В процессорах AMD выявлена уязвимость (CVE-2023-20588), приводящая к утечке данных, используемых в ходе выполнения операций на том же ядре CPU при обработке процессором исключения #DE (Divide Error), возникающего при попытке деления на ноль. Уязвимость проявляется только в процессорах AMD на базе микроархитектуры Zen1.

С практической стороны уязвимость может использоваться для организации скрытого канала передачи данных между процессами, sandbox-окружениями или виртуальными машинами, позволяющего обмениваться данными в обход системных механизмов разграничения доступа и без обращения к системным вызовам.

✔️ Исправления для блокирования уязвимости подготовлены для ядра Linux и гипервизора Xen. Исправление эффективно только при отключении симметричной многопоточности (SMT).

Linux / Линукс 🥸

🎉 28 сентября LibreOffice исполнилось 13 лет

LibreOffice — кроссплатформенный, свободно распространяемый офисный пакет с открытым исходным кодом.

28 сентября 2010 года разработчики и промоутеры сообщества OpenOffice. org объявили о создании независимого от Oracle ответвления офисного пакета. Активные разработчики были недовольны жёсткой политикой централизованного управления разработкой, которую навязывала компания Oracle.

Linux / Линукс 🥸

Раскрыты сведения о неисправленных (0-day) уязвимостях (CVE-2023-42115, CVE-2023-42116, CVE-2023-42117) в почтовом сервере Exim, позволяющих удалённо выполнить свой код на сервере с правами процесса, принимающего соединения на 25 сетевом порту. Аутентификация для проведения атаки не требуется.

В отчёте утверждается, что разработчики Exim были заранее уведомлены о проблемах. Последнее изменение в кодовой базе Exim произведено два дня назад и пока не ясно, когда проблемы будут устранены.

Linux / Линукс 🥸

Вышла открытая утилита TuxClocker 1.0 для разгона видеокарт Nvidia на Linux

Проект TuxClocker выглядит как простой и удобный графический интерфейс, который работает через API D-Bus с GPU Nvidia. В TuxClocker 1.0 поддерживаются графические процессоры Nvidia GeForce GTX 600 и новее с элементами управления режимами вентилятора, управлением тактовой частотой ядра и памяти, ограничением мощности, мониторингом температуры, отчётами об использовании графического процессора, считыванием напряжения и многими другими опциями.

В TuxClocker 1.0 отсутствует поддержка видеочипов AMD, а также поддержка свёртывания в системный трей и графическое отображение данных с датчиков, которые были в предыдущих выпусках утилиты.

Основная новая опция TuxClocker 1.0 — предоставление API-интерфейса D-Bus, позволяющего задействовать возможности TuxClocker в более универсальных сценариях использования, например, в стороннем программном обеспечении.

Linux / Линукс 🥸

Выпуск Wine 8.17

• Продолжено развитие функциональности, нацеленной на реализацию возможности использования Wine в окружениях на базе протокола Wayland без применения XWayland и компонентов X11. В драйвер winewayland.drv добавлена начальная поддержка управления окнами.
• В API DirectMusic добавлена поддержка коллекций, инструментов и образцов звуков в формате SoundFont.
• Встроенный пакет vkd3d с реализацией Direct3D 12, работающей через трансляцию вызовов в графический API Vulkan, обновлён до версии 1.9.
• Закрыты отчёты об ошибках, связанные с работой приложений: MeGUI, Sumatra PDF 3.0, Cemu 1.12.0, ToneX, Finale 27, SoftEther VPN Server Manage, Metatrader 4.
• Закрыты отчёты об ошибках, связанные с работой игр The Elder Scrolls: Oblivion, RageMP, Dwarf Fortress, ReCore, а также игр компании SRPG Studio.

Linux / Линукс 🥸

Свежая подборка уязвимостей в ядре Linux, Glibc, GStreamer, Ghostnoscript, BIND и CUPS

▪️ CVE-2023-39191 - уязвимость в подсистеме eBPF, дающая возможность локальному пользователю повысить свои привилегии и выполнить код на уровне ядра Linux.
▪️ CVE-2023-42753 - ошибка при работе с индексами массивов в реализации ipset в подсистеме ядра netfilter, которая может использоваться для инкремента/декремента указателей и создания условий для записи или чтения в область памяти за пределами выделенного буфера.
▪️ CVE-2023-39192, CVE-2023-39193, CVE-2023-39193 - несколько уязвимостей в ядре Linux, приводящих к утечке содержимого памяти.
▪️ CVE-2023-42755 - уязвимость, позволяющая непривилегированному локальному пользователю вызвать крах ядра из-за ошибки при работе с указателями в классификаторе трафика rsvp. Подготовлен прототип эксплоита. Исправление пока не принято в состав ядра и доступно в виде патча.
▪️ CVE-2023-42756 - состояние гонки в подсистеме ядра NetFilter, которое можно использовать для вызова локальным пользователем состояния Panic. Доступен прототип эксплоита, работающий как минимум в ядрах 6.5.rc7, 6.1 и 5.10. Исправление пока не принято в состав ядра и доступно в виде патча.
▪️ CVE-2023-4527 - переполнение стека в библиотеке Glibc. Уязвимость может привести к утечке данных из стека или аварийному завершению.
▪️ CVE-2023-40474, CVE-2023-40475 - уязвимости в мультимедийном фреймворке GStreamer. Могут привести к выполнению кода атакующего при обработке специально оформленных MXF-файлов в приложении, использующем GStreamer.
▪️ CVE-2023-40476 - переполнение буфера в предлагаемом в GStreamer обработчике видео в формате H.265, позволяющее организовать выполнение кода при обработке специально оформленного видео.
▪️ Эксплоит, использующий уязвимость CVE-2023-36664 в пакете Ghostnoscript для выполнения своего кода при открытии специально оформленных документов в формате PostScript.
▪️ CVE-2023-3341, CVE-2023-4236 - уязвимости в DNS-сервере BIND 9, приводящие к аварийному завершению процесса named.
▪️ CVE-2023-4504 - уязвимость в сервере печати CUPS и библиотеке libppd, приводящая к переполнению буфера при разборе специально оформленных документов в формате Postnoscript. Не исключена эксплуатация уязвимости для организации выполнения своего кода в системе.

Linux / Линукс 🥸

5 октября Gentoo исполнилось 24 года 🎉
Но это не всё. Также 19 лет исполнилось nginx

4 октября 1999 года Дэниель Роббинс зарегистрировал домен gentoo.org и начал разработку нового дистрибутива, в который вместе с Бобом Матчем попытался перенести некоторые идеи из проекта FreeBSD, совместив их с уже около года развивавшимся Linux-дистрибутивом Enoch, в котором проводились эксперименты по построению дистрибутива, собираемого из исходных текстов с оптимизациями для конкретного оборудования.

Основополагающей особенностью Gentoo стало разделение на собираемые из исходных текстов порты (portage) и минимальную базовую систему, необходимую для сборки основных приложений дистрибутива. Первый стабильный релиз Gentoo состоялся спустя три года - 31 марта 2002 года.

Linux / Линукс 🥸

Valve выпустила Proton 8.0-4, пакет для запуска Windows-игр в Linux

▪️До версии 2.3-5-g83dc4678 обновлена прослойка DXVK, транслирующая вызовы в API Vulkan.
▪️Добавлена поддержка Steamworks SDK 1.58.
▪️Устранены регрессии, проявившиеся в ветке Proton 8.0 и приведшие к проблемам в играх Have a Nice Death, Resident Evil 4 (2005), Makai Kingdom: Reclaimed and Rebound, Echo и Scrap Mechanic. Устранена регрессия, приводящая к проблемам при горячем подключении игровых контроллеров из-за состояния гонки.
▪️Добавлена поддержка игр, которые раньше работали только в ветке – Proton Experimental:
– Arthurian Legends
– CHAOS CODE -NEW SIGN OF CATSTROPHE-
– EverQuest 2
– Oddworld: Stranger's Wrath HD
– Songs for a Hero - Definitive Edition
– STAR WARS Knights of the Old Republic II
– The Longest Journey
И другие изменения.

Linux / Линукс 🥸