Выявлена подстановка вредоносной зависимости в ночные сборки PyTorch

Проблема затрагивает только экспериментальные ночные сборки PyTorch (PyTorch-nightly), пакеты со стабильными выпусками не пострадали. Вредоносная зависимость распространялась с 25 по 30 декабря 2022 года и была нацелена на компрометацию Linux-систем разработчиков, использующих тестовые сборки PyTorch.

Для совершения вредоносных действий атакующие воспользовались методом подмены зависимостей и загрузили в репозиторий PyPI пакет torchtriton, имеющий то же имя, что и пакет, размещённый в собственном репозитории PyTorch-nightly. Метод основан на том, что при использовании дополнительных репозиториев пакетный менеджер pip пытается загрузить внутренние зависимости и из публичных репозиториев, учитывая номер версии. Таким образом, при установке ночных сборок PyTorch пакетный менеджер pip обнаруживал более новый пакет torchtriton в репозитории PyPI и устанавливал его, вместо одноимённого пакета из репозитория PyTorch-nightly.

В опубликованную атакующими версию torchtriton был добавлен код для запуска исполняемого файла, который осуществлял поиск и отправку конфиденциальных данных с систем, работающих под управлением Linux. Среди прочего злоумышленникам отправлялась информация о системе, а также содержимое $HOME/.gitconfig, $HOME/.ssh/* и первых 1000 файлов в домашнем каталоге, размером менее 100 КБ. Данные передавались через туннель, организованный поверх DNS (отправлялись шифрованные DNS-запросы к DNS-серверу атакующих).

По имеющейся статистике вредоносный пакет torchtriton был загружен более 2000 раз.

Логотип Arch, сгенерированный искусственным интеллектом Midjourney

Google намерена включить RISC-V в число первичных архитектур для Android

Google заявила о намерении обеспечить официальную поддержку архитектуры RISC-V в платформе Android. Осенью в репозиторий AOSP (Android Open Source Project), в котором развиваются исходные тексты платформы Android, началось включение изменений, обеспечивающих поддержку устройств с процессорами на основе архитектуры RISC-V.

Изменения в основном подготовлены компанией Alibaba Cloud, но продвигаются в сотрудничестве с Google и с привлечением специальной рабочей группы Android SIG. Изменения охватывают такие подсистемы, как графический стек, звуковую систему, компоненты воспроизведения видео, библиотеку bionic, виртуальную машину dalvik, фреймворки, стеки Wi-Fi и Bluetooth, RunTime, эмулятор, инструментарий для разработчиков и различные сторонние модули, включая модули машинного обучения для распознавания текста, классификации звука и изображений.

Предполагается, что для подготовки полноценного оптимизированного для RISC-V варианта Android и перехода от стадии прототипа к финальному продукту требуется проделать ещё много работы, которая может растянуться на несколько лет. При этом для готовых к экспериментам энтузиастов уже запущена сборочная система, позволяющая оценить состояния Android-ветки "riscv64". Поддержка запуска в эмуляторе ожидается в начале 2023 года, а поддержка RISC-V в Android RunTime (ART) в первом квартале 2023 года.

RISC-V предоставляет открытую и гибкую систему машинных инструкций, позволяющую создавать микропроцессоры для произвольных областей применения, не требуя при этом отчислений и не налагая условий на использование. RISC-V позволяет создавать полностью открытые SoC и процессоры. В настоящее время на базе спецификации RISC-V разными компаниями и сообществами под различными свободными лицензиями (BSD, MIT, Apache 2.0) развивается несколько десятков вариантов ядер микропроцессоров, около сотни SoC и уже производимых чипов. Поддержка RISC-V присутствует начиная с выпусков Glibc 2.27, binutils 2.30, gcc 7 и ядра Linux 4.15

похоже это был не лучший год для Linux 😔

- папа, я хочу макбук
- ни слова больше

(PearOS Monterey)

Когда слышишь, что всё что делают линуксоиды - это запускают neofetch, поэтому сделал дистрибутив, который ничего не делает, кроме запуска neofetch

Представлен Blink, эмулятор x86-64, опережающий QEMU по производительности

Проектом blink развивается новый эмулятор процессоров x86-64, позволяющий запускать статически собранные Linux-приложения в виртуальной машине с эмулируемым процессором. Основным назначением проекта является предоставление возможности запуска собранных для архитектуры x86-64 Linux-программ в других операционных системах и на оборудовании с другой аппаратной архитектурой. Код проекта написан на языке Си (ANSI C11) и распространяется под лицензией ISC. Из зависимостей требуется только libc (POSIX.1-2017).

По функциональности blink напоминает команду qemu-x86_64, но отличается от QEMU более компактным исполнением и значительным приростом производительности. Например, исполняемый файл Blink занимает всего 157 КБ вместо 4 МБ у qemu-x86_64, а по производительности в тесте запуска в эмуляторе GCC Blink обгоняет QEMU в два раза.

Поддерживается прямой запуск в эмуляторе исполняемых файлов в форматах ELF, PE и bin, собранных со стандартными Си-библиотеками Cosmopolitan, Glibc и Musl. Имеется встроенная поддержка более сотни системных вызовов Linux, включая fork() и clone(). Поддерживается эмуляция наборов инструкций i8086, i386, SSE2, x86_64, SSE3, SSSE3, CLMUL, POPCNT, ADX, BMI2 (MULX, PDEP, PEXT), X87, RDRND, RDSEED и RDTSCP.

Уязвимость в приложениях на базе HTTP-библиотеки Hyper

В библиотеке Hyper, предлагающей реализацию протоколов HTTP/1 и HTTP/2 на языке Rust, имеется особенность работы с памятью, которая при использовании в приложениях без учёта рекомендаций из документации, может привести к появлению уязвимостей, дающих возможность вызвать отказ в обслуживании (исчерпание доступной процессу памяти) через отправку специально оформленного HTTP-запроса уязвимому обработчику. Библиотека достаточно популярна (67 млн загрузок) и используется в качестве зависимости у 2579 проектов, представленных в каталоге crates.io.

Причиной появления уязвимостей является отсутствие ограничений на размер ресурсов, передаваемых в HTTP-запросах и ответах. В библиотеке Hyper для копирования запроса или тела ответа предлагается функция body::to_bytes, копирующая данные запроса и ответа целиком в один буфер без проверки размера полученных данных. Соответственно, атака сводится к передаче очень большого запроса или ответа, обработка которого приведёт к выделению буфера, не вмещающегося в доступную память. Примечательно, что указанное поведение явно описано в документации, в которой рекомендуется выполнять отдельные проверки размера, но предупреждение игнорировалось в различных продуктах, использующих Hyper (например, проблема всплыла в проектах Axum, Salvo и conduit-hyper).

В реальных условиях для атаки нет необходимости отправлять большой объём данных - так как при обработке chunked-запросов буфер выделяется на основе информации в заголовке Content-Length, для выделения большого блока памяти или аварийного завершения процесса достаточно отправить начальный пакет с большим значением в Content-Length.

Состоялся выпуск библиотеки libmdbx 0.12.3 (MDBX) с реализацией высокопроизводительной компактной встраиваемой базы данных класса ключ-значение. Поддерживаются все актуальные операционные системы и архитектуры. Для libmdbx предлагается развитое C++ API, а также поддерживаемые энтузиастами привязки к языкам Rust, Haskell, Python, NodeJS, Ruby, Go, Nim, Deno, Scala. Исторически libmdbx является глубокой переработкой СУБД LMDB и превосходит своего прародителя по надёжности, набору возможностей и производительности.

Основные новшества, доработки и исправления:

- Реализована prefault-запись при выделении страниц для read-write отображений. Это приводит к кратному снижению системных издержек и существенному увеличению производительности в соответствующих сценариях использования.
- Добавлена опция для принудительного включения/выключения prefault-записи.
- Реализован динамический выбор между сквозной записью на диск и обычной записью с последующим вызовом fdatasync().
И другие изменения.

​​​​Объединение индейцев добивается переименования проектов Apache

Некоммерческая организация Natives in Tech, занимающаяся развитием технологической экосистемы для коренных народов, призвала сообщество Apache Software Foundation прекратить использование слова "Apache" и индейской символики в логотипе, в том числе переименовать все развиваемые под данным именем проекты.

Петицию подписали 40 активистов. Среди поддержавших петицию Бредли Кун, основатель организации Software Freedom Conservancy, Джош Симмонс, председатель совета директоров организации Open Source Initiative, и Эрин Стейн, руководитель организации Data and Tech for Good.

Использование слова Apache и присвоение идентичности коренных жителей в качестве бренда для достижения своих собственных целей воспринимается как недопустимая манипуляция культурными ценностями национальных меньшинств, искажающая представление об индейцах и основанная на стереотипах.

Представитель фонда Apache заявил, что сообщество услышало опасение коренных американцев и прислушается к ним, но на изменение потребуется время, необходимое для обсуждения поднятого вопроса в сообществе, оценки юридических последствий и принятия взвешенного решения. Также изучаются альтернативные пути решения.

➡️До 2003 года имя http-сервера Apache трактовалось в FAQ проекта, как "A PAtCHy server", т.е. HTTP-сервер, полученный в результате модификации кодовой базы http-сервера NCSA. В 2003 году пояснение было изменено на указание, что имя выбрано из уважения к индейским племенам Апачи.

так ли это?

Google включает Rust в число языков, допустимых в коде проекта Chromium. Существующий код пока не планируют переписывать на Rust, но отныне будет разрешена интеграция в кодовую базу сторонних библиотек, написанных на Rust. В сборочную систему уже добавлен инструментарий для компиляции кода на языке Rust, проведения тестов и интеграции компонентов на Rust с кодом на C++. Появление кода на Rust в составе выпусков Chrome ожидается в следующем году.

Решение принято для предотвращения появления ошибок работы с памятью в кодовой базе Chrome. Судя по предоставленной два года назад статистике 70% опасных и критических проблем с безопасностью в Chromium вызваны ошибками при работе с памятью.

style="transform: rotate(180deg);"

- Добавлены новые фильтры содержимого, показываемого в панели: показ только файлов, отсеивание по маске без учёта регистра символов и использование шаблонов в стиле shell.
- Реализована возможность продолжения копирования после прерывания операции (например, после случайного нажатия Esc во время копирования).
- Для выбора порядка сортировки в меню возвращена горячая клавиша "S", а горячая клавиша для "SFTP link" заменена c "S" на "N".
- Добавлена поддержка кросс-компиляции с разными путями к Perl во время сборки ("--build") и выполнения ("--host").
- Добавлена поддержка систем на базе чипа Apple M1.
И другие изменения.

в истории bash можно включить отметку времени

$ export HISTTIMEFORMAT="%F %T "
И теперь он также сообщит вам, когда вы выполнили определенную команду в истории

Чтобы сделать изменения постоянными, надо экспортировать эту переменную в свой .bashrc.