opennet.ru. Страница 32

ФСТЭК РФ опубликовал рекомендации по обеспечению безопасной настройки Linux

Федеральная служба по техническому и экспортному контролю РФ разработала и утвердила методические рекомендации (PDF, 7 стр.) по повышению защищённости систем на базе ядра Linux. Рекомендации подлежат реализации в государственных информационных системах и на объектах критической информационной инфраструктуры РФ, построенных с использованием Linux, несертифицированных по требованиям безопасности информации.

Доступен WFB-ng 23.01, стек для организации связи с дронами при помощи карт Wi-Fi

Доступен выпуск проекта WFB-ng 23.01, развивающего программный стек для создания прямых каналов связи на большие расстояния при помощи обычных беспроводных карт. Типовым применением проекта является поддержание канала связи с дроном и передача видеопотока с закреплённых на нём камер. Наработки распространяются под лицензией GPLv3. Готовые системные сборки с Linux-окружением и WFB-ng формируются для плат Raspberry PI 3B (986 МБ).

В Си-библиотеке nolibc, входящей в состав ядра Linux, реализована поддержка сигналов

Для включения в состав ядра Linux предложены изменения, расширяющие возможности стандартной Си-библиотеки nolibc, входящей в состав исходных текстов ядра Linux (tools/include/nolibc). В случае принятия изменений библиотека будет расширена средствами для обработки сигналов, включающими функции sigaction() и signal().

Выпуск BSD-системы helloSystem 0.8, развиваемой автором AppImage

Симон Петер (Simon Peter), создатель формата самодостаточных пакетов AppImage, опубликовал выпуск дистрибутива helloSystem 0.8, основанного на FreeBSD 13 и позиционируемого как система для обычных пользователей, на которую могут перейти любители macOS, недовольные политикой Apple. Система лишена усложнений, свойственных современным Linux-дистрибутивам, находится под полным контролем пользователя и позволяет чувствовать себя комфортно бывшим пользователям macOS. Для ознакомления с дистрибутивом cформирован загрузочный образ, размером 941 МБ (torrent).

Создатель C++ раскритиковал навязывание безопасных языков программирования

Бьёрн Страуструп (Bjarne Stroustrup), создатель языка C++, опубликовал возражения против выводов, сделанных в отчёте АНБ, в котором организациям было рекомендовано отойти от использования языков программирования, таких как Си и Си++, перекладывающих управление памятью на разработчика, в пользу языков, таких как C#, Go, Java, Ruby, Rust и Swift, обеспечивающих автоматическое управление памятью или выполняющих проверки безопасной работы с памятью во время компиляции.

Google уволит 16% разработчиков ОС Fuchsia

Компания Google объявила о массовых сокращениях персонала, в результате которого под увольнение подпадает около 12 тысяч сотрудников, что составляет примерно 6% от всего персонала. Среди прочего, появились сведения, что под сокращение попадают около 400 работников, занимавшихся проектом Fuchsia, что соответствует примерно 16% от общего числа сотрудников, вовлечённых в работу над данной ОС.

Тестирование рабочего стола KDE Plasma 5.27

Доступна для тестирования бета-версия пользовательской оболочки Plasma 5.27. Протестировать новый выпуск можно через Live-сборку от проекта openSUSE и сборки от проекта KDE Neon Testing edition. Пакеты для различных дистрибутивов можно найти на данной странице. Релиз ожидается 14 февраля.

Уязвимость в libXpm, приводящая к выполнению кода

Опубликован корректирующий выпуск библиотеки libXpm 3.5.15, развиваемой проектом X.Org и применяемой для обработки файлов в формате XPM. В новой версии устранены три уязвимости, две из которых (CVE-2022-46285, CVE-2022-44617) приводят к зацикливанию при обработке специально оформленных файлов XPM. Третья уязвимость (CVE-2022-4883) позволяет запустить произвольные команды при выполнении приложений, использующих libXpm. При запуске связанных с libXpm привилегированных процессов, например, программ с флагом suid root, уязвимость даёт возможность поднять свои привилегии.

Выпуск дистрибутива ArchLabs 2023.01.20

Опубликован выпуск Linux-дистрибутива ArchLabs 2023.01.20, основанного на пакетной базе Arch Linux и поставляемого с легковесным пользовательским окружением на основе оконного менеджера Openbox (опционально доступны i3, Bspwm, Awesome, JWM, dk, dwm, Fluxbox, Xfce, Deepin, GNOME, Cinnamon, Sway). Для организации стационарной установки предлагается инсталлятор ABIF. В базовую поставку включены такие приложения, как Thunar, Termite, Geany, Firefox, Audacious, MPV и Skippy-XD. Размер установочного iso-образа 1 ГБ.

GitHub прекращает поддержку Subversion

GitHub объявил о решении прекратить поддержку системы управления версиями Subversion. Возможность работы с размещёнными в GitHub репозиториями через интерфейс централизованной системы контроля версий Subversion (svn.github.com) будет отключена 8 января 2024 года. До официального закрытия в конце 2023 года будет проведена серия тестовых отключений, вначале на несколько часов, а затем на целый день. В качестве причины прекращения поддержки Subversion упоминается желание избавиться от издержек на сопровождение лишних сервисов - бэкенд для работы с Subversion отмечен как выполнивший свою задачу и больше не востребованный разработчиками.

В OpenBSD для sshd применена перекомпоновка во время загрузки

В OpenBSD реализована техника защиты от эксплуатации уязвимостей, основанная на перекомпоновке исполняемого файла sshd со случайной перегруппировкой библиотек (libc.so, libcrypto и ld.so) при каждой загрузке системы. В ближайшее время подобную защиту также планируется реализовать для ntpd и других серверных приложений. Изменение уже включено в состав ветки CURRENT и будет предложено в выпуске OpenBSD 7.3.

В Ruby on Rails устранена уязвимость, допускающая подстановку SQL-кода

Опубликованы корректирующие обновления фреймворка Ruby on Rails 7.0.4.1, 6.1.7.1 и 6.0.6.1, в которых устранено 6 уязвимостей. Наиболее опасная уязвимость (CVE-2023-22794) может привести к выполнению заданных атакующим SQL-команд при использовании внешних данных в комментариях, обрабатываемых в ActiveRecord. Проблема вызвана отсутствием необходимого экранирования спецсимволов в комментариях перед их сохранением в СУБД.

Релиз http-сервера Apache 2.4.55 с устранением уязвимостей

Опубликован релиз HTTP-сервера Apache 2.4.55, в котором представлено 18 изменений и устранено 3 уязвимости:

Предложен метод эксплуатации разыменования NULL-указателей в ядре Linux

Исследователи из команды Google Project Zero разработали метод эксплуатации уязвимостей в ядре Linux, вызванных разыменованием указателей NULL. До сих пор проблемам в ядре, связанным с разыменованием указателей NULL, не уделялось должного внимания, так как доведение таких проблем до атак, приводящих к повышению привилегий или выполнению своего кода, считалось нереалистичным (непривилегированным процессам запрещён маппинг в нижней области адресного пространства). Как правило подобные ошибки приводят к генерации ядром oops-предупреждений, после которых проблемные задачи завершаются и состояние восстанавливается без необходимости остановки работы системы.

Уязвимость в API привела к утечке персональных данных 37 млн клиентов T-Mobile

Компания T-Mobile раскрыла сведения об инциденте, в результате которого злоумышленники смогли загрузить персональные данные 37 млн клиентов. Для совершения атаки использовались недоработки в реализации API, доступного без авторизации. Вредоносная активность была обнаружена 5 января, разбор показал, что извлечение данных производилось с 25 ноября 2022 года. В руки атакующих попали такие данные как ФИО, адрес, email, номер телефона, дата рождения, номер учётной записи в T-Mobile и сведения о тарифах и оказываемых услугах. Пароли, сведения о платежах и другие конфиденциальные данные не пострадали.

Опубликованы исходные тексты программного окружения компьютера Apple Lisa

Компания Apple разрешила Музею компьютерной истории опубликовать исходные тексты операционной системы Lisa OS, которая c 1983 по 1986 год использовалась в персональных компьютерах Apple Lisa. Дополнительно разрешена публикация и набора приложений для Lisa OS, таких как LisaWrite, LisaCalc, LisaDraw, LisaGraph, LisaProject, LisaList и LisaTerminal. Код опубликован (zip-архив 1.1 МБ) под лицензией CHM Software License Agreement.

Выпуск браузеров SeaMonkey 2.53.15 и Tor Browser 12.0.2

Состоялся выпуск набора интернет-приложений SeaMonkey 2.53.15, который объединяет в рамках одного продукта web-браузер, почтовый клиент, систему агрегации новостных лент (RSS/Atom) и WYSIWYG-редактор html-страниц Composer. В форме предустановленных дополнений предлагаются IRC-клиент Chatzilla, набор средств для web-разработчиков DOM Inspector и календарь-планировщик Lightning. В новый выпуск перенесены исправления и изменения из актуальной кодовой базы Firefox (SeaMonkey 2.53 основан на браузерном движке Firefox 60.8 с портированием связанных с безопасностью исправлений и некоторых улучшений из актуальных веток Firefox).

Выпуск pandoc 3.0, пакета для преобразования текстовой разметки

Доступен выпуск проекта pandoc 3.0, развивающего библиотеку и утилиту командной строки для преобразования форматов разметки текста. Поддерживается конвертация между более чем 50 форматами, включая docbook, docx, epub, fb2, html, latex, markdown, man, odt и различные wiki-форматы. Поддерживается подключение произвольных обработчиков и фильтров на языке Lua. Код написан на языке Haskell и распространяется под лицензией GPLv2.