Релиз ядра Linux 7.0

Номер 7.0 присвоен, так как в ветке 6.x накопилось достаточного выпусков для смены первого числа в номере версии (в своё время выпуск 6.0 был сформирован следом за 5.19). Смена нумерации осуществляется из эстетических соображений и является формальным шагом, снимающим дискомфорт из-за накопления большого числа выпусков в серии.

В новую версию принято 15624 исправления от 2477 разработчиков, размер патча - 56 МБ (изменения затронули 18053 файла, добавлено 704060 строк кода, удалено 278132 строки). В прошлом выпуске было 15657 исправлений от 2237 разработчиков, размер патча - 52 МБ. Около 51% всех представленных в 7.0 изменений связаны с драйверами устройств, примерно 11% изменений имеют отношение к обновлению кода, специфичного для аппаратных архитектур, 14% связано с сетевым стеком, 5% - с файловыми системами и 3% c внутренними подсистемами ядра.

Основные новшества в ядре 7.0 (1, 2, 3):

• Дисковая подсистема, ввод/вывод и файловые системы
  • Реализована инфраструктура fserror и добавлен API для получения информации об ошибках ввода/вывода и повреждении метаданных при работе с файлами. Предложенная инфраструктура унифицирует в файловых системах передачу сведений об ошибках в пространство пользователя через механизм fsnotify.
  • В XFS добавлены новые возможности для мониторинга за состоянием файловой системы из пространства пользователя. Предложена ioctl-операция XFS_IOC_HEALTH_MONITOR, возвращающая файловый дескриптор, через который можно получать сведения о сбоях, связанных с повреждением метаданных или возникновение ошибок при вводе/вывода, а также отслеживать изменение состояний ФС, таких как отмонтирование и завершение работы. Дополнительно предложен управляемый через systemd фоновый процесс xfs_healer, обрабатывающий события о состоянии ФС из пространства пользователя и при необходимости автоматически запускающий процедуры восстановления.
  • В файловую систему Btrfs добавлена экспериментальная поддержка структуры "дерево ремапинга" (remap tree), которая в будущем может быть задействована в качестве промежуточного слоя при выполнении операций ввода-вывода. Суть добавленной возможности в том, что после перемещения данных на накопителе вместо обновления всех связанных с этими данными структур в дополнительной структуре "remap tree" сохраняются старые и новые адреса данных, после чего при обращении к данным адреса подменяются. Новый подход преподносится как более надёжный и гибкий, а также упрощающий дальнейшее расширение функциональности Btrfs.
  • В Btrfs реализована поддержка прямого ввода/вывода в ситуациях, когда размер блока превышает размер страницы памяти в системе.
  • В состав включена новая файловая система "Nullfs", которую можно использовать в качестве заглушки для корневой ФС. Файловая система Nullfs всегда пустая, не содержит данных и не поддерживает изменения. Назначением Nullfs является использование в качестве начальной ФС для упрощения процесса загрузки системы - поверх Nullfs затем монтируются другие ФС и используется системный вызов pivot_root() для переключения корневой ФС вместо очистки содержимого initramfs и использования связанной с ним корневой ФС.
  • Реализовано обновление информации о времени модификации файлов в неблокирующем режиме. Ранее вызов file_update_time_flags() с флагом IOCB_NOWAIT возвращал ошибку "-EAGAIN", что не позволяло использовать операции прямой записи в неблокирующем режиме.
  • В файловых системах в разряд отдельно включаемых опций переведена поддержка уведомительных блокировок (lease). По умолчанию подобный механизм теперь не активируется из-за проблем с ФС, изначально не рассчитанных на его применение. Например, его не поддерживают ФС 9p и cephfs.
  • В файловой системе EROFS (Extendable Read-Only File System), предназначенной для использования на разделах, доступных в режиме только для чтения, для сжатия по умолчанию задействован алгоритм LZMA. Опционально доступны алгоритмы DEFLATE и Zstandard, которые больше не помечены экспериментальными. Реализовано совместное использование записей в страничном кэше (page-cache) для идентичных файлов в отдельных ФС EROFS.
  • Удалён режим laptop_mode, экономящий энергопотребление за счёт откладывания и объединения операций записи на жёсткий диск с целью продления нахождения диска в спящем режиме и снижения числа пробуждений. Режим потерял актуальность, так как в современных мобильных устройствах жёсткие диски вытеснены твердотельными накопителями.
  • Файловая система F2FS переведена на использование больших фолиантов страниц памяти (large folios).
  • Возрождена работа над драйвером ntfs3, развиваемым компанией Paragon Software. Добавлена поддержка операций с файлами на базе iomap, реализованы опции llseek SEEK_DATA/SEEK_HOLE, добавлен режим delalloc для отложенного выделения блоков. Тем временем, в списке рассылки разработчиков ядра в феврале было одобрено включение в состав одной из будущих версий ядра новой реализации NTFS - ntfsplus, разработанной для замены ntfs3.
  • По умолчанию при сборке включена версия протокола NFS 4.1 (CONFIG_NFS_V4_1). Обеспечена блокировка экспорта через NFS специализированных псевдо-ФС, таких как pidfs и nsfs. В NFSD реализована экспериментальная возможность использования POSIX ACL и добавлена поддержка динамического изменения пула потоков (thread-pool) в зависимости от нагрузки.
• Память и системные сервисы
  • Утверждены официальные правила применения AI-ассистентов и включения в ядро автоматически сгенерированного содержимого. При передаче сгенерированного кода предписано помечать его через указание используемого AI-ассистента через тег "Assisted-by". AI-ассистентам запрещено добавлять тег "Signed-off-by" - человек, передавший патч, считается его автором, несёт ответственность за переданное изменение и ручается за его качество. Разработчикам предписано проводить ручное рецензирование полученного через AI кода и проверять соответствие результата лицензионным требованиям.
  • Поддержка Rust переведена из экспериментальных в основные возможности ядра.
  • Завершена интеграция в ядро механизма "Swap Table", позволяющего повысить производительность подкачки. Ускорение достигается благодаря уменьшению конкуренции за доступ к кэшу подкачки, более эффективного поиска в кэше и снижения фрагментации. Бэкенд на базе Swap Table задействован для кэширования подкачки вместо бэкенда XArray и позволил в тесте redis-benchmark с BGSAVE увеличить число обрабатываемых запросов на 22%.
  • Добавлена поддержка появившегося в Clang 22 расширения Thread Safety Analysis, позволяющего на этапе компиляции выявлять потенциальные состояния гонки и ошибки, вызванные некорректным выставлением блокировок. Расширение предлагает серию атрибутов, таких как GUARDED_BY(...), REQUIRES(...), RELEASE(...) и ACQUIRE(...), позволяющих отмечать охватываемые блокировками функции и разделять области действия блокировок (определять контекст). На этапе компиляции выполняется проверка корректности применения примитивов синхронизации, таких как мьютексы, на основе оценки активности или не активности, связанного с ними контекста.
  • В системный вызов open_tree добавлен флаг OPEN_TREE_NAMESPACE для упрощения настройки изолированных контейнеров и ускорения запуска контейнеров на системах с большим числом точек монтирования. По аналогии с OPEN_TREE_CLONE новый флаг копирует только указанное дерево точек монтирования (mount tree), но вместо локального файлового дескриптора возвращает файловый дескриптор в новом пространстве имён точек монтирования, в котором скопированное дерево монтируется поверх копии реальной корневой ФС. Флаг OPEN_TREE_NAMESPACE востребован для ухода от раздельного выполнения операций unshare(CLONE_NEWNS) и pivot_root(), применяемых при создании контейнеров.
  • В системный вызов rseq добавлен механизм расширения квантов времени (time slice), позволяющий получить дополнительное процессорное время для неразрывного выполнения критической секции. Идея в том, чтобы избежать прерывания планировщиком задач критической секции с выставленной блокировкой, приводящего к передаче управления другим потокам, использующим ресурс, на которых остаётся выставлена блокировка. Расширение кванта времени производится без дополнительных накладных расходов, но и без строгих гарантий, предоставляемых при полноценном регулировании приоритетов.
  • Для архитектур arm64, loongarch, powerpc, riscv, s390 и x86 режим вытеснения задач (preemption) в планировщике по умолчанию изменён с PREEMPT_NONE на PREEMPT_LAZY. Число возможных режимов сокращено с четырёх до двух - PREEMPT_FULL и PREEMPT_LAZY (режимы PREEMPT_NONE и PREEMPT_VOLUNTARY оставлены только для архитектур, не поддерживающих PREEMPT_FULL и PREEMPT_LAZY). Режим PREEMPT_LAZY применяет модель полного вытеснения (PREEMPT_FULL) для realtime-задач (RR/FIFO/DEADLINE), но задерживает вытеснение обычных задач (SCHED_NORMAL) до границы тика. Вносимая задержка приводит к сокращению случаев вытеснения держателей блокировок, что позволяет приблизить производительность к конфигурациям, использующим модель добровольного вытеснения (voluntary preemption), т.е. PREEMPT_LAZY позволяет сохранить возможности полного вытеснения в отношении realtime-задач, но сводит к минимуму проседание производительности для обычных задач.

    Включение PREEMPT_LAZY привело к серьёзной регрессии, в два раза снижающей производительность PostgreSQL на системах ARM64. Для устранения падения производительности разработчикам PostgreSQL предложено задействовать опцию PR_RSEQ_SLICE_EXTENSION для снижения вероятности вытеснения держателя блокировки.

  • Продолжен перенос изменений из ветки Rust-for-Linux, связанных с использованием языка Rust в качестве второго языка для разработки драйверов и модулей ядра (поддержка Rust не активна по умолчанию, и не приводит ко включению Rust в число обязательных сборочных зависимостей к ядру). Благодаря ранее интегрированной библиотеке "syn", упрощающей написание сложных макросов, удалось сократить размер Rust-кода в ядре за счёт упрощения определений имеющихся процедурных макросов. Расширены возможности библиотек kernel, macros и pin-init.
  • В систему асинхронного ввода/вывода io_uring добавлена опция для использования не кольцевых очередей (non-circular submission queue), более эффективно кэшируемых в ситуации, когда выполнение запроса завершается раньше возврата из системного вызова.
  • В подсистеме eBPF в механизме BTF (BPF Type Format), предоставляющем информацию для проверки типов в псевдокоде BPF, для поиска отладочной информации задействован бинарный поиск, что повысило эффективность загрузки BPF-программ. В eBPF добавлена поддержка неявных аргументов при вызове kfunc (функции ядра, доступные для использования в программах BPF), определённых с флагом KF_IMPLICIT_ARGS.
  • Удалён код для поддержки начального RAM-диска (initrd) на базе linuxrc, давно объявленный устаревшим. Оставшиеся реализации initrd планируют удалить в 2027 году. Вместо initrd следует использовать initramfs (разница в том, что initrd размещает начальное загрузочное окружение в дисковом образе, а initramfs - в файловой системе).
  • В блочном устройстве zram, применяемом для сжатого хранения раздела подкачки в памяти, изменена логика работы со сжатыми страницами памяти при опциональном перемещении данных в постоянное хранилище в случае заполнения доступной оперативной памяти. Ранее страницы памяти распаковывались перед записью на физический носитель, а теперь сохраняются как есть в сжатом виде, что снижает нагрузку на CPU и экономит энергию при автономной работе.
  • В утилиту timerlat, предназначенную для измерения задержек при работе планировщика задач, добавлена опция "--bpf-action" для запуска BPF-программ в случае превышения заданного порога.
  • В систему трассировки ftrace добавлена настройка "bitmask-list" для вывода битовых масок в читаемом виде (в форме списка битов, а не шестнадцатеричного числа). В tracefs добавлены возможности для аудита фильтров и триггеров. Добавлена команда "perf sched stats" для сбора и отображения статистики о работе планировщика задач.
  • Добавлены сборочные опции LOGO_LINUX_MONO_FILE, LOGO_LINUX_VGA16_FILE и LOGO_LINUX_CLUT224_FILE для определения файла с изображением логотипа, который будет показываться при загрузке ядра вместо штатного логотипа с пингвином Tux.
• Виртуализация и безопасность
  • В системе асинхронного ввода/вывода io_uring реализована возможность прикрепления BPF-программ с фильтрами, контролирующими, что могут делать конкретные SQE (Submission Queue Entry) операции (подобие системных вызовов в io_uring). Добавленная возможность является аналогом фильтров системных вызовов. Фильтры можно привязывать к определённым задачам и они наследуются при порождении других процессов после вызова fork(). При наличии активных фильтров, добавляемые поверх фильтры могут лишь прикреплять дополнительные ограничения, но не отключать имеющиеся. Реализованная возможность позволит блокировать методы обхода фильтрации системных вызовов в sandbox-окружениях, основанные на выполнении вместо системных вызовов аналогичных операций, предоставляемых в io_uring.
  • В SELinux добавлена возможность управления доступом к токенам BPF, позволяющим непривилегированным процессам выполнять некоторые привилегированные операции c BPF, например, загружать BPF-программы в ядро и создавать map-структуры.
  • Добавлена поддержка алгоритма формирования цифровых подписей ML-DSA (CRYSTALS-Dilithium), основанного на теории решёток и стойкого к подбору на квантовом компьютере. Предоставлена возможность использования ML-DSA для аутентификации модулей ядра.
  • Удалена возможность использования схем формирования цифровых подписей с алгоритмом SHA-1 для заверения модулей ядра (поддержка загрузки подписанных модулей сохранена).
  • В записи аудита NETFILTER_PKT добавлены поля 'sport' и 'dport' для инспектирования номеров сетевых портов, а не только IP-адресов.
  • Для систем с архитектурой RISC-V реализована поддержка расширений Zicfiss и Zicfilp, предоставляющих аппаратные возможности для применения защиты CFI (Control Flow Integrity), блокирующей нарушения нормального порядка выполнения инструкций (control flow) в результате применения эксплоитов, изменяющих хранимые в памяти указатели на функции.
  • В гипервизоре KVM реализована возможность передачи в гостевые системы информации о поддержке процессором расширения ERAPS (Enhanced Return Address Predictor Security), позволяющего обойтись без некоторых операций сброса состояния CPU при возвращении управления хосту гостевой системой. Кроме того, добавлена поддержка закрепления за гостевыми системами оборудования для отслеживания производительности (PMU, Performance Monitoring Unit), что позволяет повысить точность профилирования по сравнению с использованием эмулируемых PMU.
  • В драйвер для гипервизора Hyper-V добавлена поддержка интерфейса debugfs для просмотра статистики о работе гипервизора.
• Сетевая подсистема
  • Включено по умолчанию расширение AccECN (Accurate Explicit Congestion Notification), реализующее улучшенный вариант расширения ECN, позволяющего хостам в случае перегрузки маркировать IP-пакеты вместо их отбрасывания, что даёт возможность определять возникновение начальной стадии затора в каналах связи без потери пакетов. Исходное расширение ECN имеет ограничение, допускающее выставление только одного сигнала о перегрузке в рамках одного цикла приёма-передачи TCP (RTT, Round-Trip Time, отправка запроса и получение ответа). AccECN снимает данное ограничение и даёт возможность получателю передавать отправителю более одной метки о перегрузке в заголовке TCP-пакета. Алгоритмы управления перегрузкой могут использовать полученную информацию для более точного реагирования на перегрузки и не прибегать к резкому снижению интенсивности отправки пакетов при появлении незначительной перегрузки.
  • В реализацию алгоритма управления сетевыми очередями Cake добавлена возможность обработки нескольких очередей для распределения нагрузки на несколько ядер CPU. Алгоритм CAKE применяется для снижения негативного влияния промежуточной буферизации пакетов на граничном сетевом оборудовании, и нацелен на достижение максимально возможной пропускной способности и минимального уровня задержек даже на медленных каналах связи.
  • В сокеты VSOCK, используемые для взаимодействия с виртуальными машинами, добавлена поддержка сетевых пространств имён (network namespace).
  • Добавлена начальная реализация будущего стандарта WiFi 8 (802.11bn, Ultra High Reliability" WiFi).
  • Добавлены оптимизации, позволившие повысить производительность обработки входящих UDP-пакетов на 12% при проведении стресс-тестирования в 100-гигабитной сети.
• Оборудование
  • В драйвере AMDGPU реализована поддержка IP-блоков, используемых в новых GPU AMD, таких как SMUIO 15.x, PSP 15.x, IH 6.1.1/7.1, MMHUB 3.4/4.2, GC 11.5.4/12.1, SDMA 6.1.4/7.1/7.11.4 и JPEG 5.3.
  • В драйвере Nouveau улучшено управление частотой на системах Tegra 186+.
  • В драйвер i915 добавлена начальная поддержка дисплейного IP-блока Xe3p_LPD, применяемого в процессорах Intel Nova Lake-P.
  • Продолжена работа над drm-драйвером (Direct Rendering Manager) Xe для GPU на базе архитектуры Intel Xe, которая используется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Добавлен режим Multi Queue. Добавлены компоненты, необходимые для диагностики зависаний GPU в Mesa. Добавлена поддержка механизма MERT для управления доступом к памяти GPU.
  • Продолжена интеграция компонентов драйвера Nova для GPU NVIDIA, оснащённых GSP-прошивками, используемыми начиная с серии NVIDIA GeForce RTX 2000 на базе микроархитектуры Turing. Драйвер написан на языке Rust. В новой версии проведена подготовка к реализации поддержки GPU на базе микроархитектуры Turing и внесены различные внутренние изменения.
  • Добавлена поддержка контроллеров и периферийных устройств с многоканальным интерфейсом SPI (Serial Peripheral Interface), позволяющим передавать данные в несколько параллельных потоков.
  • Добавлен драйвер для комбинированных коннекторов Type-C, применяемых на устройствах на чипах Apple Silicon и сочетающих интерфейсы USB3, DP-AltMode и Thunderbolt/USB4.
  • Добавлена поддержка звуковых подсистем чипов Tegra238, Minisforum V3 SE, iBasso DC04U, Intel Nova Lake, Nova Lake S и Focusrite Forte.
  • Добавлена поддержка ARM-плат, SoC и устройств: Arduino UnoQ, OrangePi 6 Plus, OrangePi CM5, Anbernic RG-DS, Realtek Kent, Qualcomm Kaanapali, Mediatek Ezurio, Facebook Anacapa, Microchip LAN9668, Khadas VIM1S, QNAP TS133, i.MX952, i.MX93, i.MX94, VHIP4 EvalBoard, TQ-Systems MBLS1028A, Agilex5, Radxa CM3J, Glymur,
  • Добавлена поддержка смартфонов и планшетов: Fairphone Gen 6 (SoC Qualcomm Milos/Snapdragon 7s Gen 3), Pixel 3/3 xl, Microsoft surface pro 11.

Одновременно латиноамериканский Фонд свободного ПО сформировал вариант полностью свободного ядра 7.0 - Linux-libre 7.0-gnu, очищенного от элементов прошивок и драйверов, содержащих несвободные компоненты или участки кода, область применения которых ограничена производителем. В выпуске 7.0 проведена чистка от блобов драйвера iwlwifi. Обновлён код чистки в драйверах amdgpu, adreno, TI PRUeth, air_en8811h, ath12k, TI VPE, rtw8852b, rt1320, rt5575 SPI, tas2783, Intel catpt. Выполнена чистка имён blob-ов в dts-файлах (devicetree) для ARM-чипов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65194

Доступен полностью свободный Linux-дистрибутив Trisquel 12.0

Дистрибутив примечателен исключением из поставки всех несвободных компонентов, таких как бинарные драйверы, прошивки и элементы графического оформления, распространяемые под несвободной лицензией или использующие зарегистрированные торговые марки. Несмотря на полный отказ от проприетарных компонентов, Trisquel совместим с Java (OpenJDK), поддерживает большинство аудио- и видео-форматов, включая работу с защищенными DVD, задействуя при этом только полностью свободные реализации данных технологий. В качестве рабочих столов предлагаются MATE (по умолчанию), LXDE и KDE.

В новом выпуске:

• Осуществлён переход с пакетной базы Ubuntu 22.04 на ветку Ubuntu 24.04.
• До версии 6.8 (была 5.15) обновлён полностью свободный вариант ядра Linux - Linux Libre, очищенный от проприетарных прошивок и драйверов, содержащих несвободные компоненты. Повышена модульность поставки ядра.
• С целью повышения безопасности переработаны правила AppArmor для графических окружений.
• Пакетный менеджер APT обновлён до ветки 3.0, а настройки репозиториев переведены на использование формата deb822.
• В состав включены web-браузеры GNU IceCat и ungoogled-chromium, помимо ранее поставляемого Abrowser (сборка Firefox от разработчиков Trisquel).
• Рабочий стол MATE обновлён до версии 1.26.1. Опционально для установки доступны пользовательские окружения LXDE 0.99.2, KDE Plasma 5.27 и Sugar 0.121 (обучающее окружение для детей).
• Обновлены версии программ, в том числе в бэкпортах доступны свежие версии LibreOffice, yt-dlp, Inkscape, Nextcloud Desktop, Kdenlive, Tuba, 0 A.D., fastfetch и многих других приложений.

Основные требования к полностью свободным дистрибутивам:

• Включение в состав дистрибутива ПО с одобренными FSF лицензиями;
• Недопустимость поставки бинарных прошивок (firmware) и любых бинарных компонентов драйверов;
• Непринятие неизменяемых функциональных компонентов, но возможность включения нефункциональных, при условии разрешения копировать и распространять их в коммерческих и некоммерческих целях (например, CC BY-ND-карты к GPL-игре);
• Недопустимость использования торговых марок, условия использования которых мешают свободному копированию и распространению всего дистрибутива или его части;
• Соблюдение лицензионной чистоты документации, недопустимость документации, рекомендующей установку проприетарного ПО для решения определённых задач.

В настоящее время помимо Trisque в список полностью свободных дистрибутивов GNU/Linux включены следующие проекты:

• Dragora - независимый дистрибутив, пропагандирующий идею максимального архитектурного упрощения;
• Dynebolic - специализированный дистрибутив для обработки видео и аудио данных (более не развивается - последний релиз был 8 сентября 2011 года);
• Guix - основан на пакетном менеджере Guix и системе инициализации GNU Shepherd (ранее известной как GNU dmd), написанными на языке Guile (одна из реализаций языка Scheme), который также используется и для определения параметров запуска сервисов.
• Hyperbola - основан на стабилизированных срезах пакетной базы Arch Linux с переносом из Debian некоторых патчей для повышения стабильности и безопасности. Проект развивается в соответствии с принципом KISS (Keep It Simple Stupid) и нацелен на предоставление пользователям простого, легковесного, стабильного и безопасного окружения.
• Parabola GNU/Linux - дистрибутив, основанный на наработках проекта Arch Linux;
• PureOS - основан на пакетной базе Debian и разрабатывается компанией Purism, развивающей смартфон Librem 5 и выпускающей ноутбуки, поставляемые с данным дистрибутивом и прошивкой на базе CoreBoot;
• libreCMC (libre Concurrent Machine Cluster), специализированный дистрибутив, рассчитанный на использование во встраиваемых устройствах, таких как беспроводные маршрутизаторы.
• ProteanOS - обособленный дистрибутив, развивающийся в направлении достижения как можно более компактного размера;

Часть компьютеров в госучреждениях Франции планируют перевести с Windows на Linux

Амьель подчеркнул, что французское правительство больше не может мириться с тем, что не контролирует свои данные и цифровую инфраструктуру. Сроки перехода и внедряемый дистрибутив Linux пока не уточняются. Первым на Linux решено перевести рабочие станции в межминистерском управлении цифровизации (DINUM). Министерствам предписано до осени подготовить собственные планы снижения зависимости от не европейских технологий, охватывающие рабочие станции, инструменты совместной разработки, антивирусы, AI-системы, СУБД, платформы виртуализации и сетевое оборудование.

Решение о замене Windows принято спустя несколько месяцев после анонса перевода системы проведения видеоконференций с пакета Microsoft Teams на французский продукт Visio, основанный на открытой платформе Jitsi. До конца года также планируют заменить информационную систему здравоохранения на новую подконтрольную разработку. Кроме этого, объявлено о миграции 80 тысяч сотрудников отделений системы медицинского страхования на собственную платформу межведомственного документооборота.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65184

Выпуск Cage 0.3, композитного сервера на базе Wayland для создания киосков

Интерфейс в Cage ограничен одним приложением, а пользователь не может выйти за пределы данного приложения и получить доступ к операционной системе. Экран привязывается к одному устройству вывода, а все вспомогательные диалоги выводятся по центру экрана без возможности перемещения и изменения размера. Поддерживается помещение и извлечение данных через буфер обмена. Приложения непосредственно связываются с запускаемым графическим окружением, например, для создания киоска с браузером Epiphany достаточно выполнить "cage /usr/bin/epiphany", а после выхода из программы композитный сервер тоже завершает свою работу.

Среди наиболее заметных изменений в новом выпуске:

• Библиотека wlroots обновлена до выпуска 0.20, в котором реализована поддержка определения цветового представления Wayland-поверхности, управления цветом и использования HDR при помощи протоколов color-representation-v1 и color-management-v1 при использовании бэкенда отрисовки через API Vulkan. Также добавлена поддержка Wayland-протоколов cursor-shape-v1 для настройки внешнего вида курсора, ext-workspace-v1 для использования концепции виртуальных рабочих столов и xdg-toplevel-tag-v1 для идентификации окон/поверхностей через привязку тегов.
• Добавлена поддержка протокола wlr-foreign-toplevel-management, позволяющего управлять окнами из внешних программ.
• Добавлена поддержка протокола drm-lease, предоставляющего средства для формирования стереокартинки с разными буферами для левого и правого глаза при выводе на шлемы виртуальной реальности.

Google задействовал Rust-библиотеку Hickory в прошивке радиомодуля смартфонов Pixel 10

Интеграция hickory-proto в прошивку осуществлена в рамках инициативы по повышению защиты baseband-модема. В прошивке baseband-модема имеется обработчик DNS, так как данный протокол используется в современных сотовых сетях, среди прочего при переадресации вызовов. При этом DNS является сложным протоколом, требующим разбора данных, поступающих из вне и не заслуживающих доверия. В прошлом у Google уже был опыт выявления уязвимостей в прошивках baseband-модема устройств Pixel, например, в 2024 году была найдена уязвимость CVE-2024-27227, приводящая к переполнению буфера при обработке специально оформленных DNS-ответов.

Предполагается, что использование парсера протокола DNS на языке Rust сократит поверхность атаки и уменьшит риск эксплуатации через DNS целого класса уязвимостей, вызванных ошибками при низкоуровневой работе с памятью. Проект также рассматривается как базис для более широкого внедрения в другие компоненты кода на языках, безопасно работающих с памятью.

Из проблемных моментов отмечено относительно большой размер результирующего кода, так как библиотка Hickory-proto изначально не рассчитана на использование во встраиваемых устройствах. Размер интегрированных компонентов составил 371KB, из которых 350KB код Hickory-proto и зависимостей, 17KB - вспомогательные функции, выделенные из стандартной библиотеки, 4KB - прослойка для использования библиотеки для обработки ответов от DNS-серверов.

Отмечается, что для модема устройств Pixel дополнительные 300KB укладываются в имеющиеся ограничения памяти, но для более требовательных встраиваемых устройств необходимо проведение оптимизации для сокращения размера кода. В будущем в Hickory-proto планируют реализовать флаги, оставляющие при компиляции только требуемую функциональность.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65190

Red Hat расформировывает инженерное подразделение в Китае

В качестве причины сворачивания китайского подразделения упоминается новая геостратегия, определяющая ключевые места для найма и инвестиций в персонал. Приоритетным местом для развёртывания инженерных команд теперь является Индия, в которой у IBM больше сотрудников, чем в США.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65189

Выпуск дистрибутива Deepin 25.1, развивающего собственное графическое окружение

Компоненты рабочего стола и приложения разрабатываются с использованием языков C/C++ и Go. Графический интерфейс построен с использованием библиотеки Qt. Ключевой особенностью рабочего стола Deepin является панель, которая поддерживает несколько режимов работы. В классическом режиме осуществляется более явное отделение открытых окон и предлагаемых для запуска приложений, отображается область системного лотка. Эффективный режим чем-то напоминает Unity, смешивая индикаторы запущенных программ, избранных приложений и управляющих апплетов (настройка громкости/яркости, подключённые накопители, часы, состояние сети и т.п.). Интерфейс запуска программ предоставляет два режима - просмотр избранных приложений и навигация по каталогу установленных программ.

Среди изменений:

• Переделан AI-ассистент для написания текста, в который добавлена возможность загрузки эталонного справочного материала. На основе загруженных образцов AI формирует структурный план, который пользователь может вручную отредактировать перед финальной генерацией текста. После генерации содержимое можно отредактировать в AI-интерфейсе и экспортировать в формате PDF, MS Word или Markdown. Генерация может производиться с использованием локально работающих AI-моделей
• Добавлен AI-режим "Claw Mode" на базе проекта OpenClaw, позволяющий управлять работой компьютера и автоматически выполнять системные работы при помощи команд на естественном языке, такие как запуск приложений, редактирование настроек и обработка наборов файлов. Реализована интеграция AI с программами для обмена сообщениями, позволяющая выполнять сложные работы через мессенджер, такие как сбор информации из разных источников и резюмирование документов.
• Добавлена возможность вызова панели AI-инструментов для перевода, резюмирования и пояснения текста, выделенного в любых приложениях.
• Обеспечен адаптивный выбор AI-модели в зависимости от трудности задачи, балансируя между скоростью и глубиной знаний. По умолчанию интегрирована работа с AI-моделями DeepSeek 3.2 и GLM 4.7.
• Ядро Linux обновлено до выпуска 6.18 (было 6.12). Интегрирована поддержка планировщика задач BORE, применяемого в CachyOS для снижения задержек на рабочем столе и повышения приоритета интерактивных процессов. В аллокаторе памяти ядра (SLUB) задействован слой кэширования "sheaves", использующий несколько кэшей, каждый из которых привязан к отдельному ядру CPU. Подобный кэш повышает производительность и снижает накладные расходы при выделении и освобождении памяти в ядре. Для повышения производительности подкачки задействован механизм "Swap Table". Повышена производительность ФС Ext4 и XFS. Добавлена поддержка расширения архитектуры набора команд Intel APX (Advanced Performance Extension), предоставляющего 16 дополнительных регистров общего назначения.
• В среде рабочего стола DDE (Deepin Desktop Environment) в панели задач реализована поддержка разделения пиктограмм приложений, у которых одновременно открыто несколько окон. В конфигуратор добавлена настройка размера курсора мыши.
• В файловом менеджере реализована возможность использования правой кнопки мыши для закрепления вкладок в верхней части, сохранения путей важных каталогов и перемещения элементов между окнами в режиме drag&drop. При предпросмотре изображений добавлена поддержка изменения масштаба мышью. Оптимизирован визуальный эффект группировки файлов.
• В почтовый клиент добавлена поддержка вывода писем на печать.

Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux

• В корректирующем релизе мультимедийного фреймворка GStreamer 1.28.2 выявлено 11 уязвимостей, из которых 3 вызваны переполнением буфера и потенциально могут привести к выполнению кода при обработке специально оформленных мультимедийных контейнеров MKV (CVE не назначен) и MOV/MP4 (CVE-2026-5056), а также потоков в формате H.266/VVC (CVE не назначен). Остальные 8 уязвимостей вызваны целочисленным переполнением или разыменованием нулевого указателя, и могут привести к отказу в обслуживании или утечке информации при обработке данных в форматах WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub и SRT/WebVTT. Опасность уязвимостей в GStreamer усугубляется тем, что он применяется в GNOME для разбора метаданных при автоматической индексации новых файлов, т.е. для атаки достаточно добиться загрузки файла в индексируемый каталог ~/Downloads.
• В сервере печати CUPS выявлено 8 уязвимостей, две из которых (CVE-2026-34980, CVE-2026-34990) могут использоваться для организации удалённого выполнения своего кода с правами root через отправку специально оформленного запроса на сервер печати. Первая уязвимость позволяет неаутентифицированному атакующему добиться выполнения своего кода с правами пользователя lp, отправив специально оформленное задание вывода на печать (проблема вызвана некорректной обработкой экранированных символов перевода строки). Вторая уязвимость позволяет поднять привилегии с пользователя lp до root, добившись изменения файлов c правами root через подстановку фиктивного принтера. Обновление CUPS с устранением уязвимостей пока недоступно.
• Опубликован корректирующий релиз криптографической библиотеки wolfSSL 5.9.1, в котором устранена 21 уязвимость. Одной проблеме присвоен критический уровень опасности, а 9 - высокий (приводят к повреждению памяти). Критическая уязвимость (CVE-2026-5194) вызвана отсутствием проверки размера хэша и идентификатора OID, что позволяет указывать хэши, размером меньше допустимого для снижения стойкости алгоритмов формирования цифровой подписи ECDSA/ECC, DSA, ML-DSA, ED25519 и ED448 для обхода аутентификации на базе сертификатов. Уязвимость выявлена инженерами Anthropic в ходе проверки кода AI-моделью.
• Опубликованы корректирующие выпуски криптографической библиотеки OpenSSL 3.6.2, 3.5.6, 3.4.5 и 3.3.7, в которых устранено 7 уязвимостей. Наиболее опасная уязвимость (CVE-2026-31790), которая может привести к утечке конфиденциальных данных, оставшихся в буфере после прошлой операции. Проблема вызвана использованием неинициализированной памяти при инкапсуляции ключей RSA KEM RSASVE.

  Одна из уязвимостей (CVE-2026-31789) вызвана переполнением буфер и потенциально может привести к выполнению кода при выполнении операций по преобразованию строк в шестнадцатеричное представление при обработке специально оформленных сертификатов X.509. Проблема помечена как неопасная так как она проявляется только на 32-разрядных платформах. Остальные уязвимости вызваны чтением данных из области вне буфера, обращения к уже освобождённой памяти и разыменования нулевого указателя.

• В AI-агенте OpenClaw 2026.3.11, позволяющем AI-моделям взаимодействовать в системными окружениями (например, запускать утилиты и работать с файлами), устранена критическая уязвимость (CVE-2026-32922) с уровнем опасности 10 из 10. Уязвимость вызвана тем, что команда "/pair approve" должным образом не проверяла полномочия, из-за чего любой пользователь, имеющий привилегии сопряжения с хостом (самый низкий уровень привилегий, достаточно доступа к OpenClaw), мог утвердить права администратора для самого себя и полностью контролировать окружение. Для совершения атаки достаточно подключиться к OpenClaw, зарегистрировать фиктивное устройство с доступом operator.admin, после чего самому одобрить собственный запрос командой "/pair approve" и получить полное управление атакованным экземпляром OpenClaw и всеми связанными с ним сервисами.

  За несколько дней до этого в OpenClaw была выявлена похожая уязвимость (CVE-2026-33579), позволявшая обойти проверку прав доступа и получить права администратора. Выявившими проблему исследователями приводятся статистика, в соответствии с которой в сети выявлено 135 тысяч публично доступных экземпляров OpenClaw, из которых 63% позволяют подключиться без аутентификации.

• В пакетном менеджере Nix, применяемом в дистрибутиве NixOS, выявлена уязвимость (CVE-2026-39860 CVE-2026-39860), которой присвоен критический уровень опасности (9 из 10). Уязвимость даёт возможность перезаписать любой файл в системе, насколько позволяют права доступа фонового процесса Nix, который в NixOS и многопользовательских установках выполняется с правами root. Проблема вызвана некорректным устранением уязвимости CVE-2024-27297 в 2024 году. Эксплуатация осуществляется через подмену символической ссылкой каталога внутри изолированного сборочного окружения, в который записывался результат сборки. Уязвимость устранена в обновлениях nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3 и 2.28.6.
• В ядре Linux устранено 5 уязвимостей, выявленных в ходе экспериментов с инструментарием Claude Code и затрагивающих подсистемы nfsd, io_uring, futex и ksmbd (1, 2). Уязвимость в драйвере NFS позволяет через отправку запросов к NFS-серверу узнать содержимое областей памяти ядра. Проблема вызвана ошибкой, проявляющейся начиная с ядра 2.6.0 (2003 год).

Выпуск СУБД SQLite 3.53

Основные изменения:

• Устранена ошибка, приводившая к повреждению БД. Проблема присутствовала начиная с версии SQLite 3.7.0 (2010 год), затрагивала БД в режиме WAL (Write-Ahead Logging) и проявлялась из-за состояния гонки при одновременном открытии двух и более соединений к БД, которые пытались записать или зафиксировать транзакции в одном экземпляре БД. Утверждается, что приводящее к сбою стечение обстоятельств проявляется крайне редко и его удалось повторить только в специально созданном тестовом сценарии.
• В команде "ALTER TABLE" разрешено удалять проверки "NOT NULL" и "CHECK".
• Добавлена команда "REINDEX EXPRESSIONS" для перестроения индексов на основе выражений, в которых в качестве элемента индекса используется функция над столбцом или операции над столбцами. Команда может применяться для восстановления протухших индексов.
• Внутри временных триггеров, создаваемых командой "CREATE TEMP TRIGGER" и применяемым к таблицам в других БД, разрешено изменение таблиц или запросы данных из таблиц.
• В команде "VACUUM INTO" при указании целевого файла через URL реализовано использование параметра "reserve=N" для определения числа создаваемых резервных копий БД.
• Реализованы новые SQL-функции json_array_insert() и jsonb_array_insert() для вставки элементов в массивы JSON.
• Добавлена и задействована в утилите командной строки библиотека QRF (Query Result Formatter) для форматирования результатов выполнения SQL-запросов в удобочитаемый вид.
• Изменения в утилите командной строки:
  • Значительно расширена команда ".mode".
  • Улучшено формирование вывода, например, включена по умолчанию отрисовка рамок, а числовые значения теперь выравниваются по правую границу при табулированном выводе.
  • Обеспечено игнорирование символов ";" после команд.
  • Содержимое указанных в командной строке файлов с расширениями *.sql и *.txt теперь читается и интерпретируется как наборы SQL-выражений и dot-команд.
  • В команду ".timer" добавлена поддержка значения "once" для применения таймера только к следующему SQL-выражению.
  • В команду ".progress" добавлена опция "--timeout S" для принудительного прерывания SQL-выражения после истечения таймаута.
  • В команде ".indexes" изменено поведение шаблонов, которые теперь применяются к именам индексов, а не к именам проиндексированных таблиц.
• Внесены оптимизации в планировщик запросов, ускорившие работу слияния таблиц и операций ЕXCEPT, INTERSECT и UNION.
• Повышена производительность функций преобразования чисел с плавающей запятой в текстовое представление.
• В реализацию, компилируемую в промежуточный код WebAssembly, добавлена VFS "opfs-wl", идентичная VFS "opfs", но использующая API Web Locks для работы с блокировками.
• В утилиту sqlite3_rsync добавлена опция "-p|--port".
• Прекращена поддержка платформы Windows RT.

Выпуск текстового редактора GNU nano 9.0

В новом выпуске:

• Добавлена поддержка горизонтальной (боковой) прокрутки, при которой содержимое сдвигается влево или вправо с шагом, соответствующим табуляции, при нажатии комбинаций клавиш "M-‹" и "M-›".
• Изменено поведение при выходе курсора за видимую правую границу окна - всё содержимое теперь сдвигается влево и область под курсором всегда остаётся в области видимости. Для восстановления старого поведения добавлена опция "--solosidescroll" и настройка 'set solosidescroll'.
• Предоставлена возможность переназначения комбинаций клавиш M-Left, M-Right, M-Up и M-Down.
• Обеспечена отмена создания нового макроса с сохранением ранее существовавшего макроса, если процесс записи нового макроса сразу отменён.
• При указании опций "--mouse" и "--indicator" разрешено кликать на полосу прокрутки для перемещения внутри буфера.

Доступен Lite Catalog, каталог открытых программ для Windows

Проект своими силами не формирует и не распространяет сборки, а содержит мета-данные со ссылками на оригинальные установочные файлы, подготовленные основными разработчиками представленных программ. В мета-данных также доступна сопутствующая информация, такая как описание, скриншоты, ссылки на репозитории и сайты. Для проверки подлинности и целостности загружаемых файлов для большинства проектов выполняется дополнительной верификация по SHA1-хэшу, отдельно сохранённому в мета-данных.

Приложения разделены на 7 категорий, при желании выбрать и загрузить программу можно без запуска графической оболочки каталога, найдя необходимую программу в нужном разделе в репозитории на Github и определив файл для загрузки из ini-файла с метаданными. При использовании приложения Lite Catalog возможна авто-установка переносимых сборок приложений - архивы (zip, 7z, rar) автоматически распаковываются по умолчанию в каталог C:\Programs\ с созданием ярлыков на рабочем столе.

Опубликована Linux-версия межсетевого экрана приложений Little Snitch

Программа позволяет наглядно оценивать к каким хостам в данный момент обращаются приложения в системе, просматривать историю сетевой активности и отслеживать объём трафика. Возможно блокирование нежелательных соединений и подключение списков блокировки, как собственных, так и внешних списков, таких как oisd.nl, предназначенных для блокирования рекламы, отслеживающих сервисов, систем сбора телеметрии, фишинга и прочей нежелательной активности. Внешние списки могут автоматически обновляться. Блокировка производится на уровне IP-адресов, подсетей и доменных имён. Возможно создание белого списка приложений, которым разрешена сетевая активность.

Программа включается в себя загружаемый в ядро Linux BPF-обработчик и фоновый процесс littlesnitch. Управление производится через web-интерфейс, доступный при открытии в браузере страницы "http://localhost:3031/". Возможна работа с web-интерфейсом как с обособленным web-приложением (PWA - Progressive Web App). Поддерживается работа на системах с ядром Linux 6.12 и новее.

Дополнительно можно отметить, что существует открытый аналог Little Snitch для Linux - OpenSnitch, который позволяет в интерактивном режиме отслеживать сетевую активность приложений - при попытке установки приложениями сетевых соединений, не подпадающих под ранее установленные разрешения, OpenSnitch выводит пользователю диалог с предложением принять решение о продолжении сетевой операции или блокирования сетевой активности. Кристиан Старкйоханн (Christian Starkjohann), разработчик Linux-версии Little Snitch, отметил, что OpenSnitch не подошёл ему для решения задачи отслеживания сетевых соединения, устанавливаемых процессами, и блокировки соединений одним кликом.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65178

Релиз Chrome 147 с поддержкой вертикальных вкладок и переделанным режимом чтения

Основные изменения в Chrome 147 (1, 2, 3, 4):

• Добавлен режим вертикального отображения вкладок, заменяющий верхнюю горизонтальную панель с кнопками вкладок на боковую панель с вертикальными вкладками. Вертикальные вкладки могут показываться в развёрнутом (пиктограмма + часть описания) и свёрнутом режимах (только пиктограммы). При наведения курсора на боковую вкладку показывается эскиз с её содержимым. Упрощено управление группами вкладок. В контекстное меню, появляющееся при клике правой кнопкой мыши на строке вкладок, добавлена опция "Показать вкладки вертикально" ("Show Tabs Vertically"). Если опция не появилась по умолчанию, её можно активировать через настройку "chrome://flags/#vertical-tabs".
• Переработан режим чтения (reading mode), при котором отображается только значимый текст страницы, а все сопутствующие управляющие элементы, баннеры, меню, навигационные панели и прочие не связанные с контентом части страницы скрываются. В новой версии по аналогии с Firefox значимое содержимое показывается во всей видимой области, а не как раньше в узком боковом окне рядом с исходной страницей. Если новый режим не применяется по умолчанию, его можно активировать через настройку "chrome://flags/#read-anything-immersive-reading-mode".
• В меню "Help" добавлена кнопка для отправки жалобы для занесения в список блокировки web-страниц, созданных для мошенничества или фишинга. Кнопка показывается при включённом режиме "Safe Browsing".
• Расширены средства защиты от обращения к локальной системе при взаимодействии с публичными сайтами. Обращения с сайтов к IP-адресам локальной сети (интранет или внутренние адреса) или loopback-интерфейсу (127.0.0.0/8) потребует подтверждения операции у пользователя. Под действие защиты теперь попадают не только попытки загрузки ресурсов по HTTP/HTTPS, запросы fetch() и iframe-вставки, но и установка соединений через WebSockets и WebTransport, а также fetch-запросы, инициированные через метод WindowClient.navigate(). Обращение к внутренним ресурсам используются злоумышленниками для косвенной идентификации и осуществления CSRF-атак на маршрутизаторы, точки доступа, принтеры, корпоративные web-интерфейсы и другие устройства и сервисы, принимающие запросы только из локальной сети.
• Функциональность для разбора XML переведена c libxml2 на новую библиотеку, написанную на языке Rust с оглядкой на обеспечение безопасности. Изменение касается только XML, как было объявлено ранее поддержка XSLT скоро будет прекращена.
  
  
  
• Реализована возможность применения метода startViewTransition() не только для всей страницы, но и для отдельных HTML-элементов.
• Добавлена CSS-функция contrast-color(), возвращающая противоположный вариант для указанного цвета (для белого вернёт чёрный, а для чёрного - белый). Функцию можно использовать для подбора цвета фона для определённого цвета текста и наоборот.
• Добавлено CSS-свойство "border-shape", позволяющего создавать непрямоугольное обрамление элементов, например, использовать рамки круглой или многоугольной формы. CSS-свойство "border-shape" принимает те же виды форм, что и свойство "clip-path", но в отличие от последнего определяет контур, декодирует его и отсекает выходящее за контур содержимое.
• Добавлен интерфейс CSSPseudoElement, позволяющий работать с псеведоэлементами CSS из JavaScript.
• В элементе link реализована возможность применения атрибута "rel=modulepreload" для упреждающей загрузки не только скриптов, но и модулей с CSS-стилями (‹link rel="modulepreload" as="style" href="..."›) и данными JSON (‹link rel="modulepreload" as="json" href="..."›).
• Изменено поведение при вычислении ширины рамок и контуров в CSS-свойствах border-width, outline-width и column-rule-width, которое унифицировано с Firefox и браузерами на движке WebKit. До сих пор ширина в указанных свойствах обнулялась, независимо от выставленных в них значений, если свойства border-style, outline-style или column-rule-style имели значение "none" или "hidden". Теперь значения order-width, outline-width и column-rule-width всегда выставляют заданные разработчиком значения, независимо от содержимого свойств "*-style".
• Добавлен метод Math.sumPrecise() для вычисления суммы элементов массивов и других перечисляемых объектов с точностью, превышающей точность обычного суммирования в цикле (исключаются потери точности при промежуточном сохранении результатов).
• Добавлен атрибут Request.isReloadNavigation, позволяющий определить, что страница была перезагружена, например, после нажатия на кнопку "Refresh" или вызова методов location.reload() и history.go(0).
• Для снижения точности косвенной идентификации изменена логика округления размера памяти, возвращаемого через API Device Memory, позволяющего получить сведения о размере оперативной памяти. Данная информация может оказаться полезной для создания легковесных вариантов web-приложений, загружающихся для устройств с небольшим ОЗУ или для активации расширенных возможностей при наличии большого объёма памяти. В сборках для платформы Android размер памяти теперь округляется до 1, 2, 4 и 8, а для других платформ до 2, 4, 8, 16 и 32.
• Для изолированных web-приложений (IWA - Isolated Web Apps) реализован API Web Printing, предоставляющий методы для определения наличия принтеров, отправки документов на печать и управления очередью вывода на печать. Используемые в API имена атрибутов и семантика соответствуют протоколу IPP (Internet Printing Protocol).
• В режиме "Origin trials" реализован API WebNN, позволяющий использовать предоставляемые операционной системой сервисы для машинного обучения и связанные с этим аппаратные возможности.
• Внесены улучшения в инструменты для web-разработчиков. Во встроенном AI-ассистенте реализован автоматический выбор контекста. Модернизирована панель "Device Mode", применяемая для тестирования работы сайта на разных мобильных устройствах. В панели Network обеспечено автоматическое декодирование сжатого содержимого запросов, переданных с заголовком Content-Encoding: gzip или deflate. Предоставлена возможность применения регулярных выражений для фильтрации CSS-стилей.
  
  <iframe src="https://www.youtube.com/embed/-KXwGGu23rc">

Кроме нововведений и исправления ошибок в новой версии устранено 60 уязвимостей. Многие из уязвимостей выявлены в результате автоматизированного тестирования инструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Двум проблемам (переполнение буфера и целочисленное переполнение в WebML) присвоен критический уровень опасности, подразумевающий, что уязвимости позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google учредила 60 премий и выплатила 118 тысяч долларов США (две премии $43000, две премии $11000 и по одной премии в $4000, $3000, $2000 и $1000. Размер 52 вознаграждений пока не определён.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65166

Проект по тестированию FreeBSD на ноутбуках

Пользователям предлагается сформировать и отправить отчёт о совместимости FreeBSD с их системами. Для создания отчёта предложены скрипт и инструкция с перечнем возможностей, которые следует проверить при загрузке на устройстве FreeBSD. Результаты необходимо отправить в форме pull-запроса в репозиторий проекта на GitHub.

Скрипт run_hwprobe.sh, который следует запустить после загрузки на своём устройстве FreeBSD, определяет имеющееся оборудование и выполняет ряд автоматизированных тестов для проверки его работоспособности. Собранные данные (пример) включают информацию о CPU, GPU, сетевых адаптерах, звуковых картах, Wi-Fi, Bluetooth, накопителях, USB-устройствах и загруженных модулях ядра.

Инструкция включает контрольный список с перечнем рекомендуемых ручных проверок, позволяющих субъективно оценить корректность перехода в спящий режим в разных условиях, работу индикаторов, срабатывание режимов экономии энергопотребления, поддержку GPU, вывод видео и звука через HDMI, задействование аппаратного ускорения при декодировании видео, подключение к сети, работу высокоскоростных режимов Wi-fi, работу в KDE, подключение внешних мониторов и т.п.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65175

Выпуск miracle-wm 0.9, композитного менеджера на базе Wayland и Mir

Целью miracle-wm является создание композитного сервера, применяющего мозаичное управление окнами, но более функционального и стильного, чем такие продукты, как Swayfx. При этом проект позволяет использовать и классические приёмы работы с плавающими окнами, например, можно размещать отдельные окна поверх мозаичной сетки или закреплять окна к определённому месту на рабочем столе. Поддерживается виртуальные рабочие столы с возможностью выставления для каждого рабочего стола своего режима работы с окнами по умолчанию (мозаичная компоновка или плавающие окна).

Предполагается, что miracle-wm может оказаться полезным пользователям, которые отдают предпочтение мозаичной компоновке, но желают получить визуальные эффекты и более яркое графическое оформление с плавными переходами и цветами. Конфигурация определяется в формате YAML. Для установки miracle-wm можно использовать команду "sudo snap install miracle-wm --classic".

Основные новшества:

• Добавлена система плагинов, поставляемых в промежуточном коде WebAssembly и выполняемых в форме изолированных (sandbox) модулей. Плагины могу применяться для изменения и расширения возможностей композитного менеджера, среди прочего связанных с изменением логики размещения окон, обработкой и расширением конфигурации, перехватом событий ввода и указателя мыши, реализацией анимированных эффектов и подключением обработчиков, срабатывающих при создании, удалении или переключении рабочих столов. Плагины могут перезапускаться по отдельности без перезапуска композитного менеджера.
• Добавлен API для разработки плагинов на языке Rust.
• Добавлена поддержка тем оформления курсоров.
• Добавлены новые пиктограммы.
• Добавлена комбинация клавиш "Meta + Shift + R" для перезагрузки конфигурации.
• Концепция "мини-деревьев" (mini tree), применяемая для группировки связанных друг с другом плавающих окон, заменена более предсказуемое поведение с отдельными плавающими окнами.
• Проведена оптимизация производительности.
• Обеспечена автоматическая перезагрузка настроек дисплея после изменения конфигурации.
• Изменён формат настройки собственных обработчиков - в привязках вместо идентификаторов клавиш в стиле событий ввода ядра Linux теперь следует использовать имена в стиле XKbKeysyms, например, "D" вместо "KEY_D" и "Return" вместо "KEY_ENTER".

Microsoft заблокировал учётные записи для заверения релизов VeraCrypt и WireGuard

Блокировка произведена без предварительного предупреждения и без возможности подать апелляцию. В качестве причины лишь упомянуто не соответствие организации требованиям к прохождению верификации, без каких либо уточнений того, что именно не устраивает Microsoft. Автор VeraCrypt попытался несколькими способами связаться с Microsoft, но все попытки не ушли дальше автоматизированных ответов ботов.

К обсуждению блокировки VeraCrypt подключился автор VPN WireGuard, который рассказал, что его учётную запись тоже заблокировали и он также теперь не может формировать релизы для Windows. Как и в случае с VeraCrypt разработчику не было отправлено каких-либо предупреждений - готовя к публикации обновление WireGuard автор попытался войти в интерфейс для создания подписи и столкнулся с тем, что его учётная запись блокирована. Процесс рассмотрения апелляции занимает до 60 дней и его исход непредсказуем. В случае выявления критической уязвимости в WireGuard у автора теперь нет возможности оперативно выпустить исправление для Windows. При этом Microsoft сам использует Wireguard в продукте Azure Kubernetes Service.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65172

Anthropic анонсировал AI-модель Claude Mythos, умеющую создавать рабочие экпслоиты

Выпущенная в феврале AI-модель Claude Opus 4.6 достигла нового качественного уровня в таких областях, как выявление уязвимостей, поиск и исправление ошибок, рецензирование изменений и генерация кода, который позволил выявить более 500 уязвимостей в открытых проектах, сгенерировать Си-компилятор, способный собрать ядро Linux. При этом модель Claude Opus 4.6 слабо справлялась с работой по созданию рабочих эксплоитов.

Модель следующего поколения "Claude Mythos" по заявлению Anthropic кардинально опережает Claude Opus 4.6 в области написания готовых эксплоитов. Из нескольких сотен попыток создания эксплоитов для уязвимостей, выявленных в JavaScript-движке Firefox 147, в Claude Opus 4.6 лишь две попытки увенчались успехом. При повторении эксперимента с использованием предварительного варианта модели Mythos рабочие эксплоиты удалось создать 181 раз. Процент создания успешных эксплоитов вырос с почти нуля до 72.4%.

Помимо этого в Claude Mythos существенно расширены возможности по поиску ошибок и уязвимостей, что в сочетании с пригодностью для разработки эксплоитов создаёт новые риски для индустрии - эксплоиты для ещё неисправленных уязвимостей (0-day) могут создаваться непрофессионалами за считанные часы. Отмечается, что уровень возможностей модели Mythos по поиску и эксплуатации уязвимостей достиг профессионального качества и пока не дотягивает только до наиболее опытных профессионалов.

Так как открытие неограниченного доступа к AI-модели с подобными возможности требует подготовки индустрии, решено вначале открыть доступ к предварительной редакции узкому кругу экспертов для проведения работы по поиску и устранению уязвимостей в критических важных программных продуктах и открытом ПО. Для финансирования проведения инициативы выделена субсидия на оплату токенов, размером 100 млн долларов, а также решено распределить 4 млн долларов в качестве пожертвований организациям, занимающимся поддержанием безопасности открытых проектов.

В тестовом наборе CyberGym, оценивающем способность моделей выявлять уязвимости, модель Mythos показала уровень 83.1%, а Opus 4.6 - 66.6%. В тестах на качество написания кода модели продемонстрировали следующие показатели:

В ходе эксперимента компания Anthropic за несколько недель при помощи AI-модели Mythos смогла выявить несколько тысяч ранее неизвестных (0-day) уязвимостей, многие из которых отмечены как критические. Среди прочего была найдена 27 лет остававшаяся незамеченной уязвимость в TCP-стеке OpenBSD, позволяющая удалённо инициировать аварийное завершение работы системы. Также найдена существовавшая 16 лет уязвимость в реализации кодека H.264 от проекта FFmpeg, и уязвимости в кодеках H.265 и av1, эксплуатируемые при обработке специально оформленного контента.

В ядре Linux выявлено несколько уязвимостей, позволяющих непривилегированному пользователю получить права root. Связывание несколько выявленных уязвимостей в цепочку дало возможность создать эксплоиты, позволяющие добиться получения прав root при открытии специальных страниц в web-браузере. Также создан эксплоит, позволивший выполнить код с правами root через отправку специально оформленных сетевых пакетов на NFS-сервер из состава FreeBSD.

В одной из систем виртуализации выявлена и эксплуатирована уязвимость, позволяющая через манипуляции в гостевой системе выполнить код на стороне хоста (название не приводится, так как проблема ещё не исправлена, но упоминается, что уязвимость присутствует в unsafe-блоке в коде на Rust). Найдены уязвимости во всех популярных web-браузерах и криптографических библиотеках. Выявлены уязвимости, приводящие к подстановке SQL-кода, в различных web-приложениях.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65165

Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения

Уязвимость присутствует в D-Bus сервисе flatpak-portal, обеспечивающем запуск "порталов", которые применяются для организации доступа к ресурсам основного окружения из изолированных приложений. Проблема вызвана тем, что сервис flatpak-portal позволяет приложению указывать в опции sandbox-expose файловые пути, которые из-за отсутствия должных проверок могут быть символическими ссылками, указывающими на произвольные части ФС.

Перед монтированием сервис раскрывает символическую ссылку и монтирует в sandbox-окружение путь, на который она указывает, что позволяет обойти изоляцию и получить доступ на чтение и запись к файлам хост-окружения. Для организации выполнения своего кода в системе, например, можно добавить автозапускаемый сценарий, такой как "~/.bashrc" или ~/.profile, или изменить файл ~/.ssh/authorized_keys с ключами SSH.

Статус устранения уязвимости в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. В качестве обходного пути защиты можно отключить сервис flatpak-portal:

   sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service

Помимо критической уязвимости, в новом выпуске устранено ещё три проблемы с безопасностью:

• Возможность (CVE-2026-34079) удаления произвольного файла в файловой системе хост-системы. Проблема вызвана тем, что flatpak при очистке устаревшего кэша ld.so, не проверяет фактическое нахождение удаляемого файла в каталоге с кэшем.
• Возможность чтения произвольных файлов в контексте system-helper на системах с настроенным репозиторием образов OCI через манипуляции с символическими ссылками.
• Возможность вмешательства в обработку запросов на отмену загрузки приложений, позволяющего одному пользователю помешать другому пользователю остановить загрузку.

Релиз пакетного менеджера APT 3.2.0

Из изменений можно отметить:

• Добавлены новые команды "apt why" и "apt why-not". Команда "apt why" отслеживает причину автоматической установки указанного пакета в числе зависимостей (показывает цепочку зависимостей, которая привела к установке). Команда "apt not-why" показывает причины невозможности установить пакет из-за конфликтов или отсутствия зависимых пакетов. В отличие от похожих команд, предлагаемых в утилите aptitude, добавленные в apt команды выдают не потенциально самую вероятную, а фактическую причину, вычисленную анализатором зависимостей (solver).
• В файлы ".sources" добавлены опции "Include" и "Exclude", позволяющие загружать из репозитория только указанные пакеты (белый список) или не обрабатывать определённые пакеты в репозитории (чёрный список).
• Проведён рефакторинг и расширены возможности движка разрешения зависимостей Solver3. Использование Solver3 включено по умолчанию в утилитах командной строки. Solver3 примечателен задействованием алгоритма поиска с возвратом (backtracking) для разрешения конфликтов между зависимостями, улучшением выбора версий, поддержкой выполнения обновлений в несколько стадий, значительным повышением производительности (apt-test выполняется в два раза быстрее), опцией для установки экспериментальных версий, защитой от удаления вручную поставленных пакетов, более агрессивным автоматическим удалением неиспользуемых зависимостей.
• Реализована поддержка вариантов микроархитектуры CPU (amd64v1, amd64v2, amd64v3, amd64v4), которые можно указывать в поле "Architecture:" или включать через настройку APT::Architecture-Variants. Например, при указании 'APT::Architecture-Variants { "amd64v3"; "amd64v2" }' будут использоваться отдельные варианты пакетов с исполняемыми файлами, собранными с оптимизациями для архитектур x86-64-v2 и x86-64-v3 (foo_1_amd64v3.deb и foo_1_amd64v3.deb).
• Добавлены команды: "history-list" для разбора и вывода сведений из лога с историей транзакций с пакетами; "history-info" для показа информации по отдельным транзакциям; "history-undo", "history-redo" и "history-rollback" для отмены, повтора и отката транзакций с пакетами.
• В утилиту dselect добавлена поддержка HTTPS.
• Добавлена защита от перехода в спящий режим при выполнении dpkg.
• Добавлена возможность привязки запуска apt-daily к событию подключения ноутбука к стационарному питанию.
• Реализована возможность ведения лога со счётчиками производительности в формате JSONL.

Выпуск nginx 1.29.8 и форка FreeNginx 1.29.7

В новом выпуске:

• Добавлена директива max_headers, ограничивающая максимальное число HTTP-заголовков в запросе. При превышении лимита возвращается ошибка 400 (Bad Request). Возможность перенесена из FreeNginx.
• Обеспечена совместимость с библиотекой OpenSSL 4.0, находящейся на стадии альфа-тестирования.
• Разрешено использовать маски в директиве "include", указанной внутри блока "geo".
• Исправлена ошибка в обработке HTTP-ответов с кодом 103 (Early Hints), возвращаемых проксируемым бэкендом.
• Устранено невыставление переменных $request_port и $is_request_port в подзапросах.

Дополнительно можно отметить публикацию релиза проекта FreeNginx 1.29.8, развивающего форк Nginx. Разработку форка ведёт Максим Дунин, один из ключевых разработчиков Nginx. FreeNginx позиционируется как некоммерческий проект, обеспечивающий разработку кодовой базы Nginx без корпоративного вмешательства. Код FreeNginx продолжает поставляться под лицензией BSD. В новой версии обеспечена совместимость с OpenSSL 4.0. Устранено переполнение буфера (CVE-2026-27654) в модуле ngx_http_dav_module, возникающее при обработке WebDAV-запросов COPY и MOVE при использовании в блоках "location" директивы "alias". Устранена возможность манипуляции с PTR-записями в DNS для подстановки данных атакующего (CVE-2026-28753) в запросы auth_http и команду XCLIENT в SMTP-соединении к бэкенду.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65164

Обновление Firefox 149.0.2 с устранением уязвимостей и зависания панели инструментов

Не связанные с безопасностью изменения:

• Устранена ошибка, приводящая к прекращению реагирования панели инструментов на клики мышью после перетаскивания вкладки в Linux-системах с Wayland.
• Исправлена проблема с некорректным выводом на печать некоторых элементов страниц, таких как выпадающие меню и определённые стили.
• Решена проблема с показом неверной информации на страницах с ошибками, без отображения кода ошибки, возвращённого сервером.
• Устранено аварийное завершение, возникавшее при использовании некоторых ключей или возможностей WebAuthn для двухфакторной аутентификации.
• Исправлено некорректное смещение текста внутри SVG-графики.
• Решена проблема с неработой функции "Send to device", при её вызове из секции открытия вкладки на странице Firefox View.

Выпуск uutils 0.8, варианта GNU Coreutils на языке Rust

Rust Coreutils задействован по умолчанию в выпуске Ubuntu 25.10 и применяется в дистрибутивах AerynOS (Serpent OS) и Apertis (развивается компанией Collabora). В отличие от GNU Coreutils реализация на Rust распространяется под пермиссивной лицензией MIT, вместо копилефт-лицензии GPL. Дополнительно той же командой разработчиков развиваются написанные на Rust аналоги наборов утилит util-linux, diffutils, findutils, procps и acl, а также программ sed и login.

В новой версии Rust Coreutils:

• Уровень совместимости с эталонным набором тестов GNU Coreutils составил 94.74% (было 94.59%). Успешно выполнено 630 тестов, что на 1 больше, чем в прошлой версии (629). 21 тест завершился неудачей (было 23), а 14 тестов было пропущено (было 13).
• В утилитах cat, df, wc, tty, tsort, tail, touch, date, mkdir и uucore вместо crate-пакета nix задействован rustix. Сокращён объём undafe-кода в утилитах hostname, logname, who и nice.
• Проведены оптимизации производительности утилит dd (+45%), ls, sort, wc, cat, tee, numfmt (+3%) и pr. Сокращён размер исполняемых файлов true, false и echo.
• В более 70 утилит, включая ls, head, cat, cp, mv, sort и tail, добавлена поддержка сборки в формате WebAssembly и использования интерфейса WASI (WebAssembly System Interface). Подготовлен демонстрационный online-сервис с интерактивным терминалом, в котором можно запускать утилиты uutils.
• Расширены возможности, устранены проблемы и добавлены недостающие опции для утилит cat, chown, cksum, cp, cut, date, dd, df, env, expand, expr, factor, head, install, ln, ls, mkdir, nice, numfmt, od, pr, sort, split, stdbuf, stty, sync, tee, timeout, touch, tr, true, tsort, tty, wc, yes.

Проект Solod развивает подмножество языка Go, транслируемое в язык Си

Язык поддерживает структуры, методы, интерфейсы, слайсы, возврат функциями нескольких значений (например, результат + код ошибки), дженерики и отложенные вызовы (defer). C целью упрощения в языке не поддерживаются каналы, сопрограммы и замыкания. При разработке на языке Solod могут использоваться существующие LSP-серверы, линтеры, интегрированные среды разработки и редакторы кода, поддерживающие язык Go, а также инструментарий "go test".

Написанный на Solod код может интегрироваться с приложениями на языке Си (язык Си может вызвать функции на Solod и наоборот) и не требует прикрепления runtime. Из ключевых областей применения отмечается системное программирование с близкими к Си возможностями, но с синтаксисом в стиле Go и обеспечением проверки типов. Solod также может применяться для портирования Go-библиотек для использования в проектах на Си. На язык Си портированы Go-пакеты strings, io, bytes, mem, slices и т.п. Помимо набора портированных Go-библиотек в программах на языке Solod можно использовать обвязки над стандартной Си-библиотекой libc.

По умолчанию вся память выделяется в стеке, но через функции Alloc / Free стандартной библиотеки можно выделять память в куче. Сборка мусора и подсчёт ссылок не используются, но в Solod предоставляются возможности для проверки типов и аварийного завершения при обращении за границу массива. При этом проверки на возвращение висячих указателей (dangling pointer) и отсутствие освобождения памяти не производятся. В качестве основного способа выявления проблем при работе с памятью упоминается использование AddressSanitizer (-fsanitize=address) в современных компиляторах.

По производительности скомпилированные программы, написанные на Solod, в большинстве случаев быстрее программ на Go. Например, производительность работы функций из пакета Byte быстрее в полтора раза при идентичном потреблении памяти. Работа с байтовыми буферами быстрее в 1.3 раза при чтении и в 2-4 раза при записи. В пакете Map выборка по целочисленному ключу быстрее в 3.4 раза, но модификация ключей медленнее в 1.6 раза. Выборка по строковым ключам на одном уровне с языком Go, но модификация медленнее в 1.5 раза. Парсинг и форматирование целых чисел быстрее в 2 раза, а с плавающей запятой - в 1.5/1.2 раза. Строковые функции быстрее в 1.3 раза, а создание строк быстрее в 2-4 раза при снижении потребления памяти на 10-20%.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65160

Атака GPUBreach, позволяющая получить root-доступ через выполнение CUDA-кода на GPU NVIDIA

Особенностью атаки является возможность работы при включённом IOMMU. Для обхода IOMMU атака нарушает состояние выполняемого на уровне ядра проприетарного драйвера NVIDIA и инициирует в нём переполнение буфера, при помощи которого переписывает содержимое структур ядра. Также показано применение атаки для извлечения из памяти GPU ключей шифрования, используемых библиотекой cuPQC, для ускорения выносящей криптографические вычисления на сторону GPU.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65159

Доля пользователей Linux в Steam превысила 5%

Наибольшую долю среди Linux систем занимает платформа SteamOS Holo, основанная на Arch Linux - 24.48%. Доля Linux Mint составляет 8.8%, Arch Linux - 8.78%, Ubuntu - 5.25%, Manjaro - 1.45%. По сравнению с февральской статистикой из списка пропали дистрибутивы CachyOS и Bazitte, доля которых составляла 8.59% и 5.79%, соответственно. В мартовском рейтинге также отсутствует упоминание Freedesktop SDK (Flatpak runtime), доля которого составляла 5.26%. При этом в мартовских данных появились системы с именами "64 bit" и "0 64 bit", доля которых составляет 8.01% и 17.60% (!). Можно предположить, что это Bazitte и CachyOS, но столь значительное увеличение доли каждой из данных систем выглядит сомнительно.

Мартовская статистика от проекта Boiling Steam, собранная на основе данных из сервиса ProtonDB, также демонстрирует значительный рост популярности дистрибутивов Bazitte и CachyOS с прошло года. В марте CachyOS вырвался на первое месте среди дистрибутивов Linux, заняв долю 21.1% и сместив с первого места Arch Linux, который удерживал данную позицию с 2021 года. Доля Bazitte составила 9.5%, что соответствует 4 месту.

Для сравнения, доля Arch Linux - 14.9%, Linux Mint - 10.6%, Fedora - 9.2%, Ubuntu - 7.1%, Endeavour - 4.1%, Nobara - 3.9%, PopOS - 2.9%, Debian - 2.7%, NixOS - 2.4%, Manjaro - 2.2%. Суммарная доля всех дистрибутивов на базе Arch Linux составила 42.3%, на базе Debian - 23.3% и на базе Fedora - 22.6%.

Дистрибутив CachyOS основан на пакетной базе Arch Linux и примечателен включением оптимизаций для повышения производительности, а также формированием сборки для носимых устройств (Handheld Edition) с интерфейсом в стиле GameMode и компонентами для любителей компьютерных игр. В дистрибутиве по умолчанию включён планировщик задач BORE, оптимизированный для снижения задержек на рабочем столе и повышения приоритета интерактивных процессов. Ядро и пакеты собраны с включением LTO-оптимизаций (Link-Time Optimization) и задействованием инструкций, доступных в процессорах на базе микроархитектур x86-64-v3, x86-64-v4 и Zen4. При сборке базовых пакетов дополнительно включены оптимизации PGO (Profile-Guided Optimization) или BOLT (Binary Optimization and Layout Tool).

Дистрибутив Bazitte ориентирован на геймеров и основан на наработках дистрибутивов Fedora Kinoite и Fedora Silverblue. (атомарно обновляемые редакции Fedora Linux с рабочими столами KDE и GNOME). Дистрибутив поставляются в форме монолитного образа, не разделяемого на отдельные пакеты и обновляемого как единое целое. Приложения устанавливаются в формате Flatpak или в форме контейнров. Для запуска Android-игр задействован Waydroid. В состав входит Steam и подборка компонентов, востребованных любителями компьютерных игр, а также дополнительные драйверы для игровых контроллеров и Wi-Fi. В системные компоненты внесены оптимизации для повышения отзывчивости и улучшения поддержки HDR и VRR.

Доля Linux по данным из других источников:

• Wikipedia: 5.3% (год назад - 4.2%).
• w3schools.com: 3.8% за сентябрь 2025.
• statcounter.com: 3.16% (год назад - 4.2%).
• PornHub: 6.2% (год назад 5.1%).
• Cloudflare: 2.9%.
• analytics.usa.gov: 4%.

В ядро Linux предложено включить распределённое реплицируемое блочное устройство DRBD 9

Старый вариант DRBD поставляется в ядре начиная с версии 2.6.33, выпущенной 16 лет назад. Имеющийся в ядре код основан на ветке DRBD 8, которая существенно отличается от ветки DRBD 9, выпущенной в 2015 году и не совместимой на уровне протокола. Получилось так, что ветка DRBD 9 развивалась в форме отдельного внешнего модуля, не синхронизированного с модулем из основного состава ядра. Имеющаяся в ядре реализация DRBD сопровождалась отдельно и отстаёт от актуальной кодовой базы DRBD на 10-15 лет. Предложенные патчи созданы для устранения образовавшегося разрыва.

DRBD даёт возможность объединить накопители узлов кластера в единое отказоустойчивое хранилище. Для приложений и системы такое хранилище выглядит как одинаковое для всех систем блочное устройство. При использовании DRBD все операции с локальным диском отправляются на другие узлы и синхронизируются с дисками других машин. В случае выхода из строя одного узла, хранилище автоматически продолжит работу за счёт оставшихся узлов. При возобновлении доступности сбойного узла, его состояние будет автоматически доведено до актуального вида.

В состав кластера, формирующего хранилище, может входить до 32 узлов, размещённых как в локальной сети, так и в территориально разнесённых центрах обработки данных. Синхронизация в подобных разветвлённых хранилищах выполняется в форме mesh-сети - данные растекаются по цепочке от узла к узлу. Репликация узлов может производиться как в синхронном режиме, так и в асинхронном. Например, локально размещённые узлы могут применять синхронную репликацию, а для узлов на удалённых площадках может применяться асинхронная репликация с дополнительным сжатием и шифрованием трафика.

Ветка DRBD 9 отличается абстрагированием транспортного уровня, позволившим реализовать каналы связи не только поверх TCP/IP, но и с использованием RDMA/Infiniband. По сравнению с работой поверх традиционной IP-сети, интеграция прямого доступа к оперативной памяти другого компьютера при помощи RDMA (Remote Direct Memory Access) позволила удвоить производительность репликации при сокращении нагрузки на CPU на 50%. Максимальный размер синхронизированного хранилища увеличен до 32 узлов. В DRBD 9 также изменена логика ресинхронизации узлов, переработан механизм установки блокировок, добавлена поддержка пространства имён сети (network namespace), обеспечена автоматическая установка статуса узла в зависимости от активности, добавлена поддержка двухфазных коммитов и распространения обновлений в неблокирующем режиме.