opennet.ru. Страница 73

Атака на Node.js через манипуляции с прототипами объектов JavaScript

Исследователи Центра Гельмгольца по информационной безопасности (CISPA) и Королевского технологического института (Швеция) проанализировали применимость техники засорения прототипа объектов JavaScript ("prototype pollution") для создания атак на платформу Node.js и популярные приложения на её основе, приводящих к выполнению кода.

В Fedora Linux 37 намечено прекращение поддержки spin-сборок Robotics, Games и Security

Бен Коттон (Ben Cotton), занимающий в компании Red Hat должность Fedora Program Manager, объявил о намерении прекратить формирование альтернативных live-сборок дистрибутива - Robotics Spin (окружение с приложениями и симуляторами для разработчиков роботов), Games Spin (окружение с подборкой игр) и Security Spin (окружения с набором инструментов для проверки безопасности), из-за прекращения выхода на связь сопровождающих или нежелания сопровождающих продолжить разработку. В случае если появятся желающие взять сопровождение указанных сборок в свои руки, их поставка будет продолжена (в настоящее время уже нашлись претенденты, готовые продолжить сопровождение редакций Security и Games).

Обновление свободного антивирусного пакета ClamAV 0.103.7, 0.104.4 и 0.105.1

Компания Cisco опубликовала новые выпуски свободного антивирусного пакета ClamAV 0.105.1, 0.104.4 и 0.103.7. Напомним, что проект перешёл в руки Cisco в 2013 году после покупки компании Sourcefire, развивающей ClamAV и Snort. Код проекта распространяется под лицензией GPLv2. Выпуск 0.104.4 станет последним обновлением в ветке 0.104, а ветка 0.103 отнесена к категории LTS и будет сопровождаться до сентября 2023 года.

Выпуск пакетного менеджера NPM 8.15 с поддержкой локальной проверки целостности пакетов

Компания GitHub представила выпуск пакетного менеджера NPM 8.15, входящего в поставку Node.js и применяемого для распространения модулей на языке JavaScript. Отмечается, что ежедневно через NPM загружается более 5 миллиардов пакетов.

Проект OpenMandriva начал тестирование rolling-дистрибутива OpenMandriva Lx ROME

Разработчики проекта OpenMandriva представили предварительный выпуск новой редакции дистрибутива OpenMandriva Lx ROME, в которой используется модель непрерывной доставки обновлений (rolling-выпуски). Предложенная редакция позволяет получить доступ к новым версиям пакетов, развиваемым для ветки OpenMandriva Lx 5.0. Для загрузки подготовлен iso-образ размером 2.6 ГБ c рабочим столом KDE, поддерживающий загрузку в Live-режиме.

Выпуск Tor Browser 11.5.1 и дистрибутива Tails 5.3

Сформирован релиз специализированного дистрибутива Tails 5.3 (The Amnesic Incognito Live System), основанного на пакетной базе Debian и предназначенного для анонимного выхода в сеть. Анонимный выход в Tails обеспечивается системой Tor. Все соединения, кроме трафика через сеть Tor, по умолчанию блокируются пакетным фильтром. Для хранения пользовательских данных в режиме сохранения пользовательских данных между запусками применяется шифрование. Для загрузки подготовлен iso-образ, способный работать в Live-режиме, размером 1 ГБ.

Релиз Firefox 103

Состоялся релиз web-браузера Firefox 103. Кроме того, сформированы обновления веток с длительным сроком поддержки - 91.12.0 и 102.1.0. На стадию бета-тестирования в ближайшие часы будет переведена ветка Firefox 104, релиз которой намечен на 23 августа.

Автор панели Latte Dock объявил о прекращении работы над проектом

Майкл Вурлакос (Michail Vourlakos) объявил о прекращении участия в разработки проекта Latte Dock, развивающего альтернативную панель управления задачами для KDE. В качестве причины называется нехватка свободного времени и потеря интереса к дальнейшей работе над проектом. Майкл планировал покинуть проект и передать сопровождение в другие руки после релиза 0.11, но в конце концов решил уйти раньше. Пока не ясно сможет ли кто-то подхватить разработку - Майклом вносилось подавляющее число изменений. В списке изменений отмечается активность ещё нескольких человек, но их вклад незначителен и ограничен отдельными исправлениями.

Выпуск пользовательского окружения CDE 2.5.0

Состоялся релиз классического промышленного окружения рабочего стола CDE 2.5.0 (Common Desktop Environment). CDE был разработан в начале девяностых годов прошлого века совместными усилиями компаний Sun Microsystems, HP, IBM, DEC, SCO, Fujitsu и Hitachi, и на протяжении многих лет выступал в роли штатного графического окружения Solaris, HP-UX, IBM AIX, Digital UNIX и UnixWare. В 2012 году код CDE был открыт консорциумом The Open Group кода CDE 2.1 под лицензией LGPL.

Debian захватил домен debian.community, на котором публиковалась критика проекта

Проект Debian, некоммерческая организация SPI (Software in the Public Interest) и организация Debian.ch, представляющая интересы Debian в Швейцарии, выиграли разбирательство во Всемирной организации интеллектуальной собственности (WIPO), связанное с доменом debian.community, на котором вёлся блог с критикой проекта и его участников.

В Fedora намерены запретить поставку ПО, распространяемого под лицензией CC0

Ричард Фонтана (Richard Fontana), один из авторов лицензии GPLv3, работающий консультантом по открытым лицензиям и патентам в компании Red Hat, объявил о планах по внесению изменений в правила проекта Fedora, запрещающих включение в репозитории программного обеспечения, поставляемого под лицензией Creative Commons CC0. Лицензия CC0 подразумевает отказ автора от своих прав и распространение как общественного достояния, что позволяет распространять, изменять и копировать ПО без каких-либо условий в любых целях.

Выпуск языка программирования Crystal 1.5

Опубликован релиз языка программирования Crystal 1.5, разработчики которого пытаются совместить удобство разработки на языке Ruby с высокой производительностью приложений, свойственной языку Си. Синтаксис Crystal близок к языку Ruby, но не полностью совместим с ним, несмотря на то, что без переработки выполняются некоторые ruby-программы. Код компилятора написан на языке Crystal и распространяется под лицензией Apache 2.0.

Выпуск D-Installer 0.4, нового инсталлятора для openSUSE и SUSE

Разработчики инсталлятора YaST, применяемого в openSUSE и SUSE Linux, опубликовали обновление экспериментального инсталлятора D-Installer 0.4, поддерживающего управление установкой через web-интерфейс. Одновременно подготовлены установочные образы, предназначенные для ознакомления с возможностями D-Installer и предоставляющие средства для установки непрерывно обновляемой редакции openSUSE Tumbleweed, а также релизов Leap 15.4 и Leap Micro 5.2.

Уязвимости в web-фреймворке Grails и Ruby-модуле TZInfo

В web-фреймворке Grails, предназначенном для разработки web-приложений в соответствии с парадигмой MVC на Java, Groovy и на других языках для JVM, выявлена уязвимость, позволяющая удалённо выполнить свой код в окружении, в котором выполняется web-приложение. Эксплуатация уязвимости производится через отправку специально оформленного запроса, предоставляющего атакующему доступ к ClassLoader. Проблема вызвана недоработкой в логике привязки данных (data-binding), которая используется как при создании объектов, так и при ручной привязке при помощи bindData. Проблема устранена в выпусках 3.3.15, 4.1.1, 5.1.9 и 5.2.1.

Выпуск модуля LKRG 0.9.4 для защиты от эксплуатации уязвимостей в ядре Linux

Проект Openwall опубликовал выпуск модуля ядра LKRG 0.9.4 (Linux Kernel Runtime Guard), предназначенного для выявления и блокирования атак и нарушений целостности структур ядра. Например, модуль может защитить от несанкционированного внесения изменений в работающее ядро и попыток изменения полномочий пользовательских процессов (определение применения эксплоитов). Модуль подходит как для организации защиты от эксплоитов уже известных уязвимостей ядра Linux (например, в ситуациях когда в системе проблематично обновить ядро), так и для противостояния эксплоитам для ещё неизвестных уязвимостей. Код проекта распространяется под лицензией GPLv2. Об особенностях реализации LKRG можно прочитать в первом анонсе проекта.

Доступна документо-ориентированная СУБД MongoDB 6.0

После года разработки представлен выпуск документо-ориентированной СУБД MongoDB 6.0, которая занимает нишу между быстрыми и масштабируемыми системами, оперирующими данными в формате ключ/значение, и реляционными СУБД, функциональными и удобными в формировании запросов. Код MongoDB написан на языке C++ и распространяется под лицензией SSPL, которая основана на лицензии AGPLv3, но не является открытой, так как содержит дискриминирующее требование поставки под лицензией SSPL не только кода самого приложения, но и исходных текстов всех компонентов, вовлечённых в предоставление облачного сервиса.

Выпуск мультимедиа-пакета FFmpeg 5.1

После шести месяцев разработки доступен мультимедиа-пакет FFmpeg 5.1, включающий набор приложений и коллекцию библиотек для операций над различными мультимедиа-форматами (запись, преобразование и декодирование звуковых и видеоформатов). Пакет распространяется под лицензиями LGPL и GPL, разработка FFmpeg ведётся смежно с проектом MPlayer. Значительная смена номера версии объясняется существенными изменениями в API и переходом на новую схему формирования релизов, в соответствии с которой новые значительные выпуски будут формироваться раз в год, а релизы с расширенным временем поддержи - раз в два года. FFmpeg 5.0 станет первым LTS-релизом проекта.

Релиз видео конвертера Cine Encoder 3.5.4

Состоялся релиз видео конвертера Cine Encoder 3.5.4. Программа может использоваться для изменения метаданных HDR, таких как Master Display, maxLum, minLum, и других параметров. Доступны следующие форматы кодирования: H265, H264, VP9, MPEG-2, XDCAM, DNxHR, ProRes. Cine Encoder написан на языке С++, использует в своей работе утилиты FFmpeg, MkvToolNix и MediaInfo, распространяется под лицензией GPLv3. Существуют пакеты под основные дистрибутивы: Debian, Ubuntu, Linux Mint, CentOS, Fedora, Arch Linux, Manjaro Linux.