The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

·19.04 Опубликован miracle-wm 0.2, композитный менеджер на базе Wayland и Mir (10 +2)
  Мэтью Косарек (Matthew Kosarek) из компании Canonical представил второй выпуск композитного менеджера miracle-wm, использующего протокол Wayland и компоненты для построения композитных менеджеров Mir. Miracle-wm поддерживает мозаичную (tiling) компоновку окон в стиле оконного менеджера i3 и пользовательского окружения Sway. В качестве панели может применяться Waybar. Код проекта написан на языке C++ и распространяется под лицензией GPLv3. Готовые сборки сформированы в формате snap.

Целью проекта является создание композитного сервера, применяющего мозаичное управление окнами, но более функционального и стильного, чем такие проекты, как Swayfx. Предполагается, что miracle-wm может оказаться полезным пользователям, которые отдают предпочтение мозаичной компоновке, но желают получить визуальные эффекты и более яркое графическое оформление с плавными переходами и цветами. Для установки miracle-wm можно использовать команду "sudo snap install miracle-wm --classic".

Если первый выпуск рассматривался как начальный прототип, то версия 0.2 сосредоточена на стабилизации и повышения удобства работы. Среди изменений в версии 0.2:

  • Добавлен менеджер плавающих окон, позволяющий размещать отдельные окна поверх мозаичной сетки по аналогии с окнами традиционных оконных менеджеров.
  • Обеспечена возможность закрепления окон к определённому месту на рабочем столе.
  • Предоставлена возможность автоматического применения новых настроек без перезапуска при изменении файла конфигурации.
  • Добавлена поддержка IPC оконного менеджера i3 для рабочих столов. Реализованных возможностей достаточно для запуска панели Waybar.
  • В файл конфигурации добавлен параметр terminal для определения эмулятора терминала по умолчанию, запускаемого при использовании клавиатурной комбинации Ctrl+Alt+T.
  • В файле конфигурации появилась возможность указания переменных окружени, например, mesa_glthread=false для борьбы с появлением разрывов при выводе (tearing).
  • Используемая версия Mir обновлена до выпуска 2.16.4, в котором добавлена поддержка аппаратного курсора и учтена возможность поворота экрана при создании скриншотов.
  • Проведена оптимизация производительности.
  • Налажено формирование пакетов для Ubuntu и Fedora Linux.

1 июня планируется опубликовать выпуск 0.3, который будет иметь статус пререлиза. В версии 0.3 будет реализована поддержка анимационных эффектов, стековой компоновки окон, многомониторных конфигураций, параметров для настройки экрана и визуального выделения активных окон. На 15 июля намечен первый стабильный релиз проекта - 1.0.

Из идей, которые могут быть включены в версию 1.0 упоминаются обзорный режим для навигации по окнам и рабочим столам в стиле GNOME; графический интерфейс для настройки; контекстные меню с действиями над окнами; режим "картинка в картинке"; возможность вывода окна приложения, на которое установлен фокус, по центру; минимальная оболочка с панелью и интерфейсом запуска программ.

  1. Главная ссылка к новости
  2. OpenNews: Сотрудник Canonical представил miracle-wm, композитный менеджер на базе Wayland и Mir
  3. OpenNews: Выпуск дисплейного сервера Mir 2.14. Пользовательское окружение Miriway
  4. OpenNews: Пользовательская оболочка Lomiri (Unity8) принята в Debian
  5. OpenNews: Компания Canonical представила оболочку Ubuntu Frame
  6. OpenNews: Инициатива по добавлению рабочего стола Unity 8 и дисплейного сервера Mir в Debian
Обсуждение (10 +2) | Тип: Программы |


·19.04 Для Xen развивается механизм паравиртуализации IOMMU (10 +11)
  Разработчики проекта XCP-NG, развивающего свободную платформу для развертывания и управления работой облачной инфраструктурой, представили проект PV-IOMMU, позволяющий гостевым системам получить доступ к ограниченной функциональности IOMMU, реализованной с использованием инфраструктуры паравиртуализации Xen. На практике PV-IOMMU может применяться для реализации защиты DMA в Dom0 или обеспечения поддержки подсистемы ядра Linux VFIO. Ранее гипервизор Xen использовал IOMMU для проброса доступа к PCI-устройствам и ограничения доступа устройств к памяти, но из соображений стабильности и безопасности гостевые системы не могли напрямую обращаться к предоставляемому оборудованием блоку IOMMU.

IOMMU представляет собой специализированный блок управления памятью, выполняющий трансляцию виртуальных адресов, видимых аппаратным устройством, в физические адреса, позволяющий выполнять и фильтровать операции DMA по виртуальным адресам, а также ограничивать и изолировать операции ввода-вывода. В контексте виртуализации IOMMU позволяет гостевым системам напрямую обращаться к периферийным устройствам, таким как Ethernet-адаптеры, графические карты и контроллеры устройств хранения. Реализация IOMMU от компании Intel предоставляется под именем VT-d ("Virtualization Technology for Directed I/O), AMD - AMD-Vi (I/O Virtualization), а ARM - SMMU (System Memory Management Unit).

Предложенная паравиртуализированная реализация (PV-IOMMU) позволяет гостевым системам использовать базовые возможности IOMMU, но при этом абстрагирует все низкоуровневые аппаратные детали. Для включения в состав Xen предложен новый гипервызов (аналог системного вызова для гипервизоров) HYPERVISOR_iommu_op, который могут использовать гостевые системы для выполнения операций IOMMU. Среди прочего, гостевые системы теперь могут создавать и изменять домены IOMMU (IOMMU domain), именуемые в Xen контекстами IOMMU (IOMMU context) для того чтобы избежать путаницы с термином "домен" в Xen. Контексты IOMMU позволяют организовать доступ гостевой системы к памяти устройств и задавать операции трансляции памяти, применяемые к одному или нескольким устройствам.

На текущей стадии развития в PV-IOMMU поддерживается только технология Intel VT-d, но в скором времени планируется добавить поддержку AMD-Vi и SMMUv3

  1. Главная ссылка к новости
  2. OpenNews: Выпуск гипервизора Xen 4.18
  3. OpenNews: Инициатива по переработке инструментария для гипервизора Xen на языке Rust
  4. OpenNews: XCP-ng, свободный вариант Citrix XenServer, вошёл в состав проекта Xen
  5. OpenNews: Выпуск XCP-NG 8.2, свободного варианта Citrix Hypervisor
  6. OpenNews: Выпуск облачной платформы Apache CloudStack 4.18
Обсуждение (10 +11) | Тип: К сведению |


·19.04 Проект Dnsmasq стал обладателем первой премии BlueHats (44 +6)
  Определён первый лауреат премии BlueHats, учреждённой Межминистерским цифровым директоратом Франции (DINUM, Interministerial Digital Directorate) и вручаемой сопровождающим критически важных свободных и открытых проектов. Первая премия присуждена Саймону Келли (Simon Kelley), создателю, основному разработчику и мэйнтейнеру проекта Dnsmasq. Присудившее премию жюри, в которое вошли представители Министерства образования, Агентства по кибербезопасности (ANSSI) и Цифрового директората (DINUM) Франции, признали важность проекта и проведённую им работу по поддержанию сетевой безопасности. Денежная составляющая премии определена в 10 тысяч евро. В этом году дополнительно планируется присудить ещё три подобные премии.

Проект Dnsmasq объединяет в одном пакете кэширующий DNS-резолвер, сервер DHCP, сервис для анонсов маршрутов IPv6 и систему загрузки по сети. Проект задействован в платформе Android и специализированных дистрибутивах, таких как OpenWrt и DD-WRT, а также в прошивках беспроводных маршрутизаторов многих производителей. В обычных дистрибутивах Dnsmasq может устанавливаться при использовании libvirt для обеспечения работы DNS-сервиса в виртуальных машинах или активироваться в конфигураторе NetworkManager.

  1. Главная ссылка к новости
  2. OpenNews: Уязвимости в Dnsmasq, позволяющие подменить содержимое в кэше DNS
  3. OpenNews: Уязвимости в Dnsmasq, позволяющие удалённо выполнить код атакующего
  4. OpenNews: Уязвимости в Dnsmasq и Qt. Эксплоит для sock_sendpage-уязвимости Linux ядра
  5. OpenNews: Обновление OpenWrt 23.05.3 и DietPi 9.2
  6. OpenNews: Уязвимости KeyTrap и NSEC3, затрагивающие большинство реализаций DNSSEC
Обсуждение (44 +6) | Тип: К сведению |


·19.04 GitHub намерен запретить размещение сомнительных проектов для создания дипфейков (97)
  GitHub опубликовал изменения правил, определяющих политику в отношении размещения проектов, которые можно использовать для создания фиктивного мультимедийного контента с целью порномести и дезинформации. Изменения пока находятся в состоянии черновика, доступного для обсуждения в течение 30 дней (до 20 мая).

В условия использования сервиса GitHub добавлен абзац, запрещающий размещение проектов, предназначенных для синтезирования и манипулирования мультимедийным контентом для создания интимных образов без согласия (NCII) и контента, нацеленного на введение в заблуждение или дезинформацию. Запрет также распространяется на проекты, которые поощряют, продвигают и поддерживают подобные системы.

В качестве причины введения запрета упоминается попытки использовать системы искусственного интеллекта, способные генерировать реалистичные изображения, звук и видео, не только для творчества, но и для злоупотреблений, таких как создание дипфейков и организация спамерских обзвонов.

При этом представители GitHub намерены лояльно относиться к проектам двойного назначения, напрямую не предназначенным для злоупотреблений и не одобряющим вредоносное применение, но которые потенциально могут применяться злоумышленниками в своей деятельности. Меры реагирования будут выбираться с учётом характера проектов и разделяя использование для неправомерных и законных целей.

  1. Главная ссылка к новости
  2. OpenNews: GitHub защитился от конкурирующих сервисов, запрещающих сравнительное тестирование
  3. OpenNews: GitHub обновил правила, касающиеся торговых санкций
  4. OpenNews: GitHub ужесточает правила, связанные с размещением результатов исследований безопасности
  5. OpenNews: Критика Microsoft после удаления из GitHub прототипа эксплоита для Microsoft Exchange
  6. OpenNews: GitHub намерен сканировать репозитории на предмет запрещённого содержимого
Обсуждение (97) | Тип: Тема для размышления |


·18.04 Опубликован Autodafe, инструментарий для замены Autotools на обычный Makefile (76 +32)
  Эрик Рэймонд (Eric S. Raymond), один из основателей организации OSI (Open Source Initiative), стоявший у истоков движения открытого ПО, опубликовал инструментарий Autodafe, позволяющий преобразовать сборочные инструкции и сценарии, применяемые утилитами Autotools, в один обычный Makefile, который может легко читаться и меняться разработчиками. Код проекта написан на языке Python и распространяется под лицензией BSD.

В состав входит программа makemake, которая преобразует сгенерированный утилитой automake сборочный файл Makefile в эквивалентный читаемый Makefile, пригодный для редактирования людьми и избавленный от внутренних конструкций automake. Дополнительное задействование утилиты ifdex позволяет полностью избавить проект от Autotools, заменив его на работу с обычным Makefile.

Мотивом для создания проекта Autodafe послужило желание вернуться к использованию обычных Makefile вместо переусложнённых сценариев Autotools, возникшее после инцидента с внедрением бэкдора в пакет xz. Из плюсов предлагаемого подхода называется упрощение сборочных правил, которые станет проще проверять и сложнее внедрить скрытую функциональность. Из недостатков отмечается потеря поддержки старых Unix-систем, усиление зависимости от libtool и снижение гибкости в настройке.

  1. Главная ссылка к новости
  2. OpenNews: Удаление Эрика Рэймонда из списков рассылки OSI и этические вопросы в открытых лицензиях
  3. OpenNews: Оценка возможности отзыва разработчиками своего кода из ядра Linux
  4. OpenNews: Эрик Реймонд основал проект по созданию открытого источника бесперебойного питания
  5. OpenNews: Первый стабильный релиз NTPsec, защищённого форка NTPD
  6. OpenNews: Эрик Реймонд представил новую систему управления версиями SRC
Обсуждение (76 +32) | Тип: Программы |


·18.04 Уязвимость во flatpak, позволяющая обойти sandbox-изоляцию (87 +15)
  В инструментарии Flatpak, предназначенном для создания самодостаточных пакетов, не привязанных к конкретным дистрибутивам Linux и изолированных от остальной системы, выявлена уязвимость (CVE-2024-32462). Уязвимость позволяет вредоносному или скомпрометированному приложению, поставляемому в пакете flatpak, обойти установленный режим sandbox-изоляции и получить доступ к файлам в основной системе. Проблема проявляется только в пакетах, использующих порталы Freedesktop (xdg-desktop-portal), применяемые для организации доступа к ресурсам пользовательского окружения из изолированных приложений. Уязвимость устранена в корректирующих обновлениях flatpak 1.15.8, 1.14.6, 1.12.9 и 1.10.9. Обходной путь для защиты также предложен в выпусках xdg-desktop-portal 1.16.1 и 1.18.4.

Благодаря уязвимости, находящееся в изолированном окружении приложение может использовать интерфейс xdg-desktop-portal для создания файла ".desktop" с командой запуска приложения из flatpak, позволяющей получить доступ к файлам основной системы. Для выхода из изолированного окружения используются манипуляции с параметром "--command", применяемым для передачи имени программы, находящейся внутри flatpak-пакета, которую нужно запустить в изолированном окружении. Для настройки изолированного окружения flatpak вызывает утилиту bwrap, передавая ей указанное имя программы. Например, для запуска утилиты ls в изолированном окружении пакета можно использовать конструкцию "flatpak run --command=ls org.gnome.gedit" которая приведёт к запуску "bwrap <параметры_изоляции> ls".

Суть уязвимости в том, что если имя программы начинается на символы "--", то оно будет воспринято утилитой bwrap как собственная опция. Например, запуск "flatpak run --command=--bind org.gnome.gedit / /host ls -l /host" приведёт к выполнению "bwrap <параметры_изоляции> --bind / /host ls -l /host", т.е. имя "--bind" будет обработано не как имя запускаемого приложения, а как опция bwrap.

Уязвимость усугубляется тем, что D-Bus интерфейс "org.freedesktop.portal.Background.RequestBackground" позволяет приложению из пакета Flatpak указать любую команду для выполнения при помощи "flatpak run --command", в том числе начинающуюся с символа "--". Подразумевалось, что передача любых команд не опасна, так как они будут выполнены в изолированном окружении пакета. Но не было учтено, что команды, начинающиеся на "--" будут обработаны как опции утилитой bwrap. В итоге, интерфейс xdg-desktop-portal может использоваться для создания файла ".desktop" с командой, эксплуатирующей уязвимость.

  1. Главная ссылка к новости
  2. OpenNews: Обновление Flatpak с устранением двух уязвимостей
  3. OpenNews: Официальные редакции Ubuntu прекратят поддержку Flatpak в базовой поставке
  4. OpenNews: Релиз системы самодостаточных пакетов Flatpak 1.14.0
  5. OpenNews: Уязвимость во Flatpak, позволяющая обойти режим изоляции
  6. OpenNews: Уязвимость в snapd и flatpak, позволяющая обойти режим изоляции
Обсуждение (87 +15) | Тип: Проблемы безопасности |


·18.04 В openSUSE Factory реализована поддержка повторяемых сборок (21 +11)
  Разработчики проекта openSUSE объявили об обеспечении поддержки повторяемых сборок в репозитории openSUSE Factory, который применяет модель непрерывного цикла обновления версий программ (rolling-обновления) и служит основой для построения дистрибутива openSUSE Tumbleweed. Сборочная конфигурация openSUSE Factory теперь позволяет убедиться, что распространяемые в пакетах бинарные файлы собраны из предоставляемых исходных текстов и не содержат скрытых изменений. Например, любой пользователь может лично проверить, что предлагаемые сборки побитово совпадает со сборками, собранными лично из исходных текстов.

При формировании повторяемых сборок учитываются такие нюансы, как точное соответствие зависимостей, использование неизменного состава и версий сборочного инструментария, идентичный набор опций и настроек по умолчанию, сохранение порядка сборки файлов (применение тех же методов сортировки), отключение добавления компилятором непостоянной служебной информации, такой как случайные значения, ссылки на файловые пути и данные о дате и времени сборки.

Возможность проверить тождественность бинарной сборки позволяет не полагаться лишь на доверие к сборочной инфраструктуре, компрометация компилятора или сборочного инструментария в которой может привести к подстановке скрытых закладок. Например, повторяемые сборки использовались разработчикам openSUSE для исключения вредоносных модификаций, которые могли появиться в репозитории в результате инцидента с добавлением бэкдора в пакет xz (скомпрометированная библиотека liblzma, задействованная для распаковки архива с кодом GCC, потенциально могла внести в код GCC изменения, которые могли применяться для подстановки вредоносных элементов в собираемые приложения).

Репозиторий Factory не предназначен для конечных пользователей и в основном используется разработчикам дистрибутива, так как в нём не гарантируется стабильность в любой момент времени. Добавляемые в Factory системные пакеты проходят автоматизированное тестирования при помощи инструментария openQA. После завершения тестирования и проверки непротиворечивого состояния зависимостей несколько раз в неделю содержимое репозитория сбрасывается на зеркала и сформированный срез состояния публикуется как openSUSE Tumbleweed.

  1. Главная ссылка к новости
  2. OpenNews: В NixOS обеспечена поддержка повторяемых сборок для iso-образа
  3. OpenNews: Доступен rebuilderd для независимой верификации Arch Linux при помощи повторяемых сборок
  4. OpenNews: Связывание повторяемых сборок GNU Guix с архивом исходных текстов Software Heritage
  5. OpenNews: Для 94% пакетов Debian обеспечена возможность повторяемой сборки
  6. OpenNews: В NetBSD обеспечена поддержка повторяемых сборок
Обсуждение (21 +11) | Тип: К сведению |


·18.04 Выпуск web-браузера Chrome 124 (52 +5)
  Компания Google опубликовала релиз web-браузера Chrome 124. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей при поиске RLZ-параметров. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 125 запланирован на 14 мая.

Основные изменения в Chrome 124:

  • В версии для платформы Android в менеджере закладок появилась поддержка сохранения закладок и списков отложенного чтения на серверах Google в привязке к учётной записи пользователя.
  • В Chrome для Android задействован новый метод хранения локальных паролей, которые не синхронизируются с другими устройствами. Ранее локальные пароли хранились в профиле Chrome, а теперь будут размещены в хранилище паролей, предоставляемом сервисами Google Play, которое уже используется для хранения пароля к учётной записи в Google.
  • В сборках для Windows, macOS и Linux в TLS включена по умолчанию поддержка механизма инкапсуляции ключей (KEM, Key Encapsulation Mechanism), использующего гибридный алгоритм X25519Kyber768, устойчивый к подбору на квантовых компьютерах. X25519Kyber768 представляет собой комбинацию из механизма обмена ключами X25519, основанного на эллиптических кривых и ныне применяемого в TLS, c алгоритмом Kyber-768, использующим методы криптографии, основанные на решении задач теории решёток, время решения которых не отличается на обычных и квантовых компьютерах.
  • При отрисовке текста библиотекой Skia учтены заданные в Windows настройки контраста и цвета для технологии сглаживания текста ClearType, позволяющей заметно повысить качество отображения шрифтов на жидкокристаллических мониторах. В сборках для Linux заметно изменились шрифты, используемые в интерфейсе.
  • Предоставлена возможность установки любой web-страницы в виде самодостаточного PWA-приложения (Progressive Web Apps), даже если эта страница не соответствует критериям PWA.
  • В соответствии с требованиями европейского закона DMA (Digital Markets Act) обеспечен вывод диалога для выбора поисковой системы, которая будет использоваться по умолчанию. На выбор предлагаются поисковые системы, доступные в разделе настроек "chrome://settings/search". Поисковые системы в списке отображаются в случайном порядке. В Chrome 120 данный диалог был протестирован на 1% пользователей, а теперь активирован для всех.
  • Реализован вывод пользователю запроса предоставления полномочий при обращении web-приложения к API Web MIDI, позволяющем взаимодействовать с подключёнными к компьютеру музыкальными устройствами с интерфейсом MIDI. Ранее запросы полномочий выводились только при отправке или получении SysEx-сообщений, а теперь будут выводиться при любом обращении к API Web MIDI. В качестве причины изменения упоминаются ситуации, когда случайные web-страницы захватывают эксклюзивное управление MIDI-контроллером, блокируя возможность работы с ним других приложений. Также отмечаются проблемы, связанные с безопасностью, так как API Web MIDI позволяет полностью управлять MIDI-устройством, вплоть до установки своих прошивок.
  • Полностью прекращена поддержка API Web SQL, который не стандартизирован, почти не используется и требует переработки для соответствия современным требованиям к безопасности. Web SQL был отключён по умолчанию начиная с Chrome 119, но была предусмотрена настройка для его возвращения. Теперь данная настройка удалена. Для разработчиков, которым необходима подобная функциональность, предлагается использовать вариант библиотеки SQLite, скомпилированной в представление WebAssembly.
  • Добавлена возможность управления направлением написания текста, отображаемого вертикально в элементах web-форм (select, meter, progress, button, textarea и input) при выборе вертикальной ориентации через CSS-свойство writing-mode. Для вывода текста сверху-вниз теперь можно использовать свойство элемента форм "ltr", а снизу-вверх - "rtl".
  • В API User-Agent Client Hints, развиваемом в качестве замены заголовка User-Agent, добавлена поддержка параметра Sec-CH-UA-Form-Factors, через который клиент может информировать сервер о форм-факторе устройства пользователя (Desktop, Automotive, Mobile, XR, EInk и Watch). User-Agent Client Hints позволяет организовать выборочную отдачу данных о конкретных параметрах браузера и системы (версия, платформа и т.д.) только после запроса сервером. Пользователь, в свою очередь, может определить какую информацию можно предоставить владельцам сайтов. При использовании User-Agent Client Hints идентификатор браузера не передаётся без явного запроса, а по умолчанию указываются лишь базовые параметры, что затрудняет проведение пассивной идентификации.
  • Добавлена возможность управления клонированием отдельных корней в Shadow DOM, осуществляемым такими командами, как cloneNode(). Возможность клонирования корневых веток DOM включается при помощи параметра clonable ("attachShadow({clonable:true})") или атрибута "shadowrootclonable" (<template shadowrootmode=open shadowrootclonable>).

  • Добавлены новые методы setHTMLUnsafe() и parseHTMLUnsafe() для использования синтаксиса Shadow DOM из JavaScript. Методы setHTMLUnsafe() и parseHTMLUnsafe() по аналогии с innerHTML и DOMParser.parseFromString() позволяют подставить в элемент или разобрать содержимое в формате HTML, но отличаются поддержкой обработки элементов template c атрибутом shadowrootmode.
  • Добавлена поддержка API WebSocket Stream, позволяющего передавать данные между браузером и сервером в потоковом режиме без применения полинга (polling), что оптимально для организации передачи и приёма постоянно поступающих данных, например, в реализации чата.
    
       const wss = new WebSocketStream(WSS_URL);
       const {readable, writable} = await wss.opened;
       const reader = readable.getReader();
       const writer = writable.getWriter();
    
       while (true) {
         const {value, done} = await reader.read();
         if (done) {
           break;
         }
         const result = await process(value);
         await writer.write(result);
       }
    
  • Расширены возможности API View Transitions, упрощающего создание переходных анимационных эффектов между разными состояниями DOM (например, плавный переход от одного изображения к другому). В новой версии добавлена поддержка события "pageswap", генерируемого для объекта "window", когда при навигации связанный с ним объект "document" заменяется на новый. Также добавлено свойство "render-blocking", позволяющее заблокировать отрисовку документа до завершения разбора важного контента.
  • Добавлен параметр disallowReturnToOpener, передаваемый при вызове метода requestWindow, который позволяет убрать кнопку "назад" в окне, открытом в режиме "картинка в картинке", для запрета возвращения к вкладке, из которой было открыто окно.
  • Добавлена возможность присвоения атрибуту CSSImportRule.styleSheet значения NULL для индикации отсутствия привязанной таблицы стилей. Добавлен атрибут CSSKeyframesRule.length, указывающий на число индексируемых свойств.
  • Для редактируемых полей реализован атрибут "writingsuggestions" для управления включением показа рекомендаций во время ввода.
  • В API WebGPU добавлена поддержка ServiceWorker и SharedWorker.
  • Добавлена поддержка HTTP-заголовка "Priority", через который можно передать сведения о приоритете обработки запроса (RFC 9218) на стадии первого обращения к ресурсу.
  • Внесены улучшения в инструменты для web-разработчиков. Добавлена новая панель Autofill для инспектирования информации, используемой при автоматическом заполнении форм.

    В панели инспектирования CSS-стилей улучшена поддержка вложенных стилей. В панели измерения производительности предоставлена возможность скрытия лишних функций и связанных с ними дочерних вызовов для снижения уровня шума на графике. В панель отладки анимации добавлена поддержка анимации, привязанной к прокрутке контента (Scroll-driven Animation). В панели инспектирования сети реализована возможность задания параметров потери пакетов и размера сетевой очереди для проверки работы WebRTC-приложений в условиях возникновения сетевых проблем.

Кроме нововведений и исправления ошибок в новой версии устранено 22 уязвимости. Многие из уязвимостей выявлены в результате автоматизированного тестирования инструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Критических проблем, которые позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения, не выявлено. В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 13 премий на сумму 65 тысяч долларов США (по одной премии в $20000, $10000, $7000 и $2000, по три премии в $5000 и $3000, две премии $1000). Размер одного вознаграждения пока не определён.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск web-браузера Chrome 123
  3. OpenNews: Оценка эффективности применения MiraclePtr для предотвращения уязвимостей в Chrome
  4. OpenNews: Разработчики Chrome и Firefox рассматривают возможность прекращения поддержки видеокодека Theora
  5. OpenNews: В Chrome планируют реализовать режим скрытия IP-адреса пользователя
  6. OpenNews: Chrome сокращает цикл подготовки релизов
Обсуждение (52 +5) | Тип: Программы |


·18.04 Линус Торвальдс выступил против парсеров Kconfig, не поддерживающих табуляцию (164 +103)
  Линус Торвальдс отказался принимать в ядро изменение, заменяющее символ табуляции на пробел в разделителе параметра FTRACE_RECORD_RECURSION_SIZE в конфигурации ядра Kconfig. Изменение было предложено разработчиком проекта Fedora с примечанием, что использование табуляций приводит к сбою в работе парсера конфигурации. Вместо предложенного изменения Линус включил в ядро свой патч, специально добавляющий символы табуляции в определение настройки PAGE_SHIFT, задающей смещение для различных размеров страниц памяти.

Добавление табуляций в настройки, более значительные, чем FTRACE_RECORD_RECURSION_SIZE, объясняется тем, что в файле с настройками ядра допускается использование как пробелов, так и табуляций, поэтому если парсер не может нормально разобрать строку с табуляцией - это проблема парсера, которая должна быть устранена в нём. Команда "make defconfig" корректно принимает табуляции, поэтому и внешние парсеры тоже должны их обрабатывать.

Присутствие в поставляемом в ядре Kconfig не только пробелов, но и табуляций, позволит выявлять проблемные парсеры и стимулировать их исправление. Идея подгонять ядро под сбойные парсеры воспринимается как ущербная, так как даже если в эталонном Kconfig всегда будут только пробелы, обычный пользователь волен использовать табуляции в настройках на своих системах и подобное использование может привести к сбоям в неисправленных сторонних парсерах.

  1. Главная ссылка к новости
  2. OpenNews: Линус Торвальдс опроверг проблемы с планировщиком задач, всплывшие в тесте производительности
  3. OpenNews: Релиз ядра Linux 6.8
  4. OpenNews: Линус Торвальдс предложил прекратить поддержку CPU i486 в ядре Linux
  5. OpenNews: Кейс Кук из Google призвал модернизировать процесс работы над ошибками в ядре Linux
  6. OpenNews: Предложение по блокировке драйверов-прослоек, предоставляющих доступ к GPL-вызовам ядра Linux
Обсуждение (164 +103) | Тип: Тема для размышления |


·18.04 Релиз видеоплеера MPV 0.38 (125 +33)
  Состоялся выпуск открытого видеоплеера MPV 0.38, в 2013 году ответвившегося от кодовой базы проекта MPlayer2. В MPV основное внимание уделяется разработке новых возможностей, не заботясь о сохранении совместимости с MPlayer. Код MPV распространяется под лицензией LGPLv2.1+, некоторые части остаются под GPLv2, но процесс перехода на LGPL почти завершён и для отключения оставшегося GPL-кода можно использовать опцию "--enable-lgpl".

Среди изменений в новой версии:

  • Продолжается развитие нового модуля вывода vo_gpu_next, построенного на основе библиотеки libplacebo и использующего шейдеры и графические API Vulkan, OpenGL, Metal или Direct3D для обработки и отрисовки видео. В новой версии vo_gpu_next обеспечено сохранение кэша в отдельных файлах.
  • Расширены возможности, связанные с Wayland: добавлена поддержка многопользовательских окружений с несколькими клавиатурами и мышами (multi-seat), обеспечена корректная прокрутка с высоким разрешением, улучшено масштабирование на экранах с высокой плотностью пикселей (HiDPI), улучшена обработка изменения курсора, включено требование по использованию переменной окружения WAYLAND_DISPLAY для инициализации.
  • Для скриптов добавлен API mp.input, позволяющий запросить ввод пользователем текстовых данных.
  • В проигрыватель добавлена опция "--deinterlace-field-parity" для автоматического включения деинтерлейсинга.
  • В сборки для mac OS добавлен пакет MoltenVK для обеспечения поддержки API Vulkan.
  • Добавлена возможность масштабирования видео колесом мыши при удерживании клавиши Ctrl.
  • В модуль вывода звука ao_avfoundation добавлена начальная поддержка драйвера AVFoundation, который используется в macOS.
  • В модуль вывода видео добавлена возможность использования контекстных меню на платформе Win32.
  • Во встроенном GUI OSC (On Screen Controller) разрешено отключения отдельных возможностей, связанных с использованием колеса мыши.
  • В окружениях X11 обеспечена поддержка масштабирования DPI с шагом 0.5 и использования по умолчанию DPI, указанного в параметре Xft.dpi.
  • Удалён устаревший нестандартный код поддержки Raspberry Pi.
  • Добавлена опция "--input-commands", позволяющая указать команды, которые будут выполнены после запуска mpv.
  • Добавлены новые опции "--osd-bar-border-size", "--secondary-sub-delay", "--sub-filter-sdh-enclosures", "--secondary-sub-ass-override", "--volume-gain", "--sub-lavc-o", "--input-preprocess-wheel".
  • Добавлены новые команды "load-config-file", "load-input-conf", "loadfile insert-next" и "loadlist insert-next".
  • Подняты требования к версиям зависимостей. Для работы теперь нужны как минимум версии FFmpeg 4.4 и libplacebo 6.338.2.

  1. Главная ссылка к новости
  2. OpenNews: Релиз видеоплеера MPV 0.37
  3. OpenNews: Медиаплеер MPV прекращает поддержку GNOME
  4. OpenNews: Инициатива по выбору официального GUI для MPV
  5. OpenNews: В рамках проекта MPlayer2 создан форк медиаплеера MPlayer
  6. OpenNews: Выпуск мультимедийного проигрывателя MPlayer 1.5
Обсуждение (125 +33) | Тип: Программы |


·17.04 Выпуск Wayland-Protocols 1.35 (101 +17)
  Опубликован выпуск пакета wayland-protocols 1.35, содержащего набор протоколов и расширений, которые дополняют возможности базового протокола Wayland и предоставляют возможности, необходимые для построения композитных серверов и пользовательских окружений.

Все протоколы последовательно проходят три фазы - разработка, тестирование и стабилизация. После завершения стадии разработки (категория "unstable") протокол помещается в ветку "staging" и официально включается в состав набора wayland-protocols, а после завершения тестирования перемещается в категорию стабильных. Протоколы из категории "staging" уже можно применять в композитных серверах и клиентах, где требуется связанная с ними функциональность. В отличие от категории "unstable" в "staging" запрещено внесение изменений, нарушающих совместимость, но в случае выявление проблем и недоработок в ходе тестирования, не исключается замена новой значительной версией протокола или другим Wayland-расширением.

В новой версии:

  • В разряд стабильных переведён протокол tablet-v2, предоставляющий средства для организации ввода с графических планшетов.
  • В категорию "staging" добавлен новый протокол alpha-modifier, позволяющий клиентам менять уровень прозрачности поверхности и выносить операции по обеспечению прозрачности на сторону композитного сервера, который в свою очередь может переадресовать эти операции KMS.
  • В протокол xdg-shell добавлена рекомендация не выводить декорирование вне геометрических границ окна, в случае использования мозаичной компоновки окон.



В настоящее время в состав wayland-protocols входят следующие стабильные протоколы, в которых обеспечивается обратная совместимость:

  • "viewporter" - позволяет клиенту выполнять действия по масштабированию и обрезанию краёв поверхности на стороне сервера.
  • "presentation-time" - обеспечивает отображение видео.
  • "xdg-shell" - интерфейс создания и взаимодействия с поверхностями как с окнами, что позволяет их передвигать по экрану, сворачивать, разворачивать, изменять размер и т.д.
  • "linux-dmabuf" - обеспечивает совместное использование нескольких видеокарт при помощи технологии DMA-BUF (позволяет создать wl_buffer на базе DMA-BUF).
  • "tablet" - организация ввода с графических планшетов.

Протоколы, тестируемые в ветке "staging":

  • drm-lease - предоставляет ресурсы, необходимые для формирования стереокартинки с разными буферами для левого и правого глаза при выводе на шлемы виртуальной реальности.
  • "ext-session-lock" - определяет средства блокировки сеанса, например, во время работы хранителя экрана или вывода диалога аутентификации.
  • "single-pixel-buffer" - позволяет создавать однопиксельные буферы, включающие четыре 32-разрядных значения RGBA.
  • "xdg-activation" - позволяет передать фокус между разными поверхностями первого уровня (например, при помощи xdg-activation одно приложение может переключить фокус на другое).
  • content-type - позволяет клиентам передать композитному серверу сведения об отображаемом содержимом, которые могут использоваться для оптимизации поведения с учётом содержимого, например, выставлении специфичных DRM-свойств, таких как "content type". Заявлена поддержка следующих типов контента: none (нет сведений о типе данных), photo (вывод цифровых фото, требующий минимальной обработки), video (видео или анимация, требуется более точная синхронизация, чтобы исключить подтормаживания) и game (запуск игр, требуется вывод с минимальной задержкой).
  • ext-idle-notify - даёт возможность композитным серверам передавать клиентам уведомления о неактивности пользователя, что может использоваться для активации дополнительных режимов энергосбережения после определённого времени неактивности.
  • tearing-control - позволяет отключить в полноэкранных приложениях вертикальную синхронизацию (VSync) с кадровым гасящим импульсом, применяемую для защиты от появления разрывов при выводе (tearing). В мультимедийных приложениях появление артефактов из-за разрывов является нежелательным эффектом, но в игровых программах с артефактами можно смириться, если борьба с ними приводит к дополнительным задержкам.
  • ext-foreign-toplevel-list - получение информации о поверхностях, размещённых на самом верхнем уровне (toplevel), которые позволяют организовать закрепление окон поверх другого содержимого, например, для подключения собственных панелей и переключателей окон.
  • security-context - позволяет идентифицировать клиентов, использующих sandbox-изоляцию. Клиент может зарегистрировать новое подключение к композитному серверу на базе Wayland и прикрепить к нему контекст безопасности, после чего в соответствии с указанным контекстом безопасности композитный менеджер ограничит возможности, доступные для установленного соединения.
  • cursor-shape - альтернативный способ настройки внешнего вида курсора, основанный на передаче серии изображений курсора вместо привязки к поверхности (wl_surface).
  • "ext-transient-seat" - предназначен для создания временных независимых сеансов (seat), рассчитанных на использование вместе с виртуальными устройствами ввода. Например, при реализации возможности подключения к удалённому рабочему столу протокол позволяет создать для каждого пользователя отдельный сеанс с виртуальными клавиатурой и мышью.
  • "xdg-toplevel-drag" - расширяет механизм "drag & drop" возможностью прикрепления окон верхнего уровня к операции перемещения, что может быть использовано, например, для организации перетаскивания мышью панелей инструментов или вкладок браузера. Новый протокол позволяет создавать отсоединяемые части окна, которые при перетаскивании из этого окна становятся новыми окнами и могут перемещаться поверх существующего окна перед повторным прикреплением.
  • "xdg-dialog" - позволяет назначать поверхностям верхнего уровня признаки, специфичные для диалоговых окон, например, можно создавать модальные диалоги, которые блокируют взаимодействие пользователя с остальной частью интерфейса.
  • "linux-drm-syncobj" - предоставляет инструменты для явной синхронизациии буферов при помощи объектов синхронизации DRM (Direct Rendering Manager). Предполагается, что в контексте синхронизации при отрисовке в буфер предложенный протокол позволит улучшить работу с драйверами на базе графических API Vulkan и OpenGL (реализация базируется на обработчиках в драйверах). Новый протокол даёт возможность убедиться, что операция отрисовки в буфер завершена до того, как композитный менеджер отобразит данный буфер.

Протоколы, разрабатываемые в ветке "unstable":

  • "fullscreen-shell" - управление работой в полноэкранном режиме.
  • "input-method" - обработка методов ввода.
  • "idle-inhibit" - блокировка запуска скринсейвера (экранной заставки).
  • "input-timestamps" - временные метки для событий ввода.
  • "keyboard-shortcuts-inhibit" - управление прикреплением клавиатурных комбинаций и горячих клавиш.
  • "linux-explicit-synchronization" - специфичный для Linux механизм синхронизации буферов в привязке к поверхности.
  • "pointer-gestures" - управление с сенсорных экранов.
  • "pointer constraints" - ограничения указателей (блокировка).
  • "primary-selection" - по аналогии с X11 обеспечивает работу первичного буфера обмена (primary selection), вставка информации из которого обычно осуществляется средней кнопкой мыши.
  • "relative pointer events" - относительные события указателей.
  • "text-input" - организация ввода текста.
  • "xdg-foreign" - интерфейс взаимодействия с поверхностями "соседнего" клиента.
  • "xdg-decoration" - отрисовка декораций окон на стороне сервера.
  • "xdg-output" - дополнительные сведения о видеовыходе (используется для дробного масштабирования).
  • "xwayland-keyboard-grab" - захват ввода в приложениях XWayland.
    1. Главная ссылка к новости
    2. OpenNews: Выпуск Wayland-Protocols 1.34
    3. OpenNews: В библиотеке SDL3 отменяют переход на Wayland по умолчанию (отмена отложена)
    4. OpenNews: Сотрудник Canonical представил miracle-wm, композитный менеджер на базе Wayland и Mir
    5. OpenNews: Доступен Wayland 1.22
Обсуждение (101 +17) | Тип: Программы |


·17.04 Доступна среда рабочего стола LXQt 2.0.0 (119 +37)
  Представлен релиз среды рабочего стола LXQt 2.0.0 (Qt Lightweight Desktop Environment), продолжающей развитие проектов LXDE и Razor-qt. Интерфейс LXQt следует идеям классической организации рабочего стола, но привносит современное оформление и приёмы, увеличивающие удобство работы. LXQt позиционируется как легковесное, модульное, быстрое и удобное окружение, вобравшее лучшие черты LXDE и Razor-qt. Код размещён на GitHub и поставляется под лицензиями GPL 2.0+ и LGPL 2.1+. Появление готовых сборок ожидается для Ubuntu (LXQt по умолчанию предлагается в Lubuntu), Arch Linux, Fedora, openSUSE, Mageia, FreeBSD, ROSA и ALT Linux.

В процессе разработки ветки LXQt 2.0 основное внимание уделено переводу компонентов проекта и приложений с Qt 5 на использование библиотеки Qt 6.6. Для обеспечения корректного стиля оформления приложений, использующих Qt5, и работы в них предлагаемой в LXQt реализации диалога открытия файлов, предоставлена возможность установки старых библиотек libqtxdg-3.12.0, lxqt-qtplugin-1.4.1 и libfm-qt-1.4.0, параллельно с их новыми версиями из LXQt 2.0.0, использующими Qt 6. Релиз эмулятора терминала QTerminal 2.0, переведённый на Qt6, будет опубликован позднее. До этого предлагается использовать версию QTerminal 1.4 на базе Qt5.

В новой версии также проведена адаптация окружения для использования протокола Wayland. В текущем виде не все компоненты LXQt переведены на Wayland и полная поддержка данного протокола ожидается в версии LXQt 2.1, запланированной на осень этого года. В версии LXQt 2.0.0 полноценная поддержка Wayland обеспечена в файловом менеджере PCManFM-Qt, системе уведомлений, рабочем столе, утилите для запуска программ (Runner), панели, интерфейсе выхода из системы, интерфейсе настройки LXQt и большинстве приложений. Пока не завершён перевод на Wayland панельных плагинов с реализацией панели задач, переключателя виртуальных рабочих столов и индикатора раскладки клавиатуры, а также утилиты для создания скриншотов, системы клавиатурных комбинаций и конфигураторов устройств ввода, монитора и блокировки экрана.

При этом отмечено, что вместо пока не портированных на Wayland компонентов можно использовать возможности, предоставляемые композитными серверами на базе Wayland, т.е. при должном навыке можно настроить полностью работающее окружение LXQt поверх Wayland. LXQt не привязан к отдельным композитным менеджерам и может использоваться с LabWC, WayFire, kwin_wayland, Sway, Hyprland и другими композитными менеджерами на базе Wayland, основанными на библиотеке wlroots и поддерживающими протокол "layer-shell".

Среди других изменений в LXQt 2.0.0:

  • В файловый менеджер PCManFM-Qt добавлена возможность использования прослойки layer-shell-qt6, позволяющей организовать функционирование рабочего стола в окружениях на базе Wayland без дополнительных хаков, реализующих совместимость с разными композитными менеджерами. Добавлены новые пиктограммы в меню. В библиотеке LibFM-Qt обновлена поддержка MIME-типов приложений LXQt Archiver и Arqiver.
  • По умолчанию предложено новое меню приложений "Fancy Menu", в котором помимо распределения приложений по категориям реализован режим сводного отображения всех приложений и добавлен список часто используемых приложений. Кроме того, в новом меню расширены возможности для поиска программ. Старое меню при желании можно вернуть в настройках.

  1. Главная ссылка к новости
  2. OpenNews: Рабочий стол LXQt признан полностью готовым для использования Wayland
  3. OpenNews: Опубликован план перевода LXQt на Qt6 и Wayland
  4. OpenNews: Релиз пользовательского окружения LXQt 1.4
  5. OpenNews: На базе Sway развивается порт пользовательского окружения LXQt, поддерживающий Wayland
  6. OpenNews: Релиз пользовательского окружения Sway 1.9, использующего Wayland
Обсуждение (119 +37) | Тип: Программы |


·17.04 Проект OpenBSD перешёл на использование формата PAX для tar-архивов (54 +5)
  В кодовую базу OpenBSD принято изменение, переводящее утилиту tar на использование по умолчанию формата PAX при создании архивов. Изменение войдёт в состав выпуска OpenBSD 7.6. Использование формата PAX даст возможность сохранять более длинные имена файлов, обрабатывать ссылки, использовать более точные сведения о времени и помещать в архив файлы очень большого размера.

Из минусов перехода на PAX упоминается увеличение размера несжатых архивов и ограниченная поддержка формата в экосистеме. Для возвращения старого поведения и сохранения архивов в формате TAR предлагается при вызове утилиты tar указывать опцию "-F ustar".

  1. Главная ссылка к новости
  2. OpenNews: Релиз GNU tar 1.33
  3. OpenNews: Разработчики OpenBSD экспериментируют с использованием Wayland
  4. OpenNews: Для OpenBSD реализована возможность использования рабочего стола KDE Plasma
  5. OpenNews: Выпуск OpenBSD 7.5
Обсуждение (54 +5) | Тип: К сведению |


·17.04 Попытки получения контроля над открытыми проектами, похожие на случай с пакетом xz (136 +45)
  Организация OpenSSF (Open Source Security Foundation), созданная под покровительством Linux Foundation для повышения безопасности открытого ПО, предупредила сообщество о выявлении активности, связанной с попытками получения контроля над популярными открытыми проектами, напоминающей по своему стилю действия злоумышленников в процессе подготовки к подстановке бэкдора в проект xz. По аналогии атакой на xz сомнительные личности, ранее глубоко не вовлечённые в разработку, пытались использовать методы социального инжиниринга для достижения своих целей.

Атакующие вступили в переписку с членами управляющего совета организации OpenJS Foundation, которая выступает нейтральной площадкой для совместной разработки открытых JavaScript-проектов, таких как Node.js, jQuery, Appium, Dojo, PEP, Mocha и webpack. В переписке, в которой принимало участие несколько сторонних разработчиков с сомнительной историей разработки открытого ПО, предпринимались попытки убедить руководство в необходимости обновить один из популярных JavaScript-проектов, курируемых организацией OpenJS.

В качестве причины обновления указывалось на необходимость добавления "защиты от любых критических уязвимостей". При этом никаких подробностей о сути уязвимостей не приводилось. Для реализации изменений подозрительный разработчик предложил включить его в число сопровождающих проект, в разработке которого он ранее принимал лишь небольшое участие. Кроме того, похожие подозрительные сценарии навязывания своего кода выявлены ещё в двух популярных JavaScript-проектах, не связанных с организацией OpenJS. Предполагается, что случаи не единичны и сопровождающим открытые проекты следует не терять бдительность при приёме кода и утверждении новых разработчиков.

Среди признаков, которые могут свидетельствовать о злонамеренной активности, упоминается доброжелательное, но в то же время агрессивное и настойчивое, приставание малоизвестных участников сообщества к сопровождающим или руководителям проектов с идеей продвижения своего кода или предоставления статуса сопровождающего. Внимание также следует обращать на появление группы поддержки вокруг продвигаемых идей, сформированной из вымышленных личностей, ранее не участвовавших в разработке или недавно присоединившихся в к сообществу.

При приёме изменений следует воспринимать как признаки потенциально вредоносных действий попытки включения в запросы на слияние бинарных данных (например, в xz бэкдор был передан в архивах для тестирования распаковщика) или запутанного или трудного для понимания кода. Следует обращать внимание на пробные попытки внесения изменений, незначительно снижающих безопасность, отправляемые для оценки реакции сообщества и проверки наличия лиц, отслеживающих изменения (например, в libarchive функцию Safe_fprintf было предложено заменить на fprintf). Подозрение также должны вызывать нетипичные изменения методов компиляции, сборки и развёртывания проекта, задействование сторонних артефактов и нагнетание ощущения необходимости срочного принятия изменений.

  1. Главная ссылка к новости
  2. OpenNews: Ретроспектива продвижения бэкдора в пакет xz
  3. OpenNews: Разбор логики активации и работы бэкдора в пакете xz
  4. OpenNews: В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock
  5. OpenNews: В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd
  6. OpenNews: Учреждён проект OpenSSF, сфокусированный на повышении безопасности открытого ПО
Обсуждение (136 +45) | Тип: Тема для размышления |


·17.04 Обновление Java SE, MySQL, VirtualBox, Solaris и других продуктов Oracle с устранением уязвимостей (11 +8)
  Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В апрельском обновлении в сумме устранена 441 уязвимость.

Некоторые проблемы:

  • 10 проблем с безопасностью в Java SE и 13 проблем в GraalVM. 8 уязвимостей в Java SE могут быть эксплуатированы удалённо без проведения аутентификации и затрагивают окружения, допускающие выполнение не заслуживающего доверия кода. Наиболее опасные проблемы в Java SE (уязвимость в JavaFX/WebKitGTK) и GraalVM (уязвимость в Node.js) имеют уровень опасности 7.5 из 10. Уязвимости устранены в выпусках Java SE 22.0.1, 21.0.3 и 17.0.11.
  • 26 уязвимостей в сервере MySQL, все из которых могут быть эксплуатированы удалённо. Наиболее серьёзная проблема имеет уровень опасности 6.5 и связана с уязвимостью в openSSL. Менее опасные уязвимости затрагивают оптимизатор, InnoDB, Thread Pooling, Group Replication Plugin, Audit Plugin, DML, mysqldump. Проблемы будут устранены в выпусках MySQL Community Server 8.4.0 и 8.0.38.
  • 13 уязвимостей в VirtualBox, 7 из которых помечены как опасные (у четырёх проблем уровень опасности 8.8 из 10, а у трёх - 7.8 из 10). Подробности об уязвимостях не раскрываются, но судя по выставленному уровню опасности, они позволяют получить доступ к хост-окружению из гостевых систем. Две уязвимости проявляются только на хостах с Linux и две - только на хостах с Windows. Одна из уязвимостей допускает удалённое совершение атаки по HTTP без прохождения аутентификации, но уровень опасности для данной проблемы выставлен в 5.9 из 10 из-за сложности эксплуатации. Уязвимости устранены в обновлении VirtualBox 7.0.16.
  • 3 уязвимости в Solaris, которые затрагивают технологию Solaris Zones и системные утилиты. Проблемам присвоены уровни опасности 8.2, 7.8 и 2.0. Уязвимости устранены в обновлении Solaris 11.4 SRU68. Кроме устранения уязвимостей в новой версии также обновлены версии пакетов Explorer 24.2, Node.js 18.19.1, BIND 9.18.24, libuv 1.48.0, sendmail 8.18.1, Unbound 1.19.1, Firefox 115.9.0esr, Thunderbird 115.9.0, library/nss, library/libtiff и kernel/arch-x86.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск VirtualBox 7.0.16 с устранением уязвимостей
  3. OpenNews: Обновление Java SE, MySQL, VirtualBox, Solaris и других продуктов Oracle с устранением уязвимостей
  4. OpenNews: Возможность генерации фиктивных подписей ECDSA в Java SE. Уязвимости в MySQL, VirtualBox и Solaris
  5. OpenNews: Релиз 19.3.0 виртуальной машины GraalVM и реализаций Python, JavaScript, Ruby и R на её основе
Обсуждение (11 +8) | Тип: Проблемы безопасности |


Следующая страница (раньше) >>



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру