Запись включается кнопкой в веб-интерфейсе и сохраняется в каталог VIDEO в виде файлов .ts с видео H.264. Устройство пишет тот же поток, который отдаёт зрителям, поэтому повторное кодирование не требуется: на плате Espressif ESP32-P4 Function EV при воспроизведении видео на целевой машине частота кадров во время записи осталась на уровне 21-22 в секунду без потерь. Файл .ts воспроизводится в VLC и mpv, а прерванный извлечением карты или отключением питания открывается до момента обрыва. Длинная запись делится на файлы по 10 минут и останавливается через час; оба значения настраиваются. Отдельной кнопкой сохраняется снимок экрана в формате JPEG в папку SCREENSHOTS, в том числе при работе кодека H.264: для снимка задействуется простаивающий аппаратный кодировщик JPEG.

Нажатия клавиш и щелчки мышью можно записывать в файл субтитров .srt рядом с видео - в виде строк "Typed: root", "Ctrl+Alt+Delete", "Left click (812, 440)". По умолчанию набранный текст заменяется точками, при необходимости он сохраняется полностью. Раскладка берётся из настроек целевой клавиатуры.

Добавлен режим видеорегистратора, работающий по тому же принципу, что автомобильный: устройство постоянно держит последние минуты экрана и сохраняет их вместе с последующими секундами, когда что-то происходит - экран становится однотонным (характерно для экрана аварийной остановки), появляется отслеживаемая фраза, гаснет индикатор питания ATX или оператор нажимает кнопку. Полученный ролик преобразуется в MP4 с главами по каждому событию, а при включённых уведомлениях отправляется в Telegram как воспроизводимое в чате видео.

Хранить прошлое можно двумя способами: в оперативной памяти PSRAM, где оно ничего не занимает на карте до наступления события, или на самой карте короткими фрагментами с удалением устаревших - второй способ работает и на платах с ревизией чипа до 3.0, где после запуска кодировщика H.264 свободной PSRAM остаётся около 3 МБ против 11 МБ на новых ревизиях.

Появился режим таймлапса: сохраняется один кадр раз в заданное число секунд, воспроизведение идёт со скоростью 25 кадров в секунду, поэтому час работы при интервале 10 секунд укладывается в 14 секунд видео. Записи и снимки собраны в отдельной панели интерфейса, откуда их можно скачать, удалить и воспроизвести без предварительной загрузки файла целиком: MP4 открывается штатным плеером браузера, а .ts разбирается на кадры в самой консоли и декодируется тем же декодером H.264, что и живая картинка, с перемоткой и показом субтитров. Для перемотки на стороне устройства реализована поддержка диапазонов HTTP.

Реализован поиск по тексту на экране. Во время записи устройство раз в три секунды читает экран как набор символов и сохраняет прочитанное в файл рядом с видео; в панели записей поиск по фразе показывает, когда она была на экране, и воспроизводит запись с этого момента. Читаются только экраны, нарисованные знакогенератором - BIOS, меню загрузки, программа установки, консоль.

Запись, ускоренную съёмку и снимок экрана можно запускать из сценариев устройства ("record 300", "timelapse 60", "screenshot") и из Home Assistant, где для этого есть переключатель и кнопки. Часы устройства теперь синхронизируются по NTP, а часовой пояс выбирается из списка городов в настройках - раньше он хранился в разделе, который интерфейс не показывал.

Другие изменения в выпусках, вышедших после 0.45.0:

• 0.46. Добавлены сборки для плат VIEWE ESP32-P4-Pi и Waveshare ESP32-P4-NANO-WIFI6-DB. Прошивка стала собираться с оптимизацией -O2, мелкие выделения памяти перенесены в PSRAM, а зависшая задача теперь приводит к перезагрузке с сохранением дампа.
• 0.47. Появились сценарии (runbooks) - макросы, которые умеют ждать появления или исчезновения фразы на текстовом экране и выполняются на самом устройстве при закрытом браузере; принимаются скрипты в формате DuckyScript. Добавлены планировщик с синтаксисом cron и уведомления в Telegram (со снимком экрана) или на webhook.
• 0.48. Карта microSD и модуль WiFi заработали одновременно - раньше оба использовали один слот SDMMC.
• 0.49. Карта microSD на платах Function EV и Waveshare ESP32-P4-ETH заработала на частоте шины 40 МГц вместо 4 (чтение около 9 МБ/с, запись около 4 МБ/с): не было включено питание линий слота от встроенного стабилизатора. Загрузка образа через веб-интерфейс ускорена примерно в 50 раз, до 3,5 МБ/с по Ethernet. Добавлен режим клавиатуры для старых BIOS - целевая машина видит единственное устройство на скорости USB 1.1, без мыши и накопителя. Устройство сообщает, если режим HDMI превышает пропускную способность двух линий MIPI CSI.
• 0.49.1. Чтение виртуального накопителя целевой машиной ускорено с 5,6 до 9 МБ/с за счёт чтения с карты блоками по 256 КБ. Смена образа стала видна целевой машине без переподключения USB.
• 0.50. Карту microSD можно менять на работающем устройстве, в том числе выдернув её в середине копирования: слот проверяется каждые пять секунд. Исправлена задержка в MJPEG, из-за которой на неподвижном экране браузер показывал кадр, предшествующий последнему нажатию клавиши.

1. OpenNews: Выпуск ESP-KVM 0.45.0, открытой прошивки IP-KVM на базе ESP32-P4
2. OpenNews: Pi-KVM - проект открытого KVM-коммутатора на Raspberry Pi
3. OpenNews: Опубликован программный KVM-переключатель Input Leap 3.0.0

PeerTube даёт возможность запустить собственный сервер для распространения видео и подключить его к общей федеративной сети. Посетители участвуют в доставке контента и имеют возможность подписки на каналы и получения уведомлений о новых видео, независимо от того, какой именно сервер они используют. Федеративная сеть PeerTube образуется как содружество связанных между собой небольших серверов хостинга видео, на каждом из которых имеется свой администратор и приняты свои правила.

Для взаимодействия серверов в федеративной сети применяется протокол ActivityPub. Идентификатор пользователя формируются как "@имя_пользователя@домен_сервера". При просмотре видео данные по возможности загружаются через обращение к браузерам других посетителей, просматривающих тот же контент. Если запрошенное видео никто не просматривает, отдача организуется сервером, на который загружено видео (используется протокол WebSeed).

Помимо распределения трафика между пользователями, просматривающими видео, PeerTube позволяет серверам кэшировать видео других авторов. Таким образом формируется распределённая сеть не только из клиентов, но и из серверов, а также обеспечивается отказоустойчивость. Кроме распространения готового видео имеется поддержка потокового вещания (live streaming) с доставкой контента в режиме P2P. Для управления стримингом могут использоваться типовые программы, такие как OBS.

Для начала вещания через PeerTube пользователю необходимо загрузить на один из серверов видеоролик, описание и набор тегов. После этого ролик станет доступен во всей федеративной сети, а не только на сервере первичной загрузки. Для работы с PeerTube и участия в распространении контента достаточно обычного браузера. Распространять видео с использованием P2P-коммуникаций можно добавив на свой сайт специальный виджет со встроенным web-плеером, по аналогии с тем как на страницы встраиваются ролики с YouTube. Отслеживать появление видео можно через подписку на выбранные видеоканалы в федеративных социальных сетях (например, в Mastodon и Pleroma) или через RSS.

В настоящее время в федеративную сеть входит 1779 серверов, поддерживаемых добровольцами и организациями. Если пользователя не устраивают правила размещения видео на определённом сервере PeerTube, он может подключиться к другому серверу или запустить свой собственный сервер. Для быстрого развёртывания сервера предоставляется преднастроенный образ в формате Docker (chocobozzz/peertube).

Изначально платформа PeerTube основывалась на применении BitTorrent-клиента WebTorrent, запускаемого в браузере и использующего технологию WebRTC для организации прямого P2P-канала связи между браузерами. Позднее вместо WebTorrent был задействован протокол HLS (HTTP Live Streaming) в связке с WebRTC, позволяющий адаптивно управлять потоком в зависимости от полосы пропускания. Web-интерфейс построен с использованием фреймворка Angular.

Основные новшества PeerTube 8.3:

• Добавлена поддержка подписки на внешние списки блокировок для автоматического игнорирования платформ или учётных записей.
• Администраторам предоставлена возможность открытия публичного доступа к своим спискам блокировки.
• Реализована автоматическая модерация на основе списков слов. По аналогии с платформой Bluesky, видео и комментарии, содержащие слова из списка, снабжаются тегами, которые могут применяться для блокировки.
• Добавлена возможность подписки на внешние списки слов для отслеживания видео и комментариев при модерации.
• Добавлена отправка на email уведомлений о необычной активности при входе (например, при подключении с нового устройства).
• Добавлена поддержка массовых действий с видео, например, для добавления сразу нескольких видео в список воспроизведения или изменения параметров у группы видео.
• На странице управления каналом реализована вкладка для публикации ленты подкастов в сервисах Apple Podcasts и Podcast Index.
• При локальном поиске теперь индексируется первые 1000 символов из описания видео.
• Улучшен виджет для перевода речи в текст, в котором теперь постоянно показывается поле поиска, приостанавливается прокрутка при ручном перемещении по тексту и появилась кнопка "Синхронизировать с видео", позволяющая перейти к тексту воспроизводимой позиции.

1. OpenNews: Релиз децентрализованной видеовещательной платформы PeerTube 8.0

Проект придерживается классической организации интерфейса, без перехода к интегрированным в Firefox 29 и 57 интерфейсам Australis и Photon, и с предоставлением широких возможностей кастомизации. Из удалённых компонентов можно отметить DRM, Social API, WebRTC, PDF-просмотрщик, Сrash Reporter, код для сбора статистики, средства для родительского контроля и людей с ограниченными возможностями. По сравнению с Firefox, в браузер возвращена поддержка расширений, использующих XUL, и сохранена возможность применения как полноценных, так и легковесных тем оформления.

Основные изменения:

• Включены по умолчанию прослойки для обеспечения совместимости с API Document.elementFromPoint, GetAnimations, image.decode(), Intl.DisplayNames, Intl.ListFormat, Intl.RelativeTimeFormat и Streams.
• В CSS реализованы ключевое слово revert-layer и псевдо-класс ":has()".
• В объекте CSSStyleSheet реализован метод replaceSync.
• Добавлено свойство adoptedStyleSheets.
• В режиме совместимости с Firefox по умолчанию выставлена версия 140.
• Улучшена поддержка архитектур LoongArch64 и Mac/PPC.
• Для Linux и FreeBSD добавлена опция для сборки поддержки NPAPI без GTK2.
• На платформе Linux повышена производительность набора данных в формах на некоторых сложных страницах.

1. OpenNews: Выпуск браузера Pale Moon 34.0.0

Целью miracle-wm является создание композитного сервера, применяющего мозаичное управление окнами, но более функционального и стильного, чем такие продукты, как Swayfx. При этом проект позволяет использовать и классические приёмы работы с плавающими окнами, например, можно размещать отдельные окна поверх мозаичной сетки или закреплять окна к определённому месту на рабочем столе. Поддерживается виртуальные рабочие столы с возможностью выставления для каждого рабочего стола своего режима работы с окнами по умолчанию (мозаичная компоновка или плавающие окна).

Предполагается, что miracle-wm может оказаться полезным пользователям, которые отдают предпочтение мозаичной компоновке, но желают получить визуальные эффекты и более яркое графическое оформление с плавными переходами и цветами. Конфигурация определяется в формате YAML. Для установки miracle-wm можно использовать команду "sudo snap install miracle-wm --classic".

Основные изменения:

• Добавлен обзорный режим, упрощающий переключение между окнами и виртуальными рабочими столами. Вызывается одинарными или двойным нажатием клавиши Menu.
  
  
• Добавлена возможность привлечь внимание пользователя к неактивному окну, не переключая при этом фокус ввода с активного окна. Например, при поступлении нового сообщения в почтовом клиенте, он может запросить переключение фокуса, после чего miracle выставит окну и виртуальному рабочему столу флаг urgent, который может подхватить панель задач для вывода соответствующего индикатора.
• В плагинах реализована возможность отправки IPC-событий и обработки IPC-команд.
• Добавлена настройка background_color для задания цвета, применяемого для очистки содержимого.
• В IPC добавлена команда GET_KEYBINDS для определения всех действий, привязанных к комбинациям клавиш.
• Задействованы Wayland-протоколы:
  • ext_image_copy_capture_manager_v1 и ext_output_image_capture_source_manager_v1 для организация захвата контента, выводимого на экран.
  • ext_foreign_toplevel_list_v1 для получение информации о поверхностях, размещённых на самом верхнем уровне (toplevel), которые позволяют организовать закрепление окон поверх другого содержимого, например, для подключения собственных панелей и переключателей окон.
  • ext_data_control_manager_v1 для управления обработкой данных, например, для реализации менеджеров буфера обмена.
  • ext_input_trigger_action_manager_v1 и ext_input_trigger_registration_manager_v1 - для обработки глобальных горячих клавиш, кликов мышью и событий сенсорного экрана.
• Дисплейный сервер Mir обновлён до версии 2.29.

1. OpenNews: Выпуск miracle-wm 0.10, композитного менеджера на базе Wayland и Mir
2. OpenNews: Выпуск композитного сервера Niri 26.04, использующего Wayland
3. OpenNews: Выпуск композитного сервера Hyprland 0.56
4. OpenNews: Выпуск композитного сервера Wayfire 0.11
5. OpenNews: Второй тестовый выпуск композитного сервера Xfwl4 от проекта Xfce

Некоторые проблемы:

• 19 уязвимостей в VirtualBox. Самой серьёзной проблеме (CVE-2026-87273) присвоен уровень опасности 8.6 из 10, ещё 5 проблемам, из которых 4 специфичны для Windows, присвоен уровень 7.8 из 10. Судя по уровню опасности указанные уязвимости позволяют получить доступ к хост-окружению из гостевой системы. Проблемы устранены в выпуске VirtualBox 7.2.18.
• В числе продуктов Oracle Communications отмечена одна локально эксплуатируемая уязвимость в сервере MySQL, имеющая уровень опасности 6.5 из 10.
• Из связанных с Java SE проблем отмечены три уязвимости в виртуальной машине GraalVM, эксплуатируемые удалённо по HTTP (уровень опасности 8.1 из 10).
• В Solaris проблем в отчёте не отмечено и корректирующие выпуски не сформированы.

1. OpenNews: Выпуск VirtualBox 7.2.18
2. OpenNews: Oracle опубликовал бесплатную редакцию Solaris 11.4.90 CBE
3. OpenNews: Уязвимости в MySQL, VirtualBox, Solaris и других продуктах Oracle
4. OpenNews: 1434 уязвимости в продуктах Oracle, 82 из которых затрагивают Java, MySQL, VirtualBox и Solaris

Не связанные с безопасностью изменения:

• В дополнениях для гостевых систем и хост-окружений с Linux реализована поддержка пакета с ядром из дистрибутива RHEL 10.3.
• В дополнениях для гостевых систем с Linux решены проблемы со сборкой на системах с ядром Linux 6.12.103.
• В дополнениях для хост-окружений с Linux решены проблемы со сборкой в RHEL 9.8 и на системах с ядром Linux 7.3-rc, а также на системах с CPU AMD, не имеющих поддержки механизма оптимизации обработки системных вызовов Intel FRED (Flexible Return and Event Delivery).
• Устранено аварийное завершение Windows 11 на платформах ARM при восстановлении гостевой системы из сохранённого состояния.
• Исправлено повреждение данных в VDI-образах, возникавшее при повторном открытии образа после записи в него заполненных нулями блоков.
• Устранено аварийное завершение виртуальной машины, проявлявшееся в хост-окружениях с Linux при включённом 3D-ускорении.
• В реализации совместного буфер обмена (Shared Clipboard) исправлена ошибка, из-за которой при копировании пропадал первый символ в именах файлов, находящихся в корне файловой системы.

1. OpenNews: Выпуск VirtualBox 7.2.16
2. OpenNews: 1434 уязвимости в продуктах Oracle, 82 из которых затрагивают Java, MySQL, VirtualBox и Solaris
3. OpenNews: Выпуск VirtualBox 7.2.14
4. OpenNews: Релиз системы виртуализации VirtualBox 7.2

В новом выпуске устранена уязвимость (CVE-2026-90439) в модуле ngx_http_v3_module, приводящая к переполнению буфера при манипуляции с параметрами на этапе согласования TLS-соединения. Утверждается, что атакующий не может контролировать данные, записываемые в область вне буфера, и уязвимость ограничивается отказом в обслуживании или повреждением данных. Проблема проявляется начиная с выпуска nginx 1.29.2 в конфигурациях, собранных с OpenSSL 3.5.0 и более ранними выпусками.

Из других изменений упоминается исправление ошибок и переход к игнорированию всех параметров транспортного протокола QUIC, полученных в процессе установки TLS-соединения.

1. OpenNews: Выпуск nginx 1.31.5 и njs 1.0.1
2. OpenNews: Выпуск nginx 1.31.4
3. OpenNews: Обновление nginx 1.31.3 с устранением RCE-уязвимости
4. OpenNews: Обновление nginx 1.31.2 с устранением уязвимостей, эксплуатируемых через HTTP/3, HTTP2 и gRPC
5. OpenNews: В nginx выявлена вторая за 10 дней удалённо эксплуатируемая уязвимость

Ключевым изменением в версии 0.2.6 стало появление официальных .deb-пакетов для дистрибутивов Debian 12/13 и Ubuntu 24.04/26.04 (ранее пользователям приходилось устанавливать утилиту через pip и вручную выполнять привилегированные скрипты для настройки политик D-Bus). Улучшена совместимость с композитными серверами на базе протокола Wayland, такими как Hyprland и Sway, а также десктоп-окружениями KDE и GNOME. Реализовано автоматическое подстраивание интерфейса системного трея под системную локаль (поддерживаются русский, английский, чешский и другие языки).

Проект оптимизирован для минимального потребления ресурсов и развивает несколько собственных утилит: интерфейс для установки приложений DietPi-Software, конфигуратор DietPi-Config, система резервного копирования DietPi-Backup, механизм ведения временных логов DietPi-Ramlog (также поддерживается rsyslog), интерфейс для установки приоритетов выполнения процессов DietPi-Services и система доставки обновлений DietPi-Update. Утилиты предоставляют консольный интерфейс пользователя с меню и диалогами на базе whiptail. Поддерживается режим полной автоматизации установки, позволяющий провести инсталляцию на платы без участия пользователя.

Среди изменений:

• Добавлена поддержка запуска изолированных контейнеров с поддержкой виртуальной сети, позволяющей запускать внутри сетевые сервисы (по умолчанию предустановлен SSH-сервер).
• Добавлена поддержка запуска виртуальных машин, собранных для архитектуры ARMv8.
• Добавлена поддержка одноплатных ПК EmbedFire на базе SoC Rockchip RK3588S.
• В репозиторий добавлены приложение домашней инвентаризации HomeBox и платформа организации видеонаблюдения Scrypted.
• Добавлен новый инструментарий настройки сети dietpi-network, позволяющий настраивать одновременно несколько Ethernet- и WiFi-сетей, а также применять сложные конфигурации с трансляторами адресов, сетевыми мостами и WiFi-to-WiFi hotspot-ами.
• Для плат на базе чипов Allwinner в состав включены драйверы для DVB-адаптеров с интерфейсом USB.

1. OpenNews: Обновление дистрибутива для одноплатных ПК DietPi 10.6
2. OpenNews: Выпуск Armbian 26.2 и DietPi 10.1, дистрибутивов для одноплатных компьютеров
3. OpenNews: Опубликован postmarketOS 26.06, Linux-дистрибутив для смартфонов и мобильных устройств
4. OpenNews: Обновление OpenWrt 25.12.5
5. OpenNews: Опубликован Armbian 26.8, дистрибутив для одноплатных компьютеров

Ключевые новшества:

• В утилиту env добавлена опция "--env0-from=FILE" для загрузки списка устанавливаемых переменных окружения из файла, которую также можно использовать для фильтрации имеющихся переменных окружения командой типа "env -i --env0-from=<( env -0 | sed -z ... )". Для сохранения состояния переменных окружения в файл может применяться утилита printenv.

  В командах 'env', 'printenv', 'stat', 'basename', 'dirname', 'du', 'readlink' и 'realpath' при выводе на терминал теперь применяется экранирование спецсимволов, соответствующие стилю, заданному через переменную окружения QUOTING_STYLE (%N, %Qn или %n). Экранирование добавлено для защиты от манипуляции содержимым и состоянием терминала через подстановку спецсимволов.

• В утилитах 'df', 'du', 'ls', 'od', 'pr' и 'sort' реализовано экранирование проблемных опций в сообщениях об ошибках.
• В команде 'ls -m' обеспечено экранирование запятых в именах файлов.
• Утилиты 'chcon', 'chgrp', 'chmod', 'chown', 'du' и 'ls' при выполнении рекурсивных операций с использованием опции "-R" больше не завершаются ошибкой в случае параллельного удаления файлов в обрабатываемых каталогах.
• В утилите sort проведена оптимизация потребления памяти и выполнения параллельных операций при чтении данных, размер которых заранее не известен, например, при передаче данных через неименованные каналы.
• Проведена оптимизация определения начала строки в команде 'cut -w', позволившая до 4 раз повысить пропускную способность при использовании локалей с многобайтовыми кодировками.
• До 2.5 раз ускорена работа команды 'uniq -c' на системах с функциями stdio без блокировок.
• Добавлена сборочная опция '--with-wtmpdb' при которой в случае запуска команд 'who /var/log/wtmp' и 'users /var/log/wtmp' используется БД в формате wtmpdb вместо файла /var/log/wtmp.

1. OpenNews: Ubuntu 26.10 полностью переведён на Rust Coreutils
2. OpenNews: Выпуск uutils 0.11, варианта GNU Coreutils на языке Rust
3. OpenNews: Microsoft представил Coreutils для Windows, эмулятор терминала Intelligent Terminal и контейнеры в WSL
4. OpenNews: Выпуск GNU Coreutils 9.11

• 5.10.270: 798
• 5.15.221: 935
• 6.1.188: 1191
• 6.6.157: 1424
• 6.12.110: 1376
• 6.18.52: 1518
• 7.2.6 : 1815

1. OpenNews: Запрет на приём AI-патчей в раздел drivers/staging ядра Linux
2. OpenNews: 432 отчёта об уязвимостях в ядре Linux. Локальная root-уязвимость Frag Gap
3. OpenNews: Ядро Linux оказалось на первом месте по числу CVE-идентификаторов уязвимостей
4. OpenNews: Грег Кроа-Хартман рассказал о том, как Rust может помочь в борьбе с ошибками в ядре Linux
5. OpenNews: На kernel.org по ошибке удалили со всех зеркал архивы с кодом ядра

Проект Nitter развивает свободный (GPLv3) фронтенд для доступа к X.com без навязывания JavaScript, аналитики, трекеров и сторонних сервисов, возвращён из архивного режима. Работа Nitter была остановлена в конце августа после получения от компании X Corp уведомления с требованием прекращения незаконной деятельности (cease and desist) под угрозой предъявления судебного иска. В уведомлении утверждалось, что сервисы нарушают специфичные для отдельных штатов и федеральные законы США, включая, принятый в Техасе Закон о вредоносном доступе к компьютерам (§ 143.001 и § 33.02) и Закон Лэнхема о товарных знаках (15 U.S.C. §§ 1114, 1125)». Разработчикам Nitter вменялось незаконное обращение к API X.com и связанными с ними данными, а также получение доступа к учётным записям X и токенам сессий в нарушение правил сервиса.

1. OpenNews: Nitter и XCancel возобновили работу после консультации с юристами
2. OpenNews: Nitter и XCancel прекратили работу из-за угрозы судебного иска
3. OpenNews: Прекращение существования Nitter, свободного альтернативного фронтенда к Twitter
4. OpenNews: nitter.net - свободная замена GUI Twitter

Серверная live-сборка и образ для установки по сети, а также сборки для других архитектур, остаются доступны для загрузки. До публикации исправленной сборки пользователям предлагается загрузить выпуск Ubuntu 24.04.4, после чего доустановить накопившиеся обновления.

Дополнение: Вместо отозванного образа опубликовано обновление Ubuntu 24.04.5.1.

1. OpenNews: Выпуск Ubuntu 24.04.5 LTS c обновлением графического стека и ядра Linux
2. OpenNews: Обновление дистрибутива Ubuntu 26.04.1 LTS

Пакет rust-coreutils изначально был включён по умолчанию в выпуске Ubuntu 25.10, но в LTS-ветке Ubuntu 26.04 был совершён откат на поставку утилит cp, mv и rm из набора GNU Coreutils. Варианты cp, mv и rm были возвращены из-за проблем с безопасностью, выявленных в ходе аудита кодовой базы Rust Coreutils. Большая часть уязвимостей в Rust Coreutils вызвано наличием состояния гонки, позволяющим изменить данные в момент после проверки корректности информации, но до выполнения операции с ними (TOCTOU - Time-Of-Check-To-Time-Of-Use). Среди прочего, подобные уязвимости позволяют подменить файл на символическую ссылку в момент между завершением проверки и началом выполнения операции.

В контексте использования утилит cp, mv и rm в системных скриптах, запускаемых с правами root, подстановка символической ссылки даёт возможность скопировать, перезаписать или удалить произвольные файлы. Например, при рекурсивном удалении каталогов утилита rm вначале проверяла все каталоги, а затем последовательно удаляла их в обратном порядке, вызывая функцию rmdir(). Если подменить родительский каталог на символическую ссылку сразу после проверки этого каталога, но до проверки вложенных в него дочерних каталогов, можно добиться удаления любого каталога в системе при ежедневном запуске из cron скрипта /etc/cron.daily/apport, который работая с правами root рекурсивно удаляет содержимое каталога /var/crash, доступного на запись всем пользователям в системе.

1. OpenNews: Инцидент с подстановкой непристойных выражений в инсталлятор Ubuntu 23.10
2. OpenNews: Возвращение в Ubuntu утилиты cp из Rust Coreutils привело к сбою при сборке livecd-rootfs
3. OpenNews: В Rust Coreutils выявлено 113 уязвимостей. В Ubuntu 26.04 возвращены cp, mv и rm из GNU Coreutils
4. OpenNews: В Ubuntu 25.10 решено заменить GNU Coreutils на uutils, написанные на Rust
5. OpenNews: Компания Canonical представила проект по разработке транслятора с Си на Rust

В новой версии устранена уязвимость (CVE не назначен), вызванная небезопасной работой с каталогом с временными файлами - вместо вызова функции mkdtemp для создания уникальной временной директории, в BTFS использовались директории с предсказуемыми именами (/tmp/btfs/хэш_от_торрента), а при создании новой директории игнорировалось возвращение функцией mkdir() ошибки EEXIST. Атакующий мог заранее создать символическую ссылку с нужным именем и организовать перезапись произвольных файлов в системе.

1. OpenNews: Релиз ratarmount 1.0.0, утилиты для монтирования архивов как файловых систем
2. OpenNews: Представлен torrent-клиент distribyted, позволяющий монтировать торренты в ФС
3. OpenNews: Эксперимент с использованием SQLite в качестве контейнера для архивирования файлов