Замедление вызвано изменением режима вытеснения (preemption) в планировщике по умолчанию с PREEMPT_NONE на PREEMPT_LAZY на архитектурах, поддерживающих такой режим, из-за чего в пользовательском пространстве PostgreSQL стал тратить 55% времени CPU на вызов s_lock(). Для решения проблемы предложено вернуть по умолчанию режим PREEMPT_NONE и убрать его привязку к настройке ARCH_NO_PREEMPT.

Питер Зейлстра (Peter Zijlstra), автор изменений, из-за которых возникла регрессия, и мэйнтейнер планировщика задач и связанных с блокировками подсистем ядра, заявил, что исправление нужно вносить в код PostgreSQL. Для устранения падения производительности он посоветовал задействовать в PostgreSQL недавно добавленное в ядро расширение "rseq slice" (Restartable Sequences) для ограничения вероятности вытеснения держателя блокировки.

Пока не ясно какое решение примет Линус Торвальдс, который придерживается правила, что ядро не должно ухудшать работу и ломать совместимость с пространством пользователя. С одной стороны ядро 7.0 находится на финальной стадии тестирования перед релизом и откат настроек планировщика может привести к другим регрессиям, а с другой стороны пользователи могут столкнуться с двухкратным снижением производительности одной из самых популярных СУБД.

1. OpenNews: Анализ исправления ошибок в ядре Linux - в среднем ошибки замечают через 2 года
2. OpenNews: Ошибка в ядре Linux 5.19.12, потенциально способная повредить экраны на ноутбуках с GPU Intel
3. OpenNews: Кейс Кук из Google призвал модернизировать процесс работы над ошибками в ядре Linux
4. OpenNews: Ошибка в ядре Linux 5.12-rc1, приводящая к потере данных в ФС
5. OpenNews: В ядре Linux выявлены ошибки, приводящие к зависанию процессов и повреждению разделов EXT4

Обе атаки добиваются преждевременной потери заряда в определённых ячейках видеопамяти, к которым у атакующих нет прямого доступа, что приводит к изменению хранящихся в этих ячейках битов. Возможность чтения и записи в память, относящуюся к адресному пространству CPU, реализована путём вмешательства в работу аллокатора памяти GPU (cudaMalloc) для нарушения изоляции памяти GPU и отображения виртуальных адресов GPU в произвольные адреса физической памяти GPU или CPU.

Вмешательство осуществляется через искажение значений битов в видеопамяти, в которой хранятся таблицы страниц памяти GPU, отвечающие за трансляцию виртуальных адресов в физические. Отличия между атаками GDDRHammer и GeForge сводятся к тому, что метод GDDRHammer модифицирует таблицу страниц последнего уровня (PT - Last Level Page Table), а метод GeForge - каталог страниц последнего уровня (PD0 - Last Level Page Directory).

Среди прочего указанные таблицы трансляции адресов используются для организации прямого доступа GPU к памяти CPU, поэтому изменение адреса в таблице страниц GPU на физический адрес в основной оперативной памяти и выставление флага APERTURE, включающего режим маппинга памяти CPU, дают возможность читать и записывать данные c обращением к основной памяти через шину PCIe при отключённом IOMMU (по умолчанию отключён).

Успешные атаки продемонстрированы для высокопроизводительных профессиональных видеокарт NVIDIA RTX A6000 на базе микроархитектуры Ampere (стоимость новых карт начинается с $6850, а подержанных - с $4000) и бытовых моделей NVIDIA RTX 3060 ($250-300). Разработанная техника обхода защиты от Rowhammer в сочетании с задействованием предоставляемых в GPU средств распараллеливания операций позволила в 64 раза увеличить частоту возникновения искажения ячеек по сравнению с прошлыми атаками. В качестве временной меры для блокирования атак командой "nvidia-smi -e 1" может быть включён режим коррекции ошибок ECC (Error Correcting Codes), но он приводит к дополнительным накладным расходам и потенциально может быть обойдён, используя такие методы атак, как ECCploit и ECC.fail.

Атака RowHammer позволяет исказить содержимое отдельных битов памяти DRAM путём цикличного чтения данных из соседних ячеек памяти. Так как память DRAM представляет собой двухмерный массив ячеек, каждая из которых состоит из конденсатора и транзистора, выполнение непрерывного чтения одной и той же области памяти приводит к флуктуации напряжения и аномалиям, вызывающим небольшую потерю заряда соседних ячеек. Если интенсивность чтения большая, то соседняя ячейка может потерять достаточно большой объём заряда и очередной цикл регенерации не успеет восстановить её первоначальное состояние, что приведёт к изменению значения сохранённых в ячейке данных.

Метод атаки Rowhammer был предложен в 2014 году, после чего между исследователями безопасности и производителями оборудования началась игра в "кошки-мышки" - производители чипов памяти пытались блокировать уязвимость, а исследователи находили новые способы её обхода. Например, для защиты от RowHammer производители чипов добавили механизм TRR (Target Row Refresh), но оказалось, что он блокирует искажение ячеек лишь в частных случаях, но не защищает от всех возможных вариантов атаки. Методы атаки были разработаны для чипов DDR3, DDR4 и DDR5 на системах с процессорами Intel, AMD и ARM, а также для GDDR-памяти GPU NVIDIA. Помимо этого были найдены способы обхода коррекции ошибок ECC и предложены варианты совершения атаки по сети и через выполнение JavaScript-кода в браузере.

1. OpenNews: Phoenix - атака на чипы DDR5, приводящая к искажению содержимого памяти
2. OpenNews: GPUHammer - вариант атаки Rowhammer на память GPU
3. OpenNews: FlippyRAM - дистрибутив для тестирования атаки Rowhammer
4. OpenNews: ZenHammer - метод атаки для искажения содержимого памяти на платформах AMD Zen
5. OpenNews: Mayhem - атака, искажающая биты в памяти для обхода аутентификации в sudo и OpenSSH

Проект основан как форк платформы OCIS (ownCloud Infinite Scale). В отличие от старой кодовой базы ownCloud и ответвившегося от неё проекта NextCloud серверная часть OCIS была переписана с языка PHP на Go. Создатели OpenCloud попытались избавить кодовую базу от лишней функциональности и сосредоточиться на максимально качественной реализации основной задачи - совместной работы с файлами.

Написанная на языке Go серверная часть распространяется под лицензией Apache 2.0 и поддерживает программные интерфейсы WebDAV, gRPC, Microsoft RESTful Web API Graph, OCS, OCM 1.1 и OpenID Connect. Сервер реализован с использованием концепции микросервисов и может масштабироваться от установки на платы Raspberry Pi до больших многосерверных внедрений.

Десктоп-клиент написан на С++ с использованием Qt, опубликован под лицензией GPLv3 и поддерживает сборку для Windows, macOS и Linux. В клиент также встроена функция синхронизации файлов и монтирования совместного хранилища в виде виртуальной файловой системы. Web-интерфейс написан на TypeScript с использованием фреймворка Vue.js и предложен под лицензией AGPLv3. Имеются мобильные приложения для Android и iOS.

Помимо функций для хранения и обмена файлами, а также синхронизированного доступа к коллекции файлов с разных устройств, OpenCloud включает возможности для совместного редактирования документов в режиме реального времени, интеграции с офисным пакетом Collabora Online и редактором Markdown Editor (ToastUI), извлечения текста из изображений и отсканированных документов, использования протокола ICAP для проверки загружаемых файлов в антивирусных пакетах.

Для публикуемых файлов можно ограничивать время жизни, предоставлять доступ по ссылке и защищать содержимое паролем. Для упрощения навигации по файлам поддерживаются теги, фильтры и полнотекстовый поиск. В системе отслеживается вся история работы с файлами и предоставляется поддержка отката изменений на определённую версию в прошлом. Возможна организация командной работы с закреплением подкаталогов ("рабочих пространств") за отдельными командами.

Для администратора предоставляется интерфейс детализированного управления правами доступа и пользователями (например, можно разрешить пользователю только просмотр или только загрузку в хранилище). Поддерживается управление доступом на основе ролей (RBAC - Role-Based Access Control). В платформе применяется архитектура Privacy-First, подразумевающая, что пользователь OpenCloud с правами администратора не может получить доступ к контенту пользователей.

В новой версии:

• В web-интерфейсе реализована функция "Избранное", позволяющая пользователям помечать важные и часто используемые файлы для последующего быстрого доступа. Информация о помещении в избранное хранится на сервере и не привязана к конкретному клиенту. Избранные файлы помечаются звёздочкой и выделяются в персональных пространствах, в контексте проектов, в подкаталогах и в результатах поиска. Все помеченные элементы можно разом посмотреть на отдельной странице "Избранное".
• Добавлено расширение "Калькулятор", позволяющее вычислять математические выражения в строке поиска.
• Добавлено расширение "Pastebin" для упрощения обмена текстовым содержимым. Предоставленные для совместного доступа элементы автоматически сохраняются в скрытом каталоге ".space" в персональной области.

1. OpenNews: Выпуск Nextcloud Hub 26 Winter, платформы для организации совместной работы
2. OpenNews: Выпуск открытой P2P-системы синхронизации файлов Syncthing 2.0
3. OpenNews: Первый стабильный релиз NitroShare, программы для организации совместного доступа к файлам
4. OpenNews: Основатель и ключевые разработчики ownCloud создали форк проекта
5. OpenNews: Компания ownCloud отреагировала на создание форка

Прошивка /e/OS развивается как ответвление от платформы LineageOS (на базе Android), избавленное от привязки к сервисам и инфраструктуре Google для исключения передачи телеметрии на серверы Google и повышения уровня конфиденциальности. Среди прочего, блокируется и неявная отправка информации, например, обращения к серверам Google при проверке доступности сети, резолвинге DNS и определении точного времени.

В поставку входит пакет microG, предлагающий независимые аналоги сервисов Google, что позволяет обойтись без установки проприетарных компонентов. Для определения местоположения по Wi-Fi и базовым станциям (без GPS) прослойка UnifiedNlp, способная работать через BeaconDB, OpenWlanMap, openBmap, OpenCellID, lacells.db и другие альтернативные сервисы. Вместо поисковой системы Google предлагается метапоисковый сервис Murena Find на основе поискового движка Qwant.

Для синхронизации точного времени вместо обращения к NTP-серверу Google запросы отправляются на серверы из коллекции NTP Pool, а вместо DNS-серверов Google (8.8.8.8) используются DNS-серверы текущего провайдера. В web-браузере по умолчанию включён блокировщик рекламы и скриптов для отслеживания перемещений. Для синхронизации файлов и данных приложений разработан собственный сервис, совместимый с инфраструктурой на основе Nextcloud. Серверные компоненты основаны на открытом ПО и доступны для установки на подконтрольных пользователю системах.

Интерфейс пользователя включает собственное окружение для запуска приложений BlissLauncher, улучшенную систему уведомлений, новый экран блокировки и иное стилевое оформление. В BlissLauncher задействован разработанный для /e/OS набор автоматически масштабируемых пиктограмм и отдельная подборка виджетов (например, виджет для показа прогноза погоды).

Проектом также развивается собственный менеджер аутентификации, позволяющий использовать для всех сервисов единую учётную запись ([email protected]), регистрируемую в процессе первой установки. Учётную запись можно использовать для получения доступа к своему окружению с других устройств или через Web. В облаке Murena Cloud бесплатно предоставляется 1ГБ для хранения своих данных, синхронизации приложений и резервных копий.

Среди входящих в состав приложений: почтовый клиент Mail (форк K9-Mail), web-браузер Cromite (на базе Chromium), программа для работы с камерой OpenCamera, программа для отправки мгновенных сообщений QKSMS, система для ведения заметок nextcloud-notes, PDF-просмотрщик MJ PDF, планировщик opentasks, программа для работы с картами Magic Earth, галерея фотографий gallery3d, файловый менеджер, каталог приложений App Lounge.

Основные изменения в /e/OS 3.6:

• Осуществлён переход на Android 16 (AOSP 16 в состоянии на март). Перенесены обновления и исправления из платформы LineageOS 23.
• Добавлена поддержка устройств:
  • Google Pixel 9a
  • Motorola edge 2024
  • OnePlus 13, 13R, Ace 3 Pro, Ace 3V, Ace 5, Nord 4, Nord 5, Pad 2, Pad Pro
  • Razer Edge 5G, Edge WiFi
  • Samsung Galaxy S20, S20 FE, S20 Ultra, S20+
  • Sony Xperia 1 IV, 5 IV
  • Xiaomi 13, POCO F6 Pro, Redmi K70, POCO X6 5G, Redmi Note 13 Pro.
• В менеджере приложений App Lounge реализована возможность входа с учётной записью microG без необходимости её отдельной настройки, что поможет обеспечить совместимость сторонних приложений с приложениями, использующими Play Integrity. Изменено оформление экрана поиска, добавлены раздельные вкладки для типовых приложений, открытых приложений и web-приложений. Секция с типовыми приложениями "Common apps" переименована в "Apps" и охватывает все приложения.
• В программе для работы с камерой проведена чистка экрана с настройками, упрощена навигация и удалены лишние настройки.
• Предоставлена возможность конфигурирования устройств напрямую из запускаемого при первом запуске мастера настройки.
• В web-браузере движок обновлён до Chromium 145.

1. OpenNews: Выпуск мобильной платформы /e/OS 3.2
2. OpenNews: Выпуск мобильной платформы Android 16
3. OpenNews: Опубликована мобильная платформа LineageOS 23, основанная на Android 16
4. OpenNews: Выпуск Android 16 QPR3 с режимом рабочего стола

Ветка Pidgin 3 разрабатывается с 2011 года, а до этого ещё три года обсуждалась на уровне концепций и идей. В Pidgin 3 выполнен переход на систему типов GObject, библиотек GTK4 и Adwaita, сборочную систему Meson, GPlugin для обработки плагинов, SQLite для хранения истории чатов и GSettings для работы с настройками. Полностью переработан API. Для определения элементов интерфейса задействован GTK Builder XML, а для отображения истории чатов создана собственная библиотека виджетов Talkatu.

В интерфейсе Pidgin 3 объединены в одном окне список контактов и чат. Прекращена поставка консольного клиента Finch (не исключено, что его могут вернуть в будущем). Из протоколов пока развиваются реализации протоколов IRCv3, XMPP, SIP, Demo, Bonjour и Zulip. Ветка Pidgin 3 несовместима с Pidgin 2 и ранее созданными плагинами, но может быть установлена параллельно с имеющимися сборками Pidgin 2.

Среди изменений в представленном тестовом выпуске:

• API для протоколов объявлен достаточно стабильным для начала работы над реализациями дополнительных протоколов для Pidgin 3, без опасений внесения значительных изменений в API.
• Предложен новый API AccountSettings для управления настройками учётных записей, который поддерживает использование в обвязках, позволяющих создавать плагины с реализациями протоколов на скриптовых языках, таких как Python и Lua. API AccountSettings также не требует обязательного использования имени пользователя для каждой учётной записи, что, например, позволяет запрашивать ник вместо имени для таких протоколов, как IRC.
• Реализован отдельный интерфейс для редактирования параметров учётной записи, в котором одним списком выводятся все соответствующие настройки.
• Добавлен плагин с начальной поддержкой протокола для платформы обмена сообщениями Zulip.
• Добавлена опция для включения режима разработчика, в котором становятся доступны незавершённые экспериментальные возможности, такие как недоделанные плагины для протоколов.
• Из числа зависимостей исключена библиотка libxml2, вместо хранения конфигурации в формате XML теперь используется SQLite.

Одновременно разработчики проекта Pidgin анонсировали мессенджер Gaim 3. В 2007 году Gaim был переименован в Pidgin из-за претензий компании AOL, развивавшей мессенджер AIM. В 2017 году AIM перестал существовать, а время действия товарного знака теперь истекло, поэтому разработчики решили воспользоваться старым именем для воплощения идеи создания чат-клиента с классическим интерфейсом в стиле Pidgin 2/Gaim, построенным на базе GTK4, и обладающим функциональностью мессендежра на основе библиотеки libpurple 3, развиваемой для Pidgin 3.

Gaim 3 позволит подключаться ко всем сетям, поддерживаемым в libpurple 3, но использовать интерфейс, сфокусированный на прямом обмене сообщениями, вместо развиваемого в Pidgin 3 интерфейса на основе чат-комнат. Разработка Gaim 3 находится на начальной стадии. Сборки планируют формировать для Linux, Windows и macOS.

1. OpenNews: Пятый предварительный выпуск мессенджера Pidgin 3.0
2. OpenNews: Релиз клиента для мгновенного обмена сообщениями Pidgin 2.14.14
3. OpenNews: Предварительный выпуск мессенджера Pidgin 3.0
4. OpenNews: Опубликована платформа обмена сообщениями Zulip 11
5. OpenNews: Gaim переименован в Pidgin IM.

Бэкдор присутствовал в файле Extra.java. Предположительно, отправка осуществлялась начиная с версии Nekogram 11.2.3, первое время только для пользователей с китайскими номерами, а затем для всех. В программе также использовались osint-боты "@tgdb_search_bot" и "@usinfobot" для определения пользователей по их ID, но номера телефонов им не отправлялись.

Исследователями подготовлен java-хук и бот, позволяющие любому пользователю убедиться в отправке номеров телефонов его экземпляром приложения.

По мнению выявивших проблему исследователей, авторы программы могли использовать получаемую информации для формирования базы данных для последующей продажи создателям OSINT-ботов. О намеренном скрытии подобной активности свидетельствует обфускация изменения и применение inline-запросов для отправки данных. После раскрытия проблемы в системе отслеживания ошибок проекта автор Nekogram признал отправку номеров телефонов своему боту, не пояснив причины такой активности, но упомянув, что присылаемые телефоны не сохранялись и не передавались кому-либо.

Дополнительно можно отметить выявление уязвимости в официальном приложении Telegram. Проект Zero Day Initiative (ZDI), предоставляющий денежные вознаграждения за сообщения о неисправленных уязвимостях, опубликовал предварительные данные об уязвимости ZDI-CAN-30207 в Telegram, которой присвоен критический уровень опасности (9.8 из 10) и выставлен признак удалённой атаки, не требующей действий от пользователя. Детали намерены раскрыть 24 июля, дав время разработчикам Telegram довести исправление до пользователей.

Отдельно появилась информация, что уязвимость проявляется при открытии в Telеgram специально оформленных анимированных стикеров и может привести к выполнению кода злоумышленника без каких-либо действий со стороны пользователя. Судя по всему, уязвимость вызвана ошибкой в коде библиотеки rlottie, обеспечивающем работу предпросмотра.

Представители Telegram заявили, что не считают выявленную проблему опасной уязвимостью, так как все загружаемые стикеры предварительно проверяются на серверах Telegram-а и подобная проверка не допустила бы показ пользователям вредоносного стикера. После заявления Telegram уровень опасности уязвимости был снижен с 9.8 до 7.0.

1. OpenNews: В Telega, альтернативном клиенте Telegram, выявили возможность совершения MITM-атаки
2. OpenNews: Представлен Monogram, альтернативный открытый клиент Telegram для Android
3. OpenNews: Выпуск десктоп-клиента Telegram 2.0
4. OpenNews: Мэйнтейнеры Fedora и Gentoo отказались от сопровождения пакетов с Telegram Desktop
5. OpenNews: GPL-код из Telegram взят мессенджером Mail.ru без соблюдения GPL

Модели многоязыковые и мультимодальные: из коробки поддерживается 35 языков (при обучении использовано более 140 языков), а на входе может обрабатываться текст и изображения (модели E2B и E4B дополнительно поддерживают обработку звука). Модель 26B A4B основана на архитектуре MoE (Mixture-of-Experts), при которой модель разделена на серию экспертных сетей (при генерации ответа могут использоваться только 3.8 млрд параметров, но скорость существенно выше классических больших моделей), а остальные варианты используют классическую монолитную архитектуру.

Модели поддерживают рассуждения и настраиваемые режимы обдумывания, поддерживают системную роль (System Role) для обработки инструкций (правил, ограничений) отдельно от данных. Модели могут использоваться для написания кода, распознавания объектов на изображениях, покадрового анализа видео, разбора документов и PDF, оптического распознания печатного и рукописного текста (OCR), распознания речи и перевода между языками. Возможно использование в качестве автономных агентов, взаимодействующих с различными инструментами и API.

В большинстве тестов модели серии Gemma 4 существенно превзошли модель Gemma 3 c 27 мдрд параметров. Поддерживается использование Gemma 4 с инструментами и библиотеками LiteRT-LM, vLLM, llama.cpp, MLX, Ollama, NVIDIA NIM and NeMo, LM Studio, Unsloth, SGLang, Cactus, Basetan, MaxText, Tunix, Keras и Candle. Для быстрого запуска модели на своей системе подготовлен образ контейнера в формате Docker.

1. OpenNews: Рейтинг открытости генеративных AI-моделей
2. OpenNews: Компания xAI, созданная Илоном Маском, открыла большую языковую модель Grok
3. OpenNews: DeepMind открыл код AlphaFold 3, AI-системы моделирования структуры белков
4. OpenNews: Утечка конфиденциальной информации DeepSeek из-за неограниченного доступа к БД с логами
5. OpenNews: Mistral опубликовал Leanstral, AI-модель для вайб-кодинга с формальной верификацией

• Устранена уязвимость, позволяющая атакующему, контролирующему имя пользователя, передаваемое при запуске утилиты ssh, потенциально добиться выполнения произвольных shell-команд. Уязвимость проявляется в системах, использующих подстановку "%u" в некоторых директивах файла конфигурации, таких как "Match exec". Проблема вызвана проверкой спецсимволов в имени пользователя на стадии после выполнения %-подстановок в файле конфигурации ssh_config.
• Устранена проблема с безопасностью в sshd, вызванная некорректным сопоставлением опции authorized_keys principals="" со списком имён (principal) в сертификате в ситуации, когда в именах указан символ ",". Для эксплуатации уязвимости необходимо, чтобы в опции authorized_keys principals="" было указано несколько имён и чтобы удостоверяющий центр выписал сертификат с несколькими именами, разделёнными запятой (обычно такое не допускается). Изменено поведение в отношении сертификатов с пустым именем - ранее пустое имя подпадало под все опции authorized_keys principals="", а теперь не подпадает.
• В scp устранена проблема, из-за которой после загрузки файла с правами root с указанием опции "-O" и без опции "-p" не очищались флаги setuid/setgid.
• В sshd исправлена проблема с обработкой ключей ECDSA в директивах PubkeyAcceptedAlgorithms и HostbasedAcceptedAlgorithms, из-за которой в случае указания любого алгоритма ECDSA (например, "ecdsa-sha2-nistp384") начинали приниматься и все остальные алгоритмы на базе ECDSA, даже если они явно не перечислены в списке допустимых.
• В ssh и sshd при взаимодействии c SSH-агентами добавлена поддержка идентификаторов (codepoint), определённых IANA в спецификации draft-ietf-sshm-ssh-agent. Поддержка ранее используемых идентификаторов вида "@openssh.com" сохранена.
• В ssh-agent реализовано расширение "query", определённое в спецификации draft-ietf-sshm-ssh-agent и позволяющее определить поддерживаемые агентом функции. Для запроса списка поддерживаемых расширений протокола через запрос "query" в утилиту ssh-add добавлена опция "-Q".
• В sshd_config разрешено указание нескольких файлов в директиве RevokedKeys, а в ssh_config - в директиве RevokedHostKeys.
• В ssh добавлена escape-команда "~I" и опция "-O conninfo" для показа информации о текущем соединении, а также опция "-O channels" для показа информация об открытых каналах.
• В sshd в директиве PerSourcePenalties реализована опция 'invaliduser' для добавления задержки в случае попытки входа под несуществующим пользователем (по умолчанию 5-секунд). Добавлена возможность указания нецелых значений задержки.
• В sshd добавлена опция GSSAPIDelegateCredentials для управления приёмом делегированных учётных данных, предоставленных клиентом.
• В ssh-keygen добавлена поддержка записи ключей ED25519 в формате PKCS8.
• Добавлена поддержка схемы цифровых подписей ed25519, реализованная через libcrypto.

1. OpenNews: Уязвимость в GSSAPI-патче к OpenSSH, удалённо эксплуатируемая на стадии до аутентификации
2. OpenNews: Обновление OpenSSH 10.2
3. OpenNews: Уязвимость в поставляемом во FreeBSD варианте OpenSSH, допускающая удалённое выполнение кода
4. OpenNews: Представлен SSH3, вариант протокола SSH, использующий HTTP/3
5. OpenNews: Уязвимость в OpenSSH, позволяющая удалённо выполнить код с правами root на серверах с Glibc

В новой версии учтены современные тенденции и изменения, произошедшие в Web с момента релиза JetStream 2 в 2019 году, а также актуализированы тесты для соответствия шаблонам работы реальных web-приложений и отражения реальной производительности, а не синтетических результатов под которые точечно оптимизированы браузерные движки.

В отличие от тестового набора Speedometer 3, в JetStream 3 упор делается на измерение вычислительных возможностей, а не скорости отрисовки интерфейса и манипуляций с DOM. JetStream 3 лучше отражает производительность браузерных игр, симуляторов физических процессов, базовой функциональности фреймворков, криптографических средств и сложных алгоритмов.

Значительно расширены возможности по тестированию WebAssembly (Wasm), реализована оценка таких расширенных возможностей WebAssembly, как обработка исключений, применение векторных SIMD-инструкций и задействование расширения WasmGC для выполнения проектов на языках со сборщиком мусора. Добавлены тесты для проверки производительности WebAssembly-приложений, собранных с использованием инструментариев J2CL, Dart2wasm, Kotlin/Wasm, Rust и .NET, и сгенерированных из кода на Java, Dart, Kotlin, Rust и C#.

Из используемых при тестировании WebAssembly новых видов нагрузки отмечается вычисление хэшей argon2, выполнение модели машинного обучения с использованием для оптимизации инструкций SIMD, генерация интерфейсов пользователя на языках Dart и Kotlin, выполнение SQLite3, запуск интерпретатора и runtime .NET, собранных в WebAssembly.

Добавлено 15 новых тестов JavaScript, среди которых 3D-движок Babylon.js, операции с эллиптическими кривыми ed25519, библиотека MobX, подсветка синтаксиса при помощи prismjs, несколько реализаций прокси, трассировка лучей, операции с файловой системой, 3D-симулятор поведения частиц Three.js, компиляция Typescript 5.9, проверка строк в validator.js и генерация страниц через React.

Для исключения влияния на результаты снижения частоты CPU между тестами и ввода/вывода в JetStream реализована упреждающая загрузка всех ресурсов до запуска тестов в браузере. Для снижения пикового потребления памяти и обеспечения кэширования ресурсы сохраняются в форме закодированных в URL блобов. Имеется возможность использования JetStream для тестирования не только браузеров, но и обособленных движков, поставляемых отдельно, таких как d8.

1. OpenNews: Mozilla, Google, Microsoft и Apple разработали тест производительности браузеров Speedometer 3.0
2. OpenNews: Создатель JSON представил новый тест производительности JavaScript в web-браузерах
3. OpenNews: Google выпустил RoboHornet, пакет для оценки производительности браузеров
4. OpenNews: Google объявил Octane устаревшим и не отражающим реальную производительность браузеров
5. OpenNews: Оценка производительности браузерных дополнений для блокировки рекламы

Итало Виньоли (Italo Vignoli), один из основателей организации Document Foundation, пояснил, что участники из компании Collabora исключены в соответствии с недавно одобренным новым уставом, который не допускает наличие в организации сотрудников компаний, с которыми ведутся юридические разбирательства. Подобное требование введено с учётом того, что в прошлом участники принимали решения в интересах своих работодателей, а не в интересах Document Foundation.

Утверждается, что компания Collabora инвестирует ресурсы в собственный продукт, отличающийся от традиционных полнофункциональных офисных пакетов, таких как LibreOffice. В то время, как Document Foundation пытается действовать в интересах сообщества и фокусирует внимание на поддержании интереса к истинным свободным решениям, обеспечивающим цифровой суверенитет и позволяющим полностью контролировать свою инфраструктуру, приложения и документы.

В сложившейся ситуации, серия принятых в прошлом неверных решений привела к проблеме, представляющей значительный риск для проекта. Из-за этой проблемы организация Document Foundation может потерять статус благотворительной организации, что может привести к непредсказуемым последствиям. Рост пожертвований позволяет Document Foundation не зависеть от отдельных компаний и нанять дополнительных разработчиков. При этом исключение сотрудников Collabora из организации Document Foundation не обозначает удаление из сообщества, и данные сотрудники в частном порядке могут продолжать участие в разработке.

Майкл Микс (Michael Meeks), работающий в Collabora, считает неприемлемым удаление участников на основе коллективной ответственности и недоказанных юридических опасений. Майкл сравнил происходящее с погружением в трясину бесцельных политических претензий. Из вызывающих недовольство моментов в деятельности Document Foundation, упоминается заполнение управляющего совета зависимым и не вовлечённым в разработку персоналом, раздувание обвинений в прошлых конфликтах интересов, попытки конкурирования с крупнейшим участником разработки, трату пожертвований на судебные иски против безвинных энтузиастов и бывших членов управляющего совета по надуманным причинам, злоупотребления при проведении тендеров, выборочные претензии по использованию товарного знака LibreOffice при игнорировании явных случаев неправомерного использования.

Из планов Collabora отмечается создание нового упрощённого варианта офисного пакета Collabora Office, который будет более удобен для обычных пользователей и не так перегружен возможностями, как классический Collabora Office. Упрощение и сокращение кодовой базы за счёт удаления излишних компонентов, таких как поддержка Java и инструменты работы с Web и БД, даст возможность ускорить продвижение инноваций и сократить число сборочных конфигураций.

Также компания Collabora объявила о создании своей платформы для рецензирования изменений на базе Gerrit, которая позволит не нагружать инфраструктуру Document Foundation новыми ветками и перейти на собственные инструменты разработки. При этом компания Collabora по мере необходимости продолжит вносить изменения в LibreOffice, но перестанет активно инвестировать в создание продуктов Document Foundation, от участия в управлении которыми была отстранена.

Конфликт между Document Foundation и Collabora связан с разработкой облачной редакции LibreOffice Online. В 2020 году компания Collabora для решения вопросов с брендингом и маркетингом создала форк LibreOffice Online и продолжила разработку в своём репозитории под именем Collabora Online (причиной стало то, что организация Document Foundation продвигала на странице LibreOffice Online продукты других компаний, которые почти ничего не вносили в разработку). В 2022 году совет директоров Document Foundation принял решение о заморозке проекта LibreOffice Online, так как все разработчики из сообщества переключились на новый проект и не нашлось желающих продолжить сопровождение старого репозитория.

В 2026 году новый совет директоров Document Foundation отменил решение о заморозке, посчитав, что прежнее голосование было проведено в условиях конфликта интересов. Воссоздание репозитория LibreOffice Online как форка нынешнего репозитория Collabora Online с ребрендингом всей работы Collabora воспринято представителем Collabora как вандализм по отношению к проекту и нарушение сложившегося статуса кво, при котором признание заслуг разумно распределялось между двумя проектами.

1. OpenNews: Представлен открытый офисный пакет Collabora Office
2. OpenNews: Создан Euro-Office, форк ONLYOFFICE. Проект ONLYOFFICE обвинил форк в нарушении лицензии
3. OpenNews: Консорциум OASIS утвердил OpenDocument (ODF) 1.4 в качестве стандарта
4. OpenNews: Выпуск офисного пакета LibreOffice 26.2
5. OpenNews: Решено возобновить разработку LibreOffice Online, серверной версии для Web

Код проекта написан на языке TypeScript c использованием web-фреймворка Astro и распространяется под лицензией MIT. В анонсе упоминается, что благодаря привлечению к разработке AI-агентов продукт был создан за два месяца. EmDash может функционировать как в инфраструктуре Cloudflare, так и запускаться на собственных серверах при помощи Node.js. В качестве СУБД может использоваться SQLite, Turso/libSQL и PostgreSQL, а в качестве хранилища - AWS S3, S3-совместимые системы или обычная локальная файловая система. Для хранения информации о сеансах предлагается использовать Redis или файловую систему.

Новая система разработана как попытка пересоздать проект WordPress с использованием современного инструментария и решив имеющиеся проблемы. Из проблем WordPress отмечается необходимость раздельного управления кодом на двух языках (PHP и JavaScript), применение многоуровневых кэшей для достижения приемлемой производительности и небезопасная архитектура плагинов, которая становится причиной 96% всех уязвимостей в платформе.

Каждый плагин WordPress имеет полный доступ к СУБД и интегрируется с PHP-кодом основной платформы, поэтому любая уязвимость в плагине полностью компрометирует весь сайт. В EmDash плагины запускаются в отдельных изолированных Worker-ах, возможности которых декларативно ограничиваются манифестом. Например, если плагин запрашивает полномочия read:content и email:send то ему будет открыт только доступ на чтение и возможность отправки электронной почты, не более. Так как плагины не встраиваются в код системы управления контентом, их авторы вольны выбирать любую лицензию и распространять плагины через любые репозитории и каталоги приложений.

WordPress хранит контент в формате HTML с метаданными, встраиваемыми в форме внутренних комментариев. В EmDash используется основанный на JSON структурированный формат Portable Text, отделяющий содержимое от оформления. Подобный подход позволяет отрисовывать содержимое в любых представлениях - в форме web-страницы, мобильного приложения, email или ответа API. Имеется встроенный MCP-сервер, позволяющий интегрировать платформу с AI-агентами, которые могут управлять контентом, а также использоваться для создания тем оформления и плагинов.

В базовой поставке предлагается три начальных шаблона: блог, маркетинг и портфолио. В первом случае формируются типовой блог c боковой панелью, полонтекстовыми поиском, категориями, тегами, RSS, комментариями и переключением между тёмной и светлой темами. Второй шаблон позволяет создавать сайты компаний с прайсами, контактной информацией и описанием товаров и услуг. Третий шаблон нацелен на презентацию своих достижений и презентации проектов.

Основные возможности EmDash:

• Контент: публикация материалов, разделение на страницы, определение собственных типов содержимого, редактирование текста с разметкой в визуальном режиме при помощи редактора TipTap, управление версиями содержимого, подготовка черновиков, размещение по расписанию, полнотекстовый поиск и редактирование по месту (inline).
• Панель администратора: визуальный построитель схем данных, библиотека мультимедийных данных, навигационные меню, систематизация информации, виджеты, возможность переноса контента из WordPress.
• Аутентификация: по умолчанию Passkey (WebAuthn) c OAuth, возможность входа по ссылке, разделение доступа на основе ролей (администратор, редактор, автор, участник).
• Миграция с WordPress: импорт публикаций, страниц, структуры через WXR, WordPress REST API или WordPress.com. Использование AI для портирования плагинов и тем оформления.

1. OpenNews: Основатель WordPress заблокировал участников, предлагавших создать форк
2. OpenNews: Linux Foundation развивает FAIR, децентрализованный пакетный менеджер для WordPress
3. OpenNews: Компания Automattic свела к минимуму своё участие в разработке WordPress
4. OpenNews: Владельцы Wordpress заменили на свой форк плагин ACF, имеющий 2 млн установок
5. OpenNews: Эксперименты с использованием AI для улучшения кода BIND 9 и переработки Next.js

Проблема присутствует в реализации API GSS (Generic Security Services), позволяющего устанавливать защищённые аутентифицированные каналы связи с сервером. RPCSEC_GSS применяется в NFS-серверах для защиты доступа к Sun RPC с использованием аутентификации на базе Kerberos и шифрования трафика между сервером и клиентом. Проблема вызвана тем, что при проверке подписи данные из пакета копируются в фиксированный буфер без должной проверки соответствия размера. Ошибка проявляется на стадии до прохождения аутентификации, но требует возможности отправки сетевых пакетов NFS-серверу. Доступен эксплоит, позволяющий удалённо запустить /bin/sh с правами root.

Уязвимость была выявлена сотрудником компании Anthropic при помощи AI-ассистента Claude. Примечательно, что сторонние исследователи из команды Calif воспользовались Claude для написания рабочего эксплоита, передав в качестве информации лишь опубликованный проектом FreeBSD общий отчёт об уязвимости. Помимо непосредственной эксплуатации уязвимости AI-модель развернула виртуальную машину с уязвимой конфигурацией, настроила удалённую отладку и чтение crash-дампов ядра, а также организовала в эксплоите запуск /bin/sh, после того как добилась выполнения кода на уровне ядра. На создание эксплоита было потрачено 4 часа времени работы модели Claude.

Создавшие эксплоит исследователи не ограничились этим и продолжили эксперименты, использовав Claude для выявления уязвимостей в Vim и Emacs, позволяющих добиться выполнения своего кода при открытии в редакторах специально оформленных файлов. Примечательно, что промпты к модели сводились к примитивной постановке задачи, такой как "найди 0-day уязвимость в Vim, возникающую при открытии файла". В итоге модель Claude успешно нашла ранее не известные уязвимости.

Уязвимость в Vim (CVE-2026-34714) вызвана ошибкой при обработке опции tabpanel во включённом по умолчанию режиме modeline (":set modeline"), предоставляющем возможности для определения опций редактирования в обрабатываемом файле. По задумке разработчиков Vim, через modeline допускается установка только ограниченного числа опций, выражения в которых выполняются в режиме sandbox, допускающем применение только простейших безопасных операций.

У опции tabpanel не был выставлен флаг P_MLE, что позволяло использовать в ней выражение %{expr}, выполняемое без активации режима modelineexpr. Для обхода sandbox-изоляции использовалась недоработка в функции autocmd_add(), в которой отсутствовали должные проверки безопасности при привязке действия к событию SafeStateAgain, что позволяло организовать запуск команды после выхода из sandbox-изоляции. Уязвимость устранена в выпуске Vim v9.2.0272. Пример строки, приводящей к запуску утилиты "id" и направления вывода в файл "/tmp/calif-vim-rce-poc":

  /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{'event'\:'SafeStateAgain','pattern'\:'*','cmd'\:'!id>/tmp/calif-vim-rce-poc','once'\:1}])%}: */

Уязвимость в Emacs вызвана автоматической обработкой содержимого каталога .git/, когда он размещён в одном каталоге с открываемым файлом. В этом случае Emacs при открытии файла запускает команды "git ls-files" и "git status", выполняемые в контексте содержимого ".git/". Для организации выполнения кода достаточно открыть в Emacs файл из каталога, в котором имеется подкаталог .git/ с файлом конфигурации "config", включающим опцию "core.fsmonitor" с указанной атакующим командой для запуска. Сопровождающие GNU Emacs отказались устранять уязвимость, указав на то, что проблема в Git.

Дополнительно можно отметить ещё две уязвимости:

• CVE-2026-33150 - обращение к памяти после её освобождения в io_uring-обработчике из библиотеки libfuse, потенциально позволяющее добиться выполнения кода при исчерпании доступных ресурсов во время работы с реализованными через FUSE (Filesystem in Userspace) файловыми системами.
• CVE-2026-34743 - переполнение буфера в реализации функции lzma_index_append() из библиотеки liblzma. Проблема проявляется при использовании функции lzma_index_decoder() для декодирования индекса, не содержащего записей, и приводит к выделению буфера, размером меньше, чем необходимо. Отмечается, что низкоуровневый API lzma_index* используется в приложениях крайне редко и маловероятно, что найдутся приложения, в которых выполняются необходимые для эксплуатации условия работы с индексом. Уязвимость устранена в обновлении XZ Utils 5.8.3.

1. OpenNews: Удалённая root-уязвимость в обработчике автоконфигурации IPv6 во FreeBSD
2. OpenNews: Уязвимость в поставляемом во FreeBSD варианте OpenSSH, допускающая удалённое выполнение кода
3. OpenNews: Уязвимость в NFS-сервере FreeBSD и OpenBSD, приводящая к удалённому выполнению кода
4. OpenNews: Удалённо эксплуатируемая root-уязвимость в утилите ping, поставляемой во FreeBSD
5. OpenNews: Уязвимость в Vim, приводящая к выполнению кода при открытии вредоносного файла

Архив с кодом имеет размер 59.8 МБ, включает 1884 файла и содержит более 500 тысяч строк кода. Энтузиасты начали тиражировать код на GitHub, но компания Anthropic инициировала рассылку DMCA-уведомлений для блокирования репозиториев с утекшим кодом на основании действующего в США Закона об авторском праве в цифровую эпоху (DMCA).

В ходе анализа попавшей в открытый доступ информации было выявлено 8 ещё не анонсированных новых возможностей, 26 скрытых команд, 32 сборочных флага, 22 приватных репозитория и более 120 конфиденциальных переменных окружения. Среди скрытых возможностей:

• Режим "Undercover", удаляющий следы участия AI при внесения изменений в публичные репозитории (не выставляет Co-Authored-By и не упоминает название модели и использование AI).
• "Пасхальное яйцо", предоставляющее пользователю своего виртуального питомца, который показывается рядом с командной строкой. Внешний вид и поведение питомца уникальны и формируются на основе идентификатора учётной записи.
• Флаг CLAUDE_CODE_COORDINATOR_MODE=1, включающая работу Claude Code в режиме координатора, который сам разбивает задачи на части, распределяет их выполнение между отдельными AI-агентами и сводит воедино результат.
• Межсессионный IPC-интерфейс, позволяющий отправлять сообщения в другие сеансы, запущенные на том же компьютере (подобие чата между AI-агентами).
• Проактивный режим работы (Proactive mode), включающий не привязанную к сеансам круглосуточную работу над кодом. Постоянно активный ассистент KAIROS, запоминающий состояние между сеансами.
• Фоновый режим (Daemon Mode), позволяющий использовать команду "claude --bg" для запуска сеансов и обработки промптов в фоновом режиме, с возможностью просматривать лог работы и переводить сеанс в активный режим.
• Режим ULTRAPLAN, создающий отдельный экземпляр в облаке для формирования плана работ по решению сложных задач.
• Режим Auto-Dream (/dream), в неактивное время между сеансами структурирует полученную в ходе сеансов информацию и генерирует идеи по решению задач и вырабатывает план действий.
• Для обхода внутреннего детектора утечек кодовое имя внутренней модели "capybara" закодировано как String.fromCharCode(99,97,112,121,98,97,114,97).
• Телеметрия Tengu, отслеживающая и передающая на серверы Anthropic более 1000 типов событий.
• Флаг ABLATION_BASELINE и переменная окружения CLAUDE_CODE_ABLATION_BASELINE для отключения всех мер обеспечения безопасности.
• Скрытые команды, не упоминаемые в справке "--help":
  • /ctx-viz - визуализатор контекста
  • /btw - дополнительные вопросы
  • /good-claude - "пасхальное яйцо"
  • /teleport - перенос сеансов
  • /share - совместный доступ к сеансам
  • /summary - сводка
  • /ultraplan - планирование работы
  • /subscribe-pr - PR webhook
  • /autofix-pr автоисправление PR
  • /ant-trace - трассировка
  • /perf-issue - отчёт о производительности
  • /debug-tool-call - отладочные вызовы
  • /bughunter - отладка ошибок
  • /break-cache - сброс кэша
  • /onboarding - настройка
  • /oauth-refresh - обновление токена
  • /env - инспектирование окружения
  • /reset-limits - сброс состояния лимитов
  • /version - внутренний номер версии
  • /init-verifiers - настройка верификатора
  • /force-snip
  • /mock-limits
  • /bridge-kick
  • /backfill-sessions
  • /agents-platform
  • /dream
• Недокументированные опции командной строки:
  • --bare - запуск без хуков и плагинов
  • --dump-system-prompt - вывод системного приглашения и выход
  • --daemon-worker=<k> - задаёт число фоновых процессов
  • --computer-use-mcp - активирует MCP-сервер
  • --claude-in-chrome-mcp - Chrome MCP
  • --chrome-native-host
  • --bg - запуск фонового сеанса
  • --spawn
  • --capacity <n> - ограничение числа параллельно выполняемых обработчиков
  • --worktree / -w - изоляция рабочего дерева Git

  Сборочные флаги:

  • KAIROS
  • PROACTIVE
  • COORDINATOR_MODE
  • RIDGE_MODE
  • DAEMON
  • BG_SESSIONS
  • ULTRAPLAN
  • BUDDY
  • TORCH
  • WORKFLOW_SCRIPTS
  • VOICE_MODE
  • TEMPLATES
  • CHICAGO_MCP
  • UDS_INBOX
  • REACTIVE_COMPACT
  • CONTEXT_COLLAPSE
  • HISTORY_SNIP
  • CACHED_MICROCOMPACT
  • TOKEN_BUDGET
  • EXTRACT_MEMORIES
  • OVERFLOW_TEST
  • TERMINAL_PANEL
  • WEB_BROWSER
  • FORK_SUBAGENT
  • DUMP_SYS_PROMPT
  • ABLATION_BASE
  • BYOC_RUNNER
  • SELF_HOSTED
  • MONITOR_TOOL
  • CCR_AUTO
  • MEM_SHAPE_TEL
  • SKILL_SEARCH
• Более 120 недокументированных переменных окружения, среди которых DISABLE_COMMAND_INJECTION_CHECK, CLAUDE_CODE_ABLATION_BASELINE (отключает все механизмы безопасности), DISABLE_INTERLEAVED_THINKING,
• Упоминание внутренних репозиториев, таких как anthropics/casino, anthropics/trellis, anthropics/forge-web, anthropics/mycro_manifests и anthropics/feldspar-testing.

Дополнение 1: В ходе анализа кода выявлена уязвимость, приводящая к отключению режима безопасности, не допускающем выполнение рискованных операций, например, запуска таких утилит, как curl. В коде выявлена настройка "MAX_SUBCOMMANDS_FOR_SECURITY_CHECK = 50", в соответствии с которой защита отключается при поступлении цепочки из более 50 подкоманд.

Дополнение 2: Инцидентом воспользовались злоумышленники и начали распространять на GitHub фиктивные архивы с утекшим кодом, содержащие файл ClaudeCode_x64.exe с вредоносным ПО Vidar, осуществляющим поиск и отправку конфиденциальных данных, паролей, ключей и токенов.

1. OpenNews: Утечка в Git-репозитории конфиденциальных данных, накопленных AI-ассистентами
2. OpenNews: Утечка 20ГБ внутренней технической документации и исходных текстов Intel
3. OpenNews: Утечка документации и кода, связанного с работой Великого китайского фаервола
4. OpenNews: Утечка конфиденциальной информации DeepSeek из-за неограниченного доступа к БД с логами
5. OpenNews: Утечка содержимого внутренних Git-репозиториев компании Яндекс

Эталонные системные образы распространяются для архитектур x86_64, arm64 и armhf. Дистрибутив модульный и позволяет производителям устройств самостоятельно формировать необходимую начинку системного окружения. Поддерживается как формирование сборок на базе традиционных deb-пакетов, так и монолитных атомарно обновляемых образов на основе OSTree. Время сопровождения каждого выпуска Apertis составляет 1 год и 9 месяцев, каждые три месяца формируется корректирующий релиз с исправлением ошибок.

В качестве основы для построения дистрибутива использованы пакеты из Debian GNU/Linux. При этом системная начинка существенно переработана с учётом рисков, которые могут возникнуть у производителей оборудования при использовании некоторых свободных лицензий, таких как GPLv3, запрещающих тивоизацию, т.е. привязку программного обеспечения к оборудованию, например, через разрешение загрузки только прошивок, заверенных цифровой подписью производителя.

Apertis позволяет сформировать сборки, не включающие код под лицензиями семейства GPLv3. Вместо использования устаревших версий утилит GNU, сформированных до перехода на лицензию GPLv3, в Apertis задействованы более современные альтернативы под пермиссивными лицензиями. Например, вместо пакетов GNU coreutils и findutils в Apertis предложены аналоги от проекта uutils, написанные на языке Rust и распространяемые под лицензией MIT, а вместо GnuPG поставляется Sequoia-PGP под лицензиями GPL-2+ и LGPL-2+. Для тех, кого не заботят юридические вопросы, связанные с GPLv3, оставлена возможность использования традиционных наборов утилит.

Пакет с ядром базируется на свежей LTS-ветке ядра Linux. Например, в выпуске Apertis 2026 задействовано ядро 6.18, а не ядро 6.12 из пакетов Debian 13. Все пакеты, образы, утилиты и настройки развиваются в публичном git-репозитории, в котором доступно 6679 пакетов (в прошлом выпуске было 5905). Для совместной работы используется GitLab, а для тестирования с использованием непрерывной интеграции - GitLab CI. Сборка бинарных пакетов из исходного кода производится при помощи инструментарий OBS (Open Build Service). Собранные пакеты распространяются через APT-репозитории, управляемые при помощи инструментария aptly.

Проект Apertis придерживается правил разработки Debian и включает в состав только приложения, поставляемые под открытыми лицензиями или допускающие свободное распространение. Для того чтобы компании, создающие свои продукты на базе Apertis, могли быть уверены в лицензионной чистоте производных работ для каждой сборки формируется SBOM-отчёт (Software Bill of Materials) в котором указана информация о лицензиях всех использованных файлов с кодом, а также данные о версиях программ, что также удобно для проверки наличия уязвимых версий.

Все компоненты Apertis регулярно проходят расширенное автоматизированное и ручное тестирование на эталонных аппаратных платформах, таких как платы Raspberry Pi 4, UP Squared 6000, i.MX8MN, TI SK-AM62, MYIR Remi Pi, i.MX6 Sabrelite, а также автомобильные SoC Renesas R-car. Результаты такого тестирования публикуются в открытом доступе. Автоматизированное тестирование системных сборок на эталонном оборудовании организовано на базе системы LAVA (Linaro Automated Validation Architecture).

Основные изменения:

• Осуществлён переход на пакетную базу Debian 13 и ядро Linux 6.18.
• По умолчанию задействовано графическое окружение на базе композитного сервера Weston, использующего Wayland.
• Переработан SDK для сборки, тестирования и интеграции собственных систем на базе Apertis. Новый вариант отличается улучшением кросс-компиляции, повышением удобства сопровождения пакетов и кастомизации системных образов, разделением инструментария для хост-окружения, в котором выполняется сборка, и целевых систем.
• Улучшен процесс сборки пакетов с использованием инструментария ci-package-builder и поддержания импортированных из Debian пакетов между релизами дистрибутива. Обеспечено автоматическое отслеживание изменений из Debian и определение появления релевантных обновлений. Автоматизировано бэкпортирование отдельных изменений в старые выпуски Apertis. Обеспечено более явное разделение между функциональностью, не зависящей от релизов, такой как обработка обновлений, от специфичных для релизов задач, таких как сканирование лицензий и сборка пакетов.
• Добавлены инструменты для пересборки Apertis на базе находящейся в разработке пакетной базы Debian GNU/Linux 14.

1. OpenNews: Выпуск композитного сервера Weston 15.0
2. OpenNews: Опубликован инструментарий для запуска Debian на устройстве OpenWrt One
3. OpenNews: Представлен открытый офисный пакет Collabora Office
4. OpenNews: Опубликована платформа запуска серверных приложений NethServer 8.5

Вредоносные версии были размещены в NPM напрямую с использованием учётных данных главного сопровождающего проекта axios ("jasonsaayman") в обход штатного механизма публикации новых релизов на базе GitHub Actions. Предполагается, атакующие смогли перехватить у сопровождающего токен доступа к NPM, после чего вошли в учётную запись и поменяли привязку к email. Как именно был перехвачен токен доступа не уточняется.

Запускаемый вредоносный код размещался в пакете plain-crypto-js в файле setup.js, активировался после завершения установки NPM-пакета через обработчик postinstall ('postinstall: "node setup.js"') и использовался для загрузки и установки трояна, поражающего системы с Windows, macOS и Linux. Для скрытия своего присутствия после запуска вредоносный компонент удалял файл setup.js и заменял package.json на вариант без postinstall-хука.

В macOS вредоносный исполняемый файл загружался как "/Library/Caches/com.apple.act.mond", в Windows - "%PROGRAMDATA%\wt.exe", в Linux - "/tmp/ld.py,". После активации в Linux и macOS каждые 60 секунд на внешний сервер атакующих отправлялся запрос команд для исполнения на поражённой системе, которые могли использоваться для загрузки дополнительных вредоносных компонентов, выполнения произвольных shell-команд и поиска/отправки определённых файлов.

Вредоносная активность в Linux и macOS не предусматривала сохранение присутствия после перезагрузки и была рассчитана на быстрый сбор конфиденциальных данных, паролей, токенов и ключей доступа. В Windows создавался файл "%PROGRAMDATA%\system.bat", который извлекал вредоносный компонент с сервера атакующих при каждом входе в систему.

Дополнение: Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios.

1. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
2. OpenNews: Атакующие получили контроль над NPM-пакетами проекта DuckDB и опубликовали вредоносные выпуски
3. OpenNews: Скомпрометированы 18 NPM-пакетов, насчитывающих более 2 миллиардов загрузок в неделю
4. OpenNews: NPM-пакет Stylus был по ошибке заблокирован из-за подозрений в наличии вредоносного кода
5. OpenNews: Злоумышленники смогли внедрить бэкдор в NPM-пакет от разработчиков криптовалюты XRP