме того, переносимый EXE-файл может вызывать предупреждения Microsoft Defender, что типично для ранних неподписанных бинарных файлов, собранных вне привычной цепочки поставки Windows-приложений.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65823

В игровом движке Godot запретят приём изменений, сгенерированных при помощи AI

Не допускается применение AI для рецензировния pull-запросов - все pull-запросы перед принятием обязательно должны проверяться и подтверждаться людьми. Помимо этого запрещено использование AI для генерации текста для пояснений к pull-запросам, предложений, сообщений о проблемах и прочих применений, затрагивающих коммуникации между людьми. При этом допускается использование AI для машинного перевода на другой язык, с условием, что исходных текст должен быть написан человеком.

Для отсеивания скрытого применения AI и снижения нагрузки на сопровождающих проект также вводит ограничения для новых разработчиков: участникам, у которых менее 4 принятых pull-запросов, запретят предлагать новую функциональность или проводить крупный рефакторинг кода без предварительного согласования с сопровождающими. Предполагается, что такое ограничение подтолкнёт новичков тратить больше времени на изучение кодовой базы, исправлением ошибок и работу над документацией, чтобы заслужить доверие у сопровождающих перед тем как браться за значительные проекты.

Основной причиной введения запрета на AI стала перегрузка сопровождающих из-за обилия сомнительных изменений, созданных с помощью AI. В настоящее время в репозитории Godot на GitHub накопилось более пяти тысяч открытых pull-запросов, которые сопровождающие не успевают разбирать. Появление AI-инструментов упростило написание кода и привело к лавинообразному росту отправляемых pull-запросов, при том, что число рецензирующих не изменилось. Рецензирующие вынуждены тратить ценное время на разбор изменений, которые часто не имеют смысла, снабжены излишне многословными описаниями и отправляются разработчиками, не понимающими или не тестировавшими собственные патчи.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65819

В мобильной платформе ALT Mobile появилась поддержка смартфонов OnePlus 6

В отличие от других поддерживаемых устройств необходимо инициализировать компоненты OnePlus 6 и OnePlus 6T через поставляемую из коробки систему Android, иначе в ALT Mobile не смогут работать модем и некоторые другие составляющие. Принимаются предложения по улучшению в багзилле.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65821

Система трассировки лучей, реализованная на языке SQL

Каждый пиксель представляет собой строку в таблице, в которой имеются столбцы с координатами (X, Y) и представлением цвета (R, G, B). Необходимые для 3D-вычислений математические операции построены на кортежах - вектор кодируется как Tuple(Float64, Float64, Float64). Цикл для моделирования многократных отражений света от поверхностей реализован через SQL-функцию arrayFold и выполняется внутри каждой строки для распараллеливания рендеринга. Из геометрических примитивов поддерживаются цилиндры, торы, сферы и ориентированные параллелепипеды, над которыми выполняются операции объединения и разности (удаления пересечений). Ландшафт генерируется математически.

Ранее разработчики СУБД ClickHouse подготовили написанные на SQL Doom-подобную игру, эмулятор RISC-V и синтезатор музыки.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65820

mTCP is now officially on github! I was resisting for years but there are too many out of date or incorrectly forked versions out there now, so providing an official copy to fork from should be beneficial.

https://github.com/mbbrutman/mTCP.git

#Retrocomputing

We are building TUIs for the firmware now 🤯

🐀 **ratatuefi** — Run @ratatui_rs applications directly in UEFI

💻 No OS required!

🦀 All powered by Rust!

⭐ GitHub: https://github.com/sermuns/ratatuefi

#rustlang #ratatui #tui #uefi #osdev #opensource #firmware

External Attachment:

Скрафтили Тимуру навес и прилавок для тележки. Из полипропилена. Чтоб на Бессоннице воду развозить и торговать. И на прочих движняках.
Разборный кстати.

External Attachment:

Оказывается, в 2008 был сундук #theBeatles limited edition с фирменным #iPod (выпущено 2500)

#til

Выпуск среды рабочего стола COSMIC 1.2.0

COSMIC развивается как универсальный проект, не привязанный к конкретному дистрибутиву и соответствующий спецификациям Freedesktop. Для построения интерфейса в COSMIC задействована библиотека Iced, которая использует безопасные типы, модульную архитектуру и модель реактивного программирования, а также предлагает архитектуру, привычную для разработчиков, знакомых с языком декларативного построения интерфейсов Elm. Предоставляется несколько движков отрисовки, поддерживающих Vulkan, Metal, DX12, OpenGL 2.1+ и OpenGL ES 2.0+. Разработчикам предлагается готовый набор виджетов, возможность создавать асинхронные обработчики и использовать адаптивную компоновку элементов интерфейса в зависимости от размера окна и экрана.

Помимо использования языка Rust из особенностей COSMIC выделяются режимы гибридной мозаичной компоновки окон и стекового закрепления окон (группировка окон по аналогии со вкладками в браузере), которые могут включаться в привязке к виртуальным рабочим столам. Проектом также разрабатывается композитный сервер cosmic-comp на базе Wayland.

Основные изменения по сравнению с версией 1.1.0:

• В сервис установки обоев рабочего стола cosmic-bg добавлена поддержка формата изображений AVIF.
• Апплеты подключения к сети и работы с Bluetooth для индикации продолжающегося процесса подключения переведены на спинер, предоставляемый библиотекой libcosmic. Аналогичный индикатор задействован при ожидании завершения аутентификации при входе в систему и при загрузке пакетов в менеджере приложений.
• В композитном сервере cosmic-comp решена проблема с мерцанием экрана на системах с GPU Intel на базе микроархитектур Meteor, Arrow и Lunar Lake. Также устранено мерцание при открытии интерфейса переключения между виртуальными рабочими столами и при запуске меню приложений.
• В текстовом редакторе cosmic-edit реализовано помещение документа в список недавно используемых файлов при записи документа.
• В файловом менеджере реализована возможность просмотра поддиректорий в корзине и добавлена информация о контрольной сумме в панель со свойствами файла.
• В приложении cosmic-monitor появилась поддержка горизонтальной прокрутки на страницах со списками процессов и приложений.
• В xdg-desktop-portal-cosmic осуществлён переход на сборку с использованием утилиты just вместо make.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65818

AI-модель Brain2Qwerty для воссоздания набираемого на клавиатуре текста по записи активности мозга

Точность при анализе сырых (зашумлённых) результатов магнитоэнцефалографии при использовании второй версии модели Brain2Qwerty составила в среднем 61% при воссоздании набора на клавиатуре отдельных слов. При этом наилучший результат, полученный одним из участников эксперимента составил 78%. У первой версии модели Brain2Qwerty, которая была обучена на меньшем в 10 раз объёме данных, эффективность составила 40% в среднем и 48% при наилучшем результате. Для сравнения, эффективность других неинвазивных методов восстановления текста на основе анализа активности мозга оценивается в 8%.

Вторая версия модели Brain2Qwerty была обучена на данных активности мозга, записанных при вводе 22 тысяч предложений, набранных 9 участниками эксперимента. Активность мозга каждого участника записывалась в течение 10 сеансов по 1 часу во время активного набора текста на клавиатуре. Запись активности осуществлялась с использованием системы магнитоэнцефалографии Megin (Elekta Neuromag), собирающей данные при помощи 102 магнитометров и 204 градиометров с частотой 1000 сканирований в секунду.

Участникам в наушниках называлось отдельное предложение, после чего на экране на 1.5 секунды загорался индикатор, после потухания которого необходимо было методом слепой печати набрать услышанную фразу на клавиатуре. Для фиксации взгляда во время набора следовало смотреть на вращающийся чёрный квадрат в центре экрана.

Повышение эффективности по сравнению с первой версией Brain2Qwerty достигается благодаря десятикратному увеличению объёма задействованных при обучении данных и переходу от работы на уровне отдельных символов к многокомпонентной системе, воссоздающей целые слова и предложения. Для воссоздания текста из записи активности мозга задействована система из трёх компонентов: Conformer для выделения и классификации отдельных букв из сигналов магнитоэнцефалографии, Aligner для объединения букв в слова и LoRA LLM для реконструкции предложения из зашумлённого сигнала c учётом возможного смысла полученного семантического контекста.

https://www.chernyshov.com/ZP/ZP_forth.pdf

С одной стороны, прикольно. С другой стороны, в пизду пытаться на этом что-то писать.

#forth

Второй альфа-выпуск мессенджера Pidgin 3

Ветка Pidgin 3 разрабатывается с 2011 года, а до этого ещё три года обсуждалась на уровне концепций и идей. В Pidgin 3 выполнен переход на систему типов GObject, библиотек GTK4 и Adwaita, сборочную систему Meson, GPlugin для обработки плагинов, SQLite для хранения истории чатов и GSettings для работы с настройками. Полностью переработан API. Для определения элементов интерфейса задействован GTK Builder XML, а для отображения истории чатов создана собственная библиотека виджетов Talkatu.

В интерфейсе Pidgin 3 объединены в одном окне список контактов и чат. Прекращена поставка консольного клиента Finch (не исключено, что его могут вернуть в будущем). Из протоколов пока развиваются реализации протоколов IRCv3, XMPP, SIP, Demo, Bonjour и Zulip. Ветка Pidgin 3 несовместима с Pidgin 2 и ранее созданными плагинами, но может быть установлена параллельно с имеющимися сборками Pidgin 2.

Среди изменений в представленном тестовом выпуске:

• Функциональность для показа текстовых уведомлений и звуковых сигналов о поступлении новых сообщений перенесена из плагинов purple-toast и notification-sound в основной состав Pidgin. В настройки добавлены опции для управления выводом уведомлений.
• Обеспечен показ аватаров участников дискуссии.
• Добавлен интерфейс пользователя для управления встроенным планировщиком (Scheduler) для запуска задач по расписанию. Через предложенный интерфейс, например, можно узнать через какое время будет совершена следующая попытка повторной установки соединения.
• В реализации протокола для платформы обмена сообщениями Zulip появилась возможность прямой отправки сообщений пользователям и в группы.
• Добавлена возможность входа через сканирование QR-кода.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65816

Выпуск VirtualBox 7.2.12 с устранением проблемы, приводящей к зависанию хостовой системы

В качестве обходного пути устранения проблемы упоминается запуск модуля kvm без опции "enable_virt_at_load=0", которая прописана в /etc/modprobe.d/virtualbox.conf или /usr/lib/virtualbox-dkms.conf, или выгрузка модулей ядра kvm_intel и kvm_amd.

Помимо этого, в VirtualBox 7.2.12 устранены проблемы со сборкой NASM в дополнениях для гостевых систем и хост-окружений Linux. В дополнения для гостевых систем с Windows внесены изменения, повышающие производительность DX11.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65815

In just 10 months we will be celebrating 10 years on #mastodon when we moved from GNU StatusNET in May of 2017. Thank you for helping us build our part of the #fediverse here at SDF.ORG #thanks #community

Новая модель управления MySQL, нацеленная на привлечение сообщества к разработке

Для реализации данного намерения учреждён руководящий комитет (Steering Committee), который будет включать представителей из сообщества, определять стратегию развития MySQL и служить связующим звеном с экосистемой MySQL. В первый состав комитета помимо сотрудников Oracle войдут представители Amazon Web Services (AWS) и Google Cloud.

Комитет будет заниматься вопросами, связанными с расстановкой приоритетов развития в долгосрочной перспективе, расширением экосистемы, модернизацией управления проектом, вовлечением сообщества в разработку и получением обратной связи от сообщества. При этом комитет не служит заменой технического руководства и не будет вмешиваться повседневные процессы разработки.

Для привлечения к работе представителей из сообщества предложена новая модель управления, в которой определены следующие роли:

• Участники (contributor), пишут код, тестируют, рецензируют, документируют и участвуют в технических дискуссиях. Участником может стать представитель сообщества, а не только сотрудник Oracle.
• Коммитеры (committer), рецензируют изменения и следят за качеством кода. Первое время команда коммитеров будет сформирована из сотрудников Oracle, но в будущем право коммитера может быть дано зарекомендовавшим себя участникам из сообщества.
• Лидеры проектов (project lead), отвечают за принятие технических решений и планирование разработки в отдельных областях, таких как инструментарий, оптимизатор, runtime, InnoDB и т.п.
• Главный лидер (Core Project lead), отвечает за продукт MySQL Community Edition.
• Группа по уязвимостям (Vulnerability Group), отвечает за разбор сообщений об уязвимостях, координацию исправления уязвимостей и раскрытие информации о проблемах с безопасностью.

Модель управления разработана по результатам обсуждения на конференции MySQL Contributor Summit, в котором приняли участие такие организации, как Amazon Web Services (AWS), Google Cloud, Percona, ProxySQL, Readyset, VillageSQL и MariaDB Foundation.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65806

Выпуск ZLUDA 6, универсальной открытой реализации технологии CUDA

ZLUDA 6 стал третьим значительным выпуском проекта, сформированным после чистки кодовой базы от кода, разработанного во время работы Анджея в компании AMD. С 2022 года Анджей работал в AMD над созданием слоя для совместимости GPU AMD с CUDA, но в 2024 году проект был свернут. В соответствии с условиями контракта и после получения разрешения на публикацию от представителя AMD, Анджей открыл код наработок, созданных во время работы в AMD и позволяющих выполнять CUDA-приложения поверх стека ROCm и runtime HIP (Heterogeneous-computing Interface for Portability).

В позапрошлом году Анджей был вынужден убрать код из открытого доступа после письма от юристов, давших понять, что разрешение, данное в ходе переписки по email, не имеет юридической силы. После этого Анджей начал работу над новой редакцией ZLUDA, сформированной на основе кодовой базы, существовавшей до начала работы Анджея в AMD. В текущем виде разработка сосредоточена на выполнении приложений, использующих CUDA для ускорения задач, связанных с машинным обучением. Проект пока ограничивается работой на GPU AMD, но в дальнейшем будет адаптирован для GPU Intel.

В новом выпуске добавлена начальная поддержка запуска поверх ZLUDA движка симуляции физических процессов PhysX и системы 3D-моделирования Blender. Поддержка PhysX пока имеет статус ранней альфа-версии и ограничена возможностью запуска 32-разрядных сборок PhysX, что позволяет в системах с GPU AMD запускать некоторые старые игры, использующие данный движок. Например, в игре Mafia II после включения ZLUDA удалось повысить FPS с 26 до 80 кадров в секунду. Реализована поддержка текстур, достаточная для запуска Blender с использованием ZLUDA. Значительно улучшена поддержка платформы Windows. Расширены возможности для запуска поверх ZLUDA фреймворков для выполнения больших языковых моделей (например, PyTorch) с задействованием CUDA-оптимизаций, применяемых для GPU NVIDIA.

Выпуск Git 2.55 c включением по умолчанию поддержки Rust

По сравнению с прошлым выпуском в новую версию принято 505 изменений, подготовленных при участии 100 разработчиков, 33 из которых впервые приняли участие в разработке Git. Основные новшества (1, 2, 3):

• По умолчанию включена поддержка компонентов на языке Rust. Компилятор rustc добавлен в число сборочных зависимостей. Для сборки без Rust можно использовать флаг "NO_RUST=1" при запуске утилиты make или "-Drust=disabled" при выполнении "meson configure". Возможность отключения сборки с Rust будет поддерживаться до ветки Git 3.0, в которой Rust будет включён в число обязательных зависимостей. На языке Rust реализована прослойка для переносимости между конфигурациями с хэшами SHA-1 и SHA-256, а также некоторые внутренние функции, такие как кодирование и декодирование целочисленных значений переменной длины. В будущем ожидается переработка на Rust более значительны внутренних компонентов Git.
• В экспериментальную команду "git history", предоставляющую возможности для перезаписи истории изменений, добавлена операция "git history fixup" для исправления коммита. Операция "fixup" позволяет перенести изменения, добавленные через "git add", в более ранний коммит и автоматически переписать все последующие коммиты по аналогии с выполнением команды "git commit --fixup=‹commit›" и запуска "git rebase --autosquash ‹commit›~".
• Для платформы Linux реализован фоновый процесс fsmonitor, отслеживающий изменения в файловой системе при помощи механизма inotify и позволяющий обойтись без перебора всего рабочего каталога при выполнении таких команд, как "git status" Включение осуществляется через настройку "core.fsmonitor".
• В команду "git repack" добавлен режим "--write-midx=incremental", реализующий новую стратегию обновления метаданных в инкрементальном MIDX-индексе (multi-pack index), позволяющую обойтись без переупаковки всего индекса. В инкрементальном многопакетном индексе вместо одного большого индекса, содержащего информацию о распределении объектов по pack-файлам, применяется разделение на слои - каждый слой охватывает определённое число pack-файлов и хранится в отдельном bitmap-файле. Подобная структура позволяет добавлять в индекс данные об объектах в новых pack-файлах, прикрепляя к индексу новые слои без перестроения уже имеющихся слоёв.

  Команда "git repack --write-midx=incremental" позволяет добавить в инкрементальный MIDX-индекс новый слой, охватывающий недавно созданные pack-файлы. В сочетании с режимом упаковки репозиториев "--geometric" новая команда даёт возможность объединить новые объекты из нескольких pack-файлов в один более крупный pack-файл и при необходимости осуществить упаковку и слияние нескольких соседних слоёв инкрементального MIDX-индекса. Подобная стратегия позволяет при выполнении "git repack" переписывать только верхние слои, оставляя старые большие слои нетронутыми, а также исключить неконтролируемое разрастание цепочки слоёв, поддерживая общее число слоёв на уровне, пропорциональном логарифму от общего числа объектов.

• Значительно оптимизирована генерация битовых карт доступности объектов за счёт нового алгоритма обхода дерева объектов, исключающего лишнюю рекурсию, кэширования позиций объектов, сортировки битовых карт до их объединения операцией XOR и переработки кода для создания битовых карт псевдослияния (pseudo-merge). В тестовом репозитории оптимизации позволили сократить время генерации битовых карт с 612 до 294 секунд.
• Реализована возможность параллельного выполнения независимых hook-ов в файлах конфигурации. Параллельно не могут запускаться hook-и, влияющие на совместное состояние или учитывающие его, например, меняющие примечания к коммитам или инспектирующие индексы и рабочее дерево. При этом можно параллельно запускать hook-и для проверки линтером и выполнения unit-тестирования. Допускающие параллельное выполнение hook-и настраиваются через параметр "hook.имя_хука.parallel = true". Число одновременно запускаемых работ определяется через настройку hook.jobs, hook.‹event›.jobs или опцию командной строки "-j".
• В команде "git pack-objects --path-walk" реализована возможность указания фильтров, таких как "blob:none", "blob:limit=‹n›", "tree:0", "object:type=‹type›", "sparse:‹oid›" и "combine:". В проведённом тесте отбрасывание блобов при выполнении "--path-walk" позволило на 16% сократить размер сформированного pack-файла.
• Добавлена команда "git format-rev" для форматирования ревизий и имён объектов, упоминаемых в списках коммитов или встречающихся в произвольном тексте (например, можно использовать в хукак для обработки примечаний к коммитам).

     git last-modified | git format-rev --stdin-mode=text --format=%an
   
     Junio C Hamano	builtin/commit.c 
  

• Включено по умолчанию экранирование большинства последовательностей управления терминалом в информационных сообщениях и тексте ошибок, передаваемых сервером. При обращении к вредоносному серверу подобные escape-последовательности могли использоваться для скрытия или модификации вывода, например, через escape-последовательности для перемещения курсора и очистки текста. Оставлена поддержка escape-последовательностей для выделения элементов цветом.
• Команда "git checkout -m теперь автоматически сохраняет конфликтующие локальные изменения в stash-области без необходимости незамедлительно разрешать конфликт.
• В команду "git push" добавлена возможность помещения ветки на несколько внешних Git-серверов одной командой. Например, для передачи ветки main не только на основной сервер, но и на зеркала можно создать группу "publish" из серверов "github", "gitlab" и "mirror":

     git config remotes.publish "github gitlab mirror" 
     git push publish main
  

• В команду "git log --graph" добавлена опция "--graph-lane-limit=‹N›" для ограничения числа вертикальных полос при визуализации веток, что позволяет оставить место на экране под данные о коммитах в репозиториях с большим числом веток.

  ...
  * | | | |   619931f561 Merge branch 'dl/posix-unused-warning-clang'
  |\ \ \ \ \
  | * | | | ~ cf48887610 compat/posix.h: simplify GIT_GNUC_PREREQ() comparison
  | * | | | ~ ffd45926dc compat/posix.h: clean up GIT_GNUC_PREREQ() and UNUSED
  |\ \ \ \ \~
  | * | | | ~ 3f5203eeb4 ls-files: filter pathspec before lstat
  

• В команды "git log" и "git rev-list" добавлена опция "--max-count-oldest=‹N›, позволяющая выбрать N самых старых коммитов в диапазоне.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65808

Новые версии Wine 11.12 и Wine-staging 11.12

Наиболее важные изменения:

• Из FFmepg в состав Wine перенесены библиотеки libswresample (изменение частоты дискретизации звука) и libswscale (масштабирование изображений и преобразование пиксельных форматов). Ранее перенесённые библиотеки обновлены до выпуска FFmepg 8.1.1.
• Движок Wine Mono обновлён до выпуска 11.2.0. Wine Mono представляет собой дистрибутив Framework Mono, предназначенный для использования в Wine вместо проприетарного компонента .NET Framework.
• В библиотеке MSXML (Microsoft XML Core Services) реализована поддержка парсера языка запросов XSLPattern (использовался до XPath).
• Добавлены библиотеки tiptsf.dll и rtscom.dll с заглушками для интерфейсов ITextInputPanel и RealTimeStylus.
• Закрыты отчёты об ошибках, связанные с работой приложений: MS Office 2007, Corel PaintShop Pro, CorelDRAW Graphics Suite X3/X4, Microsoft Money, LTspice, Progman, Slingplayer, WFServicesReg.exe, Taskkill, Avogadro, Greenshot, ComicRack Community Edition, SymCrypt.
• Закрыты отчёты об ошибках, связанные с работой игр: Against the Storm: Encyclopedia, Need for Speed Most Wanted (2005), Super Hexagon, Sonic Boom.

Одновременно сформирован выпуск проекта Wine Staging 11.12, предоставляющего расширенные сборки Wine, включающие не полностью готовые или рискованные патчи, пока непригодные для принятия в основную ветку Wine. По сравнению с Wine в Wine Staging предоставляется 289 дополнительных патчей. В новом выпуске Wine Staging осуществлена синхронизация с кодовой базой Wine 11.12 и обновлён код vkd3d. В основной состав Wine перенесены реализации библиотек tiptsf.dll и rtscom.dll. Удалён патч winex11-ime-check-thread-data, который больше не требуется. Для ntdll реализована поддержка чтения и записи с использованием новых сторожевых страниц памяти (guard page). Устранены предупреждения компилятора в патчах comctl32_animate_avi, windowscodecs-TIFF_Support и mmsystem.dll16-MIDIHDR_Refcount.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65807

А у меня что-то продолжают косить траву, но уже как-то лениво, на старых запасах.

Microsoft реализовал Linux-контейнеры в WSL

Основные возможности WSLC (WSL Containers):

• Операции для управление жизненным циклом контейнеров, такие как создание, запуск, остановка, экспорт, очистка и инспектирование.
• Ограничение потребления CPU и памяти отельных контейнеров.
• Сборка, загрузка, отправка, импорт, сохранение и проверка системных образов. Команды для просмотра списков доступных образов. Пакетные операции сразу с несколькими образами. Возможность упаковки нескольких образов в один tar-архив.
• Создание и управления виртуальными сетями. Присоединение контейнеров к нескольким сетям. Создание собственных типов сетей. Проброс сетевых портов.
• Создание, просмотр и удаление разделов. Работа с виртуальными дисками (VHD).
• Доступа к GPU из контейнеров и предоставление библиотек для работы непривилегированных пользователей с GPU.
• Создание сеансов по мере необходимости, присвоение имён сеансам, настраиваемое местоположение хранилища.
• SDK c API для автоматизации работы с контейнерами из программ на C++ и C#/WinRT.
• Команда "wslc logs" для просмотра и выборки данных из логов. Вывод статистики о работе контейнера. Подсветка вывода в утилите "wslc".
• Интеграция с MSBuild и CMake.
• Поддержка управления при помощи групповых политик ADMX.
• Поддержка расширения VS Code dev container для запуска и сборки разрабатываемого кода в контейнере.


Помимо поддержки контейнеров в новой версии WSL реализованы следующие возможности:

• Предложена и задействована по умолчанию в контейнерах новая файловая система "virtiofs", обеспечивающая двукратное ускорение доступа к Windows-файлам.
• Реализован и задействован по умолчанию в контейнерах режим работы сети "consomme", обеспечивающий улучшенную совместимость с различными сетевыми конфигурациями (VPN, прокси и т.п.). В режиме "consomme" Linux-трафик пересылается через Windows, что позволяет использовать для Linux приложений все возможности сетевого окружения Windows, включая политики безопасности и средства для интеграции с корпоративными системами.
• Улучшено автоматическое возвращение в основное окружение с Windows памяти, не использованной в виртуальной машине с Linux.

WSL предоставляет виртуальную машину с полноценным ядром Linux (на базе веток 6.6 и 6.18), в которой могут запускаться дистрибутивы Linux. Ядро включает специфичные для WSL изменения, такие как оптимизации для сокращения времени запуска и уменьшения потребления памяти, возможность возвращения Windows освобождённой Linux-процессами памяти и настройки для исключения лишних драйверов и подсистем. Система устанавливается в отдельный дисковый образ (VHD) c файловой системой ext4 и виртуальным сетевым адаптером.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65805

Опубликована библиотека OpenAPV 0.3 с эталонной реализацией видеокодека APV

Формат APV обеспечивают высокую пропускную способность и низкую сложность внутрикадрового кодирования, необходимые монтажным кодекам (среди них Apple ProRes и Avid DNxHD), а также отсутствие видимого снижения качества при повторном кодировании. Поддерживаются разрешения 2K, 4K и 8K, стандарт HDR10/10+ для использования расширенного динамического диапазона в видео, разбивка кадров (tiling) для распараллеливания кодирования/декодирования, различные форматы дискретизации цвета, многоракурсное видео (multi-view), добавление метаданных (глубина, прозрачность, данные для предпросмотра). Для ускорения работы в библиотеке OpenAPV поддерживается многопоточное кодирование и декодирование, а также задействованы оптимизации с использованием расширенных наборов команд NEON (ARM) и SSE/AVX (x86).

В новой версии добавлена поддержка кодирования и декодирования в формате APV RAW, отражающем состояние данных с матрицы камеры без обработки и преобразования видео в цветовое пространство YUV. APV RAW сжимает без потерь непреобразованный 16-разрядный 4-канальный линейный поток пикселей, дающий возможность применения в последующем сложных алгоритмов цветокоррекции и визуальных эффектов. Предложены новые профили для разделения обычного APV и APV RAW.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65804

Проблемы с удалением "protestware" из Debian-пакета xsnow

В жалобе, отправленной команде Debian Quality Assurance Team, ответственной за поддержание качества в Debian, указано, что подобное нештатное поведение не соответствует требованиям к программному обеспечению, которое может поставляться в Debian, так как может рассматриваться как дискриминация по принадлежности к определённой группе пользователей и дискриминация по области использования. В частности, xsnow изменяет поведение и направляет адресное обращение отдельной категории пользователей и меняет ожидаемую нейтральную функциональность в зависимости от окружения пользователя.

При этом упомянутые в жалобе пункты правил Debian определяют недопустимость дискриминации лишь в лицензиях на код, а не в поведении программы. Правила Debian не регламентируют действия в случае попыток продвижения в ПО политических заявлений и поведения, расходящегося с заявленной функциональностью. Формально подобная активность в Debian оказалась не запрещена.

В качестве варианта дальнейших действий рассматривается возможность трактовки выполняемых программой протестных действий как ошибки или недокументированного поведения, требующего применения патча для восстановления нейтральной и ожидаемой функциональности. Но ситуацию усложняет тот факт, что сопровождающий пакет xsnow в Debian является автором данной программы, добавившим рассматриваемое недокументированное поведение.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65803

relayd(8) and httpd(8) TLS settings update.

Both relayd(8) and httpd(8) now have the "secure" list of allowed crypto methods for HTTPS, which include TLSv1.3 and the TLSv1.2 AEAD cipher suites. The previous list was "HIGH:!aNULL" which contain non-perfect-forward-security methods and this change may cause old clients to not be able to connect.

relayd(8) and httpd(8) TLS settings update.

Both relayd(8) and httpd(8) now have the "secure" list of allowed crypto methods for HTTPS, which include TLSv1.3 and the TLSv1.2 AEAD cipher suites. The previous list was "HIGH:!aNULL" which contain non-perfect-forward-security methods and this change may cause old clients to not be able to connect.

Я не думал, что бензиновый кризис так сильно повлияет на тишину в деревне. Но это случилось. Триммеры затихли. Конечно, не совсем. Но в том количестве, в каком раньше их слышно было с утра и до вечера, теперь нет. Это бензиновое рычащее говно немножко приутихло. Народ от безделья, пенсионеры в основном, косили участок по несколько раз в неделю. Теперь это прекратилось. Кайф. А я самодовольно поглядываю на свой аккумуляторный триммер.
#триммер #бензин

Релиз античит-инструментария TLAC 2.0

Версия TLAC 2.0 примечательна добавлением модуля ядра, предназначенного для проверки целостности системы (функциональность пока сводится к проверке наличия загруженных в ядро модулей по маскам "rootkit" и "suspicious" в /proc/modules).

Источник: https://www.opennet.ru/opennews/art.shtml?num=65800

Коронованный Спектр (изображение надо повернуть направо!)
#парейдолия #Pareidoliae

Выпуск дистрибутива Slackel 9.0

В новом выпуске:

• Начинка синхронизирована с веткой Slackware Current и поставляется с ядром Linux 6.18.37 для 64-разрядных систем и 6.12.94 для 32-разрядных.
• Вместо оконного менеджера Openbox задействована среда рабочего стола MATE.
• Предложено три режима установки: полная с рабочим столом MATE, браузером, мультимедийными и офисными приложениями; базовая с минимальной графической системой, браузером и основными утилитами; урезанная с инструментарием командной строки.
• Обновлены версии программ, среди которых libreoffice 26.2.4, firefox 152.0.3, thunderbird 140.12.0, pidgin 2.14.14, transmission 2.94, GIMP 3.2.4, exaile 4.2.1, smplayer 25.6.0, mpv 0.41.0, brasero 3.12.3.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65799

Выпуск дистрибутива CachyOS 260628

Дистрибутив примечателен включением оптимизаций для повышения производительности и предоставлением возможности установки различных сред рабочего стола. Помимо базового окружения на основе KDE, для установки доступны GNOME, Xfce, i3WM, Wayfire, LXQT, OpenBox, Cinnamon, Cosmic, Niri, MangoWM, LXDE, Mate, Budgie, Qtile, Hyprland и Sway. Размер установочного iso-образа 3.2 ГБ. Отдельно поставляются сборки (2.6 ГБ) для носимых устройств (Handheld Edition) с интерфейсом в стиле GameMode и компонентами для любителей компьютерных игр.

В дистрибутиве по умолчанию включён планировщик задач BORE, оптимизированный для снижения задержек на рабочем столе и повышения приоритета интерактивных процессов. Ядро и пакеты собраны с включением LTO-оптимизаций (Link-Time Optimization) и задействованием инструкций, доступных в процессорах на базе микроархитектур x86-64-v3, x86-64-v4 и Zen4. При сборке базовых пакетов дополнительно включены оптимизации PGO (Profile-Guided Optimization) или BOLT (Binary Optimization and Layout Tool). В качестве файловых систем могут использоваться btrfs, zfs, ext4, xfs и f2fs.

Основные новшества:

• Изменения в инсталляторе:
  • В число предлагаемых для установки графических окружений добавлен сеанс на базе композитного менеджера Hyprland с минималистичной оболочкой Noctalia.
  • В окружении на базе композитного сервера MangoWM по умолчанию задействован дисплейный сервер SDDM.
  • Вместо GNOME System Monitor для отслеживания состояния системы задействовано приложение Resources, написанное на Rust.
  • Из поставки удалён инструментарий paru, вместо которого для работы с AUR рекомендовано использовать интерфейс управления пакетами Shelly.
  • Для пакетов из группы "audio" предоставлены привилегии для выполнения задач в realtime-режиме.
  • В Live-сеансе улучшено определение раскладки клавиатуры.
  • В приложении CachyOS-Welcome появилась опция для включения DNS-over-QUIC (DoQ), реализована новая страница для диагностики проблем и добавлена поддержка эмулятора терминала Ptyxis.
  • Для пакетах с Python для повышения производительности задействованы оптимизации на основе результатов профилирования кода (PGO - Profile-guided optimization), позволяющей генерировать более оптимальный код на основе анализа особенностей выполнения программы.
  • В пакет с GCC включён патч, увеличивающее вес неверного предсказания ветвления в процессорах x86 для повышения производительности генерируемого кода на современных CPU Intel и AMD.
  • Пакет proton-cachyos (Proton с дополнительными патчами) переименован в proton-cachyos-native.
  • В пакетном менеджере pacman обеспечена изоляция выполнения скриплетов и хуков, в которых теперь не допускается обращение к сети.
  • Для виртуальных машин в поставку включён 32-разрядный драйвер с поддержкой графического API Vulkan.
  • В cachyos-settings для пользовательских сервисов выставлен 15-секундный таймаут при запуске и 10-секундный при завершении работы, что решило проблему со слишком долгим завершением работы из-за ранее применявшегося таймаута в 90 секунд.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65798
  

Я не думал, что бензиновый кризис так сильно повлияет на тишину в деревне. Но это случилось. Триммеры затихли. Конечно, не совсем. Но в том количестве, в каком раньше их слышно было с утра и до вечера, теперь нет. Это бензиновое рычащее говно немножко приутихло. Народ от безделья, пенсионеры в основном, косили участок по несколько раз в неделю. Теперь это прекратилось. Кайф. А я самодовольно поглядываю на свой аккумуляторный триммер.
#триммер #бензин

#сегодня ^w вчера открыл сезон катания на sup'е

Почти случайно набрёл на пару озёр в Орехово. Вечером решил туда вернуться с надувной доской.

Песчаные заходы в воду. Кувшинки. Головастики. Комаров и прочей нечисти нет (удивительно). Вода в тени сосен чёрная, но наберёшь в ладонь -- чистая.

Успел поплавать до сильного дождя. Дорога через смешанный (но преимущественно хвойный) лес. На обратном пути ливень приятно освежил в конце пути.

Ak'chamel — Spiritually Unemployed

My favourite band ever!
https://akchamel.bandcamp.com/album/spiritually-unemployed

#music #experimental

Выпуск дистрибутива Mageia 10, форка Mandriva Linux

Ключевые улучшения:

• Повышены требования к 32-разрядным системам, для работы на которых теперь необходимо наличием CPU с поддержкой инструкций SSE2. Имя архитектуры для iso-образов изменено с i586 на i686.
• Для обоев рабочего стола вместо JPG задействован формат JXL. Разрешение увеличено до 3840×2160, но благодаря более эффективному потребление дискового пространство осталось на том же уровне.
• В инсталляторе реализован запрос часового пояса при начале установки, добавлена поддержка беспроводных соединений и улучшен режим восстановления ранее установленной системы.
• В Live-сборках c GNOME и KDE Plasma по умолчанию предложены сеансы на базе Wayland. Реализованы опции для отката на X11 и использования несвободных драйверов. Добавлена предварительная поддержка DisplayLink, требующая установки пакета displaylink-native-evdi. Расширены возможности интерфейса draklive2, в котором упрощена настройка локализации, часовых поясов, сервисов и межсетевого экрана, добавлена сводная страница с общей информацией.
• Через репозитории RPM-MD (RPM MetaData) обеспечено предоставление метаданных AppStream, используемых в менеджерах приложений GNOME Software и Plasma Discover для поиска и управления приложениями.
• В Mageia Control Center в конфигураторе звука draksound упрощено переключение между звуковыми серверами PulseAudio и PipeWire (по умолчанию продолжает использоваться PulseAudio). Убрана функциональность родительского контроля (drakguard), требующая переработки.
• На базе python-manatools переработаны графические интерфейсы утилит для записи ISO-образов (isodumper), управления пакетами (dnfdragora) и настройки межсетевого экрана (manafirewall). Python-manatools предоставляет обвязку, позволяющую создавать универсальные интерфейсы, которые могут отрисовываться в графическом режиме через Qt6 и GTK4, а в текстовом режиме при помощи ncurses.
• Добавлен пакет remove-old-kernels с инструментарием для удаления старых ядер из системы и оставления только трёх последних обновлений пакетов с ядром. Чистка запускается автоматически раз в недели или может быть вызвана через меню "Tools" -> "System tools".
• DHCP-клиент dhcp-client заменён на dhcpcd, а инструментарий для тестирования памяти PCMemTest заменён на Memtest86+.
• Приложение для ведения заметок Knotes заменено на Marknote. Пакет для голосового ввода и распознавания голосовых команд NoComprendo переведён на библиотеки и модели от проекта Vosk.
• В состав включены браузеры для протокола Gemini: Lagrange (SDL), Kristall (Qt), Offpunk (CLI).
• Прекращена поставка пакета Chromium из-за больших трудозатрат на сопровождение. Предлагается использовать пакет в формате flatpak или официальный RPM-пакет Chrome от Google.
• Доступ к утилите dmesg теперь разрешён только администратору.
• Обновлены версии пакетов, включая ядро Linux 6.18, RPM 4.20.1, DNF 5.4 (в качестве альтернативы urpmi), Docker 29.1.3, GRUB 2.12, Glibc 2.42, GCC 15.2, GDB 16.3, LLVM 20.1, Firebird 5.0.3 QEMU 10.2.2, Xen 4.20.2, VirtualBox 7.2.8, Python 3.13, Perl 5.42, Ruby 3.4.7, Rust 1.95.0, PHP 8.5.
• Обновлены компоненты графического стека: Mesa 3D 26.0.8, X.Org 21.1.23, XWayland 24.1.12, Qt 6.10.0, GTK4 4.20.4.
• Обновлены пользовательские приложения: LibreOffice 26.2.3, Blender 4.5.8, Firefox 140 ESR, Vim 9.2, NeoVim 0.11.5.
• Обновлены версии рабочих столов KDE Plasma 6.5.5 (по умолчанию с Wayland) + KDE Gear 25.12.1, GNOME 49. Xfce 4.20, LXQt 2.3, MATE 1.28, Cinnamon 6.6, Enlightenment E27.1.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65797

Выпуск инсталлятора Archinstall 4.4, применяемого в дистрибутиве Arch Linux

Archinstall предоставляет диалоговый (guided) и автоматизированный режимы работы. В автоматизированном режиме имеется возможность использования скриптов для развёртывания типовых конфигураций. Инсталлятор также поддерживает профили установки, например, профиль "desktop" для выбора рабочего стола (KDE, GNOME, Awesome) и установки необходимых для его работы пакетов, или профили "webserver" и "database" для выбора и установки начинки web-серверов и СУБД. Шесть лет назад была предпринята попытка создания варианта Archinstall с графическим интерфейсом установки, но она не получила развития.

В новой версии:

• Обеспечено автоматическое выставление консольного шрифта в зависимости от выбранного языка. В меню "Locales" добавлена опция для ручного выбора шрифта.
• Добавлен запрос финального подтверждения перед началом установки с выводом сводной информации о выбранных параметрах.
• Реализована опциональная возможность цветовой индикации готовности к установке: красным выделяются ошибки с загрузчиком и проблемы с конфигурацией, жёлтым - предупреждения, не блокирующие установку, а зелёным метка о готовности к установке.
• Добавлена команда share-log для загрузки лога install.log в сервис paste.rs. Перед выполнением операции выводится запрос подтверждения с показом содержимого лога для того чтобы пользователь мог оценить то, что собирается отправить.
• Добавлена опция для использования только пакета IWD для организации подключения к Wi-Fi, без установки NetworkManager и связанных с ним зависимостей. Позволяет создавать минималистичные конфигурации на базе seatd.
• Для создания тестовых системных образов задействован инструментарий mkosi, который по сравнению с mkarchiso работает быстрее и генерирует образы меньшего размера.
• Предоставлены настройки для включения показа загрузочной заставки Plymouth и выбора для неё темы оформления.
• Добавлен профиль для установки пользовательского окружения на базе композитного сервера Niri и оболочки Dank Material Shell.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65796

Автор LuaJIT вернулся к разработке и планирует выпуск LuaJIT 3.0

Среди предлагаемых для LuaJIT 3.0 расширений:

• Битовые операторы в виде встроенного синтаксиса вместо вызовов функций "bit.*": "~a" (NOT), "a & b" (AND), "a | b" (OR), "a ~ b" (XOR), "a ‹‹ b`, "a ›› b" (логический сдвиг) и "a ~›› b" (арифметический сдвиг). XOR обозначен как "~", поскольку символ "^" в Lua занят возведением в степень.
• Альтернативные ("привычные") операторы в стиле C/JavaScript: "!" (not), "&&" (and), "||" (or) и "!=" (~=).
• Оператор целочисленного деления "//" с округлением в сторону минус бесконечности и метаметодом "__idiv" (как в Lua 5.3+).
• Тернарный оператор "a ? b : c" с поддержкой сокращённого вычисления.
• Оператор безопасной навигации "?." ("a?.field", "a?.[key]", "f?.(...)", "obj?.:method(...)"), возвращающий "nil", если левый операнд равен "nil".
• Оператор объединения с nil "a ?? b", возвращающий "b", только если "a" равно "nil".
• Составные операторы присваивания: "+=", "-=", "*=", "/=", "//=", "%=", "&=", "|=", "~=", "‹‹=`, "››=", "~››=", "..=" и "??=". Индексное выражение в левой части вычисляется однократно.
• Оператор "continue" для перехода к следующей итерации цикла, оформленный как "мягкое" ключевое слово (можно продолжать использовать как имя переменной).
• Объявление "const" - блочная неизменяемая привязка локальной переменной; запрещены переприсваивание и повторное объявление в той же или вложенной области видимости (также "мягкое" ключевое слово).

В обсуждении дополнительно затрагиваются ещё не вошедшие в спецификацию идеи: выражение сопоставления с образцом через ключевое слово "in", индексируемый тип для vararg ("...varg", "varg[i]"), краткий синтаксис лямбд ("|x| -> expr"), оператор отложенного выполнения "defer" в стиле Go/Zig и присваивание в условии ("if local x = ... then").

Появление расширений вызвало и критику: часть участников отметила, что нововведения окончательно превращают LuaJIT в отдельный язык, несовместимый с эталонным Lua 5.1. На это Полл ответил, что "этот корабль уплыл уже очень давно".

Документацию по языку планируется консолидировать в отдельное самостоятельное описание, в котором каждое расширение будет помечено версией, в которой оно появилось.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65795

Раскрыты эксплоиты для 23 неисправленных уязвимостей в FFmpeg, VLC, Firefox, Docker, PHP, OpenVPN, nmap, libssh2, nghttp2 и 7zip

Среди опубликованного материала встречаются как сомнительные проблемы (ghidra), так и серьёзные уязвимости (Floci, libssh2, FFmpeg, c-ares). По словам исследователя, на момент публикации эксплоитов информация о проблемах не была сообщена разработчикам уязвимых проектов. CVE-идентификаторы не назначены. Среди раскрытых уязвимостей:

• Переполнение буфера в мультимедийном пакете FFmpeg, которое может привести к запуску кода атакующего при декодировании специально оформленных видеопотоков в формате RASC (дубликат CVE-2026-12706?).
• Две уязвимости в библиотеке libssh2, вызванные целочисленными переполнениями в парсере открытых ключей. Уязвимости приводят к записи данных за пределы выделенного буфера, что может использоваться для выполнения кода атакующего при обращении клиента к вредоносному SSH-серверу, в том числе на стадии до прохождения аутентификации.
• Уязвимость в эмуляторе облачных окружений Floci, позволяющая обойти IAM-ограничения и добиться удалённого выполнения кода через отправку HTTP-запроса к REST API при использовании сервиса API Gateway и наличии непривилегированного доступа к API.
• Уязвимость (use-after-free) в DNS-библиотеке c-ares, приводящая к запуску кода злоумышленника при обращении к подконтрольному атакующему DNS-серверу при вызове функции ares_getaddrinfo().
• Состояние гонки в Docker, которое можно использовать для записи файла в область вне целевого каталога при копировании администратором данных из контейнера в хост-окружение командой "docker cp ‹container›:/tmp/src ‹host-destination›.
• Уязвимость в сетевом сканере nmap, приводящая к целочисленному переполнению из-за некорректной обработки размера в коде для парсинга заголовков пакетов IPv6.
• Уязвимость в реализации AI-режима "Smart Window" в Firefox, приводящая к утечке конфиденциальных данных и истории посещений через подстановку инструкций для AI-агента в открываемый контент.
• Уязвимость в 7-Zip, которую можно использовать в Windows для подмены других файлов при распаковке специально оформленных RAR-архивов.
• Уязвимость в act_runner в платформе совместной разработки Gitea, позволяющая выйти из контейнера и получить root-доступ к хост-системе при наличии возможности выполнения своих обработчиков через Gitea Actions.
• Переполнение буфера в мультимедийном проигрывателе VLC, эксплуатариуемое при декодировании специально оформленного видео в формате VP9.
• Уязвимость в PHP, вызванная неправильной обработки типов (Type Confusion) и позволяющая добиться выполнения своего кода при обработке HTTP-ответа от вредоносного SOAP-сервера.
• Уязвимость в OpenVPN Connect для Windows, позволяющая добиться выполнения кода на стороне клиента при подключении к вредоносному VPN-серверу, после того как пользователь импортирует ovpn-профиль с настройками для подключения к этому серверу.
• Уязвимость класса HTTP Request Smuggling в библиотеке nghttp2 в реализации прокси-сервера nghttpx, позволяющая вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом (например, для подстановки вредоносного JavaScript-кода в сеанс другого пользователя с сайтом).
• Уязвимость в панели управления MyBB Admin CP, позволяющая модератору, имеющему право управления пользователями в форуме, создать учётную запись с правами главного администратора.
• Уязвимость в платформе удаленного управления RustDesk, позволяющая совершить MITM-атаку для отключения шифрования и подстановки нажатий клавиш в сеанс пользователя.
• Уязвимость в утилите objdump, позволяющая добиться выполнения кода при анализе утилитой специально оформленных объектных файлов в формате ELF/DLX.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65794

Несейчанск и Никогданьск.

Доступен композитный сервер Nourish 1.0.0

Допускается объединение окон в именованные группы, которые можно сворачивать, раскрывать на весь экран и индивидуально настраивать. Раскладка и выбранные позиции окон сохраняются после перезапуска, аварийного завершения приложений или перезагрузки системы.

Поддерживается создание отдельных рабочих пространств для определённых задач и переключения между ними через комбинации клавиш или наглядную 3D-навигацию, реализованную в форме мозаичной карты-глобуса. Возможно создание скриншотов и записи скринкастов, как для выбранных окон, так для выделенной области рабочего пространства, с охватом при записи изменения масштаба и перемещения по виртуальному экрану.

Сквозь сон слышал громкие бабахи, а это оказывается они салют решили ночью устроить в честь "алых парусов".

Выпуск Coreboot 26.06, открытой альтернативы проприетарным прошивкам

Основные изменения:

• Реализована поддержка 31 материнской платы:
  • AMD Crater для SoC V2000A
  • AMD Jaguar для SoC Faegan
  • AMD Maple для SoC Strix Halo
  • ASRock H370M-ITX/ac, ASRock Z87 Extreme6
  • ASUS H81M-K, P8H61-I R2.0, P8H61-M LX2, PRIME H610M-K D4, Z87-K
  • ASUS Maximus VI EXTREME
  • ASUS Maximus VI FORMULA, VI HERO, VII IMPACT, VI IMPACT, VII RANGER
  • Framework Laptop 13 (Intel Core Ultra Series 1)
  • Framework Laptop 13 Pro (Intel Core Ultra Series 3)
  • Lenovo ThinkPad X61 / X61s
  • Star Labs Byte Mk I (Ryzen 7 5800U), StarBook Mk VI (Ryzen 7 5800U)
  • System76 bonw15-b, gaze20
  • 8 плат, применяемых в различных устройствах с Chrome OS или на серверах Google.
  • Прекращена поддержка материнских плат AMD Crater Renoir (заменена на AMD Crater для SoC V2000A) и Google Myst.
  • Добавлена начальная поддержка SoC Intel Nova Lake (NVL). Реализованы bootblock, romstage, ramstage, FSP-M и FSP-S (Firmware Support Package), добавлены определения выводов GPIO и таблицы ACPI, обеспечена поддержка PCIe и Flash. Обновлены утилиты ifdtool и spd_tools. Из ограничений - пока не поддерживается DDR5.
  • Добавлена начальная поддержка SoC Intel Panther Lake (PTL) с возможностью inline-шифрования UFS.
  • Добавлена начальная поддержка SoC AMD Strix Halo c демонстрацией загрузки на материнской плате AMD Maple.
  • Добавлена начальная поддержка SoC Qualcomm Calypso и основанных на данном SoC материнских плат Google Calypso, Mensa и C1nv. Имеется поддержка ARM Trusted Firmware, PCIe, инициализации таймера QUPv3, драйвера SPMI, загрузки прошивок CPUCP и PDP.
  • Для чипов AMD добавлена поддержка механизма ROM Armor, реализующего защиту от неавторизированной модификации системного SPI Flash.
  • Для чипов AMD реализована поддержка механизма A/B Recovery, обеспечивающего сохранение резервной копии при обновлении прошивки для загрузки старой прошивки в случае невозможности загрузиться с новой версии или при проблемах с верификацией целостности прошивки. Добавлена возможность загрузки со второго Flash-чипа и сохранения флага восстановления между перезагрузками.. В утилитах amdfwtool и amdfwread обеспечена поддержка разделения директорий и парсинга A/B-разделов.
  • Для плат на чипах Qualcomm, таких как Google Bluey и Calypso, реализованы расширенные возможности управления зарядом и аккумулятором. Реализованы: плавный переход от медленной к быстрой зарядке, мониторинг температуры, режим загрузки без аккумулятора, оптимизированная подача питания на NVMe.
  • Расширена поддержка устройств на базе чипов Intel Haswell и Broadwell. Унифицирован код поддержки платформ Haswell и Broadwell, и реализована общая инициализация графики. Добавлена начальная поддержка вариантов чипов Broadwell для ПК. Добавлен драйвер для искусственного снижения напряжения (undervolt) и переопределены лимиты мощности PL1/PL2. Добавлена поддержка материнских плат ASUS на чипах Haswell, таких как Maximus VI/VII, Z87-K и H81M-K.
  • В драйвер Intel FSP 2.0 добавлена поддержка алгоритма сжатия Zstd.
  • Предоставлена возможность включения нескольких изображений логотипов c разным разрешением для их отображения в зависимости от разрешения экрана.
  • Продолжена работа по адаптации кода для поддержки стандарта C23.
  • Обновлены версии GCC 15.2.0, NASM 3.01, binutils 2.45.1 и ACPICA 20251212.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65773
  

Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org

Получаемые в случае успешной эксплуатации уязвимости права давали атакующему возможность внести изменения в ссылки на релизы Python и метаданные для поверки корректности загружаемых файлов, размещённые на странице python.org/downloads. При этом уязвимость не позволяла изменить содержимое имевшихся файлов с релизами.

Аудит базы данных и логов не выявил следов эксплуатации уязвимости. Также предполагается, что подмена ссылок на релизы не могла остаться незамеченной, так как многие поставщики при загрузке дополнительно используют систему криптографической верификации кода Sigstore и проверку с использованием PGP-ключей.

Уязвимость присутствовала в коде с 2014 года и была вызвана смешиванием в одном коде обработчиков для гостевых входов и аутентификации по ключам для API. В случае сбоя аутентификации по ключу доступа к API, в коде выполнялся откат на использование гостевого доступа.

Уязвимость была выявлена 23 февраля и устранена на следующий день, после чего было проведено несколько проверок целостности инфраструктуры: 25 февраля были проанализированы логи и резервные копии БД, все доступные для загрузки ресурсы были проверены с использованием цифровых подписей из лога Sigstore и PGP-ключей, собственными силами был проведён аудит кодовой базы используемых сервисов. 23 апреля кодовая база дополнительно была проверена при помощи AI-инструментов, а 1 июня для внешнего аудита инфраструктуры python.org и процессов формирования релизов Python была привлечена компания Trail of Bits.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65786

Вероятно, находка дня: git diff --color-words

Выдаёт дифф, нарезающий отличия по *словам* и презентующий их без какого-либо дополнительного синтаксиса, только цветами: зелёное добавлено, красное удалено. В таком режиме попроще читать изменения в лёгких языках разметки, в которых {+добавления+} и [-удаления-] несколько смешиваются с содержимым.

Создана рабочая группа для изучения готовности платформ VFX и анимации к замене X11 на Wayland

Отмечается, что рабочая группа объединит заинтересованных представителей сообщества кинематографистов выработки стратегии дальнейшего движения вперёд в условиях экспансии Wayland, и анализа того, как переход современных Linux-систем с X11 на Wayland может повлиять на применяемые в отрасли профессиональные рабочие станции, приложения для создания контента и решения для удалённого доступа. Из областей для изучения готовности к использованию Wayland упоминается поддержка графических планшетов, управление окнами и фокусом ввода, назначение горячих клавиш, кастомизация рабочего стола, организация удалённого доступа, GPU-ускорение, управление цветом, поддержка HDR-мониторов и совместимость с применяемыми в индустрии приложениями.

В KDE включена тройная буферизация вывода на системах c GPU NVIDIA

При тройной буферизации используется три экранных буфера - в первый осуществляется отрисовка, из второго производится вывод на экран, а третий используется для продолжения непрерывного процесса отрисовки, если первый буфер был заполнен до завершения вертикальной развёртки (vblank). Применение третьего дополнительного буфера позволяет избавиться от рывков, возникающих при двойной буферизации в случае невозможности переключения между буферами отрисовки и вывода до завершения вертикальной развёртки. Подобная организация вывода позволяет повысить частоту кадров на маломощных устройствах, ценой увеличения задержки вывода.

Из изменений в ветке KDE Plasma 6.8 также отмечается появление вручную переключаемого режима слайдшоу для обоев рабочего стола (вместо автоматической смены обоев для перехода к следующему изображению нужно нажимать клавиатурную комбинацию или выбирать соответствующий пункт в контекстном меню). В редакторе меню kmenuedit убрано визуальное выделение настроек фреймами с другим фоновым цветом.

В ветке KDE Plasma 6.7 сформирован первый корректирующий релиз 6.7.1, в котором устранены зависания при подключении к ноутбукам с GPU NVIDIA и AMD дополнительных мониторов, а также аварийные завершения KWin при подключении мониторов через интерфейс DisplayLink и при блокировке экрана на системах с GPU NVIDIA.

Началась подготовка выпуска KDE Plasma 6.7.2, в котором повышена производительность полноэкранного отображений видео в приложениях на базе движка Chromium и улучшено выравнивание текста при древовидном режиме показа процессов в приложении System Monitor. Устранены проблемы, такие как аварийное завершение KWin при включении адаптивного изменения частоты обновления экрана (VRR, variable refresh rate) на системах с несколькими мониторами, нарушение работы RDP-сервера при использовании systemd и зависания приложений на движке Chromium при включении опции показа поверх других окон.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65787

Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org

Получаемые в случае успешной эксплуатации уязвимости права давали атакующему возможность внести изменения в ссылки на релизы Python и метаданные для поверки корректности загружаемых файлов, размещённые на странице python.org/downloads. При этом уязвимость не позволяла изменить содержимое имевшихся файлов с релизами.

Аудит базы данных и логов не выявил следов эксплуатации уязвимости. Также предполагается, что подмена ссылок на релизы не могла остаться незамеченной, так как многие поставщики при загрузке дополнительно используют систему криптографической верификации кода Sigstore и проверку с использованием PGP-ключей.

Уязвимость присутствовала в коде с 2014 года и была вызвана смешиванием в одном коде обработчиков для гостевых входов и аутентификации по ключам для API. В случае сбоя аутентификации по ключу доступа к API, в коде выполнялся откат на использование гостевого доступа.

Уязвимость была выявлена 23 февраля и устранена на следующий день, после чего было проведено несколько проверок целостности инфраструктуры: 25 февраля были проанализированы логи и резервные копии БД, все доступные для загрузки ресурсы были проверены с использованием цифровых подписей из лога Sigstore и PGP-ключей, собственными силами был проведён аудит кодовой базы используемых сервисов. 23 апреля кодовая база дополнительно была проверена при помощи AI-инструментов, а 1 июня для внешнего аудита инфраструктуры python.org и процессов формирования релизов Python была привлечена компания Trail of Bits.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65786

PEdit-CoW и DirtyClone - уязвимости в ядре Linux, позволяющие получить root через изменение страничного кэша

• PEdit-CoW (CVE-2026-46331, эксплоит 1, эксплоит 2) - ошибка при применении механизма copy-on-write в коде изменения заголовков пакетов (act_pedit), используемом в планировщике сетевых пакетов (net/sched), позволяет записать данные за пределы выделенного буфера, что может использоваться для перезаписи данных в страничном кэше по выбранному смещению. Ошибка вызвана тем, что проверка допустимой области для записи данных производилась без учёта того, что смещение на редактируемые поля может измениться во время выполнения операции.

  Проблема проявляется начиная с ядра Linux 5.18 и устранена в выпусках 7.1, 7.0.13, 6.18.36 и 6.12.94. Заявлена возможность эксплуатации проблемы в RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 и Ubuntu 18.04-25.10 (в версии Ubuntu 26.4 по умолчанию заблокировано создание user namespace). В качестве обходного пути защиты рекомендуется заблокировать загрузку модуля ядра act_pedit (перестанут работать правила ограничения трафика и перезапись заголовков через "tc pedit")"

     echo "blacklist act_pedit" › /etc/modprobe.d/blacklist-act-pedit.conf
     rmmod act_pedit
  

• DirtyClone (CVE-2026-43503, эксплоит) - обходной путь эксплуатации уязвимости Dirty Frag в модуле xfrm-ESP, используемом для ускорения операций шифрования в IPsec с использованием протокола ESP (Encapsulating Security Payload). Для клонирование структуры skb в новом эксплоите используется манипуляция с TEE-расширением к netfilter (модуль xt_TEE), выполняющим операцию клонирования сетевых пакетов.

  Уязвимость устранена в выпусках 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 и 6.18.33. Проблема проявляется в Debian, Ubuntu, Fedora, RHEL и SUSE. В качестве обходного пути блокирования уязвимости можно запретить загрузку модулей ядра esp4 и esp6.

  Для эксплуатации обеих уязвимостей требуются права доступа CAP_NET_ADMIN, которые можно получить при возможности создания пространств имён идентификаторов пользователей (user namespace). В Ubuntu подобная операция по умолчанию запрещена, но может быть разрешена через sysctl "kernel.apparmor_restrict_unprivileged_userns=0" или профили AppArmor. В остальных дистрибутивах доступность "user namespace" непривилегированным пользователям зависит от выставления sysctl "kernel.unprivileged_userns_clone" (если 0, то запрещено).

  Эксплуатация уязвимостей сводится к чтению файла программы /bin/su с флагом suid root, для его оседания в страничном кэше, и замене в страничном кэше части кода программы кодом для запуска /bin/sh. Последующий запуск программы приведёт к тому, что в память будет загружен не оригинальный исполняемый файл с накопителя, а изменённая копия из страничного кэша.

  Дополнительно можно отметить создание эксплоита для уязвимости CVE-2026-23111 в подсистеме nf_tables, устранённой в февральских обновлениях ядра Linux. Уязвимость вызвана обращением к памяти после её освобождения (use-after-free) и позволяет непривилегированному пользователю получить права root в системе. Для атаки и у пользователя должна быть возможность создания пространств имён идентификаторов пользователей (user namespace). Работа эксплоита продемонстрирована в Debian 12/13 и Ubuntu 22.04/24.04.
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65784
  

PEdit-CoW и DirtyClone - уязвимости в ядре Linux, позволяющие получить root через изменение страничного кэша

• PEdit-CoW (CVE-2026-46331, эксплоит 1, эксплоит 2) - ошибка при применении механизма copy-on-write в коде изменения заголовков пакетов (act_pedit), используемом в планировщике сетевых пакетов (net/sched), позволяет записать данные за пределы выделенного буфера, что может использоваться для перезаписи данных в страничном кэше по выбранному смещению. Ошибка вызвана тем, что проверка допустимой области для записи данных производилась без учёта того, что смещение на редактируемые поля может измениться во время выполнения операции.

  Проблема проявляется начиная с ядра Linux 5.18 и устранена в выпусках 7.1, 7.0.13, 6.18.36 и 6.12.94. Заявлена возможность эксплуатации проблемы в RHEL 8/9/10, Debian 11/12, openSUSE Leap 15.6, SUSE Linux 15-SP7/16.0 и Ubuntu 18.04-25.10 (в версии Ubuntu 26.4 по умолчанию заблокировано создание user namespace). В качестве обходного пути защиты рекомендуется заблокировать загрузку модуля ядра act_pedit (перестанут работать правила ограничения трафика и перезапись заголовков через "tc pedit")"

     echo "blacklist act_pedit" › /etc/modprobe.d/blacklist-act-pedit.conf
     rmmod act_pedit
  

• DirtyClone (CVE-2026-43503, эксплоит) - обходной путь эксплуатации уязвимости Dirty Frag в модуле xfrm-ESP, используемом для ускорения операций шифрования в IPsec с использованием протокола ESP (Encapsulating Security Payload). Для клонирование структуры skb в новом эксплоите используется манипуляция с TEE-расширением к netfilter (модуль xt_TEE), выполняющим операцию клонирования сетевых пакетов.

  Уязвимость устранена в выпусках 7.1, 7.0.10, 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91 и 6.18.33. Проблема проявляется в Debian, Ubuntu, Fedora, RHEL и SUSE. В качестве обходного пути блокирования уязвимости можно запретить загрузку модулей ядра esp4 и esp6.

  Для эксплуатации обеих уязвимостей требуются права доступа CAP_NET_ADMIN, которые можно получить при возможности создания пространств имён идентификаторов пользователей (user namespace). В Ubuntu подобная операция по умолчанию запрещена, но может быть разрешена через sysctl "kernel.apparmor_restrict_unprivileged_userns=0" или профили AppArmor. В остальных дистрибутивах доступность "user namespace" непривилегированным пользователям зависит от выставления sysctl "kernel.unprivileged_userns_clone" (если 0, то запрещено).

  Эксплуатация уязвимостей сводится к чтению файла программы /bin/su с флагом suid root, для его оседания в страничном кэше, и замене в страничном кэше части кода программы кодом для запуска /bin/sh. Последующий запуск программы приведёт к тому, что в память будет загружен не оригинальный исполняемый файл с накопителя, а изменённая копия из страничного кэша.

  Дополнительно можно отметить создание эксплоита для уязвимости CVE-2026-23111 в подсистеме nf_tables, устранённой в февральских обновлениях ядра Linux. Уязвимость вызвана обращением к памяти после её освобождения (use-after-free) и позволяет непривилегированному пользователю получить права root в системе. Для атаки и у пользователя должна быть возможность создания пространств имён идентификаторов пользователей (user namespace). Работа эксплоита продемонстрирована в Debian 12/13 и Ubuntu 22.04/24.04.
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65784
  

30 июля в Москве пройдет инженерная конференция Kuber Community Day

Проект Akrites для координации оперативного устранения уязвимостей

Участники проекта предоставят финансирование, инженерные ресурсы и экспертизу в области компьютерной безопасности для создания совместной команды реагирования на инциденты, связанные с компьютерной безопасностью (SIRT, Security Incident Response Team). Созданная команда будет заниматься выявлением новых уязвимостей, разбором и проверкой отчётов об уязвимостях, подтверждением уровня опасности, разработкой исправлений совместно с сопровождающими открытых проектов и координацией процесса раскрытия информации об уязвимостях. Раскрытие сведений об уязвимостях будет синхронизировано с выпуском исправлений в основных проектах, дистрибутивах и зависимых продуктах.

Отмечается, что если раньше для создания эксплоитов требовались экспертные знания и длительный процесс разработки, то современные возможности AI-инструментов позволяют неквалифицированным злоумышленникам создать рабочий эксплоит за считанные часы, используя информацию о патче с устранением проблемы. В случае, если исправление для уязвимости выпущено без явной огласки о связи с проблемами безопасности, пользователи и разработчики зависимых проектов могут проигнорировать обновление, а злоумышленники при помощи AI-инструментов быстро подготовить эксплоит на начать атаковать необновлённые системы.

В подобных условиях становится важным оперативность устранения проблемы, предотвращение утечек информации во время разработки патчей, одновременное с публикацией исправления раскрытие сведений об уязвимости и доведение до пользователей информации о необходимости установки обновления. Отдельно будет проводиться работа по информированию об уязвимостях операторов критической инфраструктуры, важных сервисов и проектов, так как с точки зрения блокирования потенциальных атак важна не столько публикация патча, сколько его оперативное применение.

Помимо этого проект ставит перед собой цель снятия нагрузки с сопровождающих, беря на себя такую работу, как отсеивание дублирующихся отчётов о проблемах, подтверждение наличия уязвимостей и оказание помощи в разработке и тестировании исправлений. При выявлении уязвимостей в важных пакетах, оставшихся без активных сопровождающих, проект Akrites будет брать на себя работу по подготовке и интеграции в них исправлений.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65782

#сегодня проехал три заправки на сервере #спб: в двух только 100-й бензин по ~100 р. за литр, на третьей есть с разным октановым числом, но отпускают только по 20 литров. 20 литров 95-го обошлись 1429,4 р.

Волшебное царство борщевика.

(#борщевик)

Выпуск DXVK 3.0, реализации Direct3D 8/9/10/11 поверх API Vulkan

Основные изменения:

• Для всех поддерживаемых шейдерных моделей задействован компилятор шейдеров dxbc-spirv. Компиляция шейдеров перенесена из основного потока в отдельные потоки. Реализовано кэширование на диске промежуточного представления шейдеров (кэш сохраняется в подкаталоге AppData/Local в текущем префиксе Wine). Использование dxbc-spirv позволило снизить потребление памяти, сократить время запуска, исключить подвисания и избавиться от ряда проблем, проявлявшихся в играх Postal: Brain Damaged, Snowrunner, Overwatch, God of War, Days Gone и Final Fantasy XIV, которых не удавалось устранить в старом коде трансляции шейдеров.
• Для D3D9 реализована поддержка шейдерных моделей 1-3.
• По умолчанию задействовано Vulkan-расширение VK_EXT_descriptor_heap. По сравнению с ранее применявшимся хранилищем дескрипторов на базе Vulkan-расширения VK_EXT_descriptor_buffer, новая реализация обеспечивает тот же уровень производительности операций, выполняемых на CPU, но снижает нагрузку на GPU, особенно при использовании видеокарт NVIDIA. Для работы на системах с видеокартами NVIDIA требуется как минимум версия проприетарных драйверов NVIDIA 595.84. Реализация на базе VK_EXT_descriptor_buffer объявлена устаревшей и будет удалена в одном из следующих выпусков.
• В реализации Direct3D 9 вместо генерации шейдеров на лету теперь используются uber-шейдеры, оптимизированные версии которых компилируются в фоне, что решило проблемы с подвисанием некоторых старых игр, таких как Unreal Tournament 2004. Обеспечена загрузка буферов по необходимости, как в Windows, вместо заблаговременного размещения в видеопамяти, что устранило аварийные завершения некоторых 32-разрядных D3D9-игр из-за ограниченного адресного пространства.
• Обеспечена корректная работа мультисэмплинга (MSAA) в режиме D3DRS_MULTISAMPLEANTIALIAS на системах с поддержкой Vulkan-расширений VK_EXT_sample_locations и VK_EXT_extended_dynamic_state3, что решило проблемы с рендерингом в Anno 1701, Men of War и других играх при включении MSAA.
• Обеспечена поддержка работы с общими ресурсами (Shared resources) в штатных версиях Wine без дополнительных патчей от проекта Proton.
• Удалена переменная окружения DXVK_FRAME_RATE, применявшаяся для ограничения частоты кадров (Frame rate limiter), вместо которой рекомендуется использовать внешние ограничители, такие как Gamescope и Mangohud. Для активации встроенного ограничителя можно использовать настройку "dxvk.maxFrameRate = n".
• Решены проблемы в играх:
  • Bioshock Infinite
  • Borderlands 2
  • Colin McRae Rally 3
  • Dirt Rally 2
  • Fallout New Vegas
  • Insurgency & Counter-Strike
  • Jump Space
  • Max Payne
  • Railroad Tycoon 3
  • Resident Evil 6
  • Sang-Froid: Tales of Werewolves
  • Sea Dogs
  • Splinter Cell 4
  • The I of the Dragon
  • The Sims 3
  • Total War: Pharaoh
  • Witch on the Holy Night
  • World of Final Fantasy
  • Vietcong
  • Требования к минимальной версии графического API повышены до Vulkan 1.4. Для работы теперь требуются как минимум версии драйверов AMD RADV 25.0, NVIDIA 575.51.02, NVIDIA 25.1 и Intel ANV 25.1.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65775
  

Выпуск компилятора ISPC 1.31, развиваемого Intel для языка Си с расширениями SPMD

Си-программы с расширениями SPMD компилируются для выполнения на вычислительных блоках SIMD, предоставляемых CPU и GPU, что позволяет задействовать механизмы векторизации SIMD без низкоуровневых оптимизаций и явного применения в коде SIMD-инструкций. Для написания распараллеливаемых функций используется привычный синтаксис и идиомы языка Си - SPMD-функции напрямую взаимодействуют с функциями и структурами, написанными на C/C++. Для отладки программ могут применяться существующие отладчики.

В качестве бэкенда для генерации кода и оптимизации в ISPC используется инфраструктура LLVM. Поддерживаются векторные инструкции x86 (SSE2, SSE4, AVX, AVX2, AVX512) и ARM (NEON), а также вынос вычислений на сторону GPU (Intel Gen9 и Xe). На архитектурах с векторными блоками SSE, обрабатывающими по 4 элемента за раз, применение ISPC даёт возможность добиться ускорения выполнения программы в 3 или более раз, а на архитектурах с векторными блоками AVX, обрабатывающими по 8 элементов за раз, ускорение может достигать 5-6 раз. При этом помимо размера векторного блока, масштабирование также обеспечивается за счёт выполнения на разных процессорных ядрах.

Основные новшества, добавленные в версии ISPC 1.31:

• Добавлена экспериментальная поддержка 64-разрядной little-endian архитектуры PowerPC (ppc64le). По умолчанию осуществляется сборка для POWER ISA 2.7 (POWER8+) с расширениями VSX (Vector Scalar Extension).
• Добавлены новые сборочные цели avx10.2nvl-x4, avx10.2nvl-x8, avx10.2nvl-x16, avx10.2nvl-x32 и avx10.2nvl-x64, реализующие поддержку расширенный наборов инструкций AVX10.2 (Advanced Vector Extensions) и APX (Advanced Performance Extensions) для процессоров на базе микроархитектуры Intel Nova Lake.
• В диспетчеризаторе обеспечен выбор вариантов сборочных целей с поддержкой AMX (avx512spr, avx512gnr, avx10.2dmr) только при реальной поддержке расширений AMX (Advanced Matrix Extensions) в операционной системе и CPU.
• Добавлена опция "--opt=disable-apx" для выборочного отключения отдельных возможностей x86 APX (egpr, ndd, push2pop2, ppx, ccmp, cf, nf, zu и jmpabs), которые по умолчанию включены в поддерживающих APX сборочных целях, таких как avx10.2dmr и avx10.2nvl.
• Добавлены сбалансированный ("balanced") и агрессивный ("aggressive") режимы оптимизации математических вычислений, включаемые через опцию "--opt=fast-math" и более агрессивные по сравнению с применяемым по умолчанию режимом оптимизации.
• В сандартную библиотеку добавлены новые математические функции: erf, erfc (функции ошибок Гаусса), expm1 (точное вычисление "exp(x)-1"), log1p ("log(1+x)"), sinh, cosh и tanh (гиперболические синус, косинус и тангенс). Повышена точность и производительность функций asin, acos, atan и log.
• Значительно повышена производительность 32-битных операций перестановки (shuffles) для сборочной цели avx2-i32x16 и вычислений popcnt для целей avx2-i8x32, avx512skx-x32 и avx512skx-x64.
• Инструментарий LLVM обновлён до находящейся в разработке ветки 23.


Источник: https://www.opennet.ru/opennews/art.shtml?num=65777

Firefox 152.0.3 с устранением регрессии в 152.0.2, приводящей к зависанию

Платформа Deno 2.9 c поддержкой Deno Desktop для создания десктоп-приложений

Новая версия примечательна реализацией экспериментального инструментария Deno Desktop, позволяющего создавать пользовательские приложения с графическим интерфейсом, построенные с использованием web-технологий, по аналогии с платформой Electron. Логика и интерфейс приложения определяются на языке JavaScript или TypeScript с использованием типовых web-фреймворков, а работа организуется с использованием браузерного движка. Приложение поставляется в форме самодостаточного исполняемого файла и по взаимодействию с пользователем не отличается от классических программ с графическим интерфейсом.

Сформированы бэкенды для работы поверх двух браузерных движков - предоставляемого операционной системой WebView и интегрируемого в приложение CEF (Chromium Embedded Framework). Бэкенд на базе WebView позволяет уменьшить размер исполняемых файлов за счёт работы поверх системного браузерного движка (WebView2 в Windows и WebKit в macOS и Linux), а бэкенд CEF позволяет добиться одинаковой отрисовки интерфейса на платформах Linux, macOS и Windows, но ценой существенного увеличения размера исполняемых файлов. Средний размер исполняемого файла при использовании WebView оценивается в 40 МБ, а при использовании CEF - 150 МБ. Для сравнения средний размер исполняемого файла на базе Electron - 100 МБ, Electrobun - 61 МБ, Tauri - 2-10 МБ. В разработке находится механизм совместного использования общего движка CEF в разных приложениях, который даст возможность снизить размер исполняемых файлов.

В Deno Desktop реализована полная совместимость с Node.js, экосистемой NPM и такими web-фреймворками, как Next.js, Astro, Fresh, Remix, Nuxt, SvelteKit, SolidStart, TanStack Start и Vite SSR. Наличие API для доступа к нативным десктопным API, например, можно из программы управлять размером, позицией и видимостью окна, создавать меню, прикреплять свои обработчики, выставлять пиктограммы для системного лотка и панелей, выводить родные для ОС диалоги. Возможна сборка web-приложений в форме десктоп-программ без изменения их кода, а также автоматическое определение используемых web-фреймворков и кросс-компиляция на одной системе для Linux x64/arm64, Windows x64 и macOS x64/arm64. Для Linuc могут генерироваться пакеты в форматах AppImage, deb и rpm.

В отличие от Electron, Electrobun и Tauri в Deno Desktop применяется не многопроцессная модель выполнения с IPC на базе сокетов, а многопоточная модель для CEF или модель на основе групп процессов для WebView с взаимодействием между бэкендом и кодом графического интерфейса через каналы внутри одного процесса. Имеется встроенный механизм проверки и автоматической установки обновлений, для экономии трафика загружающий только изменившиеся относительно прошлой версии данные (применяются бинарные патчи на базе bsdiff) и поддерживающий откат на прошлую версию в случае сбоя при запуске новой версии.

Среди других новшеств Deno 2.9:

• Поддержка в команде "deno install" прямого чтения lock-файлов для упрощения миграции на Deno с npm, pnpm, yarn и Bun.
• Поддержка импорта CSS-модулей.
• Реализация совместимости с платформой Node.js 26.
• Новые команды "deno link", "deno unlink" и "deno list".
• Поддержка API Web Locks для выставления блокировок на ресурсы.
• Включение по умолчанию 24-часовой задержки (min-release-age=24h) перед установкой новых версий зависимостей для защиты от атак через компрометацию зависимостей.
• Сокращение времени запуска (~2x), снижение потребления памяти (~2.2x) и повышение пропускной способности при работе с HTTP (~1.2x).
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=65770