Каждая Linux-группа

Linux / Линукс 🥸

DDoS-атака на инфраструктуру Arch Linux продолжается больше недели

Проект Arch Linux уже больше недели отбивается от мощной DDoS-атаки, начавшейся 16 августа. Под удар попали почти все ключевые сервисы — от Arch User Repository и Wiki до форумов и основного сайта. Из-за атаки ресурсы работают с перебоями и периодически становятся недоступными.

Мейнтейнеры отмечают, что для смягчения последствий задействованы защитные механизмы, из-за которых некоторые сервисы могут ошибочно отображаться как офлайн. Восстановить стабильность пока не удалось: даже после кратковременного улучшения в выходные проблемы сохраняются.

Инцидент затронул и систему зеркал, поскольку эндпоинт списка доступных репозиториев размещён на основном сайте. Пользователям рекомендуется использовать список зеркал из пакета pacman-mirrorlist, минуя центральный сервис.

Команда Arch Linux подчёркивает, что работает совместно с хостинг-провайдером и рассматривает варианты подключения специализированной DDoS-защиты, оценивая их по стоимости, безопасности и этическим критериям. Никаких деталей о самой атаке Arch пока не раскрывает, мотивируя это тем, что бой ещё идёт.

Linux / Линукс 🥸

uname -a

Linux / Линукс 🥸

Второй бета-выпуск пакетного менеджера RPM 6.0

Компания Red Hat опубликовала второй бета-выпуск пакетного менеджера RPM 6.0, который будет задействован в осеннем выпуске дистрибутива Fedora Linux 43. Проект используется в таких дистрибутивах, как RHEL, Fedora, SUSE, openSUSE, ALT Linux, Rosa Linux, OpenMandriva, Mageia, PCLinuxOS и Tizen. Код RPM распространяется под лицензиями GPLv2 и LGPLv2. Версии RPM 5 пропущена для исключения пересечений с проектом RPM5, который не связан с RPM от Red Hat и развивался независимыми разработчиками.

Из улучшений во второй бета-версии отмечается поддержка цифровых подписей OpenPGP v6. В обновлении также предложены исправления, связанные с верификацией пакетов по цифровым подписям.

Linux / Линукс 🥸

Пентагон успешно реализовал программу аутсорсинга. В Подмосковье 😶

Американская ИБ-фирма Hunted Labs провела исследование и выяснила, что популярнейшая Node.js-утилита fast-glob поддерживается всего одним человеком. И, судя по его профилям в сети, это разработчик из Яндекса по имени Денис Малиночкин, проживающий в РФ.

Казалось бы, типичная история для open source. Но есть нюанс. fast-glob скачали десятки миллионов раз, она является зависимостью в 5000+ публичных проектах, а самое забавное, что она используется как минимум в 30 проектах Министерства обороны США (DoD). Более того, она включена в Iron Bank, а это доверенный репозиторий ПО, который Пентагон использует для своих систем 🎩

Исследователи уточняют, что у fast-glob нет известных уязвимостей (CVE), а к самому разработчику нет никаких претензий. А проблема в самой модели угроз. Популярнейший пакет с глубоким доступом к файловой системе, который является частью критической инфраструктуры СЩА, поддерживается одним Денисом из подмосковья без какого-либо внешнего контроля 😗

Ребята из Hunted Labs сообщили о своих находках в Пентагон еще три недели назад. Особенно иронично это выглядит на фоне недавней директивы министра обороны США, которая запрещает закупать ПО, подверженное иностранному влиянию.

Чувствуете, что везде всё одинакого? 🤔 Идеальный пример того, как на самом деле устроена современная цепочка поставок ПО.

Типичный 🥸 Сисадмин