| · | 04.08 | 54 из 55 выявленных через AI уязвимостей в SQLite оказались фиктивными (24 +11) |
Исследователи из компании JFrog проанализировали опубликованные на днях 55 отчётов об уязвимостях в SQLite. На основании данных отчётов организация MITRE присвоила всем проблемам CVE-идентификаторы. Три проблемы получили статус критических, а самой опасной уязвимости (CVE-2026-51302) компания Red Hat присвоила в своих базах уровень 10 из 10, а SUSE - 9.8 из 10. Детальное изучение заявленных ошибок показало, что 54 из 55 уязвимостей, включая отмеченную критическую проблему, являются фикциями и вызваны галлюцинациями AI-модели.
 В самой опасной уязвимости было заявлено обращение к памяти после её освобождения в функции exprComputeOperands(), приводящее к возможности выполнения кода при выполнении специально оформленного запроса. Разбор показал, что данной функции не существует в кодовой базе SQLite 3.41, в которой заявлено наличие проблемы (данная функция появилась значительно позднее). Источником возникновения уязвимости было заявлено оставление висячего указателя в функции sqlite3ReleaseTempReg(), но её логика работы не подразумевает освобождением памяти и ограничивается пометкой памяти для повторного использования, что исключает возникновение проблем класса use-after-free в силу архитектуры. В других заявленных опасными проблемах аналогично упоминались несуществующие файлы и функции, строки кода не имеющие ошибок или реальные функции, но с другим числом аргументов. Заявленные в отчётах ошибки не подтвердились, а проверка приведённых прототипов эксплоитов показала, что все они нерабочие и не вызывают даже аварийное завершение, несмотря на заявления о возможности выполнении кода через отправку SQL-запроса. При выделении CVE-идентификаторов уязвимостям и оценке уровня опасности организация MITRE не выполняет реальную проверку, что позволяет любому подать заявку на несуществующую проблему, отправив сфабрикованное описание. Подобные реалистично выглядящие, но фиктивные отчёты о критических проблемах, приводят к замусориванию баз данных с информацией об уязвимостях и пустой трате времени на изучение и попытки исправления несуществующих уязвимостей. При использовании AI для разработки исправлений, AI-агент на основе предоставленного описания несуществующей ошибки может подготовить патч, принятие которого приведёт к внесению ненужных изменений.
| ||
|
Обсуждение (24 +11) |
Тип: Проблемы безопасности |
| ||
| · | 04.08 | Выпуск Prismriver Lyrics 1.0.0, инструментария для поиска текстов песен (3 +4) |
|
Вышла первая версия проекта Prismriver Lyrics, развивающего набор инструментов для поиска текстов песен из различных источников. Проект включает два пакета, построенных на общем движке поиска: консольной утилиты prismriver-lyrics и текстового интерфейса prismriver-lyrics-tui на базе фреймворка Textual. Программа prismriver-lyrics-tui отслеживает состояние плеера через MPRIS, автоматически запускает поиск при смене трека и подсвечивает текущую строку для синхронизированных по времени (LRC) текстов. Код написан на Python и распространяется под лицензией MIT.
Основные возможности:
Установка (доступны оба пакета, можно ставить по отдельности): $ pip install prismriver-lyrics $ pip install prismriver-lyrics-tui Поиск текста песни из командной строки: $ prismriver-lyrics --artist "The Clash" --title "Police and Thieves" 
| ||
| · | 04.08 | Релиз эмулятора терминала Shitty (8) |
|
Опубликован первый релиз эмулятора терминала Shitty, позиционируемого автором как "серьёзный эмулятор терминала с глупым названием". Проект написан на C++23 (сbundled libstd, требующей -std=c++26) и распространяется под двойной лицензией MIT и GPL-3.0. Поддерживаются macOS и Linux. При разработке используется AI-ассистент.
Проект делает ставку на обеспечение низких задержек, быстрого запуска и предсказуемого потребления ресурсов: состояние терминала обрабатывается на CPU, а отрисовка выполняется через бэкенды на базе Vulkan в Linux и Metal в macOS, без использования стороннего графического тулкита. При тестировании производительности вывод 100 МБ ASCII через терминал Shitty показывает ~118 МиБ/с, обгоняя alacritty (0.81 с против 0.96 секунд), kitty и ghostty. На "случайных байтах" с некорректным UTF-8 отрыв от alacritty ещё заметнее (~51 МиБ/с против ~31 МиБ/с). Корректность работы обеспечивается более чем 5000 тестами, собранными из десятка с лишним внешних наборов - kitty, esctest, vttests из xterm, vttest, tack, libvterm, libtsm, alacritty, ghostty, contour, konsole, mosh. Тесты выполняются с проверкой работы на реальном PTY. Среди прочих особенностей - работа с графемными кластерами вместо codepoint-ов (emoji-последовательности), изменение размера без мерцания (кадры отрисовываются в той же транзакции, что и изменение границ), ленивая растеризация глифов с постоянным GPU-кешем. Имеется поддержка VT52–VT5xx, расширений xterm, протоколов клавиатуры и мыши Kitty/SGR/urxvt, отображения гиперссылок (OSC 8) и интеграции с командной оболочкой. Шрифты встраиваются в исполняемый файл st, что позволяет запускать приложение даже в системе без установленных шрифтов.
| ||
| · | 04.08 | Выпуск музыкального проигрывателя Rhythmbox 3.5 (4 +1) |
|
Спустя 10 лет с момента публикации ветки 3.4 состоялся релиз музыкального проигрывателя Rhythmbox 3.5, развиваемого проектом GNOME с оглядкой на iTunes. Rhythmbox поддерживает средства для управления музыкальной коллекцией, обеспечивает автоматическую загрузку подкастов, позволяет прослушивать интернет-радио, предоставляет возможности по расширению функциональности через плагины, поддерживает загрузку альбомов из звуковых сервисов, включает инструменты для синхронизации и копирования музыки для устройств с поддержкой протокола MTP и USB-накопителей. Код проекта написан на языке Си и распространяется под лицензией GPLv2. Для загрузки сформирован пакет в формате Flatpak.
Среди изменений:
| ||
|
Обсуждение (4 +1) |
Тип: Программы |
| ||
| · | 04.08 | Выпуск мультимедиа-пакета FFmpeg 9.0 (11 +13) |
|
После пяти месяцев разработки опубликован мультимедиа-пакет FFmpeg 9.0, включающий набор приложений и коллекцию библиотек для операций над различными мультимедиа-форматами (запись, преобразование и декодирование звуковых и видеоформатов). Пакет написан на языке Си и распространяется под лицензиями LGPL и GPL.
Среди изменений в FFmpeg 9.0:
| ||
|
Обсуждение (11 +13) |
Тип: Программы |
| ||
| · | 03.08 | Google опубликовал официальные Linux-сборки Chrome для архитектуры ARM64 (20) |
|
Компания Google начала публикацию официальных сборок Chrome для Linux-систем на базе архитектуры ARM64. Сборки доступны в пакетах deb и rpm. Ранее официальные сборки Chrome для Linux публиковались только для архитектуры x86_64, а для архитектуры ARM64 были доступны только сторонние сборки Chromium, предлагаемые дистрибутивами. Официальная версия Chrome отличается поддержкой подключения к учётной записи в Google, интеграцией сервисов Google, синхронизацией данных между устройствами, упрощённой установкой дополнений из каталога Chrome Web Store, возможностью включения расширенного режима защиты и поставкой CDM-модуля (Content Decryption Module) Widevine для просмотра медиаконтента, защищённого авторскими правами (DRM), в таких сервисах, как Netflix, Spotify и Disney+.
| ||
|
Обсуждение (20) |
Тип: К сведению |
| ||
| · | 03.08 | Опубликован Midnight Commander 6 c поддержкой панельных плагинов (27 +16) |
|
Выпущен консольный файловый менеджер Midnight Commander 6.0.3 (mc6), представляющий собой форк GNU Midnight Commander 4.8.33, расширенный поддержкой панельных плагинов и поставляемый со встроенным PTY-терминалом mcterm. Интегрированный в mc6 фреймворк панельных плагинов позволяет отображать в панелях не только файловые системы, но и контейнеры, Git-репозитории, базы данных и объекты удалённых хранилищ. Код проекта написан на языке Си и распространяется под лицензией GPLv3+. Готовые пакеты подготовлены для Debian и Ubuntu, Fedora и RHEL, а также Arch Linux в форматах DEB, RPM и pkg.tar.zst. Для Gentoo дополнительно предоставлен ebuild для установки через локальный overlay.
В состав выпуска вошли плагины для работы с архивами, FTP/SFTP/FTPS, Samba, Git, Docker, Kubernetes, MongoDB и S3-совместимыми хранилищами. Плагины поддерживают стандартные файловые операции, а переработанная поддержка архивов на базе libarchive заметно (в десятки или сотни раз) ускоряет обработку больших архивов. Во встроенный текстовый редактор mcedit добавлены возможность сворачивания блоков кода, браузер истории Undo/Redo, средства управление макросами и поддержка сохранения файлов через sudo. В разы улучшена производительность при работе с очень длинными строками. Просмотрщик mcview получил древовидное представление JSON, YAML и XML, интерактивную фильтрацию содержимого, базовую поддержку отображения разметки Markdown и режим воспроизведения файлов с ANSI-последовательностями. В состав включён встроенный PTY-терминал mcterm с собственным эмулятором терминала, предназначенный для замены традиционного subshell-механизма.  
| ||
| · | 03.08 | Выпуск видеоредактора Shotcut 26.8 (26 +8) |
|
Опубликован релиз видеоредактора Shotcut 26.8, развиваемого автором проекта MLT и использующего данный фреймворк для редактирования видео. Поддержка форматов видео и звука реализована через FFmpeg. Возможно использование плагинов с реализацией видео и аудио эффектов, совместимых с Frei0r и LADSPA. Из особенностей Shotcut можно отметить возможность многотрекового редактирования с компоновкой видео из фрагментов в различных исходных форматах, без необходимости их предварительного импортирования или перекодирования. Имеются встроенные средства для создания скринкастов, обработки изображения с web-камеры и приёма потокового видео. Код написан на C++ с использованием фреймворка Qt и распространяется под лицензией GPLv3. Готовые сборки доступны для Linux (AppImage и snap), macOS и Windows.
Среди изменений в новом выпуске:
| ||
|
Обсуждение (26 +8) |
Тип: Программы |
| ||
| · | 03.08 | Сервис доставки игр GOG разрабатывает Linux-версию GOG Galaxy (63 +38) |
|
Сервис доставки старых классических игр GOG.com (Good Old Games) подтвердил разработку Linux-версии приложения GOG Galaxy, позволяющего загружать, устанавливать, обновлять и запускать игры, а также объединять в одной коллекции игры и друзей из разных игровых клиентов. Поддержка размещения игр для Linux была добавлена в GOG.com в 2014 году, но игровой клиент GOG Galaxy до сих пор был доступен только для Windows и macOS. Дата публикации Linux версии не сообщается, но упоминается, что платформа Linux рассматривается как важный объект для инвестиций.
В отличие от загрузки игр через web в GOG Galaxy поддерживаются такие возможности, как автоматическая установка и обновление игр, сохранение этапов прохождения игр в облаке, отслеживание достижений, ведение библиотеки игр, ведение списка друзей, возможности социальной сети, интеграция со сторонними игровыми клиентами, такими как Steam, Epic Games Store, Xbox и PlayStation.
| ||
|
Обсуждение (63 +38) |
Тип: К сведению |
| ||
| · | 03.08 | Переполнение буфера в iwd, эксплуатируемое через Wi-Fi (43 +10) |
|
В фоновом процессе iwd, применяемом для организации подключения Linux-систем к беспроводной сети, выявлена уязвимость (CVE не назначен), приводящая к переполнению буфера при обработке специально оформленного беспроводного запроса (802.11k), не требующего аутентификации в сетях с WPA2 без PMF. Доступен прототип эксплоита.
Уязвимость вызвана переполнением фиксированного буфера uint8_t frame[512] при разборе кадров RRM (Radio Report Measurement) в функции rrm_report_beacon_results(). Проблема проявляется версиях iwd с 1.30 по 3.12 включительно. Исправление доступно в виде стороннего патча, пока не принятого в основную кодовую базу iwd.
| ||
|
Обсуждение (43 +10) |
Тип: Проблемы безопасности |
| ||
| · | 03.08 | Проект Kakehashi развивает инструментарий для запуска исполняемых файлов macOS в Linux (82 +15) |
|
В рамках проекта Kakehashi ведётся разработка транслятора, позволяющего выполнять исполняемые файлы macOS в формате Mach-O, собранные для архитектуры ARM64, в Linux-системах с архитектурой ARM64. Код из macOS выполняется нативно без JIT-компиляции и эмуляции, используя только подмену системных вызовов для libSystem и обработку исключений. Основной целью проекта является обеспечение возможности запуска в Linux утилит командной строки, собранных для macOS. Код написан на языке Rust и распространяется под лицензией Apache 2.0.
На текущем этапе развития продемонстрирован запуск собранных для macOS утилит 7-Zip, 7zz и curl, а также выполнение тестовых сборок компилятором clang. Трансляция системных вызовов реализована целиком в пространстве пользователя. При тестировании сжатия при помощи 7zz производительность запуска macOS-сборок отстаёт от родной Linux-сборки в 5.2 раза (118 секунд против 22.5 секунд). Отмечается, что несмотря на большие накладные расходы на трансляцию проект может оказаться полезен для запуска исполныемых файлов macOS в окружениях непрерывной интеграции, работающих на базе Linux, стоимость процессорного времени в которых на порядок ниже, чем в окружениях на базе macOS.
| ||
|
Обсуждение (82 +15) |
Тип: Программы |
| ||
| · | 01.08 | Релиз операционной системы NetBSD 11.0 (84 +27) |
|
Представлен релиз операционной системы NetBSD 11.0, поддерживающей 61 системную архитектуру и 16 семейств CPU. Помимо переносимости и поддержки большого числа аппаратных платформ, операционная система NetBSD предлагает такие возможности, как гипервизор NVMM, межсетевой экран NPF, пакетный менеджер pkgin, репозиторий пакетов pkgsrc, механизм контроля целостности veriexec, режим W^X (страницы памяти не могут быть одновременно доступны на запись и исполнение), поддержка ФС ZFS, система шифрования дисков cgd. Установочные образы (640 МБ) подготовлены для 59 архитектур (пропущены epoc32 и ia64).
Проектом поддерживаются 8 первичных портов: amd64, i386, evbarm, evbmips, evbppc, hpcarm, sparc64 и xen, а также 49 вторичных портов, связанных с такими CPU, как alpha, hppa, m68010, m68k, sh3, sparc и vax. Вторичные порты ещё поддерживаются, но уже потеряли актуальность или не имеют достаточного числа заинтересованных в их развитии разработчиков. Один порт (acorn26) включён в третью категорию, в которой размещены неработоспособные порты, претендующие на удаление, если не найдётся заинтересованных в их разработке энтузиастов. Основные улучшения в NetBSD 11.0:
| ||
|
Обсуждение (84 +27) |
Тип: Программы |
| ||
| · | 01.08 | Проект Valhalla будет включён в основную ветку JDK (106 +10) |
|
Лоис Фолтан (Lois Foltan) из компании Oracle подтвердила, что реализация предложения JEP 401 ("Value Classes and Objects") будет интегрирована в основной репозиторий OpenJDK и запланирована для включение в релиз JDK 28, намеченный на март 2027 года, в качестве отключённой по умолчанию экспериментальной функции.
Ключевая идея проекта Valhalla: "код как класс, работает как int". Проектом вводится понятие классов значений (Value classes), позволяющих создавать типы, которые:
Синтаксис подразумевает использование нового ключевого слова "value":
value class Point {
final int x;
final int y;
Point(int x, int y) { this.x = x; this.y = y; }
}
В данном примере "Point[]" теперь может хранить значения напрямую, а не ссылки на объекты.
| ||
| · | 01.08 | В KDE значительно повысили производительность при использовании внешних GPU (49 +18) |
Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлена порция изменений для ветки KDE Plasma 6.8, релиз которой запланирован на 14 октября. Среди недавних изменений:
| ||
|
Обсуждение (49 +18) |
Тип: Обобщение |
| ||
| · | 31.07 | Huawei пытается добавить в Mesa полупроприетатрный Vulkan-драйвер к своим GPU (128 +47) |
|
Представитель компании Huawei сообщил о желании передать в состав Mesa новый драйвер к развиваемому данной компанией GPU. Проблема в том, что компания Huawei намерена лишь частично открыть проект - код Vulkan-драйвера на базе Mesa Vulkan Runtime и низкоуровневые компоненты, использующие промежуточное представление NIR, решено открыть, но бэкенд для трансляции промежуточного представления NIR в машинный код GPU хотят поставлять в бинарном виде, чтобы не раскрывать информацию об архитектуре набор команд GPU (GPU ISA).
Участники проекта Mesa (Dave Airlie, Alyssa Rosenzweig и Faith Ekstrand) считают подобные полупроприетарные драйверы неприемлемыми для включения в основной состав Mesa. Для того, что бы драйвер был принят в Mesa компании Huawei рекомендовали открыть информацию об архитектуре набор команд GPU.
| ||
|
Обсуждение (128 +47) |
Тип: К сведению |
| ||
| Следующая страница (раньше) >> | ||
