Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 2 недели (28 июля - 10 августа).

Из-за большого количества интересностей он будет разбит на 2 части.

1/2

ИИшное:

- Линус Торвальдс поддержал право использовать AI-инструменты при разработке ядра. Пользуем, но проверяем, рецензируем, ибо ИИ должен помогать, а SJW могут идти лесом. Не могу не поддержать адекватный подход.
- Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI. Но на всякий случай у вас есть вот это .
- Проект Debian проводит общее голосование о допустимости применения AI при разработке. Причины те же самые, что и у codeberg - непонятен правовой статус такого кода (ибо это компиляция из уже написанного, фактически), а также большая нагрузка на сопровождающих из-за новичков, вооружившихся ИИ. Почитать предложения и посмотреть результаты можно тут.
- Проект GCC запретил приём значимых изменений, сгенерированных при помощи AI. Как и с Debian, разработчикам непонятен правовой статус такого кода, поэтому до 2027 года разработчики GCC могут использовать ИИ для всего, кроме написания кода (именно в 2027 году возможен пересмотр правил, согласно регламенту).
- Проект Rust утвердил правила в отношении использования AI-инструментов. Все как и в случае с gcc - полностью генерировать код ИИшкой нельзя, но можно использовать оную для рецензирования и проверки кода.
- Запрет на приём AI-патчей в раздел drivers/staging ядра Linux. Тут уже мысль другая - drivers/staging задумывался как поле для обучения новичков. Исключение - патчи безопасности, их принимать будут.

Уязвимости, атаки, митигации:

- В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации. Собственно, последствия череды недавних атак и подмен релизных файлов. Адекватные разработчики все равно не будут заменять/дополнять файлы ручками.
- Из-за новой атаки в AUR отключена передача бесхозных пакетов новым сопровождающим. Писал об этом недавно, но на текущий момент ничего не реализовали из защитных мер, поэтому обновлять в AUR пакеты невозможно. В списке рассылки aur-general проскакивало несколько вариантов, включая "аутсорс" проверки пользователям, но от разработчиков обновлений пока нет.
- Переполнение буфера в iwd, эксплуатируемое через Wi-Fi. Обновляйтесь как только приедет апдейт, исправление пока в виде патча. В подавляющем большинстве дистрибутивов использование уязвимости будет вызывать DoS, на arm32 и дистрах, которые собирают IWD без PIE, canary и FORTIFY - перехват управления приложением/DoS.
- 54 из 55 выявленных через AI уязвимостей в SQLite оказались фиктивными. Галлюцинации ИИ моделей as it is, или почему ВАЖНО проверять то, что сделала ИИшечка.
- Новый червь ChainDrop поразил более 400 NPM-пакетов. Нет слов, одни маты размером с node_modules . В общем, будьте аккуратнее.
- Zapscape - уязвимость в гипервизоре KVM, позволяющая получить root-доступ к хост-системе. Атакующий может получить рута на хосте при наличии рута в госте, а ошибке - 6 лет (скоро в первый класс ). Патчи уже доступны в свежих ядрах, обновляйтесь.
- TONTOU - атака на CPU Intel и AMD, позволяющая обойти защиту от уязвимостей Spectre v2. Скорость атаки - ~6 байт в секунду, за 18 минут смогли увести непривилегированным пользователем файл /etc/shadow. Фикс с блокировкой возможности эксплуатации уже в свежих ядрах.
- SCTPhantom - уязвимость в ядре Linux, предоставляющая root-доступ и выход из контейнера. Для эксплуатации требуется локальный доступ, а ошибка уже совершеннолетняя (да, ей 18 лет, допущена она в ядре 2.6.25 от 2008 года). Фикс уже есть в свежих ядрах.