Tämä melkein lipsahti ohi ellei puoliso olisi tästä maininnut. Oikein tyylikästä ja jouheaa (ha) dark folkkia suomeksi Porista.

Noiduin-ryhmän "Lovi"-levy: https://album.link/i/1810050783 (löytyy myös bandcampistä).

#darkfolk #musadontti

PHP намерены перевести на лицензию BSD-3, совместимую с GPL

Лицензия BSD-3 совместима с GPL и широко признана в сообществе, в отличие от ранее применявшихся лицензий. Лицензия PHP одобрена организацией Open Source Initiative (OSI), но признана несовместимой с GPL Фондом СПО из-за пункта, не позволяющего без получения письменного разрешения использовать слово PHP для продвижения производных продуктов. Разработчики Debian критиковали лицензию PHP из-за привязки к продуктам от PHP Group.

Изначально ветки PHP 1.x и 2.x поставлялись под лицензией GPLv2, но ветка PHP 3 была переведена на использование двух лицензий - PHP License и GPL. В PHP 4 лицензия была изменена ещё раз - основной код стал распространяться только под лицензией PHP License, а движок Zend Engine, являющийся основной интерпретатора PHP, был размещён в подкаталоге "Zend/" под отдельной лицензией Zend Engine License. Zend Engine License, как и PHP License, содержит ограничения в отношении использования слова Zend в производных продуктах, но дополнительно требует упоминания использования движка в рекламных материалах.

После перехода на новую лицензию авторские права всех участников разработки сохранятся, а права пользователей останутся без изменений. Новая лицензия не налагает дополнительных ограничений и не ущемляет имеющихся прав по использованию, модификации и распространению продукта. Лицензии PHP и Zend основаны на тексте 4-пунктовой лицензии BSD и переход на лицензию BSD-3 лишь приведёт к удалению пунктов, определяющих требования в отношении использования бренда "PHP", а также к прекращению действия условия, предписывающего упоминать об использовании свободного проекта PHP в производных продуктах.

Переход на лицензию BSD не требует подтверждения согласия от всех разработчиков, но нуждается в утверждении со стороны компании Perforce Software, которой принадлежит компания Zend Technologies. Отмечается, что вопрос смены лицензии уже неформально согласован с Perforce и осталось лишь получить официальное юридически значимое письменное подтверждение. Текст лицензий PHP и Zend предоставляет PHP Group полномочия вносить изменения в лицензию и выпускать новые версии лицензии. Поэтому процесс перехода на новую лицензию будет оформлен как обновление кода до новых версий лицензией PHP License v4 и Zend Engine License v3, текст которых будет совпадать с текстом лицензии BSD-3.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63580

Проект OpenCut развивает открытую альтернативу видеоредактору CapCut

Из достоинств нового проекта отмечается забота о конфиденциальности пользователей (видеоролики редактируются на локальной системе и не передаются вовне) и бесплатное распространение, не требующее покупки отдельных функций или платной подписки для отключения водяного знака. Среди заявленных возможностей: монтаж видео на основе временной шкалы, предпросмотр в режиме реального времени и многотрековое редактирование. К разработке уже присоединилось более 40 участников и проект набрал почти 22 тысяч звёзд на GitHub.

На текущем этапе разработки завершено создание базовых компонентов построения интерфейса пользователя и ведётся работа над основной функциональностью, такой как масштабирование шкалы времени, изменение продолжительности клипов, выделение областей и навигации по фрагментам, а также возможностями для экспорта, предпросмотра и отрисовки видео. На следующем этапе планируют приступить к разработке фильтров, инструментов для работы с текстом и эффектов.

Изначально проект был создан под именем AppCut, но затем был переименован в OpenCut. Вероятно разработчики будут вынуждены переименовать программу ещё раз, так как проекту предъявлены претензии о нарушении торговой марки OpenCut, зарегистрированной в прошлом году и уже используемой в одноимённом online-редакторе видео.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63579

Выпуск дистрибутива Parrot 6.4 с подборкой программ для проверки безопасности

Дистрибутив позиционируется как переносная лаборатория с окружением для экспертов по безопасности и криминалистов, основное внимание в которой уделяется средствам для проверки облачных систем и устройств интернета-вещей. В состав также включены криптографические инструменты и программы обеспечения защищённого выхода в сеть, среди прочего предлагаются TOR, I2P, anonsurf, gpg, tccf (Two Cents Cryptography Frontend), zulucrypt, veracrypt, truecrypt и luks.

В новом выпуске:

• Обновлены версии специализированных пакетов, например: metasploit 6.4.71, airgeddon 11.50, beef-xss 0.5.4.0, powershell-empire 6.1.2, starkiller 3.0.0, netexec 1.4.0, caido 0.48.1, Seclists 2025.2, Seclists-lite 2025.2, gbp-gef 2025.1, enum4linux-ng 1.3.4 и ruby-cms-scanner 0.15.0.
• Ядро Linux обновлено до версии 6.12.32. Обновлены системные пакеты, такие как systemd 254.26б, mesa 25.0.4 и busybox 1.35.0.
• Предоставлена возможности установки предоставляемых компанией Microsoft утилит через штатный репозиторий проекта. Добавлена официальна поддержка Powershell 7.5 и платформы .NET с 5 по 9 версии.
• В репозиторий добавлен инструментарий Rocket, позволяющий запускать приложения в отдельных контейнерах Docker. Добавлена поддержка запуска в контейнерах приложений Caido, John The Ripper, Katana, Subfinder и WPScan.
• Обновлено содержимое меню и добавлены новые элементы, такие как Sliver и Rocket.
• В состав набора parrot-tools включены утилиты netcat-openbsd, goshs, dbd и starkiller.
• Пакет parrot-firefox-profiles обновлён до новой ESR-ветки Firefox 140.
• Переписаны и улучшены некоторые сборочные скрипты.

Подтверждены планы по слиянию Chrome OS и Android в одну платформу

Ранее представители Google не упоминали планы по объединению Chrome OS и Android, информация о котором в ноябре была неофициально раскрыта некоторыми сотрудниками Google. В качестве причины объединение упоминалось желание усилить конкуренцию с iPad и более эффективно использовать инженерные ресурсы чтобы не распылять усилия на две операционные системы.

Косвенным подтверждением намерений Google стала начатая в прошлом году работа по переводу системного окружения ChromeOS на вариант ядра Linux, фреймворки и системные компоненты платформы Android. В то же время в последних выпусках платформы Android началось активное развитие режима рабочего стола и возможностей для работы на устройствах с большими экранами.

Операционная система ChromeOS напоминает по своей архитектуре атомарно обновляемые дистрибутивы Linux, использует ядро Linux со специфичными патчами, системный менеджер upstart и сборочный инструментарий ebuild/portage из Gentoo Linux. Несмотря на то, что пользовательское окружение ChromeOS сосредоточено на использовании web-браузера, а вместо стандартных программ задействованы web-приложения, платформа включает в себя полноценный многооконный интерфейс, рабочий стол и панель задач. Для запуска приложений, созданных для Linux и Android, используются виртуальные машины, запускаемые при помощи гипервизора CrosVM, основанного на KVM.

По умолчанию в Chrome OS применяется шифрование дисковых разделов c пользовательскими данными (при помощи fscrypt), а системные разделы монтируются в режиме только для чтения, верифицируются по цифровой подписи и обновляются атомарно (два корневых раздела, рабочий и для установки обновления, которые меняются местами). Вывод на экран осуществляется при помощи графического стека Freon (ведётся работа по переходу на использование Wayland) и оконного менеджера Aura. Исходный код распространяются под свободной лицензией Apache 2.0.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63577

A smaller #watercolor #artwork I painted in a forest in the German #Eifel. Just did the finish touches to show at a painting festival. I've put it now in my webshop.

#art #drawing #アート #fineart #illustration #イラスト #絵画 #芸術 #gemälde #Dreamy #Landscape #FairyTale #GermanForest #natureart #Rursee #eifel #naturparksüdeifel #outside #pleinair #watercolors #ink #inkdrawing #schilderij #woodpanel #Ampersand

(#gemalde #naturparksudeifel)

Turns out Codeberg hosts a Weblate instance where translators can translate applications: https://translate.codeberg.org/ Now this is the kind of thing that makes me go "huh, this is actually better than GitHub".

@vnwnmn@shitpost.poridge.club

Searx - это не поисковик, а метапоисковик. Он использует другие поисковики, своего движка и индекса не имеет.

Yacy - полноценный поисковик, со своим индексатором и краулером. Потому и непопулярен. Я хостил его, эффективность крайне низка, несмотря на то, что ноды могут между собой обмениваться содержимым индексов (а-ля торрент) — просто у гугляндексов несравнимо больше мощностей, чем у кучки энтузиастов. По итогу хостящий Яцы просто тратит прорву времени (приемлемые результаты можно получить далеко не сразу) и денег (база растёт, джава течёт, ресурсы выжираются), а выхлоп весьма грустный.

Потому народ предпочитает играть в независимость с помощью эрзаца в виде SearX (толку от которого на самом деле — разве что для анонимизации поисковой истории, и то при условии, что сервак маленький и админу нет смысла торговать статистикой). Типа захостил свой (нет) поисковик и весь из себя селфхост криптопанк.

@rf@mastodon.ml

«Опустошитель» выпустило Технологическое рабство Качинского.
#ЧтоПочитать

GPUHammer - вариант атаки Rowhammer на память GPU

До сих пор создание атак класса Rowhammer для видеопамяти было затруднено из-за сложности определения физической раскладки памяти в чипах GDDR, больших задержек при доступе к памяти (в 4 раза медленнее) и более высокой частоты обновления памяти. Кроме того, проведению исследований мешало задействование в чипах GDDR проприетарных механизмов защиты от манипуляций, приводящих к преждевременной потере заряда, для анализа которых требовалось создание специальных аппаратных тестовых стендов на базе FPGA.

Для изучения видеопамяти исследователями была создана новая техника обратного инжиниринга GDDR DRAM, а в самой атаке задействованы применяемые для организации параллельных вычислений оптимизации доступа к памяти, которые были использованы в качестве усилителей интенсивности доступа к отдельным ячейкам. Для проведения атаки на GPU NVIDIA использован низкоуровневый код CUDA.

В пользовательском коде CUDA не выполняется обращение по физическим адресам памяти, но в драйвере NVIDIA производилось отражение виртуальную памяти в одну и ту же физическую память, чем и воспользовались исследователи для вычисления смещения виртуальной памяти и определения раскладки банков памяти. Распознание обращений к разным банкам памяти было произведено через анализ задержек, которые отличались при доступе к одному или разными банкам памяти.

В системах, совместно использующих GPU, таких как серверы для выполнения моделей машинного обучения, атака позволяет одному пользователю изменить содержимое видеопамяти с данными другого пользователя. В качестве меры защиты компания NVIDIA рекомендует включить коды коррекции ошибок (ECC, Error Correction Codes) командой "nvidia-smi -e 1" или использовать серии видеокарт с поддержкой OD-ECC (On-Die ECC), такие как GeForce RTX 50, RTX PRO, GB200, B200, B100, H100, H200, H20 и GH200.

По данным исследователей включение ECC на системах с GPU A6000 приводит к снижению производительности выполнения моделей машинного обучения примерно на 10% и уменьшению объёма памяти на 6.25%. Инструментарий для проведения атаки и выполнения обратного инжиниринга низкоуровневой раскладки видеопамяти на системах с GPU NVIDIA опубликован на GitHub.

Атака RowHammer позволяет исказить содержимое отдельных битов памяти DRAM путём цикличного чтения данных из соседних ячеек памяти. Так как память DRAM представляет собой двухмерный массив ячеек, каждая из которых состоит из конденсатора и транзистора, выполнение непрерывного чтения одной и той же области памяти приводит к флуктуации напряжения и аномалиям, вызывающим небольшую потерю заряда соседних ячеек. Если интенсивность чтения большая, то соседняя ячейка может потерять достаточно большой объём заряда и очередной цикл регенерации не успеет восстановить её первоначальное состояние, что приведёт к изменению значения сохранённых в ячейке данных.

Метод атаки Rowhammer был предложен в 2014 году, после чего между исследователями безопасности и производителями оборудования началась игра в "кошки-мышки" - производители чипов памяти пытались блокировать уязвимость, а исследователи находили новые способы её обхода. Например, для защиты от RowHammer производители чипов добавили механизм TRR (Target Row Refresh), но оказалось, что он блокирует искажение ячеек лишь в частных случаях, но не защищает от всех возможных вариантов атаки. Методы атаки были разработаны для чипов DDR3, DDR4 и DDR5 на системах с процессорами Intel, AMD и ARM. Также были найдены способы обхода коррекции ошибок ECC и предложены варианты совершения атаки по сети и через выполнение JavaScript-кода в браузере.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63575

GPUHammer - вариант атаки Rowhammer на память GPU

До сих пор создание атак класса Rowhammer для видеопамяти было затруднено из-за сложности определения физической раскладки памяти в чипах GDDR, больших задержек при доступе к памяти (в 4 раза медленнее) и более высокой частоты обновления памяти. Кроме того, проведению исследований мешало задействование в чипах GDDR проприетарных механизмов защиты от манипуляций, приводящих к преждевременной потере заряда, для анализа которых требовалось создание специальных аппаратных тестовых стендов на базе FPGA.

Для изучения видеопамяти исследователями была создана новая техника обратного инжиниринга GDDR DRAM, а в самой атаке задействованы применяемые для организации параллельных вычислений оптимизации доступа к памяти, которые были использованы в качестве усилителей интенсивности доступа к отдельным ячейкам. Для проведения атаки на GPU NVIDIA использован низкоуровневый код CUDA.

В пользовательском коде CUDA не выполняется обращение по физическим адресам памяти, но в драйвере NVIDIA производилось отражение виртуальную памяти в одну и ту же физическую память, чем и воспользовались исследователи для вычисления смещения виртуальной памяти и определения раскладки банков памяти. Распознание обращений к разным банкам памяти было произведено через анализ задержек, которые отличались при доступе к одному или разными банкам памяти.

В системах, совместно использующих GPU, таких как серверы для выполнения моделей машинного обучения, атака позволяет одному пользователю изменить содержимое видеопамяти с данными другого пользователя. В качестве меры защиты компания NVIDIA рекомендует включить коды коррекции ошибок (ECC, Error Correction Codes) командой "nvidia-smi -e 1" или использовать серии видеокарт с поддержкой OD-ECC (On-Die ECC), такие как GeForce RTX 50, RTX PRO, GB200, B200, B100, H100, H200, H20 и GH200.

По данным исследователей включение ECC на системах с GPU A6000 приводит к снижению производительности выполнения моделей машинного обучения примерно на 10% и уменьшению объёма памяти на 6.25%. Инструментарий для проведения атаки и выполнения обратного инжиниринга низкоуровневой раскладки видеопамяти на системах с GPU NVIDIA опубликован на GitHub.

Атака RowHammer позволяет исказить содержимое отдельных битов памяти DRAM путём цикличного чтения данных из соседних ячеек памяти. Так как память DRAM представляет собой двухмерный массив ячеек, каждая из которых состоит из конденсатора и транзистора, выполнение непрерывного чтения одной и той же области памяти приводит к флуктуации напряжения и аномалиям, вызывающим небольшую потерю заряда соседних ячеек. Если интенсивность чтения большая, то соседняя ячейка может потерять достаточно большой объём заряда и очередной цикл регенерации не успеет восстановить её первоначальное состояние, что приведёт к изменению значения сохранённых в ячейке данных.

Метод атаки Rowhammer был предложен в 2014 году, после чего между исследователями безопасности и производителями оборудования началась игра в "кошки-мышки" - производители чипов памяти пытались блокировать уязвимость, а исследователи находили новые способы её обхода. Например, для защиты от RowHammer производители чипов добавили механизм TRR (Target Row Refresh), но оказалось, что он блокирует искажение ячеек лишь в частных случаях, но не защищает от всех возможных вариантов атаки. Методы атаки были разработаны для чипов DDR3, DDR4 и DDR5 на системах с процессорами Intel, AMD и ARM. Также были найдены способы обхода коррекции ошибок ECC и предложены варианты совершения атаки по сети и через выполнение JavaScript-кода в браузере.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63575

«Опустошитель» выпустило Технологическое рабство Качинского.
#ЧтоПочитать

Опубликован вариант утилиты Lossless Scalings Frame Generation для Linux

Приложение позволяет масштабировать вывод игровых приложений, рассчитанных на запуск в отдельном окне, для их отображения в полноэкранном режиме. Изменение масштаба также может потребоваться для избавления от размытого вывода при масштабировании с использованием штатной графической подсистемы или для обхода ограничений в играх, завязанных на фиксированные разрешения экрана. Кроме того, имеется возможность повышения плавности вывода и увеличения частоты кадров в играх, не рассчитанных на высокий FPS, путём подстановки дополнительных промежуточных кадров, созданных на основе экстраполяции соседних кадров.

Для воссоздания недостающих деталей и масштабирования в LSFG могут использоваться как собственные оригинальные алгоритмы, так и существующие технологии на основе машинного обучения, такие как MD FidelityFX Super Resolution и NVIDIA Image Scaling. Выбор алгоритма зависит от типа игровых приложений. Например, для современных игр рекомендуется использовать собственный алгоритм LS1 или технологию суперсэмплинга AMD FSR. Для старых игр с пиксельной графикой предложены алгоритмы Integer Scaling и xBR, а для игр в стиле мультфильмов и аниме алгоритм Anime4K. Кроме непосредственно игр, модификация вывода может применяться и к эмуляторам для запуска ретро-игр и игр для приставок.

Масштабирование и подстановка кадров осуществляется на лету и не требует внесения изменений в игры. В варианте для Linux для подстановки кадров и вклинивания в вывод игры используется подключение обработчика для дополнительного слоя Vulkan, при помощи которого выполняется перехват, выполнение и модификация существующих функций Vulkan. Для использования lsfg-vk достаточно установить библиотеку liblsfg-vk.so и настроить её параметры через переменные окружения.

Оригинальный LSFG представляет собой скомпилированное приложение для Windiows на базе API D3D11. Для воссоздания функциональности LSFG в Linux реализация была транслирована в представление, использующее API Vulkan. Для переноса шейдеров был добавлен обработчик, перехватывающий вызовы D3D11 и сохраняющий шейдеры на диск, а также парсер для динамического извлечений шейдеров из исполняемых файлов в формате PE (Portable Executable). Для переноса графического конвейера, управляющего выполнением шейдеров, из приложения были выделены компоненты на базе API D3D11 и при помощи DXVK была обеспечена их работа в Linux. После получения рабочего варианта на базе D3D11 и DXVK, при помощи RenderDoc была получена точная раскладка вызовов Vulkan, на основе которой был подготовлен финальный вариант, напрямую использующий API Vulkan.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63545

TIL: Ever wanted to compress data or use cryptographic algorithms but you don't want to link to C libraries or you're just plain lazy?

The Linux kernel has you covered! Create a socket of type AF_ALG, bind to your favorite algorithm, send() in your data and recv() it back!

This seems to support deflate, SHA, RSA and some more on ppc64le and additionally even zstd, chacha, lzo, hmac and more on ARM!

https://www.kernel.org/doc/html/latest/crypto/userspace-if.html

Опубликована платформа запуска серверных приложений NethServer 8.5

До ветки 8.x проект развивал собственный дистрибутив для быстрого развёртывания типовых серверов, основанный на CentOS, а начиная с выпуска NethServer 8 трансформирован в универсальную платформу, устанавливаемую поверх дистрибутивов Rocky Linux 9, CentOS Stream 9, AlmaLinux 9 и Debian 12. Вместо установки компонентов в форме RPM-пакетов в NethServer 8 задействован запуск в изолированных контейнерах самодостаточных образов с различными серверными приложениями. Код платформы написан на языках Vua, Go и Python, и распространятся под лицензией GPLv3. Для установки в облачных окружениях и виртуальных машинах поставляются готовые сборки в форматах qcow2 (QEMU/Proxmox) и vmdk (VMWare), сформированные на базе Rocky Linux 9.

Приложения в контейнерах могут запускаться на разных хостах и управляться через один централизованный web-интерфейс. Узлы связываются между собой через шифрованный VPN. Установка и введение в строй выбранных серверных компонентов производится в один клик и не требует знания особенностей настройки каждого сервиса. Поддерживается перенос контейнеров с приложениями между хостами. Резервные копии с данными запущенных приложений и настройками кластера могут сохраняться как на локальных накопителях, так на на внешних хранилищах, таких как Amazon S3, Backblaze B2 и Microsoft Azure. Для организации работы инфраструктуры используются Podman, WireGuard, firewalld и OpenLDAP.

Для установки предлагаются модули для быстрого запуска почтового сервера (Postfix, Dovecot, Rspamd, ClamAV), системы совместной работы (Collabora Online или NextCloud), сервера телефонии (Asterisk), SIP-сервера, системы обмена сообщениями (Mattermost), web-сервера (Nginx, PHP, SFTPGo), платформы взаимодействия с клиентами (Odoo), СУБД (MariaDB, PostgreSQL), Wiki (DokuWiki), системы обнаружения вторжений (CrowdSec), контроллера домена Active Directory (Samba), облачного хранилища (MinIO) и т.п. Возможен запуск на одном узле разных версий одного приложения.

Среди изменений в новой версии:

• В центре установки приложений предоставлена возможность установки файлового сервера на базе Samba и его настройки для работы в качестве члена контроллера домена Active Directory. Для определения наличия сервера в сети задействован сервис WSDD. Обеспечена визуализация состояния в форме графиков.
• В раздел настроек добавлена новая секция "Metrics", через которую можно настроить визуализацию при помощи Grafana и отправку уведомлений о сбоях на email. Для сбора и хранения метрик задействованы Prometheus и Loki. Добавлена визуализация всплесков активности в логах.
• В модуль с почтовым сервером добавлена возможность доставки всех писем, приходящих на определённый домен, на адрес одного пользователя или группы.
• Улучшен интерфейс управления TLS-сертификатами. В процедуру запроса сертификата добавлены проверки, для исключения запросов уже используемых имён.
• Реализована опция для добавления завершающего слэша к HTTP-маршрутам.
• Обновлены версии Webtop 5.28.6, PEC Bridge 5.4.8, NethVoice 1.3.4, Nextcloud 31, Collabora 25, Roundcube 1.6.11, SOGo 5.12, Mattermost 10.5.5, PostgreSQL 17.5, Netdata 2.4, Crowdsec 1.6.8, Ejabberd 25.4.

В итоге выбрал прокатиться на веле, жарко, конечно, но лучше чем пешком / на транспорте.
Блюхера (проспект) не узнал – застроили почти всё: промки, военные городки, пустыри и даже просеку ЛЭП :(

#спб

Из Mesa удалена поддержка DRI2

Отмечается, что в дальнейшем Mesa планируют избавить и от поддержки других механизмов, потерявших актуальность после появления DMA-BUF. В частности, планируется прекратить поддержку EGL-расширения EGL_WL_bind_wayland_display, реализованного для Wayland. Для обмена пиксельными буферами между клиентом и сервером Wayland предлагается использовать Wayland-протокол linux_dmabuf. Поддержку EGL_WL_bind_wayland_display планируют отключить по умолчанию и активировать только при указании сборочного флага "legacy-wayland", после чего удалить через несколько выпусков.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63572

Мейнтейнеры NixOS отказались поддерживать XLibre

Пользователям NixOS в качестве альтернативы предлагается воспользоваться механизмом оверлеев, который даёт возможность заменить оригинальный X.Org Server на любой другой пакет, включая XLibre. В этом случае пользователь сам ответственен за устранение всех проблем, которые могут возникнуть на его системе. О состоянии поддержки XLibre в других дистрибутивах можно ознакомиться на странице "Are We XLibre Yet", которая периодически обновляется авторами форка.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63574

При сопоставлении топографических точек романа «Бесы» с реалиями Твери XIX века становится ясно, что Достоевский моделирует реалистичное городское пространство, по которому герои перемещаются естественными для Твери маршрутами именно за то время, которое необходимо затратить для преодоления данных расстояний. Кроме того, ряд таких точек Достоевский «выставляет» на границах города, замыкая таким образом его пространство. Конкретные черты Твери в романе намеренно и тщательно подчёркиваются. Следовательно, мы не можем говорить о губернском городе в «Бесах» как о собирательном образе".

Бафф, смоченный водой, на голову – действительно хорошо помогает от жары. Хватает на час-полтора.

Оценка эффективности применения AI-инструментов выявила замедление, а не ускорение разработки

Фактически при использовании AI-помощника на решение задачи в среднем было потрачено на 19% больше времени, в то время как участники полагали, что благодаря AI смогли выполнить работу на 20% быстрее, а до начала работы считали, что AI поможет им ускорить работу на 24%. Результаты также значительно расходятся с прогнозами экспертов в области экономики и машинного обучения, которые предсказывали экономию времени при использовании AI на 39% и 38%, соответственно.

В ходе эксперимента 16 разработчикам открытых проектов, имеющим средний опыт работы с AI-инструментами, было предложено решить 246 задач, связанных с исправлением ошибок и добавлением новых возможностей. Задачи были сформированы на основе реальных issue в GitHub-репозиториях проектов, с которыми у выбранных разработчиков был опыт работы не менее 5 лет. Случайным образом часть задач предлагалось решить вручную, а часть с использованием любого AI-помощника на выбор разработчика (большинство предпочли редактор кода Cursor с моделью Claude 3.5/3.7 Sonnet).

В эксперимент, который проводился с февраля по июнь 2025 года, были вовлечены такие открытые проекты, как mito, stdlib, ghc, cabal, flair, jsdom, hypothesis, trieve, scikit-learn, gpt-neox и transformers. В среднем задействованные проекты имели 23 тысячи звёзд на GitHub, 1.1 млн строк кода, 20 тысяч коммитов и 710 участников.

Упоминаются следующие возможные причины замедления решения задач при использовании AI:

• Низкое качество AI-рекомендаций - разработчики приняли менее 44% от сгенерированных AI предложений и потратили много времени на их чистку и проверку.
• Излишний оптимизм в плане полезности AI и завышенные ожидания от возможностей AI-инструментов.
• Большой опыт работы участников с репозиториями, для которых решались задачи. Разработчики очень хорошо ориентировались в проектах и помощь AI в этой ситуации не представляла ценности.
• В эксперименте использовались слишком крупные и сложные репозитории, с которыми AI работает хуже.
• Неявный контекст репозитория - AI не понимал контекст, в котором работал.

Итоговый вывод: при использовании AI-инструментов разработчики тратят меньше времени на написание кода, поиск информации и чтение документации, но данная экономия сводится на нет из-за повышенных затрат времени на формирование запросов к AI, разбор подсказок, ожидание результата, рецензирование предложений и бездействие. Вместо генерации кода время уходит на взаимодействие с AI, изучение результатов и проверку предложенного кода.

Дополнительно можно отметить опрос 609 разработчиков, применяющих AI при написании кода, проведённый компанией Qodo. 78% отметили увеличение производительности труда после применения AI, 60% отметили повышение общего качества кода благодаря AI, 20% указали на снижение качества кода после применения AI. При этом 76% отметили, что они не задействуют код от AI без предварительного ручного рецензирования. В статье также отмечается, что отдельные разработчики чувствуют себя значительно лучше при использовании AI, так как могут предоставить больше кода, но ценой этого становится увеличение нагрузки на тех, кто отвечает за приём кода в проекты, рецензирование изменений и проверку качества.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63573

В KDE улучшена настройка переключения между дневным и ночным оформлением

• В конфигуратор добавлена поддержка настройки вращающихся регуляторов на графических планшетах. Подобные круглые регуляторы обычно используются в графических редакторах для масштабирования холста или изменения размера кистей, но в KDE дополнительно предоставлена возможности их использования как аналога колеса мыши для прокрутки содержимого или как аналога клавиш управления курсором для перемещения вверх и вниз.
• В функцию показа QR-кода с параметрами подключения к текущей беспроводной сети добавлена возможность просмотра пароля доступа (для того чтобы узнать пароль больше не нужно отдельно переходить в конфигуратор).
• Настройки местоположения, применяемые для определения времени восхода и заката солнца, вынесены в конфигураторе на отдельную страницу, на которой собраны настройки дневного и ночного циклов. Подобные циклы применяются для автоматической смены светлой и тёмной версий обоев рабочего стола, а также для активации ночного режима, уменьшающего интенсивность синего цвета на экране для снижения напряжения глаз и сокращения факторов возникновения бессонницы при работе перед сном. В будущем настройки будут задействованы для автоматической смены темы оформления и цветовой схемы.
• Запись скринкастов отдельных окон теперь охватывает заголовок, рамки и тени окна.
• В ветке KDE Frameworks 6.17 сокращено число обработчиков событий в KQuickStyleItem и оптмизирована синхронизация состояния темы оформления. Изменения привели к небольшому повышению производительность всех приложений KDE, использующих QtQuick, включая конфигуратор, менеджер приложений и программу для создания скриншотов.

Выпуск labwc 0.9.0, композитного сервера для Wayland

В качестве основы используется библиотека wlroots, развиваемая разработчиками пользовательского окружения Sway и предоставляющая базовые функции для организации работы композитного менеджера на базе Wayland. Возможно подключение надстроек с реализацией таких функций, как создание скриншотов, отображение обоев на рабочем столе, размещение панели и меню. Для запуска X11-приложений в окружении на базе протокола Wayland поддерживается использование DDX-компонента XWayland. Тема оформления, базовое меню и горячие клавиши настраиваются через файлы конфигурации в формате xml. Имеется встроенная поддержка экранов с высокой плотностью пикселей (HiDPI).

Помимо встроенного корневого меню, настраиваемого через файл menu.xml, можно подключить сторонние реализации меню приложений, такие как bemenu, fuzzel и wofi. В качестве панели можно использовать Waybar, sfwbar, Yambar или LavaLauncher. Для управления подключением мониторов и изменением их параметров предлагается использовать wlr-randr или kanshi. Блокировка экрана осуществляется при помощи swaylock. Композитный менеджер задействован в графическом окружении дистрибутива Raspberry Pi OS и опционально поддерживается в средах рабочего стола Xfce и LXQt.

В новой версии:

• Добавлена поддержка возможностей нового выпуска библиотеки wlroots 0.19, таких как реализация новых протоколов Wayland, поддержка Multi-GPU и возможность явной синхронизации буферов при помощи объектов синхронизации DRM (Direct Rendering Manager).
• Обеспечена поддержка Wayland-протоколов:
  • ext-data-control - позволяет привилегированным клиентам управлять обработкой данных, например, для реализации менеджеров буфера обмена.
  • alpha-modifier - позволяет клиентам менять уровень прозрачности поверхности и выносить операции по обеспечению прозрачности на сторону композитного сервера.
  • xdg-toplevel-icon - реализует привязку пиктограммы к окну верхнего уровня.
  • drm-syncobj" - предоставляет инструменты для явной синхронизации буферов при помощи объектов синхронизации DRM (Direct Rendering Manager).
  • ext-image-copy-capture - организация захвата контента, выводимого на экран.
• Добавлена команда "lab-sensible-terminal" для запуска эмулятора терминала (программа выбирается на основе переменной окружения $TERMINAL). В корневое меню добавлен пункт для вызова терминала.
• Добавлена поддержка градиентной заливки области заголовка окна. Для настройки градиента предложены опции:
  • window.*.title.bg: Solid | Gradient ( Vertical | SplitVertical )
  • window.*.title.bg.colorTo:
  • window.*.title.bg.color.splitTo:
  • window.*.title.bg.colorTo.splitTo:
• В вывод при запуске с опциями "-v" ("--version") добавлена информация о поддерживаемых возможностях, например "+xwayland -rsvg".
• Обеспечена отправка ресурсов DRM (Direct Rendering Manager Leases) клиентам XWayland.
• Добавлена настройка ‹windowRule iconPriority="client|server"› для выбора приоритетного метода поиска пиктограмм.
• Добавлена поддержка цветовых тем, определённых с использованием синтаксиса X11-color-names и '#rgb'.
• Реализована поддержка XWayland-свойства _NET_WM_ICON и добавлено правило iconPriority для включения его поддержки.
• Добавлена настройка "‹core›‹primarySelection›", позволяющая использовать автопрокрутку средним колесом мыши в Chromium и приложениях на платформе Electron без непреднамеренной вставки данных из буфера обмена.
• Обновлены поддерживаемые версии Wayland-протоколовp xdg_shell и wl_compositor.
• Добавлена поддержка вспомогательных кнопок на мышах.
• Добавлены настройки для libinput:
  • "‹threeFingerDrag›"
  • "‹dragLock›sticky‹/dragLock›"
  • "‹scrollMethod›none|twofinger|edge‹/scrollMethod›"
• Добавлены параметры "{left,right}-occupied" для упрощения навигации между виртуальными рабочими столами, на которых имеются открытые окна.
• Добавлена настройка "‹theme›‹dropShadowsOnTiled›" для включения показа тени для мозаичных окон.
• Добавлена поддержка эмуляции прокрутки колесом мыши, для управления которой предложены параметры EnableScrollWheelEmulation, DisableScrollWheelEmulation и ToggleScrollWheelEmulation.

Выпуск Wine 10.12

Наиболее важные изменения:

• В драйвере для X11 (winex11) добавлена опция для использования при отрисовке нового бэкенда OpenGL, использующего EGL.
• Добавлена поддержка сервисов Bluetooth Low Energy.
• В реализации языка описания интерфейса WIDL (Wine Interface Definition Language) расширена поддержка генерации метаданных Windows Runtime (WinRT).
• В системе непрерывной интеграции на базе Gitlab обеспечена сборка для архитектуры ARM64.
• Компоненты FAudio с реализацией звуковых библиотек DirectX (API XAudio2, X3DAudio, XAPO и XACT3) обновлены до выпуска 25.07.
• Закрыты отчёты об ошибках, связанные с работой приложений: cmd.exe, Clip Studio Paint 3.0, HDX server, FindVUK, Total Commander 11.55.
• Закрыты отчёты об ошибках, связанные с работой игр: Train capacity 300% 2, Soldier of Fortune II, Betfair Poker.

Российские силовики считают любые группы АЧК «нежелательной организацией»

В начале 2024 года Минюст России включил американскую Федерацию Анархического Чёрного Креста в список «нежелательных организаций». Тогда мы (АЧК-Москва) заявили, что не имеем с ней организационных связей: группы АЧК по всему миру автономны, и российские группы никогда не были частью американской федерации.
Но в 2025 году стало ясно, что российские власти считают «нежелательной» не только американскую федерацию. Они атакуют любые группы АЧК.

https://avtonom.org/news/rossiyskie-siloviki-schitayut-lyubye-gruppy-achk-nezhelatelnoy-organizaciey
#АнархическийЧёрныйКрест #ИгорьОлиневич #Фаланстер #Россия #анархизм #АвтономноеДействие

Выпуск дистрибутива Альт Виртуализация 11.0

Начиная с одиннадцатой версии дистрибутив выпускается в двух редакциях - virtualization-pve и virtualization-one, базирующихся на платформах Proxmox Virtual Environment (PVE) и OpenNebula. На данный момент для загрузки доступна только редакция PVE, основанная на наработках дистрибутива Proxmox VE 8.4 и предназначенная для управления виртуальными машинами и контейнерами при помощи гипервизора KVM и инструментария LXC (инструменты контейнеризации Kubernetes, Docker, CRI-O и Podman перенесены в дистрибутив "Альт Сервер").

Основные изменения:

• Обновлены версии системных компонентов, таких как ядро Linux 6.12, GCC 13, systemd 255 и Glibc 2.38.
• Обновлены версии пакетов LXC 6.0, QEMU 92, Ceph 19.2, OpenSSL 3.3, Proxmox Backup Client 3.3, Openvswitch 3.3, Corosync 3.1, Glusterfs 11.1, ZFS 2.3.
• Переработан инсталлятор, который теперь создаёт при установке логический раздел LVM Thin Pool и позволяет получить полностью сконфигурированный узел Proxmox VE, готовый для создания виртуальных машин и контейнеров.
• Улучшен веб-интерфейс Proxmox VE, в который добавлены возможности для обновления дистрибутива,управления пакетами и импорта виртуальных машин из хранилищ VMware ESXi.
• По умолчанию в хост-окружении задействован сервис tuned, выполняющий автоматическую оптимизацию настроек оборудования и ядра в зависимости от текущей нагрузки.
• Предоставлена возможность включения прямого доступа из гостевой системы к USB- и PCI-устройствам, а также каталогам хост-окружения.
• Добавлена поддержка программно-определяемых сетей (SDN).

Ребятушки, шарящие за кофе! Я хочу дома делать такое же вспененное молоко как в кофейнях. Посоветуйте, что я могу для этого купить, чтобы в балансе были цена, качество и простота использования?

Был у меня подобный венчик-капучинатор, но он не давал такую клёвую пенку.

Браузерные дополнения вовлекают в построение распределённой сети скрапинга для AI-ботов

Работа организуется через включение в код браузерных дополнений открытой JavaScript-библиотеки mellowtel.js, поставляемой под лицензией LGPLv3. Библиотека развивается проектом Mellowtel, продвигающим новую платформу монетизации, которая кроме браузерных дополнений может применяться в программах на базе фреймворков Flutter и Electron. Основная идея платформы в том, что разработчики браузерных дополнений и приложений могут зарабатывать деньги не через показ рекламы или сомнительные методы, такие как продажа данных, ущемляющих приватность пользователей, а через выполнение задач по индексации web-контента для обучения AI-систем.

Потребность AI-компаний в данных для обучения моделей привела к появлению многочисленных ботов, индексирующих сайты без разумного ограничения интенсивности отправки запросов и игнорируя правила индексирования robots.txt. Так как данные боты создают огромную паразитную нагрузку на серверы, нарушают нормальную работоспособность систем и отнимают время администраторов, последнее время их начинают активно блокировать (например, сеть доставки контента Cloudflare реализовала опцию для блокирования подобных ботов по умолчанию).

AI-компании готовы платить за индексацию и платформа Mellowtel выразила готовность удовлетворить подобную потребность через вовлечение обычных пользователей в процесс сбора данных с сайтов. Платформа передаёт владельцам дополнений 55% от средств, вырученных от сотрудничества с AI-компаниями. Проект полностью легитимен и настаивает на том, что участие в скрапинге должно быть добровольным и активироваться только после явного согласия пользователя. Подразумевается, что пользователь в качестве благодарности к разработчикам дополнения может включить по умолчанию отключённый режим скрапинга и оказать им косвенную финансовую поддержку.

Проблема в том, что не все разработчики дополнений готовы работать честно и в открытую. В некоторых дополнениях пытаются скрыто от пользователя включить монетизацию Mellowtel в обход правил сервиса, что приводит к тому, что пользователь без явного согласия становится участником распределённой сети для загрузки данных с сайтов. Из 45 дополнений к Chrome, применяющих Mellowtel, 12 уже заблокированы Google за вредоносную активность. В каталоге Microsoft из 129 дополнений заблокировано 8, а в каталоге Mozilla из 71 дополнения заблокировано 2. Причины удаления не детализируются, но не исключается, что поводом стало некорректное использование Mellowtel.

Разработчик Mellowtel заявил, что для решения проблемы с возможным скрытым включением скрапинга сервис переходит на обязательную проверку всех дополнений, применяющих Mellowtel, на предмет обязательного отключения скрапинга по умолчанию (активация только после явного согласия пользователя) и наличия видимой кнопки для отключения. Запросы на получение заданий от дополнений не прошедших проверку будут помещаться в карантин и игнорироваться.

В процессе работы дополнения, использующие библиотеку Mellowtel, устанавливают websocket-соединение к внешнему серверу, размещённому в облаке AWS, через которое передают сведения о доступности пользователя, стране, пропускной способности канала связи и активации поддержки скрапинга пользователем. Периодически через соединение отправляются heartbeats-запросы, проверяющие доступность клиента. При появлении заданий на загрузку контента в просматриваемые пользователем страницы подставляется скрытый iframe, из которого осуществляется скрапинг.

Для загрузки внешних страниц из iframe, подставляемом при просмотре других сайтов, библиотека временно обходит предоставляемую в браузере защиту от загрузки стороннего контента, вырезая HTTP-заголовки Content-Security-Policy и X-Frame-Options и возвращая их после того, как нужная страница загружена. Вырезание осуществляется через модификацию сетевых запросов при помощи API declarativeNetRequest (для доступа к данному API дополнения запрашивают отдельное полномочие). Временное отключение заголовков Content-Security-Policy и X-Frame-Options негативно влияет на безопасность, так как на какое-то время убирает штатную защиту от атак с использованием межсайтового скриптинга (XSS).

Платформа Mellowtel аффилирована с компанией Olostep, предлагающей API для скрапинга, способный обходить защиту от ботов и параллельно выполнять до 100 тысяч запросов в минуту. Подобную активность сервиса, применённую в контексте одного сайта, можно сравнить с проведением распределённой DoS-атаки. Сервис также потенциально может использовать пользователей как прокси для извлечения контента из приватных сайтов, доступных только в подсетях, к которым пользователь получает доступ через VPN.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63568

Браузерные дополнения вовлекают в построение распределённой сети скрапинга для AI-ботов

Работа организуется через включение в код браузерных дополнений открытой JavaScript-библиотеки mellowtel.js, поставляемой под лицензией LGPLv3. Библиотека развивается проектом Mellowtel, продвигающим новую платформу монетизации, которая кроме браузерных дополнений может применяться в программах на базе фреймворков Flutter и Electron. Основная идея платформы в том, что разработчики браузерных дополнений и приложений могут зарабатывать деньги не через показ рекламы или сомнительные методы, такие как продажа данных, ущемляющих приватность пользователей, а через выполнение задач по индексации web-контента для обучения AI-систем.

Потребность AI-компаний в данных для обучения моделей привела к появлению многочисленных ботов, индексирующих сайты без разумного ограничения интенсивности отправки запросов и игнорируя правила индексирования robots.txt. Так как данные боты создают огромную паразитную нагрузку на серверы, нарушают нормальную работоспособность систем и отнимают время администраторов, последнее время их начинают активно блокировать (например, сеть доставки контента Cloudflare реализовала опцию для блокирования подобных ботов по умолчанию).

AI-компании готовы платить за индексацию и платформа Mellowtel выразила готовность удовлетворить подобную потребность через вовлечение обычных пользователей в процесс сбора данных с сайтов. Платформа передаёт владельцам дополнений 55% от средств, вырученных от сотрудничества с AI-компаниями. Проект полностью легитимен и настаивает на том, что участие в скрапинге должно быть добровольным и активироваться только после явного согласия пользователя. Подразумевается, что пользователь в качестве благодарности к разработчикам дополнения может включить по умолчанию отключённый режим скрапинга и оказать им косвенную финансовую поддержку.

Проблема в том, что не все разработчики дополнений готовы работать честно и в открытую. В некоторых дополнениях пытаются скрыто от пользователя включить монетизацию Mellowtel в обход правил сервиса, что приводит к тому, что пользователь без явного согласия становится участником распределённой сети для загрузки данных с сайтов. Из 45 дополнений к Chrome, применяющих Mellowtel, 12 уже заблокированы Google за вредоносную активность. В каталоге Microsoft из 129 дополнений заблокировано 8, а в каталоге Mozilla из 71 дополнения заблокировано 2. Причины удаления не детализируются, но не исключается, что поводом стало некорректное использование Mellowtel.

Разработчик Mellowtel заявил, что для решения проблемы с возможным скрытым включением скрапинга сервис переходит на обязательную проверку всех дополнений, применяющих Mellowtel, на предмет обязательного отключения скрапинга по умолчанию (активация только после явного согласия пользователя) и наличия видимой кнопки для отключения. Запросы на получение заданий от дополнений не прошедших проверку будут помещаться в карантин и игнорироваться.

В процессе работы дополнения, использующие библиотеку Mellowtel, устанавливают websocket-соединение к внешнему серверу, размещённому в облаке AWS, через которое передают сведения о доступности пользователя, стране, пропускной способности канала связи и активации поддержки скрапинга пользователем. Периодически через соединение отправляются heartbeats-запросы, проверяющие доступность клиента. При появлении заданий на загрузку контента в просматриваемые пользователем страницы подставляется скрытый iframe, из которого осуществляется скрапинг.

Для загрузки внешних страниц из iframe, подставляемом при просмотре других сайтов, библиотека временно обходит предоставляемую в браузере защиту от загрузки стороннего контента, вырезая HTTP-заголовки Content-Security-Policy и X-Frame-Options и возвращая их после того, как нужная страница загружена. Вырезание осуществляется через модификацию сетевых запросов при помощи API declarativeNetRequest (для доступа к данному API дополнения запрашивают отдельное полномочие). Временное отключение заголовков Content-Security-Policy и X-Frame-Options негативно влияет на безопасность, так как на какое-то время убирает штатную защиту от атак с использованием межсайтового скриптинга (XSS).

Платформа Mellowtel аффилирована с компанией Olostep, предлагающей API для скрапинга, способный обходить защиту от ботов и параллельно выполнять до 100 тысяч запросов в минуту. Подобную активность сервиса, применённую в контексте одного сайта, можно сравнить с проведением распределённой DoS-атаки. Сервис также потенциально может использовать пользователей как прокси для извлечения контента из приватных сайтов, доступных только в подсетях, к которым пользователь получает доступ через VPN.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63568

watch(1) utility added to -current

Job Snijders (job@) has added (to -current) a new utility, watch(1), for periodically executing a command and displaying its output.

The IIJ's iwatch was initially imported back in May, and has been reworked substantially before being linked to the build.

Google заменил Android Developer Preview на непрерывно обновляемую ветку Canary

Ключевое отличие новой модели в том, что выпуски Developer Preview формировались по отдельности и их требовалось каждый раз специально прошивать на устройства, в то время как Canary является параллельно поддерживаемой тестовой веткой, непрерывно обновляемой (rolling stream) и отражающей актуальное состояние разработки платформы. Достаточно один раз прошить устройство на ветку Canary и все дальнейшие обновления с изменениями будут устанавливаться автоматически в режиме OTA (over-the-air). Сборки с веткой Canary подготовлены для прошивки на устройства Pixel и скоро станут доступны в Android Emulator (пока доступны только в тестовых версиях Android Studio и Android SDK).

Достоинством отдельной Canary-ветки также является независимость от релизов, что позволяет продолжить тестирования новых API после перехода очередного выпуска Android на стадию бета-тестирования. Ранее сборки Developer Preview привязывались к следующему релизу и прекращали формироваться после появления бета выпусков, что не позволяло продолжить тестирование экспериментальных API, которые не успели довести до готовности включения в бета-версию. В Canary такой проблемы не возникает и разработчики могут продолжать экспериментировать с ещё сырыми API, независимо от стадии подготовки будущего релиза. При этом не гарантируется, что все доступные в ветке Canary экспериментальные возможности попадут в состав ближайшего релиза.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63567

Релиз http-сервера Apache 2.4.64 с устранением 8 уязвимостей

Устранённые уязвимости (первые 4 имеют умеренный уровень опасности, а остальные низкий):

• CVE-2024-42516 - возможность совершения атаки по разделению ответов HTTP на системах фронтэнд-бэкенд, позволяющей добиться расщепления содержимого заголовка Content-Type в ответе для того, чтобы вклиниться в содержимое ответов другим пользователям, обрабатываемых в том же потоке между фронтэндом и бэкендом.
• CVE-2024-43394 - специфичная для платформы Windows уязвимость SSRF (Server-Side Request Forgery), которая при отправке специально оформленных запросов может привести к утечке NTLM-хэшей на сервер, подконтрольный атакующим.
• CVE-2025-53020 - отказ в обслуживании через HTTP/2, приводящий к чрезмерному потреблению памяти.
• CVE-2025-49812 - уязвимость в mod_ssl, позволяющая атакующему, контролирующему трафик (MITM), выполнить подстановку HTTP-сеанса, вклинившись в момент перехода с HTTP на HTTPS.
• CVE-2025-23048 - обход ограничений доступа в mod_ssl при восстановлении прерванного сеанса.
• CVE-2025-49630 - отказ в обслуживании, приводящий к аварийному завершению работы модуля mod_proxy_http2.
• CVE-2024-47252 - некорректное экранирование символов в информации об ошибках mod_ssl, записываемой в лог.
• CVE-2024-43204 - SSRF-уявзимость в mod_headers, позволяющая добиться в mod_proxy отправки исходящего запроса по адресу, указанному атакующим.

Среди не связанных с безопасностью улучшений:

• В mod_systemd добавлена поддержка активации по сокету.
• Модуль mod_http2 добавлена директива H2MaxHeaderBlockLen для ограничения размера HTTP-заголовков при ответе.
• В mod_http2 обеспечена запись информации о продолжительности запросов HTTP/2.
• Модуль mod_md добавлены директивы DProfile и MDProfileMandatory для поддержки расширения протокола ACME, реализующего профили сертификатов.

Проект KDE объявил альтернативные X-серверы нежелательными

Когда-то давно в Android была уязвимость, называемая Tapjacking. Суть в том, что пользователь тапал на экран в приложнии А (например это была игра), а тап пробрасывался приложению Б. Таким образом вредоносное приложение могло получить нужные ему права. Выдаёт себя за игру "найди предмет", а предметы находятся ровно там, где нужные пункты меню и кнопок в системе располагаются.

В несколько попыток, но Google таки закрыл эту проблему. Но встречаем #TapTrap: https://taptrap.click/ Суть такая:

1. Атакующее приложение запускает жертву. Но запускает хитро - с явным указанием анимации для целевой активити
2. Через эту анимацию указывается в том числе прозрачность, близкая к абсолютной
3. Жертва запускается долго из-за переопределённой анимации - вплоть до 3х секунд
4. Пока она запускается, уже отрисованные элементы могут начать принимать тапы. Начнут или нет - зависит от реализации самого приложения. Кто-то слушателей кликов повесит сразу, кто-то - после всех анимаций. Но, как правило, вешают сразу, чтобы приложение мгновенно реагировало на нажатие. Ну вы знаете эту штуку - анимация ещё не закончилась, она медленная (для вашего восприятия), вы жмёте на кнопку, но реакции нет. Вот это раздражает, но в данном случае такие приложения как раз не подвержены уязвимости
5. Когда анимация уже подходит к концу, вредоносное приложение поднимает себя из фона обратно на передний план. Да, разработчики под Андроид знают про ограничение системы и про исключение "НЕЛЬЗЯ ПОДНИМАТЬСЯ ИЗ ФОНА СУКА", которое бросает ОС. Но после ухода в фон у вас есть несколько секунд на возвращение обратно и исключения не будет.

В демонстрационном видео выглядит так, будто чел тапает на жуков и всё норм. Фишка в том, что те тапы, которые делались в момент анимации, проходили на жертву. А приложение лишь имитировало, будто пользователь правильно тапнул. То есть заверните это в игру на скорость реакции и вам хватит анимации в 200 мс и пользователь не поймёт, что часть его тапов лишь имитируется приложением. Для него будет выглядеть всё нормально.

Пользователям #Android: уявзимость не исправлена в т.ч. в 16, пока что.
Пользователям #Android продвинутым: анимации можно отключить в опциях разработчика. Бонусом получите ускорение интерфейса, на самом деле. Когда (если) вернёте настройки обратно, после выхода исправления, заметите, что телефон начал тупить. По крайней мере у меня такой эффект преследует много лет. Так как тестовые телефоны у меня все с отключенными анимациями, а личные - с анимациями по умолчанию.
Пользователям #GrapheneOS: фикс уже есть.
Разработчикам: либо не вешайте слушателей до конца анимации, либо не учитывайте вдвигаемые настройки анимации. Первое будет бесить быстрых пользователей, а второе будет бесить пользователей, которые привыкли, что приложения подчиняются общесистемным настройкам

Фиглярам «СПАСА» поручил куратор:
«Набросьте-ка дерьма на вентилятор!
Покуда чернь мусолит ваши мифы,
Мы ей повысим коммунальные тарифы.»

04.07.2025

#Андрей_Шигин #стихи

Сравнение производительности сеансов KDE Plasma на базе X11 и Wayland

Изначально было отмечено, что при тестировании на ноутбуке Lenovo IdeaPad 3 с интегрированным GPU AMD в сеансе Wayland процессор постоянно нагружен примерно на 8% независимо от активности, а каждые 2-3 секунды наблюдается скачок, полностью нагружающий GPU. В сеансе X11 нагрузка на CPU и GPU во время простоя была на нуле. Дальнейшая проверка утилитой radeontop показала большее потребление ресурсов в сеансе Wayland, особенно при включении профиля "Color Accuracy" в настройках экрана. В таблице ниже указана создаваемая средняя нагрузка на GPU в процентах при аналогичном наборе запущенных приложений и сборе данных каждую секунду в течение 60 секунд.

Тестирование потребления энергии утилитой powertop также показало преимущество сеанса X11: энергопотребление сеанса Wayland составило 6.09 ватт, Wayland с профилем "Color Accuracy" 6.05-6.08 ватт, а X11 - 5.67-5.87 ватт. В целом сделан вывод, что сеанс X11 расходует на 3-7% меньше заряда аккумулятора, чем Wayland.

Проверка нагрузки на CPU утилитой vmstat показала, что во время простоя сеанс X11 потреблял 1.83% CPU, а Wayland - 1.97% (2.1% с профилем Color Accuracy). Утилита была запущена на свежесозданных сеансах в терминале Konsole, подсчитывалось среднее значение при ежесекундной выборке на протяжении 60 секунд. Нагрузка на CPU при использовании Wayland оказалась выше на 7.6% (в режиме Color Accuracy на 14%), чем при использовании сеанса X11. В сеансе Wayland зафиксировано на 25% больше прерываний и на 48% больше переключений контекста.

Затем при помощи утилиты perf был проведён анализ вызовов во время простоя. KWin_wayland потреблял примерно 1% (1.5%) процессорного времени, а KWin_X11 - 0.44%. Обращения к amdgpu составляли 0.77% (1%) для Wayland и 0.65% для X11. В режиме простоя в сеансе X11 было выполнено примерно в два раза меньше процессорных инструкций, чем в сеансе на базе Wayland.

В следующей статье тесты были повторены в конфигурации c Kubuntu 24.04 с устаревшим выпуском KDE Plasma 5.27 и ноутбуком Lenovo Y50-70 с CPU Intel и видеокартой NVIDIA. Результаты оказались примерно теми же - сеанс Wayland оказался менее эффективен, чем X11: потребление энергии 22.42 ватт в Wayland и 21.86 ватт в X11, нагрузка на CPU в режиме простоя 0.067% против 0.050%, число переключений контекста - 43.835/s против 34.133/s, нагрузка при просмотре 4K видео в VLC - 12.54% против 4.26%, производительность WebGL - 16 FPS против 29 FPS.

Далее аналогичные тесты были воспроизведены на ноутбуке Lenovo IdeaPad 3 с CPU/GPU AMD с использованием свежей сборки KDE 6.4 от проекта KDE Neon.

• В тесте с воспроизведением 4K видео в VLC нагрузка на CPU при использовании KDE X11 с выключенным композитингом составила 3.72%, KDE X11 со включённым композитингом - 9.8%, KDE Wayland c Color Accuracy (CA) - 25.71%, KDE Wayland в режиме эффективного потребления энергии (PE) - 31.51%. Таким образом нагрузка на CPU при использовании Wayland оказалась в 8-10 раз выше, чем при использовании X11.
• При использовании Walyand в тесте VLC также зафиксирована генерация на 5-16% больше прерываний.
• Разница нагрузки на GPU в тесте VLC была в пределах 2% отличий: KDE Wayland (PE) - 56.33%, KDE Wayland (CA) - 57.33%, KDE X11 (Comp ON) - 57.98%, KDE X11 (Comp OFF) - 56.81%.
• В плане энергопотребления Wayland потребил в тесте VLC больше энергии на 8-49%: KDE Wayland (PE) - 13.8-20.4 ватт, KDE Wayland (CA) - 13.8-14.1 ватт, KDE X11 (Comp ON) - 10.7-12.1 ватт, KDE X11 (Comp OFF) - 11.4-14.9. ватт.
• В тесте WebGL Aquarium результаты для Wayland и X11 оказались примерно одинаковыми: KDE Wayland (PE) - 16-38 FPS, KDE Wayland (CA) - 18-37 FPS, KDE X11 (Comp ON) - 16-42 FPS, KDE X11 (Comp OFF) - 21-42 FPS, но потребление энергии при использовании Wayland оказалось выше примерно на 8%.

В конечном счёте был проведён ещё один эксперимент, на этот раз охватывающий GNOME из Fedora 42 и KDE Plasma 6.4 или KDE neon. Тестирование проведено на ноутбуке Lenovo IdeaPad 3 c CPU/GPU AMD.

• Нагрузка на CPU в режиме простоя: KDE X11 - 1.83%, KDE Wayland (PE) - 1.97%, KDE Wayland (CA) - 2.1%, GNOME Wayland - 2.2%.
• Потребление энергии в режиме простоя с одним окном терминала: KDE X11 - 5.67-5.87 ватт, KDE Wayland (CA) - 6.05-6.08 ватт, KDE Wayland (PE) - 6.09 ватт, GNOME Wayland - 5.83-7.62 ватт.
• Нагрузка на GPU в режиме простоя оказалась наименьшей в конфигурации с GNOME Wayland, но отличие объясняется разницей запущенных приложениях System Monitor и GNOME System Monitor.
• В статистике, собранной утилитой perf, наименьшее процессорное время было потрачено в конфигурации на базе GNOME.
• В тесте воспроизведения видео 4K 60FPS в VLC сеанс GNOME в Fedora потребил немного меньше CPU (29.6%), чем KDE на базе Wayland в режиме Color Accuracy (31.51%), но больше, чем сеанс KDE на базе X11 (9.8%) и Wayland в режиме эффективного потребления энергии (25.71%).
• При оценке потребления ресурсов GPU сеанс GNOME в Fedora в тесте воспроизведения видео 4K 60FPS в VLC потреблял больше ресурсов GPU. Например, нагрузка на графический конвейер GPU в GNOME в Fedora - 58.21%, в KDE на базе Wayland - 56.33% и 57.33%, а в KDE X11 - 57.98%. Потребление видеопамяти в GNOME в Fedora более чем в два раза превысило (50.89) показатели KDE на базе Wayland (23.29 и 24.60) и на 15% превысило KDE X11 (44.36).
• Потребление энергии при воспроизведении видео: KDE X11 - 11.4-14.9 ватт, KDE Wayland (CA) - 13.8-14.1 ватт, GNOME Wayland - 12.5-15.6 ватт, KDE Wayland (PE) - 13.8-20.4 ватт.

По итогам тестирования сделан вывод, что X11 ещё рано сбрасывать счетов, а решения на базе Wayland требуют дополнительной оптимизации. X11 отмечается как по-прежнему самое оптимальное решение с точки зрения производительности. Реализация Wayland в KDE предположительно лучше, чем в GNOME - сеанс GNOME Wayland, реализованный в Fedora, судя по тестам менее производителен, чем сеанс KDE Wayland, который в свою очередь отстаёт от KDE X11.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63563

Кто хочет ужаснуться от аналогий, лучше смотреть не про СССР или нацистов, а про аргентинскую хунту, тоже прославившуюся своими невероятными экономическими и военными успехами - например, фильм 1985 года Официальная версия. Узнавание прямо с первых кадров.

#кино #ЧтоПосмотреть

Mono ir
-
#monochrome #infraredphotography #photography #nature #landscape #monochromephotography #blackandwhite

Доступна система обнаружения атак Suricata 8.0

Основные изменения:

• Добавлена экспериментальная возможность использования Suricata в качестве межсетевого экрана. Режим межсетевого экрана позволяет использовать диалект языка правил инспектирования трафика для фильтрации сетевых пакетов.
• Переработана возможность написания скриптов на языке Lua. В состав кодовой базы интегрирован интерпретатор Lua 5.4, запускаемый в sandbox-окружении, ограничивающем правила на языке Lua (например, из правил не может осуществляться запись в файлы или создаваться сетевые сокеты).
• Предоставлена возможность динамической (во время работы) регистрации плагинов с парсерами протоколов, детекторами и компонентами для ведения логов.
• Проведены значительные оптимизации производительности, позволившие ускорить различные аспекты работы движка, включая определение протоколов, загрузку правил и инициализацию. Ускорение достигается благодаря предсказанию переходов, оптимизации хэш-функций, увеличению размера буферов загрузки данных в формате PCAP и переработке синхронизации потоков. Также удалось сократить время запуска Suricata, используя кэширование, расширенную группировку портов и улучшенный алгоритм подстановки IP-адресов.
• На языке Rust переписаны обработчики LibHTP, FTP, ENIP, а также код разбора MIME-типов, операции byte_extract и декодирования base64.
• Добавлена поддержка протоколов DoH (DNS over HTTPS), LDAP, mDNS (Multicast DNS) и Websocket.
• Добавлены новые модули декодирования и ведения логов для протоколов ARP и POP3.
• Обеспечен разбор трафика SDP поверх SIP и SIP поверх TCP.
• Расширены возможности движка определения протоколов и построения правил. Для правил реализованы ключевые слова LDAP, MIME/ EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform и mDNS. Добавлены транзакционные правила, позволяющие описать оба направления транзакции в одном правиле.

Особенности Suricata:

• Использование для вывода результатов проверки унифицированного формата Unified2, также применяемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
• Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP и SSH;
• Система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок (лог сохраняется в стандартном формате Apache). Поддерживается извлечение и проверка файлов, передаваемых по протоколу HTTP, а также разбор сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
• Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
• Высокая производительность, способность обрабатывать на обычном оборудовании потоки в десятки гигабит в cекунду.
• Высокопроизводительный механизм сопоставления по маске с большими наборами IP-адресов. Поддержка выделения контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или хэшу.
• Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать её в других правилах;
• Использование формата YAML в файлах конфигурации, сочетающего наглядность с лёгкостью машинной обработки;
• Полная поддержка IPv6;
• Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
• Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
• Режим ведения лога ключей и сертификатов, фигурирующих в соединениях на базе TLS;
• Возможность написания скриптов на языке Lua для расширенного анализа трафика и реализации дополнительных возможностей, для которых недостаточно стандартных правил.


Источник: https://www.opennet.ru/opennews/art.shtml?num=63561

А послушайте-ка историю про индийского царя царей Викрама Адитью, которую абсолютно чудесно переложил и рассказал Дмитрий Гайдук.

https://akniga.org/gayduk-dmitriy-devyanosto-mesyacev-ili-bolshoe-puteshestvie-vikrama-aditi

@rf @litclub

TikTok опубликовал шрифт TikTokSans под открытой лицензией OFL

В шрифте поддерживается более 460 языков, в том числе языки на основе кириллицы. Шрифт является вариативным и допускает гибкое изменение стилистических характеристик, например, можно менять настройки угла наклона, толщины, высоты, отступа и других параметров. Предлагается 14 стилей и более 1000 глифов.

Радуга, а дождя не было.

Red Hat представил бесплатный вариант RHEL для разработки приложений на предприятиях

Инициатива расширяет ранее действующую программу Red Hat Developer, позволяющую бесплатно использовать RHEL в окружениях индивидуальных разработчиков, насчитывающих до 16 виртуальных или физических систем. Новый вариант расширяет данную опцию на коммерческие предприятия, но в отличие от программы Red Hat Developer не позволяет использовать бесплатные копии дистрибутива для рабочий внедрений, а ограничивается только процессом разработки и проведением тестирования.

Для получения бесплатных экземпляров RHEL для целей разработки предприятию достаточно зарегистрироваться с корпоративным email, принять соглашение (Enterprise Agreement) и загрузить iso-образ. Поддержка бесплатных экземпляров дистрибутива осуществляется предприятием самостоятельно (self-serve). Возможна загрузка сборок для всех поддерживаемых архитектур (в Red Hat Developer допускалась только загрузка сборок для x86_64 и ARM). Использование предоставленных 25 экземпляров разрешается на физических компьютерах, в облачных окружениях и в системах виртуализации.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63558

Выпуск miracle-wm 0.6, композитного менеджера на базе Wayland и Mir

Целью miracle-wm является создание композитного сервера, применяющего мозаичное управление окнами, но более функционального и стильного, чем такие продукты, как Swayfx. При этом проект позволяет использовать и классические приёмы работы с плавающими окнами, например, можно размещать отдельные окна поверх мозаичной сетки или закреплять окна к определённому месту на рабочем столе. Поддерживается виртуальные рабочие столы с возможностью выставления для каждого рабочего стола своего режима работы с окнами по умолчанию (мозаичная компоновка или плавающие окна).

Предполагается, что miracle-wm может оказаться полезным пользователям, которые отдают предпочтение мозаичной компоновке, но желают получить визуальные эффекты и более яркое графическое оформление с плавными переходами и цветами. Конфигурация определяется в формате YAML. Для установки miracle-wm можно использовать команду "sudo snap install miracle-wm --classic".

Основные новшества:

• В поставку включена библиотека libmiracle-wm-config, предоставляющая C API для создания конфигураторов. В качестве примера реализован графический конфигуратор miracle-settings с интерфейсом на базе Flutter.
• Добавлена поддержка расширения Wayland-протокола wlr-output-management для изменения настроек устройств вывода. Поддержка указанного протокола, например, позволяет использовать приложение wdisplays для настройки параметров экрана.
• Добавлена возможность настройки радиуса скругления углов рамки окна.
• Реализованы IPC-команды "marks", "fullscreen toggle", "floating toggle", "swap" и "rename workspace".
• Реализованы события, отражающие манипуляции с окнами, такие как new, close, focus, title, fullscreen_mode, move, floating, urgent и mark.
• Добавлен systemd unit miracle-wm-xdg-autostart.target для запуска сеанса на базе MiracleWM.
• Улучшена отрисовка рамок окна.
• Повышена плавность анимации.
• Настройки перенесены из $XDG_CONFIG_HOME/miracle-wm.yaml в $XDG_CONFIG_HOME/miracle-wm/config.yaml. Настройки экрана размещены в файле $XDG_CONFIG_HOME/miracle-wm/display.yaml.

Атака TSA, приводящая к утечке информации из микроархитектурных структур CPU AMD

Уязвимости выявлены в ходе разработки инструментария, созданного исследователями из Microsoft и Швейцарской высшей технической школы Цюриха для стресс-тестирования микроархитектурной изоляции между различными зонами разграничений доступа, такими как ядро, виртуальные машины и процессы.

Метод атаки основан на зависимости времени выполнения некоторых инструкций от состояния микроархитекткрных структур. Когда процессор ожидает быстрого завершения инструкции чтения данных из памяти (например, полагая, что данные есть в кэше L1), но не удаётся успешно получить данные, возникает состояние "ложного завершения" инструкции (false completion). При этом процессор ещё до определения этого состояния может запланировать спекулятивное выполнение других операций, зависящих от результата выполнения инструкции загрузки из памяти.

Так как загрузка оказалась не завершена, ассоциированные с ней данные признаются процессором недействительными, а операция загрузки позднее повторяется ещё раз. Зависимые операции также повторно выполняются после готовности корректных данных. При этом сброс конвейера (pipeline flush) после выполнения инструкции, для которой зафиксировано состояние "ложного завершения", не производится, и некорректные данные могут быть перенаправлены в зависимые операции.

Выполнение подобных операций не меняет состояние кэша и TLB (Translation Lookaside Buffer), т.е. данные не могут быть восстановлены при помощи традиционных методов определения состояния кэша. Но эти данные влияют на время выполнения других инструкций. Анализ времени выполнения может использоваться как источник утечки информации из микроархитектурных структур, оставшейся после спекулятивного выполнения других операций.

В зависимости от источника извлечения остаточных данных выделены две уязвимости:

• CVE-2024-36350 (TSA-SQ - TSA Store Queue) - утечка из буфера временного хранения операций записи (Store Queue), позволяющая определить результат работы инструкций записи в память.
• CVE-2024-36357 (TSA-L1 - TSA L1 Data Cache) - утечка через кэш L1D.

Уязвимости проявляются в семействе процессоров AMD (Fam19h) на базе микроархитектур Zen 3 и Zen 4. Например, проблема присутствует в сериях CPU AMD Ryzen 5000/6000/7000/8000, AMD EPYC Milan/Milan-X/Genoa/Genoa-X/Bergamo/Siena, AMD Instinct MI300A, AMD Ryzen Threadripper PRO 7000 WX, AMD EPYC Embedded 7003/8004/9004/97X4, AMD Ryzen Embedded 5000/7000/V3000.

Необходимые для блокирования уязвимости изменения включены в состав декабрьского обновления микрокода и PI-прошивок (Platform Initialization), переданных OEM-производителям. Патчи для защиты от уязвимости переданы для включения в состав ядра Linux (для отключения защиты, негативно влияющей на производительность, предусмотрена опция командной строки ядра "tsa=off"). Исправление также добавлено в гипервизор Xen. Для блокирования уязвимости требуется одновременно как обновление микрокода, так и включение режима защиты на уровне ядра или гипервизора.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63557

Уязвимости в Git, допускающие выполнение кода при обращении к внешнему репозиторию

• CVE-2025-48384 - уязвимость вызвана тем, что при чтении значений параметров конфигурации Git очищает указанные в конце символы перевода строки (LF) и возврата каретки (CR), но при записи значений в файл конфигурации не выполняет экранирование символа возврата каретки. Атакующий может указать при инициализации субмодуля путь, в конце имени которого указан символ возврата каретки (ФС в unix-подобных ОС позволяют указывать спецсимволы в именах файлов и каталогов).

  Очистка символа возврата каретки при чтении конфигурации приведёт к тому, что субмодуль будет извлечён по некорректному пути. Атакующий может разместить по этому некорректному пути символическую ссылку, указывающую на каталог с git hook-ами и разместить в нём обработчик, вызываемый после завершения операции checkout. Выполнение команды "git clone --recursive" над репозиторием с подобным субмодулем приведёт к выполнению кода, указанного злоумышленником.

• CVE-2025-48385 - недостаточная проверка на стороне клиента bundle-файлов, отдаваемых сервером во время клонирования репозитория и используемых для передачи части отдаваемых данных через системы доставки контента (CDN). Атакующий, контролирующий Git-сервер, может организовать загрузку клиентом специально оформленного bundle-файла, который после извлечения будет сохранён в произвольное место ФС.
• CVE-2025-48386 - специфичная для платформы Windows уязвимость, вызванная переполнением буфера в обработчике Wincred, применяемом для сохранения учётных данных в Windows Credential Manager.

Кроме того, устранены четыре уязвимости в графических интерфейсах Gitk и Git GUI, написанных на Tcl/Tk:

• CVE-2025-27613 - открытие в Gitk специально оформленного репозитория может привести к перезаписи произвольных файлов в файловой системе.
• CVE-2025-27614 - при выполнении "gitk filename" над специально оформленным репозиторием может привести к запуску скрипта, подготовленного атакующим.
• CVE-2025-46334 - в Git GUI в Windows можно организовать запуск кода атакующего при выполнении пользователем действий "Git Bash" или "Browse Files" c репозиторием, в рабочем дереве которого атакующим размещены типовые исполняемые файлы, такие как sh.exe, astextplain.exe, exif.exe и ps2ascii.exe, вызываемые в процессе работы Git GUI.
• CVE-2025-46335 - возможность создать или перезаписать произвольный файл в ФС при редактировании пользователем в Git GUI файла из каталога со специально оформленным именем, извлечённого из репозитория, подготовленного атакующим.

Покупайте наши бесплатные анархозины! За ноль денег!! Это недорого!!!

https://autistici.org/morethantwo/

Выпуск музыкального проигрывателя Amarok 3.3

Amarok предоставляет трёхпанельный режим отображения информации (коллекция, текущая композиция и список воспроизведения), позволяет осуществлять навигацию по музыкальной коллекции, тегам и отдельным каталогам, поддерживает динамические списки воспроизведения и быстрое создание собственных списков воспроизведения, может автоматически генерировать рекомендации, статистику и рейтинг популярных композиций, поддерживает загрузку текстов песен, обложек и информационных справок о композициях из различных сервисов, даёт возможность автоматизировать действия через написание скриптов.

В новой версии завершено портирование на Qt 6 и KDE Frameworks 6. Удалена поддержка Qt5. Обновлена схема БД, в которой решены проблемы с кодировками. Реализован звуковой бэкенд на базе GStreamer, поддерживающий дополнительные возможности, отсутствующие в бэкенде phonon-vlc, доступном для Qt6. Улучшен код сканирования содержимого музыкальных коллекций.

Уязвимости в Git, допускающие выполнение кода при обращении к внешнему репозиторию

• CVE-2025-48384 - уязвимость вызвана тем, что при чтении значений параметров конфигурации Git очищает указанные в конце символы перевода строки (LF) и возврата каретки (CR), но при записи значений в файл конфигурации не выполняет экранирование символа возврата каретки. Атакующий может указать при инициализации субмодуля путь, в конце имени которого указан символ возврата каретки (ФС в unix-подобных ОС позволяют указывать спецсимволы в именах файлов и каталогов).

  Очистка символа возврата каретки при чтении конфигурации приведёт к тому, что субмодуль будет извлечён по некорректному пути. Атакующий может разместить по этому некорректному пути символическую ссылку, указывающую на каталог с git hook-ами и разместить в нём обработчик, вызываемый после завершения операции checkout. Выполнение команды "git clone --recursive" над репозиторием с подобным субмодулем приведёт к выполнению кода, указанного злоумышленником.

• CVE-2025-48385 - недостаточная проверка на стороне клиента bundle-файлов, отдаваемых сервером во время клонирования репозитория и используемых для передачи части отдаваемых данных через системы доставки контента (CDN). Атакующий, контролирующий Git-сервер, может организовать загрузку клиентом специально оформленного bundle-файла, который после извлечения будет сохранён в произвольное место ФС.
• CVE-2025-48386 - специфичная для платформы Windows уязвимость, вызванная переполнением буфера в обработчике Wincred, применяемом для сохранения учётных данных в Windows Credential Manager.

Кроме того, устранены четыре уязвимости в графических интерфейсах Gitk и Git GUI, написанных на Tcl/Tk:

• CVE-2025-27613 - открытие в Gitk специально оформленного репозитория может привести к перезаписи произвольных файлов в файловой системе.
• CVE-2025-27614 - при выполнении "gitk filename" над специально оформленным репозиторием может привести к запуску скрипта, подготовленного атакующим.
• CVE-2025-46334 - в Git GUI в Windows можно организовать запуск кода атакующего при выполнении пользователем действий "Git Bash" или "Browse Files" c репозиторием, в рабочем дереве которого атакующим размещены типовые исполняемые файлы, такие как sh.exe, astextplain.exe, exif.exe и ps2ascii.exe, вызываемые в процессе работы Git GUI.
• CVE-2025-46335 - возможность создать или перезаписать произвольный файл в ФС при редактировании пользователем в Git GUI файла из каталога со специально оформленным именем, извлечённого из репозитория, подготовленного атакующим.

When I complain that some software (or its dependencies) doesn't work on *BSD but requires Linux, I'm not criticizing Linux. For me, it's not an OS battle, but a matter of freedom and avoiding a dangerous and rampant computing monoculture. And when people reply to me with "well, just use it on Linux" - while they're giving me sensible advice - they're missing the crucial point: if it ONLY runs on Linux, it's not Linux's fault, but we are, precisely, creating a dangerous monoculture.

#Linux #SysAdmin #OSS #RunBSD #BSD #FreeBSD #NetBSD #OpenBSD #illumos

Выпуск почтового клиента Thunderbird 140

Основные изменения в Thunderbird 140:

• Улучшена реализация тёмного режима оформления. В панель сообщений интегрировано дополнение Dark Reader для автоматического применения тёмной темы оформления к содержимому сообщений со светлым фоном.
• В настройки добавлена опция для глобального управления сортировкой и нитевидным режимом показа сообщений во всех компонентах Thunderbird. Предоставлена возможность настройки числа столбцов в режиме Cards View.
• В уведомление о новой почте добавлены кнопки для пометки прочитанным, пометки спамом, маркировки звёздочкой, архивирования или удаления сообщения. Для предприятий реализована политика для выборочного управления уведомлениями. При выводе уведомлений задействованы родные для Linux, macOS и Windows системные механизмы показа уведомлений.
• Включён по умолчанию интерфейс Account Hub, позволяющий управлять несколькими учётными записями к разным почтовым службам.
• В боковой панели реализована поддержка ручной сортировки папок.
• Добавлена экспериментальная поддержка настройки учётной записи в Microsoft Exchange из Thunderbird.
• Реализована возможность генерации QR-кода для быстрого переноса настроек учётной записи на мобильную версию Thunderbird для Android.
• Добавлена настройка mail.threadpane.table.horizontal_scroll для включения поддержки горизонтальной прокрутки в интерфейсе для просмотра списка сообщений.
• В контекстное меню панели со списком почтовых папок добавлена возможность работы с фильтрами сообщений.

Ardour прекратил поддержку сборки с GTK2 в пользу форка YTK

Изначально YTK являлся только копией GTK2, интегрированной в репозиторий Ardour для упрощения сопровождения. Изменения в кодовой базе ограничивалась исправлением ошибок и проведением чистки от возможностей, не применяемых в Ardour. При этом YTK применялся только в форме опции для сборки Ardour в дистрибутивах, прекративших поддержку GTK2, а по умолчанию продолжала выполняться сборка с GTK2.

В феврале в YTK начали добавлять дополнительную функциональность, отсутствующую в GTK2, а сценарии сборки в экспериментальной ветке Ardour, на базе которой формируется релиз Ardour 9.0, были переведены на YTK по умолчанию. Несколько дней назад поддержка GTK2 была удалена. Как и GTK2 библиотека YTK поддерживает только работу с использованием протокола X11 и требует использования XWayland для работы в окружениях на основе протокола Wayland.

Источник: https://www.opennet.ru/opennews/art.shtml?num=63547

Сегодня слышал по радио патриотичную попсу, качество текстов и музыки были даже хуже чем то что делают всякие ИИ-шечки типа Suno.

Подобные исполнители, композиторы и поэты точно будут вытеснены ИИ.

Вообще ИИ сильно ударит по посредственным авторам, как фотография в своё время, и позже типография, ударили по посредственным художникам.