OpenNews.opennet.ru: Общая лента новостей

Уязвимость в ОС Qubes, позволяющая обойти изоляцию и выполнить код на уровне Dom0

Опубликована информация об уязвимости в операционной системе Qubes , использующей гипервизор для строгой изоляции приложений и компонентов ОС (каждый класс приложений и системные сервисы работают в отдельных виртуальных машинах). В случае если атакующий скомпрометирует одну из виртуальных машин, уязвимость позволяет обойти изоляцию, добиться выполнения произвольных команд на стороне хостового окружения (Dom0) и получить контроль над всей операционной системой. Проблема проявляется при использовании пользователем утилиты "qvm-copy-to-vm" для копирования файла из хостового окружения в подконтрольную атакующему виртуальную машину. Уязвимость устранена в обновлении пакета qubes-core-dom0-linux 4.3.22. Проблема присутствует в утилите " qvm-copy-to-vm " и вызвана ненадлежащей обработкой ошибок, возвращаемых при обращении к виртуальной машине. Суть уязвимости в том, что утилита qvm-copy-to-vm для отображения информации об ошибке запускала программы kdialog или zenity, используя функцию system() и подставляя сведения о неудачно скопированном файле в числе опций в командной строке. При этом чистка имени файла ограничивалась вырезанием не-ASCII-символов и двойных кавычек без проверки наличия спецсимволов, интерпретируемых командной оболочкой, таких как "`" и "$". После завершения копирования файлов из хостовой системы обработчик на стороне виртуальной машины передаёт обратно подтверждение операции, в котором среди прочего указывается имя последнего полученного файла. Атака сводится к возвращению кода ошибки вместо подтверждения и указанию для файла, который не удалось скопировать, имени с обрабатываемыми командным интерпретатором спецсимволами. После получения ошибки обработчик на стороне хостового окружения запустит командой system() утилиту для показа диалога с текстом ошибки, передав в командной строке возвращённое атакующим имя файла (например, при указании "file`id`" на стороне хостового окружения будет запущена команда id).

Источник: https://www.opennet.ru/opennews/art.shtml?num=66232

Релиз FreeBSD 14.5

После шести месяцев разработки сформирован релиз FreeBSD 14.5 . Установочные образы подготовлены для архитектур amd64, i386, aarch64, armv7, powerpc, powerpc64 и riscv64. Дополнительно подготовлены сборки для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2, Google Compute Engine и Vagrant. Следующее обновление FreeBSD 14.6 запланировано на март 2027 года. Поддержка нынешнего выпуска FreeBSD 14.5 будет осуществляться до 30 июня 2027 года, а прошлого выпуска FreeBSD 14.4 - до 31 декабря 2026 года. В целом ветка FreeBSD 14 будет сопровождаться до 30 ноября 2028 года. Поддержка ветки FreeBSD 13.x была прекращена 30 апреля 2026 года. Параллельно развивается ветка FreeBSD 15, актуальный выпуск 15.1 для которой был опубликован три месяца назад. Основные изменения во FreeBSD 14.5:
  • В ядре реализован Linux-совместимый механизм inotify для отслеживания изменений в файловых системах. В libc добавлены функции inotify_init, inotify_init1 и inotify_add_watch.
  • Добавлена sysctl-настройка security.bsd.unprivileged_kenv_read для запрета непривилегированного доступа к переменным окружения ядра (kenv).
  • В драйвер ФС msdosfs добавлена возможность использования Unicode-символов в именах файлов (налажена работа с разделами FAT32 с emoji в именах файлов).
  • В скрипте rc.firewall реализована поддержка подстановки в переменные firewall_allowservices и firewall_trusted содержимого внешних файлов со списками IP-адресов и подсетей.
  • В программу для работы с ленточными накопителями mt и библиотеку libmt добавлена поддержка картриджей LTO-10 и LTO-10P, а также новых форматов.
  • Изменено поведение утилиты вывода текущего пути pwd, которая в соответствии со спецификациями POSIX теперь по умолчанию использует режим отображения имён символических ссылок (-L) вместо показа пути на который указывают символические ссылки (-P).
  • В утилиту ipfw добавлен обработчик для вызова утилиты ipfw15 при запуске в системе с новым программным интерфейсом пакетного фильтра, появившемся в ядре FreeBSD 15.
  • В утилиту daemon добавлена опция "-m" для указания режима доступа к записываемому файлу для предоставления доступа обработчиков, запускаемых без прав root.
  • В скрипте local-unbound-setup реализована поддержка настройки DNS для систем, в которых используется только IPv6.
  • В заголовочный файл math.h добавлены предложенные в стандарте C23 тригонометрические функции sinpi, cospi и tanpi, умножающие переданный аргумент на число Pi.
  • Обновлён драйвер smartpqi , в который добавлена поддержка новых контроллеров Microchip Smart Storage SCSI и предоставлена возможность указания 32-разрядных значениях при определении размера буфера ввода/вывода.
  • В драйвер acpi добавлена поддержка дополнительных вариантов контроллеров Marvell 88SE9128 SATA (решило проблемы с работой на материнской плате Gigabyte GA-P55A-UD4) и реализована возможность управления энергопотреблением на системах Apple Mac с двумя GPU (включается через sysctl-параметр hw.acpi.apple_darwin_osi).
  • В драйвере asmc прекращена поддержка 32-разрядных устройств Apple Mac с CPU Intel.
  • В загрузчик lualoader добавлены команды be-list и be-switch для просмотра и переключения загрузочных окружений. Обеспечена обработка символических ссылок при поиске загружаемых ядер. Добавлен callback-обработчик для фильтрации загрузочных окружений в запускаемых загрузчиком Lua-скриптах.
  • В инсталляторе bsdinstall обеспечено корректное создание загрузочной записи FreeBSD UEFI.
  • Модули ядра nvidia, nvidia-modeset и nvidia-drm добавлены в чёрный список загрузчика для избежания аварийного завершения в случае их ранней загрузки через loader.conf.
  • Обновлены версии сторонних компонентов: LLVM/Clang 21.1.8, OpenSSL 3.0.21, unbound 1.26.0, Expat 2.8.1, file 5.47, ldns 1.9.2, less 704, libarchive 3.8.7, libpcap 1.10.6, ncurses 6.6, openresolv 3.17.4, NSS 3.123.1, tcpdump 4.99.6, xz 5.8.3.
  • В качестве компоновщика при использовании Clang по умолчанию задействован ld.lld (LLD) вместо промежуточного обработчика, определяющего компоновщик с учётом порядка обнаружения при поиске в файловых путях PATH. Старый подход приводил к замене фактически применяемого во FreeBSD компоновщика ld.lld в случае дополнительной установки в систему GNU ld.
  • В разряд устаревших переведён набор программ lpr, который будет удалён в выпуске FreeBSD 16.0. Вместо lpr рекомендовано использовать порт print/cups или sysutils/LPRng. В фоновом процессе lpd решена проблема с игнорированием номера порта из /etc/printcap при использовании IPv6.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66230

Уязвимости в MikroTik RouterOS, допускающие удалённый доступ по SSH без аутентификации

В операционной системе RouterOS, применяемой в маршрутизаторах MikroTik, выявлено 6 уязвимостей. Комбинация двух из них позволяет удалённо получить полный контроль над устройством с правами администратора при условии его доступности по SSH. Зафиксированы факты эксплуатации отмеченных уязвимостей. Патчи от MikroTik доступны с 3 сентября (RouterOS 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21) и, вероятно, атакующие смогли определить суть уязвимостей по этим патчам. Уязвимостям CVE-2026-67276 и CVE-2026-86060 присвоен критический уровень опасности (9.2 из 10). Первая проблема вызвана некорректной проверкой открытых ключей RSA, применяемых при аутентификации через SSH. Зная имя пользователя и параметры открытого ключа пользователя, атакующий мог сформировать фиктивный ключ и подключиться по нему через SSH без доступа к закрытому ключу. Вторая проблема связана с отсутствием фильтрации недопустимых символов в начале имени пользователя при обработке входа через SSH. Успешную эксплуатацию уязвимостей можно отследить по записям в логе RouterOS: 


   login failure for user -2 from ‹ip› via ssh
   user ‹name› added by ssh:-2@‹ip›


Источник: https://www.opennet.ru/opennews/art.shtml?num=66224

В Asahi Linux обеспечена официальная поддержка устройств Apple на чипах M3

Разработчики проекта Asahi , нацеленного на портирование Linux для работы на компьютерах Mac, оснащённых ARM-чипами, разработанными компанией Apple, объявили о реализации официальной поддержки компьютеров Mac на чипах Apple M3 . Заявлена возможность работы на устройствах MacBook и iMac серий M3, M3 Pro и M3 Max (Mac Studio/M3 Ultra пока не поддерживается). Уровень поддержки оборудования для Apple M3 близок к уровню для устройств M1 и M2, и включает поддержку web-камеры, встроенных микрофонов, USB, Bluetooth и ускорения декодирования видео в формате AV1. Ограничения в функциональности касаются полной поддержки дисплейного процессора (DCP) и GPU, а также недостаточной производительности и эффективности энергопотребления при использовании 3D-ускорения. Из-за неполной поддержки DCP, которую в скором времени обещают довести до должного уровня, на MacBook отключён порт HDMI и отмечаются проблемы с переходом в спящий режим.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66228

Доступен NetBSD 9.5, финальный выпуск в ветке 9.x

Опубликован релиз операционной системы NetBSD 9.5 , который отнесён к категории корректирующих обновлений и включает в основном исправления проблем и уявзимостей, выявленных с момента публикации NetBSD 9.4 в апреле 2024 года. Для загрузки подготовлены установочные образы размером 507 МБ, доступные в сборках для 57 системных архитектур и 16 различных семейств CPU. Из не связанных с исправлением ошибок изменений отмечается поддержка новых версий компиляторов и платформ, а также перенос из ветки NetBSD 10 кода для поддержки адаптеров Brainboxes USB2Serial и беспроводных карт на чипах Mercusys MW150USV2 и Asus USB-N10 Nano B1. Одновременно объявлено о прекращении поддержки ветки NetBSD 9, первый релиз которой был опубликован в феврале 2020 года. Пользователям рекомендуется обновить свои системы до недавно выпущенного релиза NetBSD 11.0 или перейти на ещё сопровождаемую ветку NetBSD 10.x. Корректирующий выпуск NetBSD 10.2 планируют опубликовать через несколько дней, а NetBSD 11.1 - в конце месяца.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66227

В Firefox 157 будет существенно переделан интерфейс пользователя

В выпуске Firefox 157, намеченном на 29 сентября, решено задействовать по умолчанию новый интерфейс пользователя, разработанный в рамках проекта Nova . Для включения нового интерфейса не дожидаясь релиза Firefox 157 на странице about:config можно выставить настройку "browser.nova.enabled". Основные изменения:
  • Скруглены кнопки вкладок и поля адресной строки.
  • В отдельно выделенную цветом область помещены панель вкладок, панель навигации и боковая панель.
  • В панели инструментов размещены отдельные кнопки для перехода в режим приватного просмотра и использования встроенного VPN.
  • Упрощён доступ к группировке вкладок, вертикальным вкладкам и режиму просмотра бок о бок двух вкладок.
  • Возвращена возможность включения компактного режима, в котором элементы интерфейса занимают меньше экранного пространства.
  • Обновлены пиктограммы, которые теперь выглядят чище и более сбалансированы в светлых и тёмных темах.
  • Изменена цветовая палитра, в которой задействованы оттенки фиолетового цвета и более светлые тёплые тона.
  • Реализован эффект свечения вокруг кнопки активной вкладки.
  • Изменены отступы между всеми элементами интерфейса.
    • rc="https://www.opennet.ru/opennews/pics_base/CFD0C5CECEC5D4_1788768452.png" style="border-style: solid; border-color: #e9ead6; border-width: 15px;max-width:95%;" title="" border=0>


    Источник: https://www.opennet.ru/opennews/art.shtml?num=66226

Omacom Linux удалось собрать 14.95 млн долларов на разработку

Давид Хейнемейер Ханссон (David Heinemeier Hansson), автор веб-фреймворка Ruby on Rails, объявил о значительном расширении финансирования некоммерческой организации Omacom Foundation, созданной в конце августа для поддержание разработки дистрибутива Omarchy Linux . За две недели после создания организации различные компании и частные лица передали в фонд почти 7 млн долларов, помимо изначально вложенных 8 млн долларов. Общий бюджет организации составил 14.95 млн долларов. Брайан Армстронг (Brian Armstrong), руководитель криптобиржи Coinbase, и Юньцзе Дай (Yunjie Dai), создатель китайской платформы доставки игр TapTap, Дрю Хьюстон (Drew Houston), основатель Dropbox, и Питер Штайнбергер (Peter Steinberger), основатель OpenClaw, передали проекту по миллиону долларов каждый. В финансировании Omacom Linux также приняли участие проекты 1Password и 37signals , каждый из которых обязался передавать по 100 тысяч долларов в год на протяжении следующих трёх лет. Вклад, размером 100 тысяч долларов и выше внесли сооснователь PingCAP, основатель Metaco и директор по продуктам Notion. Подразделение Meta Superintelligence передало проекту токены для использования AI-инструментов на сумму 1.5 млн долларов. Компании Anthropic, OpenAI и Fireworks передали токены, каждая на сумму эквивалентную 150 тысячам долларов. В свою очередь, организация Omacom Foundation объявила о предоставлении финансовой поддержки открытым проектам Hyprland , Quickshell и mise , применяемым в дистрибутиве Omarchy. Для работы над пакетом с ядром Linux для Omacom в режиме полного рабочего дня нанят Кшиштоф Вильчинский ( Krzysztof Wilczyński ), сопровождающий подсистемы, связанные с шиной PCI, в ядре Linux. Дополнительно сообщается , что за 18 дней после релиза Omarchy 4.0 установочный ISO-образ дистрибутива был загружен более 200 тысяч раз. По недельной статистике проекта 1Password дистрибутив Omarchy занял второе место среди дистрибутивов Linux, которые применяют пользователи менеджера паролей 1Password, уступив только Fedora. Дистрибутив Omarchy основан на пакетной базе Arch Linux, но не просто предлагает набор предустановленных пакетов, а пытается предложить среду из сочетающихся между собой приложений, подобранных с учётом эстетики и эффективности решения задач. Проект развивает собственную среду рабочего стола, созданную с использованием фреймворка Quickshell и композитного менеджера Hyprland с мозаичной компоновкой окон. Вместо ориентации на гипотетического среднего пользователя в Omarchy предлагаются только приложения, повседневно используемые автором - от Neovim, Chromium и LibreOffice до Spotify, Omawrite, Foot и Zoom.

Источник: https://www.opennet.ru/opennews/art.shtml?num=66223

Выпуск пользовательского окружения DankMaterialShell 1.6

Представлен релиз пользовательского окружения DankMaterialShell (DMS) 1.6 , поддерживающего работу поверх композитных серверов niri, Hyprland, Sway, MangoWC, labwc, Scroll и Miracle WM. DankMaterialShell предоставляет единый набор сочетающихся между собой компонентов для формирования рабочего стола, таких как панель задач, переключатель виртуальных рабочих столов, интерфейс навигации по установленным приложениям и конфигуратор. Оформление соответствует концепции Material Design 3. Код фонового процесса для интеграции с системой, инструментария и инсталлятора написаны на языке Go и распространяются под лиценизей MIT. Компоненты интерфейса, панели, виджеты и графические приложения подготовлены на языке QML с применением фреймворка Quickshell , написанного на C++ с использованием Qt. Возможности DankMaterialShell:
  • Динамические темы оформления, автоматически применяемые к GTK, Qt и системным приложениям. Цветовые схемы для тем формируются с учётом цвета выбранных обоев рабочего стола.
  • Встроенные в управляющий фоновый процесс средства сбора метрик о температуре и потреблении ресурсов CPU, ОЗУ и GPU. Наличие интерфейса для управления запущенными процессами.
  • Расширяемый через плагины интерфейс для навигации по установленным в системе приложениям с поддержкой поиска программ, файлов, открытых окон и команд.
  • Центр управления с интерфейсом для настройки сети, Bluetooth, звуковых устройств и экрана.
  • Возможность включения ночного режима работы, а также переключения между светлой и тёмной темами оформления.
  • Центр уведомлений, поддерживающий группировку уведомлений, использование разметки в тексте и навигацию при помощи клавиатуры.
  • Панель с виджетами для календаря, прогноза погоды, просмотра истории работы с буфером обмена и интеграции с мультимедийными проигрывателями при помощи протокола MPRIS.
  • Экран блокировки системы с возможностями управления сеансом. Возможна активация спящего режима или блокировка экрана при определённом периоде неактивности пользователя.
  • Экран входа в систему Dank Greeter .
  • Система плагинов , расширяющих функциональность и устанавливаемых из репозитория плагинов .
  • Универсальный инсталлятор, позволяющий развернуть и настроить окружение на базе DankMaterialShell в Arch, Fedora, Debian, Ubuntu, openSUSE, Gentoo и Void Linux.
  • Инструментарий Dank Search для поиска файлов в системе.
  • Календарь-планировщик Dank Calendar , поддерживающий протокол CalDAV и синхронизируемый с сервисами Google и Microsoft.
  • В разработке находится собственный файловый менеджер и приложение DankConnect для интеграции со смартфоном.
Среди изменений в новом выпуске:

Источник: https://www.opennet.ru/opennews/art.shtml?num=66217

Nitter и XCancel возобновили работу после консультации с юристами

Сервисы Nitter и XCancel , предоставляющие альтернативный интерфейс для просмотра сообщений из социальной сети X (Twitter) без регистрации учётной записи, возобновили свою работу. Репозиторий проекта Nitter, в котором развивался свободный (GPLv3) фронтенд для доступа к X.com без навязывания JavaScript, аналитики, трекеров и сторонних сервисов, возвращён из архивного режима. Автор Nitter пока ограничился заявлением , что проект возвращён в строй после консультации с юристами. Похожее объявление опубликовали создатели XCancel. Дополнительные подробности планируют раскрыть позднее. Работа сервисов Nitter и XCancel была остановлена две недели назад после получения от компании X Corp уведомления с требованием прекращения незаконной деятельности ( cease and desist ) под угрозой предъявления судебного иска. В уведомлении утверждалось, что сервисы нарушают специфичные для отдельных штатов и федеральные законы США, включая, принятый в Техасе Закон о вредоносном доступе к компьютерам (§ 143.001 и § 33.02) и Закон Лэнхема о товарных знаках (15 U.S.C. §§ 1114, 1125)». Разработчикам Nitter и XCancel вменялось незаконное обращение к API X.com и связанными с ними данными, а также получение доступа к учётным записям X и токенам сессий в нарушение правил сервиса.



Источник: https://www.opennet.ru/opennews/art.shtml?num=66222

Выпуск Gotcha 1.0, платформы мониторинга ошибок и производительности

Опубликован выпуск Gotcha 1.0 - self-hosted-платформы мониторинга, объединяющей отслеживание ошибок, распределённые трейсы, метрики, профили, логи, мониторинг доступности с публичными статус-страницами и мониторинг хостов. Проект написан на Go и распространяется под лицензией Apache-2.0. Приём данных совместим с протоколом Sentry SDK и OTLP, данные хранятся в PostgreSQL и ClickHouse. Минимальные требования - 2 vCPU и 2 ГБ ОЗУ. Интерфейс, шаблоны писем и документация доступны на русском и английском языках. Номер версии 1.0 свидетельствует о фиксации обратной совместимости: имена переменных окружения, адреса приёма и форматы тел запросов, направление миграций, формат резервных копий, тело исходящего вебхука и адреса уже опубликованных статус-страниц с этого выпуска меняются только обратно совместимо, всё остальное - в ветке 2.0. Три устаревших адреса Web API (/logs, /profiles/pprof и /api/{project}/deployments/) продолжают работать и будут удалены только в следующем значительном выпуске. Со времени освещавшихся ранее выпусков 0.5-0.17 добавлены:
  • Группы инцидентов, сворачивающие каскадную аварию в одну карточку;
  • Подавление уведомлений по графу зависимостей;
  • Готовые конфигурации коллектора для PostgreSQL, nginx, Redis, Docker и MariaDB;
  • Фоновые выгрузки ошибок и событий в CSV, JSON и NDJSON с маскированием персональных данных;
  • Ротация мастер-ключа шифрования без остановки;
  • Собственные метрики приёма и живости фоновых обработчиков;
  • Отдельное пространство имён /api/v1/* для точек приёма и типы DSN-ключей, при которых раскрытый браузерный ключ не может зарегистрировать хост.
  • При конфигурации, которую процесс не может выполнить, запуск теперь останавливается с явной ошибкой вместо подстановки значения по умолчанию.


Источник: https://www.opennet.ru/opennews/art.shtml?num=66220

Началось альфа-тестирование Slackware 16.0

Спустя четыре с половиной года с момента прошлого выпуска Патрик Фолькердинг (Patrick Volkerding) объявил о начале альфа-тестирования дистрибутива Slackware 16.0. Проект развивается с 1993 года и является старейшим из ныне существующих дистрибутивов. Особенностями дистрибутива являются отсутствие усложнений и простая система инициализации, что делает Slackware интересным решением для изучения работы Unix-подобных систем, проведения экспериментов и знакомства с Linux. Для загрузки.

Доступен LibreDB Studio, веб-редактор баз данных

Доступен LibreDB Studio, веб-клиент и IDE для работы с базами данных (актуальный выпуск 0.13.7). Приложение распространяется под лицензией MIT и предназначено для установки на собственный сервер: администратор запускает его на своей машине, а пользователи подключаются через браузер. Среди расширенных возможностей: централизованный вход через SSO (OIDC), разграничение прав доступа (RBAC), полный журнал аудита запросов, построение ER-диаграмм, визуализация вывода EXPLAIN и сравнение схем.

Выпуск MicroPythonOS 0.18, ОС с графическим интерфейсом для микроконтроллеров

Доступен выпуск проекта MicroPythonOS 0.18.0, разрабатывающего операционную систему для микроконтроллеров, таких как ESP32, написанную с использованием инструментария MicroPython. Операционная система оснащена графическим интерфейсом, развиваемым с оглядкой на Android и iOS, и поддерживающим управления через сенсорные экраны или кнопки навигации. Из областей применения MicroPythonOS упоминаются устройства интернета вещей (IoT), системы управления домашней автоматизацией, интерактивные панели, роботы и умные носимые устройства с управлением экранными жестами. Проект также может применяться для быстрой разработки прототипов новых устройств. Код написан на языках Си и Python и распространяется под лицензий MIT.

Доступно пользовательское окружение Noctalia 5.0

Опубликован выпуск проекта Noctalia 5.0, развивающего пользовательское окружение, способное функционировать поверх любых композитных менеджеров, поддерживающих Wayland-протокол layer-shell, например.

Реформирование процесса утверждения значительных изменений в GNOME

Разработчики GNOME обсуждают внедрение нового процесса принятия решений, основанного на публикации предложений в форме RFC (Request for Comments) и их последующего совместного утверждения. Участникам GNOME Foundation предлагается подключиться к обсуждению и высказать свои замечания до 4 октября. Модель на основе RFC планируют применять только в особых случаях, для разрешения тупиковых ситуаций, утверждения глобальных изменений в проекте, затрагивающих методы работы участников или код разных приложений и подсистем, а также архитектурных изменений и крупных переработок интерфейса.

Distributed by aarss.com.