Проблема вызвана обращением к уже освобождённой памяти (use-after-free) в бэкенде к GnuTLS и может быть эксплуатирована при обращении к серверам, поддерживающим расширение "ESMTP CHUNKING" и команду BDAT для передачи порциями тела письма вместо передачи неделимым блоком при помощи команды DATA. Повреждение содержимого памяти процесса возникает при инициировании клиентом преждевременного завершения сеанса TLS при помощи команды close_notify во время передачи тела сообщения через BDAT и отправки следом в том же TCP-соединении одного байта без шифрования в открытом виде.

Получив команду close_notify в бекенде GnuTLS вызывается функция прерывания TLS-сеанса, которая освобождает связанные с сеансом буферы. Из-за ошибки в коде бэкенда, несмотря на освобождение TLS-буфера обработчик BDAT продолжает читать данные из потока и вызывает функцию ungetc(), что при отправке следом незашифрованных данных приводит к записи одного байта в уже освобождённый буфер. Данный байт повреждает метаданные аллокатора памяти в куче (heap), что было использовано для проведения экспериментов по созданию эксплоита, выполняющего произвольный код на сервере.

Вначале исследователи сгенерировали частично работающий эксплоит через AI, который позволил добиться выполнения кода, но был работоспособен только в тепличных условиях, на системах с отключённой защитой ASLR и PIE, и определённой версией библиотеки libc. Далее была предпринята попытка создания эксплоита при участии человека, в которой часть трудностей удалось преодолеть и добиться утечки адреса стека, но до запланированной даты раскрытия информации об уязвимости эксплоит не был доведён до конца. По мнению выявивших уязвимость исследователей AI-ассистенты ещё не способны создавать эксплоиты для сложных продуктов, но надеются, что в будущем другие исследователи смогут довести их работу до конца и написать полноценно работающий эксплоит.

Из крупных дистрибутивов версии Exim 4.97+ используются в Debian 13, Ubuntu 24.04+, SUSE/openSUSE, Arch Linux, Alpine Linux 3.19+, ALT Linux p11, ROSA, Gentoo, OpenWRT, Fedora, EPEL (exim не входит в штатный репозиторий RHEL) и FreeBSD. Сборка Exim с GnuTLS применяется по умолчанию в Debian и Ubuntu, в других дистрибутивах требует уточнения. В качестве обходного пути блокирования уязвимости можно отключить расширение CHUNKING при помощи настройки chunking_advertise_hosts в файле конфигурации.

1. Главная ссылка к новости
2. OpenNews: Обновление почтового сервера Exim 4.99.2 с устранением 4 уязвимостей
3. OpenNews: Раскрыты подробности критической уязвимости в Exim
4. OpenNews: Опубликован Exim 4.92.3 с устранением четвёртой за год критической уязвимости
5. OpenNews: Три критические уязвимости в Exim, позволяющие удалённо выполнить код на сервере
6. OpenNews: Обновление Exim 4.94.2 с устранением 10 удалённо эксплуатируемых уязвимостей

Уязвимость выявлена сотрудниками AMD, детали эксплуатации пока не приводятся. Заявлено, что проблема вызвана некорректной изоляцией совместно используемых ресурсов при выполнении операций с кэшем объектных кодов CPU. Через повреждение элементов в кэше атакующий может добиться изменения инструкций, выполняемых на другом уровне привилегий.

Уязвимость проявляется только в процессорах AMD на базе микроархитектуры Zen2 (Fam17h). Проблема затрагивает гипервизор Xen и может использоваться для обхода изоляции. Для веток Xen c 4.17 по 4.21 опубликованы патчи. Исправление для блокирования уязвимости также передано для включения в состав ядра Linux.

В десктопных и мобильных сериях CPU AMD Ryzen 3000, 4000, 5000, 7020, 7030 и Threadripper PRO 3000 WX уязвимость устранена осенью прошлого года. Во встраиваемых CPU AMD Ryzen Embedded V2000 уязвимость устранена в конце декабря. В процессорах серии AMD EPYC 7002 проблема остаётся неисправленной и её предлагается блокировать на уровне операционной системы.

1. Главная ссылка к новости
2. OpenNews: CPU AMD Zen 5 подвержены уязвимости, допускающей изменение микрокода и обход изоляции SEV-SNP
3. OpenNews: Уязвимости в CPU AMD, позволяющие выполнить код на уровне SMM
4. OpenNews: Уязвимость в загрузчике микрокода в CPU AMD, позволяющая обойти изоляцию SEV-SNP
5. OpenNews: Sinkclose - уязвимость в CPU AMD, позволяющая получить доступ к SMM
6. OpenNews: Уязвимость в CPU AMD, позволяющая обойти механизм защиты SEV (Secure Encrypted Virtualization)

Подключение смартфона может быть произведено через USB или TCP/IP. На смартфоне запускается серверное приложение, которое взаимодействует с внешней системой через туннель, организуемый при помощи утилиты adb. Наличие root-доступа к устройству не требуется. Серверное приложение генерирует видеопоток (на выбор H.264, H.265 или AV1) с содержимым экрана смартфона, а клиент декодирует и отображает видео. Клавиатурный ввод и события мыши транслируются на сервер и подставляются в систему ввода Android.

Основные возможности:

• Высокая производительность (30~120fps).
• Поддержка экранных разрешений 1920×1080 и выше.
• Низкие задержки (35~70мс).
• Высокая скорость запуска (около секунды до вывода первых изображений экрана).
• Трансляция звука.
• Возможность записи звука и видео.
• Поддержка зеркалирования при выключенном/заблокированном экране смартфона.
• Буфер обмена с возможностью копирования и вставки информации между компьютером и смартфоном.
• Настраиваемое качество трансляции экрана.
• Поддержка использования Android-смартфона в качестве web-камеры (V4L2).
• Симуляция физически подключённых клавиатуры и мыши.
• Поддержка геймпадов.
• Возможность использования виртуального экрана.
• Режим OTG.

В новой версии:

• Переход с библиотеки SDL2 на ветку SDL3.
• Добавлена опция "--flex-display" ("-x"), включающая режим работы с виртуальным экраном, допускающий произвольное изменение его размера во время работы.
• Предоставлены комбинации клавиш и опции командной строки для динамического управления камерой и фонариком: MOD+t/MOD+Shift+t ("--camera-torch") - включение/выключение фонарика, MOD+↑/MOD+↓ ("--camera-zoom") - изменение масштаба.
• Обеспечено сохранение соотношения сторон окна при изменении его размера. Для восстановления старого поведения (показ чёрных рамок) предложена опция "--no-window-aspect-ratio-lock".
• Добавлена опция "--keep-active" для предотвращения отключения устройства после истечения таймаута неактивности.
• Цвет фона по умолчанию заменён с чёрного на серый. Для изменения фона можно использовать опцию "--background-color".
• Обеспечен вывод пиктограммы разрыва соединения, которая показывается в течение двух секунд до закрытия окна после потери связи с устройством, чтобы у пользователя не создавалось впечатление об аварийном завершении scrcpy.
• Налажена поддержка устройств Meta Quest с новой прошивкой (после обновления прошивки при зеркалировании наблюдалось мерцание).
• Устранена ошибка, приводившая к большой нагрузке на CPU при воспроизведении тишины во время проигрывания звука в формате OPUS.
• Добавлены новые горячие клавиши: F11 для перехода в полноэкранный режим и MOD+q для выхода.

1. Главная ссылка к новости
2. OpenNews: Доступна операционная система Capyloon, основанная на наработках Firefox OS
3. OpenNews: Релиз мультимедийной библиотеки SDL 3.4.0
4. OpenNews: Доступна мобильная платформа KDE Plasma Mobile 6.5
5. OpenNews: Marathon OS - мобильная ОС в стиле BlackBerry 10 на базе Linux, Qt и Wayland
6. OpenNews: Проект postmarketOS представил Duranium, атомарно обновляемую редакцию для смартфонов

Интерфейс пользователя основан на реализованном в ветке Android 16 десктоп-режиме для больших экранов, позволяющем одновременно работать с окнами нескольких приложений по аналогии с традиционной средой рабочего стола.

Платформа Googlebook преподносится как переход от традиционных операционных систем к умным системам, в которые тесно интегрированы AI-сервисы. Активация AI-ассистента Gemini осуществляется при помощи умного курсора - достаточно подёргать курсор из стороны в сторону, и курсор перейдёт в режим вывода контекстных подсказок, появляющихся при его наведении на любой интересующий контент на экране. Например, после наведения курсора на дату в письме AI-ассистент предложит назначить встречу, а при выборе курсором нескольких изображений можно сгенерировать новое изображение на их основе. Подобным образом также можно сравнивать контент и задавать AI-ассистенту вопросы о содержимом.

При помощи AI также осуществляется создание пользовательских виджетов - достаточно нажать кнопку создания виджета и естественным языком описать, что хочется получить. Для создания персонализированных виджетов, AI-ассистент Gemini может выполнить поиск в интернете и подключиться к приложениям Google, таким как Gmail и Calendar.

Поддерживается бесшовное взаимодействие со смартфонами на базе платформы Android и предоставляется возможность устанавливать созданные для Android приложения из каталога Google Play. Из интерфейса Googlebook также можно запускать приложения, установленные на связанном смартфоне, не доставая смартфон и не переустанавливая их на ноутбуке.

Для работы с файлами имеется полноценный файловый менеджер, через который можно не только осуществлять навигацию по файловой системе ноутбука, но и обращаться к содержимому смартфона и быстро переносить, просматривать и искать файлы на разных Android-устройствах пользователя.

В платформе задействованы перенесённые из Chrome OS интерфейс запуска приложений (Launcher), файловый менеджер, а также отдельные системные сервисы, приложения, элементы прошивки, фоновые процессы и библиотеки. Ядро Linux, GKI-модули (Generic Kernel Image), компоненты взаимодействия с оборудованием (HAL), Android Runtime, Android API, системные фоновые процессы, библиотеки и другие компоненты задействованы из Android.

1. Главная ссылка к новости
2. OpenNews: Google подтвердил грядущее слияние Android и Chrome OS
3. OpenNews: Планы по слиянию Chrome OS и Android в одну платформу
4. OpenNews: Google намерен перевести Chrome OS на платформу Android
5. OpenNews: Google переводит ChromeOS на компоненты платформы Android
6. OpenNews: Поставка ОС Aluminium намечена на 2028 год. Поддержка ChromeOS сохранится до 2034 года

Доступ к публикации релизов был получен из-за неверной настройки pull_request_target "Pwn Request" в GitHub Actions (указание маски в настройках привело к запуску pull_request_target для pull-запросов в сторонние форки), отравления кэша GitHub Actions через форк и возможности извлечения OIDC-токена из памяти запущенного runner-процесса (Runner.Worker) через чтение содержимого /proc/<pid>/mem.

NPM-пакеты с вредоносными изменениями были опубликованы 11 мая с 22:20 до 22:26 (MSK), замечены через 20 минут и блокированы спустя полтора часа. Для каждого из поражённых NPM-пакетов были выпущены по две вредоносные версии, в которые был интегрирован код для активации червя mini-shai-hulud, выполняющего поиск токенов и учётных данных в текущем окружении. В случае обнаружения токена подключения к каталогу NPM червь автоматически публиковал новые вредоносные релизы для разрабатываемых в текущем окружении пакетов, поражая дерево зависимостей. Таким способом было поражено более 400 NPM-пакетов, использующих пакеты TanStack в числе зависимостей.

Червь размещался в файле router_init.js и активировался при установке поражённого пакета вручную разработчиком или автоматизированно в окружении непрерывной интеграции при помощи команд "npm install", "pnpm install" или "yarn install". После активации червь выполнял поиск в системе токенов к NPM (~/.npmrc), AWS, GCP, Azure, HashiCorp и KubernetesK8s, а также закрытых ключей SSH. Найденные данные отправлялись злоумышленникам через децентрализованный P2P-мессенджер getsession.org.

В черве было предусмотрено совершение деструктивных действий в случае отзыва перехваченного NPM-токена - в системе настраивался периодический запуск скрипта ~/.local/bin/gh-token-monitor.sh, который каждые 60 секунд проверял активность токена через обращение к api.github.com/user и в случае отзыва токена выполнял команду "rm -rf ~/".

1. Главная ссылка к новости
2. OpenNews: Анализ конфиденциальных данных, захваченных червём Shai-Hulud 2
3. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
4. OpenNews: Скомпрометирован NPM-пакет axios, имеющий 100 млн загрузок в неделю
5. OpenNews: Утечка кода инструментария Claude Code из-за забытого в NPM-пакете map-файла
6. OpenNews: Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios

Выявленные проблемы:

• CVE-2026-4892 - переполнение буфера в реализации DHCPv6, позволяющее атакующему, имеющему доступ к локальной сети, выполнить код с правами root через отправку специально оформленного пакета DHCPv6. Переполнение вызвано тем, что при записи DHCPv6 CLID в буфер не учитывалось то, что в пакете данные сохраняются в шестнадцатеричном представлении, в котором используется три байта "%xx" на каждый фактический байт CLID (например, сохранение 1000-байтового CLID приведёт к записи 3000 байт).
• CVE-2026-2291 - переполнение буфера в функции extract_name(), позволяющее атакующему подставить фиктивные записи в кэш DNS и добиться перенаправления домена на другой IP-адрес. Переполнение возникло из-за выделения буфера без учёта экранирования некоторых символов во внутреннем представлении доменного имени в dnsmasq.
• CVE-2026-4893 - утечка информации, позволяющая обойти проверку через отправку специально оформленного DNS-пакета с информацией о подсети клиента (RFC 7871). Уязвимость может использоваться для изменения маршрута DNS-ответа и перенаправления пользователей на домен атакующего. Уязвимость вызвана тем, что в функцию check_source() передавалась длина записи OPT вместо длины пакета, из-за чего функция всегда возвращала успешный результат проверки.
• CVE-2026-4891 - чтение из области вне границы буфера при валидации DNSSEC, приводящее к утечке в ответе данных из памяти процесса при обработке специально оформленного DNS-запроса.
• CVE-2026-4890 - зацикливание при валидации DNSSEC, позволяющее вызвать отказ в обслуживании через отправку специально оформленного DNS-пакета.
• CVE-2026-5172 - чтение из области вне буфера в функции extract_addresses(), приводящее к аварийному завершению при обработке специально оформленных DNS-ответов.

Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, OpenWRT, FreeBSD. Проект Dnsmasq задействован в платформе Android и специализированных дистрибутивах, таких как OpenWrt и DD-WRT, а также в прошивках беспроводных маршрутизаторов многих производителей. В обычных дистрибутивах Dnsmasq может устанавливаться при использовании libvirt для обеспечения работы DNS-сервиса в виртуальных машинах или активироваться в конфигураторе NetworkManager.

1. Главная ссылка к новости
2. OpenNews: Проект Dnsmasq стал обладателем первой премии BlueHats
3. OpenNews: Уязвимости в Dnsmasq, позволяющие подменить содержимое в кэше DNS
4. OpenNews: Уязвимости в Dnsmasq, позволяющие удалённо выполнить код атакующего
5. OpenNews: Уязвимость в uClibc и uClibc-ng, позволяющая подменить данные в кэше DNS
6. OpenNews: Уязвимости KeyTrap и NSEC3, затрагивающие большинство реализаций DNSSEC

При этом Дэниел признал значительное повышение качества работы современных AI-анализаторов кода, которые превосходят традиционные статические анализаторы, умеют выявлять несоответствие кода описанию из комментариев, исследовать проблемы в сторонних зависимостях, учитывать специфику протоколов и предлагать исправления.

Анализ 176 тысяч строк кода Curl при помощи Claude Mythos выявил наличие 5 уязвимостей, которые были помечены в отчёте как "подтверждённые уязвимости". Ручная проверка показала, что только одна из 5 проблем приводит к уязвимости, а 4 проблемы не являются уязвимостями (три проблемы вызваны ложными срабатываниями, а одна представляет собой не связанную с безопасностью ошибку). Найденная уязвимость не связана с работой с памятью, имеет низкий уровень опасности и будет устранена в конце июня в выпуске Curl 8.21.0.

До этого за последние 8-10 месяцев код Curl проверялся при помощи AI-сервисов AISLE, Zeropath и OpenAI Codex Security, что позволило исправить 200-300 ошибок, из которых 12 были уязвимостями. Кроме того, проверки через AI выполнялись независимыми энтузиастами, присылающими отчёты об уязвимостях, выявленных при помощи AI. Всего в этом году в Curl было выявлено около 60 уязвимостей. После этих проверок модель Mythos выявила одну новую незначительную уязвимость и около двадцати мелких ошибок. Ошибки были качественно описаны AI-моделью и найдены практически без ложных срабатываний.

Тем временем, компания OpenAI представила инструментарий Daybreak на базе AI модели GPT-5.5 и AI-агента Codex, предназначенный для поиска уязвимостей, анализа вредоносного кода и разработки исправлений. В качестве опции в Daybreak предложена AI-модель GPT-5.5-Cyber, в которой убраны некоторые ограничения в области создания эксплоитов и проверки безопасности систем. Доступ к модели GPT-5.5-Cyber предоставляется только исследователям безопасности после выборочного одобрения заявок.

1. Главная ссылка к новости
2. OpenNews: Anthropic анонсировал AI-модель Claude Mythos, умеющую создавать рабочие эксплоиты
3. OpenNews: В Ubuntu намечена интеграция AI
4. OpenNews: Проблемы из-за подготовленных AI-инструментами отчётов об уязвимостях
5. OpenNews: В CVE опубликованы отчёты о ложных уязвимостях в curl, PostgreSQL и других проектах
6. OpenNews: LLVM ввёл правила применения AI-инструментов. Curl и Node.js ограничат выплаты за уязвимости из-за AI

Число увольняемых сотрудников не уточняется, но упоминается, что компания намерена уйти из 30% стран, где присутствовали небольшие команды сотрудников и переложить обслуживание клиентов в этих странах на партнёрскую сеть. Также планируют упростить управление в компании и убрать лишние уровни менеджмента для того чтобы руководители были ближе к исполнителям. В процессе реорганизации отделов R&D будет выделено 60 небольших автономных команд, которые будут нести полную ответственность за создаваемый продукт. Внутренние рутинные процессы будут оптимизированы с вовлечением AI-агентов для согласования решений, проверки выполнения работы и координации выполнения задач.

Объявлены три принципа, на основе которых будет формироваться новая система ценностей GitLab: скорость с качеством (работа малых команд короткими циклами с высокой планкой качества), мышление собственника (каждый сотрудник несёт ответственность за результат и ощущает себя владельцем компании) и клиентоориентированность (основное внимание на пользу для клиента). Для стимулирования сотрудников будет введена программа премий, которые будут составлять до 10% от зарплаты и зависеть от достигнутых результатов. Сотрудникам, не согласным с новой политикой компании, предлагается до 18 мая принять решение о добровольном увольнении.

Платформа GitLab будет оптимизирована для трёх режимов работы: разработка человеком, использование человеком AI-агентов и автономная работа AI-агентов. Помимо оплаты по подписке, будет внедрена возможность оплаты по факту потребления ресурсов, израсходованных AI-агентами. Средства непрерывной интеграции и доставки (CI/CD) будут расширены возможностями для координации работы AI-агентов, оценки результатов и проверки соблюдения ими правил.

Инфраструктура и Git будут расширены в плане предоставления API для AI-агентов и оркестровки работы AI-агентов, а также оптимизированы для нагрузок, создаваемых AI-агентами. В ядро платформы будут интегрированы инструменты для контроля и аудита. Планируется задействование единой AI-модели, доступной через API, которую можно будет использовать для написания кода, рецензирования изменений, планирования работы и проверки безопасности.

1. Главная ссылка к новости
2. OpenNews: Уязвимость в GitLab, позволяющая обойти двухфакторную аутентификацию
3. OpenNews: Взлом внутреннего GitLab-сервера Red Hat
4. OpenNews: Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в GitLab
5. OpenNews: GitLab рассматривает возможность продажи бизнеса
6. OpenNews: В Ubuntu намечена интеграция AI

Инструментарий включает в себя:

• Бэкенд генерации кода для компилятора rustc, позволяющий компилировать функции с атрибутом "#[kernel]" в параллельно исполняемые на GPU ядра в представлении CUDA PTX. При компиляции используется штатная для rustc цепочка преобразований на базе фреймворка Pliron: Rust -> MIR -> Pliron IR -> LLVM IR -> PTX.
• Унифицированная система сборки компонентов, выполняемых на хост-системе и на GPU, которая сводится к выполнению команд "cargo oxide build" и "cargo oxide run".
• Набор Rust-абстракций, который можно использовать в ядрах на стороне GPU. Например, доступны функции для индексации, использования разделяемой памяти и барьеров, атомарных операций, синхронизации групп потоков, TMA (Tensor Memory Accelerator). Возможен вызов обвязок над низкоуровневыми инструкциями, специфичными для архитектуры Blackwell (например, расширенные матричные операции).
• Crate-пакеты с выполняемыми на стороне хоста компонентами CUDA runtime, позволяющими управлять памятью, запускать ядра на GPU и взаимодействовать с выполняемыми на GPU функциями в асинхронном режиме.
• Коллекция примеров ядер, демонстрирующих такие возможности, как работа с векторами, умножение матриц (GEMM), атомарные операции, асинхронное выполнение, интеграция с библиотекой MathDx, применение дженериков и замыканий, взаимодействия с CUDA-ядрами на C++/CCCL.

Ядра для GPU создаются на обычном Rust (не диалект), но выполняются в окружении no_std и могут использовать только функции из библиотеки libcore и ранее отмеченные специализированные Rust-абстракции, без доступа к стандартной библиотеке Rust (libstd). Поддерживаются примитивные типы (u8..u64, f32, f64, bool), структуры, перечисления, кортежи, массивы ([T; N]) и слайсы (&[T]), операторы match / if / if let, циклы for и while, итераторы (.iter(), .enumerate()), замыкания и дженерики. Не поддерживаются типы String, Vec и Box, макросы format!, panic! и println!, Trait-объекты и реализуемые через обращение к операционной системе функции стандартной библиотеки (работа с файлами, ввод/вывод, сетевые операции).

Доступно три уровня обеспечения безопасности CUDA-ядер на Rust: защита через систему типов (safe), использование блоков unsafe и обращение к низкоуровневым аппаратным инструкциям. Производительность созданной на CUDA-oxide реализации матричного умножения (GEMM SoL) на GPU B200 достигает 868 триллионов операций в секунду, что составляет 58% от производительности оптимизированной библиотеки cuBLAS.

1. Главная ссылка к новости
2. OpenNews: Атака GPUBreach, позволяющая получить root-доступ через выполнение CUDA-кода на GPU NVIDIA
3. OpenNews: Для Mesa предложен драйвер cluda, позволяющий реализовать OpenCL поверх NVIDIA CUDA
4. OpenNews: Выпуск ZLUDA 5, универсальной открытой реализации технологии CUDA
5. OpenNews: Проект LibreCUDA для запуска кода CUDA на GPU NVIDIA без проприетарного Runtime
6. OpenNews: NVIDIA препятствует разработке транслирующих прослоек для запуска CUDA на других платформах

• CVE-2026-44597 (TROVE-2026-011) - ошибка, приводившая к чтению данных из области за границей буфера при обработке специально оформленных сообщений (cell) END, TRUNCATE и TRUNCATED;
• CVE-2026-44599 (TROVE-2026-008) - неправильная обработка сообщений BEGIN_DIR при использовании механизма conflux.
• CVE-2026-44600 (TROVE-2026-010) - в механизме conflux при очистке очереди неупорядоченных сообщений неверно пересчитывались счётчики и переменные состояния.
• CVE-2026-44601 (TROVE-2026-009) - аварийное завершение клиента, вызванное двойным закрытием цепочки при условии нехватки свободной памяти для работы очередей цепочек.
• CVE-2026-44602 (TROVE-2026-006) - разыменование нулевого указателя, которое может произойти при обработке специально оформленного сообщения CERT.
• CVE-2026-44603 (TROVE-2026-007) - чтение из области вне выделенного буфера, возникающее при обработке специально оформленного сообщения BEGIN.

Debian уже выпустил обновление пакета tor 0.4.9.8-0+deb13u1 для стабильной версии дистрибутива и 0.4.9.8-1 для нестабильной. Исправления уязвимостей вошли в состав выпусков Tor Browser 15.0.13 и Tails 7.7.3.

Несколько дней назад также опубликован выпуск Arti 2.3.0, реализации инструментария Tor, написанной на языке Rust. Когда код Arti достигнет уровня, способного полностью заменить вариант на Си, разработчики Tor намерены придать Arti статус основной реализации Tor и постепенно прекратить сопровождение реализации на Си. В новой версии проложено развитие функциональности для релеев и серверов директорий (Directory Authority), добавлен новый RPC API для инспектирования туннелей, предоставлена поддержка сохранения логов через syslog и добавлена настройка logging.protocol_warnings для отражения в логе предупреждений о некорректном использовании протокола.

1. Главная ссылка к новости
2. OpenNews: Выпуск Arti 2.0.0, официальной реализации Tor на языке Rust
3. OpenNews: Релиз Tor Browser 15.0
4. OpenNews: Проект Tor и дистрибутив Tails объявили об объединении
5. OpenNews: Выпуск новой стабильной ветки Tor 0.4.8

Программа ориентирована на широкий круг пользователей и предоставляет типовые возможности для редактирования изображений, рисования кистями, наложения фильтров, применения градиентов и корректировки цвета. Поддерживается обработка группы изображений в пакетном режиме. Например Photoflare позволяет изменять формат и размер, применять фильтры, поворачивать изображение, выравнивать яркость и насыщенность сразу в нескольких выбранных файлах.

В новой версии:

• Осуществлён переход c Qt5 на ветку Qt6. Переработана система сборки, заменён устаревший API и обновлены зависимости.
• Реализована поддержка масштабирования на экранах с высокой плотностью пикселей (HiDPI). Инструменты выделения и реализации курсоров адаптированы для работы с HiDPI.
• Полностью переписан код отрисовки элементов на холсте, значительно повышена производительность рисования и применения фильтров, повышена гладкость отрисовки линий. Для снижения потребления памяти и снижения нагрузки на CPU обеспечена перерисовка только изменённых областей. По сравнению с прошлым движком отрисовки новый движок быстрее при работе с изображениями с разрешением 1920×1080 в 2-3 раза, 4K - в 5-10 раз и 9999×9999 - в 10-50 раз.
• Обеспечена полная интеграция с инструментарием для обработки изображений G'MIC и добавлена возможность применения предоставляемых в G'MIC эффектов и фильтров для обработки изображений. Добавлено отдельное меню Filters, включающее несколько сотен фильтров, разбитых на категории.
• Обновлён инструмент выделения областей на изображении, который теперь может применяться раздельно для каждой вкладки. Добавлена поддержка перемещения выделенной области при помощи мыши или клавиатуры. Реализованы новые типы выделения - "эллипс" для выделения овальных областей и "лассо" - для выделения произвольной формы.
• Добавлен режим редактирования, не выходя за границы выделенной области. Ограничение в данном режиме действует среди прочего для фильтров и манипуляций с цветом.
• Расширены инструменты рисования. Добавлен режим ограничения излома линий прямыми углами, активируемый при удержании клавиши Shift. В ластик добавлен режим стирания с заменой цвета на прозрачность. Для быстрого стирания теперь можно использовать правую кнопку мыши. Улучшена гладкость штрихов кисти.
• Помимо фильтров из набора G’Mic, в состав включено несколько собственных фильтров:

  Пикселизация

  

  Виньетирование

  

  Пиксельное рассеивание

  

  Эскиз

  
• На холст добавлены вертикальная и горизонтальная линейки, которые можно включать и отключать через меню View.
• Предложен новый набор пиктограмм для тёмного режима оформления.
• Обеспечено сохранение исходных метаданных Exif и их просмотр в диалоге со свойствами изображения.
• При вставке изображений из файла или буфера обмена обеспечен показ опций для поворота и масштабирования вставленного изображения. В панель добавлены кнопки для вставки как нового изображения. Реализована поддержка перемещения изображений мышью в режиме drag&drop.
• Добавлена опция для изменения размера изображения в процентах.
• Добавлена возможность панорамирования после увеличения масштаба через перемещение курсора, удерживая среднюю кнопку мыши.
• Обеспечено сохранение позиции панелей и виджетов, а также выбранных цветов между перезапусками. Настройки инструментов при перезапуске сбрасываются в состояние по умолчанию.
• В панель инструментов добавлены кнопки для увеличения и уменьшения масштаба, а также изменения настроек координатной сетки.
• Добавлен переносимый режим, при котором настройки размещаются в одном каталоге с исполняемым файлом.
• Реализована начальная поддержка расширения функциональности через плагины.

Отдельно авторами Photoflare анонсировано создание расширенного коммерческого редактора PhotoFlare Studio, который попытается занять нишу между GIMP и Affinity Photo, и будет интересен тем, кто считает работу в GIMP слишком сложной, но не нуждается в продвинутых возможностях Affinity Photo. В PhotoFlare Studio будут реализованы такие возможности, как слои, режимы смешивания недеструктивное редактирование, профессиональная работа с кистями через libmypaint, встроенные AI-инструменты на базе локально выполняемых моделей, работа с RAW-изображениями.

1. Главная ссылка к новости
2. OpenNews: Релиз программы для обработки фотографий Darktable 5.4.0
3. OpenNews: Релиз программы для обработки фотографий RawTherapee 5.12
4. OpenNews: Релиз программы для рисования MyPaint 2.0.0
5. OpenNews: Релиз инструментария для обработки изображений G'MIC 3.6
6. OpenNews: Выпуск редактора RAW-изображений RapidRAW 1.4.9

Максимальный размер вознаграждения за создание эксплоита для Chrome, позволяющего при открытии web-страницы обойти все уровни изоляции браузера и выполнить свой код в системе, увеличен до 250 тысяч долларов. Дополнительно предусмотрена бонусная надбавка ещё в 250 тысяч долларов ($250128), если эксплуатация затронет операции работы с памятью, защищённые при помощи механизма MiraclePtr. MiraclePtr предоставляет обвязку над указателями, выполняющую дополнительные проверки и аварийно завершающую работу в случае обнаружения обращения к освобождённым областям памяти.

Помимо этого для Chrome действуют премии, размером до $10 тысяч за обход изоляции между сайтами или разграничения доступа в JavaScript (XSS), до $5000 за обход ограничений хранилища, эксплуатацию процесса отрисовки, извлечение пользовательской информации и спуфинг URL в адресной строке, а также от $500 до $7500 за иные виды уязвимостей. За специфичные для Chrome OS уязвимости установлены премии, размером до $30000 плюс $10000 за разработку исправления.

1. Главная ссылка к новости
2. OpenNews: В 2025 году Google выплатил 17.1 млн долларов вознаграждений за выявление уязвимостей
3. OpenNews: Инициатива по выплате вознаграждений за выявления уязвимостей в открытых проектах Google
4. OpenNews: Google начнёт выплачивать вознаграждения за выявление уязвимостей в гипервизоре KVM
5. OpenNews: Google учредил команду для помощи открытым проектам в усилении безопасности
6. OpenNews: Google меняет политику публикации исправлений уязвимостей в Android

Устройства iPhone/iPad с iOS до версии 16.4, а также смартфоны с альтернативными прошивками на базе Android, поставляемые без сервисов Google (например, GrapheneOS), не смогут пройти новую капчу. Суть метода на основе QR-кода в подтверждении обладания сертифицированным устройством. В случае с Android, подтверждение осуществляется при помощи API Play Integrity, предоставляемого в Play Services для аттестации аппаратного обеспечения, и позволяющего убедиться, что устройство не модифицировано и сертифицировано в Google. Для устройств Apple используется API App Attest.

Дополнение: Проект GrapheneOS, разрабатывающий защищённую свободную прошивку на базе Android, считает, что продвижение API аттестации аппаратного обеспечения, на фоне усложнения их обхода и навязывания пользователям других ОС через капчу в Web, следует рассматривать как действия по подавлению конкуренции и построению компаниями Apple и Google дуополии в сфере мобильных устройств. По мнению разработчиков GrapheneOS, аттестация оборудования не должна применяться для привязки пользователей к определённому оборудованию и операционным системам. Отмечается, что для верификации через reCAPTCHA в GrapheneOS можно использовать сервисы Google Play, запущенные в изолированном sandbox-окружении, но Google блокирует использование в GrapheneOS сервиса Play Integrity, так как проект не лицензировал пакет Google Mobile Services и отказывается выполнять антиконкурентные правила, уже признанные незаконными в Южной Корее и некоторых других странах.

1. Главная ссылка к новости
2. OpenNews: GrapheneOS отказался верифицировать возраст
3. OpenNews: Motorola и GrapheneOS объявили о сотрудничестве в области создания защищённых смартфонов
4. OpenNews: Давление французских силовых ведомств на GrapheneOS из-за отказа интегрировать бэкдор
5. OpenNews: Опубликован код для определения reCaptcha с точностью 85%
6. OpenNews: По статистике Cloudflare 6.8% интернет-трафика является потенциально мусорным

Среди изменений в новой версии:

• В репозиторий (SPECS и SPECS-EXTENDED) добавлены пакеты ignition и rust-afterburn.
• Пакет с сетевым анализатором Wireshark пересобран с поддержкой языка Lua.
• При сборке пакета с ядром для архитектуры arm64 включён параметр CONFIG_IKCONFIG_PROC, включающий возможность получения доступа к сборочной конфигурации текущего ядра через файл /proc/config.gz.
• Улучшена поддержка live-миграции в QEMU.
• В файл PackageBuild.yml добавлен параметр extraMacrosFiles для передачи дополнительных файлов с макросами во время сборки пакета.
• Устранено несколько десятков уязвимостей в различных пакетах.
• Обновлены версии ядра Linux 6.6.137.1, clamav 1.5.2, cloud-hypervisor 51.1.56, containerd2 2.1.6, cups 2.4.18, erlang 26.2.5.20, golang 1.26.2-1, libpng 1.6.57, mysql 8.0.46.

Дистрибутив Azure Linux предоставляет небольшой типовой набор основных пакетов, выступающих универсальной основой для создания начинки контейнеров, хост-окружений и сервисов, запускаемых в облачных инфраструктурах и на edge-устройствах. Более сложные и специализированные решения могут создаваться путём добавления дополнительных пакетов поверх Azure Linux, но основа для всех подобных систем остаётся неизменной, что упрощает сопровождение и подготовку обновлений.

Azure Linux применяется в качестве основы мини-дистрибутива WSLg, в котором предоставляются компоненты графического стека для организации запуска GUI-приложений Linux в окружениях на базе подсистемы WSL2 (Windows Subsystem for Linux). Расширенная функциональность в WSLg реализуется через включение дополнительных пакетов с композитным сервером Weston, XWayland, PulseAudio и FreeRDP.

Для управления сервисами и загрузкой применяется системный менеджер systemd. Для управления пакетами поставляются пакетные менеджеры RPM и DNF. SSH-сервер по умолчанию не включается. Для установки дистрибутива предоставляется инсталлятор, который может работать как в текстовом, так и в графическом режимах. В инсталляторе предоставляется возможность установки с полным или базовым набором пакетов, предлагается интерфейс для выбора дискового раздела, выбора имени хоста и создания пользователей.

Система сборки Azure Linux позволяет генерировать как отдельные RPM-пакеты на основе SPEC-файлов и исходных текстов, так и монолитные системные образы, формируемые при помощи инструментария rpm-ostree и обновляемые атомарно без разбивки на отдельные пакеты. Соответственно, поддерживается две модели доставки обновлений: через обновление отдельных пакетов и через перестроение и обновление всего системного образа. Доступен репозиторий, включающий около 3000 уже собранных RPM-пакетов, который можно использовать для компоновки собственных образов на основе файла конфигурации.

Базовая платформа включает только самые необходимые компоненты и оптимизирована для минимального потребления памяти и дискового пространства, а также для высокой скорости загрузки. В проекте применяется подход "максимальная безопасность по умолчанию", подразумевающий включение различных дополнительных механизмов для повышения защиты:

• Фильтрация системных вызовов при помощи механизма seccomp.
• Шифрование дисковых разделов.
• Верификация пакетов по цифровой подписи.
• Рандомизация адресного пространства.
• Защита от атак, связанных с символическими ссылками, mmap, /dev/mem и /dev/kmem.
• Режим только для чтения и запрет исполнения кода в областях памяти, в которых размещаются сегменты с данными ядра и модулей.
• Опция для запрета загрузки модулей ядра после инициализации системы.
• Использование iptables для фильтрации сетевых пакетов.
• Включение при сборке режимов защиты от переполнения стека, переполнений буфера и проблем с форматированием строк (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

1. Главная ссылка к новости
2. OpenNews: Microsoft рассматривает возможность перевода Azure Linux на пакетную базу Fedora
3. OpenNews: Microsoft опубликовал дистрибутив Azure Linux 3.0
4. OpenNews: Microsoft переименовал дистрибутив CBL-Mariner в Azure Linux и опубликовал Azure Sphere OS 24.03

В Debian 13, насчитывающем 36427 исходных пакетов, поддержка повторяемых сборок составляет 96.9% для архитектуры x86_64 и 96.8% для архитектуры ARM64. В репозиториях Debian Testing уровень повторяемых сборок оценён в 94.5% для архитектуры ARM64 и 75.7% для x86_64 при пересборке 37809 исходных пакетов. Тест повторяемых сборок в репозитории Debian Testing провален для 1141 пакета (3%), а у 7952 пакетов (21%) возникли общие проблемы при компиляции из исходного кода.

Повторяемые сборки дают возможность пользователю сформировать собственные сборки, побитово совпадающие с предлагаемыми для загрузки готовыми сборками. Пользователь может лично убедиться, что распространяемые в пакетах и загрузочных образах бинарные файлы собраны из предоставляемых исходных текстов и не содержат скрытых изменений. Проверка тождественности бинарной сборки позволяет не полагаться лишь на доверие к сборочной инфраструктуре дистрибутива, компрометация компилятора или сборочного инструментария в которой может привести к подстановке скрытых закладок.

При формировании повторяемых сборок учитываются такие нюансы, как точное соответствие зависимостей; использование неизменного состава и версий сборочного инструментария; идентичный набор опций и настроек по умолчанию; сохранение порядка сборки файлов (применение тех же методов сортировки); отключение добавления компилятором непостоянной служебной информации, такой как случайные значения, ссылки на файловые пути и данные о дате и времени сборки. На воспроизводимость сборок также влияют ошибки и состояния гонки в инструментарии.

1. Главная ссылка к новости
2. OpenNews: В Arch Linux обеспечена воспроизводимая сборка образов контейнеров
3. OpenNews: openSUSE тестирует поддержку повторяемых сборок
4. OpenNews: В Live-образах Debian 12 реализована поддержка повторяемых сборок
5. OpenNews: Утверждено обеспечение повторяемых сборок в Fedora 43