opennet.ru. Страница 89

Уязвимость в Python, позволяющая вызвать системные команды из изолированных скриптов

Опубликован метод обхода систем изолированного выполнения кода на языке Python, основанный на использовании давно известной ошибки, появившейся в Python 2.7, выявленной в 2012 году и до сих пор не исправленной в Python 3. Ошибка позволяет при помощи специально скомпонованного кода на языке Python инициировать обращение к уже освобождённой памяти (Use-After-Free). Изначально предполагалось, что ошибка не представляет угрозы безопасности и лишь в очень редких, как правило искусственно созданных, случаях привести к аварийному завершения скрипта.

Уязвимость в unrar, позволяющая перезаписать файлы при распаковке архива

В утилите unrar выявлена уязвимость (CVE-2022-30333), позволяющая при распаковке специально оформленного архива перезаписать файлы вне текущего каталога, насколько это позволяют права пользователя. Проблема устранена в выпусках RAR 6.12 и unrar 6.1.7. Уязвимость проявляется в версиях для Linux, FreeBSD и macOS, но не затрагивает сборки для Android и Windows.

Выпуск дистрибутива для создания сетевых хранилищ TrueNAS 13.0

После полутора лет разработки компания iXsystems представила выпуск TrueNAS CORE 13, дистрибутива для быстрого развёртывания сетевого хранилища (NAS, Network-Attached Storage). TrueNAS CORE 13 основан на кодовой базе FreeBSD 13, отличается интегрированной поддержкой ZFS и возможностью управления через веб-интерфейс, построенный с использованием Python-фреймворка Django. Для организации доступа к хранилищу поддерживается FTP, NFS, Samba, AFP, rsync и iSCSI, для повышения надежности хранения может применяться программный RAID (0,1,5), для авторизации клиентов реализована поддержка LDAP/Active Directory. Размер iso-образа 900МБ (x86_64). Параллельно развивается дистрибутив TrueNAS SCALE, использующий Linux вместо FreeBSD.

Выпуск пакетного фильтра iptables 1.8.8

Опубликован выпуск классического инструментария для управления пакетным фильтром iptables 1.8.8, развитие которого последнее время сосредоточено на компонентах для сохранения обратной совместимости - iptables-nft и ebtables-nft, предоставляющих утилиты с тем же синтаксисом командной строки, как в iptables и ebtables, но транслирующих полученные правила в байткод nf_tables. Оригинальный набор программ iptables, включая ip6tables, arptables и ebtables, в 2018 году переведён в разряд устаревших и уже заменён на nftables в большинстве дистрибутивов.

Релиз сетевого конфигуратора NetworkManager 1.38.0

Доступен стабильный релиз интерфейса для упрощения настройки параметров сети - NetworkManager 1.38.0. Плагины для поддержки VPN, OpenConnect, PPTP, OpenVPN и OpenSWAN развиваются в рамках собственных циклов разработки.

Выпуск дистрибутива Альт Рабочая станция К 10.0

Опубликован выпуск дистрибутива "Альт Рабочая станция К 10", поставляемого с графическим окружением на основе KDE Plasma. Загрузочные образы подготовлены для архитектуры x86_64 (HTTP, яндекс-зеркало, Distrib Coffee, Infania Networks). Операционная система внесена в Единый реестр российских программ и удовлетворят требованиям перехода на инфраструктуру под управлением отечественных ОС. Сборка на основе KDE стала завершающей в обновлении всей линейки дистрибутивов «Альт» до десятой ветки платформы. В декабре 2021 года вышли дистрибутивы «Альт Сервер», «Рабочая cтанция», «Образование», Simply Linux, «Сервер Виртуализации».

Новая версия музыкального проигрывателя DeaDBeeF 1.9.0

Доступен релиз музыкального плеера DeaDBeeF 1.9.0. Плеер написан на языке Си и может работать с минимальным набором зависимостей. Код распространяется под лицензией GPLv2. Интерфейс построен с использованием библиотеки GTK, поддерживает вкладки и может расширяться через виджеты и плагины.

Релиз офисного пакета ONLYOFFICE Docs 7.1

Опубликован выпуск ONLYOFFICE DocumentServer 7.1 с реализацией сервера для online-редакторов ONLYOFFICE и организации совместной работы. Редакторы можно использовать для работы с текстовыми документами, таблицами и презентациями. Код проекта распространяется под свободной лицензией AGPLv3.

Уязвимость в межсетевых экранах Zyxel, позволяющая выполнить код без аутентификации

В устройствах Zyxel серий ATP, VPN и USG FLEX, предназначенных для организации работы межсетевых экранов, IDS и VPN на предприятиях, выявлена критическая уязвимость (CVE-2022-30525), позволяющая внешнему атакующему без аутентификации выполнить код на устройстве с правами пользователя nobody. Для совершения атаки злоумышленник должен иметь возможность отправки на устройство запросов по протоколу HTTP/HTTPS. Компания Zyxel устранила уязвимость в обновлении прошивки ZLD 5.30. По данным сервиса Shodan в настоящее время в глобальной сети зафиксировано 16213 потенциально уязвимых устройств, принимающих запросы по HTTP/HTTPS.

Google учредил команду для помощи открытым проектам в усилении безопасности

Компания Google объявила о присоединении к инициативе OpenSSF (Open Source Security Foundation), сформированной организацией Linux Foundation и нацеленной на повышение безопасности открытого ПО. В рамках своего участия компания Google создала и будет финансировать работу отдельной команды инженеров "Open Source Maintenance Crew", которая будет сотрудничать с сопровождающими критически важных открытых проектов по вопросам, связанным с усилением безопасности.

Опубликован multipass 1.9, инструментарий для развёртывания Ubuntu в виртуальных машинах

Компания Canonical опубликовала выпуск инструментария multipass 1.9, предназначенного для упрощения установки различных версий Ubuntu в виртуальных машинах, запускаемых в системах виртуализации Linux, Windows и macOS. Multipass позволяет разработчику одной командой без дополнительных настроек запустить нужную версию Ubuntu в виртуальной машине, например, для экспериментов или проверки работы своего приложения. Для запуска виртуальной машины в Linux используется KVM, в Windows - Hyper-V, а в macOS - HyperKit. Также возможно использование для выполнения виртуальных машин VirtualBox. Код проекта написан на C++ и распространяется под лицензией GPLv3. Для быстрой установки multipass в Ubuntu подготовлен snap-пакет.

Атака на немецкие компания через NPM-пакеты

Раскрыта новая порция вредоносных NPM-пакетов, созданных для целевых атак на немецкие компании Bertelsmann, Bosch, Stihl и DB Schenker. Для атаки использован метод смешивания зависимостей, манипулирующий пересечением имён зависимостей в публичных и внутренних репозиториях. В имеющихся в публичном доступе приложениях атакующие находят следы обращения ко внутренним NPM-пакетам, загружаемым из корпоративных репозиториев, поле чего размещают пакеты с теми же именами и более новыми номерами версий в публичном репозитории NPM. Если при сборке внутренние библиотеки явно не привязаны в настройках к своему репозиторию, пакетный менеджер npm считает более приоритетным публичный репозиторий и загружает подготовленный атакующим пакет.

Обновление PostgreSQL с устранением уязвимости. Выпуск pg_ivm 1.0

Сформированы корректирующие обновления для всех поддерживаемых веток PostgreSQL: 14.3, 13.7, 12.11, 11.16 и 10.22. Ветка 10.x приближается к окончанию срока поддержки (обновления будут формироваться до ноября 2022 года). Выпуск обновлений для ветки 11.x продлится до ноября 2023 года, 12.x - до ноября 2024 года, 13.x - до ноября 2025 года, 14.x - до ноября 2026 года.

Доступен дистрибутив AlmaLinux 8.6, продолжающий развитие CentOS 8

Сформирован выпуск дистрибутива AlmaLinux 8.6, синхронизированный c дистрибутивом Red Hat Enterprise Linux 8.6 и содержащий все предложенные в данном выпуске изменения. Сборки подготовлены для архитектур x86_64, ARM64 и ppc64le в форме загрузочного (830 МБ), минимального (1.6 ГБ) и полного образа (11 ГБ). Позднее дополнительно обещают сформировать Live-сборки, а также образы для плат Raspberry Pi, контейнеров и облачных платформ.

Выпуск дистрибутива EuroLinux 8.6, совместимого с RHEL

Состоялся релиз дистрибутива EuroLinux 8.6, подготовленного путём пересборки исходных текстов пакетов дистрибутива Red Hat Enterprise Linux 8.6 и полностью бинарно совместимого с ним. Для загрузки подготовлены установочные образы, размером 11 ГБ (appstream) и 1.6 ГБ. Дистрибутив в том числе может использоваться для замены ветки CentOS 8, сопровождение которой прекращено в конце 2021 года.

Компания NVIDIA открыла код видеодрайверов для ядра Linux

Компания NVIDIA объявила об открытии исходных текстов всех модулей ядра, поставляемых в своём наборе проприетарных видеодрайверов. Код открыт под лицензиями MIT и GPLv2. Возможность сборки модулей обеспечена для архитектур x86_64 or aarch64 на системах с ядром Linux 3.10 и более новыми выпусками.

Релиз дистрибутива Red Hat Enterprise Linux 8.6

Следом за анонсом выпуска RHEL 9 компания Red Hat опубликовала релиз Red Hat Enterprise Linux 8.6. Установочные сборки подготовлены для архитектур x86_64, s390x (IBM System z), ppc64le и Aarch64, но доступны для загрузки только зарегистрированным пользователям Red Hat Customer Portal. Исходные тексты rpm-пакетов Red Hat Enterprise Linux 8 распространяются через Git-репозиторий CentOS. Ветка 8.x, которая будет поддерживаться как минимум до 2029 года, развивается в соответствии с циклом разработки, подразумевающим формирование релизов раз в полгода в заранее определённое время.

Опубликован порт CoreBoot для материнской платы MSI PRO Z690-A

В майском обновлении проекта Dasharo, развивающего основанный на CoreBoot открытый набор прошивок, BIOS и UEFI, представлена реализация открытой прошивки для материнской платы MSI PRO Z690-A WIFI DDR4, поддерживающей сокет LGA 1700 и актуальное 12-поколение (Alder Lake) процессоров Intel Core, Pentium Gold и Celero. Кроме MSI PRO Z690-A проектом также предоставляются открытые прошивки для плат Dell OptiPlex 7010/9010, Asus KGPE-D16, Talos II, Clevo NV41, Tuxedo IBS15, NovaCustom NS5X и Protectli VP4620.