Linux / Линукс 🥸

В Intel TDX нашли гонку, позволяющую хосту заглянуть в защищённую память VM

Google и Intel раскрыли детали совместного аудита безопасности технологии Intel TDX 1.5, предназначенной для шифрования памяти виртуальных машин. Всего выявлена 41 проблема, шесть из которых уязвимости. Критическая (CVE-2025-30513) позволяет администратору хост-системы полностью скомпрометировать защищённое окружение (Trusted Domain).

Проблема кроется в состоянии гонки при live-миграции: атакующий успевает подменить атрибуты TD после их проверки, но до закрепления в новом окружении. Это даёт возможность включить отладочный режим и читать расшифрованную память гостевой системы в реальном времени. Уязвимость достаточно проста в эксплуатации, так как миграцию может инициировать любой администратор хоста.

Также обнаружены утечки памяти (CVE-2025-32007, до 8 КБ данных стека), проблемы с неинициализированными переменными и спекулятивным исполнением. Все дыры закрыты в свежем микрокоде Intel. На GitHub уже опубликованы эксплоиты.

Linux / Линукс 🥸

Теперь понятно, откуда у Гейтса столько патентов. Он просто сидел в той же комнате, где придумывали Bash 🌚

Linux / Линукс 🥸

— Сколько времени осталось?
— Блин, хотел бы я знать.

Linux / Линукс 🥸

Раньше не понимал, почему systemD вызывает столько споров, в сейчас я просто боюсь спрашивать.

Linux / Линукс 🥸

Главное - верить в невозможное 🙂

Linux / Линукс 🥸

Mesa 26.0 переводит AMD на шейдерный компилятор от Valve и завозит Vulkan на Apple Silicon

Вышел первый экспериментальный релиз Mesa 26.0. Главное событие: драйвер RadeonSI (OpenGL для AMD) по умолчанию переключён на промежуточное представление NIR и бэкенд компиляции шейдеров ACO от Valve. Это даёт ускорение компиляции шейдеров до 8 раз и заметно сокращает время запуска игр и приложений.

Также представлен новый Vulkan-драйвер KosmicKrisp (kk) от LunarG, реализующий Vulkan поверх Metal, что открывает путь к нормальному Vulkan на Mac с Apple Silicon (M1/M2). Ранее там был только HoneyKrisp, теперь экосистема расширяется.

Кроме того, в RADV (Vulkan для AMD) серьёзно ускорили трассировку лучей, а в драйверах для Intel, NVIDIA, Qualcomm, ARM и программном растеризаторе добавили десятки новых Vulkan-расширений. Стабильная версия ожидается в ближайшие недели.

Linux / Линукс 🥸

Linux / Линукс 🥸

Вышел минималистичный дистрибутив Tiny Core Linux 17.0, целиком работающий из оперативной памяти. Базовый ISO-образ занимает всего 20 МБ и способен запускаться на системах с 48 МБ ОЗУ. Для 64-битных систем предлагается сборка CorePure64 (25 МБ).

В новом выпуске обновлены ключевые компоненты: ядро Linux 6.18.2, glibc 2.42, binutils 2.45.1 и GCC 15.2.0. Также добавлена поддержка HTTPS-зеркал в скриптах и расширены права доступа для устройств ввода в udev-правилах.

Проект остаётся верен себе: никакого systemd, никакого bloat, только FLTK, собственный X-сервер Tiny X и оконный менеджер FLWM. Для тех, кому нужно больше, есть сборка CorePlus (288 МБ) с набором альтернативных WM и инструментами для настройки Wi-Fi.

Linux / Линукс 🥸

🥂 OpenVPN наконец-то начал догонять WireGuard по производительности.

Пока хипстеры переписывали свои конфиги на WireGuard, деды из OpenVPN выкатили мажорный релиз 2.7. И судя по чейнджлогу, хоронить классику энтерпрайз-VPN еще очень рано.

Главная киллер-фича - полноценная поддержка Data Channel Offload. Если раньше OpenVPN работал поверх ядра и постоянно переключал контекст процессора (что убивало скорость), то теперь обработку данных можно спихнуть прямо в ядро Linux (модуль ovpn уже в ядре 6.16).

📊 Результат на картинке. Обычный tun выдает 370 Мбит/с, а новый ovpn-dco 2950 Мбит/с. Прирост почти в 10 раз. WireGuard, ты там как, нормально? 🎩

Что еще вкусного:
🟢 Наконец-то запилили Multi-socket support. Теперь один инстанс сервера может слушать сразу несколько IP, портов и протоколов (TCP/UDP). Больше не надо плодить по 10 демонов для каждого интерфейса.
🟢 Свершилось! Дефолтная топология теперь subnet. Древний и костыльный net30 (который сжигал по 4 IP-адреса на каждого клиента) официально дропнут.
🟢 Выпилили старый драйвер wintun, теперь по дефолту win-dco. Плюс служба теперь запускается без админских прав, что сильно возрадует безопасников 🎧
🟢 TLS 1.3. Подвезли поддержку свежего mbedTLS 4.
🟢 Сервер теперь может пушить клиенту новые маршруты и настройки DNS на лету, без разрыва соединения и реконнекта.
🟢 Выпилили поддержку NTLMv1 проксей и поддержку статических ключей (--secret) по дефолту.

Релиз получился монументальный... если у вас корпоративный стандарт всё еще OpenVPN, то жизнь стала сильно лучше. Осталось только дождаться, когда DCO-модуль доедет до стабильных ядер дистрибутивов, и можно будет забыть про тормоза.

Типичный 🥸 Сисадмин

Читаю мануал systemd, чтобы еще точнее и бессмысленнее ее раскритиковать 😏

Linux / Линукс 🥸

Торвальдс отказался принимать изменения в подсистему MMC для ядра 7.0, назвав присланный код полным мусором (complete garbage). Патч даже не компилировался из-за повторного переопределения переменной. Базовая ошибка, которую ловит любой компилятор. По мнению Линуса, изменения не прогоняли через linux-next и вообще не тестировали на сборку.

Торвальдс не ограничился отклонением конкретного патча, он заявил, что в цикле 7.0 вообще не примет изменения от этого сопровождающего, даже исправленные. В 7.1 рассмотрит, но только после полноценной проверки в linux-next. Цитата для истории: "Не отправляйте мне непротестированный мусор" ("untested crap").

Подсистема MMC отвечает за работу с картами памяти, да, не самый критичный компонент, но всё равно часть ядра. Если сопровождающий присылает код, который падает на этапе компиляции, возникает вопрос: а что ещё он не проверял?

Linux / Линукс 🥸

Linux Mint развивает новый хранитель экрана и намерен реже выпускать релизы

Разработчики заанонсили создание нового хранителя экрана для рабочего окружения Cinnamon. Текущая версия завязана на X11 и GTK, а для блокировки экрана использует вывод поверх оконного менеджера. Новый продукт будет работать и на X11, и на Wayland, а перекрытие экрана возьмёт на себя сам Cinnamon, что даст красивую анимацию и единый стиль.

Также команда рассматривает отказ от жёсткого шестимесячного цикла релизов. Подготовка новой версии каждые полгода отнимает слишком много времени на тестирование и исправление багов, оставляя меньше ресурсов на развитие. Новый подход позволит выпускать релизы тогда, когда они действительно готовы.

Linux / Линукс 🥸

Цифровые староверы против Скайнета 👾

Тут на главной сходке линуксоидов в Брюсселе на FOSDEM 2026 Михил Леенаарс выдал базу, от которой у старой гвардии должны зашевелиться волосы даже там, где их уже нет 😬 Он выступил с докладом на тему:

FOSS in times of war, scarcity and (adversarial) AI
FOSS во времена войны, дефицита и (враждебного) ИИ.

Если кратко, то праздник закончился. Эпоха конца истории, когда сообщество верило, что интернет всех объединит, а код вне политики - мертва 💀 Опенсорс стал заложником собственной открытости... свободные лицензии сыграли злую шутку, превратив софт в топливо для военных дронов, систем тотальной слежки и цифровых диктатур. Сообщество строило мир без границ, а создало идеальный арсенал для глобальной кибервойны, геополитических конфликтов и цифрового феодализма 👨‍🦳

Но главная угроза исходит от больших языковых моделей. Корпорации предлагают помощь ИИ в написании кода, но это ловушка. Если раньше мы боролись с закрытыми проприетарными драйверами, пытаясь понять, что спрятал вендор, то теперь мы добровольно пускаем в проект троянского ИИ-коня. Атака на цепочку поставок через нейросети это уже вопрос времени.

Злоумышленникам (будь то спецслужбы 👮‍♂️ или корпорации) даже не нужно ломать ваш репозиторий. Им достаточно отравить обучающие данные, подкрутив веса моделей. Нейронка, обученная на правильных примерах, будет генерировать код с тончайшими, незаметными уязвимостями, которые пройдут любое ревью, потому что выглядят как обычный баг джуна или выгоревшего сеньора 🤙

Корпорации хотят заменить живых разработчиков на свои модели, вытеснив FOSS. В итоге мы рискуем получить мир, где код пишут машины, которые галлюцинируют бэкдорами, а мы даже не можем это проверить, потому что объем кода растет экспоненциально 🔥

Леенаарс призывает к созданию "Maximal Defendable FOSS", т.е. максимальной обороны через изоляцию, формальные доказательства и отказ от слепого доверия коду ИИ.

Мы стоим на пороге нового Великого Раскола, только на этот раз в ИТ. Как когда-то старообрядцы уходили в скиты, так и сейчас формируется согласие цифровых FOSS-беспоповцев 😮. Они уйдут в цифровые скиты, будут писать код вручную, проверять каждую строку и хранить знания о том, как на самом деле работает машина, а не галлюцинация ИИ. Эта группа хранителей истины будет выглядеть маргиналами и сектантами в глазах прогрессивного большинства, штампующего продукты через ЖПТ. Но именно они станут единственным холодным бэкапом человечества. Тем самым семенным фондом чистого разума, который понадобится, когда, перегруженная багами и закладками, современная Вавилонская башня рухнет под собственным весом 😗

Типичный 😒 Сисадмин

Linux / Линукс 🥸

В ядре Linux на 12% ускорена обработка входящих UDP-пакетов

В кодовую базу, на основе которой формируется ядро Linux 7.0, принят набор изменений, при проведении стресс-тестирования в 100-гигабитной сети позволивших повысить производительность обработки входящих UDP-пакетов на 12%. Оптимизация реализована путём ручного инлайнинга 2 функций. Отмечается, что функция timecounter_cyc2time() может вызываться на каждый входящий пакет, поскольку современные протоколы требуют учёта времени поступления пакета. Из-за этого на нагруженном сервере функция timecounter_cyc2time() может вызываться более 100 млн раз в секунду.

В данной ситуации автоматические применяемые компилятором оптимизации, такие как FDO (Feedback Directed Optimization), LTO (Link Time Optimization) и PGO (Profile Guided Optimization), не смогли обнаружить горячий сегмент кода и проигнорировали его, судя по всему из-за того, что драйверы сетевых карт поставляются в форме отдельных модулей. Однако ручное inline-развёртывание функции дало значительный выигрыш в производительности.

Linux / Линукс 🥸

Linux / Линукс 🥸

Ubuntu 24.04.4 LTS принесла свежее ядро 6.17 и Mesa 25.2.7

Вышло четвёртое корректирующее обновление LTS-дистрибутива Ubuntu 24.04. Главное это бэкпортированный графический стек из Ubuntu 25.10: ядро Linux 6.17 (против базового 6.8), Mesa 25.2.7 и Wayland Protocols 1.45.

В десктоп-версии новое ядро и драйверы включены по умолчанию. Для серверной редакции они доступны как опция в инсталляторе. Также обновлены пакеты: cloud-init 25.2, netplan 1.1.2, snapd 2.73 и другие.

Важно: rolling-ядро (HWE) будет поддерживаться только до следующего точечного релиза (24.04.5). Базовое ядро 6.8 останется на весь пятилетний цикл. Если вы уже используете 24.04, все изменения можно получить через обычную систему обновлений.

Linux / Линукс 🥸