В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd

В пакете XZ Utils, включающем библиотеку liblzma и утилиты для работы со сжатыми данными в формате ".xz", выявлен бэкдор (CVE-2024-3094), позволяющий перехватывать и модифицировать данные, обрабатываемые приложениями, связанными с библиотекой liblzma. Основной целью бэкдора является сервер OpenSSH, в котором используется liblzma. Связывание sshd с уязвимой библиотекой позволяет злоумышленникам получить доступ к SSH-серверу без аутентификации.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60877

Azure Storage Actions is a new serverless framework that facilitates functional automated operations on storage accounts. The preview release allows you to set up storage tasks that automatically execute operations on blobs within Azure Storage accounts, controlled by user-defined conditions. With storage tasks, objects in storage accounts can automatically be managed without relying on additional automation services such as Azure Functions or Azure Logic Apps.
.
.
👉 @sysadminoff
https://4sysops.com/archives/an-azure-storage-actions-example/

Ретроспектива продвижения бэкдора в пакет xz

Предположительно бэкдор в пакет xz был внедрён разработчиком Jia Tan, который в 2022 году получил статус сопровождающего и выпускал релизы начиная с xz 5.4.2. Помимо проекта xz предполагаемый автор бэкдора также участвовал в разработке пакетов xz-java и xz-embedded, а также был включён в число мэйнтейнеров проекта XZ Embedded, используемого в ядре Linux.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60880

Debian 10 "Buster" перемещён в архив

Репозитории Debian 10 "Buster" перемещены в archive.debian.org, после чего дистрибутив скоро перестанет быть доступным через основную сеть зеркал. Удаление с зеркал пакетов Debian 10 для архитектур, для которых отсутствует LTS-поддержка, планируют произвести в середине апреля.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60881

Marknote is a new application for the KDE Plasma desktop environment that lets you create rich text notes and organize them into notebooks.
The post Meet Marknote, KDE’s WYSIWYG Note-Taking Application for Linux appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/meet-marknote-kdes-wysiwyg-note-taking-application-for-linux

Опубликован видеоредактор Flowblade 2.14

Доступен релиз многотрековой системы нелинейного видеомонтажа Flowblade 2.14, позволяющей компоновать фильмы и видеоролики из набора отдельных видео, звуковых файлов и изображений. Редактор предоставляет средства для обрезки клипов с точностью до отдельных кадров, их обработки при помощи фильтров и многоуровневой компоновки изображений для встраивания в видео. Имеется возможность произвольного определения порядка применения инструментов и корректировки поведения шкалы времени.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60882

Каталог Snap Store переходит на ручное рецензирование новых имён пакетов

После нескольких повторяющихся инцидентов с размещением в каталоге Snap Store вредоносных приложений, выдающих себя за официальные клиенты известных криптовалютных кошельков, компания Canonical приняла решение перейти на ручное рецензирование всех новых имён пакетов, впервые размещаемых в Snap Store. При регистрации нового имени пакета будет выводиться анкета, содержащая вопросы о назначении и источнике сборки.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60883

Разбор логики активации и работы бэкдора в пакете xz

Доступны предварительные результаты обратного инжиниринга вредоносного объектного файла, встроенного в liblzma в результате кампании по продвижению бэкдора в пакет xz. Изначально предполагалось, что бэкдор позволяет обойти аутентификацию в sshd и получить доступ к системе через SSH. Более детальный анализ показал, что это не так и бэкдор предоставляет возможность выполнить произвольный код в системе, не оставляя следов в логах sshd.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60885

Релиз операционной системы NetBSD 10.0

Спустя полтора года после формирования прошлого обновления опубликован релиз операционной системы NetBSD 10. Для загрузки подготовлены установочные образы размером 630 МБ, доступные в сборках для 57 системных архитектур и 16 различных семейств CPU. Новая ветка включает ряд существенных улучшений, таких как поддержка списков контроля доступа в файловой системе FFS, значительная оптимизация производительности, шифрование диска с использованием алгоритма Adiantum и реализация в ядре драйвера для VPN WireGuard.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60886

В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock

В репозитории проекта xz продолжают всплывать изменения, внесённые автором бэкдора для блокирования механизмов защиты. В сборочном сценарии CMakeLists.txt выявлено изменение, не позволявшее использовать в xz механизм изоляции приложений Landlock, при его поддержке в системе. В коде на языке Си, проверяющем доступность системного вызова Landlock, была намеренно добавлена лишняя точка, что приводило к непрохождению проверки на наличие Landlock при любых условиях.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60888

Arch Linux 2024.03.29 is now available for download as Arch Linux’s ISO release for April 2024 powered by Linux kernel 6.8 and featuring an improved installation experience.
The post Latest Arch Linux ISO Release Brings Linux Kernel 6.8, Updated Installer appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/latest-arch-linux-iso-release-brings-linux-kernel-6-8-updated-installer

Выпуск стратегической игры Widelands 1.2

После полутора лет разработки опубликован выпуск свободной игры Widelands 1.2, включающей элементы стратегии в реальном времени (RTS) и градостроительного симулятора. Игра развивается под впечатлением от игры Settlers II и имеет сходный игровой процесс. Поддерживается как многопользовательский режим, так и однопользовательские кампании c компьютерными-игроками. Код проекта написан на языках С++ и Lua с использованием библиотеки SDL и распространяется под лицензией GPLv2. Сборки формируются для Linux (AppImage, Flatpak, PPA), Windows и macOS.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60890

Уязвимость в подсистеме io_uring, позволяющая получить привилегии root

В интерфейсе асинхронного ввода/вывода io_uring, предоставляемом ядром Linux, выявлена уязвимость (CVE-2024-0582), позволяющая непривилегированному пользователю получить права root в системе. Для эксплуатации уязвимости достаточно обычного локального доступа к системе, без необходимости манипуляций с пространствами имён. В настоящее время публично доступен работающий эксплоит, а также подробно описана вторая техника эксплуатации уязвимости.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60891

A severe vulnerability (CVE-2024-3094) has been discovered in XZ Utils (5.6.0 or 5.6.1), a commonly used compression format. The vulnerability allows attackers to gain root access through SSH. XZ Utils is used in many Linux distributions; it is also available for Windows and has been incorporated into many other programs. Attackers can install programs, manipulate data, or create new accounts with full root privileges. While there are no reports of exploits in the wild, the potential impact is profound, and most Linux distributions have issued warnings. In this post, you will learn how to determine if your systems are affected and what to do if they are.
.
.
👉 @sysadminoff
https://4sysops.com/archives/critical-alert-ssh-and-xz-vulnerability-cve-2024-3094-testing-and-remediation/

The 9to5Linux Weekly Roundup for March 31st, 2024, brings news about XZ backdoor, Fedora 40 beta, Blender 4.1, Tails 6.1, KDE Plasma 6.0.3, LibreOffice 24.2.2, new Arch Linux ISO release, Marknote note-taking app, as well as all the latest distro and software releases.
The post 9to5Linux Weekly Roundup: March 31st, 2024 appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/9to5linux-weekly-roundup-march-31st-2024

Linux Mint 22 will ship with the Mozilla Thunderbird email client as a DEB package rather than a Snap app, PipeWire as the default sound server, localization improvements, and other goodies.
The post Linux Mint Devs to Ship Thunderbird as a Native DEB Package in Linux Mint 22 appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/linux-mint-devs-to-ship-thunderbird-as-a-native-deb-package-in-linux-mint-22

Debian-based and systemd-free Nitrux 3.4 distribution is now available for download with the KDE Plasma 5.27 LTS desktop environment and Linux kernel 6.7.11.
The post Nitrux 3.4 Released, the systemd-Free Distro Now Uses KDE Software from Debian appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/nitrux-3-4-released-the-systemd-free-distro-now-uses-kde-software-from-debian

Доступен дистрибутив Nitrux 3.4.0. NX Desktop не будут переводить на KDE Plasma 6

Опубликован выпуск дистрибутива Nitrux 3.4.0, построенного на пакетной базе Debian, технологиях KDE и системе инициализации OpenRC. Проект предлагает собственный рабочий стол NX Desktop, который представляет собой надстройку над KDE Plasma. На основе библиотеки Maui для дистрибутива развивается набор типовых пользовательских приложений, которые можно использовать как на настольных системах, так и на мобильных устройствах. Для установки дополнительных приложений продвигается система самодостаточных пакетов AppImages. Размер полного загрузочного образа составляет 3.4 ГБ. Наработки проекта распространяются под свободными лицензиями.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60894

System76's Oryx Pro Linux-powered laptop has been updated with a 14th Gen Intel HX-Class CPU and up to 96GB DDR5 5200MHz RAM.
The post System76’s Oryx Pro Linux Laptop Gets 14th Gen Intel HX-Class CPU and More RAM appeared first on 9to5Linux - do not reproduce this article without permission. This RSS feed is intended for readers, not scrapers.
.
.
👉 @sysadminoff
https://9to5linux.com/system76s-oryx-pro-linux-laptop-gets-14th-gen-intel-hx-class-cpu-and-more-ram

Компания Apple опубликовала код ядра и системных компонентов macOS 14.4

Компания Apple опубликовала исходные тексты низкоуровневых системных компонентов операционной системы macOS 14.4 (Sonoma), в которых используется свободное программное обеспечение, включая составные части Darwin и прочие компоненты, программы и библиотеки, не связанные с GUI. Всего опубликовано 172 пакета с исходными текстами. По сравнению с веткой macOS 13 удалены пакеты gnudiff и libstdcxx.
.
.
👉 @sysadminoff
https://www.opennet.ru/opennews/art.shtml?num=60910

iVentory allows for easy Windows 11 deployment using a PXE server. The solution includes a DHCP server, provides image management, including automation through answer files, and can be managed via a web console. It's free for private and 49 USD per server for commercial use.
.
.
👉 @sysadminoff
https://4sysops.com/archives/iventoy-pxe-server-for-windows-11-deployment/