opennet.ru. Страница 35

RCE-уязвимость в NPM-пакете JsonWebToken, насчитывающем 10 млн загрузок в неделю

В JavaScript-библиотеке JsonWebToken с реализацией технологии JSON Web Token (JWT) выявлена уязвимость (CVE-2022-23529), позволяющая добиться удалённого выполнения кода при верификации специально оформленного JWT-запроса. За последнюю неделю библиотека была загружена из каталога NPM более 10 млн раз. В качестве зависимости JsonWebToken задействован в более чем 22 тысячах пакетов, в которых используется для верификации и подписывания токенов JWT, применяемых для защищённой передачи информации в формате JSON. Уязвимость устранена в выпуске JsonWebToken 9.0.0.

В ходе аудита удалось подобрать 21% паролей сотрудников МВД США

Министерство внутренних дел США опубликовало результаты аудита надёжности паролей сотрудников ведомства. В ходе проверки 85944 хэшей паролей из базы пользователей в Active Directory удалось подобрать пароли для 18174 учётных записей (21% сотрудников), из которых 288 подобранных пароля были связаны с пользователями, имеющими повышенные привилегии, а 362 - с высокопоставленным госслужащими. В первые 90 минут удалось подобрать пароли 16% сотрудников.

Релиз Chrome 109 с поддержкой MathML

Компания Google представила релиз web-браузера Chrome 109. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей при поиске RLZ-параметров. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 110 запланирован на 7 февраля.

Открыты исходные тексты игры Duelyst

Компания Counterplay Games объявила об открытии исходных текстов игры Duelyst, сочетающей свойства карточной игры и пошаговой стратегии, в которой два игрока сражаются на тактическом поле боя, по очереди вытаскивая карты с существами и заклинаниями. Код написан на языке JavaScript и открыт как общественное достояние под лицензией CC0 1.0 (Creative Commons Zero v1.0 Universal).

В CPython появится возможность отключения глобальной блокировки интерпретатора

Опубликовано предложение по расширению языка Python - PEP-0703, в котором рассматривается добавление режима сборки CPython без глобальной блокировки интерпретатора (GIL, Global Interpreter Lock). Предложение сводится к оставлению по умолчанию GIL, но добавлению для его отключения сборочной опции "--without-gil". Спецификация пока находится на стадии черновика, подлежащего обсуждению.

Уязвимость в пакетном менеджере Cargo, применяемом в экосистеме Rust

В пакетном менеджере Cargo, применяемом для управления пакетами и сборки проектов на языке Rust, выявлена уязвимость (CVE-2022-46176), допускающая проведение MITM-атаки, позволяющей вклиниться в канал связи с сервером. Уязвимость вызвана отсутствием проверки хостового открытого ключа во время клонирования индексов и зависимостей по SSH, что позволяет перенаправить обращение на подставной сервер при наличии у атакующего возможности перехвата трафика (например, при контроле над беспроводной точкой доступа или компрометации домашнего/офисного маршрутизатора).

Выпуск стратегической игры FreeCol 1.0

После 20 лет разработки сформирован первый стабильный релиз пошаговой стратегической игры FreeCol 1.0. Игра продолжает развитие старой игры Colonization и предлагает игровой процесс по колонизации неосвоенных территорий и создании новых наций. Код написан на языке Java и распространяется под лицензией GPLv2.

Выпуск блокировщика рекламы Privaxy 0.5

Доступен выпуск Privaxy 0.5, прокси-сервера для блокирования рекламы и кода отслеживания перемещений между сайтами. Реализация блокировщика в форме отдельного прокси-сервера даёт возможность использовать его в качестве универсального решения, позволяющего фильтровать обращения не только из web-браузеров. Прокси также не зависит от ограничений браузеров, напирмер, накладываемых третьей версией манифеста Chrome, и обеспечивает более высокую производительность и низкие требования к ресурсам. Например, при загрузке 320 тысяч фильтров потребление памяти составляет 50 МБ и имеется возможность фильтрации тысяч запросов в секунду. Код проекта написан на языке Rust и распространяется под лицензией AGPLv3.

Проект Tilck развивает упрощённое Linux-совместимое ядро

В рамках проекта Tilck сотрудник VMware развивает монолитное ядро, фундаментально отличающееся от Linux, но спроектированное для совместимости с Linux на бинарном уровне и возможности запуска приложений, собранных для Linux. Код написан на языке Си и распространяется под лицензией BSD. На текущем этапе развития ядром поддерживается только архитектура x86, но код разработан с оглядкой универсальность и на реализацию поддержки других архитектур (специфичные для архитектур компоненты отделены от универсальных).

TTop - утилита мониторинга системы с поддержкой исторических данных

Опубликована утилита TTop, предназначенная для интерактивного мониторинга работы процессов в стиле программы top и примечательная возможностью просмотра прошлого состояния в соответствии с сохранёнными историческими данными (на экране отображается график изменения нагрузки (LA) и пользователь может оценить состояние процессов в выбранный момент, например, когда наблюдался пик нагрузки). Код утилиты написан на языке Nim и распространяется под лицензией MIT.

В X-сервере отключена обработка запросов от клиентов с иным порядком байтов

В кодовую базу сервера X.org и DDX-компонента Xwayland принято изменение, по умолчанию блокирующее подключение клиентов с систем, имеющих иной порядок байтов. В качестве причины называется наличие потенциальных проблем с безопасностью в коде преобразования порядка байтов, который недостаточно протестирован и может оказаться слабым местом при организации атак на систему. При этом на практике преобразование порядка байтов последнее время используется крайне редко, так как рабочие станции на которых запускается X-сервер, как правило, оснащены процессорами с порядком байтов little-endian (от младшего к старшему байту), и подключение к ним X-клиентов с порядком big-endian, таких как  платформа s390x (IBM zSystems), является большой редкостью.

С++ поднялся на 3 место в рейтинге языков программирования Tiobe

Компания TIOBE Software опубликовала январский рейтинг популярности языков программирования, в котором по сравнению с январём 2022 года выделяется перемещение языка С++ с четвёртого на третье место. Язык Java соответственно сместился с третьего на четвёртое место. Индекс популярности TIOBE строит свои выводы на основе анализа статистики поисковых запросов в таких системах, как Google, Google Blogs, Yahoo!, Wikipedia, MSN, YouTube, QQ, Sohu, Bing, Amazon и Baidu.

Обновление OpenWrt 22.03.3

Опубликовано обновление дистрибутива OpenWrt 22.03.3, ориентированного на применение в различных сетевых устройствах, таких как маршрутизаторы, коммутаторы и точки доступа. OpenWrt поддерживает множество различных платформ и архитектур и обладает системой сборки, позволяющей просто и удобно производить кросс-компиляцию, включая в состав сборки различные компоненты, что позволяет легко сформировать адаптированную под конкретные задачи готовую прошивку или образ диска с желаемым набором предустановленных пакетов. Сборки сформированы для 32 целевых платформ.

Выпуск встраиваемой СУБД libmdbx 0.12.3

Состоялся выпуск библиотеки libmdbx 0.12.3 (MDBX) с реализацией высокопроизводительной компактной встраиваемой базы данных класса ключ-значение. Код libmdbx распространяется под лицензией OpenLDAP Public License. Поддерживаются все актуальные операционные системы и архитектуры, а также российский Эльбрус 2000. Для libmdbx предлагается развитое C++ API, а также поддерживаемые энтузиастами привязки к языкам Rust, Haskell, Python, NodeJS, Ruby, Go, Nim, Deno, Scala.

Выпуск системы потокового видеовещания OBS Studio 29

Доступен выпуск OBS Studio 29, пакета для потокового вещания, композитинга и записи видео. Код написан на языках C/C++ и распространяется под лицензией GPLv2. Сборки сформированы для Linux, Windows и macOS.

Проект Valetudo развивает модификации прошивок для локального управления роботами-пылесосами

Опубликован выпуск проекта Valetudo 2023.01.0, предлагающего открытое решение для избавления роботов-пылесосов от привязки к облачным сервисам. Многие модели роботов-пылесосв поддерживают управление через мобильное приложений или сайт, но ценой подобной возможности является привязка к внешнему облачному сервису производителя. Valetudo развивает набор изменений для штатных прошивок, позволяющих заменить привязку к облаку на полностью подконтрольный пользователю интерфейс, не обращающийся к внешним хостам. Код интерфейса написан на JavaScript (серверная часть использует Node.js) и распространяется под лицензией Apache 2.0.

В пакетах, размещённых в PyPI, выявлено 57 забытых ключей доступа к AWS

Опубликованы результаты сканирования пакетов в репозитории PyPI (Python Package Index) на предмет наличия забытых в коде ключей доступа к Amazon Web Services (AWS). Провести проверку побудил прошлогодний инцидент с утечкой AWS-ключей компании InfoSys. Как оказалось случай не единичный и в коде представленных в PyPi пакетов удалось выявить ещё 57 действующих ключей, которые присутствовали среди прочего в проектах таких крупных компаний, как Amazon, Intel, Terradata, General Atomics, Top Glove и Delta Lake, а также в репозиториях австралийского правительства и университетов Сендфорда, Портланда и Луизианы.

Первый выпуск rolling-дистрибутива OpenMandriva Lx ROME

Проект OpenMandriva представил первый релиз новой редакции дистрибутива OpenMandriva Lx ROME (23.01), в которой используется модель непрерывной доставки обновлений (rolling-выпуски). Предложенная редакция позволяет получить доступ к новым версиям пакетов, развиваемым для ветки OpenMandriva Lx 5, не дожидаясь формирования классического релиза. Для загрузки подготовлены iso-образы размером 2.8 ГБ c рабочими столами KDE и GNOME, поддерживающие загрузку в Live-режиме.