Выпуск CoW 0.4, адаптации оконного менеджера FVWM для Wayland

CoW реализован поверх модульного композитного сервера River, который отвечает за реализацию протокола Wayland, отрисовку и управление доступом для ввода и вывода. В CoW реализованы абстракции для управления окнами, IPC, команды и возможности для, стекового размещения, декодирования и компоновки окон. Подобное разделение позволило сосредоточить внимание на функциях управления окнами, не отвлекаясь на тонкости работы с протоколом Wayland.

Поверх оконного менеджера запускаются панель cowbar, меню приложений cow-appmenu, навигатор по виртуальным рабочим столам cowpager, лаунчер cowbuttons и интерфейс для просмотра списка окон cowiconman. Вместо встроенной панели возможно использование панели Waybar. Версия CoW 0.4 примечательна добавлением возможности использования оконных контейнеров верхнего уровня для создания произвольных раскладок окон на экране (окно верхнего уровня может разделяться на столбцы и строки, размер которых меняется независимо друг от друга).

Опубликована мобильная платформа Ubuntu Touch 24.04-2.2

Среди изменений в Ubuntu Touch 24.04-2.2:

• В связи с компрометацией удостоверяющего центра eMudhra обновлён список корневых сертификатов.
• Решены проблемы с кэшированием правил системы мандатного управления доступом AppArmor, из-за которых после обновления системы с версии 24.04-1.5 до 24.04-2.0 перестал запускаться браузер Morph.
• Проведена работа по подготовке стека VoLTE (Voice over LTE) к поддержке технологий передачи голоса по сетям LTE в новых моделях смартфонов. В плагин ofono-binder-plugin-ext-qti добавлена поддержка интерфейса AIDL IImsRadio.
• После формирования новых сборок в приложении Gallery 3.2.0 выявлена регрессия, приводящая к невозможности открыть альбомы с фотографиями. Проблема устранена в версии Gallery 3.2.1, которую рекомендовано установить до обновления Ubuntu Touch 24.04-2.2 или 24.04-1.6.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66547

Альфа-версия CusDeb OS, Windows-подобной ОС на базе Linux и пользовательского окружения ReactOS

На текущем этапе CDEX содержит лишь минимальные изменения, направленные на устранение различных шероховатостей в работе Win32-окружения под Linux. В дальнейшем разработчики планируют развивать его дальше, добавляя возможности, которые пока не реализованы в ReactOS. Как и в случае с прототипом, основой системой остаётся Debian 13. Для загрузки предлагается (894 MB) live-система, которую можно запустить в виртуальной машине или на реальном компьютере.

Разработчики CusDeb OS поставили перед собой цель - за год довести систему до состояния, в котором она могла бы стать полноценной альтернативой Windows 10. Автором проекта является Евгений Голышев, сопровождающий пакет Elixir в Debian.

Среди основных целей для второй альфа-версии:

• Переход на 64-битную версию CDEX (сейчас в Alpha 1 используется 32-битная версия CDEX в 64-битной Linux-системе).
• Поддержка Direct3D 3-11 через D7VK и DXVK.
• Миграция графического окружения с Xorg на Wayland.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66545
  

LibreSSL 4.4.0, 4.3.4, 4.2.3 released

Read more…

Выпуск qBittorrent 5.3.0

Среди изменений:

• Осуществлён переход на использование по умолчанию библиотеки libtorrent 2.1.x, вместо ветки 1.2.x, поддержка которой сохранена в форме опции, так как бэкенд на базе libtorrent 2.1.x пока отстаёт по производительности операций чтения, что приводит к снижению скорости выгрузки данных с клиента при сидировании.
• Добавлена опция, позволяющая прервать раздачу только при достижении всех выставленных лимитов.
• В интерфейс создания торрентов добавлена опция для игнорирования файлов, имена которых начинаются с точки.
• В список пиров добавлен столбец "Contribution" с информацией о загрузках и скачиваниях для каждого пира.
• В статистику добавлена метрика для оценки задержек и времени ожидания анонсов трекера.
• В контекстное меню фильтров добавлен элемент "Force start torrents" для принудительного запуска торрентов.
• В интерфейс добавлена кнопка "Open Destination Folder" для открытия целевого каталога.
• Добавлена поддержка указания нескольких получателей email-уведомлений.
• Добавлена поддержка параметра "so" (select only) в Magnet-ссылках, позволяющего выбирать только определённые файлы из раздачи.
• Добавлена поддержка фильтрации списка торрентов по хэшу (infohash).
• Добавлена поддержка блокировки диапазонов адресов, а не только отдельных IP.
• Добавлены настройки I2P PeX для обмена пирами внутри сети I2P и параметры рандомизации числа hop-ов.
• Реализован параметр seeding_outgoing_connections для управления исходящими соединениями при сидировании.
• Переработан код для управления резервными копиями torrent-файлов.
• Добавлена возможность закрывать вкладки с результатами поиска средней кнопкой мыши.
• В Web-интерфейсе по умолчанию включён виртуальный список торрентов (в таблицах отрисовываются только видимые на экране строки), повышена отзывчивость интерфейса, ускорены операции фильтрации вывода, усилена защита от межсайтового скриптинга (CSRF), реализована возможность ограничения числа одновременных активных сессий, добавлена возможность добавления торрента одним кликом (без открытия отдельного диалога), реализован индикатор свободного места на диске, добавлены кнопки для приостановки и возобновления всего сеанса, появилась возможность импорта и экспорта правил загрузки RSS, обеспечено сохранение вкладок с результатами поиска между перезапусками, реализовано общее окно управления загрузками RSS.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66511

Релиз языка программирования Mojo 1.2 и публикация кода движка MAX Framework

Синтаксис Mojo основан на языке Python, а система типов близка к C/C++. Проект преподносится как язык общего назначения, расширяющий возможности языка Python средствами системного программирования, подходящий для широкого круга задач и сочетающий простоту применения для исследовательских разработок и быстрого создания прототипов с пригодностью для формирования высокопроизводительных конечных продуктов.

Простота достигается благодаря использованию привычного синтаксиса языка Python, а разработке конечных продуктов способствуют возможность компиляции в машинный код, механизмы безопасной работы с памятью и задействование средств для аппаратного ускорения вычислений. Для достижения высокой производительности поддерживается распараллеливание вычислений с задействованием всех имеющихся в системе аппаратных ресурсов гетерогенных систем, таких как GPU, специализированные ускорители для машинного обучения и векторные процессорные инструкции (SIMD). При интенсивных вычислениях распараллеливание и задействование всех вычислительных ресурсов даёт возможность добиться производительности, превосходящей приложения на C/C++.

Язык поддерживает статическую типизацию и средства для безопасной низкоуровневой работы с памятью, напоминающие возможности языка Rust, такие как отслеживание времени жизни ссылок и проверка заимствования переменных (borrow checker). При этом в языке доступны и возможности для низкоуровневой работы, например, возможно прямое обращение к памяти в режиме unsafe с использованием типа Pointer, вызов отдельных SIMD-инструкций или доступ к аппаратным расширениям, таким как TensorCores и AMX.

Mojo может использоваться как в режиме интерпретации с использованием JIT, так и для компиляции в исполняемые файлы (AOT, ahead-of-time). В компилятор встроены современные технологии автоматической оптимизации, кэширования и распределённой компиляции. Исходный код на языке Mojo преобразуются в низкоуровневый промежуточный код MLIR (Multi-Level Intermediate Representation), развиваемый проектом LLVM. Компилятор позволяет применять для генерации машинного кода различные бэкенды, поддерживающие MLIR.

Среди изменений в Mojo 1.2:

• Добавлена поддержка сопоставления с образцом, используя конструкции match / case. В качестве образца могут использоваться литералы ("case 100:"), логические выражения с литералами ("case 100 | 200:"), кортежи ("case (10, 10, 10):"), структуры, ограничивающие условия ("case limit if limit > 10:") и шаблоны ("case _:"). Дополнительно реализовано выражение "comptime match" для выполнения проверки на этапе компиляции.

     def classify_point(p: Tuple[Int, Int]) -> String:
         match p:
             case 0, 0:
                 return "origin"
             case x, 0 if x ‹ 0:
                 return String("negative x-axis:", x)
             case x, 0:
                 return String("x-axis:", x)
             case 0, y:
                 return String("y-axis:", y)
             case x, y:
                 return String("point:", x, ",", y)
  

• Добавлена поддержка деструктуризации списков, которая может использоваться как отдельно, так и внутри проверок в match:

     var [first, *middle, last] = values
     match values:
         case []:
             print("empty")
         case [1, *middle, last]:
             print(len(middle), last)
         case [first, *rest]:
             print(first, len(rest))
  

• В выражения if, elif и while добавлена возможность использования конструкций "if case" и "while case" для проверки и извлечения данных.

      if case .Some(item) = value:
          return String("some:", item)
      else:
          return "none"
  
      while case .Some(item) = get_next():
          process(item)
  

• В библиотеку std.math добавлено более 20 математических функций (atan(), tan(), cbrt(), erfc(), lgamma(), log10(), remainder(), hypot() и т.п.), доступных в вариантах, способных работать на CPU и GPU, и не использующих системную библиотеку libm.
• Добавлен тип TargetAccelerator для метаданных аппаратных ускорителей, сочетающий возможности типов GPUInfo и CompilationTarget.
• Добавлен синтаксис "not ‹Trait›" для отключения реализации определённых типажей (например, "struct Handle(not Movable, Writable):"), который рекомендуется использовать вместо "‹Trait› where False".
• Появилась возможность определения собственных сообщений об ошибках в проверочных выражениях where - "where ‹condition› else "‹message›".

     def foo[sc: Int]() where sc › 1 else "scaling factor must be greater than"
  

• Компилятор mojo переведён на выделение памяти при помощи библиотеки jemalloc на платформе Linux. Компиляция крупных пакетов и больших ядер для GPU ускорилась на 10-13%. Например, пакет nn теперь компилируется за 61 секунду вместо 98.
• Проведена оптимизация производительности. Операции выравнивания строк ускорены до 86 раз, а повторения больших строк через оператор "*" примерно в 2 раза. Значительно повышена производительность методов String.startswith() и String.endswith(). В среднем на 20% ускорен разбор чисел с плавающей запятой при помощи функции atof().
• Структура StringSpan теперь предоставляет доступ к байтам строки только в режиме чтения (immutable). Поддержка структур MutStringSpan, MutStringSlice и параметра mut, позволявших напрямую изменять данные в строковом буфере, прекращена.
• Пустой кортеж "()" теперь всегда означает значение кортежа, а не тип. Для указания типа пустого кортежа следует указывать "Tuple[]".
• Ключевые слова async и await переименованы в "__async" и "__await для индикации их экспериментального статуса (старые варианты сохранены, но будут выдавать предупреждение).

Одновременно сформирован выпуск движка MAX Framework 26.7, предлагающего платформу для разработок в области машинного обучения. MAX Framework дополняет инструментарий Mojo средствами для разработки и отладки приложений, использующих модели машинного обучения в различных форматах (TensorFlow, PyTorch, ONNX и т.п.).

Новая версия примечательна публикацией исходного кода MAX Framework, включая бэкенды, runtime и графовый компилятор. Код опубликован под собственной лицензией "MAX License", которая допускает использование, модификацию, расширение и создание производных коммерческих продуктов, но вносит ограничения для защиты от фрагментации платформы, не допускающие создание специфичных для отдельных аппаратных платформ версий, нарушающих совместимость.

Из функциональных изменений в MAX Framework 26.7 отмечается добавление поддержки AI-моделей Muse Glimmer и MiMo-V2.6-Flash, возможность передачи видео в модели Qwen3.5 и Qwen3-VL, новый API Decisions для оценки вероятностей при классификации и принятии решений, значительное ускорение выполнения моделей на GPU NVIDIA B200 и AMD MI355. Реализован режим "eager" для ускорения тестирования и отладки кода, позволяющий выполнять операции мгновенно по мере их вызова, без предварительной полной обработки графовым компилятором.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66544

Компания Valve опубликовала дистрибутив для игровых консолей SteamOS 3.9

Платформа основана на Arch Linux, использует для ускорения запуска игр композитный сервер Gamescope на базе протокола Wayland, поставляется с доступной только на чтение корневой ФС, применяет атомарный механизм установки обновлений, поддерживает пакеты Flatpak, использует мультимедийный сервер PipeWire и предоставляет два режима работы интерфейса (оболочка Steam и рабочий стол KDE Plasma).

Среди изменений:

• Среда рабочего стола обновлена до выпуска KDE Plasma 6.7 (ранее была ветка 6.4).
• Осуществлена синхронизация со свежей пакетной базой Arch Linux. Ядро Linux обновлено до версии 7.2 (ранее поставлялась версия 6.16). Задействованы свежие версии графических драйверов.
• В загрузчике улучшена совместимость с некоторыми материнскими платами.
• Для десктоп-режима разрешена активация хранителя экрана в настройках.
• Для новых установок в качестве бэкенда для подключения к беспроводным сетям по умолчанию задействован пакет wpa_supplicant (ранее установленные системы продолжают использовать iwd, но могут переключиться на wpa_supplicant в конфигураторе). В wpa_supplicant реализована возможность быстрого переподключения к WiFi после выхода из спящего режима (ранее данная возможность была доступна только в iwd).
• Добавлена начальная поддержка спящего режима, при котором содержимое памяти сохраняется на диск (hibernation). Режим пока недоступен в интерфейсе Game Mode и в сборках для консоли Steam Deck.
• Улучшена работа SteamOS в виртуальных машинах с поддержкой аппаратного ускорения графики (virtio-gpu, venus).
• Различные скрипты и пакеты переименованы с "steamos-" в "holo-".
• Улучшена поддержка беспроводного адаптера Steam Frame.
• Снижено энергопотребление в режиме простоя при работе на Steam Deck без воспроизведения звука.
• Добавлена начальная поддержка управления яркостью экрана на игровой консоли Legion Go 2.
• Возвращена поддержка IPC Android Binder.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66543

YouTube добавит поддержку AV2 в начале 2027 года, Intel готовит SVT-AV2

Компания Intel ведёт разработку библиотеки SVT-AV2 (Scalable Video Technology AV2) c реализациями кодировщика и декодировщика AV2, ускоренными при помощи процессорных расширений для аппаратного распараллеливания вычислений. Компания Meta намерена задействовать AV2 для распространения видео на Facebook и Instagram, как когда-то было сделано с кодеком AV1, а также проявляет интерес к открытым звуковым кодекам OAC (Open Audio Codec) и OAR (Open Audio Renderer).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66540

Выпуск системы шифрования дисковых разделов VeraCrypt 1.26.30

Среди изменений в новой версии:

• Устранено несколько уязвимостей: Переполнение буфера (CVE-2026-77372) при десериализации запросов в привилегированном сервисе. Получение прав root из-за некорректной работы инсталлятора со временными файлами в директории /tmp. Оставление расшифрованных данных после отмонтирования в macOS при использовании FUSE-T (CVE-2026-108982). Повышение привилегий в версии для Windows.
• Добавлен поддержка доступных на запись разделов, размещаемых в файлах на совместных хранилищах без root-доступа (например, GVfs или NFS в режиме root_squash).
• Cкрипт mount.veracrypt переписан на POSIX shell.
• Улучшена очистка данных токенов.
• В Linux улучшена работа с носителями в режиме только для чтения.
• Добавлена защита от утечки в дочерние процессы файловых дескрипторов, связанных с привилегированными сервисами и аутентификацией.
• Обеспечено определение возможностей CPU до запуска базовых сервисов для задействования аппаратного ускорения при работе с монтируемыми разделами.
• В диалоги генерации файла с ключами, проверки производительности хэшей настройки пула случайных чисел добавлена поддержка хэш-функции BLAKE2b-512.
• В OpenBSD добавлена поддержка создания разделов FFS в интерфейсе командной строки и графическом конфигураторе.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66541

В systemd добавлена возможность разработки компонентов на языке Rust

Компоненты systemd на Rust динамически связываются с Си-библиотекой libsystemd-shared. Rust-обвязки над libsystemd-shared генерируются автоматически на этапе сборки из заголовочных файлов при помощи утилиты bindgen, и становятся доступны для rust-программ в форме пакета systemd_shared. Для работы требуется как минимум версии rustc 1.85 и bindgen 0.71.1, соответствующие версиям из Debian 13.

Тестовый исполняемый файл на Rust при сборке с LTO-оптимизациями занимает 32 КБ, при том что аналог на Си занимает 20 КБ. По умолчанию поддержка Rust включается только при наличии в системе соответствующего Rust-инструментария (-Drust=auto). В качестве первого компонента, написанного на Rust, развивается systemd-keyring-setup, который пока не принят в основную кодовую базу systemd. Systemd-keyring-setup предназначен для настройки и управления X.509-сертификатами для механизмов ядра Linux dm-verity, fs-verity и bpf.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66539

Критическая уязвимость в декодировщике Brotli, затрагивающая Node.JS, Bun, браузеры, HTTP-клиенты и другие проекты

Проблема была выявлена компанией OpenAI в феврале этого года и блокирована в кодовой базе Brotli через отбрасывание некорректных потоков при декодировании. 22 октября были опубликованы корректирующие выпуски Brotli 1.0.10, 1.1.1 и 1.2.1 в которых явно было заявлено об устранении уязвимости и исправлена суть проблемы. В этот же день был создан прототип эксплоита, позволивший удалённо выполнить код в лабораторных условиях, при использовании нестандартных сборок (в стандартных сборках происходило аварийное завершение). Позднее компания Imperva зафиксировала атаку на штатные сборки Node.js 24.22.0 в Linux-окружении на системе ARM64.

Уязвимость приводит к записи за пределы буфера из-за некорректной обработки ошибок в процессе разбора блоков в сжатом потоке. Функция DecodeBlockTypeAndLength() вместо кода ошибки возвращала только значения true и false, что не позволяло вызывающему коду отличить повреждение потока от состояния, требующего передачи в функцию дополнительных данных. В случае указания в потоке некорректного типа блока сжатых данных, декодировщик воспринимал его не как ошибку, а как состояние нехватки данных, требующее дополнительного чтения из потока. Но так как выделенный буфер не был рассчитан на дополнительно прочитанные данные, они записывались в область за его пределами, в которой хранилось внутреннее состояние декодировщика.

Подверженные уязвимости проекты:

• Эталонная библиотека brotli, проблема проявляется начиная с выпуска 1.0.3 и устранена в обновления 1.0.10, 1.1.1 и 1.2.1. Уязвимость затрагивает приложения и библиотеки, использующие библиотеку libbrotlidec.
• JavaScript платформа Node.js, проблема устранена в обновлениях 26.12.1, 24.22.1 и 22.23.4. Атакованы могут быть приложения, использующие для запроса стороннего контента метод fetch(), который автоматически декодирует HTTP-ответы с заголовком "Content-Encoding: br". Также уязвимость проявляется при прямом вызове методов zlib.brotliDecompress*(), createBrotliDecompress() и brotli.decompress() для распаковки стороннего содержимого или при приёме HTTP-запросов с разбором через библиотеки Express 5 и body-parser 2.x.
• Python-пакеты brotli и brotlicffi (исправление предложено в версии 1.2.1) и использующие их проекты, среди которые популярные библиотеки urllib3, aiohttp, httpx и Scrapy, которые декодируют ответы с заголовком "Content-Encoding: br" при обращении к внешним web-ресурсам.
• HTTP-серверы, HTTP-прокси, HTTP-клиенты и web-браузеры, поддерживающие сжатие Brotli ("Accept-Encoding: br"). В Apache httpd поставляется mod_brotli (отключён по умолчанию). Для nginx доступен сторонний модуль ngx_brotli (уязвимость уже устранена). В Chrome/Chromium и Firefox проблема уже устранена в одном из прошлых обновлений. В прокси-сервере Envoy уязвимость устранена в выпусках 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET runtime при использовании в приложении методов BrotliDecoder, BrotliStream и HttpClient. Уязвимость пока не устранена.
• PHP-расширение brotli при использовании функции brotli_uncompress(). Исправление в процессе подготовки.
• Ruby-пакет brotli при использовании метода Brotli.inflate. Уязвимость пока не устранена.
• СУБД DuckDB при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• СУБД ClickHouse. Исправление в процессе подготовки.
• СУБД YDB. Уязвимость пока не устранена.
• Apache Arrow при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• libjxl (при сжатии метаданных в JPEG XL используется Brotli). Исправление в процессе подготовки.
• Архиваторы NanaZip, 7-Zip-zstd и p7zip при распаковке br-файлов. Уязвимость не устранена.
• MuPDF. Уязвимость не устранена.
• UEFI-прошивки на базе EDK II и UEFITool, сжатые при помощи Brotli. Исправление в процессе подготовки - EDK II и UEFITool.
• JavaScript-платформа Bun. Уязвимость устранена в версии 1.4.4.
• Платформа для управления микросервисами Istio. Уязвимость устранена в версиях 1.29.9, 1.30.6 и 1.31.2.
• curl и libcurl, уязвимость проявляется при наличии в зависимостях уязвимой версии libbrotlidec.
• Парсеры формата шрифтов Web Open Font (WOFF), в котором используется Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost и YTsaurus. Уязвимость устранена в одном из обновлений.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66537

Выпуск системы потокового видеовещания OBS Studio 33.0

Целью разработки OBS Studio было создание переносимого варианта приложения Open Broadcaster Software (OBS Classic), не привязанного к платформе Windows, поддерживающего OpenGL и расширяемого через плагины. Отличием также является использование модульной архитектуры, подразумевающей разделение интерфейса и ядра программы. Поддерживается перекодирование исходных потоков, захват видео во время игр и стриминг в PeerTube, Twitch, Facebook Gaming, YouTube, DailyMotion и другие сервисы. Для обеспечения высокой производительности возможно использование механизмов аппаратного ускорения (например, NVENC, Intel QSV, Apple Video Toolbox и VAAPI).

Предоставляется поддержка композитинга с построением сцены на основе произвольных видеопотоков, данных с web-камер, карт захвата видео, изображений, текста, содержимого окон приложений или всего экрана. В процессе вещания допускается переключение между несколькими предопределёнными вариантами сцен (например, для переключения представлений с акцентом на содержимое экрана и изображение с web-камеры). Программа также предоставляет инструменты для микширования звука, фильтрации при помощи VST-плагинов, выравнивая громкости и подавления шумов.

Ключевые изменения:

• Источники вещания на базе браузера (Browser Source) и панели с web-контентом переведены на новый выпуск инструментария CEF 150 (Chromium Embedded Framework). Ранее использовался CEF 127, выпущенный в июле 2024.
• Полностью переделана загрузка плагинов. Официальные плагины размещены в отдельном подкаталоге "Core", а неофициальные пока продолжают загружаться из старых мест.
• Улучшено выравнивание (snapping) источников контента в окне предпросмотра. Добавлен новый визуальный индикатор, показывающий по какой границе выровнен элемент. Обеспечена привязка источников по осям, а не только при приближении вплотную к объектам (видео с демонстрацией). Убрана привязка к скрытым элементам.
• Улучшены поля ввода чисел, ввод в которых больше не блокируется в некоторых ситуациях, а числа не обрезаются. Значения теперь обновляются только по нажатию Enter, которое не закрывает окно. Добавлена поддержка изменения значений нажатием "Shift + ↑/↓". Обеспечена корректная работа курсора при перетаскивании.
• На системах ARM64 включена поддержка ускорения кодирования видео при помощи NVENC (NVIDIA Encoder).
• Для звуковых и видео эффектов NVIDIA задействована новая версия NVIDIA Broadcast SDK.
• В Safe Mode прекращён запуск WebSocket Server.
• В режиме захвата вывода игр улучшено определение полноэкранных игр.
• Улучшено определение прозрачности при захвате экрана macOS.
• Прекращена поддержка Ubuntu 24.04.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66536

Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого парамтера в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().

Источник: https://www.opennet.ru/opennews/art.shtml?num=66534

Выпуск криптографических библиотек OpenSSL 4.1.0 и LibreSSL 4.4.0

Основные новшества:

• Добавлена начальная поддержка архитектуры Elbrus2000 (e2k).
• Добавлена поддержка протокола DTLS 1.3 (RFC 9147), представляющего собой адаптацию TLS 1.3 для UDP и SCTP.
• В API SSL Listener добавлена поддержка DTLS.
• Добавлена поддержка механизма GREASE (RFC 8701, Generate Random Extensions And Sustain Extensibility), который при согласовании соединения добавляет фиктивные значения в разные поля протоколов TLS и DTLS для проверки корректности их обработки на серверах и межсетевых экранах (сервер должен игнорировать неизвестные значения и продолжить согласование соединения на основе известных).
• Добавлена поддержка функции формирования ключа (KDF) IKEv2 (Internet Key Exchange).
• Реализована поддержка новых сборочных целей VC-WIN32-MSVC2013 и VC-WIN64A-MSVC2013 для сборки с использованием MSVC 2013. Удалены цели VC-WIN64I (Windows на системах Itanium) и VC-CE (Windows CE).
• Добавлены варианты реализаций ML-DSA и ML-KEM, оптимизированные для архитектуры ppc64le, а также вариант ML-DSA, оптимизированный для x86_64.
• Добавлен вариант кода дешифровки AES-CBC, оптимизированный при помощи x86_64-расширений AVX-512 и VAES.

Дополнительно можно отметить выпуск переносимой редакции пакета LibreSSL 4.4.0, развивающего форк OpenSSL. Выпуск LibreSSL 4.4.0 рассматривается как экспериментальный, в котором развиваются возможности, которые войдут в состав OpenBSD 8.1. Изменения в новой версии LibreSSL в основном связаны с исправлением ошибок, оптимизациями и решением проблем совместимости с OpenSSL. Значительно улучшена поддержка платформы Windows и добавлена поддержка сборки для macOS 27.0. Включены ассемблерные оптимизации для MIPS32 и MIPS64. Повышена производительность SHA-3.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66533

Что ждёт меня, что ждёт тебя
То же, что и всех нас
Когда кончится газ
Когда кончится боезапас

Старик умирает, да всё никак не умрёт
Засеем поле руками, засеем поле
Оторванными ногами
Засеем поле нашими головами

Кому собирать урожай

2-й СОРТ и Нина Потехина - Великое ничего

(#чтопослушать)

Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений

Целью атаки был перехват паролей, ключей и конфиденциальной информации в транзитном незашифрованном трафике, а также захват паролей к SSH. Для стимулирования работы без шифрования атакующие блокировали некоторые сетевые порты и сосредоточились на анализе запросов без шифрования к почтовыми серверам. Нешифрованный трафик анализировался на лету.

Для сбора паролей к SSH было организовано перенапрваление SSH-запросов на один из 12 серверов злоумышленников. Данные серверы принимали соединение по SSH и выводили запрос пароля от имени сервера, к которому осуществлялось подключение. Так как хостовые ключи не совпадали, ssh на стороне клиента выдавал предупреждение о подключении к неизвестному серверу.

Если пользователь игнорировал данное предупреждение и вводил пароль для подключения, то вредоносный сервер транслировал через себя подключение к легитимному целевому SSH-серверу, сохранял введённый жертвой пароль и перехватывал информацию о действиях в SSH-сеансе. Параллельно осуществлялось подключение к целевому серверу с захваченным паролем и установка на него вредоносного ПО Ebury. Получая контроль над Linux-серверами, не являющимися выходными узлами Tor, атакующие меняли настройки в файле torrc и превращали их новые вредоносные выходные узлы Tor.

Для определения всех вредоносных выходных узлов выявивший проблему исследователь использовал утилиту exitmap для перебора всех выходных узлов, установки SSH-соединения через каждый из них и проверки факта пренаправления запроса. Как именно атакующие получили доступ к захваченным Tor-узлам пока не ясно, среди прочего высказываются предположения о компрометации операторов хостинга.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66531

Аnthropic развивает технику для формальной верификации существующего ПО при помощи AI

Проверка проводилась на уровне скомпилированного ассемблерного кода для архитектуры RISC-V. Общий объём сгенерированных доказательств составил около 180 миллионов строк кода для системы верификации Rocq Prover (около 600 тысяч строк на бинарный файл с 18 тысячами RISC-V инструкций). Доказательства формировались путём автоматического преобразования существующих fuzzing-тестов в формальные спецификации, после чего AI-модель Claude доказывала, что при любых входных данных объёмом до 64 МБ в программе не возникает сбоев.

В процессе построения доказательств AI-модель смогла выявить и подготовить исправления для сотен ошибок, ранее не замеченных при fuzzing-тестировании. Среди прочего, были выявлены уязвимости, приводящие к переполнению буфера при обработке определённых входных данных (например, CVE-2026-56132 в libexpat), а также логические ошибки. Помимо этого, AI-модель была использована для доказательства соответствия реализации алгоритма zlib в ядре Linux спецификации RFC 1950.

Также на языке Rust был сгенерирован интерпретатор для подмножества языка Python, для которого при помощи инструментария Verus подготовлено формальное доказательство соответствия семантике CPython. Для сравнения поведения с CPython было выполнено более 1.7 миллионов случайно сгенерированных Python-программ. В 99.95% случаев результаты выполнения этих программ в новой реализации и в CPython совпали, а выявленные расхождения оказались известными граничными случаями.

Проведённая формальная верификация гарантирует соответствие спецификации, но полностью не исключает возникновение проблем с безопасностью, так как не остаются формализованы риски, вызванные проблемами с многопоточностью, динамическим связыванием и аномальным поведением реального оборудования. Ключевым преимуществом предложенного подхода является работа непосредственно с бинарными файлами, что позволяет обойтись без необходимости переписывания существующего кода на формально верифицируемых языках.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66528

Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов

Заявлено, что доступ к рабочему эксплоиту предоставлен только клиентам, занимающимся защитой информации, но злоумышленники могут воссоздать используемую технику при помощи AI. Для обходного пути блокирования утечки информации о раскладке адресов следует выставить в php.ini параметр "display_errors=off", помимо ранее опубликованных рекомендаций. VulnCheck также упоминает о том, что на GitHub появились сотни прототипов эксплоитов, но только единицы оценены как рабочие и лишь один прототип был способен обойти ASLR.

Помимо этого, директор Cloudflare сообщил, что компания фиксирует миллионы попыток эксплуатации уязвимостией PHP2Shell, при том, что за 10 часов до анонса наличия уязвимостей таких попыток уже были тысячи, а через 2 часа после официального раскрытия информации достигли сотен тысяч. Судя по всему, в атаках используются прототипы эксплоитов, лишь фиксирующие наличие уязвимых версий PHP, так как пока нет информации о подтверждённых фактах взлома через уязвимости PHP2Shell.

По данным компании Amazon первые попытки эксплуатации зафиксированы развёрнутыми honeypot-системами ещё 17 октября, т.е. за 3 для до утечки первых сведений об CVE-идентификаторах. Активность усилилась 21 октября, за 12 часов до публикации корректирующих обновлений PHP, в это время зафиксированы попытки атак с использованием нескольких вариантов прототипов эксплоитов. Попытки атак до официального раскрытия информации также зафиксировала компания Hadrian.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66529

Чорт дёрнул посмотреть локальные новости: какой-то бред и сумасшествие. Газовщики взялись отключать целые дома от газа (а это еда, горячая вода), мотивируя тем, что должен быть 100% допуск жильцов для "проверок"; людей выселяют из примыкающих к аэропорту садоводств, а на земле будут строить какой-то кампус; ну и другие по мелочи проявления выдуманной реальности. Пожалуй, на сегодня интернета хватит.

Релиз менеджера паролей KeePassXC 2.8

Основные возможности:

• Работа с БД в формате KDBX. Хранение информации в зашифрованном виде. Возможность прикрепления к записям о сохранённых паролях файлов и собственных атрибутов.
• Систематизация информации с распределением по группам. Встроенная система поиска. Автоподстановка паролей в приложения. Возможность управления из командной строки (keepassxc-cli).
• Генератор надёжных паролей. Хранение и генерация одноразовых паролей (TOTP). Анализ качества сохранённых паролей и формирование отчётов со статистикой.
• Интеграция с web-браузерами Chrome, Mozilla Firefox, Edge, Chromium, Vivaldi, Brave и Tor Browser. Поддержка аутентификации с использованием технологии Passkeys, реализованная через интеграцию с браузером.
• Поддержка импорта базы паролей из форматов CSV, 1Password, Bitwarden, Proton Pass и KeePass1. Экспорт в форматы CSV, XML и HTML.
• Поддержка YubiKey и OnlyKey. Интеграция с SSH Agent. Совместный доступ к БД KeeShare. Поддержка FreeDesktop.org Secret Service, например, для использования вместо GNOME keyring. Поддержка алгоритмов шифрования Twofish и ChaCha20.


Ключевые изменения в новом выпуске:

• Перевод графического интерфейса с Qt5 на Qt6.
• Возможность использования функции атоподстановки паролей в приложения в окружениях на базе Wayland, используя порталы XDG.
• Поддержка настройки комбинаций клавиш.
• Возможность синхронизации БД с внешними системами и поддержка использования внешних утилит для импорта.
• Режим быстрой разблокировки доступа через Polkit в Linux.
• Формирование ARM64-сборок для Windows и экспериментальных ARM64-сборок в формате AppImage для Linux.
• Переход на хранение файлов состояния приложения в каталоге ~/.local/state/ (XDG_STATE_HOME) вместо ~/.cache (XDG_CACHE_HOME).
• Поддержка генерации ключей RSA, ECDSA и Ed25519 для SSH Agent.
• Улучшена интеграция с рабочим столом сборок в формате AppImage.
• Реализован импорт SSH-ключей, паролей от Wi-Fi и записей с неизвестным типом из Proton Pass.
• Устранена уязвимость (CVE-2026-69150), приводящая к обращению к уже освобождённой памяти при импорте специально оформленного файла в формате KDB.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66527

stealing and reposting good memes will continue until alt texting improves 🤷‍♂️

#eMudhra

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве

F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов.

Повышение производительности достигается за счёт исключения таких операций, как копирования сетевых пакетов, планирование потоков, обработка прерываний и обращение к системным вызовам. Для взаимодействия с сетевой картой, минуя интерфейсы ядра операционной системы, применяется фреймворк DPDK (Data Plane Development Kit), развивающий набор библиотек для низкоуровневой работы с сетевыми адаптерами. DPDK даёт возможность снизить накладные расходы и уложиться в минимальное число циклов CPU при приёме или отправке сетевых пакетов.

Функциональность стека TCP/IP соответствует сетевому стеку FreeBSD 15 и выделена из данной операционной системы в независимую библиотеку. Для разработки приложений можно использовать стандартный API POSIX (socket, epoll, kqueue) или собственный программный интерфейс на основе микропотоков, упрощающий создание сетевых приложений и позволяющий обойтись без сложной логики асинхронной обработки запросов. Возможно использование с немодифицированными приложениями с загрузкой через LD_PRELOAD.

Наиболее заметные изменения в новом выпуске:

• Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13).
• Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим.
• Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов.
• Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload, вынос на сетевую карту обработки сегментов пакетов) для IPv6.
• Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров.
• Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов
• Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check().
• Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра.
• Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью.
• В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms.
• В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66526

#inktober #inktober2026 (bittober? pixeltober?)
beacon

R=(h,f)=>(x,y)=>y<=h?f(x,y):Math.min(255,Math.max(0,B(f)(x+3*Math.sin(y),h-(y-h)*1.7+Math.sin(x/40))*.9+(50-(y-h)/2.5)+60*Math.sin(7e4/(y-h)**2)*Math.sin(x/15+Math.sin(y)))), B=f=>(x,y)=>f(x+1,y)/3+f(x,y)/3+f(x-1,y)/3, C=(x,y)=>Math.hypot(x,y)<1, F=(x,y)=>C((x-60)/30,(y-50)/30)?220:null, G=(x,y)=>F(x,y)??(y>72&&y<78&&x>150&&x<180?80+(160-x)*2:C((x-165)/4,(y-66)/4)?255:(x+y*3-360)*(x-y*3+30)>0?100:x>160-y/24&&x<170+y/24&&y>60?((y+11)%24<12?70:200)+(160-x)*2:10), R(160,B(G))(x,y)

made with https://iliazeus.lol/bitart

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве

F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов.

Повышение производительности достигается за счёт исключения таких операций, как копирования сетевых пакетов, планирование потоков, обработка прерываний и обращение к системным вызовам. Для взаимодействия с сетевой картой, минуя интерфейсы ядра операционной системы, применяется фреймворк DPDK (Data Plane Development Kit), развивающий набор библиотек для низкоуровневой работы с сетевыми адаптерами. DPDK даёт возможность снизить накладные расходы и уложиться в минимальное число циклов CPU при приёме или отправке сетевых пакетов.

Функциональность стека TCP/IP соответствует сетевому стеку FreeBSD 15 и выделена из данной операционной системы в независимую библиотеку. Для разработки приложений можно использовать стандартный API POSIX (socket, epoll, kqueue) или собственный программный интерфейс на основе микропотоков, упрощающий создание сетевых приложений и позволяющий обойтись без сложной логики асинхронной обработки запросов. Возможно использование с немодифицированными приложениями с загрузкой через LD_PRELOAD.

Наиболее заметные изменения в новом выпуске:

• Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13).
• Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим.
• Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов.
• Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload, вынос на сетевую карту обработки сегментов пакетов) для IPv6.
• Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров.
• Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов
• Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check().
• Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра.
• Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью.
• В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms.
• В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66526

В PyPI-пакет и Docker-образ с LiteLLM подставлено вредоносное ПО

Вредоносный код был подставлен на этапе сборочного процесса без компрометации git-репозитория. После установки вредоносный код активируется до импорта LiteLLM через установку файлов cook.pth, cook.py и sitecustomize.py в директорию с библиотеками Python. Данные файлы запускаются при каждом выполнении Python в системе без необходимости совершения пользователем каких-либо действий.

Вначале Python запускает файл cook.pth, в котором имеется только одна строка "import cook" для импорта скрипта cook.py, собирающего учётные данные. Далее импортируется скрипт sitecustomize.py, применяемый для фоновой загрузки внешнего кода (параметры загрузки определяются по ссылке "raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt"). Вредоносный код в обоих скриптах сжат через zlib и закодирован методом Base64. Индикатором компрометации может служить появление в системе файлов "/tmp/.pc_once_*" и "/tmp/remote_code_loader.lock".

После активации файл cook.py выполняет сканирование параметров подключения к облачным сервисам, репозиториям и системам непрерывной интеграции (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), учётных записей разработчиков, параметров подключения к Git, настроек npm и PyPI, файлов с переменными окружения, закрытых ключей для SSH, PGP и TLS, настроек AI-инструментов, браузерных БД c Cookie, хранимыми данными и историей, информации о процессах и переменных окружения. Обнаруженные данные шифруются с использованием алгоритмов AES-256-CBC + RSA-4096 и отправляются в форме проверочного запроса на сайт litellm.dev, созданный злоумышленниками.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66525

Проблемные корневые сертификаты eMudhra были сгенерированы в HSM и прошли независимый аудит

В процессе генерации ключей произошёл сбой, из-за которого на этапе упаковки/распаковки в HSM (wrap/unwrap, шифрование и расшифровка ключом-обёрткой) в дополнение к основному набору криптостойких ключей был создан второй набор слабых ключей с обнулёнными старшими байтами, который и был задействован в сертификатах. Сбой не был распознан, так как закрытые ключи создаются и хранятся только в HSM и не попадают в открытом виде за его пределы. Причина произошедшего сбоя пока не ясна и компания проводит связанное с этим расследование. Утверждается, что проблемные корневые сертификаты, созданные с использованием слабых ключей, прошли независимый аудит и два года оставались в списке доверенных во всех хранилищах корневых сертификатов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66524

Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP

Несколько месяцев назад компании Calif и Wiz независимо друг от друга при помощи AI-моделей GPT‑5.6 и Gemini 4 Argon выявили рабочие методы эксплуатации проблемы и 11 и 24 августа 2026 года сообщили об этом разработчикам PHP. После этого разработке исправлений был назначен наивысший приоритет и начато реформирование процесса принятия решений для более оперативного реагирования в вопросах, связанных со сложными компромиссами (подобные решения теперь могут приниматься большинством голосов без строгого достижения консенсуса).

Изначально, скоординированная с дистрибутивами дата публикации исправления была назначена на 22 октября, но затем была перенесена на 21 октября после утечки 20 октября в социальные сети сведений о CVE-идентификаторах и некорректных данных о времени публикации предстоящих корректирующих выпусков.

Вскоре после анонса предстоящих исправлений в компания Calif, выявившая одну из уязвимостей, по ошибке опубликовала видеоролик с демонстрацией работы эксплоита, в котором были заметны некоторые детали, позволяющие сузить область поиска и воссоздания информации о проблеме. Ролик был быстро удалён, что лишь подстегнуло у исследователей желание докопаться до сути уязвимости и форсировало работу над альтернативными прототипами эксплоитов.

Помимо этого, за шесть часов до намеченной публикации исправлений компания Chainguard нарушила эмбарго и опубликовала сборки своего дистрибутива, содержащие исправленную версию PHP. Подобное нарушение дало возможность злоумышленникам изучить исправление до официального релиза, а также перечеркнуло всю работу по скоординированному раскрытию информации и одновременной публикации исправлений в разных дистрибутивах.

Дополнение: Спустя 16 часов после раскрытия деталей об уязвимостях универсального рабочего эксплоита ещё не появилось и массовых атак пока не наблюдается, что объясняется сложностью эксплуатации уязвимости из-за необходимости определения раскладки структур в памяти процесса, которая специфична в каждой сборке. Опубликованные рабочие прототипы эксплоитов завязаны на отдельные конфигурации и проведение атаки в лабораторных условиях. Также появилось много фиктивных эксплоитов, являющихся галлюцинациями AI, лишь создающих видимость атаки, завязанных на ошибки в конфигурации или работающих только при наличии других критических уязвимостей.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66523

emulators/wine (re)entering OpenBSD ports

In what might the most surprising port proposal of the year, I'm proud
to present a new port for wine.

talking not about the beverage, but the Windows Emulator that enables running binaries for that operating system on other systems.

Among the editors there is no one with enough recent Windows exposure to comment seriously on this, but we do vaguely remember that a port of this software existed back in the day.

So if this falls withing the things you are interested in or actually need, we would encourage you to read the entire emulators/wine thread and the later supplement on new port: emulators/wine-extras: scripts for winetricks and wine-steam to keep up to date on developments.

Выпуск пользовательского окружения Dux Shell 2.0

Dux Shell поддерживает динамические темы оформления, автоматически применяемые к GTK, Qt и системным приложениям. Цветовые схемы для тем формируются с учётом цвета выбранных обоев рабочего стола. Имеется возможность включения ночного режима работы, а также переключения между светлой и тёмной темами оформления. Функциональность может расширяться через плагины. Код фонового процесса для интеграции с системой, инструментария и инсталлятора написаны на языке Go и распространяются под лиценизей MIT. Компоненты интерфейса, панели, виджеты и графические приложения подготовлены на языке QML с применением фреймворка Quickshell, написанного на C++ с использованием Qt.

В состав входят:

• Панель с виджетами для календаря, прогноза погоды, просмотра истории работы с буфером обмена и интеграции с мультимедийными проигрывателями при помощи протокола MPRIS.
• Интерфейс для навигации по установленным в системе приложениям с поддержкой поиска программ, файлов, открытых окон и команд.
• Центр управления с интерфейсом для настройки сети, Bluetooth, звуковых устройств и экрана.
• Встроенные в управляющий фоновый процесс средства сбора метрик о температуре и потреблении ресурсов CPU, ОЗУ и GPU. Наличие интерфейса для управления запущенными процессами.
• Центр уведомлений, поддерживающий группировку уведомлений, использование разметки в тексте и навигацию при помощи клавиатуры.
• Экран блокировки системы с возможностями управления сеансом. Возможна активация спящего режима или блокировка экрана при определённом периоде неактивности пользователя.
• Экран входа в систему Dux Greeter.
• Универсальный инсталлятор, позволяющий развернуть и настроить окружение на базе Dux Shell в Arch, Fedora, Debian, Ubuntu, openSUSE, Gentoo и Void Linux.
• Инструментарий Dux Search для поиска файлов в системе.
• Календарь-планировщик Dux Calendar, поддерживающий протокол CalDAV и синхронизируемый с сервисами Google и Microsoft.
• Файловый менеджер Dux Files.
• Приложение DuxConnect для интеграции со смартфоном.


Среди изменений в новом выпуске:

• На использование концепции дизайна Material 3 Expressive переведены приложения Settings, Control Center, Dash и виджеты. Реализованы новые управляющие элементы интерфейса, выполнена группировка настроек, предложены новые средства навигации и изменена цветовая схема.
• Расширены возможности для настройки содержимого выпадающей панели Dash, которая теперь не ограничивается встроенными вкладками и позволяет подключать плагины с реализацией дополнительных вкладок. Возможна перегруппировка и изменение размера секций. Передалено оформление встроенных страниц - обзорного режима, мультимедийного проигрывателя и области с прогнозом погоды.
• Добавлена поддержка размещения виджетов на экране блокировки системы, таких как часы, область уведомлений, статусная строка и элементы управления энергопотреблением. Предоставлена возможность настройки шрифтов, цветов, размера и стиля виджетов.
• В мультимедийный проигрыватель добавлен движок для загрузки и синхронизации текстов песен с сервисов Better Lyrics, Unison, LyricsPlus, KuGou, LRCLIB и YouTube Music.
• Представлен обособленный файловый менеджер Dux Files, поддерживающий вкладки, двухпанельный просмотр, отображение содержимого в виде списка или сетки пиктограмм, предпросмотр контента, работу с архивами, поиск файлов и обращение к сетевым хранилищам.
• Добавлен генератор обоев рабочего стола.
• Разрешено размещение нескольких Dock-панелей, закрепление их к любому краю экрана, растяжение по всей ширине, размещение в панели типовых виджетов и плагинов. Предоставлена возможность переключения между компактным режимом отображения пиктограмм и новым режимом панели задач.
• Переделаны плитки быстрого изменения настроек в центре управления.
• В панель Dash добавлена отдельная вкладка для отслеживания времени, проведённого перед экраном, и выставления лимитов ежедневной работы или работы с отдельными приложениями.
• Добавлен новый интерфейс для навигации по каталогу плагинов.
• Расширена интеграция с композитными менеджерами Hyprland, Niri и MangoWC, и добавлена поддержка их новых версий. Реализована поддержка композитных менеджеров Aqueous и Umbriel.
• Добавлена возможность навигации по конфигуратору только при помощи клавиатуры.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66522

dbupdate(8) added to -current

Theo de Raadt (deraadt@) has committed to -current a (WIP) new utility for updating system databases:

CVSROOT:	/cvs
Module name:	src
Changes by:	deraadt@cvs.openbsd.org	2026/10/20 19:08:58

Added files:
	usr.sbin/dbupdate: Makefile dbupdate.8 dbupdate.sh 

Log message:
initial draft of dbupdate(8) for updating (signed) zoneinfo and cert.pem
from a new cdn.openbsd.org/pub/OpenBSD/dbupdates/ directory.  We can't
do this nicely with syspatch(8) because it requires patches in sequence
so a new tool had to be written.  It is intentionally kept very simple
so that it can be studied because we intend to run this in root cron,
(the non-simple parts figure out quickly when not to update).
looked at by sthen beck lucas dgl

Read more…

Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления

• CVE-2026-109618 - удалённое выполнение кода, вызванное тем, что при исчерпании доступной процессу свободной памяти обработчик нехватки памяти через выполнение функции longjmp может прервать PHP-интерпретатор в состоянии, когда инициализирована лишь часть внутренних структур, связанных с обработкой запроса. В последующем функция завершения обработки запроса обращается к этим структурам как к уже инициализированным, хотя память для них не выделена.
• CVE-2026-109619 - удалённое выполнение кода, вызванное обращением к памяти после её освобождения из-за некорректной очистки глобального состояния, привязанного к конкретному запросу. В случае прерывания запроса из-за фатальной ошибки, таймаута или нехватки памяти глобальное состояние может оказаться не сброшено и указатели останутся активны, несмотря на освобождение памяти, на которую они ссылаются. При обработке следующего запроса в том же процессе может произойти обращение по оставшемуся указателю к старому глобальному состоянию.

  Для эксплуатации может использоваться создание условий исчерпания доступной памяти при обработке multipart-запроса в коде для индикации прогресса загрузки (session.upload_progress). При этом в качестве основного и подтверждённого вектора атаки упоминается обработчик fatal_error_backtraces в PHP 8.5, который не сбрасывает состояние трассировки при завершении. В первом случае атака возможна на mod_php и PHP-FPM, а во втором только на mod_php. Также упоминается возможность проведения атаки в конфигурациях, в настройках которых имеются директивы, приводящие к выводу предупреждений на ранней стадии обработки запроса (например, предупреждения об использовании устаревших параметров).

  Заявлено, что полное блокирование уязвимостей возможно только через установку обновления. Следующие меры позволяют снизить вероятность успешного проведения атак, но делают систему полностью безопасной:

  • Выставление параметра "memory_limit=-1", что затрудняет возможность атакующего контролировать исчерпание лимитов на память.
  • Выставление параметра "post_max_size = 8M", если нет необходимости в загрузке больших файлов. Значение параметра "upload_max_filesize" должно быть меньше параметра "post_max_size".
  • Задание лимита на допустимое потребление памяти на системном уровне, через cgroup или параметры потребления памяти контейнером, но не через RLIMIT_AS и RLIMIT_DATA, которые не исключают возможность атаки.
  • Выставление на уровне php.ini или конфигурации сервера (не через ini_set() или FPM .user.ini, так как параметр должен действовать до начала обработки запроса) параметра "session.upload_progress.enabled=0".
  • При использовании выпуска PHP 8.5 следует установить параметр "fatal_error_backtraces=0".
  • Удаление привязанных к отдельным запросам устаревших или ошибочных настроек (типа assert.* и неверных путей в open_basedir), приводящих к выводу диагностических сообщений до инициализации.
  • Устранение ситуаций, приводящих к достижению таймаутов и фатальных ошибок, например, связанных со сбоями в callback-обработчиках и обработкой загрузок.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66520
  

Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления

• CVE-2026-109618 - удалённое выполнение кода, вызванное тем, что при исчерпании доступной процессу свободной памяти обработчик нехватки памяти через выполнение функции longjmp может прервать PHP-интерпретатор в состоянии, когда инициализирована лишь часть внутренних структур, связанных с обработкой запроса. В последующем функция завершения обработки запроса обращается к этим структурам как к уже инициализированным, хотя память для них не выделена.
• CVE-2026-109619 - удалённое выполнение кода, вызванное обращением к памяти после её освобождения из-за некорректной очистки глобального состояния, привязанного к конкретному запросу. В случае прерывания запроса из-за фатальной ошибки, таймаута или нехватки памяти глобальное состояние может оказаться не сброшено и указатели останутся активны, несмотря на освобождение памяти, на которую они ссылаются. При обработке следующего запроса в том же процессе может произойти обращение по оставшемуся указателю к старому глобальному состоянию.

  Для эксплуатации может использоваться создание условий исчерпания доступной памяти при обработке multipart-запроса в коде для индикации прогресса загрузки (session.upload_progress). При этом в качестве основного и подтверждённого вектора атаки упоминается обработчик fatal_error_backtraces в PHP 8.5, который не сбрасывает состояние трассировки при завершении. В первом случае атака возможна на mod_php и PHP-FPM, а во втором только на mod_php. Также упоминается возможность проведения атаки в конфигурациях, в настройках которых имеются директивы, приводящие к выводу предупреждений на ранней стадии обработки запроса (например, предупреждения об использовании устаревших параметров).

  Заявлено, что полное блокирование уязвимостей возможно только через установку обновления. Следующие меры позволяют снизить вероятность успешного проведения атак, но делают систему полностью безопасной:

  • Выставление параметра "memory_limit=-1", что затрудняет возможность атакующего контролировать исчерпание лимитов на память.
  • Выставление параметра "post_max_size = 8M", если нет необходимости в загрузке больших файлов. Значение параметра "upload_max_filesize" должно быть меньше параметра "post_max_size".
  • Задание лимита на допустимое потребление памяти на системном уровне, через cgroup или параметры потребления памяти контейнером, но не через RLIMIT_AS и RLIMIT_DATA, которые не исключают возможность атаки.
  • Выставление на уровне php.ini или конфигурации сервера (не через ini_set() или FPM .user.ini, так как параметр должен действовать до начала обработки запроса) параметра "session.upload_progress.enabled=0".
  • При использовании выпуска PHP 8.5 следует установить параметр "fatal_error_backtraces=0".
  • Удаление привязанных к отдельным запросам устаревших или ошибочных настроек (типа assert.* и неверных путей в open_basedir), приводящих к выводу диагностических сообщений до инициализации.
  • Устранение ситуаций, приводящих к достижению таймаутов и фатальных ошибок, например, связанных со сбоями в callback-обработчиках и обработкой загрузок.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66520
  

Выпуск среды рабочего стола COSMIC 1.11.0

COSMIC развивается как универсальный проект, не привязанный к конкретному дистрибутиву и соответствующий спецификациям Freedesktop. Для построения интерфейса в COSMIC задействована библиотека Iced, которая использует безопасные типы, модульную архитектуру и модель реактивного программирования, а также предлагает архитектуру, привычную для разработчиков, знакомых с языком декларативного построения интерфейсов Elm. Предоставляется несколько движков отрисовки, поддерживающих Vulkan, Metal, DX12, OpenGL 2.1+ и OpenGL ES 2.0+. Разработчикам предлагается готовый набор виджетов, возможность создавать асинхронные обработчики и использовать адаптивную компоновку элементов интерфейса в зависимости от размера окна и экрана.

Помимо использования языка Rust из особенностей COSMIC выделяются режимы гибридной мозаичной компоновки окон и стекового закрепления окон (группировка окон по аналогии со вкладками в браузере), которые могут включаться в привязке к виртуальным рабочим столам. Проектом также разрабатывается композитный сервер cosmic-comp на базе Wayland.

Среди изменений:

• В libcosmic при при обработке ввода текста прекращён перехват нажатия клавиши Escape, что решило проблемы с закрытием некоторых меню по нажатию Escape.
• В библиотеке приложений (cosmic-app-library) реализован переход к первому приложению в результатах поиска при нажатии клавиши управления курсором "вниз". На системах с гибридной графикой обеспечен выбор корректного GPU при запуске игр.
• В композитном сервере (cosmic-comp) реализована поддержка Wayland-протокола "xdg-dialog-v1", позволяющего создавать модальные диалоги, которые блокируют взаимодействие пользователя с остальной частью интерфейса. Реализована отправка команды активации экранной клавиатуры через отдельный D-Bus-сигнал.
• Добавлена ассоциация для открытия текстового редактора Cosmic-edit для JSON-файлов.
• В конфигураторе (cosmic-settings) добавлены опции для перетаскивания объекта двойным касанием по тачпаду (tap&drag) и режима, позволяющего на мгновение оторвать палец от тачпада, не прерывая процесс перетаскивания.
• В интерфейсе запуска приложений задействован поиск без учёта регистра символов и улучшен поиск отдельных слов в скобках. Реализован выбор корректного GPU на системах с гибридной графикой.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66519

Проект LiberNT развивает форк ReactOS, нацеленный на совместимость с Windows 11

Среди достижений проекта:

• Реализация поддержки работы на ARM-платах Raspberry Pi 3 и Raspberry Pi 5, включая драйверы для GPU, звуковой подсистемы и сетевого адаптера.
• Задействование новой системы управления памятью NVS, по заявлению разработчиков работающий быстрее, чем вариант от ReactOS.
• Поддержка запуска Windows-приложений, собранных для архитектуры x86, на системах с архитектурой ARM64 (используется эмулятор FEX).
• Более современные графические драйверы, использующие архитектуру драйверов WDDM и поддерживающие аппаратное ускорение для OpenGL. Новые драйверы пока доступны для плат Raspberry Pi 5 и 3, и находятся на стадии реализации для GPU Intel и AMD.
• Новый стек для систем хранения и USB, включая новые драйверы для устройств NVMe, USB 3.0, SD-карт, сетевых устройств и игровых контроллеров (поддерживаются PlayStation 5 DualSense, PlayStation 5 DualSense Edge и Xbox Series X|S). Новый драйвер для ФС NTFS.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66518

Опрос сопровождающих показал, что 25% pull-запросов являются AI-слопом

Среди других тенденций:

• AI позволил ускорить выполнение задач, связанных с написанием кода, у 52% опрошенных, и обсуждением предложений у 19%. Но 21% респондентов заявили, что применение AI лишь замедлило решение очень сложных задач.
• 66% опрошенных тратят сэкономленное время на устранение технического долга, 63% - на создание новой функциональности (63%) и 58% - на обучение.
• 71% сопровождающих считают, что AI снижает порог вхождения в разработку открытых проектов, но 53% полагают, что применение AI подрывает доверие со стороны сообщества.
• 35% проектов явно обозначили в правилах возможность использования AI, а 32% не имеют подобных правил и не планируют их введение.
• 61% участников разработки заявили, что перед отправкой изменений проводят детальное рецензирование и полное тестирование сгенерированного через AI кода, но не всегда упоминают, что использовали AI.
• 46% сопровождающих полагают, что AI повышает потребность в наставниках для новых участников, а 32% считают, что снижает.
• 52% используют генеративные AI-инструменты ежедневно, 23% - почти каждый день, 20% - еженедельно, 3% - раз в месяц, 2% - реже, чем раз в месяц.
• 20% опрошенных не используют AI, 58% используют AI для задач, не связанных с разработкой, а 59% - для задач, связанных с разработкой.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66517

Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт

В сети уже появились прототипы эксплоитов (1, 2) для проверки подверженности систем уязвимости, достоверность и безопасность которых пока не подтверждена. В примечании к эксплоиту утверждается, что уязвимости вызваны обращением к уже освобождённой памяти в обработчике отслеживания прогресса загрузки файлов на сервер (session.upload_progress).

В качестве обходного пути защиты встречаются рекомендации выставить в php.ini параметр "session.upload_progress.enabled = off" (или "php_admin_flag[session.upload_progress.enabled] = off" в PHP-FPM), но представитель проекта PHP, а также автор первого прототипа эксплоита утверждают, что для блокирования проблемы этого недостаточно. В примечании к второму прототипу эксплоита упоминается, что помимо вышеупомянутой настройки в php.ini для предотвращения атаки требуется блокировка запросов с типом контента "multipart/form-data".

В Apache httpd для блокировки multipart-запросов можно использовать следующее правило в mod_rewrite:

   RewriteCond %{HTTP:Content-Type} multipart [NC]
   RewriteRule ^ - [F,L]

Для блокировки в nginx:

    if ($http_content_type ~* "multipart") {
        return 403;
    }

Для блокировки в Caddy:

   @multipart header_regexp Content-Type (?i)multipart
   respond @multipart 403

Компрометация удостоверяющего центра eMudhra, позволившая получить TLS-сертификаты для любых сайтов

Закрытые ключи были воссозданы исследователями из имеющихся в публичном доступе данных, что стало возможным из-за ошибки в процессе генерации компанией eMudhra ключей на базе эллиптической кривой P-384, из-за которой ключи были сгенерированы с использованием при инициализации целых чисел меньше 256 вместо криптографически стойких случайных чисел. При такой генерации закрытый ключ может быть воссоздан простым перебором первых 256 возможных значений. Так как процедура воссоздания закрытых ключей может быть повторена злоумышленниками всем пользователям рекомендуется срочно обновить браузеры и пакеты с сертификатами.

Экстренно сформированы корректирующие выпуски Firefox 158.0.1, 115.43.1 и 153.5.1, а также библиотеки NSS 3.131.1, в которых обновлено хранилище корневых сертификатов и заблокированы проблемные сертификаты. В Chrome и продуктах Google скомпрометированные сертификаты заблокированы 17 октября, в Apple - 19 октября, а в Microsoft - 20 октября. Блокировка также выполнена через централизованные списки отозванных сертификатов s OneCRL, CRLite и CRLSets.

Пакеты с обновлёнными корневыми сертификатами выпущены для Ubuntu (ca-certificates 20260816ubuntu0.2*.04.1), Arch Linux (ca-certificates-mozilla 3.131.1-1), Gentoo (ca-certificates 20260816.3.125), curl, Homebrew, Go (1.27.3, 1.26.10), Python, RustTLS, Electron и Elixir. Необновлёнными на момент написания новости остаются списки корневых сертификатов в Debian, FreeBSD, Node.js, Bun и Composer.

В качестве доказательства утечки закрытых ключей сообщивший об инциденте исследователь опубликовал сообщение, подписанное закрытыми ключами от каждого из восьми скомпрометированных сертификатов eMudhra. Проверить свой браузер на предмет обновления информации об отозванных сертификатах можно на сайте, посвящённом инциденту.

Для ручного удаления проблемных сертификатов в Debian и Ubuntu можно использовать команду:

   sed -i \
     -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
     -e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \
     /etc/ca-certificates.conf && update-ca-certificates

В Fedora, RHEL, CentOS Stream, Rocky Linux, AlmaLinux и Amazon Linux 2023:

   d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist
   trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-trust

В openSUSE и SLES:

   d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist
trust extract --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-certificates

В NixOS:

   security.pki.caCertificateBlacklist = [
     "Comodo AAA Services root"
     "emSign ECC Root CA - G3"
   ];

В NetBSD:

   certctl untrust /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem &&
   certctl untrust /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem

Компрометация удостоверяющего центра eMudhra, позволившая получить TLS-сертификаты для любых сайтов

Закрытые ключи были воссозданы исследователями из имеющихся в публичном доступе данных, что стало возможным из-за ошибки в процессе генерации компанией eMudhra ключей на базе эллиптической кривой P-384, из-за которой ключи были сгенерированы с использованием при инициализации целых чисел меньше 256 вместо криптографически стойких случайных чисел. При такой генерации закрытый ключ может быть воссоздан простым перебором первых 256 возможных значений. Так как процедура воссоздания закрытых ключей может быть повторена злоумышленниками всем пользователям рекомендуется срочно обновить браузеры и пакеты с сертификатами.

Экстренно сформированы корректирующие выпуски Firefox 158.0.1, 115.43.1 и 153.5.1, а также библиотеки NSS 3.131.1, в которых обновлено хранилище корневых сертификатов и заблокированы проблемные сертификаты. В Chrome и продуктах Google скомпрометированные сертификаты заблокированы 17 октября, в Apple - 19 октября, а в Microsoft - 20 октября. Блокировка также выполнена через централизованные списки отозванных сертификатов s OneCRL, CRLite и CRLSets.

Пакеты с обновлёнными корневыми сертификатами выпущены для Ubuntu (ca-certificates 20260816ubuntu0.2*.04.1), Arch Linux (ca-certificates-mozilla 3.131.1-1), Gentoo (ca-certificates 20260816.3.125), curl, Homebrew, Go (1.27.3, 1.26.10), Python, RustTLS, Electron и Elixir. Необновлёнными на момент написания новости остаются списки корневых сертификатов в Debian, FreeBSD, Node.js, Bun и Composer.

В качестве доказательства утечки закрытых ключей сообщивший об инциденте исследователь опубликовал сообщение, подписанное закрытыми ключами от каждого из восьми скомпрометированных сертификатов eMudhra. Проверить свой браузер на предмет обновления информации об отозванных сертификатах можно на сайте, посвящённом инциденту.

Для ручного удаления проблемных сертификатов в Debian и Ubuntu можно использовать команду:

   sed -i \
     -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
     -e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \
     /etc/ca-certificates.conf && update-ca-certificates

В Fedora, RHEL, CentOS Stream, Rocky Linux, AlmaLinux и Amazon Linux 2023:

   d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist
   trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-trust

В openSUSE и SLES:

   d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist
trust extract --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-certificates

В NixOS:

   security.pki.caCertificateBlacklist = [
     "Comodo AAA Services root"
     "emSign ECC Root CA - G3"
   ];

В NetBSD:

   certctl untrust /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem &&
   certctl untrust /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem

Для ядра Linux реализованы новые файловые системы BeamFS, XMFS и MeshXFS

По умолчанию BeamFS может восстановить до 8 потерянных байт в каждом 255-байтовом блоке при накладных расходах 7% (288 байт кодов восстановления на каждые 4096 байт хранимых данных). Коды коррекции ошибок применяются не только для данных, но и для служебной информации в суперблоке, inode, индексах директорий и битовых картах. Проверка целостности и попытки восстановления недостающих данных осуществляются при каждой операции чтении. Если гарантировать корректность информации не удаётся, операция завершается ошибкой "-EIO", что исключает скрытое возвращение повреждённых данных.

Проведённые эксперименты показали, что при облучении платы i.MX 8M Plus с Linux и ФС ext4 протонами с энергией от 20 до 58 мэВ, 90% всех сбоев возникало на уровне файловой системы и драйверов устройств хранения. Также была проведена симуляция одиночных искажений битов при чтении с носителя: BeamFS и Btrfs успешно распознали повреждение данных и всегда возвращали ошибку, в то время как ext4 и ext3 молча возвращали искажённые данные.

BeamFS обеспечивает целостность и восстановление только на стадии от чтения с физического носителя до передачи в страничный кэш в оперативной памяти. Целость хранения в оперативной памяти может поддерживаться при помощи чипов памяти с коррекцией ошибок. Из ограничений BeamFS отмечается отсутствие поддержки журналирования и режима Copy-on-Write (CoW) - метаданные на накопитель записываются неупорядоченно, поэтому в случае некорректного завершения работы требуется полная проверка при помощи fsck.

Кроме BeamFS недавно для ядра Linux были предложены ещё две файловые системы:

• На прошедшей несколько дней назад конференции Linux Plumbers Conference 2026 инженер из компании Huawei представил (видео, слайды) файловую систему XMFS (cross-node eXpress Memory File System) для ядра Linux, предназначенную для использования в кластерах с общей для всех узлов разделяемой оперативной памятью (как tmpfs, но для памяти всех узлов). XMFS даёт возможность использовать стандартный POSIX-интерфейс файловых систем для работы с внешней памятью, адресуемой напрямую при помощи таких технологий как CXL 3.0 (Compute Express Link) и Huawei United Bus. Проект находится на стадии экспериментального прототипа, проходящего внутреннее тестирование, и пока не готов для передачи в состав ядра.

  Файловая система имеет классическую для распределённых файловых систем архитектуру с выделением сервера, отвечающего за журналирование, поддержание таблиц inode и сопоставление содержимого и метаданных с памятью отдельных узлов.

  

  При тестировании использования XMFS для таких задач как совместный доступ к образам контейнеров с разных узлов реализация показала производительность близкую с tmpfs с включением больших страниц памяти (2 MB huge pages).

  
  
  
  <iframe src="https://www.youtube.com/embed/9qc1dGV1CQw"></center> <li class="l"> При помощи AI подготовлена файловая система <a href="https://github.com/sshoecraft/meshxfs">MeshXFS</a>, представляющая собой форк XFS, адаптированный для одновременного использования на нескольких узлах в кластере. MeshXFS даёт возможность примонтировать общее блочное устройство в режиме чтения-записи на разных узлах, поддерживать целостность и управлять блокировками при одновременном обращении к данным. Проект начинался как эксперимент по проверке возможности создания при помощи AI-моделей Linux-драйвера с файловой системой, поддерживающей распределённые блокировки, параллельный доступ и восстановление после сбоев. Основная работа выполнена при помощи Claude Opus, но для решения особо сложных проблем точечно привлекались модели Claude Fable, GPT, Gemini и Astra. Эксперимент признан успешным и уже опубликовано несколько рабочих релизов MeshXFS. <p>Из дополнительных возможностей, реализованных поверх XFS, отмечены два режима управления распределёнными блокировками (синхронизация по сети и хранение состояния на отдельном общем диске), обеспечение непротиворечивости кэша на разных узлах, ведение журнала для восстановления и адаптация дискового формата и утилит для специфики кластерной ФС. Поддерживается работа с общим хранилищем, подключённым через iSCSI (протестировано на 16 узлах), или при репликации блочного устройства при помощи DRBD. Координация блокировок, функции обнаружения узлов, проверка доступности и определение сбойных узлов реализованы в одном общем модуле ядра. Работа проверена в Proxmox VE 9, RHEL 9, Ubuntu 24.04/26.04 и Debian 12/13. </p> <br /><br>Источник: <b><a href="https://www.opennet.ru/opennews/art.shtml?num=66510">https://www.opennet.ru/opennews/art.shtml?num=66510</a></b></br></li></center></p></center></p></center></li></ul></p></p></p></p>

Немного пвз-фольклора, собирал лично.

- А ты знаешь, что дом на кладбище построен?
- Да знаю, конечно. Наверное, поэтому в нашем ПВЗ такие вещи происходят.
- Надо же! А какие?
- Ну вот сменщица моя, на выходных работает, она тут кукушку слышала.
- Кукушку?
- Ну да, как в лесу сидит кукушка и кукует.
- Мда, до леса тут далековато.
- А я говорю, ну кукушка это ерунда. Вот у меня было один раз, тоже в выходной работала, закрывала пункт, а тут вечером больше никого не было. И сдуру сначала выключила свет тут, а в коридоре у нас и так не горит, там только по датчику. И оказалась в полной темноте. Ну, думаю, сейчас как п...данусь. И тут же как голос такой ехидный слышу, как кто-то смеётся.
- Ничего себе!
А ещё у нас вон в том складе тоже света нету обычно, и всё время когда входишь, кажется, что кто-то чёрный сидит прямо на стеллаже!
А ещё всё время боковым зрением замечаешь, то за шторкой в примерочной кто-то прячется, то с другой стороны тени и шепотки какие-то. Так что мы тут не любим одни оставаться, ну и музычка всё время включена на полную, или кино. Тишины не любим.

(#ленинграднутряной, #фольклор)

Немного пвз-фольклора, собирал лично.

- А ты знаешь, что дом на кладбище построен?
- Да знаю, конечно. Наверное, поэтому в нашем ПВЗ такие вещи происходят.
- Надо же! А какие?
- Ну вот сменщица моя, на выходных работает, она тут кукушку слышала.
- Кукушку?
- Ну да, как в лесу сидит кукушка и кукует.
- Мда, до леса тут далековато.
- А я говорю, ну кукушка это ерунда. Вот у меня было один раз, тоже в выходной работала, закрывала пункт, а тут вечером больше никого не было. И сдуру сначала выключила свет тут, а в коридоре у нас и так не горит, там только по датчику. И оказалась в полной темноте. Ну, думаю, сейчас как п...данусь. И тут же как голос такой ехидный слышу, как кто-то смеётся.
- Ничего себе!
А ещё у нас вон в том складе тоже света нету обычно, и всё время когда входишь, кажется, что кто-то чёрный сидит прямо на стеллаже!
А ещё всё время боковым зрением замечаешь, то за шторкой в примерочной кто-то прячется, то с другой стороны тени и шепотки какие-то. Так что мы тут не любим одни оставаться, ну и музычка всё время включена на полную, или кино. Тишины не любим.

(#ленинграднутряной, #фольклор)

#интересное
«Алиса в Стране чудес» (1915)
Это отрывок из американской немой экранизации режиссера У. У. Янга с 15-летней Виолой Савой в роли Алисы. Создатели фильма вдохновлялись знаменитыми рисунками Джона Тенниела и воссоздали их с помощью гигантских костюмов и практических спецэффектов, сделав Страну чудес удивительно ощутимой.

External Attachment:

Не то, чтоб я куда-то пропадал, так - взял небольшую паузу, закрыл ноутбук с личным, да как-то и не открывал, пока туда не пришли налоги.

Социальная батарейка разрядилась. А, может, основная тоже подсела и включился режим энергосбережения. Наверное, это всё осень. Причём осень в таком глобальном смысле, не только погодном. Где-то с сентября не проходит ощущение, что всё летит в пизду мир вокруг в целом увядает, как в "Лангольерах" Стивена Кинга. Все чувствуется каким-то странноватым, если чуть притормозить и распробовать на языке.

Район, где я живу, стареет. На мусорных площадках почти каждый день вывалены чьи-то сокровища прошлого тысячелетия, что уже почти никому не нужны - фрагменты советских мебельных стенок, телевизоры, стеклянные банки, матрасы, стулья, сервизы. Понятно, что и бывший владелец тоже, скорее всего, уже не с нами, неважно в каком смысле. А его панельное или кирпичное обиталище в последний, наверное, раз сейчас вычистят, рассверлят как многократно пломбируемый зуб, заклеят, замажут, поставят коронки и попытаются купить ему ещё пять или десять лет жизни, прежде чем будет вынесен неизбежный вердикт - "рвать". И даже деревья во дворах, моя любимая часть городского пейзажа, устали и только за эту осень упало штук пять, разбивая припаркованные под ними машины.

Машины во дворах тоже изменились - часть современных автомобилей как-то незаметно стала подзабытыми уже паджериками, гольфами и прочей живностью ушедшей эпохи. Оно, конечно, понятно, что на фоне бензиновых проблем вспомнили про то, что пожилой батя хранил в гараже и никак не собрался продать, а, может, и не мог - пыльное, помятое и немного (или весьма) ржавое, но слегка бессмертное, да ещё и на дизеле.

Вскоре после "выборов" ранним утром поехал на велосипеде по городу через центр. На своём пути наткнулся там на длинный коридор из ограждений, к которому вскоре добавилось довольно многочисленное присутствие полиции. Никаких мероприятий не ожидалось, но на всякий случай я с этой набережной уехал и покатил параллельно - и догнал шеренгу людей, куда-то сосредоточенно бредущих, но куда? Их было много, несколько сотен, на вид абсолютно разные и обычные, но про какие-то мероприятия я не слышал, да и куда можно вот так молча идти в восемь утра? Дома посмотрел новости и оказалось, что "в Москву привезли мощи Спиридона Тримифунтского, которому верующие молятся о деньгах, работе, жилье и помощи в сложных жизненных ситуациях".

На велосипеде вообще ездил много, хоть и не слишком далеко - так, километров по 50-100. Починил термос, брал с собой чай и пил его в разных местах Москвы и около. Так чай гораздо вкуснее. В одном знакомом лесу набрёл на башню ПВО. Эта находка тоже отозвалась всё тем же - посреди леса вырублена свежая площадка размером со футбольное поле и в её середине высится огромный параллелепипед из ферм с зениткой наверху. Практический смысл понятен, но ощущается это как нечто почти религиозное, проникшее из параллельной вселенной Вархаммера.

Петербург пережил крупную атаку дронов, родные пенаты тоже зацепило. Но родители не в курсе. Пожилые люди спят со снотворным и взрывы в соседнем районе не слышали, встали тоже поздно и, хотя отключение электричества в доме случилось, это тоже осталось незамеченным. А в телевизионных новостях это событие почти не получило освещения, поэтому в их мире его и не случилось. Такая вот ещё одна ветка параллельной вселенной, которая тоже угасает - но по-своему.

This is fine.
#ТакиеДела

Релиз OpenBSD 8.0

Кроме непосредственно операционной системы, проект OpenBSD известен своими компонентами, которые получили распространение в других системах и зарекомендовали себя как одни из наиболее безопасных и качественных решений. Среди них: LibreSSL (форк OpenSSL), OpenSSH, пакетный фильтр PF, демоны маршрутизации OpenBGPD и OpenOSPFD, NTP-сервер OpenNTPD, почтовый сервер OpenSMTPD, мультиплексор текстового терминала (аналог GNU screen) tmux, демон identd с реализацией протокола IDENT, BSDL-альтернатива пакету GNU groff - mandoc, протокол для организации отказоустойчивых систем CARP (Common Address Redundancy Protocol), легковесный http-сервер, утилита синхронизации файлов OpenRSYNC.

OpenBSD 8.0 стал 61 релизом проекта. Значительное изменение номера версии обусловлено использованием десятичной нумерации, в соответствии с которой следом за выпуском 7.9 следует 8.0. Основные изменения:

• Для архитектуры amd64 размер виртуального адресного пространства увеличен с 4 до 512 ГБ. В модуле pmap реализована рандомизация базового адреса прямого отображения (direct map) всей физической памяти на виртуальные адреса.
• На системах с архитектурой arm64 реализована поддержка спящего режима с сохранением содержимого памяти на диск (hibernate).
• Для архитектур arm64 и riscv64 добавлена поддержка промежуточных буферов (bounce buffer), применяемых при невозможности прямой адресации всей памяти со стороны устройства, передающего данные в режиме DMA.
• Для ускорения шифрования данных в разделе подкачки (swap) на системах amd64 и arm64 задействованы AES-инструкции CPU. * Для архитектуры riscv64 реализовано определение поддерживаемых расширений CPU и передача сведения о них в пространство пользователя при использовании флагов AT_HWCAP и AT_HWCAP2 в функции elf_aux_info. Добавлена поддержка расширении "V" (векторные операции), Sstc (операции с таймером) и AIA (Advanced Interrupt Architecture, обработка прерываний), а также драйверов imsi и aplic для соответствующих контроллеров прерываний.
• Порт для архитектуры sparc64 переведён на использование инструментария LLVM.
• Прекращена поддержка аппаратной платформы Loongson добавленной в 2010 году для MIPS-совместимых китайских процессоров Loongson 2E и 2F. Причиной удаления стали проблемы со сборкой для платформы mips64el в новых версиях компилятора Clang.
• Реализация фреймворка drm (Direct Rendering Manager) и графических драйверов для GPU AMD (radeondrm, amdgpu) и Intel синхронизирована с ядром Linux 6.18.53 (в прошлом выпуске - 6.18.22). В драйвер inteldrm перенесена поддержка графических карт Intel серии Arc A (DG2/Alchemist). Решены проблемы с появлением таймаутов на системах с GPU Intel Alder Lake. Добавлена поддержка адресации более 4 ГБ видеопамяти.
• В ядре улучшена эвристика обработки неактивных страниц памяти при вытеснении в раздел подкачки и освобождении памяти. Добавлена функция getexecpath для определения абсолютного пути к исполняемому файлу текущего процесса. Проведена подготовка для увеличения размера дисковых меток (disklabel).
• Расширена поддержка спящего режима, который теперь корректно поддерживается в драйверах qwz (Qualcomm Wi-Fi 7 IEEE 802.11a/ac/ax/b/g/n), ufshci (Universal Flash Storage Host Controller) и qcuart (Qualcomm GENI UART). Изменения позволили решить проблемы с переходом в спящий режим ноутбуков и планшетов, таких как Samsung Galaxy Book4 Edge, HONOR MagicBook Art 14 Snapdragon и IdeaPad. Добавлен глобальная переменная для перехода в спящий режим, разделяющая гибернацию и ждущий режим.
• В гипервизоре vmd появилась поддержка многопроцессорности в виртуальных машинах с возможностью использования до 64 виртуальных CPU. Для гостевых систем реализован режим x2apic, а также режимы lapic и ioapic для запуска 32-разрядных гостевых систем с Linux. Улучшена работа с образами в формате qcow.
• В звуковом сервере sndiod реализован серверный режим управления, позволяющий динамически менять настройки утилитой sndioctl. В sndioctl появилась поддержка добавления и удаления элементов списков, а также настройки проброса MIDI-портов.
• Расширена поддержка оборудования и добавлены новые драйверы для Ethernet-контроллеров Intel E610, Panther Lake и Wildcat Lake, сенсорных экранов GXTP7936 (Samsung Galaxy Book4 Edge), PCIe-контроллера SpacemiT K3, SABI (Samsung Advanced BIOS Interface), контроллеров заряда Samsung, OTP-памяти Rockchip, APU AMD "Krackan Point", SoC SpacemiT K3 и Qualcomm Glymur (X2). Внесены многочисленные улучшения в драйвер qwx (Qualcomm Wi-Fi 6 IEEE 802.11a/ac/ax/b/g/n).
• В acme-client добавлена поддержка масок при задании альтернативных имён.
• В tmux реализован безрамочный режим показа меню, расширена поддержка UTF-8, добавлена команда "T" для изменения заголовка панели, добавлена команда refresh-now, в команду new-pane добавлена поддержка модальных панелей (-O) и флаг "-K" для в подобных панелях всех нажатий клавиш, в команду capture-pane добавлены флаги "-H" и "-L" для показа гиперссылок и номеров строк.
• В LibreSSL улучшена совместимость с AIX, FreeBSD, macOS, MinGW, NetBSD и Windows, а также улучшена поддержка кода на языке ассемблера для разных платформ. Добавлен API dtls12_handshake_msg. Повышена производительность SHA-3.
• Обновлён OpenSSH, cписок изменений можно посмотреть в анонсах OpenSSH 10.4, OpenSSH 10.5 и OpenSSH 10.6.
• Число портов для архитектуры AMD64 составило 13060 (было 13044), для aarch64 - 12907 (было 12883), для i386 - 10659 (было 10631). Среди версий приложений в портах:
  • Asterisk 20.21.0 and 22.11.0
  • Audacity 3.7.9
  • CMake 4.3.5
  • Chromium 154.0.8037.92
  • Emacs 31.1
  • FFmpeg 9.0.2
  • GCC 16.1.0
  • GHC 9.10.3
  • GNOME 49
  • Go 1.27.1
  • JDK 11.0.32, 17.0.20, 21.0.12 и 25.0.4
  • KDE Plasma 6.7.5, KDE Gear 26.08.1, KDE Frameworks 6.30.0
  • Krita 6.0.3
  • LLVM/Clang 21.1.8 и 22.1.8
  • LibreOffice 26.8.0.3
  • Lua 5.1.5, 5.2.4, 5.3.6, 5.4.8 и 5.5.1
  • MariaDB 12.3.3
  • Mono 6.14.1
  • Mozilla Firefox 157.0 и ESR 153.4.0
  • Mozilla Thunderbird 153.4.0
  • Mutt 2.4.2 и NeoMutt 20260616
  • Node.js 24.21.0 и Deno 2.9.7
  • OCaml 4.14.2
  • OpenLDAP 2.6.15
  • PHP 8.3.33, 8.4.26 и 8.5.11
  • Postfix 3.5.28 и 3.11.7
  • PostgreSQL 18.6
  • Python 2.7.18 и 3.14.7
  • Qt 5.15.19 (+ патчи от kde) и 6.11.2
  • R 4.6.1
  • Ruby 3.3.12, 3.4.11 и 4.0.7
  • Rust 1.98.1
  • SQLite 3.53.2
  • Shotcut 26.8.1
  • Sudo 1.9.17p2
  • Suricata 7.0.7
  • Tcl/Tk 8.5.19, 8.6.18 и 9.0.4
  • TeX Live 2026
  • Vim 9.2.1125, Neovim 0.12.5 и Vim-Classic 2026091
  • Wayland 1.26.0 и композитные менеджеры CoW, Labwc, Mango, Niri, Sway, Wayfire
  • Vulkan 1.4.357.0
  • Xfce 4.20.0
  • Обновлены компоненты от сторонних разработчиков, входящие в состав OpenBSD 8.0:
    • Графический стек Xenocara на базе X.Org 7.7 с xserver 21.1.24 + патчи, freetype 2.14.3, fontconfig 2.17.1, Mesa 25.0.7, xterm 410, xkeyboard-config 2.20, fonttosfnt 1.2.5.
    • LLVM/Clang 22.1.6 (+ патчи)
    • GCC 4.2.1 (+ патчи)
    • Perl 5.42.3 (+ патчи)
    • NSD 4.15.2.
    • Unbound 1.26.1.
    • Ncurses 6.4
    • Binutils 2.17 (+ патчи)
    • Gdb 6.3 (+ патчи)
    • Awk 20250116
    • Expat 2.8.4
    • zlib 1.3.2 (+ патчи)
    
    
    Источник: https://www.opennet.ru/opennews/art.shtml?num=66508
    

Procession of Fools \\ HAPPY BIRTHDAY, #OPENBSD!

#unix_surrealism #technomage #comic #analognowhere #phone_bad_book_good #mobilek #ai

"Государство – необходимейшее орудие для полного развития человечества". Таковым оно, конечно, было, пока мы хотели развивать человечество; но, когда мы хотим развивать самих себя, оно станет для нас только препятствием.

Макс Штирнер, "Единственный и его собственность"
#ЧтоПочитать #ФедиЧитает

Выпуск CRIU 4.3, системы для сохранения и восстановления состояния процессов в Linux

Из областей применения технологии CRIU отмечается обеспечение перезагрузки ОС без нарушения непрерывности выполнения длительно выполняемых процессов, Live-миграция изолированных контейнеров, ускорение запуска медленных процессов (можно начать работу с состояния, сохранённого после инициализации), проведение обновлений ядра без перезапуска сервисов, периодическое сохранение состояния длительно выполняемых вычислительных задач для возобновления работы в случае аварийного завершения, балансировка нагрузки на узлы в кластерах, дублирование процессов на другую машину (fork на удалённую систему), создание снапшотов пользовательских приложений в процессе работы для их анализа на другой системе или на случай если потребуется отменить дальнейшие действия в программе.

В новом выпуске:

• Реализована возможность сжатия блоков и страниц памяти с использованием алгоритма LZ4 и многопоточной распаковкой.
• Повышена производительность благодаря задействованию асинхронного ввода/вывода (AIO) при восстановлении страниц VMA (Virtual Memory Area ), новому методу остановки задач без применения аппаратных точек останова и распараллеливанию восстановления memfd и анонимной разделяемой памяти.
• Добавлена поддержка расширения ARM64 GCS (Guarded Control Stack), обеспечивающего аппаратную защиту адресов возврата из функций. После передачи управления функции, адреса возврата сохраняются процессором не только в обычном стеке, но и в отдельном теневом стеке, который не может быть изменён напрямую. Перед выходом из функции адрес возврата извлекается из теневого стека и сверяется с адресом возврата из основного стека.
• Добавлен бэкенд для сохранения состояния API драйвера NVIDIA CUDA.
• Обеспечено восстановление маппинга GPU.
• Для драйвера amdgpu реализовано сохранение и восстановление состояния буферов подсистемы DRM (Direct Rendering Manager) и файловых дескрипторов DMA-BUF.
• Добавлены команды для сжатия и распаковки образов памяти в offline-режиме.
• Добавлена поддержка сохранения и восстановления информации о привязке UID-идентификаторов к сетевым сокетам.
• Добавлена опция "--image-io-mode" для записи и чтения образов страниц памяти в режиме O_DIRECT (в обход страничного кэша).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66509

OpenBSD 8.0 Released

The OpenBSD project has announced OpenBSD 8.0, its 61^st release.

The new release contains a number of significant improvements, including but certainly not limited to:

• OpenBSD/amd64 kernel virtual address space is now 512GB [See earlier report]
• Mitigation for AMD Zen-2 operation cache corruption added [See commit]
• OpenBSD now uses AES instructions (on amd64 and arm64 when available) to increase speed of swap encryption/decryption [See commit]
• The OpenBSD/loongson hardware platform has been retired [See earlier report]
• getexecpath(3) added [See commit]
• drm(4) has been updated to Linux 6.18.53
• vmm(4)/vmd(8) improvements:
  • files are now used to manage VM ownership [See earlier report]
  • multi-processor VMs are now supported [See earlier report]
• WPA3 support introduced [See earlier report]
• syslogd(8) privileged and non-privileged parts now separate binaries [See earlier report]
• qwz(4) driver for Qualcomm Technologies WCN7850 wireless network devices added [See commit]
• PF queues break the 4 Gbps barrier [See earlier report]
• httpd(8) and smtpd(8) are now randomly relinked at boot [See earlier report]
• httpd(8) has seen many improvements:
  • support for custom HTTP headers [See earlier reports]
  • header block/drop rules for request filtering [See earlier report]
  • improved default crypto methods for HTTPS [See earlier report]
  • cache control for static files [See commit]
• relayd(8) has received several improvements:
  • improved default crypto methods for HTTPS [See earlier report]
  • support for ECDSA keys and certificates was added [See earlier report]
  • filter rules gained support for Lua patterns(7) [See earlier report]
  • support for multiple resolvable addresses [See commit]
• rtrd(8), a RTR-To-Router protocol daemon, and its control program, rtrctl(8), were imported [See earlier report]
• acme-client(1) gained support for external account binding [See commit]
• Several improvements in OpenBGPD [See earlier reports]
• A number of incremental improvements in rpki-client(8) [See earlier reports]
• tmux(1) gained support for floating panes [See commit]
• LibreSSL 4.4.0 [See earlier reports]
• OpenSSH 10.6 [See earlier reports]
• llvm/clang(1)/lld(1) updated to version 22.1.6 [See earlier report]
• LLVM toolchain added to OpenBSD/sparc64 [See earlier report]
• compiler-rt, libunwind, libcxxabi, libcxx updated to version 22.1.8

In addition, this release offers a number of bug fixes and as well as numerous improvements in hardware support.

See the full changelog for more details of the changes made over this latest six month development cycle.

The Installation Guide details how to get the system up and running with a fresh install, while those who already run earlier releases should follow the Upgrade Guide, in most cases using sysupgrade(8).

Readers are encouraged to celebrate the new release by donating to the project to support further development of our favourite OS!

OpenBSD 8.0 Released

The OpenBSD project has announced OpenBSD 8.0, its 61^st release.

The new release contains a number of significant improvements, including but certainly not limited to:

• OpenBSD/amd64 kernel virtual address space is now 512GB [See earlier report]
• Mitigation for AMD Zen-2 operation cache corruption added [See commit]
• OpenBSD now uses AES instructions (on amd64 and arm64 when available) to increase speed of swap encryption/decryption [See commit]
• The OpenBSD/loongson hardware platform has been retired [See earlier report]
• getexecpath(3) added [See commit]
• drm(4) has been updated to Linux 6.18.53
• vmm(4)/vmd(8) improvements:
  • files are now used to manage VM ownership [See earlier report]
  • multi-processor VMs are now supported [See earlier report]
• WPA3 support introduced [See earlier report]
• syslogd(8) privileged and non-privileged parts now separate binaries [See earlier report]
• qwz(4) driver for Qualcomm Technologies WCN7850 wireless network devices added [See commit]
• PF queues break the 4 Gbps barrier [See earlier report]
• httpd(8) and smtpd(8) are now randomly relinked at boot [See earlier report]
• httpd(8) has seen many improvements:
  • support for custom HTTP headers [See earlier reports]
  • header block/drop rules for request filtering [See earlier report]
  • improved default crypto methods for HTTPS [See earlier report]
  • cache control for static files [See commit]
• relayd(8) has received several improvements:
  • improved default crypto methods for HTTPS [See earlier report]
  • support for ECDSA keys and certificates was added [See earlier report]
  • filter rules gained support for Lua patterns(7) [See earlier report]
  • support for multiple resolvable addresses [See commit]
• rtrd(8), a RTR-To-Router protocol daemon, and its control program, rtrctl(8), were imported [See earlier report]
• acme-client(1) gained support for external account binding [See commit]
• Several improvements in OpenBGPD [See earlier reports]
• A number of incremental improvements in rpki-client(8) [See earlier reports]
• tmux(1) gained support for floating panes [See commit]
• LibreSSL 4.4.0 [See earlier reports]
• OpenSSH 10.6 [See earlier reports]
• llvm/clang(1)/lld(1) updated to version 22.1.6 [See earlier report]
• LLVM toolchain added to OpenBSD/sparc64 [See earlier report]
• compiler-rt, libunwind, libcxxabi, libcxx updated to version 22.1.8

In addition, this release offers a number of bug fixes and as well as numerous improvements in hardware support.

See the full changelog for more details of the changes made over this latest six month development cycle.

The Installation Guide details how to get the system up and running with a fresh install, while those who already run earlier releases should follow the Upgrade Guide, in most cases using sysupgrade(8).

Readers are encouraged to celebrate the new release by donating to the project to support further development of our favourite OS!

Доступен порт Wine для OpenBSD

Из ограничений порта отмечается возможность запуска только 64-разрядных программ Windows (режим WoW64 для выполнения 32-разрядных Windows-приложений в 64-разрядных Unix-системах пока не работает). В качестве примера продемонстрирован запуск в OpenBSD игры "The Witcher 3: Wild Hunt - Remastered" с использованием wine и vkd3d-proton. Из планов упоминается намерение задействовать системный вызов unveil для изоляции.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66507

NotQuiteRSS - развитие QuiteRSS с поддержкой Qt 6 и без встроенного браузера

Основное архитектурное отличие от QuiteRSS - полный отказ от встроенного браузерного движка QtWebKit без замены его на QtWebEngine. Статьи отображаются средствами QTextBrowser и QTextDocument. Вместо Qt Multimedia для воспроизведения звуковых уведомлений задействована библиотека miniaudio со встроенной поддержкой WAV, MP3 и FLAC, не требующей установки плагинов GStreamer.

Перед показом HTML проходит обработку по списку разрешённых элементов и атрибутов: удаляются скрипты, фреймы, формы и другие неподдерживаемые конструкции. JavaScript не исполняется, а ссылки на сайты открываются во внешнем браузере. Для HTTPS требуется TLS 1.2 или новее и проверка сертификатов. Ограничиваются размеры ответов и перенаправления, запрещено перенаправление с HTTPS на HTTP. Изображения статей загружаются отдельно от лент, без передачи их учётных данных и Cookies. Анимация изображений в скрытых частях страницы приостанавливается.

При этом приложение не превращено в список ссылок. В нём сохранены чтение статей с форматированием и изображениями, газетный режим, вкладки лент и категорий, поиск внутри статьи, масштабирование, печать и экспорт. Ограничением является отсутствие полноценной встроенной вёрстки HTML/CSS (для просмотра исходной страницы может вызываться внешний браузер).

Среди возможностей и доработок NotQuiteRSS:

• Поддерживается работа с базой SQLite в оперативной памяти с сохранением на диск через заданный интервал и при штатном завершении. Исправлены нежелательные сохранения при сворачивании в трей и обработка ошибок записи.
• Резервные копии можно создавать вручную, по расписанию, при изменении подписок и выходе из приложения. Настраивается количество сохраняемых комплектов. Предусмотрены сокращённые копии, содержащие только избранные или помеченные статьи, а также полные страховочные копии перед обновлением структуры базы.
• Исправлено неограниченное накопление служебных записей об удалённых публикациях при использовании очистки по сроку публикации. Доработаны удаление старых статей, обнаружение дубликатов и обработка ошибок базы.
• Для выбранных лент можно одновременно менять расписание обновлений, загрузку изображений, направление текста и параметры колонок. Фильтры статей могут распространяться на все ленты, включая добавленные впоследствии.
• Доступны настройка User-Agent и отдельные правила для доменов, включая параметры GET/POST. Для сайтов с браузерной проверкой предусмотрен выборочный импорт Cookies в формате Netscape. Cloudflare и Anubis распознаются с выводом понятной диагностики, но успешное прохождение проверки через импорт Cookies не гарантируется.
• Темы оформления, переводы и сервисы отправки ссылок вынесены во внешние ресурсы. Есть OLED-тема, улучшенные пиктограммы для HiDPI и возможность возвращать фокус агрегатору после открытия статьи во внешнем браузере.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66502

Terraphim - приватный локальный AI-ассистент и поисковый движок по графам знаний

Вместо нейросетевых векторов используются детерминистические графовые эмбеддинги и сопоставление шаблонов на базе алгоритма Ахо-Корасик по ролевым тезаурусам - каждое совпадение прослеживается до понятия в графе знаний и занимает меньше миллисекунды. Один запрос покрывает несколько источников: локальные файлы, Confluence, Jira, Discourse, почту и grepapp.

Для AI-агентов есть MCP-сервер (подключение локальных графов знаний к ассистентам), CLI terraphim-agent (поиск по сессиям Claude Code и Cursor, фиксация ошибок и извлечённых уроков), а также хуки до и после вызова инструментов. Отдельно доступен редактор Terraphim с предложением альтернативных формулировок на основе графа знаний.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66505

Выпуск OpenWrt 25.12.6

Среди изменений:

• Добавлена поддержка устройств:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
  • Добавлены новые варианты сборок для ранее поддерживаемых устройств на чипах mediatek: Cudy M3000 v1/v2 и Cudy M3000 v2 - добавлены образы с U-Boot.
  • Внесены исправления, связанные с работой платформ:
    • ath79: GL.iNet GL-E750 (Mudi) V2.
    • bcm47xx: Gateworks Ventana, Traverse Ten64.
    • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
    • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i .
    • mvebu: Turris MOX.
    • qualcommax: ASUS RT-AX89X.
    • realtek: D-Link DGS-1210-28P/MP.
    • rockchip: NanoPi R3S (1 GB).
    • sunxi: NanoPi NEO 2.
    • Настройки WPA3 изменены для соответствия рекомендациям, указанным в спецификации WPA3:
      • По умолчанию отключена поддержка шифра GCMP-256 и алгоритма управления ключами SAE-EXT-KEY в режимах sae (WPA3-Personal) и sae-mixed (WPA2/WPA3).
      • При активном режиме защиты кадров (PMF / 802.11w) включён по умолчанию механизм Beacon Protection, предназначенный для защиты от активных атак на беспроводную сеть, манипулирующих изменением кадров Beacon.
      • Добавлен новый режим совместимости с WPA3-Personal - sae-compat, позволяющий клиентам WPA2 продолжать использовать сеть WPA2, но клиентов с поддержкой RSN (Robust Security Network) перебрасывающий на WPA3.
      • Добавлена опция transition_disable для запрета отката клиентов на старые режимы безопасности в сети с WPA3.
      • В пакете wifi-scripts возобновлена поддержка 802.11ad (60 GHz) и налажена работа опции multicast_to_unicast.
      • В DHCP-клиент добавлена опция "sendclientid" для переопределения идентификатора клиента DHCPv4 и DHCPv6.
      • В web-интерфейсе LuCI предложена новая опциональная тема оформления "luci-theme-footstrap". В тему "luci-mod-dashboard" добавлены интерактивные графики и возможность настройки расположения элементов. Добавлены новые приложения luci-app-librespeed и luci-app-weechat.
      • Обновлены версии ядра Linux 6.12.112 (было 6.12.94), OpenSSL 3.5.9, Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c и iwinfo.
      • Обновлены версии curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1, BIND 9.20.29, OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2 1.70.0, libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17, PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2, xz 5.8.3 и rsync 3.5.1 с устранением уязвимостей.
      • Устранены удалённо эксплуатируемые уязвимости в сетевых сервисах, включённых по умолчанию:
        • uhttpd - переполнение буфера через манипуляцию с параметром в запросах "POST /ubus/call/", а также несколько DoS-уязвимостей и возможность вклинивания в чужие запросы.
        • 16 уязвимстей в Mbed TLS (используется по умолчанию в uhttpd, hostapd и wpa_supplicant), среди которых удалённое переполнение буфера, эксплуатируемое в конфигурациях (D)TLS с набором шифров ECDHE-PSK.
        • hostapd и wpa_supplicant - повреждение памяти при обработке специально оформленных управляющих кадров (атака возможна без аутентификации) в сетях WiFi 7.
        • rpcd - две уязвимости, приводящие к повышению привилегий из-за проблем при обработке символических ссылок и размещения токена привилегированного сеанса во временном каталоге.
        • cgi-io - обращение к памяти после освобождения при декодировании специально оформленных POST-запросов.
        • web-интерфейс LuCI: несколько уязвимостей, позволяющих непривилегированному пользователю выполнить код с правами root.
        • ead-client (Emergency Access Daemon client): переполнение буфера при обработке специально оформленных поддельных сообщений от сервера.
        • Несколько десятков уязвимостей в OpenSSL и wolfSSL.
        
        
        Источник: https://www.opennet.ru/opennews/art.shtml?num=66504
        

Game of Trees 0.130 released

Version 0.130 of Game of Trees has been released (and the port updated).

Complete release notes are as follows:

Read more…

тирана, албания, 15 октября

External Attachment: люди на скамейке любуются закатом пока продолжается демонстрация people sit on a bench in tirana, albania, and watch beautiful sunset while there's an ongoing demonstration