10 уязвимостей в ядре Linux и 4 во FreeBSD, позволяющие получить права root в системе

Уязвимости в ядре Linux:

• 5 уязвимостей, раскрытых проектом Zero Day Initiative до публикации исправлений из-за ошибочной отправки информации не в тот список рассылки:
  • ZDI-CAN-33549 - уязвимость в модуле ksmbd c реализацией файлового сервера на базе протокола SMB, которую можно эксплуатировать для удалённого выполнения кода на уровне ядра. Проблема вызвана целочисленным переполнением в функции mbdirect_connection_rdma_xmit(), которое проявляется, если ядро собрано с опциями "CONFIG_SMB_SERVER_SMBDIRECT=y" и "CONFIG_RDMA_RXE=y". Для успешной атаки злоумышленник должен иметь возможность записи в совместное хранилище, предоставляемое атакуемым сервером, на котором также должны использоваться технологии RDMA и SMB Direct. Доступен прототип эксплоита, работающий в Debian 13.
  • ZDI-CAN-33774 - состояние гонки в модуле ядра ksmbd, приводящее к записи в 40-байтовый буфер, выделенный для протокола SMB1, 62 байт данных из заголовка SMB2. Уязвимость может привести к удалённому выполнению кода при наличии доступа к SMB-хранилищу, обрабатываемому через ksmbd. Доступен прототип эксплоита, работающий в Debian 13.
  • ZDI-CAN-33367 - уязвимость в сетевом стеке ядра, позволяющая локальному пользователю получить права root в системе, перезаписав данные процесса в страничном кэше по аналогии с уязвимостями Dirty Frag и Fragnesia. На этот раз проблема вызвана ошибкой в функции skb_zerocopy(). Подготовлен прототип эксплоита, работающий в разных версиях Ubuntu. Исправление доступно в форме патча. Из дистрибутивов пока только разработчики Alma Linux сформировали внеплановое обновление пакетов с ядром, в котором исправили данную уязвимость.
  • ZDI-CAN-34068 - переполнение буфера в графическом драйвере VMWGFX, применяемом для реализации 3D-ускорения в окружениях VMware. Проблема позволяет локальному пользователю получить права root в системе, при наличии доступа к виртуальному GPU через устройство /dri/card*. Доступен прототип эксплоита, работающий в Ubuntu 26.04
  • ZDI-CAN-34076 - уязвимость в драйвере nvmet (NVMe Target), приводящая к утечке информации о содержимом памяти ядра.
  • Раскрыты сведения и опубликованы прототипы эксплоитов для 5 уязвимостей в ядре, позволяющих непривилегированному пользователю получить права root в системе и обойти изоляцию контейнеров. Набору уязвимостей присвоено кодовое имя "Infinity Core". Проблемы уже устранены в актуальных выпусках ядра.
    • CVE-2026-98260 - обращение к памяти после её освобождения из-за повторного использования структуры POSIX-таймера, память под которую была освобождена в основном потоке после сбоя при выполнении вызова exec(), но ссылка осталась в очереди (timerqueue) в другом потоке. Доступен прототип эксплоита, работа которого была продемонстрирована в Ubuntu 26.04 и в Android на смартфоне Samsung Galaxy S26 Ultra.
    • CVE-2026-98256 - обращение к памяти после её освобождения из-за состояние гонки между вызовом exec() во вторичном потоке и очисткой очереди сигналов (sigqueue), ожидающих обработки. При манипуляциях с очередью может возникнуть ситуация, при которой ссылка на обработчик сигнала останется в очереди после освобождения связанной с ним памяти, и затем будет использована при обработке сигналов. Работа эксплоита продемонстрирована в Ubuntu 26.04.
    • CVE-2026-89754 - переполнение буфера в реализации системного вызова mincore(), возникающее из-за состояния гонки при повторном обходе таблиц страниц памяти после выполнения madvise(MADV_DONTNEED). Работа эксплоита продемонстрирована в Ubuntu 26.04.
    • CVE-2026-80775 - обращение к памяти после её освобождения в системном вызове prctl(), возникающее из-за некорректного отслеживания счётчиков ссылок для хешей фьютексов при возникновении состояния гонки между задачами, совместно использующими одну структуру mm_struct при вложенном вызове vfork(). Эксплоит, использующий уязвимость для перезаписи /usr/bin/passwd в страничном кэше, продемонстрирован в Ubuntu 26.04.
    • CVE-2026-98385 - обращение к памяти после её освобождения в обработчике кэша планировщика задач, возникающее из-за того, что планировщик обновляет поля со статистикой в структуре mm_struct для задачи после освобождения связанной с ней памяти в случае выполнения вызова exec() на другом ядре CPU. Уязвимость проявляется в ядрах с включённой опцией CONFIG_SCHED_CACHE. Работа эксплоита продемонстрирована в Arch Linux с ядром 7.2.4.
    • Уязвимость Vghost (CVE-2026-74580) в подсистеме ядра vhost, применяемой для ускорения операций ввода/вывода через Virtio в системах виртуализации. Уязвимость вызвана некорректной работой с кэшем таблиц трансляции адресов ввода-вывода (IOTLB) и может использоваться для повышения своих привилегий в системе и для обхода изоляции гостевой системы. При перенастройке адресов или размеров очередей (vring) через вызовы VHOST_SET_VRING_ADDR или VHOST_SET_VRING_NUM кэш vq->meta_iotlb[] не очищался, что приводило к трансляции новых адресов с использованием уже недействительных записей о маппинге памяти.

      Опубликован прототип эксплоита для получения прав root, протестированный в дистрибутивах Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 и Oracle Linux 10.2. Возможно использование уязвимости для выполнения кода на уровне ядра хост-системы через манипуляции с вызовом VIRTIO_F_RING_RESET в гостевой системе в виртуализированных окружениях с виртуальным IOMMU. Проблема проявляется начиная с ядра Linux 4.11 и устранена в версиях 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 и 7.2. В качестве обходного пути защиты можно ограничить доступ к устройствам /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi и /dev/vhost-vdpa-*.

      
      
      
      
      

      Уязвимости во FreeBSD (устранены в обновлениях 15.1-RELEASE-p5, 14.5-RELEASE-p2 и 14.4-RELEASE-p11):

      • CVE-2026-101308 - обращение к памяти после её освобождения в драйвере sound, возникающее из-за состояния гонки между операцией изменения размера буфера и маппингом памяти через mmap. Уязвимость потенциально позволяет локальному пользователю, имеющему доступ к звуковому устройству, получить права root.
      • CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 - уязвимости в компонентах гипервизора Bhyve, позволяющие через манипуляции в гостевой системе выполнить код на стороне хост-окружения. Проблемы вызваны выходом за границы буфера из-за состояния гонки в модели контроллера xHCI (USB 3), а также отсутствия должны проверок размера записей в моделях устройств HDA (High Definition Audio) и framebuffer.
      • CVE-2026-101307 - целочисленное переполнение в модуле tcp_rack c реализацией алгоритма определения потери пакетов RACK (Recent ACKnowledgment), приводящее к выделению буфера, слишком мелкого, чтобы вместить все полученные данные. Уязвимость позволяет перезаписать до 512 КБ в области за границей буфера при отправке большого числа ACK-пакетов в установленном TCP-соединении. Отмечается, что эксплуатация может привести к падению ядра в состояние panic.
      
      
      Источник: https://www.opennet.ru/opennews/art.shtml?num=66542
      

Релиз Firefox 159

Основные новшества в Firefox 159 (1, 2, 3):

• В боковую панель по умолчанию добавлена кнопка для доступа к сохранённым паролям.
• В режим "Smart Window", предоставляющий отдельное пространство взаимодействия с AI, добавлена возможность отслеживания изменений на страницах. Например, при помощи новой функции можно отлавливать снижение стоимости товаров в интернет-магазинах. Для включения отслеживания следует использовать команду "/watch" в чате со встроенным в браузер AI-ассистентом, а для управления - кнопку Tasks в панели или страницу about:smartwindowtasks. При определении изменения Firefox выведет уведомление.
• AI-функция резюмирования содержимого страниц переделана для передачи AI-провайдеру не текста со страницы, а ссылки на страницу, что решило проблемы с неполным анализом страницы.
• Добавлены комбинации клавиш: Ctrl+Shift+A для поиска среди открытых вкладок и Ctrl+Shift+F для перехода к управлению дополнениями или темами оформления. Сочетания клавиш можно изменить на странице about:keyboard.
• В сборках для macOS задействован штатный для данной платформы интерфейс для отправки информации через другие приложения, такие как AirDrop и Messages. Добавлена возможность отправки сразу нескольких выделенных вкладок.
• В инструментах для web-разработчиков в web-консоли разрешено переопределения переменных, ранее объявленных через операторы let, const и class.
• Добавлена поддержка анимации, привязанной к прокрутке контента (Scroll-driven Animation), при помощи которой можно создавать индикаторы для наглядного представления позиции на странице или добавлять эффекты, меняющие содержимое при появлении в зоне видимости во время прокрутки. Для использования доступно два режима "ScrollTimeline" для привязки к позиции прокрутки относительно оси координат и "ViewTimeline" для привязки к относительному смещению отображения отдельных элементов содержимого в области прокрутки. Добавлены новые CSS-свойства animation-timeline, scroll-timeline, view-timeline и animation-range.
• Реализована поддержка реестров пользовательских элементов для разделения области видимости пользовательских HTML-элементов, что может потребоваться при использовании на одной странице нескольких разных пользовательских HTML-элементов, имеющих одно и то же имя. В случае использования на странице нескольких библиотек, определяющих элемент с одинаковым именем, при помощи JavaScript-конструктора CustomElementRegistry() элементы каждой библиотеки можно закрепить за определёнными частями иерархии DOM, не пересекающимися с глобальным реестром window.customElements. Например, если две библиотеки определяют разные элементы с одинаковым именем ‹my-button›, то в одной части страницы можно использовать элемент ‹my-button› из первой библиотеки, а на другой - из второй.
• В API WebGL добавлена поддержка расширений EXT_clip_control и EXT_texture_mirror_clamp_to_edge, а в WebGL 2 - расширения EXT_texture_norm16.
• В API Sanitizer реализована чистка HTML-кода на этапе парсинга, до добавления элементов в дерево DOM, что решило проблему с запуском конструкторов кастомных элементов, удаляемых в процессе этой чистки.
• В версии для Android значительно сокращена интенсивность перезагрузки вкладок на устройствах Xiaomi и Redmi. Решена проблема с воспроизведением видео на таких сайтах, как The New York Times.
• В Firefox Enterprise администратору предоставлена возможность запроса повторного входа с использованием корпоративной учётной записи перед восстановлением сеанса после аварийного завершения процесса. Для сборок Firefox Enterprise обеспечено формирование данных SBOM (Software Bill of Materials). По умолчанию отключено использование AI при автозаполнении форм.

Кроме новшеств и исправления ошибок, в Firefox 159 устранено 167 уязвимостей, у 108 из которых выставлен высокий уровень опасности. Большинство уязвимостей вызваны проблемами при работе с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66557

@caustic @shmeley я тоже люблю луну. и в полнолуние у меня всегда прекрасное настроение и креативность прёт из всех щелей.
луна - наш друг и союзник.

Осень. Отражения в воде.
#photography #WTphoto #nature #landscape #autumn #by #пейзаж #природа #осень

Выпуск DinoX 2.3.2 кроссплатформенного клиента для XMPP/Jabber

Из особенностей DinoX:

• Многопользовательские чаты с поддержкой приватных групп и публичных каналов.
• Современный интерфейс, напоминающий Telegram.
• Поддержка аудио- и видео-звонков.
• Звуковые- и видео-сообщения, запись и проигрывание.
• Предпросмотр картинок.
• Поддержка сквозного шифрования OTR/OMEMO и OpenPGP
• Работа в Windows и Linux.
• Потребление ресурсов, сравнимое с клиентом Psi, написанным на С++ и Qt. Около 100-150 МБ оперативной памяти на клиент с тремя аккаунтами и несколькими чатами.
• Простота установки и настройки.
• Использование аватаров.
• Управление архивом сообщений.
• Пометка последнего полученного и прочитанного сообщений в чатах.
• Распространение сообщений по подписке (Publish-Subscribe).
• Уведомление о состоянии набора сообщения другим пользователем.
• Отложенная доставка сообщений.
• Закладки на различные сервисы и ресурсы, хранимые на сервере.
• Уведомление об успешной доставке сообщения.
• Расширенные средства поиска сообщений и фильтрации вывода в истории переписки.
• Поддержка работы в одном интерфейсе с несколькими учётными записями, например, для разделения рабочей и личной переписки.
• Работа в offline-режиме с фактической отправкой написанных сообщений и приёмом накопившихся на сервере сообщений после появления сетевого соединения.

Следует отметить, что для наиболее комфортного общения в текущих условиях, рекомендуется поднимать свой собственный сервер на основе, например, snikket. Он обеспечит не только приватность, но и более стабильную работу звонков за счёт собственного TURN-сервера.



Источник: https://www.opennet.ru/opennews/art.shtml?num=66554

Уязвимости в Rust-библиотеках zip-rs и librsvg

Уязвимость вызвана использованием разных заголовков при произвольном доступе к архиву при помощи API ZipArchive и при извлечении данных в потоковом режиме при помощи API ZipStreamReader. Обработчик ZipArchive полагается на заголовок CDFH (Central Directory File Header), а ZipStreamReader при извлечении файлов считает более приоритетным заголовок LFH (Local File Header) без синхронизации дублирующихся метаданных.

Уязвимость может использоваться для обхода почтовых фильтров, антивирусных сканеров и прочих систем проверки безопасности. Атакующий может разместить в видимой части архиве документ или изображение, а в скрытую поместить исполняемый файл с вредоносным кодом, который не будет замечен антивирусом, но будет сохранён на диск при распаковке пользователем. В качестве примеров приводятся атаки на микросервисы, SaaS-платформы и системы контейнерной изоляции, в ходе которых при распаковке в каталогах с рабочими проектами не представляющих опасности архивов, например, с наборами стилей, текстовых файлов или изображений, могут быть перезаписаны скрипты и исполняемые файлы.

Дополнительно можно отметить уязвимость (CVE-2026-96889) в библиотеке librsvg, развиваемой проектом GNOME на языке Rust. Библиотека применяется в GTK и приложениях GNOME для отрисовки SVG, а также задействована в популярном NPM-пакете sharp, насчитывающем 80 млн загрузок в неделю и используемом в качестве зависимости у почти 11 тысяч проектов. Уязвимость позволяет организовать выполнение своего кода при обработке специально оформленных SVG-изображений. Проблема устранена в версиях librsvg 2.56.6, 2.60.3, 2.62.4 и 2.63.1, а также к NPM-пакете sharp 0.35.5. Среди пострадавших проектов оказалась платформа PeerTube (зависимость обновлена в сегодняшнем выпуске PeerTube 8.3.2).

Для разбора XML-разметки, используемой в SVG-файлах, в librsvg задействованы функции из Си-библиотеки libxml2. Уязвимость вызвана тем, что при наличии в SVG вложенных XML-конструкций Xincludes, включающих дублирующиеся элементы с повторяющимися именами, происходит обращение к памяти после её освобождения. Сбой возникает так как библиотека librsvg освобождает память под XML-элементы, которые ещё продолжают использоваться в парсере libxml2.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66555

Автор WinBtrfs опубликовал открытую ОС Moxnox 1.0 с системными вызовами Windows NT

Утверждается, что проект не содержит значимого кода, сгенерированного через AI-инструменты, которые использовались только для выполнения рутинной работы, такой как перевод правил autotools в CMake, замена ioctl-вызовов, написание тестов и поиск ошибок в коде.

Системные вызовы и низкоуровневые интерфейсы в ядре реализованы по образу Windows NT, но структура ядра и сопутствующие компоненты кардинально отличаются от Windows NT. Предоставляется возможность для запуска компонентов окружения GNU и программ, написанных для Unix-подобных систем. В качестве формата исполняемых файлов применяется PE, библиотеки имеют расширение dll, а программы - exe.

В настоящее время в Moxnox реализовано 642 функции из примерно 1200, описанных в стандарте POSIX 2024. Системная библиотка сформирована из функций gnulib, математических и криптографических функций из musl, функций для работы с регулярными выражениями из tre и функций типа printf из mingw. Поддерживается самосборка, позволяющая скомпилировать Moxnox из окружения на базе Moxnox. Запуск Windows-программ пока не поддерживается, но в будущем для их запуска намерены задействовать реализацию API Win32 из Wine.

Среди портированных для Moxnox программ:

• bash
• binutils
• bison
• bzip2
• cairo
• cmake
• coreutils
• curl
• diffutils
• expat
• file
• findutils
• flex
• freetype
• gawk
• gcc (только для amd64)
• git
• gmp
• gperf
• grep
• gzip
• harfbuzz
• hexyl
• jsoncpp
• less
• libarchive
• libiconv
• libpng
• librhash
• libuv
• llvm
• m4
• make
• mako
• markupsafe
• mesa
• mpc
• mpfr
• nano
• ncurses
• netcat
• ninja
• openssh
• openssl
• patch
• perl
• pixman
• python
• pyyaml
• readline
• ripgrep
• rust
• sed
• tar
• vim
• wget
• xz
• zlib
• zstd

Поддерживаемые аппаратные устройства:

• Блочные устройства: NVMe, SATA, SDHCI (SD-карты), virtio-block и USB-накопители.
• Сетевые карты: virtio-net, RTL8168, RTL8125
• Устройства ввода: USB HID, клавиатуры и мыши с интерфейсом PS/2, virtio-input.
• Графика: virtio-gpu, GOP framebuffer, VBE, VGA-консоль.
• Консоль: virtio-console, последовательны порт x86, PL011 ARM.
• USB: XHCI.

На данном этапе разработки поддерживается только работа в консольном режиме, но в будущем планируют реализовать и графический интерфейс. Также пока отсутствует поддержка многопользовательского окружения, механизмов обеспечения безопасности, часовых поясов, раскладок клавиатуры, локалей и кодировок, отличных от UTF-8.



Источник: https://www.opennet.ru/opennews/art.shtml?num=66552

Атака на AI-агенты через размещение файла AGENTS.md в каталоге с загрузками

Атака напоминает уже известный метод атаки на разработчиков ПО, в результате которого злоумышленник создаёт репозиторий с легитимным кодом и размещает в нём файл AGENTS.md или передаёт данный файл в составе pull-запросов или сообщений об ошибках в существующие проекты. В случае если кто-то решит использовать AI-агента для проверки предложенного репозитория или изменения, агент обработает инструкции из файла AGENTS.md, в котором может быть предписано совершение вредоносных действий.

Новый вариант атаки основан на том, что Chrome, Firefox и Edge по умолчанию не запрашивают подтверждение при загрузке файла, а лишь выводят уведомление. Загружаемые по ссылке файлы автоматически сохраняются в каталоге ~/Downloads - для загрузки достаточно, чтобы пользователь открыл определённую страницу или перешёл по ссылке (ссылка может выглядеть невинно, а проброс на загрузку может быть сделан через редирект). Подобным образом атакующие добиваются сохранения файла AGENTS.md в каталоге с загрузками на системах пользователей, после чего ждут, когда пользователь запустит AI-агента в контексте каталога ~/Downloads, например, для разбора каких-то загруженных документов.

Помимо использования AGENTS.md для информирования AI-агентов об используемых инструментах, требуемых зависимостях и проводимых тестах, через них можно добиться выполнения произвольных файлов, установки сторонних пакетов и изменения конфигурации. Возможность совершения атаки продемонстрирована для AI-агентов Codex и Claude Code.

Исследователи провели два эксперимента, в ходе которых удалось добиться получения контроля над учётной записью пользователя и перехватить его OAuth-токены. В ходе первого эксперимента AI-агент Codex выполнил инструкции по загрузке и запуску на систем пользователя тестового вредоносного кода, ограничивающегося открытием калькулятора. Во втором эксперименте через подстановку файла CLAUDE.md исследователи при помощи Claude Code организовали перенаправление запросов к API на свой сервер и перехватить токен OAuth. Первый эксперимент оказался успешен в 90% попыток, а второй - 50%.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66551

Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab

Уязвимость присутствует в движке регулярных выражений Onigmo и приводит к переполнению внутренних идентификаторов при компиляции шаблона с большим числом повторов. Проблема проявляется только в приложениях, использующих внешние данные в регулярных выражениях, обрабатываемых через методы Regexp.new, Regexp.union и Regexp.compile или литералы вида "/#{input}/". Ограничение размера регулярного выражения или времени его обработки через метод Regexp.timeout для блокируют уязвимость, так как для атаки могут использоваться короткие шаблоны.

В GitLab уязвимость может быть эксплуатирована неаутентифицированным пользователем из-за подстановки в регулярное выражение внешних данных. Детали метода эксплуатации пока не раскрываются (по правилам GitLab информация становится доступна спустя 30 дней после публикации исправления), при этом в сети уже фиксируются попытки осуществления атак на пользователей GitLab. Косвенными признаками осуществления атаки может служить увеличение числа аварийных завершений интерпретатора Ruby и рост ошибок в логах, связанных с истечением таймаута на отрисовку страницы при обработке org-файлов.

Помимо CVE-2026-110264 в движке регулярных выражений устранены ещё три уязвимости: CVE-2026-89078 (двойное освобождение памяти при невозможности парсинга шаблона после его изменения), CVE-2026-93577 и CVE-2026-97229 (целочисленные переполнения при расчёте размера компилируемого шаблона).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66549

Выпуск CoW 0.4, адаптации оконного менеджера FVWM для Wayland

CoW реализован поверх модульного композитного сервера River, который отвечает за реализацию протокола Wayland, отрисовку и управление доступом для ввода и вывода. В CoW реализованы абстракции для управления окнами, IPC, команды и возможности для, стекового размещения, декодирования и компоновки окон. Подобное разделение позволило сосредоточить внимание на функциях управления окнами, не отвлекаясь на тонкости работы с протоколом Wayland.

Поверх оконного менеджера запускаются панель cowbar, меню приложений cow-appmenu, навигатор по виртуальным рабочим столам cowpager, лаунчер cowbuttons и интерфейс для просмотра списка окон cowiconman. Вместо встроенной панели возможно использование панели Waybar. Версия CoW 0.4 примечательна добавлением возможности использования оконных контейнеров верхнего уровня для создания произвольных раскладок окон на экране (окно верхнего уровня может разделяться на столбцы и строки, размер которых меняется независимо друг от друга).

Опубликована мобильная платформа Ubuntu Touch 24.04-2.2

Среди изменений в Ubuntu Touch 24.04-2.2:

• В связи с компрометацией удостоверяющего центра eMudhra обновлён список корневых сертификатов.
• Решены проблемы с кэшированием правил системы мандатного управления доступом AppArmor, из-за которых после обновления системы с версии 24.04-1.5 до 24.04-2.0 перестал запускаться браузер Morph.
• Проведена работа по подготовке стека VoLTE (Voice over LTE) к поддержке технологий передачи голоса по сетям LTE в новых моделях смартфонов. В плагин ofono-binder-plugin-ext-qti добавлена поддержка интерфейса AIDL IImsRadio.
• После формирования новых сборок в приложении Gallery 3.2.0 выявлена регрессия, приводящая к невозможности открыть альбомы с фотографиями. Проблема устранена в версии Gallery 3.2.1, которую рекомендовано установить до обновления Ubuntu Touch 24.04-2.2 или 24.04-1.6.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66547

Альфа-версия CusDeb OS, Windows-подобной ОС на базе Linux и пользовательского окружения ReactOS

На текущем этапе CDEX содержит лишь минимальные изменения, направленные на устранение различных шероховатостей в работе Win32-окружения под Linux. В дальнейшем разработчики планируют развивать его дальше, добавляя возможности, которые пока не реализованы в ReactOS. Как и в случае с прототипом, основой системой остаётся Debian 13. Для загрузки предлагается (894 MB) live-система, которую можно запустить в виртуальной машине или на реальном компьютере.

Разработчики CusDeb OS поставили перед собой цель - за год довести систему до состояния, в котором она могла бы стать полноценной альтернативой Windows 10. Автором проекта является Евгений Голышев, сопровождающий пакет Elixir в Debian.

Среди основных целей для второй альфа-версии:

• Переход на 64-битную версию CDEX (сейчас в Alpha 1 используется 32-битная версия CDEX в 64-битной Linux-системе).
• Поддержка Direct3D 3-11 через D7VK и DXVK.
• Миграция графического окружения с Xorg на Wayland.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66545
  

LibreSSL 4.4.0, 4.3.4, 4.2.3 released

Read more…

Выпуск qBittorrent 5.3.0

Среди изменений:

• Осуществлён переход на использование по умолчанию библиотеки libtorrent 2.1.x, вместо ветки 1.2.x, поддержка которой сохранена в форме опции, так как бэкенд на базе libtorrent 2.1.x пока отстаёт по производительности операций чтения, что приводит к снижению скорости выгрузки данных с клиента при сидировании.
• Добавлена опция, позволяющая прервать раздачу только при достижении всех выставленных лимитов.
• В интерфейс создания торрентов добавлена опция для игнорирования файлов, имена которых начинаются с точки.
• В список пиров добавлен столбец "Contribution" с информацией о загрузках и скачиваниях для каждого пира.
• В статистику добавлена метрика для оценки задержек и времени ожидания анонсов трекера.
• В контекстное меню фильтров добавлен элемент "Force start torrents" для принудительного запуска торрентов.
• В интерфейс добавлена кнопка "Open Destination Folder" для открытия целевого каталога.
• Добавлена поддержка указания нескольких получателей email-уведомлений.
• Добавлена поддержка параметра "so" (select only) в Magnet-ссылках, позволяющего выбирать только определённые файлы из раздачи.
• Добавлена поддержка фильтрации списка торрентов по хэшу (infohash).
• Добавлена поддержка блокировки диапазонов адресов, а не только отдельных IP.
• Добавлены настройки I2P PeX для обмена пирами внутри сети I2P и параметры рандомизации числа hop-ов.
• Реализован параметр seeding_outgoing_connections для управления исходящими соединениями при сидировании.
• Переработан код для управления резервными копиями torrent-файлов.
• Добавлена возможность закрывать вкладки с результатами поиска средней кнопкой мыши.
• В Web-интерфейсе по умолчанию включён виртуальный список торрентов (в таблицах отрисовываются только видимые на экране строки), повышена отзывчивость интерфейса, ускорены операции фильтрации вывода, усилена защита от межсайтового скриптинга (CSRF), реализована возможность ограничения числа одновременных активных сессий, добавлена возможность добавления торрента одним кликом (без открытия отдельного диалога), реализован индикатор свободного места на диске, добавлены кнопки для приостановки и возобновления всего сеанса, появилась возможность импорта и экспорта правил загрузки RSS, обеспечено сохранение вкладок с результатами поиска между перезапусками, реализовано общее окно управления загрузками RSS.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66511

Релиз языка программирования Mojo 1.2 и публикация кода движка MAX Framework

Синтаксис Mojo основан на языке Python, а система типов близка к C/C++. Проект преподносится как язык общего назначения, расширяющий возможности языка Python средствами системного программирования, подходящий для широкого круга задач и сочетающий простоту применения для исследовательских разработок и быстрого создания прототипов с пригодностью для формирования высокопроизводительных конечных продуктов.

Простота достигается благодаря использованию привычного синтаксиса языка Python, а разработке конечных продуктов способствуют возможность компиляции в машинный код, механизмы безопасной работы с памятью и задействование средств для аппаратного ускорения вычислений. Для достижения высокой производительности поддерживается распараллеливание вычислений с задействованием всех имеющихся в системе аппаратных ресурсов гетерогенных систем, таких как GPU, специализированные ускорители для машинного обучения и векторные процессорные инструкции (SIMD). При интенсивных вычислениях распараллеливание и задействование всех вычислительных ресурсов даёт возможность добиться производительности, превосходящей приложения на C/C++.

Язык поддерживает статическую типизацию и средства для безопасной низкоуровневой работы с памятью, напоминающие возможности языка Rust, такие как отслеживание времени жизни ссылок и проверка заимствования переменных (borrow checker). При этом в языке доступны и возможности для низкоуровневой работы, например, возможно прямое обращение к памяти в режиме unsafe с использованием типа Pointer, вызов отдельных SIMD-инструкций или доступ к аппаратным расширениям, таким как TensorCores и AMX.

Mojo может использоваться как в режиме интерпретации с использованием JIT, так и для компиляции в исполняемые файлы (AOT, ahead-of-time). В компилятор встроены современные технологии автоматической оптимизации, кэширования и распределённой компиляции. Исходный код на языке Mojo преобразуются в низкоуровневый промежуточный код MLIR (Multi-Level Intermediate Representation), развиваемый проектом LLVM. Компилятор позволяет применять для генерации машинного кода различные бэкенды, поддерживающие MLIR.

Среди изменений в Mojo 1.2:

• Добавлена поддержка сопоставления с образцом, используя конструкции match / case. В качестве образца могут использоваться литералы ("case 100:"), логические выражения с литералами ("case 100 | 200:"), кортежи ("case (10, 10, 10):"), структуры, ограничивающие условия ("case limit if limit > 10:") и шаблоны ("case _:"). Дополнительно реализовано выражение "comptime match" для выполнения проверки на этапе компиляции.

     def classify_point(p: Tuple[Int, Int]) -> String:
         match p:
             case 0, 0:
                 return "origin"
             case x, 0 if x ‹ 0:
                 return String("negative x-axis:", x)
             case x, 0:
                 return String("x-axis:", x)
             case 0, y:
                 return String("y-axis:", y)
             case x, y:
                 return String("point:", x, ",", y)
  

• Добавлена поддержка деструктуризации списков, которая может использоваться как отдельно, так и внутри проверок в match:

     var [first, *middle, last] = values
     match values:
         case []:
             print("empty")
         case [1, *middle, last]:
             print(len(middle), last)
         case [first, *rest]:
             print(first, len(rest))
  

• В выражения if, elif и while добавлена возможность использования конструкций "if case" и "while case" для проверки и извлечения данных.

      if case .Some(item) = value:
          return String("some:", item)
      else:
          return "none"
  
      while case .Some(item) = get_next():
          process(item)
  

• В библиотеку std.math добавлено более 20 математических функций (atan(), tan(), cbrt(), erfc(), lgamma(), log10(), remainder(), hypot() и т.п.), доступных в вариантах, способных работать на CPU и GPU, и не использующих системную библиотеку libm.
• Добавлен тип TargetAccelerator для метаданных аппаратных ускорителей, сочетающий возможности типов GPUInfo и CompilationTarget.
• Добавлен синтаксис "not ‹Trait›" для отключения реализации определённых типажей (например, "struct Handle(not Movable, Writable):"), который рекомендуется использовать вместо "‹Trait› where False".
• Появилась возможность определения собственных сообщений об ошибках в проверочных выражениях where - "where ‹condition› else "‹message›".

     def foo[sc: Int]() where sc › 1 else "scaling factor must be greater than"
  

• Компилятор mojo переведён на выделение памяти при помощи библиотеки jemalloc на платформе Linux. Компиляция крупных пакетов и больших ядер для GPU ускорилась на 10-13%. Например, пакет nn теперь компилируется за 61 секунду вместо 98.
• Проведена оптимизация производительности. Операции выравнивания строк ускорены до 86 раз, а повторения больших строк через оператор "*" примерно в 2 раза. Значительно повышена производительность методов String.startswith() и String.endswith(). В среднем на 20% ускорен разбор чисел с плавающей запятой при помощи функции atof().
• Структура StringSpan теперь предоставляет доступ к байтам строки только в режиме чтения (immutable). Поддержка структур MutStringSpan, MutStringSlice и параметра mut, позволявших напрямую изменять данные в строковом буфере, прекращена.
• Пустой кортеж "()" теперь всегда означает значение кортежа, а не тип. Для указания типа пустого кортежа следует указывать "Tuple[]".
• Ключевые слова async и await переименованы в "__async" и "__await для индикации их экспериментального статуса (старые варианты сохранены, но будут выдавать предупреждение).

Одновременно сформирован выпуск движка MAX Framework 26.7, предлагающего платформу для разработок в области машинного обучения. MAX Framework дополняет инструментарий Mojo средствами для разработки и отладки приложений, использующих модели машинного обучения в различных форматах (TensorFlow, PyTorch, ONNX и т.п.).

Новая версия примечательна публикацией исходного кода MAX Framework, включая бэкенды, runtime и графовый компилятор. Код опубликован под собственной лицензией "MAX License", которая допускает использование, модификацию, расширение и создание производных коммерческих продуктов, но вносит ограничения для защиты от фрагментации платформы, не допускающие создание специфичных для отдельных аппаратных платформ версий, нарушающих совместимость.

Из функциональных изменений в MAX Framework 26.7 отмечается добавление поддержки AI-моделей Muse Glimmer и MiMo-V2.6-Flash, возможность передачи видео в модели Qwen3.5 и Qwen3-VL, новый API Decisions для оценки вероятностей при классификации и принятии решений, значительное ускорение выполнения моделей на GPU NVIDIA B200 и AMD MI355. Реализован режим "eager" для ускорения тестирования и отладки кода, позволяющий выполнять операции мгновенно по мере их вызова, без предварительной полной обработки графовым компилятором.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66544

Компания Valve опубликовала дистрибутив для игровых консолей SteamOS 3.9

Платформа основана на Arch Linux, использует для ускорения запуска игр композитный сервер Gamescope на базе протокола Wayland, поставляется с доступной только на чтение корневой ФС, применяет атомарный механизм установки обновлений, поддерживает пакеты Flatpak, использует мультимедийный сервер PipeWire и предоставляет два режима работы интерфейса (оболочка Steam и рабочий стол KDE Plasma).

Среди изменений:

• Среда рабочего стола обновлена до выпуска KDE Plasma 6.7 (ранее была ветка 6.4).
• Осуществлена синхронизация со свежей пакетной базой Arch Linux. Ядро Linux обновлено до версии 7.2 (ранее поставлялась версия 6.16). Задействованы свежие версии графических драйверов.
• В загрузчике улучшена совместимость с некоторыми материнскими платами.
• Для десктоп-режима разрешена активация хранителя экрана в настройках.
• Для новых установок в качестве бэкенда для подключения к беспроводным сетям по умолчанию задействован пакет wpa_supplicant (ранее установленные системы продолжают использовать iwd, но могут переключиться на wpa_supplicant в конфигураторе). В wpa_supplicant реализована возможность быстрого переподключения к WiFi после выхода из спящего режима (ранее данная возможность была доступна только в iwd).
• Добавлена начальная поддержка спящего режима, при котором содержимое памяти сохраняется на диск (hibernation). Режим пока недоступен в интерфейсе Game Mode и в сборках для консоли Steam Deck.
• Улучшена работа SteamOS в виртуальных машинах с поддержкой аппаратного ускорения графики (virtio-gpu, venus).
• Различные скрипты и пакеты переименованы с "steamos-" в "holo-".
• Улучшена поддержка беспроводного адаптера Steam Frame.
• Снижено энергопотребление в режиме простоя при работе на Steam Deck без воспроизведения звука.
• Добавлена начальная поддержка управления яркостью экрана на игровой консоли Legion Go 2.
• Возвращена поддержка IPC Android Binder.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66543

YouTube добавит поддержку AV2 в начале 2027 года, Intel готовит SVT-AV2

Компания Intel ведёт разработку библиотеки SVT-AV2 (Scalable Video Technology AV2) c реализациями кодировщика и декодировщика AV2, ускоренными при помощи процессорных расширений для аппаратного распараллеливания вычислений. Компания Meta намерена задействовать AV2 для распространения видео на Facebook и Instagram, как когда-то было сделано с кодеком AV1, а также проявляет интерес к открытым звуковым кодекам OAC (Open Audio Codec) и OAR (Open Audio Renderer).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66540

Выпуск системы шифрования дисковых разделов VeraCrypt 1.26.30

Среди изменений в новой версии:

• Устранено несколько уязвимостей: Переполнение буфера (CVE-2026-77372) при десериализации запросов в привилегированном сервисе. Получение прав root из-за некорректной работы инсталлятора со временными файлами в директории /tmp. Оставление расшифрованных данных после отмонтирования в macOS при использовании FUSE-T (CVE-2026-108982). Повышение привилегий в версии для Windows.
• Добавлен поддержка доступных на запись разделов, размещаемых в файлах на совместных хранилищах без root-доступа (например, GVfs или NFS в режиме root_squash).
• Cкрипт mount.veracrypt переписан на POSIX shell.
• Улучшена очистка данных токенов.
• В Linux улучшена работа с носителями в режиме только для чтения.
• Добавлена защита от утечки в дочерние процессы файловых дескрипторов, связанных с привилегированными сервисами и аутентификацией.
• Обеспечено определение возможностей CPU до запуска базовых сервисов для задействования аппаратного ускорения при работе с монтируемыми разделами.
• В диалоги генерации файла с ключами, проверки производительности хэшей настройки пула случайных чисел добавлена поддержка хэш-функции BLAKE2b-512.
• В OpenBSD добавлена поддержка создания разделов FFS в интерфейсе командной строки и графическом конфигураторе.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66541

В systemd добавлена возможность разработки компонентов на языке Rust

Компоненты systemd на Rust динамически связываются с Си-библиотекой libsystemd-shared. Rust-обвязки над libsystemd-shared генерируются автоматически на этапе сборки из заголовочных файлов при помощи утилиты bindgen, и становятся доступны для rust-программ в форме пакета systemd_shared. Для работы требуется как минимум версии rustc 1.85 и bindgen 0.71.1, соответствующие версиям из Debian 13.

Тестовый исполняемый файл на Rust при сборке с LTO-оптимизациями занимает 32 КБ, при том что аналог на Си занимает 20 КБ. По умолчанию поддержка Rust включается только при наличии в системе соответствующего Rust-инструментария (-Drust=auto). В качестве первого компонента, написанного на Rust, развивается systemd-keyring-setup, который пока не принят в основную кодовую базу systemd. Systemd-keyring-setup предназначен для настройки и управления X.509-сертификатами для механизмов ядра Linux dm-verity, fs-verity и bpf.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66539

Критическая уязвимость в декодировщике Brotli, затрагивающая Node.JS, Bun, браузеры, HTTP-клиенты и другие проекты

Проблема была выявлена компанией OpenAI в феврале этого года и блокирована в кодовой базе Brotli через отбрасывание некорректных потоков при декодировании. 22 октября были опубликованы корректирующие выпуски Brotli 1.0.10, 1.1.1 и 1.2.1 в которых явно было заявлено об устранении уязвимости и исправлена суть проблемы. В этот же день был создан прототип эксплоита, позволивший удалённо выполнить код в лабораторных условиях, при использовании нестандартных сборок (в стандартных сборках происходило аварийное завершение). Позднее компания Imperva зафиксировала атаку на штатные сборки Node.js 24.22.0 в Linux-окружении на системе ARM64.

Уязвимость приводит к записи за пределы буфера из-за некорректной обработки ошибок в процессе разбора блоков в сжатом потоке. Функция DecodeBlockTypeAndLength() вместо кода ошибки возвращала только значения true и false, что не позволяло вызывающему коду отличить повреждение потока от состояния, требующего передачи в функцию дополнительных данных. В случае указания в потоке некорректного типа блока сжатых данных, декодировщик воспринимал его не как ошибку, а как состояние нехватки данных, требующее дополнительного чтения из потока. Но так как выделенный буфер не был рассчитан на дополнительно прочитанные данные, они записывались в область за его пределами, в которой хранилось внутреннее состояние декодировщика.

Подверженные уязвимости проекты:

• Эталонная библиотека brotli, проблема проявляется начиная с выпуска 1.0.3 и устранена в обновления 1.0.10, 1.1.1 и 1.2.1. Уязвимость затрагивает приложения и библиотеки, использующие библиотеку libbrotlidec.
• JavaScript платформа Node.js, проблема устранена в обновлениях 26.12.1, 24.22.1 и 22.23.4. Атакованы могут быть приложения, использующие для запроса стороннего контента метод fetch(), который автоматически декодирует HTTP-ответы с заголовком "Content-Encoding: br". Также уязвимость проявляется при прямом вызове методов zlib.brotliDecompress*(), createBrotliDecompress() и brotli.decompress() для распаковки стороннего содержимого или при приёме HTTP-запросов с разбором через библиотеки Express 5 и body-parser 2.x.
• Python-пакеты brotli и brotlicffi (исправление предложено в версии 1.2.1) и использующие их проекты, среди которые популярные библиотеки urllib3, aiohttp, httpx и Scrapy, которые декодируют ответы с заголовком "Content-Encoding: br" при обращении к внешним web-ресурсам.
• HTTP-серверы, HTTP-прокси, HTTP-клиенты и web-браузеры, поддерживающие сжатие Brotli ("Accept-Encoding: br"). В Apache httpd поставляется mod_brotli (отключён по умолчанию). Для nginx доступен сторонний модуль ngx_brotli (уязвимость уже устранена). В Chrome/Chromium и Firefox проблема уже устранена в одном из прошлых обновлений. В прокси-сервере Envoy уязвимость устранена в выпусках 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET runtime при использовании в приложении методов BrotliDecoder, BrotliStream и HttpClient. Уязвимость пока не устранена.
• PHP-расширение brotli при использовании функции brotli_uncompress(). Исправление в процессе подготовки.
• Ruby-пакет brotli при использовании метода Brotli.inflate. Уязвимость пока не устранена.
• СУБД DuckDB при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• СУБД ClickHouse. Исправление в процессе подготовки.
• СУБД YDB. Уязвимость пока не устранена.
• Apache Arrow при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• libjxl (при сжатии метаданных в JPEG XL используется Brotli). Исправление в процессе подготовки.
• Архиваторы NanaZip, 7-Zip-zstd и p7zip при распаковке br-файлов. Уязвимость не устранена.
• MuPDF. Уязвимость не устранена.
• UEFI-прошивки на базе EDK II и UEFITool, сжатые при помощи Brotli. Исправление в процессе подготовки - EDK II и UEFITool.
• JavaScript-платформа Bun. Уязвимость устранена в версии 1.4.4.
• Платформа для управления микросервисами Istio. Уязвимость устранена в версиях 1.29.9, 1.30.6 и 1.31.2.
• curl и libcurl, уязвимость проявляется при наличии в зависимостях уязвимой версии libbrotlidec.
• Парсеры формата шрифтов Web Open Font (WOFF), в котором используется Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost и YTsaurus. Уязвимость устранена в одном из обновлений.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66537

Выпуск системы потокового видеовещания OBS Studio 33.0

Целью разработки OBS Studio было создание переносимого варианта приложения Open Broadcaster Software (OBS Classic), не привязанного к платформе Windows, поддерживающего OpenGL и расширяемого через плагины. Отличием также является использование модульной архитектуры, подразумевающей разделение интерфейса и ядра программы. Поддерживается перекодирование исходных потоков, захват видео во время игр и стриминг в PeerTube, Twitch, Facebook Gaming, YouTube, DailyMotion и другие сервисы. Для обеспечения высокой производительности возможно использование механизмов аппаратного ускорения (например, NVENC, Intel QSV, Apple Video Toolbox и VAAPI).

Предоставляется поддержка композитинга с построением сцены на основе произвольных видеопотоков, данных с web-камер, карт захвата видео, изображений, текста, содержимого окон приложений или всего экрана. В процессе вещания допускается переключение между несколькими предопределёнными вариантами сцен (например, для переключения представлений с акцентом на содержимое экрана и изображение с web-камеры). Программа также предоставляет инструменты для микширования звука, фильтрации при помощи VST-плагинов, выравнивая громкости и подавления шумов.

Ключевые изменения:

• Источники вещания на базе браузера (Browser Source) и панели с web-контентом переведены на новый выпуск инструментария CEF 150 (Chromium Embedded Framework). Ранее использовался CEF 127, выпущенный в июле 2024.
• Полностью переделана загрузка плагинов. Официальные плагины размещены в отдельном подкаталоге "Core", а неофициальные пока продолжают загружаться из старых мест.
• Улучшено выравнивание (snapping) источников контента в окне предпросмотра. Добавлен новый визуальный индикатор, показывающий по какой границе выровнен элемент. Обеспечена привязка источников по осям, а не только при приближении вплотную к объектам (видео с демонстрацией). Убрана привязка к скрытым элементам.
• Улучшены поля ввода чисел, ввод в которых больше не блокируется в некоторых ситуациях, а числа не обрезаются. Значения теперь обновляются только по нажатию Enter, которое не закрывает окно. Добавлена поддержка изменения значений нажатием "Shift + ↑/↓". Обеспечена корректная работа курсора при перетаскивании.
• На системах ARM64 включена поддержка ускорения кодирования видео при помощи NVENC (NVIDIA Encoder).
• Для звуковых и видео эффектов NVIDIA задействована новая версия NVIDIA Broadcast SDK.
• В Safe Mode прекращён запуск WebSocket Server.
• В режиме захвата вывода игр улучшено определение полноэкранных игр.
• Улучшено определение прозрачности при захвате экрана macOS.
• Прекращена поддержка Ubuntu 24.04.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66536

Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого парамтера в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().

Источник: https://www.opennet.ru/opennews/art.shtml?num=66534

Выпуск криптографических библиотек OpenSSL 4.1.0 и LibreSSL 4.4.0

Основные новшества:

• Добавлена начальная поддержка архитектуры Elbrus2000 (e2k).
• Добавлена поддержка протокола DTLS 1.3 (RFC 9147), представляющего собой адаптацию TLS 1.3 для UDP и SCTP.
• В API SSL Listener добавлена поддержка DTLS.
• Добавлена поддержка механизма GREASE (RFC 8701, Generate Random Extensions And Sustain Extensibility), который при согласовании соединения добавляет фиктивные значения в разные поля протоколов TLS и DTLS для проверки корректности их обработки на серверах и межсетевых экранах (сервер должен игнорировать неизвестные значения и продолжить согласование соединения на основе известных).
• Добавлена поддержка функции формирования ключа (KDF) IKEv2 (Internet Key Exchange).
• Реализована поддержка новых сборочных целей VC-WIN32-MSVC2013 и VC-WIN64A-MSVC2013 для сборки с использованием MSVC 2013. Удалены цели VC-WIN64I (Windows на системах Itanium) и VC-CE (Windows CE).
• Добавлены варианты реализаций ML-DSA и ML-KEM, оптимизированные для архитектуры ppc64le, а также вариант ML-DSA, оптимизированный для x86_64.
• Добавлен вариант кода дешифровки AES-CBC, оптимизированный при помощи x86_64-расширений AVX-512 и VAES.

Дополнительно можно отметить выпуск переносимой редакции пакета LibreSSL 4.4.0, развивающего форк OpenSSL. Выпуск LibreSSL 4.4.0 рассматривается как экспериментальный, в котором развиваются возможности, которые войдут в состав OpenBSD 8.1. Изменения в новой версии LibreSSL в основном связаны с исправлением ошибок, оптимизациями и решением проблем совместимости с OpenSSL. Значительно улучшена поддержка платформы Windows и добавлена поддержка сборки для macOS 27.0. Включены ассемблерные оптимизации для MIPS32 и MIPS64. Повышена производительность SHA-3.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66533

Что ждёт меня, что ждёт тебя
То же, что и всех нас
Когда кончится газ
Когда кончится боезапас

Старик умирает, да всё никак не умрёт
Засеем поле руками, засеем поле
Оторванными ногами
Засеем поле нашими головами

Кому собирать урожай

2-й СОРТ и Нина Потехина - Великое ничего

(#чтопослушать)

Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений

Целью атаки был перехват паролей, ключей и конфиденциальной информации в транзитном незашифрованном трафике, а также захват паролей к SSH. Для стимулирования работы без шифрования атакующие блокировали некоторые сетевые порты и сосредоточились на анализе запросов без шифрования к почтовыми серверам. Нешифрованный трафик анализировался на лету.

Для сбора паролей к SSH было организовано перенапрваление SSH-запросов на один из 12 серверов злоумышленников. Данные серверы принимали соединение по SSH и выводили запрос пароля от имени сервера, к которому осуществлялось подключение. Так как хостовые ключи не совпадали, ssh на стороне клиента выдавал предупреждение о подключении к неизвестному серверу.

Если пользователь игнорировал данное предупреждение и вводил пароль для подключения, то вредоносный сервер транслировал через себя подключение к легитимному целевому SSH-серверу, сохранял введённый жертвой пароль и перехватывал информацию о действиях в SSH-сеансе. Параллельно осуществлялось подключение к целевому серверу с захваченным паролем и установка на него вредоносного ПО Ebury. Получая контроль над Linux-серверами, не являющимися выходными узлами Tor, атакующие меняли настройки в файле torrc и превращали их новые вредоносные выходные узлы Tor.

Для определения всех вредоносных выходных узлов выявивший проблему исследователь использовал утилиту exitmap для перебора всех выходных узлов, установки SSH-соединения через каждый из них и проверки факта пренаправления запроса. Как именно атакующие получили доступ к захваченным Tor-узлам пока не ясно, среди прочего высказываются предположения о компрометации операторов хостинга.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66531

Аnthropic развивает технику для формальной верификации существующего ПО при помощи AI

Проверка проводилась на уровне скомпилированного ассемблерного кода для архитектуры RISC-V. Общий объём сгенерированных доказательств составил около 180 миллионов строк кода для системы верификации Rocq Prover (около 600 тысяч строк на бинарный файл с 18 тысячами RISC-V инструкций). Доказательства формировались путём автоматического преобразования существующих fuzzing-тестов в формальные спецификации, после чего AI-модель Claude доказывала, что при любых входных данных объёмом до 64 МБ в программе не возникает сбоев.

В процессе построения доказательств AI-модель смогла выявить и подготовить исправления для сотен ошибок, ранее не замеченных при fuzzing-тестировании. Среди прочего, были выявлены уязвимости, приводящие к переполнению буфера при обработке определённых входных данных (например, CVE-2026-56132 в libexpat), а также логические ошибки. Помимо этого, AI-модель была использована для доказательства соответствия реализации алгоритма zlib в ядре Linux спецификации RFC 1950.

Также на языке Rust был сгенерирован интерпретатор для подмножества языка Python, для которого при помощи инструментария Verus подготовлено формальное доказательство соответствия семантике CPython. Для сравнения поведения с CPython было выполнено более 1.7 миллионов случайно сгенерированных Python-программ. В 99.95% случаев результаты выполнения этих программ в новой реализации и в CPython совпали, а выявленные расхождения оказались известными граничными случаями.

Проведённая формальная верификация гарантирует соответствие спецификации, но полностью не исключает возникновение проблем с безопасностью, так как не остаются формализованы риски, вызванные проблемами с многопоточностью, динамическим связыванием и аномальным поведением реального оборудования. Ключевым преимуществом предложенного подхода является работа непосредственно с бинарными файлами, что позволяет обойтись без необходимости переписывания существующего кода на формально верифицируемых языках.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66528

Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов

Заявлено, что доступ к рабочему эксплоиту предоставлен только клиентам, занимающимся защитой информации, но злоумышленники могут воссоздать используемую технику при помощи AI. Для обходного пути блокирования утечки информации о раскладке адресов следует выставить в php.ini параметр "display_errors=off", помимо ранее опубликованных рекомендаций. VulnCheck также упоминает о том, что на GitHub появились сотни прототипов эксплоитов, но только единицы оценены как рабочие и лишь один прототип был способен обойти ASLR.

Помимо этого, директор Cloudflare сообщил, что компания фиксирует миллионы попыток эксплуатации уязвимостией PHP2Shell, при том, что за 10 часов до анонса наличия уязвимостей таких попыток уже были тысячи, а через 2 часа после официального раскрытия информации достигли сотен тысяч. Судя по всему, в атаках используются прототипы эксплоитов, лишь фиксирующие наличие уязвимых версий PHP, так как пока нет информации о подтверждённых фактах взлома через уязвимости PHP2Shell.

По данным компании Amazon первые попытки эксплуатации зафиксированы развёрнутыми honeypot-системами ещё 17 октября, т.е. за 3 для до утечки первых сведений об CVE-идентификаторах. Активность усилилась 21 октября, за 12 часов до публикации корректирующих обновлений PHP, в это время зафиксированы попытки атак с использованием нескольких вариантов прототипов эксплоитов. Попытки атак до официального раскрытия информации также зафиксировала компания Hadrian.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66529

Чорт дёрнул посмотреть локальные новости: какой-то бред и сумасшествие. Газовщики взялись отключать целые дома от газа (а это еда, горячая вода), мотивируя тем, что должен быть 100% допуск жильцов для "проверок"; людей выселяют из примыкающих к аэропорту садоводств, а на земле будут строить какой-то кампус; ну и другие по мелочи проявления выдуманной реальности. Пожалуй, на сегодня интернета хватит.

Релиз менеджера паролей KeePassXC 2.8

Основные возможности:

• Работа с БД в формате KDBX. Хранение информации в зашифрованном виде. Возможность прикрепления к записям о сохранённых паролях файлов и собственных атрибутов.
• Систематизация информации с распределением по группам. Встроенная система поиска. Автоподстановка паролей в приложения. Возможность управления из командной строки (keepassxc-cli).
• Генератор надёжных паролей. Хранение и генерация одноразовых паролей (TOTP). Анализ качества сохранённых паролей и формирование отчётов со статистикой.
• Интеграция с web-браузерами Chrome, Mozilla Firefox, Edge, Chromium, Vivaldi, Brave и Tor Browser. Поддержка аутентификации с использованием технологии Passkeys, реализованная через интеграцию с браузером.
• Поддержка импорта базы паролей из форматов CSV, 1Password, Bitwarden, Proton Pass и KeePass1. Экспорт в форматы CSV, XML и HTML.
• Поддержка YubiKey и OnlyKey. Интеграция с SSH Agent. Совместный доступ к БД KeeShare. Поддержка FreeDesktop.org Secret Service, например, для использования вместо GNOME keyring. Поддержка алгоритмов шифрования Twofish и ChaCha20.


Ключевые изменения в новом выпуске:

• Перевод графического интерфейса с Qt5 на Qt6.
• Возможность использования функции атоподстановки паролей в приложения в окружениях на базе Wayland, используя порталы XDG.
• Поддержка настройки комбинаций клавиш.
• Возможность синхронизации БД с внешними системами и поддержка использования внешних утилит для импорта.
• Режим быстрой разблокировки доступа через Polkit в Linux.
• Формирование ARM64-сборок для Windows и экспериментальных ARM64-сборок в формате AppImage для Linux.
• Переход на хранение файлов состояния приложения в каталоге ~/.local/state/ (XDG_STATE_HOME) вместо ~/.cache (XDG_CACHE_HOME).
• Поддержка генерации ключей RSA, ECDSA и Ed25519 для SSH Agent.
• Улучшена интеграция с рабочим столом сборок в формате AppImage.
• Реализован импорт SSH-ключей, паролей от Wi-Fi и записей с неизвестным типом из Proton Pass.
• Устранена уязвимость (CVE-2026-69150), приводящая к обращению к уже освобождённой памяти при импорте специально оформленного файла в формате KDB.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66527

stealing and reposting good memes will continue until alt texting improves 🤷‍♂️

#eMudhra

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве

F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов.

Повышение производительности достигается за счёт исключения таких операций, как копирования сетевых пакетов, планирование потоков, обработка прерываний и обращение к системным вызовам. Для взаимодействия с сетевой картой, минуя интерфейсы ядра операционной системы, применяется фреймворк DPDK (Data Plane Development Kit), развивающий набор библиотек для низкоуровневой работы с сетевыми адаптерами. DPDK даёт возможность снизить накладные расходы и уложиться в минимальное число циклов CPU при приёме или отправке сетевых пакетов.

Функциональность стека TCP/IP соответствует сетевому стеку FreeBSD 15 и выделена из данной операционной системы в независимую библиотеку. Для разработки приложений можно использовать стандартный API POSIX (socket, epoll, kqueue) или собственный программный интерфейс на основе микропотоков, упрощающий создание сетевых приложений и позволяющий обойтись без сложной логики асинхронной обработки запросов. Возможно использование с немодифицированными приложениями с загрузкой через LD_PRELOAD.

Наиболее заметные изменения в новом выпуске:

• Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13).
• Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим.
• Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов.
• Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload, вынос на сетевую карту обработки сегментов пакетов) для IPv6.
• Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров.
• Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов
• Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check().
• Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра.
• Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью.
• В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms.
• В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66526

#inktober #inktober2026 (bittober? pixeltober?)
beacon

R=(h,f)=>(x,y)=>y<=h?f(x,y):Math.min(255,Math.max(0,B(f)(x+3*Math.sin(y),h-(y-h)*1.7+Math.sin(x/40))*.9+(50-(y-h)/2.5)+60*Math.sin(7e4/(y-h)**2)*Math.sin(x/15+Math.sin(y)))), B=f=>(x,y)=>f(x+1,y)/3+f(x,y)/3+f(x-1,y)/3, C=(x,y)=>Math.hypot(x,y)<1, F=(x,y)=>C((x-60)/30,(y-50)/30)?220:null, G=(x,y)=>F(x,y)??(y>72&&y<78&&x>150&&x<180?80+(160-x)*2:C((x-165)/4,(y-66)/4)?255:(x+y*3-360)*(x-y*3+30)>0?100:x>160-y/24&&x<170+y/24&&y>60?((y+11)%24<12?70:200)+(160-x)*2:10), R(160,B(G))(x,y)

made with https://iliazeus.lol/bitart

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве

F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов.

Повышение производительности достигается за счёт исключения таких операций, как копирования сетевых пакетов, планирование потоков, обработка прерываний и обращение к системным вызовам. Для взаимодействия с сетевой картой, минуя интерфейсы ядра операционной системы, применяется фреймворк DPDK (Data Plane Development Kit), развивающий набор библиотек для низкоуровневой работы с сетевыми адаптерами. DPDK даёт возможность снизить накладные расходы и уложиться в минимальное число циклов CPU при приёме или отправке сетевых пакетов.

Функциональность стека TCP/IP соответствует сетевому стеку FreeBSD 15 и выделена из данной операционной системы в независимую библиотеку. Для разработки приложений можно использовать стандартный API POSIX (socket, epoll, kqueue) или собственный программный интерфейс на основе микропотоков, упрощающий создание сетевых приложений и позволяющий обойтись без сложной логики асинхронной обработки запросов. Возможно использование с немодифицированными приложениями с загрузкой через LD_PRELOAD.

Наиболее заметные изменения в новом выпуске:

• Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13).
• Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим.
• Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов.
• Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload, вынос на сетевую карту обработки сегментов пакетов) для IPv6.
• Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров.
• Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов
• Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check().
• Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра.
• Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью.
• В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms.
• В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).


Источник: https://www.opennet.ru/opennews/art.shtml?num=66526

В PyPI-пакет и Docker-образ с LiteLLM подставлено вредоносное ПО

Вредоносный код был подставлен на этапе сборочного процесса без компрометации git-репозитория. После установки вредоносный код активируется до импорта LiteLLM через установку файлов cook.pth, cook.py и sitecustomize.py в директорию с библиотеками Python. Данные файлы запускаются при каждом выполнении Python в системе без необходимости совершения пользователем каких-либо действий.

Вначале Python запускает файл cook.pth, в котором имеется только одна строка "import cook" для импорта скрипта cook.py, собирающего учётные данные. Далее импортируется скрипт sitecustomize.py, применяемый для фоновой загрузки внешнего кода (параметры загрузки определяются по ссылке "raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt"). Вредоносный код в обоих скриптах сжат через zlib и закодирован методом Base64. Индикатором компрометации может служить появление в системе файлов "/tmp/.pc_once_*" и "/tmp/remote_code_loader.lock".

После активации файл cook.py выполняет сканирование параметров подключения к облачным сервисам, репозиториям и системам непрерывной интеграции (AWS, Azure, Google Cloud, Kubernetes, Docker, GitHub CLI, Vault, Terraform, Packer), учётных записей разработчиков, параметров подключения к Git, настроек npm и PyPI, файлов с переменными окружения, закрытых ключей для SSH, PGP и TLS, настроек AI-инструментов, браузерных БД c Cookie, хранимыми данными и историей, информации о процессах и переменных окружения. Обнаруженные данные шифруются с использованием алгоритмов AES-256-CBC + RSA-4096 и отправляются в форме проверочного запроса на сайт litellm.dev, созданный злоумышленниками.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66525

Проблемные корневые сертификаты eMudhra были сгенерированы в HSM и прошли независимый аудит

В процессе генерации ключей произошёл сбой, из-за которого на этапе упаковки/распаковки в HSM (wrap/unwrap, шифрование и расшифровка ключом-обёрткой) в дополнение к основному набору криптостойких ключей был создан второй набор слабых ключей с обнулёнными старшими байтами, который и был задействован в сертификатах. Сбой не был распознан, так как закрытые ключи создаются и хранятся только в HSM и не попадают в открытом виде за его пределы. Причина произошедшего сбоя пока не ясна и компания проводит связанное с этим расследование. Утверждается, что проблемные корневые сертификаты, созданные с использованием слабых ключей, прошли независимый аудит и два года оставались в списке доверенных во всех хранилищах корневых сертификатов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66524

Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP

Несколько месяцев назад компании Calif и Wiz независимо друг от друга при помощи AI-моделей GPT‑5.6 и Gemini 4 Argon выявили рабочие методы эксплуатации проблемы и 11 и 24 августа 2026 года сообщили об этом разработчикам PHP. После этого разработке исправлений был назначен наивысший приоритет и начато реформирование процесса принятия решений для более оперативного реагирования в вопросах, связанных со сложными компромиссами (подобные решения теперь могут приниматься большинством голосов без строгого достижения консенсуса).

Изначально, скоординированная с дистрибутивами дата публикации исправления была назначена на 22 октября, но затем была перенесена на 21 октября после утечки 20 октября в социальные сети сведений о CVE-идентификаторах и некорректных данных о времени публикации предстоящих корректирующих выпусков.

Вскоре после анонса предстоящих исправлений в компания Calif, выявившая одну из уязвимостей, по ошибке опубликовала видеоролик с демонстрацией работы эксплоита, в котором были заметны некоторые детали, позволяющие сузить область поиска и воссоздания информации о проблеме. Ролик был быстро удалён, что лишь подстегнуло у исследователей желание докопаться до сути уязвимости и форсировало работу над альтернативными прототипами эксплоитов.

Помимо этого, за шесть часов до намеченной публикации исправлений компания Chainguard нарушила эмбарго и опубликовала сборки своего дистрибутива, содержащие исправленную версию PHP. Подобное нарушение дало возможность злоумышленникам изучить исправление до официального релиза, а также перечеркнуло всю работу по скоординированному раскрытию информации и одновременной публикации исправлений в разных дистрибутивах.

Дополнение: Спустя 16 часов после раскрытия деталей об уязвимостях универсального рабочего эксплоита ещё не появилось и массовых атак пока не наблюдается, что объясняется сложностью эксплуатации уязвимости из-за необходимости определения раскладки структур в памяти процесса, которая специфична в каждой сборке. Опубликованные рабочие прототипы эксплоитов завязаны на отдельные конфигурации и проведение атаки в лабораторных условиях. Также появилось много фиктивных эксплоитов, являющихся галлюцинациями AI, лишь создающих видимость атаки, завязанных на ошибки в конфигурации или работающих только при наличии других критических уязвимостей.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66523

emulators/wine (re)entering OpenBSD ports

In what might the most surprising port proposal of the year, I'm proud
to present a new port for wine.

talking not about the beverage, but the Windows Emulator that enables running binaries for that operating system on other systems.

Among the editors there is no one with enough recent Windows exposure to comment seriously on this, but we do vaguely remember that a port of this software existed back in the day.

So if this falls withing the things you are interested in or actually need, we would encourage you to read the entire emulators/wine thread and the later supplement on new port: emulators/wine-extras: scripts for winetricks and wine-steam to keep up to date on developments.

Выпуск пользовательского окружения Dux Shell 2.0

Dux Shell поддерживает динамические темы оформления, автоматически применяемые к GTK, Qt и системным приложениям. Цветовые схемы для тем формируются с учётом цвета выбранных обоев рабочего стола. Имеется возможность включения ночного режима работы, а также переключения между светлой и тёмной темами оформления. Функциональность может расширяться через плагины. Код фонового процесса для интеграции с системой, инструментария и инсталлятора написаны на языке Go и распространяются под лиценизей MIT. Компоненты интерфейса, панели, виджеты и графические приложения подготовлены на языке QML с применением фреймворка Quickshell, написанного на C++ с использованием Qt.

В состав входят:

• Панель с виджетами для календаря, прогноза погоды, просмотра истории работы с буфером обмена и интеграции с мультимедийными проигрывателями при помощи протокола MPRIS.
• Интерфейс для навигации по установленным в системе приложениям с поддержкой поиска программ, файлов, открытых окон и команд.
• Центр управления с интерфейсом для настройки сети, Bluetooth, звуковых устройств и экрана.
• Встроенные в управляющий фоновый процесс средства сбора метрик о температуре и потреблении ресурсов CPU, ОЗУ и GPU. Наличие интерфейса для управления запущенными процессами.
• Центр уведомлений, поддерживающий группировку уведомлений, использование разметки в тексте и навигацию при помощи клавиатуры.
• Экран блокировки системы с возможностями управления сеансом. Возможна активация спящего режима или блокировка экрана при определённом периоде неактивности пользователя.
• Экран входа в систему Dux Greeter.
• Универсальный инсталлятор, позволяющий развернуть и настроить окружение на базе Dux Shell в Arch, Fedora, Debian, Ubuntu, openSUSE, Gentoo и Void Linux.
• Инструментарий Dux Search для поиска файлов в системе.
• Календарь-планировщик Dux Calendar, поддерживающий протокол CalDAV и синхронизируемый с сервисами Google и Microsoft.
• Файловый менеджер Dux Files.
• Приложение DuxConnect для интеграции со смартфоном.


Среди изменений в новом выпуске:

• На использование концепции дизайна Material 3 Expressive переведены приложения Settings, Control Center, Dash и виджеты. Реализованы новые управляющие элементы интерфейса, выполнена группировка настроек, предложены новые средства навигации и изменена цветовая схема.
• Расширены возможности для настройки содержимого выпадающей панели Dash, которая теперь не ограничивается встроенными вкладками и позволяет подключать плагины с реализацией дополнительных вкладок. Возможна перегруппировка и изменение размера секций. Передалено оформление встроенных страниц - обзорного режима, мультимедийного проигрывателя и области с прогнозом погоды.
• Добавлена поддержка размещения виджетов на экране блокировки системы, таких как часы, область уведомлений, статусная строка и элементы управления энергопотреблением. Предоставлена возможность настройки шрифтов, цветов, размера и стиля виджетов.
• В мультимедийный проигрыватель добавлен движок для загрузки и синхронизации текстов песен с сервисов Better Lyrics, Unison, LyricsPlus, KuGou, LRCLIB и YouTube Music.
• Представлен обособленный файловый менеджер Dux Files, поддерживающий вкладки, двухпанельный просмотр, отображение содержимого в виде списка или сетки пиктограмм, предпросмотр контента, работу с архивами, поиск файлов и обращение к сетевым хранилищам.
• Добавлен генератор обоев рабочего стола.
• Разрешено размещение нескольких Dock-панелей, закрепление их к любому краю экрана, растяжение по всей ширине, размещение в панели типовых виджетов и плагинов. Предоставлена возможность переключения между компактным режимом отображения пиктограмм и новым режимом панели задач.
• Переделаны плитки быстрого изменения настроек в центре управления.
• В панель Dash добавлена отдельная вкладка для отслеживания времени, проведённого перед экраном, и выставления лимитов ежедневной работы или работы с отдельными приложениями.
• Добавлен новый интерфейс для навигации по каталогу плагинов.
• Расширена интеграция с композитными менеджерами Hyprland, Niri и MangoWC, и добавлена поддержка их новых версий. Реализована поддержка композитных менеджеров Aqueous и Umbriel.
• Добавлена возможность навигации по конфигуратору только при помощи клавиатуры.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66522

dbupdate(8) added to -current

Theo de Raadt (deraadt@) has committed to -current a (WIP) new utility for updating system databases:

CVSROOT:	/cvs
Module name:	src
Changes by:	deraadt@cvs.openbsd.org	2026/10/20 19:08:58

Added files:
	usr.sbin/dbupdate: Makefile dbupdate.8 dbupdate.sh 

Log message:
initial draft of dbupdate(8) for updating (signed) zoneinfo and cert.pem
from a new cdn.openbsd.org/pub/OpenBSD/dbupdates/ directory.  We can't
do this nicely with syspatch(8) because it requires patches in sequence
so a new tool had to be written.  It is intentionally kept very simple
so that it can be studied because we intend to run this in root cron,
(the non-simple parts figure out quickly when not to update).
looked at by sthen beck lucas dgl

Read more…

Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления

• CVE-2026-109618 - удалённое выполнение кода, вызванное тем, что при исчерпании доступной процессу свободной памяти обработчик нехватки памяти через выполнение функции longjmp может прервать PHP-интерпретатор в состоянии, когда инициализирована лишь часть внутренних структур, связанных с обработкой запроса. В последующем функция завершения обработки запроса обращается к этим структурам как к уже инициализированным, хотя память для них не выделена.
• CVE-2026-109619 - удалённое выполнение кода, вызванное обращением к памяти после её освобождения из-за некорректной очистки глобального состояния, привязанного к конкретному запросу. В случае прерывания запроса из-за фатальной ошибки, таймаута или нехватки памяти глобальное состояние может оказаться не сброшено и указатели останутся активны, несмотря на освобождение памяти, на которую они ссылаются. При обработке следующего запроса в том же процессе может произойти обращение по оставшемуся указателю к старому глобальному состоянию.

  Для эксплуатации может использоваться создание условий исчерпания доступной памяти при обработке multipart-запроса в коде для индикации прогресса загрузки (session.upload_progress). При этом в качестве основного и подтверждённого вектора атаки упоминается обработчик fatal_error_backtraces в PHP 8.5, который не сбрасывает состояние трассировки при завершении. В первом случае атака возможна на mod_php и PHP-FPM, а во втором только на mod_php. Также упоминается возможность проведения атаки в конфигурациях, в настройках которых имеются директивы, приводящие к выводу предупреждений на ранней стадии обработки запроса (например, предупреждения об использовании устаревших параметров).

  Заявлено, что полное блокирование уязвимостей возможно только через установку обновления. Следующие меры позволяют снизить вероятность успешного проведения атак, но делают систему полностью безопасной:

  • Выставление параметра "memory_limit=-1", что затрудняет возможность атакующего контролировать исчерпание лимитов на память.
  • Выставление параметра "post_max_size = 8M", если нет необходимости в загрузке больших файлов. Значение параметра "upload_max_filesize" должно быть меньше параметра "post_max_size".
  • Задание лимита на допустимое потребление памяти на системном уровне, через cgroup или параметры потребления памяти контейнером, но не через RLIMIT_AS и RLIMIT_DATA, которые не исключают возможность атаки.
  • Выставление на уровне php.ini или конфигурации сервера (не через ini_set() или FPM .user.ini, так как параметр должен действовать до начала обработки запроса) параметра "session.upload_progress.enabled=0".
  • При использовании выпуска PHP 8.5 следует установить параметр "fatal_error_backtraces=0".
  • Удаление привязанных к отдельным запросам устаревших или ошибочных настроек (типа assert.* и неверных путей в open_basedir), приводящих к выводу диагностических сообщений до инициализации.
  • Устранение ситуаций, приводящих к достижению таймаутов и фатальных ошибок, например, связанных со сбоями в callback-обработчиках и обработкой загрузок.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66520
  

Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления

• CVE-2026-109618 - удалённое выполнение кода, вызванное тем, что при исчерпании доступной процессу свободной памяти обработчик нехватки памяти через выполнение функции longjmp может прервать PHP-интерпретатор в состоянии, когда инициализирована лишь часть внутренних структур, связанных с обработкой запроса. В последующем функция завершения обработки запроса обращается к этим структурам как к уже инициализированным, хотя память для них не выделена.
• CVE-2026-109619 - удалённое выполнение кода, вызванное обращением к памяти после её освобождения из-за некорректной очистки глобального состояния, привязанного к конкретному запросу. В случае прерывания запроса из-за фатальной ошибки, таймаута или нехватки памяти глобальное состояние может оказаться не сброшено и указатели останутся активны, несмотря на освобождение памяти, на которую они ссылаются. При обработке следующего запроса в том же процессе может произойти обращение по оставшемуся указателю к старому глобальному состоянию.

  Для эксплуатации может использоваться создание условий исчерпания доступной памяти при обработке multipart-запроса в коде для индикации прогресса загрузки (session.upload_progress). При этом в качестве основного и подтверждённого вектора атаки упоминается обработчик fatal_error_backtraces в PHP 8.5, который не сбрасывает состояние трассировки при завершении. В первом случае атака возможна на mod_php и PHP-FPM, а во втором только на mod_php. Также упоминается возможность проведения атаки в конфигурациях, в настройках которых имеются директивы, приводящие к выводу предупреждений на ранней стадии обработки запроса (например, предупреждения об использовании устаревших параметров).

  Заявлено, что полное блокирование уязвимостей возможно только через установку обновления. Следующие меры позволяют снизить вероятность успешного проведения атак, но делают систему полностью безопасной:

  • Выставление параметра "memory_limit=-1", что затрудняет возможность атакующего контролировать исчерпание лимитов на память.
  • Выставление параметра "post_max_size = 8M", если нет необходимости в загрузке больших файлов. Значение параметра "upload_max_filesize" должно быть меньше параметра "post_max_size".
  • Задание лимита на допустимое потребление памяти на системном уровне, через cgroup или параметры потребления памяти контейнером, но не через RLIMIT_AS и RLIMIT_DATA, которые не исключают возможность атаки.
  • Выставление на уровне php.ini или конфигурации сервера (не через ini_set() или FPM .user.ini, так как параметр должен действовать до начала обработки запроса) параметра "session.upload_progress.enabled=0".
  • При использовании выпуска PHP 8.5 следует установить параметр "fatal_error_backtraces=0".
  • Удаление привязанных к отдельным запросам устаревших или ошибочных настроек (типа assert.* и неверных путей в open_basedir), приводящих к выводу диагностических сообщений до инициализации.
  • Устранение ситуаций, приводящих к достижению таймаутов и фатальных ошибок, например, связанных со сбоями в callback-обработчиках и обработкой загрузок.
  
  
  Источник: https://www.opennet.ru/opennews/art.shtml?num=66520
  

Выпуск среды рабочего стола COSMIC 1.11.0

COSMIC развивается как универсальный проект, не привязанный к конкретному дистрибутиву и соответствующий спецификациям Freedesktop. Для построения интерфейса в COSMIC задействована библиотека Iced, которая использует безопасные типы, модульную архитектуру и модель реактивного программирования, а также предлагает архитектуру, привычную для разработчиков, знакомых с языком декларативного построения интерфейсов Elm. Предоставляется несколько движков отрисовки, поддерживающих Vulkan, Metal, DX12, OpenGL 2.1+ и OpenGL ES 2.0+. Разработчикам предлагается готовый набор виджетов, возможность создавать асинхронные обработчики и использовать адаптивную компоновку элементов интерфейса в зависимости от размера окна и экрана.

Помимо использования языка Rust из особенностей COSMIC выделяются режимы гибридной мозаичной компоновки окон и стекового закрепления окон (группировка окон по аналогии со вкладками в браузере), которые могут включаться в привязке к виртуальным рабочим столам. Проектом также разрабатывается композитный сервер cosmic-comp на базе Wayland.

Среди изменений:

• В libcosmic при при обработке ввода текста прекращён перехват нажатия клавиши Escape, что решило проблемы с закрытием некоторых меню по нажатию Escape.
• В библиотеке приложений (cosmic-app-library) реализован переход к первому приложению в результатах поиска при нажатии клавиши управления курсором "вниз". На системах с гибридной графикой обеспечен выбор корректного GPU при запуске игр.
• В композитном сервере (cosmic-comp) реализована поддержка Wayland-протокола "xdg-dialog-v1", позволяющего создавать модальные диалоги, которые блокируют взаимодействие пользователя с остальной частью интерфейса. Реализована отправка команды активации экранной клавиатуры через отдельный D-Bus-сигнал.
• Добавлена ассоциация для открытия текстового редактора Cosmic-edit для JSON-файлов.
• В конфигураторе (cosmic-settings) добавлены опции для перетаскивания объекта двойным касанием по тачпаду (tap&drag) и режима, позволяющего на мгновение оторвать палец от тачпада, не прерывая процесс перетаскивания.
• В интерфейсе запуска приложений задействован поиск без учёта регистра символов и улучшен поиск отдельных слов в скобках. Реализован выбор корректного GPU на системах с гибридной графикой.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66519

Проект LiberNT развивает форк ReactOS, нацеленный на совместимость с Windows 11

Среди достижений проекта:

• Реализация поддержки работы на ARM-платах Raspberry Pi 3 и Raspberry Pi 5, включая драйверы для GPU, звуковой подсистемы и сетевого адаптера.
• Задействование новой системы управления памятью NVS, по заявлению разработчиков работающий быстрее, чем вариант от ReactOS.
• Поддержка запуска Windows-приложений, собранных для архитектуры x86, на системах с архитектурой ARM64 (используется эмулятор FEX).
• Более современные графические драйверы, использующие архитектуру драйверов WDDM и поддерживающие аппаратное ускорение для OpenGL. Новые драйверы пока доступны для плат Raspberry Pi 5 и 3, и находятся на стадии реализации для GPU Intel и AMD.
• Новый стек для систем хранения и USB, включая новые драйверы для устройств NVMe, USB 3.0, SD-карт, сетевых устройств и игровых контроллеров (поддерживаются PlayStation 5 DualSense, PlayStation 5 DualSense Edge и Xbox Series X|S). Новый драйвер для ФС NTFS.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66518

Опрос сопровождающих показал, что 25% pull-запросов являются AI-слопом

Среди других тенденций:

• AI позволил ускорить выполнение задач, связанных с написанием кода, у 52% опрошенных, и обсуждением предложений у 19%. Но 21% респондентов заявили, что применение AI лишь замедлило решение очень сложных задач.
• 66% опрошенных тратят сэкономленное время на устранение технического долга, 63% - на создание новой функциональности (63%) и 58% - на обучение.
• 71% сопровождающих считают, что AI снижает порог вхождения в разработку открытых проектов, но 53% полагают, что применение AI подрывает доверие со стороны сообщества.
• 35% проектов явно обозначили в правилах возможность использования AI, а 32% не имеют подобных правил и не планируют их введение.
• 61% участников разработки заявили, что перед отправкой изменений проводят детальное рецензирование и полное тестирование сгенерированного через AI кода, но не всегда упоминают, что использовали AI.
• 46% сопровождающих полагают, что AI повышает потребность в наставниках для новых участников, а 32% считают, что снижает.
• 52% используют генеративные AI-инструменты ежедневно, 23% - почти каждый день, 20% - еженедельно, 3% - раз в месяц, 2% - реже, чем раз в месяц.
• 20% опрошенных не используют AI, 58% используют AI для задач, не связанных с разработкой, а 59% - для задач, связанных с разработкой.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66517