📌CVE-2022-30783, CVE-2022-30785, CVE-2022-30787 - уязвимости в драйвере NTFS-3G, собранном со встроенной библиотекой libfuse или с системной библиотекой libfuse2. Атакующий может выполнить произвольный код с правами root через манипуляцию с опциями командной строки, при наличии доступа к исполняемому файлу ntfs-3g, поставляемому с флагом suid root.
📌CVE-2021-46790, CVE-2022-30784, CVE-2022-30786, CVE-2022-30788, CVE-2022-30789 - уязвимости в коде разбора метаданных в NTFS-разделах, приводящие к переполнению буфера из-за отсутствия должных проверок. Атака может быть совершена при обработке NTFS-3G раздела, подготовленного злоумышленником. Например, при монтировании пользователем накопителя, подготовленного атакующим, или при наличии у атакующего непривилегированного локального доступа к системе.
📌CVE-2021-46790, CVE-2022-30784, CVE-2022-30786, CVE-2022-30788, CVE-2022-30789 - уязвимости в коде разбора метаданных в NTFS-разделах, приводящие к переполнению буфера из-за отсутствия должных проверок. Атака может быть совершена при обработке NTFS-3G раздела, подготовленного злоумышленником. Например, при монтировании пользователем накопителя, подготовленного атакующим, или при наличии у атакующего непривилегированного локального доступа к системе.
🤬7🔥4
Доступен дистрибутив AlmaLinux 9.0, основанный на ветке RHEL 9
Проект AlmaLinux стал первым общедоступным дистрибутивом, основанным на пакетной базе RHEL, выпустившим стабильные сборки на основе RHEL 9. Дистрибутив полностью бинарно совместим с Red Hat Enterprise Linux и может использоваться в качестве замены RHEL 9 и CentOS 9 Stream.
Изменения сводятся к ребрендингу, удалению специфичных для RHEL пакетов, таких как redhat-, insights-client и subnoscription-manager-migration.
Проект AlmaLinux стал первым общедоступным дистрибутивом, основанным на пакетной базе RHEL, выпустившим стабильные сборки на основе RHEL 9. Дистрибутив полностью бинарно совместим с Red Hat Enterprise Linux и может использоваться в качестве замены RHEL 9 и CentOS 9 Stream.
Изменения сводятся к ребрендингу, удалению специфичных для RHEL пакетов, таких как redhat-, insights-client и subnoscription-manager-migration.
👍9
В Ubuntu 22.04 был предложен snap-пакет с Firefox вместо обычного deb-пакета. Пользователи недовольны очень медленным запуском Firefox после этих изменений, поэтому Canonical приступила к решению проблем с производительностью.
Выявлены 4 основные причины медленного запуска:
- Высокие накладные расходы при поиске файлов внутри сжатого образа squashfs. Проблему планируется решить через группировку содержимого для минимизации операций перемещения по образу во время запуска.
- На Raspberry Pi и системах с GPU AMD большие задержки связаны со сбоем при определении графического драйвера и откатом на применение программной отрисовки c медленной компиляцией шейдеров. Патч для решения проблемы уже добавлен в snapd.
- Много времени тратилось на копирование встроенных в пакет дополнений в каталог пользователя.
- Задержки также возникали из-за определения всех доступных шрифтов, тем пиктограмм и конфигураций шрифтов.
Выявлены 4 основные причины медленного запуска:
- Высокие накладные расходы при поиске файлов внутри сжатого образа squashfs. Проблему планируется решить через группировку содержимого для минимизации операций перемещения по образу во время запуска.
- На Raspberry Pi и системах с GPU AMD большие задержки связаны со сбоем при определении графического драйвера и откатом на применение программной отрисовки c медленной компиляцией шейдеров. Патч для решения проблемы уже добавлен в snapd.
- Много времени тратилось на копирование встроенных в пакет дополнений в каталог пользователя.
- Задержки также возникали из-за определения всех доступных шрифтов, тем пиктограмм и конфигураций шрифтов.
👍7😁7
❗️В дистрибутиве Linuxfx выявлен вшитый пароль для доступа к базе пользователей
Linuxfx предлагает сборку Ubuntu с пользовательским окружением KDE, стилизованным под интерфейс Windows 11. По данным с сайта проекта дистрибутивом пользуется более миллиона пользователей.
Исследование приложения для активации лицензии (/usr/bin/windowsfx-register) показало, что оно включает в себя вшитые логин и пароль для обращения к внешней СУБД MySQL, в которую добавляются данные о новом пользователе. При этом используемые учётные данные позволяют получить полный доступ к БД, в том числе к таблице "machines" в которой отражены сведения о всех установках дистрибутива, включая IP-адреса пользователей. Доступно также содержимое таблицы "fxkeys" с лицензионными ключами и адресами электронной почты всех зарегистрированных коммерческих пользователей.
Примечательно, что в отличие от заявлений о миллионе пользователей, в БД имеется лишь 20 тысяч записей.
Разработчики выпустили обновление, в котором не устранили саму проблему, а лишь поменяли имя БД, логин и пароль, а также изменили логику получения учётных данных и попытались бороться с трассировкой программы.
Linuxfx предлагает сборку Ubuntu с пользовательским окружением KDE, стилизованным под интерфейс Windows 11. По данным с сайта проекта дистрибутивом пользуется более миллиона пользователей.
Исследование приложения для активации лицензии (/usr/bin/windowsfx-register) показало, что оно включает в себя вшитые логин и пароль для обращения к внешней СУБД MySQL, в которую добавляются данные о новом пользователе. При этом используемые учётные данные позволяют получить полный доступ к БД, в том числе к таблице "machines" в которой отражены сведения о всех установках дистрибутива, включая IP-адреса пользователей. Доступно также содержимое таблицы "fxkeys" с лицензионными ключами и адресами электронной почты всех зарегистрированных коммерческих пользователей.
Примечательно, что в отличие от заявлений о миллионе пользователей, в БД имеется лишь 20 тысяч записей.
Разработчики выпустили обновление, в котором не устранили саму проблему, а лишь поменяли имя БД, логин и пароль, а также изменили логику получения учётных данных и попытались бороться с трассировкой программы.
🤬23😁3👍2🔥2😢1
В репозиторий принят очередной набор изменений, связанных с подсистемой DRM и графическими драйверами. Принятый набор патчей интересен тем, что включает 495 тысяч строк кода, что сопоставимо с общим размером изменений в каждой ветке ядра.
400 тысяч добавленных строк приходится на автоматически сгенерированные заголовочные файлы с данными для регистров ASIC в драйвере для GPU AMD. Ещё 22.5 тысяч строк обеспечивают начальную реализацию поддержки AMD SoC21.
В драйвере Intel наибольшее число изменений (5.6 тысяч) присутствует в коде для управления энергопотреблением.
В драйвере Nouveau в сумме изменения затронули около сотни строк кода (осуществлён переход на использование обработчика drm_gem_plane_helper_prepare_fb, для некоторых структур и переменных применено статическое выделение памяти).
400 тысяч добавленных строк приходится на автоматически сгенерированные заголовочные файлы с данными для регистров ASIC в драйвере для GPU AMD. Ещё 22.5 тысяч строк обеспечивают начальную реализацию поддержки AMD SoC21.
В драйвере Intel наибольшее число изменений (5.6 тысяч) присутствует в коде для управления энергопотреблением.
В драйвере Nouveau в сумме изменения затронули около сотни строк кода (осуществлён переход на использование обработчика drm_gem_plane_helper_prepare_fb, для некоторых структур и переменных применено статическое выделение памяти).
👍7😱2
Создатели Tails рекомендуют временно отказаться от Tails
Разработчики призвали пользователей не использовать дистрибутив до следующего релиза, так как входящий в состав Tails браузер Tor небезопасен для доступа и передачи конфиденциальной информации. Версия Tails 5.1 выйдет 31 мая.
Всё дело в критических 0-day уязвимостях в JavaScript-движке Firefox (CVE-2022-1802 и CVE-2022-1529). Они позволяют злоумышленникам получать доступ к информации с других сайтов, посещаемых с помощью браузера Tor.
«Например, после посещения вами вредоносного сайта, злоумышленник, контролирующий этот сайт, может получить доступ к паролю или другой конфиденциальной информации, которую вы затем отправляете на другие сайты во время того же сеанса Tails.»
Напомним, что Tails представляет собой дистрибутив Linux, созданный для максимальной защиты приватности и анонимности в сети.
Разработчики призвали пользователей не использовать дистрибутив до следующего релиза, так как входящий в состав Tails браузер Tor небезопасен для доступа и передачи конфиденциальной информации. Версия Tails 5.1 выйдет 31 мая.
Всё дело в критических 0-day уязвимостях в JavaScript-движке Firefox (CVE-2022-1802 и CVE-2022-1529). Они позволяют злоумышленникам получать доступ к информации с других сайтов, посещаемых с помощью браузера Tor.
«Например, после посещения вами вредоносного сайта, злоумышленник, контролирующий этот сайт, может получить доступ к паролю или другой конфиденциальной информации, которую вы затем отправляете на другие сайты во время того же сеанса Tails.»
Напомним, что Tails представляет собой дистрибутив Linux, созданный для максимальной защиты приватности и анонимности в сети.
😱15👍4😁2
Выпуск LXLE Focal, дистрибутива для устаревших систем
LXLE основан на наработках Ubuntu MinimalCD и пытается предоставить легковесное решение, сочетающее поддержку устаревшего оборудования с современным пользовательским окружением.
Состав нового выпуска синхронизирован с пакетной базой LTS-ветки Ubuntu 20.04.4.
Arista заменён на HandBrake, Pinta на GIMP, Pluma на Mousepad, Seamonkey на LibreWolf, Abiword/Gnumeric на LibreOffice, Mirage на Viewnior, Linphone/Pidgin на uTox.
В состав включены: центр установки приложений App Grid, синтезатор звука Blanket, конфигуратор Bluetooth, почтовый клиент Claws Mail, RSS-ридер Liferea, утилита резервного копирования GAdmin-Rsync, программа для настройки совместного доступа к файлам GAdmin-Samba, планировщик Osmo, интерфейс для оптимизации энергопотребления TLP GUI. Для сжатия информации в разделе подкачки вместо Zram задействован Zswap.
LXLE основан на наработках Ubuntu MinimalCD и пытается предоставить легковесное решение, сочетающее поддержку устаревшего оборудования с современным пользовательским окружением.
Состав нового выпуска синхронизирован с пакетной базой LTS-ветки Ubuntu 20.04.4.
Arista заменён на HandBrake, Pinta на GIMP, Pluma на Mousepad, Seamonkey на LibreWolf, Abiword/Gnumeric на LibreOffice, Mirage на Viewnior, Linphone/Pidgin на uTox.
В состав включены: центр установки приложений App Grid, синтезатор звука Blanket, конфигуратор Bluetooth, почтовый клиент Claws Mail, RSS-ридер Liferea, утилита резервного копирования GAdmin-Rsync, программа для настройки совместного доступа к файлам GAdmin-Samba, планировщик Osmo, интерфейс для оптимизации энергопотребления TLP GUI. Для сжатия информации в разделе подкачки вместо Zram задействован Zswap.
👍15