Linux | Линукс

Linux 7.3: Торвальдс выкатил ядро, где ИИ пишет патчи, а Apple получила официальную поддержку раньше своих же фанатов

Главная фича релиза - новый механизм изоляции fchroot/failfs, который работает на уровне файловых дескрипторов, а не путей. По сути это chroot для параноиков: процесс получает доступ только к тому, что явно передали через дескриптор, никакой навигации по абсолютным или относительным путям, никаких символических ссылок в обход. Любопытная деталь — один из патчей, добавляющий отслеживание памяти гостевых ВМ через userfaultfd, в коммите помечен "Assisted-by: Claude-opus-4-6".

Из практического: Btrfs получила пятикратный прирост производительности на fsync для не-SSD дисков, Ext4 ускорила direct I/O, а FUSE через io_uring наконец избавилась от лишнего копирования данных. Заодно из ядра выпилили EFS и FreeVxFS.

Apple же получила поддержку чипов M3 Pro/Max/Ultra. Забавно, что Linux зачастую поддерживает железо Apple раньше, чем сама macOS получает новые фичи для пользователей.

Жертвой чистки стали и старые ARM-платформы - около 55 тысяч строк кода для sa1100, omap24xx, riscpc и прочих динозавров отправятся на выход в 7.5. А параллельно латиноамериканский Фонд свободного ПО как обычно выпустил Linux-libre, версию без блобов, из которой вычистили прошивки для новых драйверов Mali Tyr и wifi-чипов.


@linux0ids

Тут на Реддите подсчитали, кто вносил все изменения в xz, sudo, bash, tz и 19 других проектов за последний год

Миллиарды телефонов и большинство серверов в интернете работают на коде, за которым следят один или два человека, причём часто безвозмездно. Автор проанализировал годовой объём коммитов для 23 таких проектов, и оказалось, что 11 из них фактически поддерживаются одним или двумя людьми. После бэкдора 2024 года xz по-прежнему в основном держится на Лассе Коллине в одиночку, а файл часовых поясов, который читает каждый телефон, поддерживается преподавателем Калифорнийского университета в Лос-Анджелесе в свободное время.

Чтиво на вечер: https://sheets.works/data-viz/holding-up-the-internet

@linux0ids

Microsoft выпустила антивирус Microsoft Defender для Linux 😃

@linux0ids

@linux0ids

В Microsoft Defender добавлена поддержка десктоп-систем Linux

Компания Microsoft объявила о реализации официальной поддержки десктоп-систем на базе Linux в платформе Microsoft Defender. Доступны такие возможности, как защита от вирусов и вредоносных программ, отслеживание неисправленных уязвимостей, анализ угроз, изоляция и инвентаризация устройств, управление связанными с безопасностью настройками, выявление атак и реагирование на атаки (EDR - Endpoint Detection and Response). Заявлено о возможности применения Microsoft Defender не только для защиты Linux-серверов, но рабочих станций, на которых применяются Ubuntu, Debian, Fedora, RHEL, openSUSE, SUSE и производные дистрибутивы. Поддерживаются GNOME, KDE и другие среды рабочего стола.

@linux0ids

@linux0ids

Фонд СПО взял под свое крыло и финансовое обеспечение проект GNU Boot — форк известного Libreboot, очищенный от следов проприетарщины. Фонд Ричарда Столлмана официально призывает всех "освободить свой BIOS" и заявляет, что без контроля над первичной прошивкой материнки никакая цифровая автономия пользователя невозможна.

Технически GNU Boot — это не написанная с нуля прошивка, а мета-дистрибутив, собирающий в единый свободный бандл проверенные опенсорсные наработки: кастомный Coreboot, полезную прослойку SeaBIOS и загрузчик GRUB. Разработчики проекта работают ровно так же, как мейнтейнеры свободных дистрибутивов типа Guix или Trisquel: очищают исходники от бинарных блобов вендоров, правят документацию и засылают патчи в апстрим.

Взяв проект на баланс программы «Working Together for Free Software», FSF берет на себя всю бухгалтерию и донаты. Это позволит разрабам сосредоточиться на коде, а не искать деньги на жизнь.

@linux0ids

@linux0ids

— Уязвимости (CVE-2026-33937, CVE-2026-106445) в JavaScript-библиотеке handlebars.js, насчитывающей 50 млн загрузок в неделю и 17 тысяч зависимых проектов. Уязвимости позволяют организовать удалённое выполнение JavaScript-кода на сервере (при использовании библиотеки с Node.js) через подстановку в шаблонизатор уже сформированных AST-объектов (Abstract Syntax Tree) в дополнение к строковым шаблонам. Проблемы устранены в версии 4.7.10.

— В криптографической библиотеке wolfSSL 5.9.4 устранено 11 уязвимостей, наиболее опасные из которых позволяют обойти аутентификацию через использование поддельных сертификатов.

— 6 уязвимостей в системе самодостаточных пакетов Flatpak, среди которых проблемы, позволяющие удалить (CVE-2026-97023) и записать (CVE-2026-97024) файлы в основной системе c правами root, а также отправить сигнал процессам вне изолированного окружения (CVE-2026-97029). Проблемы устранены в выпуске Flatpak 1.18.4.
Уязвимость в библиотеке PCRE2, вызванная переполнением буфера в JIT-компиляторе регулярных выражений. Подготовлен эксплоит, позволяющий добиться удалённого выполнения кода в PHP-проектах, таких как phpMyAdmin, при обработке указанного атакующим регулярного выражения в функциях на базе PCRE2. Проблема устранена в версии libpcre2 10.49.

— 14 уязвимостей в криптографической библиотеке OpenSSL, наиболее опасные из которых могут привести к утечке содержимого памяти процесса при манипуляциях с согласованием соединения DTLS (CVE-2026-84782), обращению к памяти после её освобождения при одновременном обращении к одному сертификату X.509 из разных потоков (CVE-2026-84783), воссозданию закрытых ключей через анализ времени выполнения операций по сторонним каналам при генерации подписей SM2 и brainpoolP384r1 (CVE-2026-54872, CVE-2026-77696). Проблемы устранены в выпусках OpenSSL 4.0.3, 3.6.5, 3.5.9 и 3.4.8.

— Опубликован эксплоит для уязвимости в СУБД PostgreSQL (CVE-2026-15742), позволяющий выполнить код на сервере с правами пользователя, под которым запускается СУБД, через отправку специально оформленных значений в SQL-функции levenshtein() и levenshtein_less_equal(). Уязвимость устранена в выпусках PostgreSQL 18.6, 17.11, 16.15, 15.19 и 14.24.

— В обновлениях платформы совместной разработки Gitea 28.0.0. и 28.1.0 устранено несколько десятков уязвимостей, среди которых отправка pull-запроса в обход механизма подтверждения изменений (CVE-2026-104632), исполнение кода в CI из форка (CVE-2026-94205), обход аутентификации во встроенном SSH-сервере из-за игнорирования регистра символов при выборке из БД (CVE-2026-103059).

— Переполнение буфера (CVE-2026-102633) в библиотеке libexpat, возникающее на 32-разрядных платформах при обработке специально оформленных XML-файлов. Проблема устранена в выпуске 2.9.0.

— Две уязвимости в пакете FreeIPMI для управления серверами, поддерживающими интерфейс IPMI (Intelligent Platform Management Interface). Одна из уязвимостей приводит к переполнению буфера при обработке специально оформленного имени хоста. Проблемы устранены в версии FreeIPMI 1.6.20.

— В рамках проекта Lightwell компании IBM и Red Hat выявили и подготовили исправления для более 400 уязвимостей в открытых библиотеках на языке Java.

@linux0ids

Если планировали спокойные выходные без apt upgrade... планы отменяются, дайджест вышел плотный. Выявленные за последнее время опасные уязвимости, позволяющие получить root-доступ в системе или добиться удалённого выполнения кода:

— 20 уязвимостей в Apache httpd, среди которых переполнение буфера в mod_vhost_alias (CVE-2026-63292), потенциально позволяющее удалённо выполнить код через отправку HTTP-запроса с большим HTTP-заголовком Host. Уязвимость проявляется при указании в директиве VirtualDocumentRoot спецификатора подстановки имени хоста и увеличении лимита LimitRequestFieldSize.

Среди других опасных проблем: обращение к памяти после её освобождения в mod_rewrite при использовании конструкции %{LA-U:HTTP:...}" (CVE-2026-56154); переполнение буфера в mod_charset_lite (CVE-2026-56153); обращение к уже освобождённой памяти в mod_http2 (CVE-2026-57941); переполнение буфера при разборе файловых путей в Windows (CVE-2026-59685); целочисленное переполнение в mod_dav_fs (CVE-2026-93546). Проблемы устранены в выпуске 2.4.69.

— 9 уязвимостей во FreeBSD. Среди выявленных проблем: переполнение буфера, приводящее к выполнению кода на уровне ядра при манипуляциях с системным вызовом semop (CVE-2026-58098); повышение привилегий из-за обращения к памяти после её освобождения в kqueue (CVE-2026-58099); выход за пределы корневого каталога изолированного jail-окружения (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); крах ядра через отправку специально оформленного сетевого пакета при включении KTLS (CVE-2026-101302); обход механизмов сетевой изоляции в jail (CVE-2026-101303). Уязвимости устранены в обновлениях FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 и 14.4-RELEASE-p10.

— 6 уязвимостей в LibreOffice, при открытии специально оформленных документов приводящие к выполнению кода (CVE-2026-63277, эксплоит), записи в произвольные файлы (CVE-2026-63266) или утечке содержимого локальных файлов (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Проблемы устранены в LibreOffice 26.2.5 и 26.8.0.

— Уязвимость (CVE-2026-59265, эксплоит) в Apache OpenOffice, приводящая к выполнению кода при открытии специально оформленного документа из-за ошибки в функциях интеграции с Java. Проблема будет устранена в выпуске 4.1.17, который находится на стадии тестирования кандидата в релизы.

— Уязвимости в сервере печати CUPS. Пока раскрыты только сведения о 14 проблемах с уровнем опасности меньше 7 (CVSS), а список более опасных проблем будет опублиован после истечения эмбарго, дающего время на внесение исправлений в дистрибутивах. Наиболее опасные из раскрытых уязвимостей позволяют повысить привилегии (CVE не назначен) и удалённо выполнить свой код с правами пользователя lp (CVE-2026-55453) при обращении к IPP-принтеру, подконтрольному злоумышленнику. Проблемы устранены в выпуске CUPS 2.4.20.

— Уязвимость (CVE-2026-80521, эксплоит) в ядре Linux, позволяющая получить доступ к хост-системе из изолированного контейнера. Уязвимость вызвана состоянием гонки в реализации сокетов AF_UNIX, приводящим к обращению к памяти после её освобождения, которое можно эксплуатировать для выполнения произвольного кода на уровне ядра. Проблема устранена в августовских обновлениях ядра.
Для Debian GNU/Linux 13 опубликовано обновление пакета с ядром Linux 6.12.111-1, в котором устранено 1313 уязвимостей.

— Уязвимость (CVE-2026-94545) в платформе Next.js, позволяющая удалённо без прохождения аутентификации выполнить свой код на сервере через отправку запроса на генерацию SVG-изображения, при наличии на сервере обработчика для предпросмотра OG-карт (Open Graph). Проблема связана с уязвимостью в библиотеке Satori, используемой для преобразования HTML и CSS в SVG. Уязвимость вызвана отсутствием должной проверки escape-символов перед их подстановкой в SVG-файл, что могло использоваться для добавления тега <script> в SVG-разметку, который выполнялся на сервере при конвертации SVG в растровый формат. Проблема устранена в Satori 0.33.5 и Next.js 15.5.26, 16.3.6 и 16.4.0