opennet news. Страница 217

Обновление Firefox 69.0.2 с устранением проблемы с YouTube в Linux
Опубликовано корректирующее обновление Firefox 69.0.2 в котором устранён крах, проявляющийся на платформе Linux в случае изменения скорости воспроизведения видео в YouTube. Кроме того, в новом выпуске решены проблемы с определением включения родительского контроля в Windows 10 и устранён крах при редактировании файлов на сайте Office 365.

Релиз СУБД PostgreSQL 12
После года разработки опубликована новая стабильная ветка СУБД PostgreSQL 12. Обновления для новой ветки будут выходить в течение пяти лет до ноября 2024 года.

Новая техника атаки по сторонним каналам, позволяющая восстановить ключи ECDSA
Исследователи из университета им. Масарика раскрыли сведения о уязвимостях в различных реализациях алгоритма создания цифровой подписи ECDSA/EdDSA, позволяющих восстановить значение приватного ключа на основе анализа утечек сведений об отдельных битах, всплывающих при применении методов анализа по сторонним каналам. Уязвимости получили кодовое имя Minerva.

Mozilla выиграла судебное разбирательство, связанное с сетевым нейтралитетом
Компания Mozilla добилась в Федеральном апелляционном существенного ослабления правил в отношении сетевого нейтралитета, утверждённых Федеральным агентством по связи США (FCC). Суд постановил, что штаты могут на уровне своих локальных законодательств индивидуально устанавливать правила, касающиеся сетевого нейтралитета. Подобные изменения законодательства, сохраняющие сетевой нейтралитет, например, ожидают принятия в Калифорнии.

Компания Cisco выпустила свободный антивирусный пакет ClamAV 0.102
Компания Cisco представила новый значительный выпуск свободного антивирусного пакета ClamAV 0.102.0. Напомним, что проект перешёл в руки Cisco в 2013 году после покупки компании Sourcefire, развивающей ClamAV и Snort. Код проекта распространяется под лицензией GPLv2.

В Ираке отключён интернет
На фоне проходящих массовых беспорядков, в Ираке предпринята попытка полной блокировки доступа к сети интернет. В настоящее время потеряна связность с примерно 75% иракскими провайдерами, включая всех крупных операторов связи. Доступ остаётся только в некоторых городах на севере Ирака (например, Курдском автономном районе), имеющих отдельную сетевую инфраструктуру и статус автономии.

Ассоциации провайдеров США выступили против централизации при внедрении DNS-over-HTTPS
Торговые ассоциации NCTA, CTIA и USTelecom, отстаивающие интересы интернет-провайдеров, обратились в Конгресс США с просьбой обратить внимание на проблему с внедрением "DNS поверх HTTPS" (DoH, DNS over HTTPS) и запросить у Google детальную информацию о текущих и будущих планах по включению DoH в своих продуктах, а также получить обязательство не включать по умолчанию централизованную обработку DNS-запросов в Chrome и Android без предварительного всестороннего обсуждения с другими представителями экосистемы и учёта возможных негативных последствий.

GNOME адаптирован для управления через systemd
Бенджамин Берг (Benjamin Berg), один из инженеров Rad Hat, занимающийся разработкой GNOME, обобщил результаты работы по переводу GNOME на управление сеансами исключительно средствами systemd, без применения процесса gnome-session.

Релиз консольного оконного менеджера GNU screen 4.7.0
После двух лет разработки опубликован релиз полноэкранного консольного оконного менеджера GNU screen 4.7.0, позволяющего использовать один физический терминал для работы с несколькими приложениями, которым выделяются отдельные виртуальные терминалы, остающиеся активными между разными сеансами связи пользователя.

План прекращения поддержки TLS 1.0 и 1.1 в Chrome
Как и в Firefox в Chrome планируют скоро прекратить поддержку протоколов TLS 1.0 и TLS 1.1, которые находятся в процессе перевода в разряд устаревших и не рекомендованных организацией IETF (Internet Engineering Task Force) для использования. Поддержка TLS 1.0 и 1.1 будет отключена в Chrome 81, намеченном на 17 марта 2020 года.

Обновление Ruby 2.6.5, 2.5.7 и 2.4.8 с устранением уязвимостей
Сформированы корректирующие релизы языка программирования Ruby 2.6.5, 2.5.7 и 2.4.8 в котором устранены четыре уязвимости. Наиболее опасная уязвимость (CVE-2019-16255) в стандартной библиотеке Shell (lib/shell.rb), которая позволяет осуществить подстановку кода. В случае передачи в первом аргументе методов Shell# или Shell#test, используемых для проверки наличия файла, полученных от пользователя данных, атакующий может добиться вызова произвольного Ruby-метода.

Опубликован транслятор языка Ада на базе LLVM
Разработчики GNAT, компилятора языка Ада, опубликовали на GitHub код транслятора gnat-llvm, использующий генератор кода от проекта LLVM. Разработчики надеются привлечь сообщество к развитию транслятора и экспериментам с использованием его в новых для языка направлениях, таких как интеграция с виртуальной машиной KLEE LLVM Execution Engine для тестирования программ, генерация WebAssembly, генерация SPIR-V для OpenCL и Vulkan, поддержки новых целевых платформ.

Выпуск системы машинного обучения TensorFlow 2.0
Представлен значительный выпуск платформы машинного обучения TensorFlow 2.0, предоставляющей готовые реализации различных алгоритмов глубокого машинного обучения, простой программный интерфейс для построения моделей на языке Python и низкоуровневый интерфейс для языка С++, позволяющий управлять построением и выполнением вычислительных графов. Код системы написан на языках С++ и Python и распространяется под лицензией Apache.

Проект KDE внедряет GitLab. Разработка GitLab EE и CE перенесена в общий репозиторий
Проект KDE ввёл в строй инфраструктуру совместной разработки на базе открытой платформы GitLab, которая позволит снизить барьер вхождения новых участников, сделает участие в развитии KDE более привычным и расширит возможности инструментов для разработки, сопровождения цикла разработки, непрерывной интеграции и рецензирования изменений. Ранее проектом применялась платформа Phabricator (и cgit), которая воспринимается многими новыми разработчиками как непривычная. GitLab достаточно близок по возможностям к GitHub, является свободным ПО и уже применяется во многих смежных открытых проектах, таких как GNOME, Wayland, Debian и FreeDesktop.org.

Локальная root-уязвимость в pam-python
В предоставляемом проектом pam-python PAM-модуле, позволяющем подключать модули аутентификации на языке Python, выявлена уязвимость (CVE-2019-16729), дающая возможность повысить свои привилегии в системе. При использовании уязвимой версии pam-python (по умолчанию не устанавливается), локальный пользователь может получить доступ с правами root, путём манипуляций с обрабатываемыми в Python по умолчанию переменными окружения (например, можно инициировать сохранение файла с байткодом для перезаписи системных файлов).

Выпуск облачного хранилища Nextcloud 17
Представлен выпуск облачной платформы Nextcloud 17, развивающейся как форк проекта ownCloud, созданный основными разработчиками данной системы. Nextcloud и ownCloud позволяют на своих серверных системах развернуть полноценное облачное хранилище с поддержкой синхронизации и обмена данными, а также предлагающего такие сопутствующие функции, как средства для ведения видеооконференций, обмена сообщениями и, начиная с текущего выпуска, интеграцией функций для создания децентрализованной социальной сети. Исходные тексты Nextcloud, как и ownCloud, распространяются под лицензией AGPL.

В ядро Linux 5.4 приняты патчи для ограничения доступа root к внутренностям ядра
Линус Торвальдс принял в состав будущего выпуска ядра Linux 5.4 набор патчей "lockdown", предложенный Дэвидом Хоуэллсом (David Howells, работает в Red Hat) и Мэтью Гарретом (Matthew Garrett, работает в Google) для ограничения доступа пользователя root к ядру. Связанная с "lockdown" функциональность вынесена в опционально загружаемый LSM-модуль (Linux Security Module), устанавливающий барьер между UID 0 и ядром, ограничивая определённую низкоуровневую функциональность.

Опубликован Exim 4.92.3 с устранением четвёртой за год критической уязвимости
Опубликован экстренный выпуск почтового сервера Exim 4.92.3 с устранением очередной критической уязвимости (CVE-2019-16928), потенциально позволяющей удалённо выполнить свой код на сервере через передачу специально оформленной строки в команде EHLO. Уязвимость проявляется на стадии после сброса привилегий и ограничена выполнением кода с правами непривилегированного пользователя, под которым выполняется обработчик поступающих сообщений.