Выпуск пакетного фильтра nftables 1.0.7

Опубликован выпуск пакетного фильтра nftables 1.0.7, унифицирующего интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов (нацелен на замену iptables, ip6table, arptables и ebtables). В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком.

Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя.

Типичный 🥸 Сисадмин

Найден инженер LastPass DevOps

Типичный 🥸 Сисадмин

Тикет про нерабочий интернет.

У некоторых людей просто нет тактильных ощущений. Как сильно надо втыкать ethernet-кабель, чтобы порт заработал?

Типичный 💪 Сисадмин

Fedora Linux 38 перешёл на стадию бета-тестирования

Началось тестирование бета-версии дистрибутива Fedora Linux 38. Бета-выпуск ознаменовал переход на финальную стадию тестирования, при которой допускается только исправление критических ошибок. Релиз запланирован на 18 апреля. Выпуск охватывает Fedora Workstation, Fedora Server, Fedora Silverblue, Fedora IoT, Fedora CoreOS, Fedora Cloud Base и Live-сборки, поставляемые в форме спинов c пользовательскими окружениями KDE Plasma 5, Xfce, MATE, Cinnamon, LXDE, Phosh, LXQt, Budgie и Sway . Сборки сформированы для архитектур x86_64, Power64 и ARM64 (AArch64).

Наиболее значимые изменения в Fedora Linux 38.

Типичный 🥸 Сисадмин

Враждебная архитектура.

Типичный 🐱 Сисадмин

Обновление OpenSSH 9.3 с устранением уязвимости 1997 года.

Баг 1997 года был исправлен вчера следующим коммитом - "thanks to OpenBSD for their
incredibly quick response!" или "спасибо OpenBSD за их
невероятно быстрый ответ!" 😁 - в общем и целом баг был незначителным и не опасным, но вот сроки как мы любим 💚

Опубликован релиз OpenSSH 9.3, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В новой версии устранены проблемы с безопасностью:

▪️В утилите ssh-add выявлена логическая ошибка, из-за которой при добавлении в ssh-agent ключей для смарткарт агенту не передавались ограничения, задаваемые при помощи опции "ssh-add -h". В итоге в агент добавлялся ключ, для которого не применялись ограничения, допускающие подключения только с определённых хостов.

▪️В утилите ssh выявлена уязвимость, которая может привести к чтению данных из области стека вне выделенного буфера при обработке специально оформленных DNS-ответов.

▪️Дополнительно можно отметить уязвимость во входящей в состав OpenBSD библиотеке libskey, которая используется в OpenSSH. Проблема присутствует с 1997 года и может привести к переполнению буфера в стеке при обработке специально оформленных имён хостов. Отмечается, что несмотря на то, что проявление уязвимости может быть инициировано удалённо через OpenSSH, на практике уязвимость бесполезна, так как для её проявления имя атакуемого хоста (/etc/hostname) должно содержать больше 126 символов, а буфер может быть переполнен только символами с нулевым кодом ('\0').

▪️И несколько не связанных с безопасномтью изменений.

Типичный 🥸 Сисадмин