opennet news. Страница 185

Новые версии Debian 9.12 и 10.3
Опубликовано третье корректирующее обновление дистрибутива Debian 10, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 94 обновления с устранением проблем со стабильностью и 52 обновления с устранением уязвимостей. Одновременно сформирован выпуск Debian 9.12, в котором предложено 70 обновлений с исправлениями и 75 с устранением уязвимостей.

Первый альфа выпуск Protox, Tox-клиента для мобильных платформ
Опубликован первый альфа-выпуск Protox, мобильного приложения для обмена сообщениями между пользователями без участия сервера, реализованного на основе протокола Tox (toxcore). На данный момент поддерживается только OS Android, однако, так как программа написана на кросс-платформенном фреймворке Qt с использованием QML, в будущем возможно портировать приложение и под другие платформы. Программа является альтернативой Tox-клиентам Antox, Trifa и Tok, почти все из которых были заброшены. Код проекта распространяется под лицензией GPLv3.

Выпуск Raspbian 2020-02-05, дистрибутива для Raspberry Pi. Новая плата HardROCK64 от проекта Pine64
Разработчики проекта Raspberry Pi опубликовали обновление дистрибутива Raspbian, основанного на пакетной базе Debian 10 "Buster". Для загрузки подготовлены две сборки - сокращённая (433 Мб) для серверных систем и полная (1.1 Гб), поставляемая с пользовательским окружением PIXEL (ответвление от LXDE). Для установки из репозиториев доступно около 35 тысяч пакетов.

Выпуск сервера приложений NGINX Unit 1.15.0
Доступен выпуск сервера приложений NGINX Unit 1.15, в рамках которого развивается решение для обеспечения запуска web-приложений на различных языках программирования (Python, PHP, Perl, Ruby, Go, JavaScript/Node.js и Java). Под управлением NGINX Unit может одновременно выполняться несколько приложений на разных языках программирования, параметры запуска которых можно изменять динамически без необходимости правки файлов конфигурации и перезапуска. Код написан на языке Си и распространяется под лицензией Apache 2.0. С особенностями NGINX Unit можно познакомиться в анонсе первого выпуска.

Компания Valve выпустила Proton 5.0, пакет для запуска Windows-игр в Linux
Компания Valve опубликовала первый выпуск новой ветки проекта Proton 5.0, который основан на наработках проекта Wine и нацелен на обеспечение запуска в Linux игровых приложений, созданных для Windows и представленных в каталоге Steam. Наработки проекта распространяются под лицензией BSD.

Уязвимость в Android, позволяющая удалённо выполнить код при включённом Bluetooth
В февральском обновлении платформы Android устранена критическая уязвимость (CVE-2020-0022) в Bluetooth-стеке, позволяющая организовать удалённое выполнение кода через отправку специально оформленного Bluetooth-пакета. Проблема может быть незаметно эксплуатирована атакующим, находящимся в пределах досягаемости Bluetooth. Не исключено задействование уязвимости для создания червей, по цепочке поражающих соседние устройства.

Chrome начнёт блокировать загрузку файлов по HTTP
Компания Google опубликовала план добавления в Chrome новых механизмов защиты от небезопасной загрузки файлов. В Chrome 86, релиз которого намечен на 26 октября, загрузка всех видов файлов по ссылкам со страниц, открытых по HTTPS, будет возможна только при отдаче файлов с использованием протокола HTTPS. Отмечается, что загрузка файлов без шифрования может использоваться для совершения вредоносной активности через подмену содержимого в процессе MITM-атак (например, поражающее домашние маршрутизаторы вредоносное ПО может подменять загружаемые приложения или перехватывать конфиденциальные документы).

Апелляционный суд подтвердил правоту Брюса Перенса в разбирательстве с Grsecurity
Апелляционный суд штата Калифорния вынес решение в разбирательстве между компанией Open Source Security Inc. (развивает проект Grsecurity) и Брюсом Перенсом (Bruce Perens). Суд отклонил апелляцию и подтвердил вердикт суда низшей инстанции, в котором были отклонены все претензии к Брюсу Перенсу, а компании Open Source Security Inc предписано возмещение судебных издержек, составивших 259 тысяч долларов (Перенс привлёк для своей защиты известных юристов и фонд EFF). При этом у компании Open Source Security Inc остаётся 14 дней на подачу ходатайства о проведении повторных слушаний с участием расширенной судебной коллегии, а также имеется возможность эскалации разбирательства с привлечением суда более высокой инстанции.

Инициатива по добавлению рабочего стола Unity 8 и дисплейного сервера Mir в Debian
Mайк Гэбриел (Mike Gabriel), участвующий в сопровождении пакетов с Qt и Mate в Debian, представил инициативу по созданию пакетов с Unity 8 и Mir для Debian GNU/Linux и их последующей интеграции в дистрибутив. Работа ведётся совместно с проектом UBports, который взял в свои руки разработку мобильной платформы Ubuntu Touch и рабочего стола Unity 8, после того как от них отстранилась компания Canonical. В настоящее время в ветку unstable уже переданы некоторые пакеты, необходимые для работы Unity 8, включая пакет с дисплейным сервером Mir.

Xiaomi, Oppo и Vivo развивают платформу для публикации Android-приложений
Китайские компании Xiaomi, Oppo и Vivo развивают новый совместный проект GDSA (Global Developer Service Alliance), который поможет унифицировать публикацию Android-приложений в разных каталогах-магазинах. Вопреки сообщениям СМИ о создании сервиса, конкурирующего с Google Play, представители компании Xiaomi заявили, что проект GDSA не нацелен на конкуренцию с Google Play, а лишь является попыткой предоставления разработчикам возможности одновременной загрузки их Android-приложений в уже существующие китайские каталоги-магазины Xiaomi, OPPO и Vivo, без необходимости отдельного взаимодействия с каждым каталогом. Представители Xiaomi также опровергли участие компании Huawei в проекте.

GCC 9 портирован для OS/2
Компания Bitwise works выполнила портирование набора компиляторов GCC 9.2 для операционной системы OS/2 и основанных на данной ОС платформ ArcaOS и eComStation. Ранее для OS/2 предлагался только GCC 4.9.2. Отмечается, что возможность использования GCC 9 позволит сообществу адаптировать для работы в OS/2 больше приложений и библиотек, включая Qt 5, Poppler и CMake, не поддерживающих сборку в GCC 4. Кроме того, сообщается о подготовке для OS/2 новых версий пакетов с Apache OpenOffice 4.1.7, libusb1, sane-backends, xmltoman, pthread, libdaemon, fontconfig, zip, libunistring, libidn2, wget и libtool. Код варианта GCC 9.2 для OS/2 опубликован на GitHub под лицензией GPLv2.

Техника скрытой передачи данных через изменение яркости LCD-экрана
Исследователи из Университета имени Давида Бен-Гуриона (Израиль), занимающиеся изучением скрытых методов передачи данных с изолированных компьютеров, представили новый метод организации канала связи, основанный на модуляции сигнала через незаметное для глаза изменение яркости LCD-экрана. С практической стороны метод может применяться, например, для передачи ключей шифрования, паролей и секретных данных с не имеющего сетевого подключения компьютера, поражённого шпионским или вредоносным ПО.

Заголовок X-Client-Data, как метод идентификации пользователей Chrome
При обсуждении инициативы Google по унификации содержимого HTTP-заголовка User-Agent, разработчик браузера Kiwi обратил внимание на остающийся в Chrome HTTP-заголовок "X-Client-Data", который потенциально нарушает действующий в Евросоюзе общий регламент по защите данных (GDPR). В ходе дискуссии также подверглась критике двойственность действий компании Google, которая с одной стороны продвигает методы для блокирования скрытой идентификации и отслеживания действий пользователей, но с другой стороны не спешит удалять из Chrome поддержку заголовка X-Client-Data, который может применяться для идентификации экземпляров браузера при обращении к сервисам Google.

В Chrome намечено включение блокировки навязчивой видеорекламы
Компания Google опубликовала план реализации в Chrome блокировки неприемлемых видов видеорекламы, предложенных Коалицией по улучшению рекламы (Better Ads Standard) в новом варианте рекомендаций по блокированию неприемлемой рекламы, отображаемой при просмотре видео.

Новые выпуски Node.js 13.8, 12.15 и 10.19 с устранением уязвимостей
Разработчики серверной JavaScript-платформы Node.js опубликовали корректирующие выпуски 13.8.0, 12.15.0 и 10.19.0, в которых устранены три уязвимости.

Опубликован план окончания поддержки CoreOS Container Linux
Определена дата прекращения сопровождения дистрибутива CoreOS Container Linux, на смену которому пришёл проект Fedora CoreOS (после поглощения проекта CoreOS компания Red Hat объединила Fedora Atomic Host и CoreOS Container Linux в рамках единого продукта). Последнее обновление для CoreOS Container Linux намечено на 26 мая, после чего жизненный цикл проекта завершится. 1 сентября связанные с CoreOS ресурсы будут удалены или переведены в режим только для чтения. Например, будут удалены предлагавшиеся для загрузки установочные образы, сборки для облачных окружений и репозитории с обновлениями. Репозитории на GitHub и система отслеживания ошибок останутся доступны в режиме только для чтения.

Обновление свободного антивирусного пакета ClamAV 0.102.2 с устранением уязвимостей
Сформирован релиз свободного антивирусного пакета ClamAV 0.102.2, в котором устранена уязвимость CVE-2020-3123 в реализации механизма DLP (data-loss-prevention), нацеленного на блокирование утечек номеров кредитных карт. Из-за ошибки при проверке допустимых границ возможно создание условий для чтения данных из области вне выделенного буфера, что может быть использовано для совершения DoS-атаки и инициирования краха рабочего процесса. Кроме того, добавлено пропущенное в ветке 0.102 исправление уязвимости CVE-2019-1785, позволяющей добиться записи данных в область ФС вне каталога, используемого при распаковке, при сканировании специально оформленных RAR-архивов.

Выпуск консольного оконного менеджера GNU screen 4.8.0
Доступен релиз полноэкранного консольного оконного менеджера (мультиплексора терминалов) GNU screen 4.8.0, позволяющего использовать один физический терминал для работы с несколькими приложениями, которым выделяются отдельные виртуальные терминалы, остающиеся активными между разными сеансами связи пользователя.