opennet news. Страница 140

Предложение по блокировке драйверов-прослоек, предоставляющих доступ к GPL-вызовам ядра Linux
Кристоф Хелвиг (Christoph Hellwig), известный разработчик ядра Linux, в своё время входивший в управляющий технический комитет организации Linux Foundation и выступавший истцом в связанном с GPL судебном разбирательстве с VMware, предложил ужесточить защиту от связывания проприетарных драйверов с компонентами ядра Linux, экспортируемыми только для модулей под лицензией GPL. Для обхода ограничения на экспорт GPL-символов производители проприетарных драйверов используют модуль-прослойку, код которой открыт и распространяется под лицензией GPLv2, но функции сводятся к трансляции доступа проприетарного драйвера к необходимым API ядра, запрещённым для использования из проприетарного кода напрямую.

Выпуск Mastodon 3.2, платформы для создания децентрализованных социальных сетей
Представлен выпуск свободной платформы для развёртывания децентрализованных социальных сетей - Mastodon 3.2, позволяющей на собственных мощностях создавать сервисы, не подконтрольные отдельным поставщикам. Если пользователь не имеет возможности запустить собственный узел, то он может выбрать заслуживающий доверия публичный сервис для подключения. Mastodon относится к категории объединённых (federated) сетей, для образования единой структуры связей в которых применяется набор протоколов ActivityPub.

Отчёт SPI о пожертвованиях Debian, X.Org, systemd, FFmpeg, Arch Linux, OpenWrt
Некоммерческая организация SPI (Software in the Public Interest), курирующей приём пожертвований и юридические вопросы (торговые марки, владение активами и т.п.) для таких проектов, как Debian, Arch Linux, LibreOffice, X.Org, systemd, 0.A.D, PostgreSQL, FFmpeg, freedesktop.org, OpenWrt, OpenZFS, Jenkins и OpenEmbedded, опубликовала отчёт с финансовыми показателями за 2019 год.

Учреждён проект OpenSSF, сфокусированный на повышении безопасности открытого ПО
Организация Linux Foundation объявила о формировании нового совместного проекта OpenSSF (Open Source Security Foundation), призванного объединить работу ведущих представителей индустрии в области повышения безопасности открытого ПО. OpenSSF продолжит развитие таких инициатив, как Infrastructure Initiative и Open Source Security Coalition, а также объединит и другие связанные с безопасностью работы, предпринимаемые участниками проекта.

Выпуск языка программирования Julia 1.5
Опубликован релиз языка программирования Julia 1.5, сочетающего такие качества как высокая производительность, поддержка динамической типизации и встроенные средства для параллельного программирования. Синтаксис Julia близок к MATLAB с заимствованием некоторых элементов из Ruby и Lisp. Метод манипуляции строками напоминает Perl. Код проекта распространяется под лицензией MIT.

Релиз ядра Linux 5.8
После двух месяцев разработки Линус Торвальдс представил релиз ядра Linux 5.8. Среди наиболее заметных изменений: детектор состояний гонки KCSAN, универсальный механизм доставки уведомлений в пространство пользователя, поддержка оборудования для inline-шифрования, расширенные механизмы защиты для ARM64, поддержка российского процессора Baikal-T1, возможность раздельного монтирования экземпляров procfs, реализация для ARM64 механизмов защиты Shadow Call Stack и BTI.

Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок
В WordPress-плагине wpDiscuz, который установлен на более чем 80 тысячах сайтов, выявлена опасная уязвимость, позволяющая без аутентификации загрузить любой файл на сервер. В том числе можно загрузить PHP-файлы и добиться выполнения своего кода на сервере. Проблеме подвержены версии с 7.0.0 по 7.0.4 включительно. Уязвимость устранена в выпуске 7.0.5.

Релиз платформы для распределённой обработки данных Apache Hadoop 3.3
После полутора лет разработки организация Apache Software Foundation опубликовала релиз Apache Hadoop 3.3.0, свободной платформы для организации распределённой обработки больших объёмов данных с использованием парадигмы map/reduce, при которой задача делится на множество более мелких обособленных фрагментов, каждый из которых может быть запущен на отдельном узле кластера. Хранилище на базе Hadoop может охватывать тысячи узлов и содержать эксабайты данных.

Обновление Debian 10.5
Опубликовано пятое корректирующее обновление дистрибутива Debian 10, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 101 обновление с устранением проблем со стабильностью и 62 обновление с устранением уязвимостей.

Выпуск программы для профессиональной обработки фотографий Darktable 3.2
После 7 месяцев активной разработки доступен релиз программы для организации и обработки цифровых фотографий Darktable 3.0. Darktable выступает в роли свободной альтернативы Adobe Lightroom и специализируется на недеструктивной работе с raw-изображениями. Darktable предоставляет большую подборку модулей для выполнения всевозможных операций по обработке фотографий, позволяет вести базу исходных фотографий, осуществлять наглядную навигацию по имеющимся снимкам и при необходимости выполнять операции корректировки искажений и улучшения качества, сохраняя при этом исходный снимок и всю историю операций с ним. Код проекта распространяется под лицензией GPLv3. Бинарные сборки ожидаются в ближайшее время.

Выпуск Wine 5.14
Состоялся экспериментальный выпуск открытой реализации WinAPI - Wine 5.14. С момента выпуска версии 5.13 было закрыто 26 отчётов об ошибках и внесено 302 изменения.

Уязвимости в X.Org Server и libX11
В X.Org Server и libX11 выявлены две уязвимости.

Опубликован пакет wayland-utils 1.0.0
Разработчики Wayland представили первый выпуск нового пакета wayland-utils, в составе которого будут поставляться утилиты, связанные с Wayland, по аналогии с тем, как в пакете wayland-protocols поставляются дополнительные протоколы и расширения. В настоящее время в состав включена только одна утилита wayland-info, предназначенная для отображения информации о протоколах Wayland, поддерживаемых текущим композитным сервером. Утилита представляет собой обособленный вариант weston-info, выделенный из репозитория Weston.

Обновление JPype 1.0.2, библиотеки для доступа к Java-классам из Python
Доступен новый выпуск прослойки JPype 1.0.2, позволяющей организовать полный доступ Python-приложений к библиотекам классов на языке Java. При помощи JPype из Python можно использовать специфичные для Java библиотеки, создавая гибридные приложения, сочетающие код на Java и Python. В отличие от Jython, интеграция с Java достигается не через создание варианта Python для JVM, а через взаимодействие на уровне обеих виртуальных машин, используя разделяемую память. Предложенный подход позволяет не только добиться хорошей производительности, но и предоставляет доступ ко всем библиотекам CPython и Java. Код проекта распространяется под лицензией Apache 2.0.

Выпуск системного менеджера systemd 246
После пяти месяцев разработки представлен релиз системного менеджера systemd 246. В новом выпуске реализована поддержка заморозки unit-ов, возможность верификации образа корневого диска по цифровой подписи, поддержка сжатия журнала и core-дампов с использованием алгоритма ZSTD, возможность разблокировки переносимых домашних каталогов при помощи токенов FIDO2, поддержка разблокировки разделов Microsoft BitLocker через /etc/crypttab, выполнено переименование BlackList в DenyList.

Уязвимость в KDE Ark, позволяющая перезаписать файлы при открытии архива
В развиваемом проектом KDE менеджере архивов Ark выявлена уязвимость (CVE-2020-16116), позволяющая при открытии в приложении специально оформленного архива перезаписать файлы вне каталога, указанного для раскрытия архива. Проблема в том числе проявляется при раскрытии архивов в файловом менеджере Dolphin (пункт Extract в контекстном меню), который использует функциональность Ark для работы с архивами. Уязвимость напоминает давно известную проблему Zip Slip.

Выпуск GTK 3.99.0 ознаменовал готовность функциональности, запланированной для GTK 4
Опубликован финальный экспериментальный выпуск фреймворка GTK 3.99.0, в котором реализованы все возможности, запланированные для GTK 4. Ветка GTK 4 развивается в рамках нового процесса разработки, который пытается предоставить разработчикам приложений стабильный и поддерживаемый в течение нескольких лет API, который можно использовать не опасаясь, что каждые полгода придётся переделывать приложения из-за изменения API в очередной ветке GTK. Релиз GTK 4 ожидается осенью этого года.

GitHub ограничит доступ к Git аутентификацией по токенам и SSH-ключам
GitHub объявил о решении отказаться от поддержки парольной аутентификации при выполнении операций с Git. Прямое подключение к Git будет возможно только при использовании SSH-ключей или токенов (персональные токены GitHub или OAuth). Аналогичное ограничение также будет применяться для REST API. Новые правила аутентификации для API будут применены 13 ноября, а ужесточение доступа к Git запланировано на середину следующего года. Исключение будет предоставлено только учётным записям, использующим двухфакторную аутентификацию, которые смогут подключаться к Git по паролю и дополнительному коду подтверждения.