Тут из глубин ядра Linux пришла новость, от которой у многих сведет олдскулы. Помните файловую систему NILFS2? Это та самая лог-структурированная ФС с непрерывными снапшотами, которая появилась в ядре еще во времена 2.6. Так вот, после многих лет затишья у проекта появился второй мейнтейнер, Вячеслав Дубейко.

Для тех, кто не в теме за NILFS2... В отличие от Btrfs или ZFS, которые делают снапшоты по команде, NILFS2 делает это постоянно. Любое изменение данных создает новую версию файловой системы, а старые версии остаются доступными для чтения.

В последние годы проект был в анабиозе. Все внимание было приковано к Btrfs, F2FS и новомодному Bcachefs. И вот, внезапно, основной мейнтейнер NILFS2, Рюсуке Кониси, добавляет в проект нового человека и меняет статус с Orphaned (осиротевший 👨‍🦳) на Maintained (поддерживается). Новые патчи в ядро будут через Вячеслава.

Ждём бенчмарки чтобы посмотреть сможет ли NILFS2 потягаться с Btrfs и ZFS...

Типичный 🥸 Сисадмин

Must-have массажер для спины любого сисадмина, кто хоть раз монтировал 2U сервер в одиночку 😬

Синкпад продумал всё 🔴

Типичный 🥸 Сисадмин

Стабильные и надёжные отношения. Пользователи приходят и уходят, софт обновляется и ломается. А она всегда здесь. Ждёт 💚

Типичный 🥸 Сисадмин

Тётя Галя, всё началось в 2010 году, когда Леннарт Поттеринг... 👨‍🦳

Типичный 🥸 Сисадмин

Новый способ замедлить Linux домашних пользователей 😬

Касперский выходит на рынок домашних Linux-пользователей. Раньше их решения для Linux были доступны только для корпоративного сектора, но теперь рынок созрел. В качестве обоснования приводятся аргументы о 20-кратном росте числа вредоносов под Linux за последние пять лет и недавняя история с бэкдором в утилите XZ.

Под капотом мониторинг системы и файлов, сканирование флешек, защита от фишинга, криптоджекинга и безопасные онлайн-платежи. Поддерживаются 64-битные Ubuntu, ALT Linux, Uncom и RED OS. Про Arch, Debian и прочий некорпоративный зоопарк ни слова. Системные требования: Core 2 Duo, 2 ГБ ОЗУ и 4 ГБ на диске. Распространяется все в виде DEB и RPM пакетов. Пока антивирь не соответствует требованиям GDPR 🤔

Большинство, конечно, прекрасно обходится без антивируса, используя здравый смысл и права доступа. Но сам факт того, что вендоры начинают всерьез смотреть на рынок домашних Linux-пользователей - факт примечательный.

Типичный 🥸 Сисадмин

Тот самый момент, когда молодой эникей понимает, что главная задача в IT - не чтобы работало, а чтобы соответствовало 🪄

Типичный 🥸 Сисадмин

#предложка
Что случится, если Revo Uninstaller удалил сам себя? 👨‍🦳

Типичный 🥸 Сисадмин

Этап 1: Отрицание. Этап 2: Гнев. Этап 3: Торг. Этап 4: Депрессия. Этап 5: Пометка диска маркером и заказ нового на каком-нибудь маркетплейсе 🗑

Типичный 🥸 Сисадмин

Классическая история про то, как одна-единственная строчка кода, основанная на слепом доверии, ведет к полной компрометации.

Исследователи из Mandiant раскопали очередную жемчужину кривого кода в платформе для файлового обмена Triofox. Уязвимость (CVE-2025-12480) позволяла любому желающему получить права администратора, просто отправив на сервер запрос с поддельным заголовком Host: localhost.

Вся магия в одной строчке кода и одном HTTP-заголовке. Доступ к критически важной странице начальной настройки AdminDatabase.aspx контролировался функцией CanRunCriticalPage(). Эта функция проверяла, равен ли заголовок Host в HTTP-запросе значению localhost. Если да, то все остальные проверки безопасности просто пропускались. Атакующему достаточно было подменить заголовок Host: your-server.com на Host: localhost, чтобы система посчитала его локальным и выдала полный доступ.

Получив доступ к странице первоначальной настройки, атакующий просто создавал себе новую учетную запись администратора кластера. Дальше в дело вступала вторая фича Triofox: возможность указать путь к исполняемому файлу антивируса для проверки загружаемых файлов. Атакующий, уже будучи админом, просто прописывал в это поле путь к своему .bat-скрипту, который он предварительно загрузил на сервер. После этого ему оставалось загрузить любой файл, и система с правами SYSTEM сама запускала его антивирусный скрипт 🎩

Ну а дальше все по классике... через PowerShell скачивался легитимный агент Zoho UEMS, с помощью которого на сервер ставились AnyDesk и переименованный Plink (sihosts.exe). Затем поднятие обратного SSH-туннеля для проброса RDP на машину атакующего.

Где-то сейчас проходит очень неловкое код-ревью. И один if там точно перепишут 😬

Типичный 🎹 Сисадмин

Дата-центр гномов Мории.

Они копали слишком глубоко и слишком жадно... И разбудили древний сервер, который спал со времён kernel 2.6 😬

З.Ы. На самом деле это майниг-ферма где-то в горе. Майнят мифрил 💎

Типичный 🥸 Сисадмин

Когда впервые выставил дефолтный SSH-порт наружу на белом IP 🚫

Типичный 🥸 Сисадмин

Когда всю неделю пахал как лошадь, а в пятницу вечером нужно ещё немного попахать... 🏇

Как выглядит ваша пятница?

Типичный 🥸 Сисадмин

Ведущий разработчик x86-драйверов ушел в Qualcomm

Ханс де Годе, один из ключевых разработчиков и мейнтейнеров подсистемы platform-drivers-x86 в ядре Linux, ушел из Red Hat. Этот человек за 17 лет работы сделал для поддержки x86-железа в Linux больше, чем многие компании. Именно благодаря ему у нас нормально работают веб-камеры, тачскрины на старых планшетах, драйверы для VirtualBox и множество других мелочей, на которые самим вендорам часто было наплевать.

Судя по новым патчам, Ханс де Годе теперь работает в Qualcomm, в том самом, который делает ARM-процессоры Snapdragon. Для Linux на ARM-ноутбуках это отличная новость, Ханс поможет им довести свои драйверы до ума. А для мира x86/x86_64 это серьезная потеря.

Сейчас в Intel и AMD гораздо больше своих разработчиков, работающих над ядром, чем 10 лет назад. Но Ханс занимался именно теми темными углами, до которых у корпораций часто не доходят руки... поддержка устаревшего железа, реверс-инжиниринг проприетарных драйверов для странных китайских сенсоров, поддержка планшетов на Atom, от которых Intel давно открестился. Кто теперь будет разгребать все это... большой вопрос.

Типичный 🥸 Сисадмин

Аудитор:

У вас обеспечена физическая безопасность серверов?

Админ:

Обижаете, всё на замке

Типичный 🔐 Сисадмин

Готовьтесь выпиливать OAuth от иностранных провайдеров, в т.ч. от Google

В Госдуму внесли законопроект, который напрямую касается всех, кто пилит авторизацию на сайтах. Группа депутатов предлагает ввести штрафы до 700 тысяч рублей для юрлиц за использование зарубежных сервисов для входа пользователей. Это касается не только иностранной электронной почты, но и, по сути, всех кнопок "Войти через Google", Apple ID и иже с ними.

По закону, авторизация должна будет проходить через российский номер телефона, портал Госуслуг (интеграция с ЕСИА), единую биометрическую систему (ЕБС) или иную информационную систему, владельцем которой является гражданин РФ или российское юрлицо. Здравствуйте VK ID или Яндекс ID.

Всем кто поддерживает веб-сервисы, придется перепиливать модули аутентификации.

Но это еще не все. Отдельной статьей в КоАП предлагается ввести такие же штрафы за неправильное использование рекомендательных алгоритмов. Если сайт собирает информацию о предпочтениях пользователей без их явного информирования, не публикует правила работы алгоритмов или не указывает email для юридически важных сообщений, то штраф. Повторное нарушение обойдется уже в 1.4 миллиона. По сути, любой if (user_likes_cats) { show_cat_food_ad(); } должен будет сопровождаться пачкой юридических документов и формой для обратной связи с РКН.

Типичный 🥸 Сисадмин