Вторая за неделю критическая уязвимость в GitLab

GitLab опубликовала очередную серию корректирующих обновлений своей платформы для организации совместной разработки - 15.3.2, 15.2.4 и 15.1.6, в которых устранена критическая уязвимость (CVE-2022-2992). Она позволяет аутентифицированному пользователю удалённо выполнить код на сервере. Новая проблема присутствует в API для импорта данных из сервиса GitHub. Уязвимость проявляется в том числе в выпусках 15.3.1, 15.2.3 и 15.1.5, в которых была исправлена первая уязвимость в коде импорта из GitHub.

Кроме того, в предложенных обновлениях исправлено ещё 14 уязвимостей, две из которых помечены как опасные, десяти присвоен средний уровень опасности, а две отмечены как неопасные.

платное cowsay 😁

Apache OpenOffice преодолел отметку в 333 миллиона загрузок

Проект преодолел рубеж в 333 млн загрузок (по статистике SourceForge - 352 млн), совершённых с момента первого выпуска Apache OpenOffice в мае 2012 года.

Статистика учитывает загрузки всех выпусков, начиная с Apache OpenOffice 3.4.0 и заканчивая 4.1.13. Из 333 млн - 297.9 млн загрузок приходится на сборки для платформы Windows, 31.6 млн - macOS и 4.7 млн - Linux. Apache OpenOffice наиболее популярен в США (55 млн), Франции (44 млн), Германии (35 млн), Италии (28 млн), Испании (17 млн) и России (15 млн).

Несмотря на стагнацию проекта популярность Apache OpenOffice остаётся ощутимой и каждый день продолжают загружать около 50 тысяч копий Apache OpenOffice.

​​Умер Питер Экерсли, один из основателей Let's Encrypt

Не стало Питера Экерсли (Peter Eckersley), одного из основателей некоммерческого удостоверяющего центра Let's Encrypt, контролируемого сообществом и предоставляющего сертификаты безвозмездно всем желающим. Питер входил в совет директоров некоммерческой организации ISRG (Internet Security Research Group), которая является учредителем проекта Let's Encrypt, и долгое время проработал в правозащитной организации EFF (Electronic Frontier Foundation). Продвигаемая Питером идея обеспечить шифрование во всём интернете, предоставив бесплатные сертификаты всем сайтам, многим казалась нереализуемой, но созданный проект Let's Encrypt показал обратное.

Помимо Let's Encrypt Питер известен, как основатель многих инициатив, связанных с конфиденциальностью, сетевым нейтралитетом и этикой искусственного интеллекта, а также как создатель таких проектов, как Privacy Badger, Certbot, HTTPS Everywhere, SSL Observatory и Panopticlick.

На прошлой неделе Питер попал в больницу, в которой был диагностирован рак. Опухоль удалили, но состояние Питера резко ухудшилось из-за осложнений, возникших после операции. В пятницу ночью, несмотря на реанимационные мероприятия, Питер скоропостижно скончался в возрасте 43 лет.

​​Открыт код платформы для ведения заметок Notesnook, конкурирующей с Evernote

Компания Streetwriters перевела платформу для ведения заметок Notesnook в разряд открытых проектов. Notesnook преподносится как полностью открытая альтернатива системе Evernote, сфокусированная на обеспечении конфиденциальности и поддерживающая сквозное шифрование для исключения анализа информации на сервере. Код написан на языках JavaScript/Typenoscript и открыт под лицензией GPLv3.

В настоящее время опубликован код web-интерфейса, десктоп-приложений, мобильных приложений, общих библиотек, редактора заметок и расширений. Код сервера для синхронизации заметок между разными устройствами обещают в течение сентября опубликовать в отдельном репозитории. Web-интерфейс построен с использованием фреймворка React, а мобильные приложения - с использованием React Native.

Для сквозного шифрования заметок и прикреплённых файлов или изображений на стороне клиента используются алгоритмы XChaCha20-Poly1305 и Argon2, на сервер синхронизации все данные передаются в виде, зашифрованном ключом пользователя. После открытия сервера, вся инфраструктура для ведения заметок на разных устройствах сможет быть запущена на подконтрольном пользователю оборудовании.

Участники технического комитета, управляющего развитием Ubuntu, утвердили план принятия дистрибутива Ubuntu Unity в число официальных редакций Ubuntu. На первом этапе будут сформированы ежедневные тестовые сборки Ubuntu Unity, которые будут предлагаться наряду с остальными официальными редакциями дистрибутива. Если не будет выявлено серьёзных проблем, Ubuntu Unity войдёт в число официально предлагаемых сборок начиная с выпуска Ubuntu 22.10.

Ранее сообщество разработчиков Ubuntu Unity продемонстрировало свою состоятельность, выпустив несколько неофициальных релизов, а также выполнило все требования к официальным сборкам.

Дистрибутив Ubuntu Unity предлагает рабочий стол на основе оболочки Unity 7, основанной на библиотеке GTK и оптимизированной для эффективного использования вертикального пространства на ноутбуках с широкоформатными экранами.

что он наделал..

Ричард Столлман опубликовал книгу по языку Си и расширениям GNU

Ричард Столлман представил свою новую книгу "GNU C Language Intro and Reference Manual" (pdf), написанную в соавторстве с Тревисом Ротуэллом (Trevis Rothwell, автор руководства "The GNU C Reference Manual", отрывки из которой использованы в книге Столлмана) и Нельсоном Биби (Nelson Beebe, написал главу о вычислениях с плавающей запятой).

Книга нацелена на разработчиков, знакомых с принципами программирования на каком-то другом языке и желающих изучить язык Си. В руководстве также рассказывается об языковых расширениях, разработанных проектом GNU. Книга предложена для начальной вычитки и Столлман просит сообщать о всех выявленных неточностях или трудных для восприятия формулировках.

Опубликован новый значительный выпуск дистрибутива OpenWrt 22.03.0, ориентированного на применение в сетевых устройствах, таких как маршрутизаторы, коммутаторы и точки доступа. OpenWrt поддерживает множество различных платформ и архитектур и обладает системой сборки, позволяющей просто и удобно производить кросс-компиляцию, включая в состав сборки различные компоненты. Изменения в OpenWrt 22.03.0:

- По умолчанию задействовано новое приложение для управления межсетевым экраном - fw4 (Firewall4), основанное на пакетном фильтре nftables.
- Добавлена поддержка более 180 новых устройств, в том числе 15 устройств на базе чипа MediaTek MT7915 с поддержкой Wi-Fi 6 (IEEE 802.11ax). Общее число поддерживаемых устройств достигло 1580.
- Продолжен перевод целевых платформ на использование подсистемы ядра DSA, предоставляющей средства для настройки и управления каскадами соединённых между собой Ethernet-коммутаторов, применяя механизмы для настройки обычных сетевых интерфейсов (iproute2, ifconfig).
И другие изменения.

Опубликовано экспериментальное браузерное дополнение uBO Minus с реализацией варианта uBlock Origin, переведённого на API declarativeNetRequest, использование которого предписано в третьей версии манифеста Chrome.

Дополнение использует возможности встроенного в браузер движка для фильтрации содержимого и не требует при установке предоставления полномочий для перехвата и изменения всех данных сайтов. В дополнении пока отсутствует всплывающая панель и страницы настройки параметров, а функциональность ограничена блокировкой сетевых запросов.

Кроме того, представлен экспериментальный вариант дополнения для блокировки рекламы AdGuard - AdGuardMV3, также переведённый на API declarativeNetRequest и способный работать в браузерах, поддерживающих только третью редакцию манифеста Chrome. Прототип предоставляет всю необходимую обычным пользователям функциональность для блокировки рекламы, но отстаёт от дополнения для второй редакции манифеста по своим расширенным возможностям.

Linux Kernel v6.0 в Fedora v38 (raw hide)

Microsoft объявила о начале тестирования кандидата в релизы Linux-версии СУБД SQL Server 2022 (RC 0). Установочные пакеты подготовлены для RHEL и Ubuntu. Для загрузки также доступны готовые образы контейнеров с SQL Server 2022, основанные на дистрибутивах RHEL и Ubuntu. Для Windows тестовый выпуск SQL Server 2022 был сформирован 23 августа.

Отмечается, что помимо общих новых возможностей, в SQL Server 2022 RC 0 также предложено несколько специфичных для Linux улучшений. В частности, добавлена поддержка аутентификации с использованием Azure Active Directory (AAD), обеспечена возможность изменения параметра REQUIRED_SYNCHRONIZED_SECONDARIES_TO_COMMIT для распределённых групп доступности, предоставлена поддержка средств аналитики Azure Synapse Link.

список опенсорсных linux программ, в основном для новичков

Бен Коттон, занимающий в Red Hat должность Fedora Program Manager, объявил о намерении перевести Fedora Linux по умолчанию на пакетный менеджер DNF5. В Fedora Linux 39 планируется заменить пакеты dnf, libdnf и dnf-cutomatic на инструментарий DNF5 и новую библиотеку libdnf5. Предложение пока не рассмотрено комитетом FESCo, отвечающим за техническую часть разработки дистрибутива Fedora.

Проект DNF5 нацелен на унификацию имеющихся низкоуровневых библиотек, переписывание на языке С++ остающихся на Python компонентов управления пакетами и вынос базовой функциональности в отдельную библиотеку libdnf5 с созданием вокруг этой библиотеки обвязки для сохранения Python API.

Использование языка С++ вместо Python позволит избавиться от большого числа зависимостей, сократить размер инструментария и повысить производительность.

Состоялся экспериментальный выпуск открытой реализации WinAPI - Wine 7.17. С момента выпуска версии 7.16 было закрыто 18 отчётов об ошибках и внесено 228 изменений.
- В DirectWrite добавлена поддержка верхних диапазонов кодов (плоскостей) Unicode.
- В драйвере Vulkan началась реализация поддержки WoW64, прослойки для запуска 32-разрядных программ в 64-разрядной Windows.
- Закрыты отчёты об ошибках, связанные с работой игр: Endless Online, Wiggles, Earth 2150, Summoner, Battle Realms: Zen Edition, Riot Vanguard, Liar-soft Visual Novel, BioShock, Wizard101, Construction Set Extender.
- Закрыты отчёты об ошибках, связанные с работой приложений: Visual Studio Community 2022, Ice Cream Calculator, foobar2000, msys2, 7-Zip, WinRAR.

Valve открыла центры по ремонту Steam Deck

Valve объявила об открытии специальных центров по ремонту Steam Deck по гарантии. Все проблемные консоли будут доставляться в эти центры для диагностики и ремонта с заменой комплектующих.

Ремонт по гарантии бесплатный. Если же на поломку не распространяется гарантия, например, стик на консоли погрызла собака, то в центре по ремонту предложат починить устройство, но за некоторую плату. Если пользователь на это не согласен, то компания отправит устройство обратно пользователю, а также порекомендует воспользоваться комплектующими для ремонта и руководствами от iFixit.

Обновление Debian 11.5 и 10.13

Опубликовано пятое корректирующее обновление дистрибутива Debian 11, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 58 обновлений с устранением проблем со стабильностью и 53 обновления с устранением уязвимостей.

-Обновлены до свежих стабильных версий пакеты clamav, grub2, grub-efi-*-signed, mokutil, nvidia-graphics-drivers*, nvidia-settings.
- Добавлен пакет cargo-mozilla для поддержки сборки новых версий firefox-esr и thunderbird.
- В пакете krb5 в качестве Pkinit CMS Digest задействован алгоритм SHA256.
- В systemd добавлена поддержка определения гостевых систем ARM64 Hyper-V и окружений OpenStack в KVM на системах ARM.
- Удалены 22 пакета c PHP-библиотеками (включая, php-embed, php-markdown, php-react-http, ratchetphp, reactphp-*), оставшиеся без сопровождения и использовавшиеся только в ранее удалённом пакете movim (платформа для создания децентрализованных социальных сетей, использующая протокол XMPP).

📌Одновременно доступен новый выпуск предыдущей стабильной ветки Debian 10.13 "Buster", в который включено 79 обновлений с устранением проблем со стабильностью и 79 обновлений с устранением уязвимостей. Это финальное обновление ветки Debian 10, время штатного сопровождения которой истекло. Дальнейшее формирование обновлений для ветки Debian 10 будет производиться не командами Debian Security Team и Debian Release Team, а отдельной группой разработчиков LTS Team, созданной из энтузиастов и представителей компаний, заинтересованных в длительной поставке обновлений для Debian. В рамках цикла LTS выпуск обновлений для Debian 10 будет осуществляться до 30 июня 2024 года и будет распространяться только на архитектуры i386, amd64, armel, armhf и arm64.

ГК «Астра» получила льготный кредит в 3,8 млрд рублей на адаптацию операционной системы Astra Linux

ГК «Астра», разработчику отечественной модификации Linux ОС Astra Linux, выдали льготный кредит на сумму ₽3,8 млрд под 5% годовых, сообщает газета «Ведомости» со ссылкой на представителей компании и Минцифры. Оператором кредита выступает «Сбербанк». Кредит ГК «Астра» стал самым крупным среди разработчиков.

ГК «Астра» должна вернуть взятые в кредит средства до 31 декабря 2026 года. Компания обещает потратить их на развитие ОС, её внедрение и адаптацию под требования заказчиков.

Планы ГК «Астра» включают импортозамещение IT-инфраструктуры клиентов и решение задач, появляющихся при переходе на продукты компании с ПО других вендоров, например, поддержка оборудования и упрощение процессов разработки и установки прикладного софта. Для этого будут создаваться региональные центры компетенций, расширится штат работников.

Исследователи обнаружили штамм вредоносного ПО для серверов и IoT-устройств на Linux

Исследователи AT&T Alien Labs выявили новое скрытное вредоносное ПО под названием Shikitega, которое способно заражать как серверы, так и устройства Интернета вещей на Linux. Оно использует многоступенчатую схему заражения, доставляя нагрузку по несколько сотен байтов за шаг, а также криптор Shikata Ga Nai.

Это обеспечивает полиморфизм, защищая код от статического анализа на основе сигнатур. Shikitega изменяет свой код каждый раз, когда проходит один из нескольких циклов декодирования. В качестве бэкдора применяется Mettle как облегчённый вариант Meterpreter, с дальнейшей эксплуатацией CVE-2021-4034 и CVE-2021-3493. Исполняемый файл вируса весит 376 байт.

📌Целью Shikitega является установка криптомайнера, но вредоносный код может использоваться и для доставки полезной нагрузки. Программа сбрасывает программное обеспечение XMRig для добычи криптовалюты Monero. Пакет Mettle позволяет управлять веб-камерой, красть учётные данные и работает на большом числе устройств.

AT&T не сообщила, как происходит первоначальное заражение, но отметила, что Shikitega использует две уязвимости Linux, обнаруженные в 2021 году.

Вредонос также использует решения облачного хостинга для хранения части своей полезной нагрузки, связываясь по IP-адресу вместо доменного имени.

Инженер из VMware обнаружил значительное снижение производительности при использовании ядра Linux 5.19.

Тестирование виртуальной машины с ядром 5.19 в окружении гипервизора VMware ESXi показало снижение производительности вычислений на 70%, сетевых операций на 30% и действий с хранилищем на 13%, по сравнению с той же конфигурацией на базе ядра 5.18.

▪️Причина снижения производительности: изменение в коде защиты от атак класса Spectre v2 (spectre_v2=ibrs), реализованной на основе расширенных инструкций IBRS, позволяющих адаптивно разрешать и запрещать спекулятивное выполнение инструкций во время обработки прерываний, системных вызовов и переключений контекста.

Защита включена для блокирования недавно выявленной уязвимости Retbleed в механизме спекулятивного выполнения косвенных переходов CPU, позволяющей извлечь информацию из памяти ядра или организовать атаку на хост-систему из виртуальных машин.

После выключения защиты (spectre_v2=off) производительность возвращается на прежний уровень.