Computers were a mistake

2/2

Атаки, уязвимости и подобное:

- BTR - атака на CPU Intel, AMD и ARM, эксплуатируемая через JIT-компиляторы. Уязвимость класса Spectre-V2, позволяющая читать память в обход изоляции оной. Фиксы приехали в ядрышки.
- Выпуск OpenSSH 10.6 с устранением уязвимостей. Есть RCE, zip-бомба и даже возможность восстановить сеанс пользователя при атаке по сторонним каналам.
- Компрометация регистраторов 3 доменных зон, позволила получить TLS-сертификаты к сервисам Google. Это не про нас (зоны .gh, .sl, .as), но все равно занятное проишествие.
- Опасные уязвимости в Apache httpd, FreeBSD, ядре Linux, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 и OpenSSL. Полный набор классических уязвимостей, обязательно обновляйте затронутое.
- Уязвимость в GitLab, допускающая удалённое выполнение кода. Проблема в CI/CD, обновляйтесь, через 30 дней опубликуют детали уязвимости.
- PwnEscape - уязвимость в сетевом стеке ядре Linux, позволяющая обойти изоляцию гипервизоров и контейнеров. Обновления в ядре Linux уже доступны.

- Релизы дистров и ОСей: antiX 26.1, OpenMandriva ROME 26.09, Qubes OS 4.3.2, /e/OS 4.3, ROSA Fresh 13.3, Raspberry Pi OS 2026-10-06 (теперь с возможностью установить на обычные пекарни), LineageOS 24, Ubuntu 26.10.

Этот дайджест можно прочитать и обсудить в новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие две с половиной недели (30 сентября - 19 октября).

1/2

- Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA. Все еще не очень достижимо на обычных компьютерах, но становится реальнее на кластерах, поэтому вовремя обновляйте свои ключики и используйте современные библиотеки для работы с RSA.
- Microsoft опубликовал WSL 3.0 с поддержкой запуска Linux-контейнеров в Windows. Теперь можно гонять контейнеры без дополнительных плясок с установкой Docker. А если вам нужна работа с compose - пользуйте пока что вот это.
- Cloudflare создаёт удостоверяющий центр для бесплатной раздачи TLS-сертификатов. ACME будет, так что автоматизировать можно будет без проблем, плюс CF хочет одним из первых запилить сертификаты с пост-квантовой криптографией.
- Проект PhotoSuite развивает открытый аналог Photoshop. Ничего удивительного на тему использования жоеса, так как по моим ощущениям интерфейс адобовских приложений уже давно на нем написан.
- Microsoft опубликовал первый выпуск открытой системы sandbox-изоляции Litebox. Интересная штука, написана на rust, в форме подгружаемой библиотеки.
- Впечатляющий набор софта, сгенерированного с помощью ИИ. Там адобовское, word/excel/powerpoint, почтовый клиент. Интересно, куда это все в итоге придет (и какие уязвимости, конечно же, найдут ).
- В ФС Ext4 намечен к удалению режим data=journal. Если пользовали - у вас где-то год, чтобы куда-то переехать, иначе придется больше не обновлять ядро.
- Cloudflare поглотила JavaScript-платформу Deno и прекратит её разработку. Все, что было платное, будет теперь в CLoudflare, а сообщество, если захочет, сможет дальше пилить Deno. Выглядит новость максимально странно, конечно.
- В феврале Let's Encrypt перейдёт на 64-дневные сертификаты. Если ваш софт поддерживает только 90-дневные - убедитесь, что в феврале он будет поддерживать 64-дневные.
- Компания Mozilla представила браузер Firefox Enterprise. Теперь не одним хромом/edge можно будет пользоваться в компаниях, если они, конечно же, захотят.
- В Microsoft Defender добавлена поддержка десктоп-систем Linux. Интересно, он будет таким же бесполезным, как на Windows?
- Тестирование Epic Games Launcher для Linux. Для Linux-версии Fortnite готовится новый Easy Anti-Cheat. Мне, как геймеру, сия новость особенно интересна, так как появление нормальных античитов под Linux дает надежду на появление нормальных игр, работающих без wine. Но, конечно, не без ложки дегтя - EAC известен своим наплевательским отношениям к пользователям, и, скорее всего, будет так же класть на приватность под Linux.
- Началось тестирование 64-разрядной версии клиента Steam для Linux. Еще на один шаг к 32-битному капцу ближе (и он случится, конечно же, раньше вендекапца).
- Исследователи из Anthropic воссоздали формирование seed-параметров стандартных эллиптических кривых ECDSA. Еще одно напоминание, что в эпоху ИИ надо за безопасностью и выбором алгоритмов шифрования следить прям очень уж пристально, а то понюкают.

2/2

С полей кибервойн (уязвимости, компрометация и т.д.). Не забудьте обновиться:

- Компрометация пакета arrayref, насчитывающего 53 млн загрузок за 3 месяца.
- Уязвимости в Linux и FreeBSD, позволяющие получить root-доступ в системе. Все по классике - use after free, некорректная валидация, переполнение буферов.
- Уязвимости в MikroTik RouterOS, допускающие удалённый доступ по SSH без аутенитификации. Эпичнейший факап, как по мне. Обновляйтесь, если ваш SSH вдруг торчит в мир. А если это так - рекомендую доступ закрыть, так как управление не должно торчать в паблик (открытие только для определенного списка адресов - нормально).
- Уязвимость в ОС Qubes, позволяющая обойти изоляцию и выполнить код на уровне Dom0. Классическая недостаточная валидация входных данных.
- 18 уязвимостей в ядре Linux c эксплоитами для получения прав root в системе. Помимо классики вроде use after free, double free и выхода за границы буфера тут еще и проблема с некорректной очисткой памяти. Ну, для разнообразия, видимо .
- Уязвимость в платформе совместной разработки Forgejo, допускающая удалённое выполнение кода.
- 673 уязвимости в продуктах Oracle. Большому бизнесу - большое количество проблем.
- Опасные уязвимости в ядре Linux, KVM, Exim, Unbound, Ghostscript и Suricata. Как водится, для некоторых уязвимостей в Linux придумали названия (наверное, их нашли b,azing fast Rust adopters в чулках ).
- Атаки по сторонним каналам через механизм отслеживания изменений в ФС. Забавная штука, особенно про polkit. Держит в тонусе .
- Уязвимости в LXD, Incus, Flatpak, GitLab, Radicle, ядре Linux, WordPress, OpenVPN, NTFS-3G, FreeRDP, CUPS и Dovecot.

- Релизы дистров и ОСей: Bazzite Deck 44 (дистрибутив для игровых консолей), PorteuX 2.8 (на основе Slackware), VanillaOS 3, Armbian 26.8, Haiku R1 Beta 6, Ubuntu 26.04.1 LTS, openKylin 3.0 (теперь с русским языком), ReactOS 0.4.16, pfSense CE 2.9.0, FreeCORE (продолжение разработки TrueNAS Core), SteamOS 3.9.0 RC, Linux From Scratch 13.1, Amazon Linux 2027, Grml 2026.09, MicroPythonOS 0.18, альфа Slackware 16.0, NetBSD 9.5, FreeBSD 14.5, AxonOS (ОС для нейрокомпьютерных интерфейсов), Ubuntu 24.04.5 (который был отозван из-за проблем в установщике), RT-Thread 5.3 (RTOS для интернета вещей), Debian 13.7, DietPi 10.7, MX Linux 25.3, Solaris 11.4 SRU95, NetBSD 10.2, CoreBoot 26.09.

Этот дайджест можно прочитать и обсудить в новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие полтора месяца (17 августа - 29 сентября).

Сначала меня сожрала подготовка сына к школе, после - смена работы, а сейчас я вроде как немного акклиматизировался и готов вернуться к еженедельным дайджестам. Готовьтесь, этот будет большим.

1/2

- Второй тестовый выпуск композитного сервера Xfwl4 от проекта Xfce. Тихими шажками одно из лучших DE (а на GTK написанное - единственное лучшее DE) приближается к возможности нормальной работы в Wayland.
- Зафиксировано существенное замедление запуска VLC после обновления Windows 11. Нисколько не удивлен, что проблема в Microsoft Defender, добавляйте в исключение или перегенерируйте кеш плагинов, если у вас есть задержка начала воспроизведения.
- Выпуск языка программирования Go 1.27. Из интересного - возможность инициализировать поля вложенных структур в родительской без инициализации отдельно вложенной структуры, в go doc реализована возможность показать документацию по версии (типа `libname@v1.2.3`), встроенный пакет для работы с UUID'ами.
- Апелляционный суд отказал в возобновлении разбирательства с IBM, касающегося прав на Linux. Патентного тролля приструнили, но он не успокаивается и подал аппеляцию на неприем аппеляции. Поедаем попкорн и наблюдаем.
- Nitter и XCancel прекратили работу из-за угрозы судебного иска, потом возобновили разработку и работу, и опять прекратили. Интересно, сделает ли колесо Сансары очередной оборот?
- В Android вводят требования к потреблению памяти приложениями. Помимо ограничения на потребление памяти вводится еще и требования по бесшовной миграции пользовательских данных для всего, кроме игр.
- Доступен LibreDB Studio, веб-редактор баз данных. Выглядит вкусно и интересно, и поддерживает все основные БД, даже MongoDB, для которой в других софтинах обычно просят денег занести. Надо пробовать.
- В Asahi Linux обеспечена официальная поддержка устройств Apple на чипах M3. На текущий момент подчеркиваются проблемы с поддержкой дисплейного процессора (DCP) и GPU, а также есть проблемы с энергоэффективностью, и ваш макбук не особо-то будет уходить в спящий режим. Ждем фиксов.
- Для FreeBSD развивают новый системный менеджер rcd. Фактически делают свой systemd/launchd с поправкой на особенности фряхи и, конечно же, своим форматом юнитов, с возможностью писать их на Lua .
- Valve опубликовала инструментарий Lepton для запуска Android-игр в Linux. Теперь можно поиграть в вашу любимую гриндилку на одном экране рядом с разворачивающимся k8s.
- virtio-nvgpu - модуль для предоставления доступа к GPU NVIDIA из виртуальных машин KVM. Минимальная потеря производительности, возможность шарить видеокарты между виртуалками. Звучит круто, но секурности там нет, так что пользуйте только в доверенных окружениях.

Пока маринуется новый дайджест (и я, с подготовкой сына к школе) предлагаю вам к просмотру очередной шедевр от Apple.

Жидкой жопы с прошлого года мало, идем глубже - анальная мощь!

2/2

Всякие новые клиенты под Linux:

- Компания OpenAI начала тестирование десктоп-приложения ChatGPT для Linux.
- NVIDIA опубликовала стабильный выпуск Linux-клиента для игрового сервиса GeForce NOW. Есть бесплатный режим с ограничениями, рекламой и максимальной длиной игровой сессии в 1 час.
- В Epic Games Store появится официальная поддержка Linux. Когда - неизвестно, но Epic работает над этим, а пока что сидите на своем Heroic Launcher и запускайте игры в Wine/Proton через него.

- Релизы дистров и ОСей: Manjaro Linux 26.1, Omarchy 4.0.

Этот дайджест можно прочитать и обсудить в новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшую неделю (10 - 16 августа).

1/2

- Представлен ReTransmission, форк BitTorrent-клиента Transmission. Форкнули из-за того, что текущие сопровождающие не могли договориться о добавлении новых сопровождающих .
- Сотрудники Mozilla случайно разместили на GitHub закрытый GPG-ключ Firefox и Thunderbird. Happens even with the best of us. Не забудьте импортировать свежие ключи, если используете их для проверки целостности (например, на Fedora 42 или более ранней, openSUSE обновление ключей требуется).
- В процессорах Loongson для Linux-систем обнаружили аппаратную утечку данных из L1-кеша. Выглядит на самом деле как специально оставленный бэкдор. Кратко - если использовать в регистрах данные с меньшей битностью (например, 32-битное значение в 64-битном регистре), то верхние биты регистра не обновляются, что позволяет получить оные в других процессах. Например, так смогли "увести" данные о пользователе root, ключ дешифрации раздела на диске. Ну и фактически перестают нормально работать ASLR и stack canary. Исправлено аппаратно в новых ревизиях процессоров Loongson 3A5000 и Loongson 3A6000.
- Для KDE Plasma 6.6 обеспечено сопровождение в течение 3 лет. Произошла рокировочка - разработчики KDE где-то с год назад отказались от LTS веток, потому что они нужны только для Kubuntu, а сейчас с этим будет помогать вроде бы сторонняя компания Techpaladin Software, однако директором оной является Нейт Грэм (Nate Graham), разработчик, занимающийся контролем качества в проекте KDE. Деньги на это добро выделила Kubuntu Focus, которая пилит ноуты с Kubuntu. Скорее всего это такой некий способ уйти от налогов либо перераспределить средства, потому что фактически поддержкой LTS веток KDE будут заниматься разработчики KDE, как и раньше.
- Обход изоляции памяти на системах с CPU AMD через манипуляции с контроллером памяти. Там, в общем, еще один путь ломать PS4 и Xbox One (в них использовались AMD семейства 16h, для которых подготовлена сия атака). Семейства 17h (Zen) и более новые атаке не подвержены.
- В systemd-journald спустя 6 лет признали проблему избыточной нагрузки на накопители. Вспоминая, как это все добро внедрялось, не могу не согласиться с тем, что "в данном случае разработчики systemd продемонстрировали типичный для корпоративного Open Source подход: критический недочёт в инфраструктурном компоненте игнорировался годами, пока ущерб репутации проекта в сообществе не превысил издержки на его исправление". Кстати, прямая цитата из текста новости, так что не у одного меня бомбит .
- PostgreSQL 18.6, 17.11, 16.15, 15.19, 14.24 и PostgreSQL 19 Beta 3. Если вы, как и я, и много других людей, потеряли 18.5, то знайте - там была регрессия, поэтому версию не релизили. Очень много исправлений, связанных с индексами, партицированием и некорректной работой планировщика (что привело бы к неверным ответам на запросы). Крайне рекомендую обновиться.
- Релиз ядра Linux 7.2. Из интересного (копипастой): механизм потоковой передачи данных USB4STREAM, планировщик распределения ресурсов GPU, оптимизации производительности btrfs, xfs и ext4, продолжение удаления кода для поддержки CPU i486, возможность создания вложенных планировщиков SCHED_EXT, снижено потребление памяти в подсистеме подкачки, ускорены неименованные каналы, поддержка расширений Intel MBEC и AMD GMET в KVM, удаление протокола AppleTalk, начальная поддержка HDMI 2.1 FRL в драйвере AMDGPU.

К слову, в NNTP дайджест без разбивки на части, ненужного HTML и вот этого всего непонятного.

Присоединяйтесь! Пишите на usenet@oldproto.ru письмо с желаемым логином!

2/2

Прочее:

- Отчёт о развитии FreeBSD за второй квартал 2026 года. Из интересного - новый инсталлятор на Lua с поддержкой CLI, TUI и Web, новый планировщик задач, поддержка режимов питания S0ix и s2idle, поддержка метрик маршрутизации, HID-драйвера для bluetooth устройств, linuxkpi и драйвера для Wi-Fi чипов из Linux.
- Использование GPU для ускорения обработки сетевых пакетов в ядре Linux. Довольно интересная штука, позволяющая перенести в принципе обработку сетевых пакетов на GPU (пока только AMD). Наблюдаем за развитием, ибо выглядит как возможность относительно недорого депрекейтнуть хитрые сетевые железки стоимостью гигатонны тугриков.
- Huawei пытается добавить в Mesa полупроприетатрный Vulkan-драйвер к своим GPU. Хотят открыть все, кроме архитектуры набора команд GPU (GPU ISA), его хотят блобом распространять. Разработчики Mesa, конечно же, против.
- Очередной отчет о развитии KDE. Из интересного - значительно повышена производительность при использовании внешних (подключаемых, например, по USB-C) видеокарт.
- Объявлено о расформировании Nixpkgs Core Team. Не путайте с управляющим комитетом! Это товарищи, которые пилили дистр с пакетами, товарищи выгорели, а новой крови не влилось (на призыв откликнулся только 1 человек).
- В дистрибутиве Proxmox Virtual Environment реализована поддержка архитектуры ARM64. Пока что поддерживаются только специализированные платы вроде NVIDIA Grace Hopper и NVIDIA Vera, возможна работа на arm64, который работает на UEFI и имеет ACPI. Одноплатники пока не поддерживаются. Возможно запускать только UEFI-виртуалки, BIOS не поддерживается.

- Релизы дистров и ОСей: Xen 4.22, NetBSD 11.0, DietPi 10.6.

Этот дайджест можно прочитать и обсудить в новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru.

Также у меня появился канал в MAX, присоединяйтесь!

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 2 недели (28 июля - 10 августа).

Из-за большого количества интересностей он будет разбит на 2 части.

1/2

ИИшное:

- Линус Торвальдс поддержал право использовать AI-инструменты при разработке ядра. Пользуем, но проверяем, рецензируем, ибо ИИ должен помогать, а SJW могут идти лесом. Не могу не поддержать адекватный подход.
- Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI. Но на всякий случай у вас есть вот это .
- Проект Debian проводит общее голосование о допустимости применения AI при разработке. Причины те же самые, что и у codeberg - непонятен правовой статус такого кода (ибо это компиляция из уже написанного, фактически), а также большая нагрузка на сопровождающих из-за новичков, вооружившихся ИИ. Почитать предложения и посмотреть результаты можно тут.
- Проект GCC запретил приём значимых изменений, сгенерированных при помощи AI. Как и с Debian, разработчикам непонятен правовой статус такого кода, поэтому до 2027 года разработчики GCC могут использовать ИИ для всего, кроме написания кода (именно в 2027 году возможен пересмотр правил, согласно регламенту).
- Проект Rust утвердил правила в отношении использования AI-инструментов. Все как и в случае с gcc - полностью генерировать код ИИшкой нельзя, но можно использовать оную для рецензирования и проверки кода.
- Запрет на приём AI-патчей в раздел drivers/staging ядра Linux. Тут уже мысль другая - drivers/staging задумывался как поле для обучения новичков. Исключение - патчи безопасности, их принимать будут.

Уязвимости, атаки, митигации:

- В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации. Собственно, последствия череды недавних атак и подмен релизных файлов. Адекватные разработчики все равно не будут заменять/дополнять файлы ручками.
- Из-за новой атаки в AUR отключена передача бесхозных пакетов новым сопровождающим. Писал об этом недавно, но на текущий момент ничего не реализовали из защитных мер, поэтому обновлять в AUR пакеты невозможно. В списке рассылки aur-general проскакивало несколько вариантов, включая "аутсорс" проверки пользователям, но от разработчиков обновлений пока нет.
- Переполнение буфера в iwd, эксплуатируемое через Wi-Fi. Обновляйтесь как только приедет апдейт, исправление пока в виде патча. В подавляющем большинстве дистрибутивов использование уязвимости будет вызывать DoS, на arm32 и дистрах, которые собирают IWD без PIE, canary и FORTIFY - перехват управления приложением/DoS.
- 54 из 55 выявленных через AI уязвимостей в SQLite оказались фиктивными. Галлюцинации ИИ моделей as it is, или почему ВАЖНО проверять то, что сделала ИИшечка.
- Новый червь ChainDrop поразил более 400 NPM-пакетов. Нет слов, одни маты размером с node_modules . В общем, будьте аккуратнее.
- Zapscape - уязвимость в гипервизоре KVM, позволяющая получить root-доступ к хост-системе. Атакующий может получить рута на хосте при наличии рута в госте, а ошибке - 6 лет (скоро в первый класс ). Патчи уже доступны в свежих ядрах, обновляйтесь.
- TONTOU - атака на CPU Intel и AMD, позволяющая обойти защиту от уязвимостей Spectre v2. Скорость атаки - ~6 байт в секунду, за 18 минут смогли увести непривилегированным пользователем файл /etc/shadow. Фикс с блокировкой возможности эксплуатации уже в свежих ядрах.
- SCTPhantom - уязвимость в ядре Linux, предоставляющая root-доступ и выход из контейнера. Для эксплуатации требуется локальный доступ, а ошибка уже совершеннолетняя (да, ей 18 лет, допущена она в ядре 2.6.25 от 2008 года). Фикс уже есть в свежих ядрах.