Linux / Линукс 🥸

Google назвал обладателей премии Open Source Peer Bonus 2024

Премия присуждается за вклад в развитие открытых проектов. Претендентов выдвигают сотрудники Google, но номинанты не должны быть связаны с данной компанией. Премия присуждается разработчикам, техническим писателям, дизайнерам, активистам сообщества, наставникам, экспертам по безопасности и другим людям, связанным с открытым ПО.

В этом году на получение премии были номинированы 159 человек, что на 38% меньше, чем в прошлом году. Премию получили 130 человек, участвующих в развитии 78 открытых проектов, среди которых Angular, Apache Spark, Bazel, Сargo, Chromium, Chimera Linux, clangd, containerd, CoreDNS, curl, Dart, Gentoo Hardened, Go, Kubernetes, libcamera, ядро Linux, Mercurial, PostgreSQL, Rust, TensorFlow и xz. Победителям будет отправлен сертификат, выражающий признание компанией Google, и денежное вознаграждение, размер которого не сообщается.

Linux / Линукс 🥸

Linux / Линукс 🥸

Исследование 172 ключевых Open Source проектов на предмет уязвимости к ошибкам памяти

Согласно исследованию специалистов агентства кибербезопасности и безопасности инфраструктуры США (CISA):

• 52% критически популярных проектов с открытым исходным кодом содержат код, написанный на небезопасных для памяти языках;

• 55% от общего числа строк кода (LoC) в популярных и ключевых проектах написаны на небезопасных для памяти языках;

• многие проекты, написанные на безопасных для памяти языках, часто зависят от компонентов, написанных на небезопасных для памяти языках или наследуют код, написанный на небезопасных для памяти языках, через зависимости;

• среди исследованных проектов: ядро Linux (коэффициент небезопасного кода 95%), Tor (93%), Chromium (51%), MySQL Server (84%), glibc (85%), Redis (85%), SystemD (65%) и Electron (47%);

• в части проектов обнаружены проблемы отключения функций безопасности памяти разработчиками, либо по ошибке, либо намеренно, чтобы соответствовать определённым требованиям, что создаёт риски даже при использовании теоретически более безопасных компонентов.

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск Wine 9.12

– Движок Wine Mono с реализацией платформы .NET обновлён до выпуска 9.2.0.
– Добавлена начальная поддержка размещения в разделяемой памяти структур данных библиотеки user32.
– Переписан движок, используемый в командном интерпретаторе CMD.EXE.
– Налажена обработка состояний асинхронного ввода/вывода при работе в режиме WoW64 (64-bit Windows-on-Windows), позволяющем выполнять 32-разрядные Windows-приложения в 64-разрядных Unix-системах.
– Закрыты отчёты об ошибках, связанные с работой приложений: FL Studio 21, CUERipper 2.1.x, ESET SysInspector 1.4.2.0, cmd.exe, wpcap.
– Закрыты отчёты об ошибках, связанные с работой игр: Assassin's Creed, Assassin's Creed: Revelations, Assassin's Creed III, SuddenStrike 3, Death to Spies.

Linux / Линукс 🥸

Linux / Линукс 🥸

Новые версии Debian 12.6 и 11.10

Сформировано шестое корректирующее обновление дистрибутива Debian 12, в которое включены накопившиеся обновления пакетов и добавлены исправления в инсталлятор. Выпуск включает 162 обновления с устранением проблем со стабильностью и 84 обновления с устранением уязвимостей.

Одновременно доступен новый выпуск предыдущей стабильной ветки Debian 11.10, в который включено 62 обновления с устранением проблем со стабильностью и 76 обновлений с устранением уязвимостей. Обновлены до свежих стабильных версий пакеты nvidia-graphics-drivers, postfix, postgresql-13. Удалены пакеты phppgadmin, pytest-salt-factories, pytest-testinfra, salt (прекращено сопровождение) и snort (прекращено сопровождение).

Linux / Линукс 🥸

Linux / Линукс 🥸

Сообщество Eclipse представило интегрированную среду разработки Theia IDE

Состоялся первый официальный релиз новой интегрированной среды разработки Theia IDE, развиваемой организацией Eclipse Foundation на базе редактора кода Theia и разработанных для него плагинов. Код проекта написан на языке TypeScript и распространяется под лицензией EPLv2 (Eclipse Public License). Продукт Theia IDE поставляется как самодостаточное приложение для рабочего стола, рассчитанное на установку на локальных системах, а также в форме online-версии для работы из браузера (для развёртывания online-версии на своём сервере предоставляется готовый Docker-образ).

Проект развивается при участии компаний IBM, Red Hat, Google, ARM, Broadcom, Huawei, Samsung, Ericsson, SAP и Arduino на нейтральной площадке.

Платформа Theia построена на базе архитектуры фронтэнд/бэкенд, подразумевающей запуск двух процессов, один из которых отвечает за отрисовку интерфейса, а второй за внутреннюю логику. В Theia IDE присутствуют такие возможности как настраиваемая динамическая панель инструментов, отсоединяемые в отдельные окна панели редактирования кода, система вкладок, возможность организации удалённой работы и находящийся в разработке режим совместного редактирования и ведения проектов. Проект заявлен как заботящийся о конфиденциальности пользователей и не включающий отправку телеметрии по умолчанию.

Linux / Линукс 🥸

В KDE решены проблемы с производительностью KWin на старом оборудовании

Опубликован очередной отчёт о разработке KDE. Из интересных изменений можно отметить проведение работы по устранению в композитном менеджере проблем, приводящих при использовании сеанса на базе Wayland к снижению производительности на старом оборудовании с GPU Intel. Исправление, устраняющее проседание производительности при использовании тройной буферизации, включено в состав корректирующего выпуска KDE Plasma 6.1.1.

Кроме того, в KWin обеспечен автоматический переход на программную отрисовку на системах со старыми GPU, на которых не поддерживаются необходимые операции OpenGL.

Повышена надёжность работы KWin с устройствами, интенсивно генерирующими события ввода (например, раньше могли наблюдаться зависания или аварийные завершения при быстром движении некоторыми игровыми мышами).

Linux / Линукс 🥸

Graphpath — генерирует сетевую диаграмму ASCII из таблицы маршрутов Unix/Linux прямо в терминале.

📌 https://github.com/ocochard/graphpath

Linux / Линукс 🥸

Раздутый отчёт об уязвимости вынудил разработчика node-ip перевести репозиторий в архивный режим

Фёдор Индутный (Fedor Indutny), автор платформы Io.js (форк Node.js), входящий в технический комитет, управляющий разработкой Node.js, попытался привлечь внимание к проблеме с назначением CVE-идентификаторов некорректным отчётам об уязвимостях, не соответствующим действительности или неадекватно представляющим уровень опасности. Номер CVE, применяемый для идентификации уязвимости, присваивается без должной проверки и без консультации с разработчиками уязвимых программ. Разработчики не могут оспорить присвоенный уровень опасности или добиться отмены CVE.

В случае с Фёдором проблема коснулась Node.js-библиотеки node-ip, которая до публикации отчёта об уязвимости загружалась примерно 30 млн раз в неделю, но за 5 месяцев число загрузок снизилось до 17 млн в неделю. Предполагается, что наличие отчёта о критической уязвимости способствовало падению популярности библиотеки.

Библиотека node-ip используется в качестве зависимости у более 3500 проектов, при сборке которых из-за ложного CVE при выполнении команды "npm audit" выводится предупреждение. Поток жалоб и сообщений, связанных с ложным CVE, привёл к тому, что после нескольких месяцев попыток добиться изменений уровня опасности в CVE разработчик node-ip перевёл репозиторий проекта в архивный режим, заморозив процесс разработки (в архивном режиме репозиторий находился 5 дней и несколько часов назад был убран).

Информация об уязвимости CVE-2023-42282 была опубликована в начале февраля, но до этого выявивший проблему исследователь с декабря 2022 года пытался добиться получения вознаграждения на платформе Huntr (вероятно уровень опасности завышают, так как он влияет на вознаграждение). Судя по информации из отчёта об уязвимости, представители Huntr более года пытались связаться с разработчиками node-ip для устранения проблемы и лишь затем раскрыли детали публично.

Автор node-ip выразил несогласие с тем, что проблема является опасной уязвимостью. Из-за обилия запросов на исправление в середине февраля были сформированы корректирующие релизы node-ip 1.1.9 и 2.0.1, в которых добавлены проверки с учётом нетипичных форм представления IP-адресов. Тем не менее, с учётом популярности проекта поток связанных сообщений и запросов пользователей не прекратился. В БД MITRE уязвимость и поныне остаётся помечена как критическая, но представителей GitHub удалось убедить снизить уровень опасности в БД GitHub Advisory Database до минимального.

Linux / Линукс 🥸

Проект свободного браузера Ladybird получил пожертвование в 1 млн. долларов

Пожертвование предоставлено Крисом Ванстратом (Chris Wanstrath), сооснователем GitHub. Согласно сообщению на сайте проекта, Ванстрат и его семья решили пожертвовать миллион долларов проекту для дальнейшего финансирования разработки, поскольку они верят в необходимость присутствия на рынке браузеров альтернативного проекта, который так или иначе не финансируется Google и не полагается на технологический стек Google Chrome или любого другого браузера.

Для управления разработкой Ванстратом и Клингом основывается некоммерческий (501c3) фонд Ladybird Browser Initiative. Главным средством существования называются частные пожертвования, которые, однако, не позволят жертвователям контролировать процесс разработки и управления проектом (unrestricted donations).

Linux / Линукс 🥸

Linux / Линукс 🥸

В Fedora 42 намерены реализовать телеметрию

В выпуск Fedora Workstation 42, намеченный на весну следующего года, предложено добавить компоненты для сбора и отправки метрик, которые позволят изучить реальные предпочтения пользователей и учесть их при принятии решений, связанных с развитием дистрибутива. Предложение пока находится на стадии обсуждения.

По умолчанию сбор телеметрии будет отключён и сможет быть активирован только при явном действии пользователя, при этом планируется предоставить отдельные опции для включения накопления телеметрии на локальной системе и её отправки на серверы Fedora. Пользователю также будут предоставлены возможности для просмотра собранной на его системе статистики и удаления компонентов, связанных с телеметрией.

Для сохранения конфиденциальности планируют собирать только общие метрики, не позволяющие идентифицировать отдельного пользователя. Все компоненты, используемые для накопления и обработки метрик, выполняемые на стороне клиента и сервера, будут полностью открыты и доступны для аудита.

Linux / Линукс 🥸

NS-сервера домена .top прекратили обслуживание запросов валидации Let's Encrypt

Пользователи некоммерческого удостоверяющего центра Let's Encrypt, контролируемого сообществом и предоставляющего сертификаты безвозмездно всем желающим, при получении сертификатов столкнулись с невозможностью подтверждения прав на домены в зоне ".top" через DNS. С 25 июня DNS-серверы, отвечающие за домен первого уровня ".top", перестали принимать запросы от резолверов проекта Lets Encrypt, используемых в процессе проверки методом DNS-01, которая, например, требуется для получения сертификатов с масками, позволяющими охватить в одном сертификате группу поддоменов (например, *.example. com).

Изначально предполагалось, что проблема связана с DNSSEC, но затем выяснилось, что сбой при проверке через DNSSEC не причина, а следствие и DNS-серверы домена ".top" возвращают ошибку для всех запросов Lets Encrypt, что характерно для целенаправленной блокировки. Сотрудники Let's Encrypt пытаются связаться с владельцами NS-серверов домена .top, но пока безуспешно.

Linux / Линукс 🥸

Linux / Линукс 🥸