opennet news. Страница 136

Атака на пользователей почтовых клиентов при помощи ссылок "mailto:"
Исследователи из Рурского университета в Бохуме (Германия) проанализировали (PDF) поведение почтовых клиентов при обработке ссылок "mailto:" с расширенными параметрами. Пять из двадцати рассмотренных почтовых клиентов оказались уязвимы для атаки, манипулирующей подстановкой ресурсов при помощи параметра "attach". Ещё шесть почтовых клиентов были подвержены атаке по замене ключей PGP и S/MIME, а три клиента оказались уязвимы для атаки по извлечению содержимого зашифрованных сообщений.

Релиз дистрибутива для исследования безопасности Kali Linux 2020.3
Состоялся релиз дистрибутива Kali Linux 2020.3, предназначенного для тестирования систем на предмет наличия уязвимостей, проведения аудита, анализа остаточной информации и выявления последствий атак злоумышленников. Все оригинальные наработки, созданные в рамках дистрибутива, распространяются под лицензией GPL и доступны через публичный Git-репозиторий. Для загрузки подготовлены несколько вариантов iso-образов, размером 430 МБ, 2.9 ГБ и 3.7 ГБ. Сборки доступны для архитектур x86, x86_64, ARM (armhf и armel, Raspberry Pi, Banana Pi, ARM Chromebook, Odroid). По умолчанию предлагается рабочий стол Xfce, но опционально поддерживаются KDE, GNOME, MATE, LXDE и Enlightenment e17.

Qt 6 в Debian может оказаться без сопровождения
Текущие мэйнтейнеры пакетов с фреймворком Qt в Debian приняли решение своими силами не обеспечивать сопровождение следующей значительной ветки Qt 6, релиз которой запланирован на декабрь. При этом сопровождение прошлой ветки Qt 5 будет продолжено без изменений. Поставка Qt 6 в Debian будет обеспечена если найдутся новые сопровождающие, готовые на должном уровне обеспечить поддержку пакетов с новой веткой.

Mozilla расширила программу выплаты вознаграждений за выявление уязвимостей
Компания Mozilla объявила о расширении инициативы по выплате денежных вознаграждений за выявление проблем с безопасностью в Firefox. Помимо непосредственно уязвимостей, программа Bug Bounty теперь будет охватывать и методы обхода имеющихся в браузере механизмов, препятствующих работе эксплоитов.

Анонсировано создание независимой от Mozilla организации Rust Foundation
Основная команда разработчиков языка Rust (Rust Core Team) и компания Mozilla объявили о намерении до конца года создать независимую некоммерческую организацию Rust Foundation, которой будут передана связанная с проектом Rust интеллектуальная собственность, в том числе торговые марки и доменные имена, ассоциируемые с Rust, Cargo и crates.io. Организация также будет отвечать за организацию финансирования проекта.

Выпуск игры OpenRCT2, предлагающей симулятор парка аттракционов
Опубликована новая версия проекта OpenRCT2, развивающего открытую реализацию стратегической игры RollerCoaster Tycoon 2, симулирующей конструирование парка развлечений и управление им. Код OpenRCT2 поставляется под лицензией GPLv3. Новый выпуск примечателен поддержкой подключения собственных плагинов на JavaScript, возможностью импорта сценариев в формате ".sea" (RCT Classic), реализацией некоторых возможностей из первой игры RollerCoaster Tycoon.

Доступна редакция дистрибутива MX Linux 19.2 с рабочим столом KDE
Представлена новая редакция дистрибутива MX Linux 19.2, поставляемая с рабочим столом KDE (в основной редакции поставляется Xfce). Это первая официальная сборка с рабочим столом KDE в семействе MX/antiX, созданная после сворачивания пректа MEPIS в 2013 году. Напомним, что дистрибутив MX Linux создан в результате совместной работы сообществ, образовавшихся вокруг проектов проектов antiX и MEPIS. Выпуск основан на пакетной базе Debian с улучшениями от проекта antiX и многочисленными собственными приложениями, облегчающими настройку и установку ПО. Для загрузки доступна 64-разрядная сборка, размером 2.1 GB (x86_64).

Выпуск дистрибутива Parrot 4.10 с подборкой программ для проверки безопасности
Доступен релиз дистрибутива Parrot 4.10, основанный на пакетной базе Debian Testing и включающий подборку инструментов для проверки защищённости систем, проведения криминалистического анализа и обратного инжиниринга. Для загрузки предложены несколько iso-образов с окружением MATE (полный 4.2 ГБ и сокращённый 1.8 ГБ), с рабочим столом KDE (2 ГБ) и с рабочим столом Xfce (1.7 ГБ).

В Chrome 86 появится защита от небезопасной отправки web-форм
Компания Google сообщила о появлении в будущем выпуске Chrome 86 защиты от небезопасной отправки web-форм. Защита касается форм, отображаемых на страницах, загруженных по HTTPS, но отправляющих данные без шифрования по HTTP, что создаёт угрозу перехвата и подмены данных при совершении MITM-атак. Для подобных смешанных web-форм реализовано три изменения.

Релиз видеоредактора Kdenlive 20.08
Разработчики проекта KDE опубликовали релиз видеоредактора Kdenlive 20.08, который позиционируется для полупрофессионального использования, поддерживает работу с видеозаписями в форматах DV, HDV и AVCHD, и предоставляет все базовые операции по редактированию видео, например, позволяет используя шкалу времени произвольно смешивать видео, звук и изображения, а также применять многочисленные эффекты. При работе программы используются такие внешние компоненты, как FFmpeg, фреймворк MLT и система оформления эффектов Frei0r. Для установки подготовлен самодостаточный пакет в формате AppImage.

Взлом сборочного сервера и компрометация репозиториев сообщества Libretro, развивающего RetroArch
Сообщество Libretro, занимающееся разработкой эмулятора игровых консолей RetroArch и дистрибутива для создания игровых консолей Lakka, предупредило о взломе элементов инфраструктуры проекта и вандализме в репозиториях. Злоумышленники смогли получить доступ к сборочному серверу (buildbot) и репозиториям на GitHub.

Notepad++ заблокирован в Китае
Разработчики Notepad++, свободного (GPL) редактора кода для платформы Windows, сообщили о введении блокировки проекта на территории Китая. Несмотря на доступность только для платформы Windows, редактор Notepad++ пользуется большой популярностью у пользователей Ubuntu и занимает 5 место среди самых популярных snap-пакетов для разработчиков (запускается через Wine).

Представлен браузерный движок Kosmonaut, написанный на языке Rust
В рамках проекта Kosmonaut развивается браузерный движок, написанный целиком на языке Rust и использующий некоторые наработки проекта Servo. Код распространяется под лицензией MPL 2.0 (Mozilla Public License). Для отрисовки используются OpenGL-привязки gl-rs на языке Rust. Управление окнами и создание контекста OpenGL реализовано силами библиотеки Glutin. Для разбора HTML и CSS применяются компоненты html5ever и cssparser, развиваемые проектом Servo.

В ночные сборки Firefox добавлена поддержка ускорения WebRTC через VAAPI
В ночные сборки Firefox добавлена поддержка аппаратного ускорения декодирования видео в сеансах на базе технологии WebRTC, используемой в web-приложениях для проведения видеоконференций. Ускорение реализовано при помощи VA-API (Video Acceleration API) и FFmpegDataDecoder, и доступно как для Wayland, так и для X11. Реализация для X11 основана на применении нового бэкенда, использующего EGL.

Компания Paragon Software опубликовала GPL-реализацию NTFS для ядра Linux
Константин Комаров, основатель и руководитель компании Paragon Software, опубликовал в списке рассылки ядра Linux набор патчей с полноценной реализацией файловой системы NTFS, поддерживающей работу в режиме чтения и записи. Код открыт под лицензией GPL.

Выпуск Wine 5.15 и DXVK 1.7.1
Состоялся экспериментальный выпуск открытой реализации WinAPI - Wine 5.15. С момента выпуска версии 5.14 было закрыто 27 отчётов об ошибках и внесено 273 изменения.

Релиз СУБД SQLite 3.33
Опубликован релиз SQLite 3.33.0, легковесной СУБД, оформленной в виде подключаемой библиотеки. Код SQLite распространяется как общественное достояние (public domain), т.е. может использоваться без ограничений и безвозмездно в любых целях. Финансовую поддержку разработчиков SQLite осуществляет специально созданный консорциум, в который входят такие компании, как Adobe, Oracle, Mozilla, Bentley и Bloomberg.

Устройство Pocket P.C. переведено в категорию открытого аппаратного обеспечения
Компания Source Parts анонсировала открытие наработок, связанных с устройством Pocket Popcorn Computer (Pocket P.C.). После поступления устройства в продажу под лицензией Creative Commons Attribution-ShareAlike 3.0 будут опубликованы файлы с дизайном печатных плат в формате PCB, схемы, модели для 3D-печати и сборочные инструкции. Опубликованная информация позволит сторонним производителям использовать Pocket P.C. в качестве прототипа для разработки своих продуктов и принять участие в совместной работе по усовершенствованию устройства.