Computers were a mistake

2/2

Атаки, уязвимости и подобное:

- BTR - атака на CPU Intel, AMD и ARM, эксплуатируемая через JIT-компиляторы. Уязвимость класса Spectre-V2, позволяющая читать память в обход изоляции оной. Фиксы приехали в ядрышки.
- Выпуск OpenSSH 10.6 с устранением уязвимостей. Есть RCE, zip-бомба и даже возможность восстановить сеанс пользователя при атаке по сторонним каналам.
- Компрометация регистраторов 3 доменных зон, позволила получить TLS-сертификаты к сервисам Google. Это не про нас (зоны .gh, .sl, .as), но все равно занятное проишествие.
- Опасные уязвимости в Apache httpd, FreeBSD, ядре Linux, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 и OpenSSL. Полный набор классических уязвимостей, обязательно обновляйте затронутое.
- Уязвимость в GitLab, допускающая удалённое выполнение кода. Проблема в CI/CD, обновляйтесь, через 30 дней опубликуют детали уязвимости.
- PwnEscape - уязвимость в сетевом стеке ядре Linux, позволяющая обойти изоляцию гипервизоров и контейнеров. Обновления в ядре Linux уже доступны.

- Релизы дистров и ОСей: antiX 26.1, OpenMandriva ROME 26.09, Qubes OS 4.3.2, /e/OS 4.3, ROSA Fresh 13.3, Raspberry Pi OS 2026-10-06 (теперь с возможностью установить на обычные пекарни), LineageOS 24, Ubuntu 26.10.

Этот дайджест можно прочитать и обсудить в новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие две с половиной недели (30 сентября - 19 октября).

1/2

- Метод атаки, значительно сокращающий ресурсы для подделки цифровых подписей RSA. Все еще не очень достижимо на обычных компьютерах, но становится реальнее на кластерах, поэтому вовремя обновляйте свои ключики и используйте современные библиотеки для работы с RSA.
- Microsoft опубликовал WSL 3.0 с поддержкой запуска Linux-контейнеров в Windows. Теперь можно гонять контейнеры без дополнительных плясок с установкой Docker. А если вам нужна работа с compose - пользуйте пока что вот это.
- Cloudflare создаёт удостоверяющий центр для бесплатной раздачи TLS-сертификатов. ACME будет, так что автоматизировать можно будет без проблем, плюс CF хочет одним из первых запилить сертификаты с пост-квантовой криптографией.
- Проект PhotoSuite развивает открытый аналог Photoshop. Ничего удивительного на тему использования жоеса, так как по моим ощущениям интерфейс адобовских приложений уже давно на нем написан.
- Microsoft опубликовал первый выпуск открытой системы sandbox-изоляции Litebox. Интересная штука, написана на rust, в форме подгружаемой библиотеки.
- Впечатляющий набор софта, сгенерированного с помощью ИИ. Там адобовское, word/excel/powerpoint, почтовый клиент. Интересно, куда это все в итоге придет (и какие уязвимости, конечно же, найдут ).
- В ФС Ext4 намечен к удалению режим data=journal. Если пользовали - у вас где-то год, чтобы куда-то переехать, иначе придется больше не обновлять ядро.
- Cloudflare поглотила JavaScript-платформу Deno и прекратит её разработку. Все, что было платное, будет теперь в CLoudflare, а сообщество, если захочет, сможет дальше пилить Deno. Выглядит новость максимально странно, конечно.
- В феврале Let's Encrypt перейдёт на 64-дневные сертификаты. Если ваш софт поддерживает только 90-дневные - убедитесь, что в феврале он будет поддерживать 64-дневные.
- Компания Mozilla представила браузер Firefox Enterprise. Теперь не одним хромом/edge можно будет пользоваться в компаниях, если они, конечно же, захотят.
- В Microsoft Defender добавлена поддержка десктоп-систем Linux. Интересно, он будет таким же бесполезным, как на Windows?
- Тестирование Epic Games Launcher для Linux. Для Linux-версии Fortnite готовится новый Easy Anti-Cheat. Мне, как геймеру, сия новость особенно интересна, так как появление нормальных античитов под Linux дает надежду на появление нормальных игр, работающих без wine. Но, конечно, не без ложки дегтя - EAC известен своим наплевательским отношениям к пользователям, и, скорее всего, будет так же класть на приватность под Linux.
- Началось тестирование 64-разрядной версии клиента Steam для Linux. Еще на один шаг к 32-битному капцу ближе (и он случится, конечно же, раньше вендекапца).
- Исследователи из Anthropic воссоздали формирование seed-параметров стандартных эллиптических кривых ECDSA. Еще одно напоминание, что в эпоху ИИ надо за безопасностью и выбором алгоритмов шифрования следить прям очень уж пристально, а то понюкают.