Целевой аудиторией дистрибутива являются начинающие пользователи, привыкшие работать в Windows. Для управления оформлением дистрибутив предлагает специальный конфигуратор, позволяющий придать рабочему столу вид, свойственный различным версиям Windows и macOS, а в состав включена подборка программ, близких к программам, к которым привыкли пользователи Windows.

В качестве основы рабочего стола в Zorin OS используется GNOME с набором собственных дополнений и панелью на основе Dash to Panel и Dash to Dock. Для интеграции рабочего стола со смартфоном поставляется приложение Zorin Connect (на базе KDE Connect). Кроме пакетов в формате deb и репозиториев Ubuntu по умолчанию включена поддержка форматов Flatpak, AppImage и Snap с возможностью установки программ из каталогов Flathub и Snap Store.

В новой версии:

• До 240 (было 170) программ расширена встроенная база данных для определения установщиков популярных Windows-приложений. При попытке запуска инсталлятора Windows-программ, присутствующих в БД, выводится диалог с предложением установить аналог или родную сборку программы для Linux.
• В режиме наглядной мозаичной компоновки окон, позволяющем обойтись без запоминания сложных клавиатурных комбинаций (Zorin Appearance → Windows → Advanced Window Tiling), появилась настройка для вывода на передний план всех мозаичных окон после переключение на одно из приложений в мозаичной раскладке из панели задач. В диалог редактирования мозаичной раскладки добавлена опция для изменения порядка расположения окон. Добавлена возможность прикрепления окон к краям экрана с использованием произвольных мозаичных раскладок, а не только раскладок с разделением экрана на две или четыре части.
• В панель добавлена поддержка отображения текста с начертанием справа налево.
• В настройки добавлена опция для включения или выключения показа на панели индикаторов приложений, предоставляющих доступ к быстрому вызову функций или отображающих состояние.
• Обновлены версии программ, таких как LibreOffice 26.2.
• Возобновлена поставка редакции "Lite", нацеленной на использование на маломощных компьютерах. Сборка укомплектована средой рабочего стола Xfce 4.20. В файловом менеджере предложен более компактный интерфейс, адаптированный для использования на небольших экранах. Добавлена поддержка аутентификации при помощи датчика отпечатков пальцев. Обновлены темы оформления. Добавлена поддержка запуска обособленных web-приложений, которые показываются в стартовом меню по аналогии с классическими программами.
• Ядро Linux обновлено до выпуска 6.17. Из Ubuntu 25.10 перенесены свежие версии драйверов для GPU NVIDIA. Добавлена поддержка GPU Intel Xe3 и систем с гибридной графикой, укомплектованных дискретными видеокартами AMD.
• Добавлена поддержка ноутбуков Lenovo ThinkPad и Samsung Galaxy Book, устройств ввода Magic Mouse 2 и Touch Bar, игровых контроллеров PlayStation 5 DualSense, Acer Nitro NGR200 и Turtle Beach Recon, портативных игровых приставок ASUS ROG Ally, Lenovo Legion Go и OneXPlayer.

Наиболее заметные изменения:

• В файловом менеджере Dolphin предоставлена возможность назначений комбинаций клавиш для вызова почти всех пунктов меню, плагинов и расширений. Например, можно установить комбинацию клавиш для быстрого изменения сортировки по дате или имени.
  
  
• В приложении Merkuro (бывший Kalendar), сочетающем возможности адресной книги, менеджера задач и календаря-планировщика, изменено оформление расписания и редактора событий.
• Модернизирован интерфейс и улучшена информативность представления данных в календаре-планировщике KOrganizer.
• В видеоредакторе Kdenlive реализован анимированный предпросмотр переходных эффектов в окне Compositions; добавлена поддержка зеркального отображения на второй монитор для просмотра клипа одновременно в интерфейсе редактора и в полноразмерном виде; добавлена возможность импорта клипа в указанную позицию через контекстное меню на временной шкале; добавлена опция для увеличения элементов временной шкалы под указателем мыши; реализована автоматическая генерация звуковых миниатюр; обеспечена автоматическая подгонка длительности переходных эффектов при добавлении их на временную шкалу до или перед клипом; предоставлена поддержка одновременного изменения скорости сразу для нескольких клипов.
  
  
• В Audiotube, приложение для прослушивания музыки с Youtube Music, реализована новая базовая страница, на которой представлена подборка музыки, рекомендованной для прослушивания.
• В программе для обмена сообщениями Neochat, использующей протокол Matrix, реализована поддержка нитей обсуждения (прикрепления ответов к конкретным сообщениям) и добавлен редактор текста с разметкой.
  
  
• В часах KClock при запуске таймера реализован показ виджета со счётчиком во время блокировки экрана на мобильных устройствах.

Поддержка российского процессора Baikal-T1 и основанной на нём системы на кристалле BE-T1000 включена в ядро Linux начиная с ветки 5.8. Процессор Baikal-Т1 содержит два суперскалярных ядра P5600 MIPS 32 r5, работающих на частоте 1.2 ГГц. Чип содержит кэш L2 (1 Мб), контроллер памяти DDR3-1600 ECC, 1 порт 10Gb Ethernet, 2 порта 1Gb Ethernet, контроллер PCIe Gen.3 х4, 2 порта SATA 3.0, USB 2.0, GPIO, UART, SPI, I2C. Процессор предоставляет аппаратную поддержку виртуализации, инструкции SIMD и интегрированный аппаратный ускоритель криптографических операций, поддерживающий ГОСТ 28147-89. Чип разработан с использованием лицензированного у компании Imagination Technologies блока процессорного ядра MIPS32 P5600 Warrior.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65222

По данным регистратора APNIC (Asia Pacific Network Information Centre) охват пользователей IPv6 оценён в 43.13%, а число пользователей, предпочитающих IPv6 в системах с двойным стеком - 41.66%. Доля пользователей, способных устанавливать IPv6-соединения, в Азии оценивается в 50% (предпочитают IPv6 в системах с двойным стеком - 47.80%), Америке - 49.68% (49.12%), Океании - 39.09% (36.17%), Европе - 36.02% (35.43%), Африке - 5.59% (5.59%). Данные получены на основе ежедневного сбора статистики о примерно 25 млн пользователях. Информация собирается в сотрудничестве с Google и Comcast путём размещения проверочных объявлений в рекламных сетях.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65221

Адресация в IPv6 близка к IPv4 - по сути адресное пространство IPv4 является подмножеством IPv8, а адрес образуется как префикс маршрутизации (номер автономной системы) + адрес IPv4 (‹asn›.n.n.n.n). При нулевом префиксе маршрутизации (0.n.n.n.n) образуется обычный адрес IPv4, который можно использоваться для взаимодействия с существующими сетями IPv4. В заголовке пакета используется 8 номер версии в поле IP, а на адреса отправителя и получателя выделяется по 64 бита - 32 бита на префикс ASN + 32-бита на адрес хоста в стиле IPv4.

Заявлено, что решение на 100% обратно совместимо, внедрение может осуществляться бесшовно и для использования IPv8 не потребуется модификация существующих устройств, приложений и сетей. Подобное достигается благодаря применению в конечных сетях и на клиентских системах IPv4 с использованием для доступа к глобальной сети транслятора адресов XLATE8, преобразующего обращения между IPv4 и IPv8 по аналогии с NAT.

Стек IPv8 включает протокол DHCP8 для получения адресов и предоставления сервисов, систему доменных имён DNS8, протокол синхронизации времени NTP8, протолок сбора телеметрии NetLog8, резолвер WHOIS8 для утверждения маршрутов, систему управления доступом ACL8 и транслятор адресов IPv4/IPv8 XLATE8. Запись в таблицу состояния соединений XLATE8 добавляется после отправляемого при каждом соединении запроса к DNS8 и регистрации активного маршрута через обращение к сервису WHOIS8. Вся функциональность, связанная со сбором телементрии, аутентификацией, разрешением имён, синхронизацией времени и трансляцией адресов реализована в форме унифицированной платформы Zone Server.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65218

Дополнительно можно отметить разбор подверженности Chrome различным методам скрытой идентификации, позволяющим в пассивном режиме сформировать идентификаторы браузера на основе косвенных признаков, таких как:

• разрешение экрана,
• список поддерживаемых MIME-типов,
• специфичные параметры в заголовках (HTTP/2 и TLS),
• анализ установленных шрифтов,
• доступность определённых Web API,
• анализ истории посещений,
• специфичные для видеокарт особенности отрисовки при помощи WebGL, WebGPU и Canvas,
• различия в реализации методов обработки звука в API AudioContex и распознавания речи через API Speech Synthesis,
• утечки локальных IP через WebRTC,
• анализ состава и порядка перечисления расширений TLS,
• особенности отрисовки Emoji,
• различия в калибровке датчиков через API Sensor,
• определение наличия Bluetooth-, USB- и HID-устройств через метод getDevices(),
• особенности работы математических функций (например, Math.tan(-1e308)),
• оценка цветовых схем и данных об обработке цвета через CSS-селектор @supports,
• привязка к производительности системы через API Performance,
• определение установленных дополнений через перебор chrome-extension://[known-id]/[resource],
• манипуляции с CSS,
• анализ особенностей работы с мышью и клавиатурой.

Отмечается, что в Chrome почти нет встроенных механизмов защиты от скрытой идентификации, а ранее действующие инициативы по усилению конфиденциальности, такие как Privacy Sandbox и Privacy Budget, свёрнуты. Помимо общего описания действующих в Chrome методов скрытой идентификации, показано как можно блокировать их из браузерного дополнения, используя скрипты обработки конента, отладочные возможности (chrome.debugger) и анализ сетевых запросов (chrome.webRequest). Также рассмотрены методы хранения идентификаторов в областях, не предназначенных для постоянного хранения информации ("Supercookies", например, кэш Favicon, база автозаполнения форм).

Источник: https://www.opennet.ru/opennews/art.shtml?num=65219

Более того, указано, что если проект ONLYOFFICE намерен продолжить использование AGPLv3 в будущих выпусках, он должен явно указать, что кодовая база распространяется под лицензией AGPLv3 и удалить упоминание всех ограничений из документации и исходного кода. Действия ONLYOFFICE, связанные с добавлением дополнительных ограничений в текст лицензии AGPLv3, названы вводящими пользователей в заблуждение и не соответствующими духу свободного ПО.

В текст лицензии AGPLv3, под которой распространяется код ONLYOFFICE, в 2021 году были добавлены дополнительные условия, требующие сохранения в производных продуктах оригинального логотипа ONLYOFFICE. Раздел 7(b) лицензии AGPL допускает добавление дополнительных требований об указании авторства и разработчики ONLYOFFICE считают, что логотип подпадает под данное разрешение. Представители Фонда СПО не согласны с этим и утверждают, что логотип является элементом товарного знака и бренда, напрямую не связанным с упоминанием автора.

Пункт о логотипе воспринят Фондом СПО как введение ограничения, несовместимого со свободами, которые предоставляет лицензия AGPLv3. Раздел 7 лицензии AGPLv3 предоставляет пользователям право удалять ограничения, внесённые сверх условий, определённых в разделах 7(a)-7(f). ONLYOFFICE может создать на основе текста AGPL собственную лицензию с дополнительными условиями, но в этом случае не должен упоминать, что код продолжает поставляться под лицензией AGPLv3.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65217

Свободно использовать загруженную версию могут только физические лица, в том числе – индивидуальные предприниматели. Коммерческие и государственные организации могут скачивать и тестировать дистрибутив, но для постоянной работы в корпоративной инфраструктуре юридическим лицам необходимо приобретать лицензии или заключать лицензионные договоры в письменной форме.

Основные изменения:

• Пользовательское окружение обновлено до KDE Plasma 6.5, KDE Gear 25.12 и KDE Frameworks 6.23.
• В экране входа в систему LightDM KDE Greeter по умолчанию задействован протокол Wayland.
• Реализовано автоматическое переключение между светлой и темной темами оформления в зависимости от времени суток.
• В состав включены приложения: RSI Break для организации перерывов в работе и Stapler (stplr) для подключения пользовательских репозиториев и установки сторонних программ.
• На системах с гибридной графикой (встроенный GPU + дискретная видеокарта) в главном меню предоставлена возможность задействования дискретной видеокарты в запускаемых приложениях.
• В поставку включены 32-разрядные библиотеки драйвера NVIDIA для совместимости со старыми приложениями и играми.
• Добавлена возможность выбора сервиса "Яндекс Карты" в качестве вызываемого по умолчанию картографического приложения.
• Из базовой поставки удалена программа управления коллекцией фотографий digiKam.

Ключевые изменения:

• По умолчанию отключён режим выполнения утилиты sudo без ввода пароля - любые разрешённые операции через sudo теперь требуют ввода пароля текущего пользователя. После успешного ввода пароля в течение 5 минут sudo не требует повторного подтверждения действий.
• Выполнение привилегированных операций в конфигураторе Control Centre также теперь требуют ввода пароля текущего пользователя для подтверждения.
• В конфигуратор Control Centre в секцию системных настроек и в утииту raspi-config добавлены опции для возвращения старого поведения.
• В конфигуратор Control Centre добавлена вкладка для редактирования основного меню. Поставка отдельного редактора меню alacarte прекращена.
• Для запуска приложений из основного меню задействована утилита gtk-launch.
• Операции завершения работы и ручного запуска программ реализованы в меню через внешние приложения-обработчики, вместо использования встроенной функциональности.
• Для панели реализованы новые плагины со списком задач и лаунчером.
• По умолчанию в пакет с браузером Chromium предустановлены дополнения uBlock Origin Lite и h264ify. В систему добавлен пакет libpam-gnome-keyring для использования системного пароля при разблокировке доступа к встроенному в Chromium менеджеру паролей.
• Вместо автоматического запуска сервиса обнаружения принтеров (cups-browsed), он теперь вручную запускается и останавливается через конфигуратор Control Centre.
• В конфигуратор добавлена опция для показа на рабочем столе домашнего каталога вместо каталога с документами.
• Из поставки по умолчанию исключён звуковой сервер Pulseaudio, поддержка которого также удалена из утилиты raspi-config. В мастер начальной настройки добавлены возможности для управления мультимедийным сервером Pipewire.
• Ядро Linux обновлено до версии 6.12.75.

Исправленные уязвимости:

• CVE-2026-34001 - обращение к памяти после её освобождения (Use-after-free) в функции miSyncTriggerFence(). Уязвимость проявляется с выпуска xorg-server 1.9.0 (2010 год).
• CVE-2026-33999 - целочисленное переполнение через нижнюю границу (underflow) в функции XkbSetCompatMap(), приводящее к чтению данных из области вне буфера при обработке специально оформленных запросов. Уязвимость проявляется с выпуска X11R6.6 (2001 год).
• CVE-2026-34000 - чтение из области вне буфера в функции XkbAddGeomKeyAlias, вызванная отсутствием проверки соответствия размера переданного названия клавиши с выделенным буфером. Уязвимость проявляется с выпусков xorg-server 21.1.4 и xwayland 22.1.3 (2022 год).
• CVE-2026-34002 - чтение из области вне буфера в функции CheckModifierMap() из-за отсутствия проверки соответствия числа указанных в запросе клавиш с фактическим числом переданных параметров. Уязвимость проявляется с выпуска X11R6.6 (2001 год).
• CVE-2026-34003 - переполнение буфера в XKB-функции CheckKeyTypes(), приводящее к чтению данных из области вне буфера из-за отсутствия проверки соответствия размера буфера переданным в запросе данным. Уязвимость проявляется с выпуска X11R6.6 (2001 год).

Причины удаления поддержки процессоров i486 связаны с необходимостью сопровождать в ядре усложнённый код, эмулирующий некоторые аппаратные операции, такие как CX8 (сравнить и обменять 8 байт) и TSC (счётчик циклов CPU, используемый в планировщике задач). Подобный код время от времени становится источником проблем, разбор которых отнимает у разработчиков время, которое можно было бы потратить c большей пользой. При этом мало кто использует современные ветки ядра Linux на устаревших 32-разрядных CPU - ни осталось ни одного значимого дистрибутива, для которого продолжали бы публиковаться пакеты с ядром, собранные с опцией "M486=y".

В прошлом вопрос удаления поддержки CPU i486 поднимался разработчиками ядра Linux как минимум два раза. В октябре 2022 года Линус Торвальдс поднял тему удаления поддержки CPU i486, обсуждая проблему, возникшую из-за ошибки в коде эмуляции инструкции "CX8". Линус отметил, что процессоры i486 становятся музейными экспонатами и для них вполне можно обойтись "музейными" ядрами. В 2025 году после выявления очередной проблемы, проявляющейся при эмуляции инструкции "CX8", обсуждение возобновилось и Линус Торвальдс заявил, что чувствует, что настало время отказаться от поддержки CPU i486 и не видит причин, чтобы продолжать тратить время разработчиков на решение возникающих из-за этих процессоров проблем.

Поддержка процессоров i386 была удалена из ядра в 2012 году. Прекращение поддержки классических i486 не затронет выпускавшиеся до 2019 года встроенные процессоры Intel Quark, а также продолжающие производиться SoC Vortex86DX, так как данные процессоры хоть и относятся к классу i486, но включают свойственные поколению Pentium дополнительные инструкции, в том числе "cmpxchg8b".

Источник: https://www.opennet.ru/opennews/art.shtml?num=65209

Основные новшества:

• Добавлена поддержка TLS-расширения ECH (Encrypted ClientHello, RFC 9849), предназначенного для шифрования информации о параметрах TLS-сеансов, таких как запрошенное доменное имя. В отличие от расширения ESNI (Encrypted Server Name Indication) в ECH вместо шифрования на уровне отдельных полей, целиком шифруется всё TLS-сообщение ClientHello, что позволяет блокировать утечки через поля, которые не охватывает ESNI, например, поле PSK (Pre-Shared Key).
• Добавлена поддержка определённых в RFC 8998 алгоритмов, использующих стандартизированный в Китае набор криптоалгоритмов SM2: алгоритма формирования цифровой подписи sm2sig_sm3, группы обмена ключами curveSM2 и постквантовой группы curveSM2MLKEM768.
• Добавлена криптографическая функция хэширования cSHAKE, основанная на алгоритме SHA-3 и позволяющая формировать разные хэши на основе одинаковых входных данных для защиты от атак, манипулирующих повторным использованием данных.
• Добавлен гибридный алгоритм "ML-DSA-MU", сочетающий постквантовый алгоритм формирования цифровой подписи ML-DSA (CRYSTALS-Dilithium) с классической хеш-функцией SHAKE256.
• Добавлена поддержка функций формирования ключей SNMP KDF на основе HMAC-SHA и SRTP KDF на основе AES-CM, используемых в сетевых протоколах SNMPv3 и SRTP.
• В команду "openssl fipsinstall" добавлена опция "-defer_tests", позволяющая отложить запуск тестов при установке FIPS-модулей.
• Для платформы Windows реализована поддержка статического или динамического связывания с Visual C++ Runtime.
• В TLS 1.2 добавлена поддержка согласуемого обмена ключами на основе алгоритма FFDHE (Finite Field Diffie-Hellman Ephemeral), соответствующая RFC 7919.
• Прекращена поддержка SSLv3 и SSLv2 Client Hello.
• Удалена поддержка динамически загружаемых движков, вместо которых для расширения функциональности OpenSSL следует использовать концепцию подключаемых провайдеров.
• В TLS на этапе компиляции отключена поддержка устаревших эллиптических кривых. Для возвращения можно использовать опцию "enable-tls-deprecated-ec".
• Удалена утилита c_rehash, вместо которой следуют использовать команду "openssl rehash".
• Из команды "openssl ca" удалена устаревшая опция "msie-hack".
• Удалена поддержка собственных методов EVP_CIPHER, EVP_MD, EVP_PKEY и EVP_PKEY_ASN1.
• Удалены устаревшие функции SSL/TLS, привязанные к фиксированным версиями протоколов, например, "TLSv1_client_method()".
• Удалены устаревшие функции ERR_get_state(), ERR_remove_state() и ERR_remove_thread_state().
• Прекращена поддержка целевых платформ darwin-i386{,-cc} и darwin-ppc{,64}{,-cc}.

Основные изменения:

• В интерфейс StartWine интегрированы авторизация и игровые библиотеки сервисов GOG.COM и Epic Games Store.
• Добавлена подсистема WOW64 для лучшей совместимости с 32-битными приложениями.
• Добавлена виртуальная клавиатура для геймпада.
• Добавлен Wine Proton EM.
• Добавлен деинсталлятор StartWine.
• Добавлена опция NTSYNC для повышения производительности.
• Добавлена опция драйвера Wine Wayland для запуска с использованием чистого Wayland.
• Добавлен алгоритм масштабирования без потерь для генерации кадров.
• Добавлена поддержка HDR. Если игра поддерживает HDR, переключатель в игре будет разблокирован.
• Для скачивания и установки добавлен репозиторий StartWine RU. Реализован автоматический выбор быстрого репозитория. Добавлена функция автоматической загрузки с самого быстрого сервера.
• Добавлены несколько анимаций для интерфейса.
• Добавлен образец цветовой схемы «Темная сторона».
• Добавлена система сборки StartWine из исходного кода.
• Часть кода переписана на Rust.
• В настройках реализована параметр для задания периода обновления резервных копий.
• По категориям сгруппирован список горячих клавиш.
• Некоторые файлы конфигурации перенесены в каталог кэша, чтобы сохранять пользовательские настройки после обновления StartWine.
• В StartWineShell добавлены цветовые схемы для интерфейса, реализована подсветка исполняемых файлов, возможности загружать Wine при запуске игры и запускать игры GOG и Epic, установленные через StartWine. Добавлена переменная окружения SW_EDITOR для установки текстового редактора по умолчанию.
• Обновлён список версий Wine, dxvk и vkd3d.
• Обновлены библиотеки в среде выполнения StartWine, резервная копия префикса по умолчанию, конфигурации префикса, локали, список DLL-файлов winetricks, библиотеки и драйверы в контейнере.

В соответствии с февральским отчётом компании Netcraft под управлением nginx работает около 321 млн сайтов (год назад 245 млн, два года назад - 243 млн, три года назад 289 млн). Nginx используется на 16.08% всех активных сайтов (год назад 17.89%, два года назад 18.15%, три года назад 18.94%), что соответствует второму месту по популярности в данной категории (доля Apache соответствует 13.27% (год назад 16.03%, два года назад 20.09%, три года назад 20.52%), Cloudflare - 20.62% (17.81%, 14.12%, 11.32%), Google - 10.65% (9.89%, 10.41%, 9.89%).

При рассмотрении всех сайтов nginx сохраняет лидерство и занимает 22.65% рынка (год назад 20.48%, два года назад - 22.31%, три года назад - 25.94%), в то время как доля Apache соответствует 12.19% (16.03%, 20.17%, 20.58%), Cloudflare - 15.27% (12.87%, 11.24%, 10.17%), OpenResty (платформа на базе nginx и LuaJIT) - 8.01% (9.36%, 7.93%, 7.94%).

Среди миллиона самых посещаемых сайтов в мире nginx занимает второе место с долей 19.85% (год назад 20.37%, два года назад 20.63%, три года назад 21.37%). Первое место удерживает Cloudflare - 26.84% (22.32%, 22.59%, 21.62%). Доля Apache httpd - 15.84% (17.95%, 20.09%, 21.18%).

По данным W3Techs nginx используется на 32.8% сайтов из миллиона самых посещаемых (в апреле прошлого года этот показатель составлял 33.8%, позапрошлого - 34.3%). Доля Apache за год снизилась с 26.3% до 23.9%, доля Microsoft IIS снизилась с 4% до 3.4%, а доля Caddy с 0.3% до 0.2%. Доля Node.js увеличилась с 4.4% до 6.0%, а доля LiteSpeed с 14.6% до 15.2%.

Наиболее заметные улучшения, добавленные в процессе формирования основной ветки 1.29.x:

• Добавлена поддержка TLS-расширения ECH (Encrypted ClientHello), продолжающего развитие расширения ESNI (Encrypted Server Name Indication) и используемого для шифрования информации о параметрах TLS-сеансов, таких как запрошенное доменное имя. Ключевое отличие ECH от ESNI в том, что в ECH вместо шифрования на уровне отдельных полей целиком шифруется всё TLS-сообщение ClientHello, что позволяет блокировать утечки через поля, которые не охватывает ESNI, например, поле PSK (Pre-Shared Key). Использование ECH включается через указание в директиве "ssl_ech_file" файла конфигурации ECHConfig в формате PEM. Поддержка доступна при использовании сборок OpenSSL с ECH.
• Добавлена поддержка протокола Multipath TCP (MPTCP), позволяющего доставлять пакеты одновременно по нескольким маршрутам через разные сетевые интерфейсы. Для включения в директиву "listen" добавлен параметр "multipath".
• Добавлена возможность привязки сеансов клиентов к одним и тем же серверам в группе. Доступно три метода: "cookie" - передача данных о выбранном сервере через указанную Cookie; "route" - проксируемый сервер назначает клиенту маршрут при получении первого запроса; "learn" - nginx анализирует ответы от upstream-сервера и запоминает начатые сервером сеансы. Для настройки привязки в блок "upstream" модуля "http" добавлена директива "sticky", а в директиву "server" добавлены параметры "route" и "drain".
• Добавлена директива "early_hints" и реализована поддержка HTTP-кода 103 в ответах от бэкендов proxy и gRPC. Код 103 позволяет информировать клиента о содержании некоторых HTTP-заголовков сразу после запроса, не дожидаясь пока сервер выполнит все связанные с запросом операции и начнёт отдачу контента. Подобным образом можно сообщать подсказки о связанных с отдаваемой страницей элементах, которые могут быть предварительно загружены (например, могут быть приведены ссылки на используемые на странице css и javascript). Получив информацию о подобных ресурсах браузер приступит к их загрузке не дожидаясь окончания отдачи основной страницы, что позволяет сократить общее время обработки запроса.
• Добавлены директивы add_header_inherit и add_trailer_inherit, позволяющие изменить правила наследования значений, указанных в директивах add_header и add_trailer. Параметр "off" отменяет наследование значений, а параметр "merge" включает добавление значений с предыдущего уровня к значениям на текущем уровне.
• Добавлена директива "ssl_certificate_compression" для управления сжатием TLS-сертификатов.
• Добавлена директива max_headers, ограничивающая максимальное число HTTP-заголовков в запросе. При превышении лимита возвращается ошибка 400 (Bad Request). Возможность перенесена из FreeNginx.
• Добавлены переменные $request_port и $is_request_port. Первая переменная содержит номер порта из компонента URI или из заголовка "Host", а вторая содержит ":", если переменная $request_port не пустая.
• Добавлены переменные $ssl_sigalg и $ssl_client_sigalg, содержащие название алгоритма формирования цифровой подписи для TLS-соединения.
• В директиву "geo" добавлен параметр "volatile", отключающий кэширование переменной. Разрешено использовать маски в директиве "include", указанной внутри блока "geo".
• В блоке "upstream" активирована по умолчанию директива "keepalive". В директиву "keepalive", используемую в блоке "upstream", добавлен параметр "local". При указании данного параметра, вместо совместного использования одного соединения к общему upstream-серверу, упоминаемому в разных блоках location и server, для каждого блока поддерживается отдельное соединение к upstream.
• При использовании в режиме прокси по умолчанию выставлена версия протокола HTTP/1.1 с включением режима keep-alive (в модуле ngx_http_proxy_module включена по умолчанию поддержка keep-alive и выставлено значение "1.1" в директиве "proxy_http_version" и прекращена отправка по умолчанию заголовка "Connection").
• В модуль ngx_http_proxy добавлена поддержка протокола HTTP/2, что позволяет использовать HTTP/2 при обращении к бэкендам.
• Предоставлена возможность загрузки криптографических ключей из аппаратных токенов, используя в качестве провайдера библиотеку OpenSSL.
• В реализацию протокола QUIC добавлена поддержка режима 0-RTT, доступная на системах с OpenSSL 3.5.1 и более новыми выпусками.
• Добавлена возможность сборки с криптографической библиотекой AWS-LC, развиваемой компанией Amazon.
• По умолчанию отключено сжатие сертификатов TLSv1.3.
• Обеспечена совместимость с библиотекой OpenSSL 4.0.

Дополнительно можно отметить публикацию релиза проекта FreeNginx 1.30.0, развивающего форк Nginx. Разработку форка ведёт Максим Дунин, один из ключевых разработчиков Nginx. FreeNginx позиционируется как некоммерческий проект, обеспечивающий разработку кодовой базы Nginx без корпоративного вмешательства. Код FreeNginx продолжает поставляться под лицензией BSD. Среди изменений в ветке FreeNginx 1.30: добавлена поддержка TLS-расширения ECH (Encrypted Client Hello); улучшена обработка директивы limit_rate; добавлены директивы send_min_rate и client_body_min_rate; реализована возможность ограничения числа соединений и интенсивности запросов в почтовом прокси; добавлена поддержка БД GeoIP2 в модуле GeoIP; усилена защита модуля XSLT.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65207

Проблема проявляется после завершении операции выделения памяти ошибкой, возникающей при нехватке памяти (для успешной эксплуатации уязвимости атакующий должен создать условия исчерпания доступной процессу памяти). Обращение к уже освобождённой памяти возникает в приложениях, повторно использующих экземпляр объекта после возвращения ошибки в процессе распаковки. Приложения при каждом вызове создающие новый экземпляр объекта уязвимости не подвержены.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65202

В июне 2025 года автор проекта прекратил сопровождение и перевёл репозиторий jemalloc в архивный режим, но месяц назад разработку возобновила компания Meta, применяющая jemalloc в своей инфраструктуре. Изначально библиотека была разработана для FreeBSD и используется в данной ОС по умолчанию с 2005 года. Код библиотеки написан на Си и распространяется под лицензией BSD.

Среди изменений:

• Реализована функция pvalloc, которая может оказаться полезной при замене аллокатора памяти libc.
• В отладочных сборках включён режим обнаружения двойного вызова функции free(). Для настройки размера стека, в рамках которого выполняется сканирование, добавлен параметр debug_double_free_max_scan.
• Добавлена сборочная опция "--enable-pageid" для выставления тегов при маппинге памяти, используя prctl с флагом PR_SET_VMA. После включения маппинг можно отслеживать через /proc/‹pid›/maps.
• Добавлен параметр "prof_bt_max", позволяющая выставить максимальную глубину стека для профилирования.
• Добавлена сборочная опция "--enable-force-getenv" для использования в коде обычной функции getenv() вместо защищённой secure_getenv().
• Добавлена сборочная опция "--disable-dss" для отключения использования функции sbrk().
• Добавлен параметр "tcache_ncached_max" для ограничения числа элементов в кэше потоков.
• Добавлен параметр "calloc_madvise_threshold" для настройки использования механизма ядра madvise или функции memset для обнуления памяти, выделяемой через функцию calloc.
• Добавлена сборочная опция "--disable-user-config" для отключения загрузки настроек из файла /etc/malloc.conf или переменной окружения MALLOC_CONF.
• Добавлен параметр "process_madvise_max_batch" для ограничения числа блоков памяти для каждой batch-операции madvise.
• Добавлен параметр "disable_large_size_classes" для отключения нового алгоритма расчёта размера выделяемой памяти, снижающего накладные расходы при выделении блоков, размером более 4 страниц памяти.
• В утилиту mallctl добавлены опции: opt.prof_bt_max, arena.‹i›.name, thread.tcache.max, thread.tcache.ncached_max.write, thread.tcache.ncached_max.read_sizeclass, arenas.hugepage и approximate_stats.active.

Разработка OpenBGPD ведётся при поддержке регионального интернет-регистратора RIPE NCC, который заинтересован в доведении функциональности OpenBGPD до пригодности к использованию на серверах для маршрутизации в точках межоператорского обмена трафиком (IXP) и в создании полноценной альтернативы пакету BIRD (из открытых альтернатив с реализацией протокола BGP можно отметить проекты FRRouting, GoBGP, ExaBGP и Bio-Routing).

В проекте основное внимание уделяется обеспечению максимального уровня безопасности и надёжности. Для защиты применяется жёсткая проверка корректности всех параметров, средства для контроля соблюдения границ буферов, разделение привилегий и ограничение доступа к системным вызовам. Из достоинств также отмечается удобный синтаксис языка определения конфигурации, высокая производительность и эффективность работы с памятью (например, OpenBGPD может работать с таблицами маршрутизации, включающими сотни тысяч записей).

Ключевые изменения в новой версии:

• Повышена производительность фильтра исходящих маршрутов (outbound filter). Правила фильтрации теперь сохраняются в массиве, а повторяющиеся у разных пиров фильтры дедуплицируются.
• В процессе RDE (Route Decision Engine) повышена производительность обработки таблиц с фильтрами (filter_sets) - для повышения эффективности кэширования фильтры перемещены в линейный массив объектов. На серверах с большим числом маршрутов связанные с фильтрами оптимизации позволили сократить продолжительность начальной синхронизации более чем на 25%.
• Улучшено отражение в логе ошибок разбора атрибутов, приводящих к сбору сеанса.
• В команду 'show rib memory' добавлены дополнительные метрики для оценки потребления памяти.

Ключевой целью развития Meson является обеспечение высокой скорости сборочного процесса в сочетании с удобством и простотой использования. Вместо утилиты make при сборке по умолчанию применяется инструментарий Ninja, но возможно применение и других бэкендов, таких как Xcode и Visual Studio. В систему встроен многоплатформенный обработчик зависимостей, позволяющий использовать Meson для сборки пакетов для дистрибутивов. Правила сборки задаются на упрощённом предметно-ориентированном языке, отличаются хорошей читаемостью и понятны пользователю (по задумке авторов разработчик должен тратить минимум времени на написание правил).

Поддерживается кросс-компиляция и сборка в Linux, Illumos/Solaris, FreeBSD, NetBSD, DragonFly BSD, Haiku, macOS и Windows с использованием GCC, Clang, Visual Studio и других компиляторов. Возможна сборка проектов на различных языках программирования, включая C, C++, Fortran, Java, D и Rust. Поддерживается инкрементальный режим сборки, при котором пересобираются только компоненты, напрямую связанные с изменениями, внесёнными с момента прошлой сборки. Meson можно использовать для формирования повторяемых сборок, при которых запуск сборки в разных окружениях приводит к генерации полностью идентичных исполняемых файлов.

Основные новшества Meson 1.11:

• При вызове в скриптах Meson метода rust.workspace() реализован разбор корневого файла Cargo.toml внутри проекта, для корректной активации при сборке feature-флагов, определённых в общем для всех рабочих пространств файле Cargo.toml. Кроме того, метод rust.workspace() теперь возвращает объект, через который можно получить список feature-флагов и зависимостей для подпроектов, а также запустить сборку целей, объявленных в файлах Cargo.toml.
• В команду "meson dist" добавлены опция "-j" (--num-processes) и переменная окружения MESON_NUM_PROCESSES для задания числа процессов, параллельно выполняемых при сборке и тестировании пакетов.
• Параметр should_fail, допускающий прохождении теста при возвращении ошибки, объявлен устаревшим и переименован в expected_fail. Добавлен параметр expected_exitcode для выставления кода успешного завершения теста, отличного от 0.
• В модуле external_project на платформе Windows задействована команда cygpath для преобразования специфичных для Windows файловых путей и Unix-подобные пути (например, из C:/path/to/configure в /path/to/configure).
• В команды install_man и install_headers добавлена поддержка аргумента install_tag для выбора устанавливаемых файлов по произвольным тегам, а не только по тегам man и devel.
• Добавлен параметр link_early_args, через который в командную строку при запуске компоновщика можно подставить опции (например, "-u" или "--defsym") до перечисления объектов и библиотек.
• Добавлена константа "~", заменяемая на домашний каталог в файлах описания среды (machine files).
• В команде "meson format" по умолчанию отключена сортировка файлов, указанных в числе аргументов функции files(). Для включения сортировки следует использовать опцию sort_files.
• Анонсировано прекращение поддержки версий Python до выпуска 3.10. Meson 1.11.0 является последним выпуском с поддержкой веток Python 3.7, 3.8 и 3.9.
• Добавлена поддержка новых возможностей C/C++ компилятора MPLAB XC32, появившихся в версии 5.0, таких как автоматическое включение LTO-оптимизаций и поддержка стандартов C2x и CPP23.

Одновременно опубликован выпуск Scribus 1.7.3. Ветка 1.7 преподносится как экспериментальная - после проведения окончательной стабилизации и признания готовности для повсеместного внедрения на базе ветки 1.7 будет сформирован стабильный релиз Scribus 1.8.0. Ветка 1.7 примечательна портированием на Qt 6, поддержкой тёмной темы оформления, переводом пиктограмм на формат SVG, новой реализацией закрепляемых панелей инструментов, переработкой панели выбора цвета. Cборки сформированы для Linux (AppImage, Flatpak), macOS и Windows.

Среди изменений в версии Scribus 1.7.3:

• Переделан механизм проверки правописания во время работы с документом. Проверка теперь выполняется в отдельном потоке и подсвечивает ошибки по мере набора и редактирования текста. Возможен откат (undo) принятых правок. Обеспечена корректная проверка слов с непечатными символами.
• Переделан интерфейс поиска и замены, в котором реализован режим поиска по всем окнам, предоставлена поддержка скрытия расширенных настроек и добавлена возможность использования выделенного фрагмента в качестве поисковой маски.
• Добавлен инструмент для быстрого преобразования регистра символов в выделенном блоке текста. Доступны различные режимы, например, инвертирование.
• Модернизирован генератор штрих-кодов, в котором переделан интерфейс, добавлен полный доступ к опциям BWIPP (Barcode Writer in Pure Postscript), реализованы настройки форматирования текста и выставления границ, предоставлена возможность повторного редактирования объектов со штрих-кодом, добавлены функции для программной генерации штрих-кодов из скриптов.
• Значительно улучшен импорт изображений в формате JPEG XL.

Servo 0.1.0 стал первым выпуском, для которого обеспечен длительный цикл поддержки (LTS). Новые LTS-ветки будут публиковать раз в 6 месяцев на основе очередного промежуточного выпуска. Поддержка LTS-выпусков будет осуществляться 9 месяцев (3 месяца даётся для перехода на новую LTS-ветку). От обычных выпусков LTS-ветка отличается публикацией обновлений с исправлениями уязвимостей в библиотеке servo, JavaScript-движке и зависимостях. Предполагается, что LTS-ветка будет полезна для разработчиков, встраивающих Servo в свои проекты и не желающих ежемесячно переходить на очередной промежуточный выпуск с возможными изменениями в API.

Выпуск Servo 0.1.0 LTS построен на основе сформированной несколько дней назад промежуточной версии 0.0.6, в которой были реализованы следующие новые возможности:

• В HTML-элементe "button" реализованы атрибуты "command" и "commandfor", которые можно использовать в кнопках вместо атрибутов "popovertargetaction" и "popovertarget" для декларативной настройки взаимодействия с меню, вызываемым при нажатии на кнопку.
• Добавлен CSS-селектор ":modal", позволяющий определить, что диалог, созданный через элемент ‹dialog›, является модальным.
• Реализовано CSS-правило @property, позволяющее регистрировать собственные CSS-свойства.
• Добавлены CSS-свойства "alignment-baseline" и "baseline-shift" для выравнивания текста по вертикали.
• Добавлена поддержка заголовка "Content-Security-Policy: base-uri", ограничивающего URL, которые могут использоваться в HTML-элементе ‹base›.
• Добавлена частичная поддержка отложенной загрузки iframe-блоков, при которой содержимое, находящееся вне видимой области, не загружается до тех пор, пока пользователь не прокрутит страницу в место, непосредственно предшествующее элементу. Включение отложенной загрузки страниц осуществляется через атрибут "loading=lazy" в теге iframe (‹iframe loading=lazy›).
• Добавлена частичная поддержка CSS-свойства "transform-style: preserve-3d" для позиционирования дочерних элементов в 3D-пространстве.
• Реализованы события pointermove, pointerdown, pointerup и pointercancel.
• Обеспечен поворот изображений на основе метаданных EXIF.
• Обеспечено использование переменной окружения LANG для выбора языка по умолчанию для заголовка "Accept-Language" и свойства navigator.language.
• Добавлены API Pointer Events и UserActivation.
• Реализованы методы import.meta.resolve(), formData(), toJSON(), createIndex(), deleteIndex() и index().
• В демонстрационном браузере servoshell для изменения настроек реализованы страницы servo:preferences (GUI конфигуратор) и servo:config (изменение отдельных параметров в стиле about:config). Добавлена поддержка перезагрузки страницы при нажатии F5.
• В инструментах для web-разработчиков в режиме инспектирования добавлена поддержка редактирования атрибутов DOM, в web-консоли обеспечен предпросмотр объектов, передаваемых через console.log(), в отладчике появилась возможность приостановки и возобновления выполнения скриптов.
  
  
• Расширен API для встраивания браузерного движка в приложения.

Движок Servo изначально развивался компанией Mozilla, но затем перешёл под покровительство организации Linux Foundation. Servo отличается поддержкой многопоточного рендеринга web-страниц, распараллеливанием операций с DOM (Document Object Model) и задействованием предоставляемых языком Rust механизмов безопасного программирования. Servo изначально создан с поддержкой разбиения кода DOM и рендеринга на более мелкие подзадачи, которые могут выполняться параллельно и более эффективно использовать ресурсы многоядерных CPU. В Firefox уже интегрированы некоторые части Servo, такие как многопоточный CSS-движок и система отрисовки WebRender.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65197

Тэо пояснил, что на раннем этапе разработки pfsync указанное поле было добавлено для хранения хэша набора правил с целью оптимизации проверки состояния. В конечном счёте от этой идеи отказались, но поле было оставлено для сохранения обратной совместимости и всегда оставалось заполненным нулями. В коде данное поле лишь упоминалось в структуре пакета, но не проверялось и не заполнялось.

В сгенерированном AI-отчёте утверждалось о наличии уязвимости, так как поле вычисляется при отправке пакета, но не проверяется при получении. В отчёте детально пояснялся принцип работы и источник проблемы, но на деле - это было AI-галлюцинацией, выдуманной лишь на основании использования в коде слов "pfcksum" и "PF_MD5_DIGEST_LENGTH". Человек, использовавший AI для поиска уязвимости, не потрудился проверить результат перед отправкой отчёта об уязвимости.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65196

Номер 7.0 присвоен, так как в ветке 6.x накопилось достаточного выпусков для смены первого числа в номере версии (в своё время выпуск 6.0 был сформирован следом за 5.19). Смена нумерации осуществляется из эстетических соображений и является формальным шагом, снимающим дискомфорт из-за накопления большого числа выпусков в серии.

В новую версию принято 15624 исправления от 2477 разработчиков, размер патча - 56 МБ (изменения затронули 18053 файла, добавлено 704060 строк кода, удалено 278132 строки). В прошлом выпуске было 15657 исправлений от 2237 разработчиков, размер патча - 52 МБ. Около 51% всех представленных в 7.0 изменений связаны с драйверами устройств, примерно 11% изменений имеют отношение к обновлению кода, специфичного для аппаратных архитектур, 14% связано с сетевым стеком, 5% - с файловыми системами и 3% c внутренними подсистемами ядра.

Основные новшества в ядре 7.0 (1, 2, 3):

• Дисковая подсистема, ввод/вывод и файловые системы
  • Реализована инфраструктура fserror и добавлен API для получения информации об ошибках ввода/вывода и повреждении метаданных при работе с файлами. Предложенная инфраструктура унифицирует в файловых системах передачу сведений об ошибках в пространство пользователя через механизм fsnotify.
  • В XFS добавлены новые возможности для мониторинга за состоянием файловой системы из пространства пользователя. Предложена ioctl-операция XFS_IOC_HEALTH_MONITOR, возвращающая файловый дескриптор, через который можно получать сведения о сбоях, связанных с повреждением метаданных или возникновение ошибок при вводе/вывода, а также отслеживать изменение состояний ФС, таких как отмонтирование и завершение работы. Дополнительно предложен управляемый через systemd фоновый процесс xfs_healer, обрабатывающий события о состоянии ФС из пространства пользователя и при необходимости автоматически запускающий процедуры восстановления.
  • В файловую систему Btrfs добавлена экспериментальная поддержка структуры "дерево ремапинга" (remap tree), которая в будущем может быть задействована в качестве промежуточного слоя при выполнении операций ввода-вывода. Суть добавленной возможности в том, что после перемещения данных на накопителе вместо обновления всех связанных с этими данными структур в дополнительной структуре "remap tree" сохраняются старые и новые адреса данных, после чего при обращении к данным адреса подменяются. Новый подход преподносится как более надёжный и гибкий, а также упрощающий дальнейшее расширение функциональности Btrfs.
  • В Btrfs реализована поддержка прямого ввода/вывода в ситуациях, когда размер блока превышает размер страницы памяти в системе.
  • В состав включена новая файловая система "Nullfs", которую можно использовать в качестве заглушки для корневой ФС. Файловая система Nullfs всегда пустая, не содержит данных и не поддерживает изменения. Назначением Nullfs является использование в качестве начальной ФС для упрощения процесса загрузки системы - поверх Nullfs затем монтируются другие ФС и используется системный вызов pivot_root() для переключения корневой ФС вместо очистки содержимого initramfs и использования связанной с ним корневой ФС.
  • Реализовано обновление информации о времени модификации файлов в неблокирующем режиме. Ранее вызов file_update_time_flags() с флагом IOCB_NOWAIT возвращал ошибку "-EAGAIN", что не позволяло использовать операции прямой записи в неблокирующем режиме.
  • В файловых системах в разряд отдельно включаемых опций переведена поддержка уведомительных блокировок (lease). По умолчанию подобный механизм теперь не активируется из-за проблем с ФС, изначально не рассчитанных на его применение. Например, его не поддерживают ФС 9p и cephfs.
  • В файловой системе EROFS (Extendable Read-Only File System), предназначенной для использования на разделах, доступных в режиме только для чтения, для сжатия по умолчанию задействован алгоритм LZMA. Опционально доступны алгоритмы DEFLATE и Zstandard, которые больше не помечены экспериментальными. Реализовано совместное использование записей в страничном кэше (page-cache) для идентичных файлов в отдельных ФС EROFS.
  • Удалён режим laptop_mode, экономящий энергопотребление за счёт откладывания и объединения операций записи на жёсткий диск с целью продления нахождения диска в спящем режиме и снижения числа пробуждений. Режим потерял актуальность, так как в современных мобильных устройствах жёсткие диски вытеснены твердотельными накопителями.
  • Файловая система F2FS переведена на использование больших фолиантов страниц памяти (large folios).
  • Возрождена работа над драйвером ntfs3, развиваемым компанией Paragon Software. Добавлена поддержка операций с файлами на базе iomap, реализованы опции llseek SEEK_DATA/SEEK_HOLE, добавлен режим delalloc для отложенного выделения блоков. Тем временем, в списке рассылки разработчиков ядра в феврале было одобрено включение в состав одной из будущих версий ядра новой реализации NTFS - ntfsplus, разработанной для замены ntfs3.
  • По умолчанию при сборке включена версия протокола NFS 4.1 (CONFIG_NFS_V4_1). Обеспечена блокировка экспорта через NFS специализированных псевдо-ФС, таких как pidfs и nsfs. В NFSD реализована экспериментальная возможность использования POSIX ACL и добавлена поддержка динамического изменения пула потоков (thread-pool) в зависимости от нагрузки.
• Память и системные сервисы
  • Утверждены официальные правила применения AI-ассистентов и включения в ядро автоматически сгенерированного содержимого. При передаче сгенерированного кода предписано помечать его через указание используемого AI-ассистента через тег "Assisted-by". AI-ассистентам запрещено добавлять тег "Signed-off-by" - человек, передавший патч, считается его автором, несёт ответственность за переданное изменение и ручается за его качество. Разработчикам предписано проводить ручное рецензирование полученного через AI кода и проверять соответствие результата лицензионным требованиям.
  • Поддержка Rust переведена из экспериментальных в основные возможности ядра.
  • Завершена интеграция в ядро механизма "Swap Table", позволяющего повысить производительность подкачки. Ускорение достигается благодаря уменьшению конкуренции за доступ к кэшу подкачки, более эффективного поиска в кэше и снижения фрагментации. Бэкенд на базе Swap Table задействован для кэширования подкачки вместо бэкенда XArray и позволил в тесте redis-benchmark с BGSAVE увеличить число обрабатываемых запросов на 22%.
  • Добавлена поддержка появившегося в Clang 22 расширения Thread Safety Analysis, позволяющего на этапе компиляции выявлять потенциальные состояния гонки и ошибки, вызванные некорректным выставлением блокировок. Расширение предлагает серию атрибутов, таких как GUARDED_BY(...), REQUIRES(...), RELEASE(...) и ACQUIRE(...), позволяющих отмечать охватываемые блокировками функции и разделять области действия блокировок (определять контекст). На этапе компиляции выполняется проверка корректности применения примитивов синхронизации, таких как мьютексы, на основе оценки активности или не активности, связанного с ними контекста.
  • В системный вызов open_tree добавлен флаг OPEN_TREE_NAMESPACE для упрощения настройки изолированных контейнеров и ускорения запуска контейнеров на системах с большим числом точек монтирования. По аналогии с OPEN_TREE_CLONE новый флаг копирует только указанное дерево точек монтирования (mount tree), но вместо локального файлового дескриптора возвращает файловый дескриптор в новом пространстве имён точек монтирования, в котором скопированное дерево монтируется поверх копии реальной корневой ФС. Флаг OPEN_TREE_NAMESPACE востребован для ухода от раздельного выполнения операций unshare(CLONE_NEWNS) и pivot_root(), применяемых при создании контейнеров.
  • В системный вызов rseq добавлен механизм расширения квантов времени (time slice), позволяющий получить дополнительное процессорное время для неразрывного выполнения критической секции. Идея в том, чтобы избежать прерывания планировщиком задач критической секции с выставленной блокировкой, приводящего к передаче управления другим потокам, использующим ресурс, на которых остаётся выставлена блокировка. Расширение кванта времени производится без дополнительных накладных расходов, но и без строгих гарантий, предоставляемых при полноценном регулировании приоритетов.
  • Для архитектур arm64, loongarch, powerpc, riscv, s390 и x86 режим вытеснения задач (preemption) в планировщике по умолчанию изменён с PREEMPT_NONE на PREEMPT_LAZY. Число возможных режимов сокращено с четырёх до двух - PREEMPT_FULL и PREEMPT_LAZY (режимы PREEMPT_NONE и PREEMPT_VOLUNTARY оставлены только для архитектур, не поддерживающих PREEMPT_FULL и PREEMPT_LAZY). Режим PREEMPT_LAZY применяет модель полного вытеснения (PREEMPT_FULL) для realtime-задач (RR/FIFO/DEADLINE), но задерживает вытеснение обычных задач (SCHED_NORMAL) до границы тика. Вносимая задержка приводит к сокращению случаев вытеснения держателей блокировок, что позволяет приблизить производительность к конфигурациям, использующим модель добровольного вытеснения (voluntary preemption), т.е. PREEMPT_LAZY позволяет сохранить возможности полного вытеснения в отношении realtime-задач, но сводит к минимуму проседание производительности для обычных задач.

    Включение PREEMPT_LAZY привело к серьёзной регрессии, в два раза снижающей производительность PostgreSQL на системах ARM64. Для устранения падения производительности разработчикам PostgreSQL предложено задействовать опцию PR_RSEQ_SLICE_EXTENSION для снижения вероятности вытеснения держателя блокировки.

  • Продолжен перенос изменений из ветки Rust-for-Linux, связанных с использованием языка Rust в качестве второго языка для разработки драйверов и модулей ядра (поддержка Rust не активна по умолчанию, и не приводит ко включению Rust в число обязательных сборочных зависимостей к ядру). Благодаря ранее интегрированной библиотеке "syn", упрощающей написание сложных макросов, удалось сократить размер Rust-кода в ядре за счёт упрощения определений имеющихся процедурных макросов. Расширены возможности библиотек kernel, macros и pin-init.
  • В систему асинхронного ввода/вывода io_uring добавлена опция для использования не кольцевых очередей (non-circular submission queue), более эффективно кэшируемых в ситуации, когда выполнение запроса завершается раньше возврата из системного вызова.
  • В подсистеме eBPF в механизме BTF (BPF Type Format), предоставляющем информацию для проверки типов в псевдокоде BPF, для поиска отладочной информации задействован бинарный поиск, что повысило эффективность загрузки BPF-программ. В eBPF добавлена поддержка неявных аргументов при вызове kfunc (функции ядра, доступные для использования в программах BPF), определённых с флагом KF_IMPLICIT_ARGS.
  • Удалён код для поддержки начального RAM-диска (initrd) на базе linuxrc, давно объявленный устаревшим. Оставшиеся реализации initrd планируют удалить в 2027 году. Вместо initrd следует использовать initramfs (разница в том, что initrd размещает начальное загрузочное окружение в дисковом образе, а initramfs - в файловой системе).
  • В блочном устройстве zram, применяемом для сжатого хранения раздела подкачки в памяти, изменена логика работы со сжатыми страницами памяти при опциональном перемещении данных в постоянное хранилище в случае заполнения доступной оперативной памяти. Ранее страницы памяти распаковывались перед записью на физический носитель, а теперь сохраняются как есть в сжатом виде, что снижает нагрузку на CPU и экономит энергию при автономной работе.
  • В утилиту timerlat, предназначенную для измерения задержек при работе планировщика задач, добавлена опция "--bpf-action" для запуска BPF-программ в случае превышения заданного порога.
  • В систему трассировки ftrace добавлена настройка "bitmask-list" для вывода битовых масок в читаемом виде (в форме списка битов, а не шестнадцатеричного числа). В tracefs добавлены возможности для аудита фильтров и триггеров. Добавлена команда "perf sched stats" для сбора и отображения статистики о работе планировщика задач.
  • Добавлены сборочные опции LOGO_LINUX_MONO_FILE, LOGO_LINUX_VGA16_FILE и LOGO_LINUX_CLUT224_FILE для определения файла с изображением логотипа, который будет показываться при загрузке ядра вместо штатного логотипа с пингвином Tux.
• Виртуализация и безопасность
  • В системе асинхронного ввода/вывода io_uring реализована возможность прикрепления BPF-программ с фильтрами, контролирующими, что могут делать конкретные SQE (Submission Queue Entry) операции (подобие системных вызовов в io_uring). Добавленная возможность является аналогом фильтров системных вызовов. Фильтры можно привязывать к определённым задачам и они наследуются при порождении других процессов после вызова fork(). При наличии активных фильтров, добавляемые поверх фильтры могут лишь прикреплять дополнительные ограничения, но не отключать имеющиеся. Реализованная возможность позволит блокировать методы обхода фильтрации системных вызовов в sandbox-окружениях, основанные на выполнении вместо системных вызовов аналогичных операций, предоставляемых в io_uring.
  • В SELinux добавлена возможность управления доступом к токенам BPF, позволяющим непривилегированным процессам выполнять некоторые привилегированные операции c BPF, например, загружать BPF-программы в ядро и создавать map-структуры.
  • Добавлена поддержка алгоритма формирования цифровых подписей ML-DSA (CRYSTALS-Dilithium), основанного на теории решёток и стойкого к подбору на квантовом компьютере. Предоставлена возможность использования ML-DSA для аутентификации модулей ядра.
  • Удалена возможность использования схем формирования цифровых подписей с алгоритмом SHA-1 для заверения модулей ядра (поддержка загрузки подписанных модулей сохранена).
  • В записи аудита NETFILTER_PKT добавлены поля 'sport' и 'dport' для инспектирования номеров сетевых портов, а не только IP-адресов.
  • Для систем с архитектурой RISC-V реализована поддержка расширений Zicfiss и Zicfilp, предоставляющих аппаратные возможности для применения защиты CFI (Control Flow Integrity), блокирующей нарушения нормального порядка выполнения инструкций (control flow) в результате применения эксплоитов, изменяющих хранимые в памяти указатели на функции.
  • В гипервизоре KVM реализована возможность передачи в гостевые системы информации о поддержке процессором расширения ERAPS (Enhanced Return Address Predictor Security), позволяющего обойтись без некоторых операций сброса состояния CPU при возвращении управления хосту гостевой системой. Кроме того, добавлена поддержка закрепления за гостевыми системами оборудования для отслеживания производительности (PMU, Performance Monitoring Unit), что позволяет повысить точность профилирования по сравнению с использованием эмулируемых PMU.
  • В драйвер для гипервизора Hyper-V добавлена поддержка интерфейса debugfs для просмотра статистики о работе гипервизора.
• Сетевая подсистема
  • Включено по умолчанию расширение AccECN (Accurate Explicit Congestion Notification), реализующее улучшенный вариант расширения ECN, позволяющего хостам в случае перегрузки маркировать IP-пакеты вместо их отбрасывания, что даёт возможность определять возникновение начальной стадии затора в каналах связи без потери пакетов. Исходное расширение ECN имеет ограничение, допускающее выставление только одного сигнала о перегрузке в рамках одного цикла приёма-передачи TCP (RTT, Round-Trip Time, отправка запроса и получение ответа). AccECN снимает данное ограничение и даёт возможность получателю передавать отправителю более одной метки о перегрузке в заголовке TCP-пакета. Алгоритмы управления перегрузкой могут использовать полученную информацию для более точного реагирования на перегрузки и не прибегать к резкому снижению интенсивности отправки пакетов при появлении незначительной перегрузки.
  • В реализацию алгоритма управления сетевыми очередями Cake добавлена возможность обработки нескольких очередей для распределения нагрузки на несколько ядер CPU. Алгоритм CAKE применяется для снижения негативного влияния промежуточной буферизации пакетов на граничном сетевом оборудовании, и нацелен на достижение максимально возможной пропускной способности и минимального уровня задержек даже на медленных каналах связи.
  • В сокеты VSOCK, используемые для взаимодействия с виртуальными машинами, добавлена поддержка сетевых пространств имён (network namespace).
  • Добавлена начальная реализация будущего стандарта WiFi 8 (802.11bn, Ultra High Reliability" WiFi).
  • Добавлены оптимизации, позволившие повысить производительность обработки входящих UDP-пакетов на 12% при проведении стресс-тестирования в 100-гигабитной сети.
• Оборудование
  • В драйвере AMDGPU реализована поддержка IP-блоков, используемых в новых GPU AMD, таких как SMUIO 15.x, PSP 15.x, IH 6.1.1/7.1, MMHUB 3.4/4.2, GC 11.5.4/12.1, SDMA 6.1.4/7.1/7.11.4 и JPEG 5.3.
  • В драйвере Nouveau улучшено управление частотой на системах Tegra 186+.
  • В драйвер i915 добавлена начальная поддержка дисплейного IP-блока Xe3p_LPD, применяемого в процессорах Intel Nova Lake-P.
  • Продолжена работа над drm-драйвером (Direct Rendering Manager) Xe для GPU на базе архитектуры Intel Xe, которая используется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Добавлен режим Multi Queue. Добавлены компоненты, необходимые для диагностики зависаний GPU в Mesa. Добавлена поддержка механизма MERT для управления доступом к памяти GPU.
  • Продолжена интеграция компонентов драйвера Nova для GPU NVIDIA, оснащённых GSP-прошивками, используемыми начиная с серии NVIDIA GeForce RTX 2000 на базе микроархитектуры Turing. Драйвер написан на языке Rust. В новой версии проведена подготовка к реализации поддержки GPU на базе микроархитектуры Turing и внесены различные внутренние изменения.
  • Добавлена поддержка контроллеров и периферийных устройств с многоканальным интерфейсом SPI (Serial Peripheral Interface), позволяющим передавать данные в несколько параллельных потоков.
  • Добавлен драйвер для комбинированных коннекторов Type-C, применяемых на устройствах на чипах Apple Silicon и сочетающих интерфейсы USB3, DP-AltMode и Thunderbolt/USB4.
  • Добавлена поддержка звуковых подсистем чипов Tegra238, Minisforum V3 SE, iBasso DC04U, Intel Nova Lake, Nova Lake S и Focusrite Forte.
  • Добавлена поддержка ARM-плат, SoC и устройств: Arduino UnoQ, OrangePi 6 Plus, OrangePi CM5, Anbernic RG-DS, Realtek Kent, Qualcomm Kaanapali, Mediatek Ezurio, Facebook Anacapa, Microchip LAN9668, Khadas VIM1S, QNAP TS133, i.MX952, i.MX93, i.MX94, VHIP4 EvalBoard, TQ-Systems MBLS1028A, Agilex5, Radxa CM3J, Glymur,
  • Добавлена поддержка смартфонов и планшетов: Fairphone Gen 6 (SoC Qualcomm Milos/Snapdragon 7s Gen 3), Pixel 3/3 xl, Microsoft surface pro 11.

Одновременно латиноамериканский Фонд свободного ПО сформировал вариант полностью свободного ядра 7.0 - Linux-libre 7.0-gnu, очищенного от элементов прошивок и драйверов, содержащих несвободные компоненты или участки кода, область применения которых ограничена производителем. В выпуске 7.0 проведена чистка от блобов драйвера iwlwifi. Обновлён код чистки в драйверах amdgpu, adreno, TI PRUeth, air_en8811h, ath12k, TI VPE, rtw8852b, rt1320, rt5575 SPI, tas2783, Intel catpt. Выполнена чистка имён blob-ов в dts-файлах (devicetree) для ARM-чипов.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65194

Дистрибутив примечателен исключением из поставки всех несвободных компонентов, таких как бинарные драйверы, прошивки и элементы графического оформления, распространяемые под несвободной лицензией или использующие зарегистрированные торговые марки. Несмотря на полный отказ от проприетарных компонентов, Trisquel совместим с Java (OpenJDK), поддерживает большинство аудио- и видео-форматов, включая работу с защищенными DVD, задействуя при этом только полностью свободные реализации данных технологий. В качестве рабочих столов предлагаются MATE (по умолчанию), LXDE и KDE.

В новом выпуске:

• Осуществлён переход с пакетной базы Ubuntu 22.04 на ветку Ubuntu 24.04.
• До версии 6.8 (была 5.15) обновлён полностью свободный вариант ядра Linux - Linux Libre, очищенный от проприетарных прошивок и драйверов, содержащих несвободные компоненты. Повышена модульность поставки ядра.
• С целью повышения безопасности переработаны правила AppArmor для графических окружений.
• Пакетный менеджер APT обновлён до ветки 3.0, а настройки репозиториев переведены на использование формата deb822.
• В состав включены web-браузеры GNU IceCat и ungoogled-chromium, помимо ранее поставляемого Abrowser (сборка Firefox от разработчиков Trisquel).
• Рабочий стол MATE обновлён до версии 1.26.1. Опционально для установки доступны пользовательские окружения LXDE 0.99.2, KDE Plasma 5.27 и Sugar 0.121 (обучающее окружение для детей).
• Обновлены версии программ, в том числе в бэкпортах доступны свежие версии LibreOffice, yt-dlp, Inkscape, Nextcloud Desktop, Kdenlive, Tuba, 0 A.D., fastfetch и многих других приложений.

Основные требования к полностью свободным дистрибутивам:

• Включение в состав дистрибутива ПО с одобренными FSF лицензиями;
• Недопустимость поставки бинарных прошивок (firmware) и любых бинарных компонентов драйверов;
• Непринятие неизменяемых функциональных компонентов, но возможность включения нефункциональных, при условии разрешения копировать и распространять их в коммерческих и некоммерческих целях (например, CC BY-ND-карты к GPL-игре);
• Недопустимость использования торговых марок, условия использования которых мешают свободному копированию и распространению всего дистрибутива или его части;
• Соблюдение лицензионной чистоты документации, недопустимость документации, рекомендующей установку проприетарного ПО для решения определённых задач.

В настоящее время помимо Trisque в список полностью свободных дистрибутивов GNU/Linux включены следующие проекты:

• Dragora - независимый дистрибутив, пропагандирующий идею максимального архитектурного упрощения;
• Dynebolic - специализированный дистрибутив для обработки видео и аудио данных (более не развивается - последний релиз был 8 сентября 2011 года);
• Guix - основан на пакетном менеджере Guix и системе инициализации GNU Shepherd (ранее известной как GNU dmd), написанными на языке Guile (одна из реализаций языка Scheme), который также используется и для определения параметров запуска сервисов.
• Hyperbola - основан на стабилизированных срезах пакетной базы Arch Linux с переносом из Debian некоторых патчей для повышения стабильности и безопасности. Проект развивается в соответствии с принципом KISS (Keep It Simple Stupid) и нацелен на предоставление пользователям простого, легковесного, стабильного и безопасного окружения.
• Parabola GNU/Linux - дистрибутив, основанный на наработках проекта Arch Linux;
• PureOS - основан на пакетной базе Debian и разрабатывается компанией Purism, развивающей смартфон Librem 5 и выпускающей ноутбуки, поставляемые с данным дистрибутивом и прошивкой на базе CoreBoot;
• libreCMC (libre Concurrent Machine Cluster), специализированный дистрибутив, рассчитанный на использование во встраиваемых устройствах, таких как беспроводные маршрутизаторы.
• ProteanOS - обособленный дистрибутив, развивающийся в направлении достижения как можно более компактного размера;

Амьель подчеркнул, что французское правительство больше не может мириться с тем, что не контролирует свои данные и цифровую инфраструктуру. Сроки перехода и внедряемый дистрибутив Linux пока не уточняются. Первым на Linux решено перевести рабочие станции в межминистерском управлении цифровизации (DINUM). Министерствам предписано до осени подготовить собственные планы снижения зависимости от не европейских технологий, охватывающие рабочие станции, инструменты совместной разработки, антивирусы, AI-системы, СУБД, платформы виртуализации и сетевое оборудование.

Решение о замене Windows принято спустя несколько месяцев после анонса перевода системы проведения видеоконференций с пакета Microsoft Teams на французский продукт Visio, основанный на открытой платформе Jitsi. До конца года также планируют заменить информационную систему здравоохранения на новую подконтрольную разработку. Кроме этого, объявлено о миграции 80 тысяч сотрудников отделений системы медицинского страхования на собственную платформу межведомственного документооборота.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65184

Интерфейс в Cage ограничен одним приложением, а пользователь не может выйти за пределы данного приложения и получить доступ к операционной системе. Экран привязывается к одному устройству вывода, а все вспомогательные диалоги выводятся по центру экрана без возможности перемещения и изменения размера. Поддерживается помещение и извлечение данных через буфер обмена. Приложения непосредственно связываются с запускаемым графическим окружением, например, для создания киоска с браузером Epiphany достаточно выполнить "cage /usr/bin/epiphany", а после выхода из программы композитный сервер тоже завершает свою работу.

Среди наиболее заметных изменений в новом выпуске:

• Библиотека wlroots обновлена до выпуска 0.20, в котором реализована поддержка определения цветового представления Wayland-поверхности, управления цветом и использования HDR при помощи протоколов color-representation-v1 и color-management-v1 при использовании бэкенда отрисовки через API Vulkan. Также добавлена поддержка Wayland-протоколов cursor-shape-v1 для настройки внешнего вида курсора, ext-workspace-v1 для использования концепции виртуальных рабочих столов и xdg-toplevel-tag-v1 для идентификации окон/поверхностей через привязку тегов.
• Добавлена поддержка протокола wlr-foreign-toplevel-management, позволяющего управлять окнами из внешних программ.
• Добавлена поддержка протокола drm-lease, предоставляющего средства для формирования стереокартинки с разными буферами для левого и правого глаза при выводе на шлемы виртуальной реальности.

Интеграция hickory-proto в прошивку осуществлена в рамках инициативы по повышению защиты baseband-модема. В прошивке baseband-модема имеется обработчик DNS, так как данный протокол используется в современных сотовых сетях, среди прочего при переадресации вызовов. При этом DNS является сложным протоколом, требующим разбора данных, поступающих из вне и не заслуживающих доверия. В прошлом у Google уже был опыт выявления уязвимостей в прошивках baseband-модема устройств Pixel, например, в 2024 году была найдена уязвимость CVE-2024-27227, приводящая к переполнению буфера при обработке специально оформленных DNS-ответов.

Предполагается, что использование парсера протокола DNS на языке Rust сократит поверхность атаки и уменьшит риск эксплуатации через DNS целого класса уязвимостей, вызванных ошибками при низкоуровневой работе с памятью. Проект также рассматривается как базис для более широкого внедрения в другие компоненты кода на языках, безопасно работающих с памятью.

Из проблемных моментов отмечено относительно большой размер результирующего кода, так как библиотка Hickory-proto изначально не рассчитана на использование во встраиваемых устройствах. Размер интегрированных компонентов составил 371KB, из которых 350KB код Hickory-proto и зависимостей, 17KB - вспомогательные функции, выделенные из стандартной библиотеки, 4KB - прослойка для использования библиотеки для обработки ответов от DNS-серверов.

Отмечается, что для модема устройств Pixel дополнительные 300KB укладываются в имеющиеся ограничения памяти, но для более требовательных встраиваемых устройств необходимо проведение оптимизации для сокращения размера кода. В будущем в Hickory-proto планируют реализовать флаги, оставляющие при компиляции только требуемую функциональность.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65190

В качестве причины сворачивания китайского подразделения упоминается новая геостратегия, определяющая ключевые места для найма и инвестиций в персонал. Приоритетным местом для развёртывания инженерных команд теперь является Индия, в которой у IBM больше сотрудников, чем в США.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65189

Компоненты рабочего стола и приложения разрабатываются с использованием языков C/C++ и Go. Графический интерфейс построен с использованием библиотеки Qt. Ключевой особенностью рабочего стола Deepin является панель, которая поддерживает несколько режимов работы. В классическом режиме осуществляется более явное отделение открытых окон и предлагаемых для запуска приложений, отображается область системного лотка. Эффективный режим чем-то напоминает Unity, смешивая индикаторы запущенных программ, избранных приложений и управляющих апплетов (настройка громкости/яркости, подключённые накопители, часы, состояние сети и т.п.). Интерфейс запуска программ предоставляет два режима - просмотр избранных приложений и навигация по каталогу установленных программ.

Среди изменений:

• Переделан AI-ассистент для написания текста, в который добавлена возможность загрузки эталонного справочного материала. На основе загруженных образцов AI формирует структурный план, который пользователь может вручную отредактировать перед финальной генерацией текста. После генерации содержимое можно отредактировать в AI-интерфейсе и экспортировать в формате PDF, MS Word или Markdown. Генерация может производиться с использованием локально работающих AI-моделей
• Добавлен AI-режим "Claw Mode" на базе проекта OpenClaw, позволяющий управлять работой компьютера и автоматически выполнять системные работы при помощи команд на естественном языке, такие как запуск приложений, редактирование настроек и обработка наборов файлов. Реализована интеграция AI с программами для обмена сообщениями, позволяющая выполнять сложные работы через мессенджер, такие как сбор информации из разных источников и резюмирование документов.
• Добавлена возможность вызова панели AI-инструментов для перевода, резюмирования и пояснения текста, выделенного в любых приложениях.
• Обеспечен адаптивный выбор AI-модели в зависимости от трудности задачи, балансируя между скоростью и глубиной знаний. По умолчанию интегрирована работа с AI-моделями DeepSeek 3.2 и GLM 4.7.
• Ядро Linux обновлено до выпуска 6.18 (было 6.12). Интегрирована поддержка планировщика задач BORE, применяемого в CachyOS для снижения задержек на рабочем столе и повышения приоритета интерактивных процессов. В аллокаторе памяти ядра (SLUB) задействован слой кэширования "sheaves", использующий несколько кэшей, каждый из которых привязан к отдельному ядру CPU. Подобный кэш повышает производительность и снижает накладные расходы при выделении и освобождении памяти в ядре. Для повышения производительности подкачки задействован механизм "Swap Table". Повышена производительность ФС Ext4 и XFS. Добавлена поддержка расширения архитектуры набора команд Intel APX (Advanced Performance Extension), предоставляющего 16 дополнительных регистров общего назначения.
• В среде рабочего стола DDE (Deepin Desktop Environment) в панели задач реализована поддержка разделения пиктограмм приложений, у которых одновременно открыто несколько окон. В конфигуратор добавлена настройка размера курсора мыши.
• В файловом менеджере реализована возможность использования правой кнопки мыши для закрепления вкладок в верхней части, сохранения путей важных каталогов и перемещения элементов между окнами в режиме drag&drop. При предпросмотре изображений добавлена поддержка изменения масштаба мышью. Оптимизирован визуальный эффект группировки файлов.
• В почтовый клиент добавлена поддержка вывода писем на печать.

• В корректирующем релизе мультимедийного фреймворка GStreamer 1.28.2 выявлено 11 уязвимостей, из которых 3 вызваны переполнением буфера и потенциально могут привести к выполнению кода при обработке специально оформленных мультимедийных контейнеров MKV (CVE не назначен) и MOV/MP4 (CVE-2026-5056), а также потоков в формате H.266/VVC (CVE не назначен). Остальные 8 уязвимостей вызваны целочисленным переполнением или разыменованием нулевого указателя, и могут привести к отказу в обслуживании или утечке информации при обработке данных в форматах WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub и SRT/WebVTT. Опасность уязвимостей в GStreamer усугубляется тем, что он применяется в GNOME для разбора метаданных при автоматической индексации новых файлов, т.е. для атаки достаточно добиться загрузки файла в индексируемый каталог ~/Downloads.
• В сервере печати CUPS выявлено 8 уязвимостей, две из которых (CVE-2026-34980, CVE-2026-34990) могут использоваться для организации удалённого выполнения своего кода с правами root через отправку специально оформленного запроса на сервер печати. Первая уязвимость позволяет неаутентифицированному атакующему добиться выполнения своего кода с правами пользователя lp, отправив специально оформленное задание вывода на печать (проблема вызвана некорректной обработкой экранированных символов перевода строки). Вторая уязвимость позволяет поднять привилегии с пользователя lp до root, добившись изменения файлов c правами root через подстановку фиктивного принтера. Обновление CUPS с устранением уязвимостей пока недоступно.
• Опубликован корректирующий релиз криптографической библиотеки wolfSSL 5.9.1, в котором устранена 21 уязвимость. Одной проблеме присвоен критический уровень опасности, а 9 - высокий (приводят к повреждению памяти). Критическая уязвимость (CVE-2026-5194) вызвана отсутствием проверки размера хэша и идентификатора OID, что позволяет указывать хэши, размером меньше допустимого для снижения стойкости алгоритмов формирования цифровой подписи ECDSA/ECC, DSA, ML-DSA, ED25519 и ED448 для обхода аутентификации на базе сертификатов. Уязвимость выявлена инженерами Anthropic в ходе проверки кода AI-моделью.
• Опубликованы корректирующие выпуски криптографической библиотеки OpenSSL 3.6.2, 3.5.6, 3.4.5 и 3.3.7, в которых устранено 7 уязвимостей. Наиболее опасная уязвимость (CVE-2026-31790), которая может привести к утечке конфиденциальных данных, оставшихся в буфере после прошлой операции. Проблема вызвана использованием неинициализированной памяти при инкапсуляции ключей RSA KEM RSASVE.

  Одна из уязвимостей (CVE-2026-31789) вызвана переполнением буфер и потенциально может привести к выполнению кода при выполнении операций по преобразованию строк в шестнадцатеричное представление при обработке специально оформленных сертификатов X.509. Проблема помечена как неопасная так как она проявляется только на 32-разрядных платформах. Остальные уязвимости вызваны чтением данных из области вне буфера, обращения к уже освобождённой памяти и разыменования нулевого указателя.

• В AI-агенте OpenClaw 2026.3.11, позволяющем AI-моделям взаимодействовать в системными окружениями (например, запускать утилиты и работать с файлами), устранена критическая уязвимость (CVE-2026-32922) с уровнем опасности 10 из 10. Уязвимость вызвана тем, что команда "/pair approve" должным образом не проверяла полномочия, из-за чего любой пользователь, имеющий привилегии сопряжения с хостом (самый низкий уровень привилегий, достаточно доступа к OpenClaw), мог утвердить права администратора для самого себя и полностью контролировать окружение. Для совершения атаки достаточно подключиться к OpenClaw, зарегистрировать фиктивное устройство с доступом operator.admin, после чего самому одобрить собственный запрос командой "/pair approve" и получить полное управление атакованным экземпляром OpenClaw и всеми связанными с ним сервисами.

  За несколько дней до этого в OpenClaw была выявлена похожая уязвимость (CVE-2026-33579), позволявшая обойти проверку прав доступа и получить права администратора. Выявившими проблему исследователями приводятся статистика, в соответствии с которой в сети выявлено 135 тысяч публично доступных экземпляров OpenClaw, из которых 63% позволяют подключиться без аутентификации.

• В пакетном менеджере Nix, применяемом в дистрибутиве NixOS, выявлена уязвимость (CVE-2026-39860 CVE-2026-39860), которой присвоен критический уровень опасности (9 из 10). Уязвимость даёт возможность перезаписать любой файл в системе, насколько позволяют права доступа фонового процесса Nix, который в NixOS и многопользовательских установках выполняется с правами root. Проблема вызвана некорректным устранением уязвимости CVE-2024-27297 в 2024 году. Эксплуатация осуществляется через подмену символической ссылкой каталога внутри изолированного сборочного окружения, в который записывался результат сборки. Уязвимость устранена в обновлениях nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3 и 2.28.6.
• В ядре Linux устранено 5 уязвимостей, выявленных в ходе экспериментов с инструментарием Claude Code и затрагивающих подсистемы nfsd, io_uring, futex и ksmbd (1, 2). Уязвимость в драйвере NFS позволяет через отправку запросов к NFS-серверу узнать содержимое областей памяти ядра. Проблема вызвана ошибкой, проявляющейся начиная с ядра 2.6.0 (2003 год).

Основные изменения:

• Устранена ошибка, приводившая к повреждению БД. Проблема присутствовала начиная с версии SQLite 3.7.0 (2010 год), затрагивала БД в режиме WAL (Write-Ahead Logging) и проявлялась из-за состояния гонки при одновременном открытии двух и более соединений к БД, которые пытались записать или зафиксировать транзакции в одном экземпляре БД. Утверждается, что приводящее к сбою стечение обстоятельств проявляется крайне редко и его удалось повторить только в специально созданном тестовом сценарии.
• В команде "ALTER TABLE" разрешено удалять проверки "NOT NULL" и "CHECK".
• Добавлена команда "REINDEX EXPRESSIONS" для перестроения индексов на основе выражений, в которых в качестве элемента индекса используется функция над столбцом или операции над столбцами. Команда может применяться для восстановления протухших индексов.
• Внутри временных триггеров, создаваемых командой "CREATE TEMP TRIGGER" и применяемым к таблицам в других БД, разрешено изменение таблиц или запросы данных из таблиц.
• В команде "VACUUM INTO" при указании целевого файла через URL реализовано использование параметра "reserve=N" для определения числа создаваемых резервных копий БД.
• Реализованы новые SQL-функции json_array_insert() и jsonb_array_insert() для вставки элементов в массивы JSON.
• Добавлена и задействована в утилите командной строки библиотека QRF (Query Result Formatter) для форматирования результатов выполнения SQL-запросов в удобочитаемый вид.
• Изменения в утилите командной строки:
  • Значительно расширена команда ".mode".
  • Улучшено формирование вывода, например, включена по умолчанию отрисовка рамок, а числовые значения теперь выравниваются по правую границу при табулированном выводе.
  • Обеспечено игнорирование символов ";" после команд.
  • Содержимое указанных в командной строке файлов с расширениями *.sql и *.txt теперь читается и интерпретируется как наборы SQL-выражений и dot-команд.
  • В команду ".timer" добавлена поддержка значения "once" для применения таймера только к следующему SQL-выражению.
  • В команду ".progress" добавлена опция "--timeout S" для принудительного прерывания SQL-выражения после истечения таймаута.
  • В команде ".indexes" изменено поведение шаблонов, которые теперь применяются к именам индексов, а не к именам проиндексированных таблиц.
• Внесены оптимизации в планировщик запросов, ускорившие работу слияния таблиц и операций ЕXCEPT, INTERSECT и UNION.
• Повышена производительность функций преобразования чисел с плавающей запятой в текстовое представление.
• В реализацию, компилируемую в промежуточный код WebAssembly, добавлена VFS "opfs-wl", идентичная VFS "opfs", но использующая API Web Locks для работы с блокировками.
• В утилиту sqlite3_rsync добавлена опция "-p|--port".
• Прекращена поддержка платформы Windows RT.

В новом выпуске:

• Добавлена поддержка горизонтальной (боковой) прокрутки, при которой содержимое сдвигается влево или вправо с шагом, соответствующим табуляции, при нажатии комбинаций клавиш "M-‹" и "M-›".
• Изменено поведение при выходе курсора за видимую правую границу окна - всё содержимое теперь сдвигается влево и область под курсором всегда остаётся в области видимости. Для восстановления старого поведения добавлена опция "--solosidescroll" и настройка 'set solosidescroll'.
• Предоставлена возможность переназначения комбинаций клавиш M-Left, M-Right, M-Up и M-Down.
• Обеспечена отмена создания нового макроса с сохранением ранее существовавшего макроса, если процесс записи нового макроса сразу отменён.
• При указании опций "--mouse" и "--indicator" разрешено кликать на полосу прокрутки для перемещения внутри буфера.

Проект своими силами не формирует и не распространяет сборки, а содержит мета-данные со ссылками на оригинальные установочные файлы, подготовленные основными разработчиками представленных программ. В мета-данных также доступна сопутствующая информация, такая как описание, скриншоты, ссылки на репозитории и сайты. Для проверки подлинности и целостности загружаемых файлов для большинства проектов выполняется дополнительной верификация по SHA1-хэшу, отдельно сохранённому в мета-данных.

Приложения разделены на 7 категорий, при желании выбрать и загрузить программу можно без запуска графической оболочки каталога, найдя необходимую программу в нужном разделе в репозитории на Github и определив файл для загрузки из ini-файла с метаданными. При использовании приложения Lite Catalog возможна авто-установка переносимых сборок приложений - архивы (zip, 7z, rar) автоматически распаковываются по умолчанию в каталог C:\Programs\ с созданием ярлыков на рабочем столе.

Программа позволяет наглядно оценивать к каким хостам в данный момент обращаются приложения в системе, просматривать историю сетевой активности и отслеживать объём трафика. Возможно блокирование нежелательных соединений и подключение списков блокировки, как собственных, так и внешних списков, таких как oisd.nl, предназначенных для блокирования рекламы, отслеживающих сервисов, систем сбора телеметрии, фишинга и прочей нежелательной активности. Внешние списки могут автоматически обновляться. Блокировка производится на уровне IP-адресов, подсетей и доменных имён. Возможно создание белого списка приложений, которым разрешена сетевая активность.

Программа включается в себя загружаемый в ядро Linux BPF-обработчик и фоновый процесс littlesnitch. Управление производится через web-интерфейс, доступный при открытии в браузере страницы "http://localhost:3031/". Возможна работа с web-интерфейсом как с обособленным web-приложением (PWA - Progressive Web App). Поддерживается работа на системах с ядром Linux 6.12 и новее.

Дополнительно можно отметить, что существует открытый аналог Little Snitch для Linux - OpenSnitch, который позволяет в интерактивном режиме отслеживать сетевую активность приложений - при попытке установки приложениями сетевых соединений, не подпадающих под ранее установленные разрешения, OpenSnitch выводит пользователю диалог с предложением принять решение о продолжении сетевой операции или блокирования сетевой активности. Кристиан Старкйоханн (Christian Starkjohann), разработчик Linux-версии Little Snitch, отметил, что OpenSnitch не подошёл ему для решения задачи отслеживания сетевых соединения, устанавливаемых процессами, и блокировки соединений одним кликом.

Источник: https://www.opennet.ru/opennews/art.shtml?num=65178