Компрометация удостоверяющего центра eMudhra, позволившая получить TLS-сертификаты для любых сайтов

Закрытые ключи были воссозданы исследователями из имеющихся в публичном доступе данных, что стало возможным из-за ошибки в процессе генерации компанией eMudhra ключей на базе эллиптической кривой P-384, из-за которой ключи были сгенерированы с использованием при инициализации целых чисел меньше 256 вместо криптографически стойких случайных чисел. При такой генерации закрытый ключ может быть воссоздан простым перебором первых 256 возможных значений. Так как процедура воссоздания закрытых ключей может быть повторена злоумышленниками всем пользователям рекомендуется срочно обновить браузеры и пакеты с сертификатами.

Экстренно сформированы корректирующие выпуски Firefox 158.0.1, 115.43.1 и 153.5.1, а также библиотеки NSS 3.131.1, в которых обновлено хранилище корневых сертификатов и заблокированы проблемные сертификаты. В Chrome и продуктах Google скомпрометированные сертификаты заблокированы 17 октября, в Apple - 19 октября, а в Microsoft - 20 октября. Блокировка также выполнена через централизованные списки отозванных сертификатов s OneCRL, CRLite и CRLSets.

Пакеты с обновлёнными корневыми сертификатами выпущены для Ubuntu (ca-certificates 20260816ubuntu0.2*.04.1), Arch Linux (ca-certificates-mozilla 3.131.1-1), Gentoo (ca-certificates 20260816.3.125), curl, Homebrew, Go (1.27.3, 1.26.10), Python, RustTLS, Electron и Elixir. Необновлёнными на момент написания новости остаются списки корневых сертификатов в Debian, FreeBSD, Node.js, Bun и Composer.

В качестве доказательства утечки закрытых ключей сообщивший об инциденте исследователь опубликовал сообщение, подписанное закрытыми ключами от каждого из восьми скомпрометированных сертификатов eMudhra. Проверить свой браузер на предмет обновления информации об отозванных сертификатах можно на сайте, посвящённом инциденту.

Для ручного удаления проблемных сертификатов в Debian и Ubuntu можно использовать команду:

   sed -i \
     -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
     -e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \
     /etc/ca-certificates.conf && update-ca-certificates

В Fedora, RHEL, CentOS Stream, Rocky Linux, AlmaLinux и Amazon Linux 2023:

   d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist
   trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --overwrite --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-trust

В openSUSE и SLES:

   d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist
trust extract --format=pem-bundle \
     --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
     $d/Comodo_AAA_Services_root.pem &&
trust extract --format=pem-bundle \
     --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
     $d/emSign_ECC_Root_CA_-_G3.pem &&
   update-ca-certificates

В NixOS:

   security.pki.caCertificateBlacklist = [
     "Comodo AAA Services root"
     "emSign ECC Root CA - G3"
   ];

В NetBSD:

   certctl untrust /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem &&
   certctl untrust /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem

Для ядра Linux реализованы новые файловые системы BeamFS, XMFS и MeshXFS

По умолчанию BeamFS может восстановить до 8 потерянных байт в каждом 255-байтовом блоке при накладных расходах 7% (288 байт кодов восстановления на каждые 4096 байт хранимых данных). Коды коррекции ошибок применяются не только для данных, но и для служебной информации в суперблоке, inode, индексах директорий и битовых картах. Проверка целостности и попытки восстановления недостающих данных осуществляются при каждой операции чтении. Если гарантировать корректность информации не удаётся, операция завершается ошибкой "-EIO", что исключает скрытое возвращение повреждённых данных.

Проведённые эксперименты показали, что при облучении платы i.MX 8M Plus с Linux и ФС ext4 протонами с энергией от 20 до 58 мэВ, 90% всех сбоев возникало на уровне файловой системы и драйверов устройств хранения. Также была проведена симуляция одиночных искажений битов при чтении с носителя: BeamFS и Btrfs успешно распознали повреждение данных и всегда возвращали ошибку, в то время как ext4 и ext3 молча возвращали искажённые данные.

BeamFS обеспечивает целостность и восстановление только на стадии от чтения с физического носителя до передачи в страничный кэш в оперативной памяти. Целость хранения в оперативной памяти может поддерживаться при помощи чипов памяти с коррекцией ошибок. Из ограничений BeamFS отмечается отсутствие поддержки журналирования и режима Copy-on-Write (CoW) - метаданные на накопитель записываются неупорядоченно, поэтому в случае некорректного завершения работы требуется полная проверка при помощи fsck.

Кроме BeamFS недавно для ядра Linux были предложены ещё две файловые системы:

• На прошедшей несколько дней назад конференции Linux Plumbers Conference 2026 инженер из компании Huawei представил (видео, слайды) файловую систему XMFS (cross-node eXpress Memory File System) для ядра Linux, предназначенную для использования в кластерах с общей для всех узлов разделяемой оперативной памятью (как tmpfs, но для памяти всех узлов). XMFS даёт возможность использовать стандартный POSIX-интерфейс файловых систем для работы с внешней памятью, адресуемой напрямую при помощи таких технологий как CXL 3.0 (Compute Express Link) и Huawei United Bus. Проект находится на стадии экспериментального прототипа, проходящего внутреннее тестирование, и пока не готов для передачи в состав ядра.

  Файловая система имеет классическую для распределённых файловых систем архитектуру с выделением сервера, отвечающего за журналирование, поддержание таблиц inode и сопоставление содержимого и метаданных с памятью отдельных узлов.

  

  При тестировании использования XMFS для таких задач как совместный доступ к образам контейнеров с разных узлов реализация показала производительность близкую с tmpfs с включением больших страниц памяти (2 MB huge pages).

  
  
  
  <iframe src="https://www.youtube.com/embed/9qc1dGV1CQw"></center> <li class="l"> При помощи AI подготовлена файловая система <a href="https://github.com/sshoecraft/meshxfs">MeshXFS</a>, представляющая собой форк XFS, адаптированный для одновременного использования на нескольких узлах в кластере. MeshXFS даёт возможность примонтировать общее блочное устройство в режиме чтения-записи на разных узлах, поддерживать целостность и управлять блокировками при одновременном обращении к данным. Проект начинался как эксперимент по проверке возможности создания при помощи AI-моделей Linux-драйвера с файловой системой, поддерживающей распределённые блокировки, параллельный доступ и восстановление после сбоев. Основная работа выполнена при помощи Claude Opus, но для решения особо сложных проблем точечно привлекались модели Claude Fable, GPT, Gemini и Astra. Эксперимент признан успешным и уже опубликовано несколько рабочих релизов MeshXFS. <p>Из дополнительных возможностей, реализованных поверх XFS, отмечены два режима управления распределёнными блокировками (синхронизация по сети и хранение состояния на отдельном общем диске), обеспечение непротиворечивости кэша на разных узлах, ведение журнала для восстановления и адаптация дискового формата и утилит для специфики кластерной ФС. Поддерживается работа с общим хранилищем, подключённым через iSCSI (протестировано на 16 узлах), или при репликации блочного устройства при помощи DRBD. Координация блокировок, функции обнаружения узлов, проверка доступности и определение сбойных узлов реализованы в одном общем модуле ядра. Работа проверена в Proxmox VE 9, RHEL 9, Ubuntu 24.04/26.04 и Debian 12/13. </p> <br /><br>Источник: <b><a href="https://www.opennet.ru/opennews/art.shtml?num=66510">https://www.opennet.ru/opennews/art.shtml?num=66510</a></b></br></li></center></p></center></p></center></li></ul></p></p></p></p>

Немного пвз-фольклора, собирал лично.

- А ты знаешь, что дом на кладбище построен?
- Да знаю, конечно. Наверное, поэтому в нашем ПВЗ такие вещи происходят.
- Надо же! А какие?
- Ну вот сменщица моя, на выходных работает, она тут кукушку слышала.
- Кукушку?
- Ну да, как в лесу сидит кукушка и кукует.
- Мда, до леса тут далековато.
- А я говорю, ну кукушка это ерунда. Вот у меня было один раз, тоже в выходной работала, закрывала пункт, а тут вечером больше никого не было. И сдуру сначала выключила свет тут, а в коридоре у нас и так не горит, там только по датчику. И оказалась в полной темноте. Ну, думаю, сейчас как п...данусь. И тут же как голос такой ехидный слышу, как кто-то смеётся.
- Ничего себе!
А ещё у нас вон в том складе тоже света нету обычно, и всё время когда входишь, кажется, что кто-то чёрный сидит прямо на стеллаже!
А ещё всё время боковым зрением замечаешь, то за шторкой в примерочной кто-то прячется, то с другой стороны тени и шепотки какие-то. Так что мы тут не любим одни оставаться, ну и музычка всё время включена на полную, или кино. Тишины не любим.

(#ленинграднутряной, #фольклор)

Немного пвз-фольклора, собирал лично.

- А ты знаешь, что дом на кладбище построен?
- Да знаю, конечно. Наверное, поэтому в нашем ПВЗ такие вещи происходят.
- Надо же! А какие?
- Ну вот сменщица моя, на выходных работает, она тут кукушку слышала.
- Кукушку?
- Ну да, как в лесу сидит кукушка и кукует.
- Мда, до леса тут далековато.
- А я говорю, ну кукушка это ерунда. Вот у меня было один раз, тоже в выходной работала, закрывала пункт, а тут вечером больше никого не было. И сдуру сначала выключила свет тут, а в коридоре у нас и так не горит, там только по датчику. И оказалась в полной темноте. Ну, думаю, сейчас как п...данусь. И тут же как голос такой ехидный слышу, как кто-то смеётся.
- Ничего себе!
А ещё у нас вон в том складе тоже света нету обычно, и всё время когда входишь, кажется, что кто-то чёрный сидит прямо на стеллаже!
А ещё всё время боковым зрением замечаешь, то за шторкой в примерочной кто-то прячется, то с другой стороны тени и шепотки какие-то. Так что мы тут не любим одни оставаться, ну и музычка всё время включена на полную, или кино. Тишины не любим.

(#ленинграднутряной, #фольклор)

#интересное
«Алиса в Стране чудес» (1915)
Это отрывок из американской немой экранизации режиссера У. У. Янга с 15-летней Виолой Савой в роли Алисы. Создатели фильма вдохновлялись знаменитыми рисунками Джона Тенниела и воссоздали их с помощью гигантских костюмов и практических спецэффектов, сделав Страну чудес удивительно ощутимой.

External Attachment:

Не то, чтоб я куда-то пропадал, так - взял небольшую паузу, закрыл ноутбук с личным, да как-то и не открывал, пока туда не пришли налоги.

Социальная батарейка разрядилась. А, может, основная тоже подсела и включился режим энергосбережения. Наверное, это всё осень. Причём осень в таком глобальном смысле, не только погодном. Где-то с сентября не проходит ощущение, что всё летит в пизду мир вокруг в целом увядает, как в "Лангольерах" Стивена Кинга. Все чувствуется каким-то странноватым, если чуть притормозить и распробовать на языке.

Район, где я живу, стареет. На мусорных площадках почти каждый день вывалены чьи-то сокровища прошлого тысячелетия, что уже почти никому не нужны - фрагменты советских мебельных стенок, телевизоры, стеклянные банки, матрасы, стулья, сервизы. Понятно, что и бывший владелец тоже, скорее всего, уже не с нами, неважно в каком смысле. А его панельное или кирпичное обиталище в последний, наверное, раз сейчас вычистят, рассверлят как многократно пломбируемый зуб, заклеят, замажут, поставят коронки и попытаются купить ему ещё пять или десять лет жизни, прежде чем будет вынесен неизбежный вердикт - "рвать". И даже деревья во дворах, моя любимая часть городского пейзажа, устали и только за эту осень упало штук пять, разбивая припаркованные под ними машины.

Машины во дворах тоже изменились - часть современных автомобилей как-то незаметно стала подзабытыми уже паджериками, гольфами и прочей живностью ушедшей эпохи. Оно, конечно, понятно, что на фоне бензиновых проблем вспомнили про то, что пожилой батя хранил в гараже и никак не собрался продать, а, может, и не мог - пыльное, помятое и немного (или весьма) ржавое, но слегка бессмертное, да ещё и на дизеле.

Вскоре после "выборов" ранним утром поехал на велосипеде по городу через центр. На своём пути наткнулся там на длинный коридор из ограждений, к которому вскоре добавилось довольно многочисленное присутствие полиции. Никаких мероприятий не ожидалось, но на всякий случай я с этой набережной уехал и покатил параллельно - и догнал шеренгу людей, куда-то сосредоточенно бредущих, но куда? Их было много, несколько сотен, на вид абсолютно разные и обычные, но про какие-то мероприятия я не слышал, да и куда можно вот так молча идти в восемь утра? Дома посмотрел новости и оказалось, что "в Москву привезли мощи Спиридона Тримифунтского, которому верующие молятся о деньгах, работе, жилье и помощи в сложных жизненных ситуациях".

На велосипеде вообще ездил много, хоть и не слишком далеко - так, километров по 50-100. Починил термос, брал с собой чай и пил его в разных местах Москвы и около. Так чай гораздо вкуснее. В одном знакомом лесу набрёл на башню ПВО. Эта находка тоже отозвалась всё тем же - посреди леса вырублена свежая площадка размером со футбольное поле и в её середине высится огромный параллелепипед из ферм с зениткой наверху. Практический смысл понятен, но ощущается это как нечто почти религиозное, проникшее из параллельной вселенной Вархаммера.

Петербург пережил крупную атаку дронов, родные пенаты тоже зацепило. Но родители не в курсе. Пожилые люди спят со снотворным и взрывы в соседнем районе не слышали, встали тоже поздно и, хотя отключение электричества в доме случилось, это тоже осталось незамеченным. А в телевизионных новостях это событие почти не получило освещения, поэтому в их мире его и не случилось. Такая вот ещё одна ветка параллельной вселенной, которая тоже угасает - но по-своему.

This is fine.
#ТакиеДела

Релиз OpenBSD 8.0

Кроме непосредственно операционной системы, проект OpenBSD известен своими компонентами, которые получили распространение в других системах и зарекомендовали себя как одни из наиболее безопасных и качественных решений. Среди них: LibreSSL (форк OpenSSL), OpenSSH, пакетный фильтр PF, демоны маршрутизации OpenBGPD и OpenOSPFD, NTP-сервер OpenNTPD, почтовый сервер OpenSMTPD, мультиплексор текстового терминала (аналог GNU screen) tmux, демон identd с реализацией протокола IDENT, BSDL-альтернатива пакету GNU groff - mandoc, протокол для организации отказоустойчивых систем CARP (Common Address Redundancy Protocol), легковесный http-сервер, утилита синхронизации файлов OpenRSYNC.

OpenBSD 8.0 стал 61 релизом проекта. Значительное изменение номера версии обусловлено использованием десятичной нумерации, в соответствии с которой следом за выпуском 7.9 следует 8.0. Основные изменения:

• Для архитектуры amd64 размер виртуального адресного пространства увеличен с 4 до 512 ГБ. В модуле pmap реализована рандомизация базового адреса прямого отображения (direct map) всей физической памяти на виртуальные адреса.
• На системах с архитектурой arm64 реализована поддержка спящего режима с сохранением содержимого памяти на диск (hibernate).
• Для архитектур arm64 и riscv64 добавлена поддержка промежуточных буферов (bounce buffer), применяемых при невозможности прямой адресации всей памяти со стороны устройства, передающего данные в режиме DMA.
• Для ускорения шифрования данных в разделе подкачки (swap) на системах amd64 и arm64 задействованы AES-инструкции CPU. * Для архитектуры riscv64 реализовано определение поддерживаемых расширений CPU и передача сведения о них в пространство пользователя при использовании флагов AT_HWCAP и AT_HWCAP2 в функции elf_aux_info. Добавлена поддержка расширении "V" (векторные операции), Sstc (операции с таймером) и AIA (Advanced Interrupt Architecture, обработка прерываний), а также драйверов imsi и aplic для соответствующих контроллеров прерываний.
• Порт для архитектуры sparc64 переведён на использование инструментария LLVM.
• Прекращена поддержка аппаратной платформы Loongson добавленной в 2010 году для MIPS-совместимых китайских процессоров Loongson 2E и 2F. Причиной удаления стали проблемы со сборкой для платформы mips64el в новых версиях компилятора Clang.
• Реализация фреймворка drm (Direct Rendering Manager) и графических драйверов для GPU AMD (radeondrm, amdgpu) и Intel синхронизирована с ядром Linux 6.18.53 (в прошлом выпуске - 6.18.22). В драйвер inteldrm перенесена поддержка графических карт Intel серии Arc A (DG2/Alchemist). Решены проблемы с появлением таймаутов на системах с GPU Intel Alder Lake. Добавлена поддержка адресации более 4 ГБ видеопамяти.
• В ядре улучшена эвристика обработки неактивных страниц памяти при вытеснении в раздел подкачки и освобождении памяти. Добавлена функция getexecpath для определения абсолютного пути к исполняемому файлу текущего процесса. Проведена подготовка для увеличения размера дисковых меток (disklabel).
• Расширена поддержка спящего режима, который теперь корректно поддерживается в драйверах qwz (Qualcomm Wi-Fi 7 IEEE 802.11a/ac/ax/b/g/n), ufshci (Universal Flash Storage Host Controller) и qcuart (Qualcomm GENI UART). Изменения позволили решить проблемы с переходом в спящий режим ноутбуков и планшетов, таких как Samsung Galaxy Book4 Edge, HONOR MagicBook Art 14 Snapdragon и IdeaPad. Добавлен глобальная переменная для перехода в спящий режим, разделяющая гибернацию и ждущий режим.
• В гипервизоре vmd появилась поддержка многопроцессорности в виртуальных машинах с возможностью использования до 64 виртуальных CPU. Для гостевых систем реализован режим x2apic, а также режимы lapic и ioapic для запуска 32-разрядных гостевых систем с Linux. Улучшена работа с образами в формате qcow.
• В звуковом сервере sndiod реализован серверный режим управления, позволяющий динамически менять настройки утилитой sndioctl. В sndioctl появилась поддержка добавления и удаления элементов списков, а также настройки проброса MIDI-портов.
• Расширена поддержка оборудования и добавлены новые драйверы для Ethernet-контроллеров Intel E610, Panther Lake и Wildcat Lake, сенсорных экранов GXTP7936 (Samsung Galaxy Book4 Edge), PCIe-контроллера SpacemiT K3, SABI (Samsung Advanced BIOS Interface), контроллеров заряда Samsung, OTP-памяти Rockchip, APU AMD "Krackan Point", SoC SpacemiT K3 и Qualcomm Glymur (X2). Внесены многочисленные улучшения в драйвер qwx (Qualcomm Wi-Fi 6 IEEE 802.11a/ac/ax/b/g/n).
• В acme-client добавлена поддержка масок при задании альтернативных имён.
• В tmux реализован безрамочный режим показа меню, расширена поддержка UTF-8, добавлена команда "T" для изменения заголовка панели, добавлена команда refresh-now, в команду new-pane добавлена поддержка модальных панелей (-O) и флаг "-K" для в подобных панелях всех нажатий клавиш, в команду capture-pane добавлены флаги "-H" и "-L" для показа гиперссылок и номеров строк.
• В LibreSSL улучшена совместимость с AIX, FreeBSD, macOS, MinGW, NetBSD и Windows, а также улучшена поддержка кода на языке ассемблера для разных платформ. Добавлен API dtls12_handshake_msg. Повышена производительность SHA-3.
• Обновлён OpenSSH, cписок изменений можно посмотреть в анонсах OpenSSH 10.4, OpenSSH 10.5 и OpenSSH 10.6.
• Число портов для архитектуры AMD64 составило 13060 (было 13044), для aarch64 - 12907 (было 12883), для i386 - 10659 (было 10631). Среди версий приложений в портах:
  • Asterisk 20.21.0 and 22.11.0
  • Audacity 3.7.9
  • CMake 4.3.5
  • Chromium 154.0.8037.92
  • Emacs 31.1
  • FFmpeg 9.0.2
  • GCC 16.1.0
  • GHC 9.10.3
  • GNOME 49
  • Go 1.27.1
  • JDK 11.0.32, 17.0.20, 21.0.12 и 25.0.4
  • KDE Plasma 6.7.5, KDE Gear 26.08.1, KDE Frameworks 6.30.0
  • Krita 6.0.3
  • LLVM/Clang 21.1.8 и 22.1.8
  • LibreOffice 26.8.0.3
  • Lua 5.1.5, 5.2.4, 5.3.6, 5.4.8 и 5.5.1
  • MariaDB 12.3.3
  • Mono 6.14.1
  • Mozilla Firefox 157.0 и ESR 153.4.0
  • Mozilla Thunderbird 153.4.0
  • Mutt 2.4.2 и NeoMutt 20260616
  • Node.js 24.21.0 и Deno 2.9.7
  • OCaml 4.14.2
  • OpenLDAP 2.6.15
  • PHP 8.3.33, 8.4.26 и 8.5.11
  • Postfix 3.5.28 и 3.11.7
  • PostgreSQL 18.6
  • Python 2.7.18 и 3.14.7
  • Qt 5.15.19 (+ патчи от kde) и 6.11.2
  • R 4.6.1
  • Ruby 3.3.12, 3.4.11 и 4.0.7
  • Rust 1.98.1
  • SQLite 3.53.2
  • Shotcut 26.8.1
  • Sudo 1.9.17p2
  • Suricata 7.0.7
  • Tcl/Tk 8.5.19, 8.6.18 и 9.0.4
  • TeX Live 2026
  • Vim 9.2.1125, Neovim 0.12.5 и Vim-Classic 2026091
  • Wayland 1.26.0 и композитные менеджеры CoW, Labwc, Mango, Niri, Sway, Wayfire
  • Vulkan 1.4.357.0
  • Xfce 4.20.0
  • Обновлены компоненты от сторонних разработчиков, входящие в состав OpenBSD 8.0:
    • Графический стек Xenocara на базе X.Org 7.7 с xserver 21.1.24 + патчи, freetype 2.14.3, fontconfig 2.17.1, Mesa 25.0.7, xterm 410, xkeyboard-config 2.20, fonttosfnt 1.2.5.
    • LLVM/Clang 22.1.6 (+ патчи)
    • GCC 4.2.1 (+ патчи)
    • Perl 5.42.3 (+ патчи)
    • NSD 4.15.2.
    • Unbound 1.26.1.
    • Ncurses 6.4
    • Binutils 2.17 (+ патчи)
    • Gdb 6.3 (+ патчи)
    • Awk 20250116
    • Expat 2.8.4
    • zlib 1.3.2 (+ патчи)
    
    
    Источник: https://www.opennet.ru/opennews/art.shtml?num=66508
    

Procession of Fools \\ HAPPY BIRTHDAY, #OPENBSD!

#unix_surrealism #technomage #comic #analognowhere #phone_bad_book_good #mobilek #ai

"Государство – необходимейшее орудие для полного развития человечества". Таковым оно, конечно, было, пока мы хотели развивать человечество; но, когда мы хотим развивать самих себя, оно станет для нас только препятствием.

Макс Штирнер, "Единственный и его собственность"
#ЧтоПочитать #ФедиЧитает

Выпуск CRIU 4.3, системы для сохранения и восстановления состояния процессов в Linux

Из областей применения технологии CRIU отмечается обеспечение перезагрузки ОС без нарушения непрерывности выполнения длительно выполняемых процессов, Live-миграция изолированных контейнеров, ускорение запуска медленных процессов (можно начать работу с состояния, сохранённого после инициализации), проведение обновлений ядра без перезапуска сервисов, периодическое сохранение состояния длительно выполняемых вычислительных задач для возобновления работы в случае аварийного завершения, балансировка нагрузки на узлы в кластерах, дублирование процессов на другую машину (fork на удалённую систему), создание снапшотов пользовательских приложений в процессе работы для их анализа на другой системе или на случай если потребуется отменить дальнейшие действия в программе.

В новом выпуске:

• Реализована возможность сжатия блоков и страниц памяти с использованием алгоритма LZ4 и многопоточной распаковкой.
• Повышена производительность благодаря задействованию асинхронного ввода/вывода (AIO) при восстановлении страниц VMA (Virtual Memory Area ), новому методу остановки задач без применения аппаратных точек останова и распараллеливанию восстановления memfd и анонимной разделяемой памяти.
• Добавлена поддержка расширения ARM64 GCS (Guarded Control Stack), обеспечивающего аппаратную защиту адресов возврата из функций. После передачи управления функции, адреса возврата сохраняются процессором не только в обычном стеке, но и в отдельном теневом стеке, который не может быть изменён напрямую. Перед выходом из функции адрес возврата извлекается из теневого стека и сверяется с адресом возврата из основного стека.
• Добавлен бэкенд для сохранения состояния API драйвера NVIDIA CUDA.
• Обеспечено восстановление маппинга GPU.
• Для драйвера amdgpu реализовано сохранение и восстановление состояния буферов подсистемы DRM (Direct Rendering Manager) и файловых дескрипторов DMA-BUF.
• Добавлены команды для сжатия и распаковки образов памяти в offline-режиме.
• Добавлена поддержка сохранения и восстановления информации о привязке UID-идентификаторов к сетевым сокетам.
• Добавлена опция "--image-io-mode" для записи и чтения образов страниц памяти в режиме O_DIRECT (в обход страничного кэша).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66509

OpenBSD 8.0 Released

The OpenBSD project has announced OpenBSD 8.0, its 61^st release.

The new release contains a number of significant improvements, including but certainly not limited to:

• OpenBSD/amd64 kernel virtual address space is now 512GB [See earlier report]
• Mitigation for AMD Zen-2 operation cache corruption added [See commit]
• OpenBSD now uses AES instructions (on amd64 and arm64 when available) to increase speed of swap encryption/decryption [See commit]
• The OpenBSD/loongson hardware platform has been retired [See earlier report]
• getexecpath(3) added [See commit]
• drm(4) has been updated to Linux 6.18.53
• vmm(4)/vmd(8) improvements:
  • files are now used to manage VM ownership [See earlier report]
  • multi-processor VMs are now supported [See earlier report]
• WPA3 support introduced [See earlier report]
• syslogd(8) privileged and non-privileged parts now separate binaries [See earlier report]
• qwz(4) driver for Qualcomm Technologies WCN7850 wireless network devices added [See commit]
• PF queues break the 4 Gbps barrier [See earlier report]
• httpd(8) and smtpd(8) are now randomly relinked at boot [See earlier report]
• httpd(8) has seen many improvements:
  • support for custom HTTP headers [See earlier reports]
  • header block/drop rules for request filtering [See earlier report]
  • improved default crypto methods for HTTPS [See earlier report]
  • cache control for static files [See commit]
• relayd(8) has received several improvements:
  • improved default crypto methods for HTTPS [See earlier report]
  • support for ECDSA keys and certificates was added [See earlier report]
  • filter rules gained support for Lua patterns(7) [See earlier report]
  • support for multiple resolvable addresses [See commit]
• rtrd(8), a RTR-To-Router protocol daemon, and its control program, rtrctl(8), were imported [See earlier report]
• acme-client(1) gained support for external account binding [See commit]
• Several improvements in OpenBGPD [See earlier reports]
• A number of incremental improvements in rpki-client(8) [See earlier reports]
• tmux(1) gained support for floating panes [See commit]
• LibreSSL 4.4.0 [See earlier reports]
• OpenSSH 10.6 [See earlier reports]
• llvm/clang(1)/lld(1) updated to version 22.1.6 [See earlier report]
• LLVM toolchain added to OpenBSD/sparc64 [See earlier report]
• compiler-rt, libunwind, libcxxabi, libcxx updated to version 22.1.8

In addition, this release offers a number of bug fixes and as well as numerous improvements in hardware support.

See the full changelog for more details of the changes made over this latest six month development cycle.

The Installation Guide details how to get the system up and running with a fresh install, while those who already run earlier releases should follow the Upgrade Guide, in most cases using sysupgrade(8).

Readers are encouraged to celebrate the new release by donating to the project to support further development of our favourite OS!

OpenBSD 8.0 Released

The OpenBSD project has announced OpenBSD 8.0, its 61^st release.

The new release contains a number of significant improvements, including but certainly not limited to:

• OpenBSD/amd64 kernel virtual address space is now 512GB [See earlier report]
• Mitigation for AMD Zen-2 operation cache corruption added [See commit]
• OpenBSD now uses AES instructions (on amd64 and arm64 when available) to increase speed of swap encryption/decryption [See commit]
• The OpenBSD/loongson hardware platform has been retired [See earlier report]
• getexecpath(3) added [See commit]
• drm(4) has been updated to Linux 6.18.53
• vmm(4)/vmd(8) improvements:
  • files are now used to manage VM ownership [See earlier report]
  • multi-processor VMs are now supported [See earlier report]
• WPA3 support introduced [See earlier report]
• syslogd(8) privileged and non-privileged parts now separate binaries [See earlier report]
• qwz(4) driver for Qualcomm Technologies WCN7850 wireless network devices added [See commit]
• PF queues break the 4 Gbps barrier [See earlier report]
• httpd(8) and smtpd(8) are now randomly relinked at boot [See earlier report]
• httpd(8) has seen many improvements:
  • support for custom HTTP headers [See earlier reports]
  • header block/drop rules for request filtering [See earlier report]
  • improved default crypto methods for HTTPS [See earlier report]
  • cache control for static files [See commit]
• relayd(8) has received several improvements:
  • improved default crypto methods for HTTPS [See earlier report]
  • support for ECDSA keys and certificates was added [See earlier report]
  • filter rules gained support for Lua patterns(7) [See earlier report]
  • support for multiple resolvable addresses [See commit]
• rtrd(8), a RTR-To-Router protocol daemon, and its control program, rtrctl(8), were imported [See earlier report]
• acme-client(1) gained support for external account binding [See commit]
• Several improvements in OpenBGPD [See earlier reports]
• A number of incremental improvements in rpki-client(8) [See earlier reports]
• tmux(1) gained support for floating panes [See commit]
• LibreSSL 4.4.0 [See earlier reports]
• OpenSSH 10.6 [See earlier reports]
• llvm/clang(1)/lld(1) updated to version 22.1.6 [See earlier report]
• LLVM toolchain added to OpenBSD/sparc64 [See earlier report]
• compiler-rt, libunwind, libcxxabi, libcxx updated to version 22.1.8

In addition, this release offers a number of bug fixes and as well as numerous improvements in hardware support.

See the full changelog for more details of the changes made over this latest six month development cycle.

The Installation Guide details how to get the system up and running with a fresh install, while those who already run earlier releases should follow the Upgrade Guide, in most cases using sysupgrade(8).

Readers are encouraged to celebrate the new release by donating to the project to support further development of our favourite OS!

Доступен порт Wine для OpenBSD

Из ограничений порта отмечается возможность запуска только 64-разрядных программ Windows (режим WoW64 для выполнения 32-разрядных Windows-приложений в 64-разрядных Unix-системах пока не работает). В качестве примера продемонстрирован запуск в OpenBSD игры "The Witcher 3: Wild Hunt - Remastered" с использованием wine и vkd3d-proton. Из планов упоминается намерение задействовать системный вызов unveil для изоляции.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66507

NotQuiteRSS - развитие QuiteRSS с поддержкой Qt 6 и без встроенного браузера

Основное архитектурное отличие от QuiteRSS - полный отказ от встроенного браузерного движка QtWebKit без замены его на QtWebEngine. Статьи отображаются средствами QTextBrowser и QTextDocument. Вместо Qt Multimedia для воспроизведения звуковых уведомлений задействована библиотека miniaudio со встроенной поддержкой WAV, MP3 и FLAC, не требующей установки плагинов GStreamer.

Перед показом HTML проходит обработку по списку разрешённых элементов и атрибутов: удаляются скрипты, фреймы, формы и другие неподдерживаемые конструкции. JavaScript не исполняется, а ссылки на сайты открываются во внешнем браузере. Для HTTPS требуется TLS 1.2 или новее и проверка сертификатов. Ограничиваются размеры ответов и перенаправления, запрещено перенаправление с HTTPS на HTTP. Изображения статей загружаются отдельно от лент, без передачи их учётных данных и Cookies. Анимация изображений в скрытых частях страницы приостанавливается.

При этом приложение не превращено в список ссылок. В нём сохранены чтение статей с форматированием и изображениями, газетный режим, вкладки лент и категорий, поиск внутри статьи, масштабирование, печать и экспорт. Ограничением является отсутствие полноценной встроенной вёрстки HTML/CSS (для просмотра исходной страницы может вызываться внешний браузер).

Среди возможностей и доработок NotQuiteRSS:

• Поддерживается работа с базой SQLite в оперативной памяти с сохранением на диск через заданный интервал и при штатном завершении. Исправлены нежелательные сохранения при сворачивании в трей и обработка ошибок записи.
• Резервные копии можно создавать вручную, по расписанию, при изменении подписок и выходе из приложения. Настраивается количество сохраняемых комплектов. Предусмотрены сокращённые копии, содержащие только избранные или помеченные статьи, а также полные страховочные копии перед обновлением структуры базы.
• Исправлено неограниченное накопление служебных записей об удалённых публикациях при использовании очистки по сроку публикации. Доработаны удаление старых статей, обнаружение дубликатов и обработка ошибок базы.
• Для выбранных лент можно одновременно менять расписание обновлений, загрузку изображений, направление текста и параметры колонок. Фильтры статей могут распространяться на все ленты, включая добавленные впоследствии.
• Доступны настройка User-Agent и отдельные правила для доменов, включая параметры GET/POST. Для сайтов с браузерной проверкой предусмотрен выборочный импорт Cookies в формате Netscape. Cloudflare и Anubis распознаются с выводом понятной диагностики, но успешное прохождение проверки через импорт Cookies не гарантируется.
• Темы оформления, переводы и сервисы отправки ссылок вынесены во внешние ресурсы. Есть OLED-тема, улучшенные пиктограммы для HiDPI и возможность возвращать фокус агрегатору после открытия статьи во внешнем браузере.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66502

Terraphim - приватный локальный AI-ассистент и поисковый движок по графам знаний

Вместо нейросетевых векторов используются детерминистические графовые эмбеддинги и сопоставление шаблонов на базе алгоритма Ахо-Корасик по ролевым тезаурусам - каждое совпадение прослеживается до понятия в графе знаний и занимает меньше миллисекунды. Один запрос покрывает несколько источников: локальные файлы, Confluence, Jira, Discourse, почту и grepapp.

Для AI-агентов есть MCP-сервер (подключение локальных графов знаний к ассистентам), CLI terraphim-agent (поиск по сессиям Claude Code и Cursor, фиксация ошибок и извлечённых уроков), а также хуки до и после вызова инструментов. Отдельно доступен редактор Terraphim с предложением альтернативных формулировок на основе графа знаний.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66505

Выпуск OpenWrt 25.12.6

Среди изменений:

• Добавлена поддержка устройств:
  • ipq806x: Aruba AP-324, AP-325, Siemens Scalance W1750D.
  • mediatek: Airtel AirFiber AAP4221ZY, Zyxel EX3310-T0, Cudy WR3000U v1, Globitel BT-R320, Hiveton H5000M, Airpi H5000M, JioRouter AX6000 JIDU6J01 / JIDU6201, Livinet Li320, netis N6 V2, Teralink TL3020 (256 MB), WAVLINK WL-WNT100X3.
  • qualcommax (ipq50xx): CMCC MR3000D-CI.
  • ramips (mt7621): TP-Link ER605 v1 (TL-R605 v1).
  • ramips (mt76x8): Cudy LT500 Outdoor v1.
  • rockchip: FriendlyARM NanoPi R2S Plus.
  • Добавлены новые варианты сборок для ранее поддерживаемых устройств на чипах mediatek: Cudy M3000 v1/v2 и Cudy M3000 v2 - добавлены образы с U-Boot.
  • Внесены исправления, связанные с работой платформ:
    • ath79: GL.iNet GL-E750 (Mudi) V2.
    • bcm47xx: Gateworks Ventana, Traverse Ten64.
    • mediatek: MT7986, Cudy, JioRouter AX6000 JIDU6101, Keenetic / Netcraze, Comfast CF-WR632AX, Cudy WR3000S, ipTIME AX3000SE, ipTIME A8004T.
    • mpc85xx: Freescale P2020RDB, TP-Link TL-WDR4900 v1, Enterasys WS-AP3715i .
    • mvebu: Turris MOX.
    • qualcommax: ASUS RT-AX89X.
    • realtek: D-Link DGS-1210-28P/MP.
    • rockchip: NanoPi R3S (1 GB).
    • sunxi: NanoPi NEO 2.
    • Настройки WPA3 изменены для соответствия рекомендациям, указанным в спецификации WPA3:
      • По умолчанию отключена поддержка шифра GCMP-256 и алгоритма управления ключами SAE-EXT-KEY в режимах sae (WPA3-Personal) и sae-mixed (WPA2/WPA3).
      • При активном режиме защиты кадров (PMF / 802.11w) включён по умолчанию механизм Beacon Protection, предназначенный для защиты от активных атак на беспроводную сеть, манипулирующих изменением кадров Beacon.
      • Добавлен новый режим совместимости с WPA3-Personal - sae-compat, позволяющий клиентам WPA2 продолжать использовать сеть WPA2, но клиентов с поддержкой RSN (Robust Security Network) перебрасывающий на WPA3.
      • Добавлена опция transition_disable для запрета отката клиентов на старые режимы безопасности в сети с WPA3.
      • В пакете wifi-scripts возобновлена поддержка 802.11ad (60 GHz) и налажена работа опции multicast_to_unicast.
      • В DHCP-клиент добавлена опция "sendclientid" для переопределения идентификатора клиента DHCPv4 и DHCPv6.
      • В web-интерфейсе LuCI предложена новая опциональная тема оформления "luci-theme-footstrap". В тему "luci-mod-dashboard" добавлены интерактивные графики и возможность настройки расположения элементов. Добавлены новые приложения luci-app-librespeed и luci-app-weechat.
      • Обновлены версии ядра Linux 6.12.112 (было 6.12.94), OpenSSL 3.5.9, Mbed TLS 3.6.7, wolfSSL 5.9.4, mac80211 6.18.55, wireless-regdb 2026.09.03, nilfs-utils 2.2.17, wireguard-tools 1.0.20260223, uhttpd, rpcd, umdns, odhcp6c и iwinfo.
      • Обновлены версии curl 8.22.0, OpenSSH 10.6p1, unbound 1.26.1, BIND 9.20.29, OpenVPN 2.7.7, strongSwan 6.0.7, HAProxy 3.2.21, expat 2.8.4, nghttp2 1.70.0, libssh 0.12.2, c-ares 1.34.8, Tor 0.4.9.13, Knot DNS 3.5.7, PowerDNS 4.9.17, PowerDNS Recursor 5.2.13, Exim 4.100.1, Python 3.13.15, Node.js 22.23.2, xz 5.8.3 и rsync 3.5.1 с устранением уязвимостей.
      • Устранены удалённо эксплуатируемые уязвимости в сетевых сервисах, включённых по умолчанию:
        • uhttpd - переполнение буфера через манипуляцию с параметром в запросах "POST /ubus/call/", а также несколько DoS-уязвимостей и возможность вклинивания в чужие запросы.
        • 16 уязвимстей в Mbed TLS (используется по умолчанию в uhttpd, hostapd и wpa_supplicant), среди которых удалённое переполнение буфера, эксплуатируемое в конфигурациях (D)TLS с набором шифров ECDHE-PSK.
        • hostapd и wpa_supplicant - повреждение памяти при обработке специально оформленных управляющих кадров (атака возможна без аутентификации) в сетях WiFi 7.
        • rpcd - две уязвимости, приводящие к повышению привилегий из-за проблем при обработке символических ссылок и размещения токена привилегированного сеанса во временном каталоге.
        • cgi-io - обращение к памяти после освобождения при декодировании специально оформленных POST-запросов.
        • web-интерфейс LuCI: несколько уязвимостей, позволяющих непривилегированному пользователю выполнить код с правами root.
        • ead-client (Emergency Access Daemon client): переполнение буфера при обработке специально оформленных поддельных сообщений от сервера.
        • Несколько десятков уязвимостей в OpenSSL и wolfSSL.
        
        
        Источник: https://www.opennet.ru/opennews/art.shtml?num=66504
        

Game of Trees 0.130 released

Version 0.130 of Game of Trees has been released (and the port updated).

Complete release notes are as follows:

Read more…

тирана, албания, 15 октября

External Attachment: люди на скамейке любуются закатом пока продолжается демонстрация people sit on a bench in tirana, albania, and watch beautiful sunset while there's an ongoing demonstration

Релиз ядра Linux 7.3

В новую версию принято 20260 исправлений от 3171 разработчика, из которых 807 впервые отправили свои изменения в ядро. Размер патча - 63 МБ (изменения затронули 14923 файлов, добавлено 943849 строк кода, удалено 297515 строк). В прошлом выпуске было 17833 исправлений от 2766 разработчиков, размер патча - 68 МБ. Около 44% всех представленных в 7.3 изменений связаны с драйверами устройств, примерно 12% изменений имеют отношение к обновлению кода, специфичного для аппаратных архитектур, 12% связано с сетевым стеком, 5% - с файловыми системами и 3% c внутренними подсистемами ядра.

Основные новшества в ядре 7.3 (1, 2, 3):

• Дисковая подсистема, ввод/вывод и файловые системы
  • Проведена оптимизация производительности ФС Btrfs. Для не SSD-накопителей удалена лишняя задержка, что привело к пятикратному повышению пропускной способности для нагрузок с активным использованием функции fsync, таких как запись логов. В fsync отключено определение пустот в файлах с большим числом экстентов и без пустот, что ускорило выполнение некоторых специфичных тестов в 5 раз.

    При отслеживании некэшируемых буферов экстентов структура xarray заменена на локальный LRU-список, что привело к повышению производительности данных операций в 3 раза. Устранены провалы в производительности при использовании режима прямого ввода/вывода, вызванные регрессиями в прошлых выпусках ядра. Сокращены блокировки при упреждающем чтении экстентов, что снизило накладные расходы при обращении разных задач к перекрывающимся областям.

  • В Btrfs удалена поддержка первой версии кэша с информацией о свободном месте. ФС, созданные на старых системах, необходимо перевести на вторую версию кэша при помощи утилиты btrfstune, иначе они будут работать медленнее. Также удалена опция монтирования "usebackuproot", вместо которой следует использовать "rescue=usebackuproot".
  • В ФС Ext4 повышена производительность параллельных операций записи при прямом вводе/выводе (Direct I/O) и ускорено резервирование пустых областей через вызов fallocate(). Устранена регрессия, снижавшая производительность при буферизированной записи.
  • В ФС Ext4 режим монтирования "data=journal" переведён в разряд устаревших. Поддержку данной опции монтирования намерены прекратить в 2028 году. Опция "data=journal" включает режим полного журналирования, при котором в журнал записываются не только метаданные, но и сами данные, что обеспечивает высокую устойчивость в случае сбоев, но усложняет сопровождение кода, приводит к значительному снижению производительности по сравнению с режимами "data=ordered" и "data=writeback".
  • Удалена файловая система EFS, которая применялась в ранних версиях ОС IRIX, перестала использоваться около 30 лет назад и уже более 20 лет находится без сопровождения. Для тех кому необходим доступ разделам с EFS существуют утилиты, работающие в пользовательском пространстве.
  • Удалена файловая система FreeVxFS, реализующая формат ФС VERITAS VxFS, применявшийся в SCO UnixWare в 1990-е годы и давно не используемый на практике.
  • В механизме создания файловых систем в пространстве пользователя FUSE повышена производительность и сокращено потребление памяти при использовании системы асинхронного ввода/вывода io_uring. Ускорение достигнуто благодаря добавлению возможности передачи пулов буферов из пользовательского пространства в ядро и исключению лишней буферизации (zero-copy) при доступе FUSE-сервера к страницам памяти клиентского процесса или страничному кэшу.
  • Для блочных устройств реализован флаг RWF_DONTCACHE, похожий на режим прямого ввода/вывода (Direct I/O), который можно использовать в функциях preadv2() и pwritev2() или в запросах на чтения и запись через io_uring для доступа к блочному устройству в обход страничного кэша. Например, флаг может применяться в СУБД для низкоуровневой работы с блочными устройствами.
  • В ФС overlayfs добавлена поддержка маппинга идентификаторов пользователей, применяемом для сопоставления файлов определённого пользователя на примонтированном чужом разделе с другим пользователем в текущей системе.
  • Улучшена поддержка монтирования нескольких ФС с одного блочного устройства.
  • В драйвере ntfs3 реализована начальная поддержка альтернативных потоков данных, разделяемых через двоеточие в имени файла. Для создания нового альтернативного потока можно использовать команду "touch file:поток", чтения - "cat file:поток", удаления - "rm file:поток", вывода доступных потоков - "cat file:query_streams".
  • В новой реализации NTFS (ntfsplus) в режиме только для чтения появилась поддержка технологии прозрачного сжатия файлов с использованием оверлейных фильтров WOF (Windows Оverlay Filter).
  • В NFS-сервер добавлена поддержка операции CB_NOTIFY, позволяющей клиенту кэшировать метаданные директорий на своей стороне, получая уведомления об изменениях от сервера.
  • В ФС F2FS добавлена поддержка динамического (без отмонтирвоания ФС) удаления разделов из общего пула с автоматическим переносом данных на другие разделы и возвращения обратно (например, можно временно изъять накопитель для других нужд).
  • Память и системные сервисы
    • Улучшена обработка нехватки видеопамяти. В ситуации исчерпания свободной видеопамяти ядро теперь пытается вытеснить из видеопамяти в системную память (GTT) буферы приложений, не имеющих гарантированной квоты памяти (dmem cgroup), а не сразу отказывать в выделении видеопамяти. Такой подход гарантирует выделение ресурсов приложению, которому система зарезервировала определённый объем видеопамяти, даже если память уже выделена другим приложениям. Ранее, если приложению без квот уже была выделена видеопамять, то в ситуации нехватки видеопамяти приложение с гарантированными квотами не могло получить её, и вместо видеопамяти через подсистему TTM (Translation Table Maps) приложению выделялась более медленная системная оперативная память, адресуемая из GPU (GTT). Поддержка dmem cgroup реализована для драйверов nouveau, xe и amdgpu.
    • В механизме SCHED_EXT, позволяющем использовать BPF для создания планировщиков CPU, завершена работа над возможностью создания вложенных планировщиков (sub-scheduler), при помощи которых для каждого cgroup можно задействовать собственный планировщик задач.
    • В планировщик задач внесены улучшения, связанные с обработкой cgroup и решением проблем с распределением весов, из-за которых возникали дополнительные накладные расходы и задержки. Предложено несколько методов распределения весов для cgroup - 'up', 'max', 'concur' и 'tasks', выставляемых через параметр cgroup_mode. Задействована единая очередь выполнения (runqueue) для планирования задач внутри cgroup. Сокращены задержки при планировании задач, которым выделяются короткие кванты процессорного времени, за счёт возможности при необходимости отменять, обновлять или минимизировать время выполнения задач, защищённых от вытеснения.
    • В механизме binfmt_misc (/proc/sys/fs/binfmt_misc) реализована возможность подключения BPF-обработчиков для добавления поддержки новых форматов исполняемых файлов. Изменение позволяет программно в момент каждого запуска анализировать тип исполняемого файла и выбирать для него интерпретатор или динамический загрузчик без хаков типа использования утилиты patchelf и скриптовых обвязок. Например, в BPF-программе можно определять исполняемые файлы для иных архитектур или платформ и запускать соответствующие эмуляторы или Wine, а также упростить организацию запуска исполняемых файлов в пакетах, установленных в разные каталоги в системах с пакетным менеджером Nix.
    • Продолжен перенос изменений из ветки Rust-for-Linux, связанных с использованием языка Rust в качестве второго языка для разработки драйверов и модулей ядра (поддержка Rust не активна по умолчанию, и не приводит ко включению Rust в число обязательных сборочных зависимостей к ядру). Появилась возможность использования Rust для архитектуры PowerPC. Реализованы: модуль для целочисленных преобразований без потерь, режим обфусцированного логгирования значений указателей для предотвращения утечки сведений об адресном пространстве, обвязка над функцией synchronize_rcu(), барьеры памяти, модуль interrupt для включения/отключения прерываний, типы для ввода/вывода, обвязки над fwctl, механизм SRCU (sleepable read-copy-update), обвязки над gem shmem, spinlock-блокировки SpinLockIrq, не допускающие прерывания в критических секциях.
    • Добавлен sysctl-параметр syscall_user_dispatch для управления включением режима диспетчеризации системных вызовов в пользовательском пространстве, позволяющий одному процессу перехватывать системные вызовы другого процесса (применяется в Wine для эмуляции системных вызовов Windows).
    • В BPF добавлена функция bpf_sock_read_xattr(), при помощи которой BPF-программы могут читать выставляемые пользователем расширенные атрибуты (user.*) из inode сокетов. В BPF-приложениях появилась возможность определения глобальных переменных, привязанных к CPU. В верификаторе BPF-программ предоставлена дополнительная информация о выявленных ошибках, упрощающая определение причин проблем.
    • В механизмах трассировки kprobes, uprobes и fprobes реализована поддержка приведения типов, используя данные BTF (BPF Type Format) с информацией для проверки типов в псевдокоде BPF, а также улучшено извлечение сведений о переменных.
    • В подсистему DAMON (Data Access MONitor), позволяющую отслеживать доступ процесса к данным в оперативной памяти (например, можно узнать к каким областям памяти обращался процесс, а какие области памяти остались невостребованными), добавлена возможность мониторинга изменения атрибутов данных (анонимная память, отображённые в память файлы, доступ только для чтения, отсутствие обращений к памяти и т.п.).
    • В механизме KHO (Kexec HandOver), применяемом для запуска нового ядра из старого без потери состояния системы, обеспечен учёт выделения больших страниц памяти (huge pages) во время загрузки. Подобные страницы памяти теперь маркируются и сохраняются после запуска нового ядра.
    • Низкоуровневый код системы подкачки (swap) переведён на новую низкоуровневую структуру данных swap_ops, которая упростила сопровождение кода и реализовала абстракции, необходимые для расширения функциональности в будущем.
    • Добавлены ioctl-команды ALLOCINFO_IOC_CONTENT_ID, ALLOCINFO_IOC_GET_AT и ALLOCINFO_IOC_GET_NEXT, позволяющие выборочно передавать в пространство пользователя данные профилирования выделения памяти. По сравнению с ранее доступным интерфейсом /proc/allocinfo, предложенные ioctl-вызовы позволяют до 20 раз повысить производительность запросов профилирования за счёт фильтрации лишних данных.
    • Виртуализация и безопасность
      • Предложен новый механизм изоляции, блокирующий доступ к содержимому файловых систем, за исключением ресурсов, явно переданных в sandbox-окружение через файловые дескрипторы. Механизм реализован при помощи псевдо-ФС failfs и системного вызова fchroot.

        Псевдо-ФС failfs напоминает ФС nullfs, но в отличие от последней реализует принцип "ничего не поддерживается" вместо "ничего не хранится". Подобное свойство не позволяет монтировать что-либо поверх failfs, клонировать ФС и отслеживать состояние через statmount(), listmount(), /proc/‹pid›/mountinfo и /proc/filesystems. Если корневой или рабочий каталог процесса находится в failfs, то блокируются любые попытки навигации по ФС c использованием абсолютных файловых путей, символических ссылок и относительных путей, зависящих от текущего рабочего каталога. Процессу оставляется только возможность обращения к определённому каталогу по файловым дескрипторам, открытым до изоляции.

        Для перехода в новый режим изоляции добавлен системный вызов fchroot, похожий на системный вызов chroot, но работающий на уровне файловых дескрипторов. В системные вызовы fchdir добавлен флаг FD_FAILFS_ROOT для перемещения рабочего каталога процесса в ФС failfs. Аналогичный флаг доступен в системном вызове fchroot.

      • Добавлена возможность отслеживания обращений к памяти гостевой системы при помощи механизма userfaultfd, позволяющего создавать обработчики обращений к невыделенным или защищённым страницам памяти в пространстве пользователя. На практике, предложенная возможность позволяет гипервизору определять страницы памяти, к которым в виртуальной машине не было обращений, для их вытеснения в более медленную память или во внешнее хранилище. Для отслеживания нарушений выставленного запрета чтения и записи в отслеживаемой области памяти добавлен флаг UFFDIO_REGISTER_MODE_RWP, который может использоваться как более высокопроизводительный аналог применения mprotect(PROT_NONE) совместно с обработчиком сигнала, генерируемого при обращении к памяти, для которой выставлен запрет на чтение и запись (в случае userfaultfd генерируется исключение, обрабатываемое в пространстве пользователя). Изменение подготовлено при помощи AI ("Assisted-by: Claude:claude-opus-4-6").
      • Усилено разделение между потоками ядра (kthread) и init-процессом (PID 1). Ранее в потоках ядра и в PID 1 совместно использовалось общее состояния файловой системы, что позволяло через вызов pivot_root() переопределить состояние ФС для всех потоков ядра. В новой версии в PID 1 задействована полностью отдельная структура fs_struct, а потоки ядра изолированы в отдельной точке монтирования с nullfs.
      • Во встроенную криптографическую библиотеку (libcrypto) добавлена поддержка режимов шифрования AES - ECB, CBC, CBC-CTS, CTR, XCTR, XTS, GCM и CCM.
      • В системе мандатного управления доступом AppArmor реализована возможность загрузки сжатых наборов правил.
      • Добавлен sysctl-параметр af_alg_restrict, управляющий включением доступа к криптографическому API AF_ALG из пространства пользователя. AF_ALG позволяет задействовать аппаратные ускорители для криптографических вычислений в Crypto API ядра, но применяется в достаточно специфичных ситуациях и не всегда даёт прирост производительности по сравнению с реализацией ускорения в пространстве пользователя. При этом в связанных с AF_ALG обработчиках выявлена серия уязвимостей, таких как Copy Fail, позволяющих изменить данные в страничном кэше. Для снижения поверхности атаки по умолчанию доступ к AF_ALG частично ограничен. Рассматривается возможность удаления AF_ALG в одном из будущих выпусков.
      • Ужесточена верификация BPF-программ, заверенных цифровой подписью. Добавлена проверка целостности метаданных BPF-программы перед её загрузкой.
      • В системный вызов landlock_restrict_self(), применяемый для активации блокировок Landlock, добавлен флаг LANDLOCK_RESTRICT_SELF_NO_NEW_PRIVS, запрещающий текущему процессу получение любых новых привилегий. Механизм Landlock позволяет непривилегированным программам сбрасывать ненужные для работы привилегии, добровольно ограничивая свой дальнейший доступ к системе в целях повышения безопасности, например, для защиты в случае попыток эксплуатации уязвимостей в программе.
      • В драйвер VirtIO-GPU, обеспечивающий работу виртуального GPU, добавлена поддержка спящего режима S4 (hibernation).
      • Сетевая подсистема
        • В ksmbd, встроенный в ядро сервер для протокола SMB, добавлена поддержка расширений Apple Time Machine для хранения резервных копий, создаваемых в macOS через данное приложение. Реализован механизм изоляции последовательностей команд SMB в привязке к MessageId для блокирования атак через отправку недействительных или дублированных запросов. Добавлена поддержка отправки повторных запросов по протоколу SMB3 без нарушения состояния сеанса, если предыдущий запрос был потерян. В SMB3 реализована возможность шифрования на уровне отдельных общих хранилищ (share). Добавлена поддержка шифрования канала связи SMB Direct, использующего технологию RDMA (Remote Direct Memory Access).
        • Реализована возможность использования TCP-пакетов c расширением BIG TCP, позволяющим увеличить максимальный размер TCP-пакета до 4ГБ, в UDP-туннелях на базе протоколов VXLAN и GENEVE.
        • Добавлена поддержка проборса протокола MCTP (Management Component Transport Protocol) поверх USB (MCTP-over-USB 1.1).
        • Предоставлена возможность отключения (unregistration) сетевых устройств (netkit, veth, vxcan, bareudp, geneve, ipvlan, macvlan и т.п.) для выбранных пространств имён.
        • Для Bluetooth 6.2+ реализована поддержка механизма SCI (Shorter Connection Interval) для снижения задержек при передаче данных в режиме Bluetooth LE (Low Energy).
        • В API nl80211 добавлен унифицированный механизм (NL80211_CMD_PROBE_PEER) для проверки подключённых пиров, работающий как в беспроводных точках доступа, так и на стороне клиента.
        • Оборудование
          • Объявлены устаревшими и намечены для удаления в ядре 7.5 старые ARM-платформы, которые почти не используются и мешают сопровождению актуальных подсистем. К удалению намечено около 55 тысяч строк кода, связанного с поддержкой платформ sa1100, omap24xx, i.MX31, samv7, lpc18xx, riscpc, axxia, footbridge, старых плат pxa, orion, dove и mv78xx0, чипов без блока управления памятью (MMU) и микроконтроллеров stm32f4/f7/h7.
          • Добавлена поддержка чипов Apple M3 Pro, Max и Ultra. Реализовано управление состоянием энергопотребления для SoC Apple.
          • В подсистему DRM (Direct Rendering Manager) добавлено свойство "color format", позволяющее пользователю переключить формат представления цвета для устройства вывода. Свойство реализовано для драйверов GPU i915 (HDMI, DP), amdgpu (HDMI, DP) и rockchip (HDMI). Для тестирования можно использовать команду вида "modetest -s 115:1920x1080-60@NV12 -w 115:'color format':4", в которой 115 - идентификатор коннектора, а '4' номер формата YUV420.
          • В драйвер amdgpu добавлена поддержка модификаторов DRM для GPU AMD серий GFX6-8 (Southern Islands, Sea Islands и Volcanic Islands). Реализована начальная поддержка DCN 6.0.0 (Display Core Next). Проведена чистка устаревшего кода. Включена поддержка CACP (Content Adaptive Contrast and Power), позволяющая снизить энергопотребление OLED-панелей. Для дисплейных движков на архитектуре DCN4 включена поддержка механизма IPS (Idle Power State) для снижения энергопотребления во время неактивности. Добавлена поддержка видеокарт AMD Barco.
          • В драйвере i915 переработан код для определения возможностей и восстановления состояния коннекторов DisplayPort. Для GPU Novalake (NVL) добавлена поддержка CMTG (Common mode timing generator) и DC3DO (Display C3 with Clock Off).
          • Продолжена работа над drm-драйвером (Direct Rendering Manager) Xe для GPU на базе архитектуры Intel Xe, которая используется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Добавлены новые идентификаторы поддерживаемых устройств. В configfs реализован атрибут 'enable_multi_queue' для отключения одновременного использования нескольких очередей передачи команд. Улучшена поддержка перехода в спящий режим.
          • Продолжена интеграция компонентов драйвера Nova для GPU NVIDIA, оснащённых GSP-прошивками, используемыми начиная с серии NVIDIA GeForce RTX 2000 на базе микроархитектуры Turing. Драйвер написан на языке Rust. В новой версии осуществлён переход на новые образы прошивок TLV, вместо старых вариантов, используемых в драйвере Nouveau. Добавлена поддержка запуска прошивки для чипа GSP (GPU System Processor) с включением vGPU. Добавлен API для получения информации о размере видеопамяти.
          • В драйвер Tyr, написанный на языке Rust и обеспечивающий работу с GPU ARM Mali, добавлена возможность загрузки прошивок в формате Mali CSF, активации виртуальной памяти GPU и запуска MCU.
          • В драйвер msm добавлена поддержка GPU Adreno Shikra (A704) и Eliza (722).
          • Добавлена поддержка звуковых устройств и ASoC: Pioneer DJ DJM-S11, AW88399 (Lenovo Legion Pro), AW88399 (Lenovo Legion), Lisuan, ALC235, RME HDSPe AIO, RT766/RT767 SDCA, Maili, Hawi, CS35L62 (SoundWire), RT766/RT767 VA1.
          • Улучшена поддержка звука на устройствах ASUS VivoBook M515DA/X515DAP, LG gram 16 (16Z90TR), Minisforum AI X1 Pro, HP Pavilion 15-eh2xxx, HP Laptop 15-dy0xxx и HP Spectre x360 16-aa0xxx, HP EliteBook 6 G1, HP OmniBook X Flip 14, Lenovo Yoga Pro 7, Huawei Matebook, ThinkPad X1 Carbon 6th, HP ProBook 440 G5, Acer Aspire A515-57.
          • Добавлена поддержка смартфонов, планшетов и ноутбуков: Motorola Edge 30, Motorola Moto G2, Xiaomi 12 Lite 5G, Microsoft Surface Pro, Honor MagicBook art 1412in, Sony Xperia M2, Vicharak Axon, Axon Mini и Vaaman2, Asus Zenbook A16, Lenovo Thinkedge se70.
          • Добавлена поддержка ARM-плат и SoC Samsung Exynos 1580 (используется в флагманских смартфонах с 2024 года), Orange Pi 5 pro, Sophgo SG2000 (гибрид Arm/RISC-V), BeagleBadge, Qualcomm "Shikra" и "Altera" (Cortex-A78C), Agilex72 (Cortex-A720), Alientek ATK-DLRV1126, Variscite SoC DART-MX8M-PLUS, DART-MX8M-MINI, VAR-SOM-MX8QM и платы Sonata/Symphony на их основе, 9Tripod X3568 v4, Youyeetoo YY3588, milk-v duo, ArmSoM CM5, Freescale Verdin iMX8M Mini, Anbernic rg vita-pro, Embedfire lubancat 4, Vicharak Vaaman, LincStation E1, HINLINK H28K.

          Одновременно латиноамериканский Фонд свободного ПО сформировал вариант полностью свободного ядра 7.3 - Linux-libre 7.3-gnu, очищенного от элементов прошивок и драйверов, содержащих несвободные компоненты или участки кода, область применения которых ограничена производителем. В выпуске 7.3 проведена чистка от блобов новых драйверов для GPU Mali Tyr, Morse Micro mm81x wi-fi, NXP wi-fi, и сетевых карт на чипах Realtek. Обновлён код чистки в драйверах nova-core, amdgpu, adreno, tegra, iris, rtw89 и mt76 wifi, Qualcomm Q6V5 PAS, qla2xxx scsi и звуковых кодеках aw88399. Выполнена чистка имён blob-ов в dts-файлах (devicetree) для ARM-чипов Qualcomm.
          
          Источник: https://www.opennet.ru/opennews/art.shtml?num=66499
          

Релиз Tewi 3.0.0, текстового интерфейса для управления torrent-клиентами

Основные изменения с версии 2.0.0:

• Добавлена поддержка rTorrent (0.9.7 и новее): подключение напрямую через SCGI или через XML-RPC поверх HTTP (при указании "--path"). Поддерживаются почти все возможности остальных клиентов, кроме переключения альтернативных лимитов скорости. Категории хранятся в формате ruTorrent, поэтому совместимы с ним.
• Список торрентов переписан на Textual Line API. Отрисовываются только видимые строки, поэтому загрузка, обновление и прокрутка заметно ускорены.
• Добавлена постраничная и полустраничная навигация по списку торрентов ("Ctrl+F"/"Ctrl+B", "Ctrl+D"/"Ctrl+U").
• Добавлена фильтрация торрентов по имени ("F") и новые фильтры по статусу.
• Появилась возможность добавить торрент по его хешу.
• Добавлен множественный выбор файлов торрента для групповой смены приоритета.
• Добавлено открытие файлов из детальной информации о торренте по нажатию "Enter".
• Добавлено отображение общих лимитов скорости клиента (в дополнение к альтернативным).
• В заголовок добавлен статус подключения к клиенту (показывается потеря связи с демоном).
• Добавлен выбор тем оформления Textual: dracula, monokai, nord и др. ("T", опция "--theme", полный список: "--list-themes").
• В файле конфигурации разрешено указание переменных окружения ("${VAR_NAME}"), например, для передачи хранимых отдельно паролей и API-ключей.
• Реализована генерация скриптов автодополнения для bash, zsh и tcsh ("--print-completion"). В пакет PyPI включено готовое автодополнение для Bash.
• Добавлена поддержка Prowlarr с возможностью поиска по всем индексаторам сразу или выбора отдельных ("--prowlarr-multi"). Индексаторы можно указывать в пресетах поиска.
• Добавлена поддержка Bitmagnet], self-hosted BitTorrent-индексатора и DHT-краулера. При поиске в деталях отображаются метаданные контента (тип, название, эпизоды, разрешение, кодек и источник видео).
• Добавлены пресеты поиска (именованные комбинации поисковых провайдеров и категорий).
• Добавлена сортировка результатов поиска по различным атрибутам ("s").
• Добавлен компактный режим отображения результатов поиска с минимумом столбцов ("V").
• Обеспечено запоминание последних выбранных при поиске индексаторов и категорий ("W").


Источник: https://www.opennet.ru/opennews/art.shtml?num=66500

В ReactOS появилась возможность установки на NTFS

Introducing uncm(4)

In a post to tech@, Jan Schreiber submitted a driver for USB network control mode, uncm(4). Jan writes:

I noticed newer Android devices (since Android 6 if I'm not mistaken)
do not use urndis(4) for USB tethering any more.
They now use CDC NCM which is missing a driver in OpenBSD.

Below is my first go at it.
I moved some defines and structs out of mbim.h into usbcdc.h
to not include everything for mobile broadband. (No functional change
for umb(4)).

Read more…

Неожиданно с информационного горизонта пропали медведи!

#интересное
#netstalking
Альтернативные 16-битные операционные системы для Довнгрейда
📌
https://mikeos.sourceforge.net/
📌
https://sourceforge.net/projects/michalos/
📌
https://board.flatassembler.net/topic.php?t=12381
📌
https://tomos.sourceforge.net/
📌
https://github.com/ReturnInfinity/BareMetal-OS-legacy
📌
https://github.com/azarovalex/azOS
📌
https://github.com/bubach/BOS

В Gentoo намерены прекратить поставку Chromium из-за трудности сопровождения

Новые корректирующие версии Chromium последнее время появляются каждую неделю и содержат исправление сотен уязвимостей. Помимо участившихся релизов, сопровождение усложняют изменения в инструментарии upstream-проектов и конфликты, связанные, с одной стороны, со стремлением предоставить пользователям должное качество, избегая по-возможности встраивания зависимостей в пакет, и, с другой стороны, с необходимостью оперативной публикации обновлений с исправлением уязвимостей. Компиляция Chromium занимает 15-16 часов на ноутбуке и около 6 часов на мощном ПК, при том, что перед публикацией пакета требуется проверить все варианты сборки с разным USE-флагами.

Chromium использует большое число встроенных зависимостей (например, ffmpeg, harfbuzz, zstd), но особенно усложнило сопровождение добавление в зависимости Rust и Go. В случае с Rust проблемы связаны с использованием экспериментальных возможностей, совместимость с которыми может нарушаться с новых релизах, а Go с тем, что инструментарий требует доступа к сети, который запрещён для сборочных окружений правилами Gentoo. Помимо этого, отмечены сбои в системе непрерывной интеграции Google, которые временами приводят к публикации неполных архивов с кодом.

По мнению сопровождающего, для качественной поддержки пакета требуется команда как минимум из трёх человек со знаниями языков C, C++, Go, JavaScript и Rust, а также знакомых со специфичными инструментариями Google. У одного сопровождающего на поддержание Chromium уходит более 6 часов в неделю, т.е. почти целый рабочий день из своего свободного времени, и это не считая ситуаций, в которых приходится диагностировать и исправлять ошибки, а также приводить состояние сборки к соответствию требованиям Gentoo.

Последней каплей, после которой сопровождающий решил прекратить поддержание пакета, стало обесценивание его труда при обсуждении слишком медленной публикации обновлений Chromium в Gentoo (в Gentoo сейчас поставляется версия 151 при актуальном выпуске 155). Один из участников дискуссии предложил использовать готовый ebuild-сценарий из стороннего репозитория Bentoo, поддержание которого автоматизировано. Сопровождающий пояснил, что простое копирование недопустимо без аудита изменений и полного тестирования всех вариантов сборки с разными USE-флагами, иначе невозможно гарантировать работоспособность пакета у всех пользователей. На что получил, ответ, что всё это чушь (ridiculous).

В случае удаления пакета www-client/chromium, пользователи могут переключится на использование пакета www-client/google-chrome, в котором упакованы поставляемые Google бинарные сборки Chrome, или использовать сторонние сборки Chromium в формате Flatpak.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66489

AI-модель Claude воссоздала формирование seed-параметров стандартных эллиптических кривых ECDSA

Появлению подобной теории заговора способствовала непрозрачность процесса выбора seed-параметров на фоне выявление потенциального бэкдора в генераторе псевдослучайных чисел Dual_EC_DRBG, входившем в стандарт NIST. Информация о том, как были сгенерированы параметры для инициализации стандартизированных в NIST эллиптических кривых не раскрывалась. Предполагалось, что параметры были созданы на основе хэшей от шуточных фраз, экспромтом придуманных одним из разработчиков, но затем забытых.

В ходе проведённого в Anthropic исследования AI-модель Claude определила, что seed-параметры были созданы с использованием псевдослучайных чисел, полученных при помощи входящей в стандартную Си-библиотеку функции lrand48, инициализированной значениями текущего эпохального времени. Наводкой на возможность использования случайных чисел, полученных через функцию drand48, послужили характерные для её использования шаблоны, такие как возврат только старших 31 бит из 48-битного внутреннего состояния генератора.

Для восстановления состояния генератора псевдослучайных чисел AI-модель воспользовалась алгоритмом редукции базиса, после чего перебором сопоставляла выдаваемые lrand48 числа с имеющимися seed-параметрами, повторяя попытки для моментов времени в 1997-1998 годах, в которых происходила разработка ECDSA. При этом оказалось, что не все подходящие для надёжных эллиптических кривых значения принимались создателями ECDSA, некоторые значения пропускались, но подобные пропуски трактуются не как злонамеренные действия, а как отсутствие точных сведений о критериях выбора.

Для шести вариантов эллиптических кривых ECDSA также удалось определить происхождение базовых точек, которые оказались сгенерированы с помощью генератора псевдослучайных чисел из библиотеки FreeLIP с использованием простых значений инициализации, таких как 20000 для P-192 и 20420 для prime239v1.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66497

Новые версии Wine 11.20 и Wine-staging 11.20

Наиболее важные изменения:

• Для архитектуры ARM64EC (ARM64 Emulation Compatible) реализована поддержка отладочного режима "WINEDEBUG=+relay", позволяющего отслеживать аргументы и возвращаемые значения вызываемых функций. Архитектура ARM64EC применяется для упрощения портирования на системы ARM64 приложений, изначально написанных для систем x86_64, и позволяет выполнять в окружении ARM64 отдельные модули с кодом x86_64 при помощи эмулятора.
• Улучшена проверка данных в формате XML.
• Реализация поддержки CDROM перемещена из ntdll в Mount Manager.
• Закрыты отчёты об ошибках, связанные с работой приложений: MS Office 2013, Unigine Heaven 2.0, Toad for SQL Server 5.7, Intuit QuickBooks 2008-2010, QuickBooks SS 2008 R1, SumatraPDF 3.1.2, Microsoft Core XML Services 6.0, Neko Project 21, FL Studio, cmd.exe, Medicalc4, UE4 ElectraPlayer, MusicBee, OneDrive.
• Закрыты отчёты об ошибках, связанные с работой игр: Star Wolves 3, UFO: Aftershock, UFO: Afterlight, Pure Pinball, Imperium Great Battles of Rome, Incoming, Battlefield 1942.

Параллельно сформирован выпуск проекта Wine Staging 11.20, предоставляющего расширенные сборки Wine, включающие не полностью готовые или рискованные патчи, пока непригодные для принятия в основную ветку Wine. По сравнению с Wine в Wine Staging предоставляется 279 дополнительных патчей. В новом выпуске Wine Staging осуществлена синхронизация с кодовой базой Wine 11.20 и обновлён код vkd3d. В основной состав Wine перенесены патчи, улучшающие в wininet обработку некорректных параметров в APPINFO_QueryOption и HTTPREQ_QueryOption.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66496

ESP-KVM 0.65.0 и прошивка, превращающая планшет M5Stack Tab5 в экран для IP-KVM

Одновременно опубликован отдельный экспериментальный проект - ESP-KVM terminal, развивающий прошивку для планшета M5Stack Tab5, в котором используется тот же SoC ESP32-P4, что и в KVM. Терминал подключается к ESP-KVM по сети как обычный зритель, только вместо вкладки браузера у него пятидюймовый экран 1280x720.

Кадры MJPEG разжимает аппаратный декодер JPEG, а блок PPA масштабирует их и поворачивает сразу в буфер дисплея. Выходит до 20 кадров в секунду, если KVM успевает отдавать их по WiFi. В ESP32-P4 нет аппаратного декодера H.264, поэтому на KVM нужно включить MJPEG. KVM в сети терминал находит сам. Для управления указателем используется сенсорный экран, а вводить текст можно на клавиатуре для Tab5 или на обычной USB-клавиатуре.

Выпуск ESP-KVM 0.65.0 почти целиком сосредоточен оптимизации работы через медленные каналы. По WiFi устройство слало кадры быстрее, чем Tab5 успевал их принимать. Очередь росла, и экран отставал на пару секунд. Теперь устройство отображения подтверждает каждый кадр, а отправляющее устройство держит в пути не больше двух кадров. Без подобной синхронизации Tab5 в той же сети показывал около 3 кадров в секунду, а с подтверждениями - 8-9. ESP-KVM сначала сообщает, что понимает подтверждения, и только тогда клиент их шлёт.

Через Tailscale видео шло ещё медленнее: 1-3 кадра в секунду между двумя ESP32-P4 в одной сети WiFi. Весь туннель идёт через один UDP-сокет, а его очередь приёма вмещала 6 пакетов, когда пачка видео - около 45. Отправка, которую обрывал таймаут, оставляла в соединении половину кадра WebSocket, и зритель терял разметку потока. Алгоритм Нейгла придерживал каждое короткое сообщение на 200-450 мс, из-за чего пинг между терминалом и KVM после TCP_NODELAY упал с 440 до 15 мс. После перезапуска одной стороны узлы не могли снова договориться, потому что новая попытка рукопожатия затирала предыдущую раньше, чем на неё приходил ответ. При каждом переходе между прямым путём и ретранслятором DERP рукопожатие начиналось заново, примерно раз в 15 секунд, хотя ключам сессии путь безразличен. После правок получилось 11-14 fps при 720p, почти как в локальной сети.

Коротко об изменениях в ESP-KVM после прошлой новости о выпуске ESP-KVM 0.51.0:

• 0.52-0.54: Прошивка заработала на M5Stack Unit PoE-P4 с модулем Add-on Display In на мосте LT6911D: питание по PoE, паять ничего не нужно. В консоли появилась экранная клавиатура, заработали карты microSD с exFAT и разметкой GPT. Alt+Tab и клавиша Windows теперь уходят на целевую машину, а не в браузер.
• 0.55: Виртуальный CD-ROM отвечает на команды настоящего привода (READ TOC, GET CONFIGURATION и другие). UEFI и Linux грузились и без них, но Windows и macOS спрашивают их первыми. С карты exFAT работают образы больше 4 ГБ, так что влезает полный установщик на DVD.
• 0.56-0.57: Обрывы по WiFi шли из-за того, что сопроцессору не хватало внутренней памяти P4 под буферы. Добавились вход с кодом TOTP и часы DS3231. Уведомления ждут, пока появится сеть. Обновления устройство проверяет, только если пользователь разрешил.
• 0.58-0.59: На платах с TC358743 работает HDMI-CEC: кнопки пульта, ожидание, пробуждение. Steam Deck, правда, просыпаться по CEC отказывается - SteamOS эту команду игнорирует. Устройство умеет притворяться геймпадом для Switch и Xbox 360 и переходит с Ethernet на WiFi, если выдернуть кабель.
• 0.60: Последовательная консоль целевой машины открывается в браузере - для NAS, роутеров и серверов без экрана. Журналы ядра можно слать на устройство по сети (netconsole, syslog), при панике оно пришлёт уведомление. Образ по ссылке устройство скачивает прямо на карту, netboot.xyz - в один клик.
• 0.61-0.62: Добавлены модули M5Stack Unit OLED, Unit Glass2, Unit RTC и кнопка на корпусе. Сессии переживают перезагрузку. Задержка H.264 в браузере упала на 170 мс. B-кадров кодировщик не пишет, но в потоке об этом не говорилось, и декодер Chrome придерживал около четырёх кадров. Нажатия доходят до цели до 64 мс быстрее. Стеки задач занимали 220 КБ внутренней памяти и в основном пустовали, после их урезания свободной памяти стало вдвое больше.
• 0.63: Устройство теперь может получать сертификат Let's Encrypt для своего имени в tailnet. Запись DNS публикует сервер управления Tailscale, поэтому не нужны ни домен, ни токен DNS, ни открытый порт. Все операции с протоколом ACME выполняются на самом P4.
• 0.64: Режим геймпада оригинального Xbox (XID).

Прошивка собирается для 15 плат на ESP32-P4. Чтобы было проще выбрать, на сайте появилось сравнение плат ESP32-P4 для IP-KVM: ревизия чипа, память, размер платы в масштабе, Ethernet, PoE и Wi-Fi, подходящий адаптер HDMI и замеренная частота кадров. Отдельно есть сравнение плат захвата HDMI - мост, шлейфы, проход HDMI на монитор, CEC и звук.




<iframe src="https://www.youtube.com/embed/fkVMvvYvx0U"></center> <br /><br>Источник: <b><a href="https://www.opennet.ru/opennews/art.shtml?num=66485">https://www.opennet.ru/opennews/art.shtml?num=66485</a></b></br></p></li></li></li></li></li></li></li></ul></p></p></p></p></center></p>

В компиляторе Nimony для будущего Nim 3.0 реализованы самокомпиляция и JavaScript-бэкенд

Nimony - новая реализация языка Nim, практически не использующая кодовую базу существующего компилятора: с нуля написаны семантический анализ, обобщённые процедуры, разворачивание шаблонов, управление памятью и генерация кода. Цели проекта - инкрементальная перекомпиляция, полностью параллельные сборки, отказ от обязательных предварительных объявлений процедур и типов, типобезопасные дженерики и единая модель конкурентности на основе продолжений (continuations). Этапы компиляции обмениваются данными через текстовый формат NIF, а вместо исполнения макросов в виртуальной машине применяются плагины, компилируемые в нативные исполняемые файлы.

Основные изменения за прошедшие месяцы:

• Самокомпиляция и бэкенды
  • Бэкенд nativenif портирован и собирается при помощи Nimony. Вся цепочка инструментов, от фронтенда до генератора нативного кода, компилируется самим Nimony.
  • Архитектура перестроена вокруг промежуточного представления NJ ("No Jumps"), не содержащего операции break, continue и goto. NJ развивается для использования во фронтендах Nimony и Nim 2.x (текущей версии) и обеспечивает генерацию кода для C/C++, JavaScript и нативных бэкендов x86-64 и ARM64.
  • Добавлен JavaScript-бэкенд, включаемый подкомандой j (nimony j file.nim).
  • NIFC переименован в Leng для устранения постоянной путаницы между NIF и NIFC.
  • Обеспечена сборка DLL, позволяющая разрабатывать части программ на Nimony и подключать их к проектам на Nim 2.x,
  • Добавлена поддержка FreeBSD.
  • Управление памятью
    • В дополнение к имевшимся режимам управления памятью ARC и atomicArc портированы ORC и YRC. Доступна возможность подключения собственных реализаций через переключатель mm:‹путь›.
    • По умолчанию задействованы типы ref и ptr, не допускающие значения nil. Для совместимости со старым кодом предназначена прагма {.feature: "lenientnils".}.
    • Среда выполнения доработана для устойчивости к нехватке памяти (OOM - out-of-memory).
    • Языковые возможности и стандартная библиотека
      • Реализованы суммарные типы (sum types) и сопоставление с образцом (pattern matching), на основе которых в стандартную библиотеку добавлены типы Opt[T] и Result[T, E] для поддержки функциональной парадигмы программирования.
      • Проверка диапазонов выполняется полностью на этапе компиляции: если корректность неявного преобразования не удаётся доказать, компиляция завершается ошибкой.
      • Семантика break и block приведена к поведению Nim 3 (RFC 576).
      • Реализованы явные циклические зависимости между модулями.
      • Решено допустить классические исключения в виде ref object с подтипами (heap-based exceptions) для совместимости с Nim 2.
      • Сохранена работоспособность макросов: std/macros отображается на систему плагинов Nimony, что позволяет использовать существующий код метапрограммирования без переписывания.
      • Добавлена параллельная форма цикла for ("for i in 0 || 1"), реализованная в виде плагина, интегрированного с пулом потоков и циклом событий. Корректность доступа к результатам проверяется статически:

         import std / [parfor, syncio]
        
         proc pfib(n: int): int =
           if n { 2:
             return n
           
           var r = [0, 0]
           for i in 0 || 1: # итерации выполняются параллельно
             r[i] = pfib(n - 1 - i)
           
           result = r[0] + r[1]
        

      • В стандартную библиотеку добавлены модули httpclient с собственной реализацией TLS, complex, base64 и heapqueue, а также sort. Блокировки переведены на вызовы, не зависящие от libc.
      • Инженерные улучшения
        • Кодовая база компилятора переведена на nifcore, очередную итерацию API для работы с NIF, что снизило потребление памяти.
        • Для повышения безопасности работы с памятью во внутренних структурах NIF задействован подсчёт ссылок и режим copy-on-write.
        • Реализована проверка плагинов перед выполнением. Для проверки во время разработки плагинов поставляется линтер.
        • Реализованы совместимые с Nim прагмы .compile, .link, .intdefine, .booldefine и .strdefine. Прагма .build сделана независимой от инструментария сборки, а новая прагма .bundle позволяет подключать собственные бэкенды, работающие поверх Leng.

        При тестировании потребления памяти на системе с чипом Apple M1 самый требовательный к памяти процесс фронтенда занимает 45 МиБ, бэкенда - 111 МиБ, а суммарное потребление при восьми одновременно работающих процессах достигает 171 МиБ. Сборка тех же компонентов компилятором Nim 2 требует примерно в пять раз больше памяти, что в значительной мере обусловлено применением clang.

        Целью на текущий год в README проекта названа готовность компилятора к промышленному использованию для проектов, укладывающихся в задокументированный набор возможностей. В начале года темп разработки снизился из-за параллельной работы над системой инкрементальной компиляции в Nim 2. Модуль httpclient с собственной реализацией TLS создан для отработки применения Nim в роли встроенного ассемблера.
        
        Источник: https://www.opennet.ru/opennews/art.shtml?num=66488
        

Выпуск OpenRGB 1.1, инструментария для управления RGB-подсветкой

Релиз сфокусирован на исправлении ошибок, выявленных после выхода версии 1.0. Среди исправленных проблем:

• Налажена работа опции "Не показывать снова", которая не сохраняла значение.
• Устранена ошибка с сервером OpenRGB SDK, при которой в безоконном режиме (headless) сервер не отвечал на запрос списка плагинов.
• Исправлена ошибка сервера при работе с очень старыми клиентами с протоколом ниже версии 6, из-за которой неправильно обрабатывались индексы устройств.
• Исправлено несколько ошибок, связанных с обработкой опций командной строки, загружающих профили, устанавливающих параметр размера зон в устройствах, и применяющих другие настройки или цвета к устройствам через CLI.
• Исправления в нескольких конкретных контроллерах устройств, улучшающие поведение горячего подключения и устраняющие потенциальные взаимные блокировки.

Одновременно выпущены плагины OpenRGB Effects Plugin 1.1 с исправлением ошибок и OpenRGB Skin Plugin с поддержкой версии OpenRGB 1.0. Обновление других плагинов не потребуется, пересоздавать профили не нужно, кроме случаев обновления с версий 0.9 или более старых.

На платформе Windows, для взаимодействия с подсветкой ОЗУ или старых материнских плат, потребуется установить драйвер pawnio и запускать OpenRGB от имени администратора, или установить OpenRGB в качестве фонового сервиса.



Проект OpenRGB сфокусирован на предоставлении унифицированного доступа к аппаратным возможностям контроллеров подсветки, будь то встроенные эффекты или прямое управление цветом. Функциональность пользовательских эффектов, не встроенных в контроллер, таких как визуализация звука, цветовое отображение температуры, AmbiLight, смена подсветки при переключении окон или просто красивое переливание как в лавовой лампе - вынесена в плагины. Дополнительные возможности по кастомизации подсветки предоставляет внешний API (сетевой SDK), позволяющий передавать команды на изменение подсветки из любой сторонней программы или скрипта.

Среди прочего, пакет поддерживает материнские платы ASUS, Gigabyte, ASRock и MSI с RGB-подсистемой для подсветки корпуса, модули памяти с подсветкой (ASUS, Patriot, Corsair, HyperX и т.п.), графические карты (например, ASUS Aura/ROG, MSI GeForce, Sapphire Nitro, Gigabyte Aorus) и различные контроллеры светодиодных лент (ThermalTake, Corsair, NZXT Hue+), светящиеся кулеры, мыши, клавиатуры, наушники и аксессуары Razer с подсветкой. В списке поддерживаемых устройств часть контроллеров может быть подписана названиями, не совпадающими с торговыми (оперативная память Asus Aura и некоторых других производителей в списке подписана как ENE DRAM), и некоторые пункты объединяют под собой сразу несколько моделей устройств.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66495

Разработчик Firefox провёл сравнительное тестирование форматов JPEG XL и AVIF

При сжатии фотографий с потерями для веб-ресурсов с настройками эффективности сжатия (баланс между временем кодирования и уровнем сжатия) по умолчанию файлы JPEG XL получались обычно на 15-25% больше аналогичных файлов AVIF. При максимальных уровнях сжатия разрыв сокращался до 6-20%. В отдельных тестах JPEG XL приближался к AVIF или даже превосходил его. При этом на результат JPEG XL виляет выбор кодировщика: новый кодировщик jixel, как правило, создаёт файлы меньшего размера, чем libjxl, за исключением случаев, когда изображение содержит сложную прозрачность.

Для скриншотов и иллюстраций формат AVIF значительно лучше, чем JPEG XL. При настройках по умолчанию размер файлов JPEG XL был на 30-90% больше, а при максимальных уровнях сжатия - на 20-70% больше. Отмечается, что AVIF отлично справляется с такими изображениями при сжатии с потерями, поэтому использование форматов без потерь оправдано только в тех случаях, когда требуется абсолютная точность передачи данных (побитовое совпадение).

Для изображений с прозрачностью AVIF также значительно превосходит JPEG XL. При использовании libjxl файлы получаются на 31-44% больше при настройках по умолчанию или на 61-70% больше при максимальных уровнях сжатия. Кодировщик jixel всегда сохраняет прозрачность без потерь, из-за чего его файлы в 2-3 раза превышают по размеру аналогичные файлы AVIF.

Как правило, AVIF быстрее производит кодирование и потребляет меньше памяти с учётом размера итогового файла. Кодировщик jixel работает быстрее AVIF и требует меньше памяти, однако создаваемые им файлы обычно значительно крупнее.

Декодирование в AVIF происходит быстрее. Для JPEG XL декодирование обычно требует в 2-3 раза больше времени при среднем качестве, однако при очень высоком качестве разрыв сокращается - в таких случаях браузер Chrome иногда декодирует JPEG XL даже быстрее.

Использование более высоких уровней сжатия оправдано для AVIF и jixel, но не для libjxl. В случае с libjxl высокие уровни сжатия значительно замедляют процесс, требуют гораздо больше оперативной памяти и практически не улучшают результат. Иногда файлы, полученные при таких настройках, оказываются даже больше, чем при использовании настроек по умолчанию.

Режим 4:2:0 в AVIF (с пониженным вдвое цветовым разрешением) редко приводит к уменьшению размера файла, но при этом затрудняет достижение высокого качества изображения. Но кодирование и декодирование в этом режиме происходят быстрее.

Настройки качества работают предсказуемо во всех кодировщиках. При одном и том же значении параметра качество итогового изображения может немного варьироваться, но у всех кодировщиков эти отклонения происходят в однородно и выглядят вполне логично.

В JPEG XL при выборе высоких уровней сжатия использование прогрессивного вывода практически не требует дополнительных затрат. В jixel недавно появилась поддержка предварительного прогрессивного отображения: при максимальной интенсивности сжатия это почти не влияет на результат, однако при настройках по умолчанию размер файла увеличивается на 12%. Браузеры Firefox и Chrome поддерживают прогрессивный JPEG XL. Safari отображает финальное изображение, но не показывает промежуточные прогрессивные стадии.

В AVIF с недавних под тоже поддерживается прогрессивный вывод. Пока эта функция доступна только в Chrome, но работа над её внедрением в Firefox уже ведётся. Реализация этого механизма в AVIF сложнее, чем в JPEG XL, зато он даёт больше контроля над тем, как будет выглядеть предварительное изображение, а файлы обычно получаются меньше и декодируются значительно быстрее.

Что касается HDR, то в JPEG XL отсутствуют "карты усиления" (gain maps), что является существенным недостатком по сравнению с AVIF. Формат JPEG XL поддерживает такие карты, но браузерные декодеры их пока не распознают, а процесс кодирования остаётся непроработанным или экспериментальным. При сравнении HDR-контента без использования карт усиления два применённых в тестах показателя качества дают противоречивые результаты, однако оба сходятся в том, что JPEG XL позволяет получить файлы меньшего размера, чем AVIF. JPEG XL даёт возможность уменьшить размер существующих JPEG-файлов на 9-20% без дополнительной потери качества. Скорость декодирования у него такая же или даже выше (за исключением изображений небольшого размера).

В режиме сжатия без потерь (lossless) лидирует JPEG XL. Формат WebP (без потерь) позволяет получить файлы на 9-17% больше, а AVIF (без потерь) - на 30-120% больше. При настройках максимального сжатия без потерь в jixel зачастую создаются файлы, которые декодируются слишком медленно.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66493

Опубликована мобильная платформа Ubuntu Touch 24.04-2.1

Среди изменений в Ubuntu Touch 24.04-2.1:

• Добавлена поддержка новых устройств:
  • Nothing Phone
  • OnePlus Nord N10
  • OnePlus Nord N100
  • Volla Tablet
  • Xiaomi Redmi Note 9 Pro (Global)
  • Xiaomi Redmi Note 9S/9 Pro (India)
  • Xiaomi Redmi Note 9 Pro Max
  • Xiaomi Poco M2 Pro
• В браузере Morph задействован выпуск движка QtWebEngine 6.11.2, основанный на Chromium 140 с бэкпотированием исправлений уязвимостей из новых веток.
• Устранена проблема, из-за которой указатель мыши не перемещался при повороте экрана.
• Добавлена поддержка включения фонарика на смартфоне Volla Phone Plinius.
• Повышена стабильность работы push-уведомлений.
• Решена проблема с использование экранной клавиатуры в приложениях, запускаемых через Libertine (утилита для запуска обычных немобильных desktop-программ).
• Устранены уязвимости, позволявшие ограниченным приложениям получить дополнительные привилегии без ввода пароля. Например, в lomiri-download-manager устранена уязвимость, позволявшая выполнить произвольные команды с правами root и без аутентификации прочитать любые файлы в системе.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66494

Проект GNOME представил предварительный выпуск GNOME OS для обычных пользователей

GNOME OS использует компонент systemd-sysupdate для организации атомарного обновления системы и формат пакетов flatpak для установки дополнительных программ. Для установки задействован прототип инсталлятора. Из недавних улучшений в GNOME OS отмечены:

• Поддержка механизма zswap для сжатия памяти, претендующей на вытеснение в раздел подкачки, для повышения эффективности работы на системах с небольшим ОЗУ;
• Поставка приложения Test Center для упрощения тестирования экспериментальных версий программ;
• Создание проекта Toolpak для установки независимых от дистрибутивов сборок консольных утилит (как Flatpak и Flathub, но для консольных программ).

Сборка GNOME OS Preview пока позиционируется как экспериментальная и будет объявлена стабильной после реализации недоделанных возможностей и поддержки механизмов подготовки, доставки и установки обновлений для поддержания системы в актуальном состоянии. Среди планов на будущее:

• Доработка инсталлятора до полнофункционального состояния;
• Поддержка дельта-обновлений в systemd-sysupdate для загрузки при обновлении только изменений, а не всего образа;
• Интеграция systemd-homed для организации работы с шифрованными переносимыми домашними каталогами;
• Улучшение поддержки устройств на базе архитектуры ARM;
• Более тесная интеграция с TPM и графический интерфейс для восстановления ключей;
• Поставка предустановленных программ в формате Flatpak;
• Создание новых порталов и возможностей Flatpak, например, для поставки VPN-приложений.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66491

значение звезды хаоса в анархическом движении

майкл муркок, писатель-фантаст и анархист, создал восьмиконечную звезду хаоса для олицетворения бесконечных возможностей, не ограниченных никакими правилами. в его книгах этот символ используется для противопоставления символу закона — стрелке, направленной только в одну сторону.

в конечном итоге звезда хаоса проникла в современное анархическое движение через панк-субкультуру и стала отражать тактический и философский разрыв с классическим анархизмом. она обозначает непредсказуемость и отрицание любых порядков, что активно отразилось в деятельности «заговора огненных ячеек», перенявших себе этот символ.

многие идеи, отраженные в текстах «заговора», стали идеологической основой для анархо-нигилизма и пост-левого анархизма. «солнце все еще восходит» заложило (https://ru.anarchistlibraries.net/library/zagovor-ognennyh-yacheek-solnce-vse-esche-voshodit) принципы для неформальной организации и прямого действия, вдохновив бесчисленное множество повстанческих ячеек, действующих в рамках единой сети по всему миру.

звезда хаоса объединяет всех, кто ставит в приоритет активное разрушение системы вместо поиска замены ей. этот символ часто используется в анархических движениях греции, колумбии, индонезии и чили.

значение звезды хаоса в анархическом движении

майкл муркок, писатель-фантаст и анархист, создал восьмиконечную звезду хаоса для олицетворения бесконечных возможностей, не ограниченных никакими правилами. в его книгах этот символ используется для противопоставления символу закона — стрелке, направленной только в одну сторону.

в конечном итоге звезда хаоса проникла в современное анархическое движение через панк-субкультуру и стала отражать тактический и философский разрыв с классическим анархизмом. она обозначает непредсказуемость и отрицание любых порядков, что активно отразилось в деятельности «заговора огненных ячеек», перенявших себе этот символ.

многие идеи, отраженные в текстах «заговора», стали идеологической основой для анархо-нигилизма и пост-левого анархизма. «солнце все еще восходит» заложило (https://ru.anarchistlibraries.net/library/zagovor-ognennyh-yacheek-solnce-vse-esche-voshodit) принципы для неформальной организации и прямого действия, вдохновив бесчисленное множество повстанческих ячеек, действующих в рамках единой сети по всему миру.

звезда хаоса объединяет всех, кто ставит в приоритет активное разрушение системы вместо поиска замены ей. этот символ часто используется в анархических движениях греции, колумбии, индонезии и чили.

( к сожалению ) не регулярная рубрика: #ЧтоПосмотреть #Анимация

"Частые побочные явления" (Common Side Effects).

К созданию приложил руку один из авторов "Царства падальщиков". Это считывается, но по духу ближе к "Паприке" Сатоси Кона (хотя тут меньше сюрра и больше закрученного действа).

Один сезон, 10 серий (~ по 20 минут каждая, это с заставкой и повтором в начале), горизонтальная сюжетная арка. Можно посмотреть за раз, как полный метр.

@rf Попытаюсь эстетично поджемить, dark ambient/noise заглядывайте

https://youtube.com/live/mMiPYLrSmEs

PwnEscape - уязвимости в сетевом стеке ядре Linux, позволяющая обойти изоляцию гипервизоров и контейнеров

Проблема вызвана некорректной последовательностью операций при проверке контрольной суммы сетевого пакета, позволяющей изменить заголовок IPv4 в момент после проверки корректности информации, но до выполнения действий с ним (TOCTOU - Time-Of-Check-To-Time-Of-Use). При определённых условиях вычисление контрольной суммы выполняется в отложенном режиме, уже после разбора и проверки сетевого пакета, что может привести к изменению уже проверенных данных и чтению до 32 байт из области памяти вне буфера, в котором происходит обработка пакета.

Атака производится через отправку из гостевой системы пакета с флагом CHECKSUM_PARTIAL, при котором контрольная сумма вычисляется не сразу, и специально подобранными значениями skb->csum_start и skb->csum_offset. Пакет проходит проверку в сетевом стеке, так как длина заголовка корректна и равна 20 байт. Завершения вычисления контрольной суммы осуществляется при обработке фрагментации пакета, но из-за некорректных значений csum_start и csum_offset результат записывается в самое начало IPv4-заголовка и изменяет первый байт, хранящий размер, увеличивая его 20 до 60 байт. При дальнейшей обработке ядро считает, что размер заголовка теперь 60 байт, при копировании читает дополнительные 40 байт (c учётом хвостовых служебных 8 байт, читается 32 байта из области вне буфера) и отправляет обратно в составе секции с IP-опциями.

В подготовленном эксплоите утечку 32 байт удалось использовать для контролируемой перезаписи 64 байт в памяти ядра и добиться выполнения кода на стороне хост-окружения с правами root. Технические детали данной стадии атаки и код эксплоита пока не публикуются, чтобы дать пользователям время на установку обновления. Предполагается, что утечка вначале используется для воссоздания раскладки памяти ядра в обход рандомизации KASLR, после чего создаются условия для выделения целевой структуры ядра с указателем сразу за памятью с буфером пакета и переписывают указатель, инициировав действие, приводящее к изменению данных в секции с IP-опциями, выходящими за границу буфера.

Уязвимость устранена в вчерашних обновлениях ядра Linux 7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223 и 5.10.272.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66487

PwnEscape - уязвимости в сетевом стеке ядре Linux, позволяющая обойти изоляцию гипервизоров и контейнеров

Проблема вызвана некорректной последовательностью операций при проверке контрольной суммы сетевого пакета, позволяющей изменить заголовок IPv4 в момент после проверки корректности информации, но до выполнения действий с ним (TOCTOU - Time-Of-Check-To-Time-Of-Use). При определённых условиях вычисление контрольной суммы выполняется в отложенном режиме, уже после разбора и проверки сетевого пакета, что может привести к изменению уже проверенных данных и чтению до 32 байт из области памяти вне буфера, в котором происходит обработка пакета.

Атака производится через отправку из гостевой системы пакета с флагом CHECKSUM_PARTIAL, при котором контрольная сумма вычисляется не сразу, и специально подобранными значениями skb->csum_start и skb->csum_offset. Пакет проходит проверку в сетевом стеке, так как длина заголовка корректна и равна 20 байт. Завершения вычисления контрольной суммы осуществляется при обработке фрагментации пакета, но из-за некорректных значений csum_start и csum_offset результат записывается в самое начало IPv4-заголовка и изменяет первый байт, хранящий размер, увеличивая его 20 до 60 байт. При дальнейшей обработке ядро считает, что размер заголовка теперь 60 байт, при копировании читает дополнительные 40 байт (c учётом хвостовых служебных 8 байт, читается 32 байта из области вне буфера) и отправляет обратно в составе секции с IP-опциями.

В подготовленном эксплоите утечку 32 байт удалось использовать для контролируемой перезаписи 64 байт в памяти ядра и добиться выполнения кода на стороне хост-окружения с правами root. Технические детали данной стадии атаки и код эксплоита пока не публикуются, чтобы дать пользователям время на установку обновления. Предполагается, что утечка вначале используется для воссоздания раскладки памяти ядра в обход рандомизации KASLR, после чего создаются условия для выделения целевой структуры ядра с указателем сразу за памятью с буфером пакета и переписывают указатель, инициировав действие, приводящее к изменению данных в секции с IP-опциями, выходящими за границу буфера.

Уязвимость устранена в вчерашних обновлениях ядра Linux 7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223 и 5.10.272.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66487

Cloudflare Blog: Yandex outage: Data shows that instead of going dark, malicious bots went on the move

When traffic from Yandex networks collapsed, speculation spread across the Internet that Russian influence operations and malicious botnets had suffered a crippling blow. Cloudflare data tells a different story: across Cloudflare's network, there was no evidence that the strikes knocked social media manipulation offline or otherwise disrupted malicious activity on the Internet. Instead, the data demonstrated:

• Search indexing dropped. The overwhelming majority of the traffic that dropped from Yandex Search ASN consisted of verified YandexBot crawlers fetching news articles and web assets. The main impact was reduced content discovery in Yandex Search.
• Malicious automation migrated instead of stopping. While vulnerability scanning and plugin probing temporarily dropped on Yandex.Cloud, high-volume operations quickly moved to alternative hosting networks.

(#yandex)

Выпуск загрузочной прошивки Libreboot 26.10, в котором добавлена поддержка 239 устройств

Libreboot нацелен на формирование системного окружения, позволяющего обойтись без проприетарного ПО настолько, насколько это возможно, не только на уровне операционной системы, но и прошивки, обеспечивающей загрузку. Libreboot дополняет Coreboot средствами для упрощения применения конечными пользователями, формируя готовый дистрибутив, которым может воспользоваться любой пользователь, не имеющий специальных навыков.

По сравнению с прошлым стабильным релизом добавлена поддержка 222 моделей Google Chromebook на базе процессоров Intel и AMD, 9 редакций ноутбуков Purism Librem 13/14/15/Mini, а также моделей Samsung Lumpy и Stumpy, ThinkPad X301, ThinkPad X270 и ThinkPad X280 Помимо этого добавлена поддержка ПК Dell OptiPlex 5050 SFF и Dell OptiPlex 3040 Micro, материнской платы Supermicro X11SSH-F.

Совместимость с новыми устройствами удалось наладить благодаря интеграции payload на базе EDK2 из coreboot-дистрибутива MrChromebox, позволившем обеспечить полную поддержку UEFI и ReBAR (PCIe Relocatable BAR), что решило проблемы с использованием современных видеокарт с объёмом памяти больше 4 ГБ. EDK2 (реализация UEFI) задействован по умолчанию даже на старых устройствах, таких как ThinkPad X200 и T500, а ReBAR по умолчанию оключён из-за возникновения проблем с выводом в библиотеке libgfxinit на системах с GPU Intel.

Поддержка UEFI протестирована при загрузке Windows 10/11, 9front (форк Plan 9), Linux-дистрибутивы с UKI или systemd-boot, OpenBSD с EFI-загрузчиком и разделами GPT, FreeBSD в режиме UEFI и RedoxOS. ReactOS не загружается из-за отсутствия поддержки UEFI. Обособленное использование GRUB и SeaBIOS объявлено устаревшим, но для обратной совместимости в EDK2 встроены EFI-сборки GRUB и SeaBIOS, вызываемые через нажатие ESC при загрузке. В состав EDK2 включены MemTest86+ и iPXE.

Значительно расширена поддержка материнских плат для процессоров AMD Fam15h, таких как KGPE-D16. Для инициализации подобных плат задействован форк coreboot от проекта 15h.org, использующий ранее опубликованный AMD код протокола инициализации AMD Agesa (AMD Generic Encapsulated Software Architecture).

По умолчанию при сборке выставлен бит HAP (High Assurance Platform) для отключения Intel ME. Обновлены версии Coreboot (git от 18 сентября 2026 г.), EDK2 26.09.2, GRUB 2.16 и SeaBIOS от 28 июля 2026 г.

В репозиторий добавлен файл AGENTS.md с запретом любого применения AI при подготовке изменений. В качестве причин упоминается экономическая неустойчивость AI-инфраструктура, подконтрольность технологий узкой группе людей и негативное влияние на разработчиков. По мнению автора Libreboot AI-инструменты отупляют и лишают профессиональных навыков, превращая даже талантливых специалистов в зависимых и некомпетентных пользователей.

Оборудование, поддерживаемое в Libreboot:

• Серверные материнские платы:
  • ASUS KFSN4-DRE
  • ASUS KGPE-D16
  • Supermicro X11SSH-F
• Десктоп-системы:
  • Gigabyte GA-G41M-ES2L;
  • Acer G43T-AM3, Q45T-AM;
  • Intel D510MO / D410PT;
  • Apple iMac 5,2;
  • HP Elite 8200 SFF/MT;
  • HP Elite 8300 USDT;
  • HP Pro 3500;
  • Topton XE2 N150;
  • ASUS KCMA-D8;
  • Dell Precision T1650, T1700 SFF/MT;
  • Intel D945GCLF
  • Dell OptiPlex 3050 Micro, 3040 Micro, 5050 SFF, 7010, 7020, 9010 и 9020 серии SFF, XE2 SFF, MT и XE2 MT, 780 USFF/MT.
• Ноутбуки:
  • ThinkPad X60 / X60S / X60 Tablet;
  • ThinkPad T60;
  • Lenovo ThinkPad X200 / X200S / X200 / X220 / X230 / X230 eDP / X230 Tablet;
  • Lenovo ThinkPad X301;
  • Lenovo ThinkPad R400;
  • Lenovo ThinkPad T400 / T400S / T420 / T420S / T430 / T440 / T480 / T480S.
  • Lenovo ThinkPad T500 / T530 / T580;
  • Lenovo ThinkPad W530 / W541;
  • Lenovo ThinkPad R500;
  • HP EliteBook 2560p / 2570p / 2170p / 8470p / Folio 9470m;
  • HP EliteBook 820 G2;
  • HP Compaq Elite 8300 CMT;
  • HP EliteBook 8460p;
  • HP EliteBook 8560w;
  • Dell Latitute E6400 / E6430;
  • Dell Latitude E5420 / E5520 / E5530 / E6520 / E6530 / E6420 / E6220 / E6320 / E6330 / E6230 / E4300 / E7240;
  • Apple MacBook1 и MacBook2;
  • ASUS Chromebook Flip C101 (ARM);
  • Samsung Chromebook Plus (ARM), Lumpy и Stumpy (x86);
  • Purism Librem 13/14/15/Mini;
  • Более 200 моделей Google Cromebook.
  • Игровые приставки:
    • Sony PlayStation 1.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66486
  

Началось тестирование 64-разрядной версии клиента Steam для Linux

В новой версии также предложен новый интерфейс для отслеживания и управления достижениями при прохождении игр. Окно с настройками уведомлений адаптировано для работы на экранах любого размера. Улучшена работа с библиотекой в offline-режиме. В Remote Play реализованы настройки для масштабирования вывода с учётом разных соотношений сторон экрана на локальной и удалённой системах.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66482

Документальный фильм о проекте KDE

Днём рождения KDE считается 14 октября 1996 года. В этот день Маттиас Эттрих (Matthias Ettrich), будучи студентом, объявил о создании нового свободного десктоп-окружения, ориентированного на конечных пользователей, а не на системных администраторов, и способного конкурировать с доступными в то время коммерческими продуктами, такими как CDE. Первый стабильный релиз KDE 1.0 был выпущен 12 июля 1998 года, KDE 2.0 был выпущен 23 октября 2000 года, KDE 3.0 - 3 апреля 2002 года, KDE 4.0 - 11 января 2008 года, KDE Frameworks 5 и KDE Plasma 5 - в июле 2014 года, а KDE Plasma 6 - в феврале 2024 года. Проект GNOME, который появился спустя 10 месяцев после основания KDE, будет праздновать своё 30-летие 15 августа 2027 года.

Доступен неофициальный порт игры Космические рейнджеры для Linux

В процессе разработки использовался собственный форк компилятора, созданный для улучшения поддержки LLVM-бекенда на разных платформах и исправления совместимости, чтобы игра вела себя абсолютно так же, как оригинальный исполняемый файл на Windows, вплоть до воспроизведения поведения x87 с 24-битной точностью. При задействовании форка FPC с LLVM бекендом порт игры просчитывает симуляцию галактики примерно в 2 раза быстрее оригинальной игры, если сравнивать на одинаковом оборудовании. К тому же, многие изменения в форке FPC позволили найти проблемы в самом FPC, сведения о которых отправлены на рассмотрение в оригинальный проект.

На данный момент порт игры находится в стадии разработки и тестирования, но уже позволяет играть в основную игру так же, как в оригинале, за исключением редких ошибок. Подготовлен экспериментальный мобильный пользовательский интерфейс, который меняет масштабирование многих элементов для более комфортной игры на маленьких экранах с большим разрешением. Самое большое ограничение на текущий момент: отсутствие планетарных боёв, для которых использовался движок MatrixGame, написанный на C++ с DirectX 9, который был открыт в 2019 году под лицензией GPLv2. В ближайшем будущем планируется портировать и его.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66471

Линус Торвальдс раскритиковал предвзятое отношение к AI-инструментам

Лоран аргументировал свою позицию тем, что даже если невозможно принудить людей всегда соблюдать правило о декларировании AI, так как часть разработчиков всё равно будет хитрить, сообщество всё равно должно формально зафиксировать свои ожидания и чётко обозначить, что допустимо, а что нет. Подобная попытка регулировать процесс разработки через ограничения на инструменты и апелляция к "установлению ожиданий" вызвала бурный ответ Торвальдса.

По мнению Линуса, к "ожиданиям" это не имеет никакого отношения, а вызвано личными заскоками. Линус не признаёт концепцию "не используй AI для таких-то задач", которая сродни рекомендации не использовать компиляторы при подготовке кода, в контексте того, что если разработчик не разбирается в том как компьютер обрабатывает машинный код, то предложенное изменение не заслуживает внимания, а разработчик не компетентен, если не может писать код на ассемблере. Доводя ситуацию до абсурда также можно потребовать не использовать текстовые редакторы при написании пояснений к коммитам, чтобы допускать только разработчиков, способных в один заход грамотно набирать текст без инструментов, позволяющих исправлять допущенные при вводе ошибки.

Линус против введения любых запретов на использование инструментов для упрощения работы и ожидает от людей, что они прикладывают максимум усилий и понимают, что делают. Но это понимание имеет мало общего с тем, какими инструментами они пользуются. По опыту Линуса, люди, которых он уважает и считает умными, не склонны сторониться новых и интересных инструментов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66480

Выпуск системы тестирования памяти Memtest86+ 9.0

Основные новшества:

• Добавлена поддержка архитектуры AArch64 (ARM64). Работа протестирована на платах Raspberry Pi 4/5 и Snapdragon X.
• Реализована функция сохранения отчёта на USB-накопителе, отформатированном с ФС FAT32.
• Переработан набор тестов, в который добавлены оптимизации для сокращения времени выявления первого сбоя.
• Добавлены тесты, в которых используются 128- и 256-разрядные векторные инструкции SIMD (SSE2/AVX2/NEON/LASX).
• Добавлен новый стресс-тест шины, необходимый для памяти DDR5.
• Добавлен опциональный тест для проверки подверженности памяти атаке RowHammer (искажение содержимого отдельных битов памяти DRAM путём цикличного чтения данных из соседних ячеек памяти).
• Добавлен тест для определения повреждения данных SPD (Serial Presence Detect).
• Расширена выводимая информация о памяти.
• Реализовано определение более 100 новых наименований DRAM-памяти.
• Добавлена поддержка платформы Intel Wildcat Lake.
• Обеспечено заверение собственной цифровой подписью для загрузки в режиме Secure Boot (в будущем ожидается заверение подписью Microsoft).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66481

Релиз дистрибутива Ubuntu 26.10

Основные изменения:

• Рабочий стол обновлён до выпуска GNOME 51, в котором предложены оптимизации для повышения плавности вывода и исключения подвисаний во время анимации и при большой нагрузке на систему.
• Обновлены версии пакетов, включая ядро Linux 7.3-rc, GCC 15.2.0, LLVM 22.1.6, APT 3.3.3, Python 3.14.7, .NET 10.0.112, Go 1.27, OpenJDK 25.0.4, Rust 1.97.1, Zig 0.16, Mesa 26.2, LibreOffice 26.8.
• Осуществлён полный переход на инструментарий uutils coreutils (Rust Coreutils), написанный на языке Rust. Утилиты из состава Rust Coreutils полностью заменили все компоненты пакета GNU Coreutils, включая утилиты cp, mv и rm, которые в Ubuntu 26.04 поставлялись в варианте из GNU Coreutils.
• Обеспечена официальная поддержка пакета Sequoia PGP с реализацией стандарта OpenPGP на языке Rust. В настоящий момент пакет включён в основной репозиторий, но доступен в качестве опции. В будущем намерены перейти по умолчанию на PGP-инструментарий Sequoia, заменив утилиты gpg и gpgv на sq и sqv.
• OpenSSH разделён на два пакета - openssh и openssh-gssapi, которые отличаются включением поддержки GSSAPI/Kerberos при сборке. В пакете openssh-gssapi поставляется фоновый процесс openssh-gssapi-server и утилиты openssh-gssapi-client, поддерживающие GSSAPI. По умолчанию в новых установках предлагается openssh, а при обновлении пакет выбирается в зависимости от наличия настроек GSSAPI в файле конфигурации. Разделение произведено для снижения поверхности атаки, так как поддержка GSSAPI реализована в форме внешнего патча, не принятого в основной состав OpenSSH и сомнительного с точки зрения безопасности (весной в патче была выявлена удалённая уязвимость), при том, что поддержка GSSAPI нужна лишь очень небольшому числу пользователей.
• Сформированы сборки Ubuntu Desktop для архитектуры RISC-V. Обеспечена официальная поддержка плат на базе архитектуры RISC-V - SpacemiT K3 (Pico-ITX, CoM260 kit) и SiFive BigSky.
• Добавлена начальная поддержка ноутбуков на ARM-чипах Qualcomm Snapdragon X2.
• Предложена для начального тестирования возможность голосового ввода текста с использованием развиваемой компанией Canonical системы распознавания речи Myna. Сеанс работы с приложением сводится к активации через клавиатурную комбинацию, диктовки вслух и вставки распознанного текста в текущее приложение через симуляцию клавиатурного ввода по мере его произнесения. Для распознавания на выбор могут использоваться AI-модели Whisper, Parakeet или Funasr, выполняемые локально. Из компонентов в базовую поставку пока включено только дополнение к GNOME Shell - Myna Shell, а конфигуратор и AI-модели поставляются отдельной через PPA-репозиторий myna-config и snap-пакеты myna, myna-whisper, myna-parakeet и myna-funasr.
• В качестве применяемой по умолчанию реализации шины D-Bus вместо dbus-daemon задействован dbus-broker. D-Bus Broker реализован в пространстве пользователя, но использует для ускорения подсистемы ядра Linux, сохраняет совместимость с эталонной реализацией D-Bus и может быть использован для прозрачной замены dbus-daemon. D-Bus Broker учитывает ресурсы в привязке к пользователям и включает оптимизации для повышения производительности и надёжности (например, сообщение не может быть потеряно без обработки ошибки).
• Механизм обработки ситуаций нехватки памяти в системе (OOM) переработан для предотвращения аварийного завершения всего десктоп-сеанса (для ключевых десктоп-процессов снижен приоритет, влияющий на выбор претендентов для принудительного завершения с целью высвобождения памяти).
• Сформированы экспериментальные установочные образы Ubuntu Desktop 26.10 с пакетами, собранными с оптимизациями для архитектуры x86-64-v3. Третья версия микроархитектуры x86-64 (x86-64-v3) применяется в процессорах Intel примерно с 2015 года (начиная с Intel Haswell) и отличающейся наличием расширений AVX, AVX2, BMI2, FMA, LZCNT, MOVBE и SXSAVE. Прирост производительности при сборке с оптимизациями для архитектуры x86-64-v3 в большинстве случаев составляет примерно 1%, но в отдельных ситуациях в приложениях с интенсивными вычислениями может наблюдаться более заметное повышение производительности.
• В поставляемое по умолчанию GNOME-дополнение Tiling Assistant добавлен интерактивный режим выбора раскладки окон - при перетаскивании окна мышью в верхней части экрана появляется плавающая панель-подсказка с вариантами мозаичной компоновки.
• Добавлена опциональная поддержка NTP-сервера ntpd-rs, написанного на языке Rust. По умолчанию ntpd-rs планируют задействовать в выпуске Ubuntu 27.04. Проект ntpd-rs станет третьим компонентом, после Rust Coreutils и sudo-rs, интегрированным в Ubuntu в рамках инициативы по повышению качества системного окружения через поставку программ, изначально разрабатываемых с оглядкой на безопасность, надёжность и корректность.
• В заверенных цифровой подписью сборках загрузчика GRUB, применяемого на системах с UEFI Secure Boot, удалена поддержка форматов изображений jpeg и png, таблиц разделов part_appleа и возможности использования для раздела /boot LVM, md-raid (кроме raid1), шифрованных разделов LUKS и ФС btrfs, hfsplus, xfs и zfs. Отмечается, что в инсталляторе Ubuntu для /boot всегда используется только ФС ext4, а другие системы не тестируются и представляют угрозу обхода режима верифицированной загрузки на фоне периодического выявления уязвимостей в GRUB.
• В Kubuntu задействованы выпуски KDE Plasma 6.7, KDE Gear 26.08, KDE Frameworks 6.29.0 и Qt 6.11.2. По умолчанию предложен сеанс на базе протокола Wayland. Пакет "plasma-session-x11", обеспечивающий работу сеанса X11, не включён в основную поставку и объявлен не поддерживаемым, но может быть отдельно установлен из репозитория. В выпуске Kubuntu 27.04 намерены полностью прекратить поддержку X11, следом за удалением поддержки X11 в выпуске KDE Plasma 6.8.
• В Ubuntu Studio в инсталляторе реализован минимальный режим установки, позволяющий установить только необходимый базовый набор специфичных пакетов (тема оформления, настройки звука, оптимизированные настройки), а мультимедийные программы инсталлировать по отдельности. Возможна установка категорий программ: звук, видео, графика, обработка фотографий и т.п., и отдельный выбор рекомендованных зависимостей для каждого пакета. Для пользователей других редакций Ubuntu предоставлена возможность использовать пакет ubuntu-studio-installer для установки предоставляемых в Ubuntu Studio настроек, пакетов и категорий программ.

  Переделан интерфейс настройки звука, который теперь оформлен как одно окно с вкладками. Предоставлена возможность установки отдельного приложения для настройки PipeWire. Добавлены новые приложения для работы со звуком: Sonic Pi, SuperCollider и JNoise, а также набор плагинов SuperCollider 3. Обновлены версии: OBS Studio 32.2.2, FreeShow 1.6.5, QPrompt 2.0.2, RaySession 0.18.0, Patchance 1.4.0, DistroAV 6.2.1, Kdenlive 26.08.1, Krita 6.0.3, GIMP 3.2.6, Ardour 9.8.0, Scribus 1.6.6, Audacity 3.7.8.

• В Lubuntu задействован выпуск среды рабочего стола LXQt 2.4. Предложен экспериментальный сеанс на базе Wayland, реализованный с использованием дисплейного сервера Mir и композитного менеджера Miriway. Протокол X11 продолжает применяться по умолчанию и прекращать его поддержку в данный момент не планируют, но при этом реализация экрана входа в систему переведена на Miriway и Wayland.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66478

Тестирование Epic Games Launcher для Linux. Для Linux-версии Fortnite готовится новый Easy Anti-Cheat

Помимо этого объявлено о подготовке версии online-игры Fortnite для Linux. В рамках этого проекта ведётся модернизация системы защиты EAC (Easy Anti-Cheat) для Linux-дистрибутивов и налаживаются контакты с сопровождающими для реализации необходимых для античит-систем возможностей в Linux. Отмечается, что старая реализация EAC для Linux не обеспечивает должный уровень античит-защиты, из-за чего многие разработчики игр не добавляют поддержку Linux. В новой редакции EAC вместо собственного модуля ядра задействованы штатные механизмы обеспечения безопасности, предоставляемые ядром Linux, а сам античит запускается как сервис systemd.

Среди требований, которые должны быть выполнены в дистрибутивах для использования EAC:

• Загрузка в режиме Secure Boot ядра, драйверов и модулей ядра, подписанных одобренными ключами. Должный уровень верифицированной загрузки уже обеспечен в Ubuntu, Fedora, Bazzite, Bluefin, Debian, openSUSE, SUSE, Rocky Linux и AlmaLinux.
• Активация TPM 2.0 в BIOS для создания верифицируемого лога загрузки.
• Применение загрузчиков, таких как systemd-boot и GRUB, поддерживающих режим измеряемой загрузки (measured boot), позволяющий подтвердить достоверность конфигурации и загружаемых компонентов.
• Активация в BIOS и ядре технологии IOMMU, предотвращающей доступ читерских аппаратных устройств к памяти игры.
• Включение в ядре режима Lockdown, который ограничивает доступ пользователя root к ядру и блокирует пути обхода UEFI Secure Boot (ограничивается доступ к /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, отладочному режиму kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), некоторым интерфейсам ACPI и MSR-регистрам CPU, блокируются вызовы kexec_file и kexec_load, запрещается переход в спящий режим, лимитируется использование DMA для PCI-устройств, запрещается импорт кода ACPI из переменных EFI, не допускаются манипуляции с портами ввода/вывода).
• Отключение в ядре механизма Kexec, применяемого для запуска нового ядра из старого без полной перезагрузки системы.
• Поддержка LSM-хуков (Linux Security Module) в BPF для подключения eBPF-программ, контролирующих доступ и отслеживающих работу процессов (для блокирования чтения и модификации памяти игры, а также проверки активности античит-системы).

Разработчики Ubuntu уже начали обсуждение опубликованных требований, с учётом прошлого негативного опыта нарушений конфиденциальности пользователей в Windows (EAC скрыто выполнял код на нулевом кольце защиты, передавал данные на внешние серверы без явного согласия пользователя и оставался в системе после удаления игры). Из опасений также упоминается увеличение поверхности атаки со стороны вредоносного ПО и связь с китайской компанией Tencent (владеет 40% акций Ecic Games), которая может быть заинтересована в слежке за пользователями. Предлагается не распространять пакеты c EAC через основные репозитории, информировать пользователей о возможных рисках и предоставить отдельную загрузочную конфигурацию для тех, кому требуется запуск EAC.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66477

В Microsoft Defender добавлена поддержка десктоп-систем Linux

Выпуск Issuerd 0.1.17, Keycloak-совместимого сервера управления идентификацией и доступом

Ключевая особенность проекта - непрерывная проверка соответствия официальному набору тестов OpenID Foundation Conformance Suite (5.3.2). Тестирование проводится в CI для каждого релиза в изолированном docker-окружении. Помодульные результаты хранятся в репозитории, а полный пакет отчётов прикладывается к каждому релизу. Паритет с Keycloak контролируется набором тестов. В планах прохождение официальной сертификации.

Из протоколов, востребованных в сценариях с AI-агентами, реализованы DPoP (RFC 9449, привязка токена к ключу предъявителя), обмен токенами (RFC 8693, сужение полномочий при обмене токена) и CIBA (режим poll, подтверждение действий человеком). Также поддерживаются PAR (RFC 9126), JAR (RFC 9101), JARM, RAR (RFC 9396), динамическая регистрация клиентов (RFC 7591/7592), авторизация устройств (RFC 8628). Полный импорт 100 тысяч пользователей из MS Active Directory занимает около 30 секунд.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66475

Я так понимаю, что если явно замечаешь подорожание продуктов, значит, оно немаленькое, и произошло это словно по команде за прошедшие пару недель. (Что точно подметил, кроме яиц, это вино и тушёнка).

(#цены)

Представлены офисные пакеты ElixirOffice, TinyLittleOffice и ALT Office

• ElixirOffice - офисный пакет для пользователей, привыкших к Microsoft Office, и предлагающий интерфейс пользователя в его стиле. Поддерживается редактирование документов в форматах Word, Excel и PowerPoint (.docx, .xlsx и .pptx), а также в формате OpenDocument. Структура панелей, меню, диалогов и клавиатурных комбинаций повторяет Microsoft Office. Поставляется как обособленная десктоп-сборка, так и серверная редакция, работа с которой осуществляется через браузер. Код написан на JavaScript и Python с привлечением AI, и открыт под лицензией AGPLv3. Реализация интересна тем, что в проекте задействованы наработки и движок от проекта Euro-Office (форк ONLYOFFICE), а изменения сосредоточены на переработке интерфейса и его стилизации под MS Office.

  Проект создан для жены разработчика, которая преподаёт в школе и несколько раз пыталась перейти на использование открытых офисных пакетов, но всё время возвращалась на MS Office из-за непривычности интерфейса альтернативных пакетов и проблем с отображением документов, создаваемых коллегами. Осознав, что поменять привычки, выработанные за годы работы в MS Office, не так просто, было решено создать новый офисный пакет, на который будет легко перейти с MS Office.

  
• TinyLittleOffice - ключевая идея проекта в том, что документ отождествляется не с файлом, а со ссылкой. Для передачи и копирования документа достаточно передать или скопировать ссылку из адресной строки. Учётная запись для работы с документами не требуется. Предоставляются текстовый и табличный процессоры, планировзщик, построитель диаграмм, система презентаций, калькулятор, векторный редактор, календарь-планировщик и планировщик поездок. Редактирование и работа с данными осуществляется на стороне клиента, всё содержимое сохраняется непосредственно в самой ссылке (чем больше документ тем длиннее ссылка). Возможно использование коротких ссылок с хранением документа на сервере в зашифрованном виде (серверная часть запускается на оборудовании пользователя).

  Содержимое документов кодируется в формате TLO, напоминающем Markdown. Поддерживается импорт и экспорт в PDF, HTML, JSON и Markdown, а также в офисные форматы, такие как docx, rtf, pptx и xlsx. Интерфейс минималистичен и поддерживает только самые необходимые возможности. Код написан на TypeScript с привлечением AI и распространяется под лицензией MIT.

  
• Компания Базальт СПО представила офисный пакет "Свободный офис" (ALT Office или Free Office), включающий текстовый и табличный процессоры, редакторы презентаций, векторной графики, формул и БД, почтовый клиент, браузер Chromium (с инструментами для работы с электронной подписью, сертификатом Минцифры и поддержкой криптографических алгоритмов ГОСТ), приложение для работы с PDF-документами Surguch и приложение Alt-csp-cryptopro для интеграции с Криптопро CSP. Поддерживается установка на физические и виртуальные рабочие станции, используя инсталлятор freeoffice-installer (не путать с SoftMaker FreeOffice).

  На странице ALT Office не детализируется на основе какого проекта построен продукт, упоминается лишь обезличенный "офисный пакет". При этом в предлагаемом руководстве пользователя на скриншотах изображён LibreOffice, который также упомянут в rpm-пакете freeoffice, уже достаточно давно поставляемом в ALT Linux. В качестве почтового клиента задействован ThunderBird. Продукт распространяется под проприетарной лицензией, разрешающей безвозмездное использование только физическими лицами и требующее покупки лицензии у юридических лиц.

  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66474
  

Обновление nginx 1.31.7 и njs 1.0.2 с устранением уязвимостей

• CVE-2026-15176 - переполнение буфера, проявляющееся при использовании директивы "alias" в конфигурациях, меняющих URI запроса через директиву "rewrite" с дальнейшим перенаправлением на файл.
• CVE-2026-93479 - переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логгировании запросов в модулях http и stream
• CVE-2026-95101 - обход ограничения "client_max_body_size" и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могло быть обработано как тело запроса.
• CVE-2026-97629 - подделка TLS-сеансов из-за оставления одного из сессионных ключей неинициализированным во время ротации.
• CVE-2026-97205 - обращение к памяти после её освобождения (use-after-free), возникающее при использовании на SSI-страницах команд "include virtual" в сочетании с применением асинхронного ввода/вывода (AIO).

Не связанные с уязвимостями изменения в nginx 1.31.7:

• В модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB).
• Реализована возможность проверки по IP-адресу SSL-сертификатов, используемых в бэкенде.
• Реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf.
• В модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218.

Одновременно доступен выпуск njs 1.0.2, модуля для интеграции интерпретатора языка JavaScript в http-сервер nginx. Njs позволяет использовать сценарии JavaScript в файлах конфигурации для расширения возможностей nginx. Скрипты могут использоваться для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответов, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. Код проекта написан на Си и распространяется под лицензией BSD.

В выпуске njs 1.0.2 устранены уязвимости: исчерпание доступной памяти при разборе некорректных XML-данных (CVE-2026-101025) и нарушение проверки подписанного XML-документа через манипуляцию с XML-атрибутами (CVE-2026-101019). Добавлены методы XMLNode.getAttributeNS() и XMLNode.getChildNS(). Сокращено потребление памяти при компиляции в движке njs.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66473

Выпуск QLinuxDeviceManager 1.3, диспетчера устройств для Linux с расширенной диагностикой оборудования

Программа ориентирована на пользователей, которым недостаточно названия устройства и версии драйвера, но не хочется собирать информацию по частям с помощью lspci, lsusb, smartctl, ethtool, dmidecode и других консольных утилит. В приложении реализованы несколько способов группировки оборудования: по типам, подключению, драйверам и ресурсам. Для каждого устройства предусмотрено окно свойств, в котором сведения разделены на тематические вкладки. Отдельный раздел System Information содержит общую информацию о системе, процессоре, памяти, материнской плате и прошивке.

Для получения сведений об оборудовании используются системные интерфейсы Linux. Управление драйверами и изменение конфигурации устройств намеренно не реализованы - приложение работает исключительно в режиме чтения. При разработке использовался ИИ, в то время как архитектурные решения, требования к функциональности и проверка работоспособности оставались за автором.

Среди особенностей QLinuxDeviceManager:

• Диагностика PCI Express. Отображаются текущая скорость соединения и число используемых линий PCIe, а также заявленные максимальные характеристики устройства. Например, можно определить, что видеокарта работает в режиме x8 вместо x16 или использует более медленное поколение PCIe. Дополнительно выводятся сведения о поддержке и выделенных размерах Resizable BAR.
• Подробная диагностика SSD и HDD. В версии 1.3 значительно расширена поддержка SMART. Помимо температуры и общего состояния накопителя, доступны сведения об объёме записанных и прочитанных данных, времени работы, числе включений, небезопасных отключений, показателях износа SSD, оставшемся резерве и счётчиках ошибок.
• Показывается установленный объём ОЗУ, включая память, недоступную операционной системе, характеристики модулей, производитель, скорость и сведения о том, является ли память распаянной или заменяемой.
• Для подключённых USB-устройств отображаются версия стандарта USB, согласованная скорость соединения, сведения о питании, потребляемом токе, напряжении, поддержке удалённого пробуждения, интерфейсах и используемых драйверах.
• Доступна расширенная информация об аккумуляторах, позволяющая посмотреть не только уровень заряда, но и проектную и текущую полную ёмкость, оценить степень износа, узнать число циклов зарядки, напряжение, ток, потребляемую мощность и другие характеристики, предоставляемые оборудованием.
• Отображаются производитель и модель монитора, физические размеры, поддерживаемые характеристики, текущее разрешение, частота обновления, глубина цвета, масштабирование и поворот изображения. Поддерживается получение доступных параметров как в X11, так и в Wayland.
• Помимо IP-адресов, масок, MTU и MAC-адресов, включая сведения о переопределённых адресах, доступны текущая скорость Ethernet-соединения, дуплексный режим, автосогласование и поддерживаемые режимы работы.
• Показывается режим загрузки системы (BIOS/UEFI), состояние Secure Boot, сведения о зарегистрированных сертификатах MOK, а также позволяет просматривать доступные переменные прошивки и их содержимое в шестнадцатеричном виде.
• Автоматически через udev отслеживается подключение и отключение устройств. Предусмотрен журнал событий текущего сеанса, а также возможность отображения скрытых, виртуальных и внутренних устройств.
• Помимо обычного поиска по названиям, реализован режим глубокого поиска, позволяющий находить устройства по идентификаторам, свойствам и выделенным ресурсам. Например, можно отфильтровать оборудование по аппаратному идентификатору, не просматривая вручную всё дерево устройств.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66469

Релиз файлового менеджера Strata 1.0, развиваемого для Omarchy Linux

Предоставляется три режима навигации по файловой системе: колонки Миллера, сетка пиктограмм и отсортированный список. В режиме колонок Миллера по мере перемещения по иерархии ФС каждый новый уровень вложенности открывается в новой вертикальной колонке справа от текущей. Для одновременной работы с разными частями ФС предоставляются вкладки и возможность разделения панели на части.

В правой части интерфейса отображается область предпросмотра, позволяющая без открытия нового окна просматривать код, картинки, видео, HTML-страницы и документы, а также прослушивать звуковые файлы. Вызываемые при предпросмотре обработчики выполняются в отдельном процессе, изолированном при помощи прослойки Bubblewrap (нет доступа к сети, ограничены ресурсы и возможен только доступ на чтение). При отображении видео применяется аппаратное ускорение с привлечением GPU.

Доступна бесшовная навигация по содержимому архивов и возможность обращения к сетевым ресурсам (smb, ftp, sftp, WebDAV) как к виртуальным ФС. Поддерживаются темы оформления, локализация на разные языки, специфичные для разных типов файлов контекстные меню и декорирование, история навигации, фильтрация вывода, рекурсивный и индексируемый поиск имён файлов, удаление файлов в пакетном режиме. Интерфейс не блокируется при выполнении длительных операций, например, можно отменить загрузку при ожидании показа содержимого очень больших директорий. Возможно подключение собственных скриптов для вызова из контекстных меню дополнительных действий с файлами и директориями.

При тестировании работы с очень большим числом файлов Strata продемонстрировал самое низкое расходование ресурсов CPU. Результаты теста при навигации по 100 тысячам файлов:

Выпуск компилятора ISPC 1.32, развиваемого Intel для языка Си с расширениями SPMD

Си-программы с расширениями SPMD компилируются для выполнения на вычислительных блоках SIMD, предоставляемых CPU и GPU, что позволяет задействовать механизмы векторизации SIMD без низкоуровневых оптимизаций и явного применения в коде SIMD-инструкций. Для написания распараллеливаемых функций используется привычный синтаксис и идиомы языка Си - SPMD-функции напрямую взаимодействуют с функциями и структурами, написанными на C/C++. Для отладки программ могут применяться существующие отладчики.

В качестве бэкенда для генерации кода и оптимизации в ISPC используется инфраструктура LLVM. Поддерживаются векторные инструкции x86 (SSE2, SSE4, AVX, AVX2, AVX512) и ARM (NEON), а также вынос вычислений на сторону GPU (Intel Gen9 и Xe). На архитектурах с векторными блоками SSE, обрабатывающими по 4 элемента за раз, применение ISPC даёт возможность добиться ускорения выполнения программы в 3 или более раз, а на архитектурах с векторными блоками AVX, обрабатывающими по 8 элементов за раз, ускорение может достигать 5-6 раз. При этом помимо размера векторного блока, масштабирование также обеспечивается за счёт выполнения на разных процессорных ядрах.

Основные новшества, добавленные в версии ISPC 1.32:

• Обеспечена полная поддержка расширений AVX10.2 и APX (Advanced Performance Extensions), применяемых при генерации кода для сборочных целей avx10.2dmr (CPU Intel Diamond Rapids) и avx10.2nvl (CPU Intel Nova Lake).
• Добавлена поддержка процессоров на базе микроархитектуры AMD Zen 6, включаемая через опцию "--cpu=znver6".
• В стандартную библиотеку добавлены функции pdep32(), pext32(), pdep64() и pext64() для выполнения операций над битами "параллельное извлечение" и "параллельное размещение".
• В ISPC Runtime реализованы функции ispcrtLoadModuleFromMemory() и ispcrtLoadModuleFromMemoryWithOptions(), при помощи которых можно загрузить GPU-модуль из находящегося в оперативной памяти буфера SPIR-V.
• Инструментарий LLVM обновлён до версии 23.1.2. Добавлена начальная поддержка сборки с находящейся в разработке веткой LLVM 24.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66467

Релиз KDE Plasma 6.8, в котором оставлен только сеанс на базе Wayland

Основные изменения в KDE Plasma 6.8:

• Прекращена поддержка сеанса на базе протокола X11. Оставлен только сеанс для работы с использованием протокола Wayland, возможность запуска X11-приложений в котором обеспечивается при помощи DDX-сервера XWayland. Прекращение поддержки X11 затрагивает только сеанс среды рабочего стола KDE Plasma и не касается возможности запуска приложений KDE в окружениях на базе X-сервера (планов по прекращению поддержки X11 в приложениях KDE пока нет). Для тех, кому требуется X11, по возможности сохранена поддержка данного протокола в различных компонентах рабочего стола и добавлены дополнительные изменения для улучшения совместимости при запуске приложений поверх XWayland.

  Среди причин прекращения поддержки X11 упоминается общая стагнация разработки X-сервера и желание не распылять ограниченные ресурсы разработчиков на параллельную поддержку двух дисплейных систем и типов сеансов. Заявлено, что в долгосрочной перспективе избавление от X11 предоставит новые возможности для расширения функциональности, повышения стабильности, оптимизации кода и ускорения процесса разработки.

• В основной состав Plasma перенесена система резервного копирования kup, позволяющая создавать версионированные бэкапы данных пользователя и сохранять их на внешние USB-накопители или на сервер. Возможна настройка автоматического сохранения изменений со времени прошлого резервного копирования при подключении к компьютеру накопителя с бэкапами.
• Добавлена утилита kscreenctl, идущая на смену kscreen-doctor и предоставляющая более привычный и структурированный интерфейс командной строки для управления выводом. Поддерживаются такие операции, как определение доступных устройств вывода, включение/выключение устройств вывода и изменение настроек.
• В композитный менеджер KWin добавлена возможность автоматической дорисовки на стороне сервера теней и контуров окон, а также применения эффекта закругления углов для приложений, применяющих декорирование окон на стороне клиента (CSD, client-side-decorated), но не поддерживающих указанные элементы оформления. Изменение позволило придать типовой для KDE вид таким приложениям, как Steam и Discord, окна которых ранее отрисовывались без теней, обрамления и скруглений.
  
  
  

  Для активации теней реализовано новое правило переопределения атрибутов окон приложений (KWin Window Rules) - "Window manager draws titlebar, frame, and shadows". Автоматически тени добавляются к X11-приложениям, в которых не используется декорирование на стороне сервера и не отрисовыаются тени на стороне клиента.

  
• Значительно повышена производительность при использовании внешних видеокарт. Из-за того, что при использовании Wayland-протокола linux-dmabuf v5 композитный менеджер мог работать только с одной видеокартой, при рендеринге на другом GPU (например, на дискретной видеокарте вместо встроенной) кадры необходимо было постоянно копировать через оперативную память. В новой версии протокола linux-dmabuf v6 проблема была решена и в KWin удалось избавиться от лишнего копирования буферов. В проведённых тестах c видеокартой, подключённой через USB-C, в vkcube FPS вырос с 5 до 120, в игре Cyberpunk 2077 с пресетом "low" FPS увеличился c 27 до 50 при использовании linux-dmabuf v6.
• Включена поддержка тройной буферизации вывода на системах c GPU NVIDIA (Kwin автоматически включает тройную буферизацию, если видеокарта не успевает выполнить отрисовку). При тройной буферизации используется три экранных буфера - в первый осуществляется отрисовка, из второго производится вывод на экран, а третий используется для продолжения непрерывного процесса отрисовки, если первый буфер был заполнен до завершения вертикальной развёртки (vblank). Применение третьего дополнительного буфера позволяет избавиться от рывков, возникающих при двойной буферизации в случае невозможности переключения между буферами отрисовки и вывода до завершения вертикальной развёртки. Подобная организация вывода позволяет повысить частоту кадров на маломощных устройствах, ценой увеличения задержки вывода.
• В KWin прекращена поддержка десктопного графического API OpenGL в пользу использования только OpenGL ES. Поддержка OpenGL ES требуется для работы на некоторых старых GPU и, как оказалась, OpenGL ES достаточно для всех потребностей KWin, поэтому он оставлен в качестве базового внутреннего API, по крайней мере до тех пор, пока поддержка Vulkan не станет достаточно развита. Оставление только OpenGL ES позволило избавиться от периодически возникающих проблем, вызванных несовместимостями между OpenGL и OpenGL ES (код написанный и протестированный с одним API, приводил к проблемам с отрисовкой или сбоям при использовании другого API).
• В KWin реализована поддержка новой версии системы Emulated Input 1.6 (libei), применяемой для эмуляции ввода в окружениях на базе Wayland.
• Предложена для тестирования бета-версия унифицированного движка стилей Union, позволяющего использовать разные технологии стилевого оформления приложений, доступные в KDE. По умолчанию в новом движке задействован формат CSS вместо ранее используемого SVG. Движок Union состоит из трёх слоёв: Входной слой - обеспечивает разбор входных форматов файлов со стилями (SVG или CSS) и их преобразование в абстрактное описание для отрисовки. Промежуточный - реализует модель данных и методы для применения стилей к каждому элементу. Выходной слой - отвечает за преобразование универсального стиля в команды для отрисовки, специфичные для конкретного графического стека (QtQuick или Qt Widgets). Для включения нового движка следует установить пакет union и активировать тему "Breeze (Union)" в настройках (System Settings → Colors & Themes → Application Style).
• Расширены возможности для удалённого подключения к рабочему столу. Повышено качество картинки и сокращены задержки при работе в медленных сетях или при частом обновлении содержимого на экране. Обеспечена двунаправленная синхронизация буфера обмена. Добавлен эксклюзивный режим, включающий блокировку экрана на стороне сервера и предоставляющий клиенту виртуальный экран, точно воспроизводящий размеры окон. Страница с настройками оптимизирована для отображения в небольших окнах.
• В Spectacle добавлена опция для записи звука во время создания скринкастов (может использоваться запись с микрофона и сохраняться звук, воспроизводимый приложениями в системе). Повышено качество видео при записи скринкастов. Реализован эффект размытия, работающий без использования OpenCV, что позволило исключить данную библиотеку из зависимостей. Добавлена поддержка изменения размера и разрешения виртуального экрана, созданного для скринкастов (ранее размер был фиксированный 1920×1080).

• В конфигуратор добавлены настройки для управления появлением диалога показа альтернативных символов после удерживания нажатия клавиш. Реализована возможность поиска языков по коду локали, а так же названию на родном или английском языках (т.е. русский язык можно найти по "ru", "русский" и "russian"). На страницу настройки сети добавлены опции для использования аутентификации EAP-TTLS в StrongSwan VPN. Добавлена возможность включения и отключения автозапуска приложений без удаления и пересоздания записей.

  При настройке раскладки экранов появилась возможность попиксельной корректировки элементов, используя клавиши курсора.
  
  
  

  <video><source src="https://invent.kde.org/-/project/2430/uploads/2af722b593ab8f5d80e8ebede8db82c4/2026-06-26_17-15-20.mp4"></video>

  Реализация страницы настройки поведения окон переведена на использование QML, а оформление унифицировано с другими страницами.

  
• В многомониторных конфигурациях в дополнение к названию монитора обеспечен вывод порядковых номеров устройств, выделенных разным цветом. Показ меток с номерами мониторов при навигации по экранам и в диалоге настройки приоритета позволяет более наглядно разделять подключённые мониторы и избежать путаницы при использовании нескольких мониторов от одного производителя (например, при подключении к виртуальной машине нескольких виртуальных мониторов).
• В менеджере приложений Discover изменён порядок секций на главной странице. На странице обновлений задействован поиск без учёта регистра символов. Ускорена загрузка пиктограмм для приложений в формате Flatpak. Обеспечена группировка элементов по выполняемым операциям и ранжирование по активности при показе прогресса выполнения операции.
• В диалогах предоставления прав доступа через систему порталов XDG (xdg-desktop-portal-kde) представление информации и формулировки унифицированы с другими диалогами KDE.
• Переработана анимация сдвига уведомлений, которая переведена на использование более естественной кривой регулирования плавности ускорения и замедления анимации во времени (easing curve). Реализована более реалистично выглядящая анимация прыгающей пиктограммы приложения, показываемая рядом с курсором для индикации начала процесса запуска программы.
  
  
  <video><source src="https://blogs.kde.org/2026/07/04/this-week-in-plasma-better-animations/notification-easing-curve.webm"></video>
• Набор символов в интерфейсе выбора Emoji обновлён до версии стандарта Unicode 17. Реализована возможность масштабирования размера значков.
• В приложение System Monitor и виджет вывода информации о системе добавлена поддержка определения применения драйвера Intel Xe и вывода сведений о GPU на базе архитектуры Intel Xe, которая применяется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Обеспечено отображение потребления видеопамяти в процентах от общего размера VRAM по аналогии с тем, как показывается потребление оперативной памяти. Предоставлена возможность привязки процессов к выбранным CPU или группе CPU, для выполнения только на них (CPU affinity).
• В тему пиктограмм Breeze добавлены пиктограммы для Android-приложений и документов Typst.
• Для пользователей с ограниченными возможностями реализован режим, "dwell clicker", симулирующий клик мышью после остановки перемещения указателя.
  
  
  <video><source src="https://kde.org/announcements/plasma/6/6.8.0/05-dwellclicker.webm"></video>
• В виджете настройки беспроводной сети реализована опции для автоматического выбора беспроводного канала при работе в режиме точки доступа.
• Реализовано отображение уведомления о низком заряде аккумуляторов подключённых устройств даже при запуске программ в полноэкранном режиме, чтобы пользователь не пропустил полный разряд.
• В эффектах "Peek at Desktop" и "Window Aperture" учтены системные настройки скорости анимации.
• Расширены возможности для определения использования тёмных тем оформления в приложениях на базе GTK 2 и применения к ним тёмных вариантов тем пиктограмм для исключения ситуаций когда в тёмном интерфейсе показываются светлые пиктограммы.
• В приложениях на базе QML задействован интерфейс выбора цвета от KDE вместо использования реализации из состава Qt, не соответствующей цветовым схемам KDE.
• Увеличена верхняя область захвата для перетаскивания не раскрытых на весь экран окон приложений с темой оформления Breeze.
• Добавлена возможность размещения окон поверх других окон при их перетаскивании мышью, удерживая клавишу Meta.
• Для обоев рабочего стола реализован вручную переключаемый режим слайдшоу - вместо автоматической смены обоев для перехода к следующему изображению нужно нажимать клавиатурную комбинацию или выбирать соответствующий пункт в контекстном меню.
• Убрана недокументированная комбинация клавиш Meta+Ctrl+x, применявшаяся для включения функции автоматического вызова действий в зависимости от содержимого буфера обмена. Так как комбинация Meta+Ctrl+x близка к часто используемой последовательности Ctrl+X многие пользователи нажимали её случайно и потом недоумевали как отключить диалог, который начал появляться при каждой вставке URL из буфера обмена.
• В менеджере входа обеспечено запоминание последнего сеанса, выбранного каждым пользователем. Предоставлена возможность использования функции автоматического входа в дистрибутивах со старыми версиями systemd, например в KDE neon.
• Добавлены глобально действующие клавиатурные комбинации для перегруппировки задач в списке (Meta+Ctrl+PageUp, Meta+Ctrl+PageDown) или цикличного переключения между задачами (Meta+Ctrl+Shift+PageUp, Meta+Ctrl+Shift+PageDown) в виджете Task Manager
• Изменена логика работы комбинаций клавиш Meta + 1-9, применяемых для быстрого переключения задач. В многомониторных конфигурациях данные комбинации клавиш теперь применяются для задач в панели на активном экране, а не панели на экране, помеченном первичным.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66269

Выявлены импланты для кражи криптовалюты с аппаратных криптокошельков Ledger Nano X

Исследователями изучены три варианта имплантов, встроенные в устройства, купленные через Amazon Japan и Yahoo! Auctions у китайского продавца, отправлявшего заказы из Малайзии. В имплантах использовался микроконтроллер ST STM32G431KBU6 (ARM Cortex‑M4, 128 KB Flash), LTE-модем и eSIM, подключаемые к шине SPI для перехвата информации о нажатии кнопок и данных, выводимых на встроенный OLED-экран. Перехватываемая информация отправлялась злоумышленникам через сотовую сеть и позволяла перехватить секретную сид-фразу, вводимую пользователем при восстановлении или генерируемую при инициализации нового кошелька.

В первом и втором вариантах для размещения в корпусе дополнительной платы был заменён аккумулятор, а в третьем варианте был оставлен оригинальный аккумулятор, а чип помещался в прорези поролоновой прокладки под экраном. В первом варианте модификацию можно сразу заметить по обилию дополнительных проводов.

Во втором варианте была задействована плата, подключаемая через гибкий шлейф, припаянный к заводским выводам на оригинальной плате.

В третьем варианте использовалась не самодельная, а специально спроектированная накладываемая печатная плата, произведённая массово по заказу. Единственным видимым признаком оставался лишь провод антенны, а сама плата импланта размещалась вплотную над оригинальной платой Ledger и визуально сливалась с ней. Маркировка на микросхемах была сточена.

Подстановка имплантов была произведена на одном из этапов цепочки поставок без компрометации инфраструктуры компании Ledger. Так как модификация не затрагивает оригинальный чип Ledger, штатная функция проверки подлинности не позволяет выявить наличие импланта.

Пользователям, в последние три месяца покупавшим аппаратные криптокошельки через компанию CryptoBilis, рекомендуется не инициализировать новые устройства или перевести средства на новый кошелёк, сгенерировав заново сид-фразу. Для предотвращения подобных инцидентов в будущем компания Ledger намерена внедрить дополнительные меры защиты от физического вмешательства. Компания CryptoBilis, которая в марте 2026 года сменила собственника, приостановила продажи аппаратных криптокошельков до завершения расследования.