Критическая уязвимость в telnetd, позволяющая получить доступ к root без пароля

В GNU InetUtils telnetd обнаружили уязвимость, позволяющую залогиниться под root без пароля. Эксплойт элегантен до боли: $ USER='-f root' telnet -a имя_сервера, и вы внутри.

Демон просто берет имя пользователя из переменной окружения и скармливает его утилите /usr/bin/login как аргумент. А так как утилита login понимает флаг -f (пропустить проверку пароля), система считает, что вы уже аутентифицированы. Самое смешное, что этот кусок кода добавили 10 лет назад, чтобы починить баг с Kerberos.

Баг появился в марте 2015 года, когда чинили autologin для Kerberos. Добавили передачу имени через переменную окружения, а проверку корректности забыли.

CVE пока не присвоили, патчи есть, но в актуальной версии 2.7.0 дыра всё ещё открыта.

Linux / Линукс 🥸

Опубликован релиз платформы Electron 40.0.0 для создания кросс-платформенных десктопных приложений на базе веб-технологий. Ключевое изменение - обновление базовых компонентов: Chromium 144, Node.js 24.11.1 и V8 14.4.

Новая версия приносит ряд технических улучшений, направленных на повышение производительности и расширение возможностей разработки. Добавлена поддержка вывода в формате RGBAF16 с цветовым пространством scRGB HDR в режиме Offscreen Rendering, что открывает двери для приложений с расширенным динамическим диапазоном. На Linux появилась возможность получать системные акцентные цвета через systemPreferences.getAccentColor. Также улучшена работа с доступностью, процессами и модулями.

Linux / Линукс 🥸

Было?

Linux / Линукс 🥸

Arduino представила плату UNO Q с 4 ГБ ОЗУ для работы в качестве Linux-ПК

После поглощения Qualcomm компания Arduino анонсировала новую комплектацию платы UNO Q с увеличенной памятью: 4 ГБ ОЗУ и 32 ГБ eMMC. По цене $59 она позиционируется как полноценный одноплатный компьютер, способный работать с графическим окружением Linux, подключаемой клавиатурой, мышью и монитором.

Плата сохраняет аппаратную основу: процессор Qualcomm QRB2210 (4 ядра Cortex-A53, GPU Adreno 702, AI-ускоритель), микроконтроллер STM32U585 для задач реального времени, Wi-Fi и Bluetooth. Удвоение памяти открывает новые возможности: от использования в качестве компактного Linux-десктопа до более сложных проектов в области машинного обучения и робототехники.

Linux / Линукс 🥸

Linux / Линукс 🥸

В GitLab обнаружена критическая уязвимость, позволяющая обойти 2FA

Компания GitLab выпустила экстренные обновления (версии 18.8.2, 18.7.2, 18.6.4) для устранения критической уязвимости CVE-2026-0723. Проблема позволяет злоумышленнику, знающему идентификатор учётной записи жертвы, обойти двухфакторную аутентификацию (2FA). Уязвимость связана с недостаточной проверкой возвращаемых значений в сервисах аутентификации.

Вместе с этим патчем исправлены ещё четыре опасные уязвимости, приводящие к отказу в обслуживания (DoS) через компоненты Jira Connect, API управления релизами, SSH и создание Wiki-документов.

Рекомендуется немедленно обновить GitLab до актуальной версии. Детали уязвимостей пока не разглашаются (система ответственного раскрытия) и будут опубликованы через 30 дней. Находки были переданы через программу Bug Bounty на HackerOne.

Linux / Линукс 🥸

Выбор дистрибутива

Linux / Линукс 🥸

Вышел Rust 1.93

Главное обновление касается не самого языка, а Musl 1.2.5 внутри. Старая версия 1.2.3 ломала DNS-резолвер на больших записях, потому что не умела переключаться на резервный вариант (UDP→TCP). Теперь умеет, плюс нормально обрабатывает длинные CNAME-цепочки. Также починили баг, из-за которого глобальные аллокаторы на Rust при вызове std::thread_local! уходили в бесконечную рекурсию, аллокатор вызывал thread_local, который вызывал аллокатор, который... ну вы поняли. Теперь напрямую дёргают системный malloc.

Из приятного: внутри asm! блоков теперь можно использовать #[cfg(...)] для отдельных инструкций, а не только для всего блока. То есть SSE2-оптимизации можно включать точечно, без копипасты. Стабилизировали кучу API: Vec::into_raw_parts, Duration::from_nanos_u128, char::MAX_LEN_UTF8 и ещё два десятка методов, которые вы либо ждали, либо даже не знали, что они вам нужны. RISC-V 64 с профилем RVA23 теперь на втором уровне поддержки - собирается, но тесты не гарантируют.

Параллельно с релизом языка подвезли интересные проекты. Rex предлагает выкинуть eBPF на помойку истории и писать расширения ядра Linux прямо на Rust. Зачем мучиться с байт-кодом и верификатором, если компилятор Rust и так гарантирует безопасность памяти? А фанаты приватности получили Arti 1.9.0, переписанный на Rust клиент Tor. Сишная версия Tor медленно, но верно отправляется на пенсию.

Linux / Линукс 🥸

Среды рабочего стола по умолчанию для Linux и Unix

В большом разрешении в комментах и на сайте

Linux / Линукс 🥸

Ключевые open-source проекты вводят жёсткие правила против AI-мусора

В ответ на растущий поток низкокачественных правок и отчётов, сгенерированных ИИ, сообщество ведущих open-source проектов принимает решительные меры. Основные нововведения:

▪️ LLVM утвердил строгие правила: любой код, созданный с помощью ИИ, обязан пройти полное ручное рецензирование автором перед отправкой. Разработчик должен полностью понимать и нести ответственность за предоставленный код. Использование ИИ должно быть явно указано в описании (тег Assisted-by:), а автономные ИИ-агенты запрещены.

▪️ curl полностью прекращает программу выплат за уязвимости с конца января из-за лавины мусорных AI-сгенерированных отчётов, на проверку которых уходило непропорционально много времени команды.

▪️ Node.js ограничил приём заявок на HackerOnly только для проверенных участников с высоким рейтингом, чтобы отфильтровать низкокачественные AI-отчёты.

Эти шаги отражают общую усталость сообщества от ИИ-спама, который перегружает волонтёров и угрожает эффективности работы над реальными проблемами безопасности и развития проектов.

Linux / Линукс 🥸

Нейронки не перестают удивлять

Linux / Линукс 🥸

🐂 GNU Guix 1.5.0

Спустя три года радиомолчания разработчики GNU Guix выкатили мажорный релиз 1.5.0. За это время сообщество накоммитило более 70 тысяч изменений и даже успело идеологически верно переехать с GitHub на Codeberg, потому что настоящая свобода не должна хоститься на серверах MS. В репозитории теперь царит непривычная свежесть... завезли KDE Plasma 6.5 и GNOME 46, который теперь по дефолту работает на Wayland, а под капотом крутится GCC 15.2.0 и ядро Linux-libre 6.17. Так что любителям проприетарных драйверов и блобов придется, как обычно, страдать или доустанавливать их руками, нарушая чистоту эксперимента 😃

С точки зрения архитектуры и безопасности произошел тектонический сдвиг. Демон Guix наконец-то научился работать в Rootless-режиме из коробки на сторонних дистрибутивах. Систему инициализации GNU Shepherd обновили до версии 1.0, и она наконец-то освоила таймеры (фанаты systemd могут ухмыльнуться) и kexec для быстрой перезагрузки. А команда guix pack теперь умеет собирать RPM и AppImage, так что пакеты из мира Guix можно подкидывать друзьям на Fedora или CentOS как троянского коня, подсаживая их на функциональное управление пакетами 😁

Для любителей цифровой некромантии завезли экспериментальную поддержку GNU Hurd на x86_64. Да, та самая ОС, которую Столлман пишет уже 40 лет, теперь запускается даже на ThinkPad X60.

Linux / Линукс 🥸