| 08.08.2021 Уязвимость в сетевых библиотеках языков Rust и Go, позволяющая обойти проверку IP-адресов (383 +36) |
В стандартных библиотеках языков Rust и Go выявлены уязвимости, связанные с некорректной обработкой IP-адресов с восьмеричными цифрами в функциях разбора адреса. Уязвимости позволяют обойти проверки допустимых адресов в приложениях, например, для организации обращения к адресам loopback-интерфейса (127.x.x.x) или интранет-подсетям при совершении атак SSRF (Server-side request forgery). Уязвимости продолжают цикл проблем, ранее выявленных в библиотеках node-netmask (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, CVE-2021-29921), Data::Validate::IP (Perl, CVE-2021-29662) и Net::Netmask (Perl, CVE-2021-29424)...
|
|
| 07.08.2021 Новая атака на системы фронтэнд-бэкенд, позволяющая вклиниться в запросы (160 +33) |
Web-системы, в которых фронтэнд принимает соединения по HTTP/2 и передаёт бэкенду по HTTP/1.1, оказались подвержены новому варианту атаки "HTTP Request Smuggling", позволяющей через отправку специально оформленных клиентских запросов вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом. Атака может быть использована для подстановки вредоносного JavaScript-кода в сеанс с легитимным сайтом, обхода систем ограничения доступа и перехвата параметров аутентификации...
|
|
| 06.08.2021 Pwnie Awards 2021: наиболее существенные уязвимости и провалы в безопасности (123 +44) |
Определены победители ежегодной премии Pwnie Awards 2021, выделяющей наиболее значительные уязвимости и абсурдные провалы в области компьютерной безопасности. Pwnie Awards считается аналогом Оскара и Золотой малины в области компьютерной безопасности...
|
|
| 06.08.2021 Выпуск платформы для интернета вещей EdgeX 2.0 (40 –2) |
Представлен выпуск EdgeX 2.0, открытой модульной платформы для обеспечения взаимодействия между IoT-устройствами, приложениями и сервисами. Платформа не привязана к оборудованию конкретных поставщиков и операционным системам, и развивается независимой рабочей группой, под эгидой организации Linux Foundation. Компоненты платформы написаны на языке Go и распространяются под лицензией Apache 2.0...
|
|
| 05.08.2021 Кейс Кук из Google призвал модернизировать процесс работы над ошибками в ядре Linux (173 –24) |
Кейс Кук (Kees Cook), бывший главный системный администратор kernel.org и лидер Ubuntu Security Team, ныне работающий в компании Google над обеспечением защиты Android и ChromeOS, выразил опасение текущим процессом исправления ошибок в стабильных ветках ядра. Еженедельно в стабильные ветки включается около ста исправлений, а после закрытия окна приёма изменений в следующий релиз приближается к тысяче (сопровождающие удерживают исправления до закрытия окна, а после формирования "-rc1" публикуют накопившееся разом), что слишком много и требует больших трудозатрат для сопровождения продуктов на базе ядра Linux...
|
|
| 05.08.2021 Релиз Mesa 21.2, свободной реализации OpenGL и Vulkan (32 +35) |
После трёх месяцев разработки опубликован релиз свободной реализации API OpenGL и Vulkan - Mesa 21.2.0. Первый выпуск ветки Mesa 21.2.0 имеет экспериментальный статус - после проведения окончательной стабилизации кода будет выпущена стабильная версия 21.2.1...
|
|
| 04.08.2021 Системный менеджер InitWare, форк systemd, портирован для OpenBSD (143 +18) |
Проект InitWare, развивающий экспериментальный форк системного менеджера systemd, реализовал поддержку операционной системы OpenBSD на уровне возможности управления пользовательскими сервисами (user manager - режим "iwctl --user", позволяющий пользователям управлять собственными сервисами). PID1 и системные сервисы пока не поддерживаются. Ранее аналогичная поддержка была обеспечена для DragonFly BSD, а возможность управления системными сервисами и управления входом для NetBSD и FreeBSD. Следующим шагом станет реализация поддержки управления пользовательскими сервисами для Illumos...
|
|
| 03.08.2021 Выпуск Chrome OS 92 (84 –31) |
Опубликован релиз операционной системы Chrome OS 92, основанной на ядре Linux, системном менеджере upstart, сборочном инструментарии ebuild/portage, открытых компонентах и web-браузере Chrome 92. Пользовательское окружение Chrome OS ограничивается web-браузером, а вместо стандартных программ задействованы web-приложения, тем не менее, Chrome OS включает в себя полноценный многооконный интерфейс, рабочий стол и панель задач. Сборка Chrome OS 92 доступна для большинства актуальных моделей Chromebook. Энтузиастами сформированы неофициальные сборки для обычных компьютеров с процессорами x86, x86_64 и ARM. Исходные тексты распространяются под свободной лицензией Apache 2.0...
|
|
| 03.08.2021 Представлена реализация VPN WireGuard для ядра Windows (117 +20) |
Джейсон Доненфилд (Jason A. Donenfeld), автор VPN WireGuard, представил проект WireGuardNT, развивающий высокопроизводительный порт VPN WireGuard для ядра Windows, совместимый с Windows 7, 8, 8.1 и 10, и поддерживающий архитектуры AMD64, x86, ARM64 и ARM. Код реализации распространяется под лицензией GPLv2. Новый драйвер уже включён в состав клиента WireGuard для Windows, но пока помечен экспериментальным и не активирован по умолчанию...
|
|
| 02.08.2021 Уязвимости в eBPF, позволяющие обойти защиту от атаки Spectre 4 (154 +13) |
В ядре Linux выявлены две уязвимости, позволяющие использовать подсистему еBPF для обхода защиты от атаки Spectre v4 (SSB, Speculative Store Bypass). При помощи непривилегированной BPF-программы атакующий может создать условия для спекулятивного выполнения определённых операций и определить содержимое произвольных областей памяти ядра. Сопровождающие подсистемы eBPF в ядре получили доступ к прототипу эксплоита, демонстрирующего возможность совершения атак на практике. Проблемы устранены в форме патчей (1, 2), которые войдут в состав ближайшего обновления ядра Linux. Обновления в дистрибутивах пока не сформированы (Debian, RHEL, SUSE, Arch, Fedora, Ubuntu)...
|
|
| 02.08.2021 Выпуск системной библиотеки Glibc 2.34 (93 +25) |
После шести месяцев разработки опубликован релиз системной библиотеки GNU C Library (glibc) 2.34, которая полностью следует требованиям стандартов ISO C11 и POSIX.1-2017. В состав нового выпуска включены исправления от 66 разработчиков...
|
|
| 01.08.2021 Обновление голосовых данных Mozilla Common Voice 7.0 (36 +12) |
Компании NVIDIA и Mozilla представили обновление наборов голосовых данных, собранных в результате инициативы Common Voice и включающих примеры произношения 182 тысяч людей, что на 25% больше, чем 6 месяцев назад. Данные опубликованы как общественное достояние (CC0). Предложенные наборы можно использовать в системах машинного обучения для построения моделей распознавания и синтеза речи...
|
|
| 31.07.2021 Драйвер NTFS от Paragon Software может быть принят в состав ядра Linux 5.15 (362 +100) |
При обсуждении на днях опубликованной 27 редакции набора патчей с реализацией файловой системы NTFS от компании Paragon Software, Линус Торвальдс сообщил, что не видит препятствий для приёма данного набора патчей в следующее окно приёма изменений. Если не будет выявлено непредвиденных проблем, то поддержка NTFS от Paragon Software будет включена в состав ядра 5.15, релиз которого ожидается в ноябре...
|
|
| 30.07.2021 46% Python-пакетов в репозитории PyPI содержат потенциально небезопасный код (179 +19) |
Группа исследователей из Университета Турку (Финляндия) опубликовала результаты анализа пакетов в репозитории PyPI на предмет использования потенциально опасных конструкций, способных привести к появлению уязвимостей. В ходе анализа 197 тысяч пакетов выявлено 749 тысяч потенциальных проблем с безопасностью. В 46% пакетов присутствует как минимум одна подобная проблема. Среди наиболее часто встречающихся проблем выделяются недоработки, связанные с обработкой исключений и использованием возможностей, допускающей подстановку кода...
|
|
| 30.07.2021 Проект Glibc отменил обязательную передачу прав на код Фонду СПО (109 –17) |
Разработчики системной библиотеки GNU C Library (glibc) внесли изменения в правила приёма изменений и передачи авторских прав, отменяющие обязательную передачу Фонду СПО имущественных прав на код. По аналогии с изменениями, ранее принятыми в проекте GCC, подписание CLA-соглашения с Фондом СПО в Glibc переведено в разряд необязательных операций, осуществляемых по желанию разработчика. Изменения правил, допускающие приём патчей без передачи прав фонду СПО, вступят в силу 2 августа и затронут все доступные для разработки ветки Glibc, за исключением кода, который через Gnulib используется совместно с другими проектами GNU...
|
|
| <<Предыдущие 15 элементов |
| Следующие 15 элементов>> |
