opennet news. Страница 29

В пакетах, размещённых в PyPI, выявлено 57 забытых ключей доступа к AWS Опубликованы результаты сканирования пакетов в репозитории PyPI (Python Package Index) на предмет наличия забытых в коде ключей доступа к Amazon Web Services (AWS). Провести проверку побудил прошлогодний инцидент с утечкой AWS-ключей компании InfoSys. Как оказалось случай не единичный и в коде представленных в PyPi пакетов удалось выявить ещё 57 действующих ключей, которые присутствовали среди прочего в проектах таких крупных компаний, как Amazon, Intel, Terradata, General Atomics, Top Glove и Delta Lake, а также в репозиториях австралийского правительства и университетов Сендфорда, Портланда и Луизианы.

Проект Valetudo развивает модификации прошивок для локального управления роботами-пылесосами Опубликован выпуск проекта Valetudo 2023.01.0, предлагающего открытое решение для избавления роботов-пылесосов от привязки к облачным сервисам. Многие модели роботов-пылесосв поддерживают управление через мобильное приложений или сайт, но ценой подобной возможности является привязка к внешнему облачному сервису производителя. Valetudo развивает набор изменений для штатных прошивок, позволяющих заменить привязку к облаку на полностью подконтрольный пользователю интерфейс, не обращающийся к внешним хостам. Код интерфейса написан на JavaScript (серверная часть использует Node.js) и распространяется под лицензией Apache 2.0.

Первый выпуск rolling-дистрибутива OpenMandriva Lx ROME Проект OpenMandriva представил первый релиз новой редакции дистрибутива OpenMandriva Lx ROME (23.01), в которой используется модель непрерывной доставки обновлений (rolling-выпуски). Предложенная редакция позволяет получить доступ к новым версиям пакетов, развиваемым для ветки OpenMandriva Lx 5, не дожидаясь формирования классического дистрибутива. Для загрузки подготовлены iso-образы размером 2.8 ГБ c рабочими столами KDE и GNOME, поддерживающие загрузку в Live-режиме.

Выпуск каталогизатора домашней библиотеки MyLibrary 2.0.1 Состоялся релиз каталогизатора домашней библиотеки MyLibrary 2.0.1. Код программы написан на языке программирования С++ и доступен (GitHub, GitFlic) под лицензией GPLv3. Графический интерфейс пользователя реализован с помощью библиотеки GTK4. Программа адаптирована для работы в операционных системах семейства Linux и Windows. Для пользователей Arch Linux в AUR доступен готовый пакет.

Уязвимость в приложениях на базе HTTP-библиотеки Hyper В библиотеке Hyper, предлагающей реализацию протоколов HTTP/1 и HTTP/2 на языке Rust, выявлена особенность работы с памятью, которая может использоваться для инициирования отказа в обслуживании через исчерпание доступной процессу памяти. Для эксплуатации уязвимости достаточно отправить специально оформленный HTTP-запрос уязвимому обработчику, использующему Hyper. Библиотека достаточно популярна (67 млн загрузок) и используется в качестве зависимости у 2579 проектов, представленных в каталоге crates.io.

Релиз OpenIPC 2.3, альтернативной прошивки для камер видеонаблюдения После года разработки сформирован выпуск Linux-дистрибутива OpenIPC 2.3, предназначенного для использования в камерах видеонаблюдения вместо штатных прошивок, большинство из которых со временем перестают обновляться производителями. Наработки проекта распространяются под лицензией MIT. Образы прошивок подготовлены для IP-камер на основе чипов Hisilicon Hi35xx, Goke GK7205, Ingenic T31, SigmaStar SSC335, XiongmaiTech XM510/XM530/XM550.

Выпуск межсетевого экрана firewalld 1.3 Опубликован релиз динамически управляемого межсетевого экрана firewalld 1.3, реализованного в форме обвязки над пакетными фильтрами nftables и iptables. Firewalld запускается в виде фонового процесса, позволяющего динамически изменять правила пакетного фильтра через D-Bus, без необходимости перезагрузки правил пакетного фильтра и без разрыва установленных соединений. Проект уже применяется во многих дистрибутивах Linux, включая RHEL 7+, Fedora 18+ и SUSE/openSUSE 15+. Код firewalld написан на языке Python и распространяется под лицензией GPLv2.

Выпуск Nuitka 1.3, компилятора для языка Python Доступен выпуск проекта Nuitka 1.3, развивающего компилятор для трансляции скриптов на языке Python в представление на языке C, которое затем можно скомпилировать в исполняемый файл, использующий libpython для обеспечения максимальной совместимости с CPython (используются штатные средства CPython для управления объектами). Обеспечена полная совместимость с актуальными выпусками Python 2.6, 2.7, 3.3 - 3.10. По сравнению с CPython скомпилированные скрипты демонстрируют в тестах pystone повышение производительности на 335%. Код проекта распространяется под лицензией Apache.

Утечка конфиденциальных данных в Slack, CircleCI и Rackspace Раскрыта информация о нескольких взломах крупных компаний, приведших к утечке конфиденциальных данных.

Выпуск WebThings Gateway 1.1, шлюз для умного дома и IoT-устройств После двух лет разработки доступен выпуск платформы для потребительских интернет-устройств WebThings Gateway 1.1. Изначально платформа развивалась компанией Mozilla, но затем была преобразована в независимый проект, управляемый и развиваемый сообществом. Платформа WebThings состоит из шлюза WebThings Gateway и библиотеки WebThings Framework. Код проекта написан на языках TypeScript и JavaScript с использованием серверной платформы Node.js и распространяется под лицензией MPL 2.0. Загрузочные сборки с интегрированной поддержкой WebThings Gateway, предоставляющие унифицированный интерфейс для настройки умного дома, подготовлены для плат Raspberry Pi и контейнеров Docker.

В Fedora 38 одобрена поставка сборок с окружениями Budgie и Sway Комитет FESCo (Fedora Engineering Steering Committee), отвечающий за техническую часть разработки дистрибутива Fedora Linux, утвердил создание официальных ISO-образов с графическими оболочками Budgie и Sway. Для сопровождения пакетов и сборок с Budgie и Sway основаны группы Budgie SIG и Sway SIG. Пакеты для установки данных окружений уже доступны в репозитории текущего стабильного релиза Fedora, но начиная с Fedora Linux 38 появится возможность использования готовых ISO-образов. Fedora Budgie Spin и Fedora Sway Spin дополнят коллекцию сборок Fedora Spins, в которой на данный момент представлены альтернативные рабочие среды, такие как KDE, Cinnamon, Xfce, LXQt, MATE, LXDE, i3 и SOAS (Sugar on a Stick).

Релиз минималистичного набора системных утилит BusyBox 1.36 Представлен релиз пакета BusyBox 1.36 с реализацией набора стандартных утилит UNIX, оформленных в виде единого исполняемого файла и оптимизированных для минимального потребления системных ресурсов при размере комплекта менее 1 Мб. Первый выпуск новой ветки 1.36 позиционируется как нестабильный, полная стабилизация будет обеспечена в версии 1.36.1, которая ожидается примерно через месяц. Код проекта распространяется под лицензией GPLv2.

Выпуск дистрибутива Nitrux 2.6 с рабочим столом NX Desktop Опубликован выпуск дистрибутива Nitrux 2.6.0, построенного на пакетной базе Debian, технологиях KDE и системе инициализации OpenRC. Проект предлагает собственный рабочий стол NX Desktop, который представляет собой надстройку над пользовательским окружением KDE Plasma. На основе библиотеки Maui для дистрибутива развивается набор типовых пользовательских приложений, которые можно использовать как на настольных системах, так и на мобильных устройствах. Для установки дополнительных приложений продвигается система самодостаточных пакетов AppImages. Размер полного загрузочного образа составляет 3 ГБ. Наработки проекта распространяются под свободными лицензиями.

Google намерен включить RISC-V в число первичных архитектур для Android На конференции RISC-V Summit компания Google заявила о намерении обеспечить официальную поддержку архитектуры RISC-V в платформе Android. Осенью в репозиторий AOSP (Android Open Source Project), в котором развиваются исходные тексты платформы Android, началось включение изменений, обеспечивающих поддержку устройств с процессорами на основе архитектуры RISC-V.

Вышла новая LTS-версия менеджера состояния Reatom Вышла новая LTS-версия Reatom 3, менеджера состояния для веб-приложений, работающих по модели Flux. Проект может применяться в качестве альтернативы Redux. В новой ветке поменялось практически все, кроме ключевых принципов: работа в выделенном глобальном контексте и разделение на чистые вычисления и побочные эффекты (side-effect) для облегчения тестирования, разделение на атомы (atoms) и действия (actions) для DCI-подобного описания логики. Код написан на JavaScript и распространяется под лицензией MIT.

Релиз операционной системы DragonFly BSD 6.4 После года разработки опубликован релиз DragonFlyBSD 6.4, операционной системы с гибридным ядром, созданной в 2003 году с целью альтернативного развития ветки FreeBSD 4.x. Из особенностей DragonFly BSD можно выделить распределённую версионную файловую систему HAMMER, поддержку загрузки "виртуальных" ядер системы как пользовательских процессов, возможность кэширования данных и мета-данных ФС на SSD-накопителях, учитывающие контекст вариантные символические ссылки, возможность заморозки процессов с сохранением их состояния на диске, гибридное ядро, использующее легковесные потоки (LWKT).

Выпуск http-сервера Lighttpd 1.4.68 Состоялся релиз легковесного http-сервера lighttpd 1.4.68, пытающегося сочетать высокую производительность, безопасность, соответствие стандартам и гибкость настройки. Lighttpd пригоден для применения на высоконагруженных системах и нацелен на низкое потребление памяти и ресурсов CPU. Код проекта написан на языке Си и распространяется под лицензией BSD.

Уязвимость в устройствах Netgear, эксплуатируемая на стадии до аутентификации Компания Netgear выпустила обновление прошивок к беспроводным маршрутизаторам серий RAX40, RAX35, R6400v2, R6700v3, R6900P, R7000P, R7000, R7960P и R8000P, в которых устранена уязвимость (CVE-2022-48196), позволяющая добиться переполнения буфера без прохождения аутентификации. Технические детали и информация о наличии эксплоитов пока не приводится, но судя по выставленному уровню опасности и рекомендации незамедлительно обновить прошивку, проблема напоминает ноябрьскую уязвимость, позволявшую добиться выполнения своего кода с правами root через манипуляции во внешней сети на стороне WAN-интерфейса.