Уязвимость в утилите GNU split, приводящая к переполнению буфера

split поставляется в пакете GNU coreutils и применяется для разделения больших файлов на части. В утилите выявлена уязвимость (CVE-2024-0684), приводящая к переполнению буфера при обработке длинных строк (несколько сотен байт), в случае использования в split опции "--line-bytes" ("-C").

Уязвимость вызвана ошибкой, допущенной в выпуске coreutils 9.2 при замене вызова функции xrealloc на xpalloc. Патч с исправлением уже принят в кодовую базу, но новая версия с исправлением пока не сформирована.

Linux / Линукс 🥸

Выпуск дистрибутива Radix cross Linux 1.9.367

Версия Radix cross Linux 1.9.367 подготовлена для устройств на базе архитектуры ARM/ARM64, RISC-V и x86/x86_64. Дистрибутив построен с использованием собственной системы сборки Radix. pro, упрощающей формирование дистрибутивов для встраиваемых систем.

В новой версии в состав дистрибутива включены пакеты с MPlayer, VLC, MiniDLNA, Transmission (Qt & HTTP-server), Rdesktop, FreeRDP и GIMP (2.99.16), которые позволяют применять пользовательское окружение дистрибутива не только как рабочее место программиста, но и как место отдыха в домашней сети. Подготовлены загрузочные образы для устройств Repka pi3, Orange pi5, Leez-p710, Платы TF307 v4 на базе Baikal M1000, VisionFive2, EBOX-3350dx2, а также для систем i686 и x86_64. Возможно создание сборок, работающих в Live-режиме.

Linux / Линукс 🥸

Раскрыты сведения о двух уязвимостях (CVE-2024-22860, CVE-2024-22862) в поставляемом в пакете FFmpeg декодировщике формата JPEG XL, которые могут привести к выполнению кода злоумышленника при обработке в FFmpeg специально оформленных изображений.

Проблемы были устранены в выпуске FFmpeg 6.1, но так как поддержка JPEG XL включена начиная с ветки 6.1, уязвимость затрагивает только системы, использующие экспериментальные сборки FFmpeg 6.1 или переносящие из них изменения. Проблемы специфичны для FFmpeg и не проявляются в эталонной реализации libjxl.

Linux / Линукс 🥸