The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

·17.04 Проект OpenBSD перешёл на использование формата PAX для tar-архивов (15 +6)
  В кодовую базу OpenBSD принято изменение, переводящее утилиту tar на использование по умолчанию формата PAX при создании архивов. Изменение войдёт в состав выпуска OpenBSD 7.6. Использование формата PAX даст возможность сохранять более длинные имена файлов, обрабатывать ссылки, использовать более точные сведения о времени и помещать в архив файлы очень большого размера.

Из минусов перехода на PAX упоминается увеличение размера несжатых архивов и ограниченная поддержка формата в экосистеме. Для возвращения старого поведения и сохранения архивов в формате TAR предлагается при вызове утилиты tar указывать опцию "-F ustar".

  1. Главная ссылка к новости
  2. OpenNews: Релиз GNU tar 1.33
  3. OpenNews: Разработчики OpenBSD экспериментируют с использованием Wayland
  4. OpenNews: Для OpenBSD реализована возможность использования рабочего стола KDE Plasma
  5. OpenNews: Выпуск OpenBSD 7.5
Обсуждение (15 +6) | Тип: К сведению |


·17.04 Попытки получения контроля над открытыми проектами, похожие на случай с пакетом xz (83 +21)
  Организация OpenSSF (Open Source Security Foundation), созданная под покровительством Linux Foundation для повышения безопасности открытого ПО, предупредила сообщество о выявлении активности, связанной с попытками получения контроля над популярными открытыми проектами, напоминающей по своему стилю действия злоумышленников в процессе подготовки к подстановке бэкдора в проект xz. По аналогии атакой на xz сомнительные личности, ранее глубоко не вовлечённые в разработку, пытались использовать методы социального инжиниринга для достижения своих целей.

Атакующие вступили в переписку с членами управляющего совета организации OpenJS Foundation, которая выступает нейтральной площадкой для совместной разработки открытых JavaScript-проектов, таких как Node.js, jQuery, Appium, Dojo, PEP, Mocha и webpack. В переписке, в которой принимало участие несколько сторонних разработчиков с сомнительной историей разработки открытого ПО, предпринимались попытки убедить руководство в необходимости обновить один из популярных JavaScript-проектов, курируемых организацией OpenJS.

В качестве причины обновления указывалось на необходимость добавления "защиты от любых критических уязвимостей". При этом никаких подробностей о сути уязвимостей не приводилось. Для реализации изменений подозрительный разработчик предложил включить его в число сопровождающих проект, в разработке которого он ранее принимал лишь небольшое участие. Кроме того, похожие подозрительные сценарии навязывания своего кода выявлены ещё в двух популярных JavaScript-проектах, не связанных с организацией OpenJS. Предполагается, что случаи не единичны и сопровождающим открытые проекты следует не терять бдительность при приёме кода и утверждении новых разработчиков.

Среди признаков, которые могут свидетельствовать о злонамеренной активности, упоминается доброжелательное, но в то же время агрессивное и настойчивое, приставание малоизвестных участников сообщества к сопровождающим или руководителям проектов с идеей продвижения своего кода или предоставления статуса сопровождающего. Внимание также следует обращать на появление группы поддержки вокруг продвигаемых идей, сформированной из вымышленных личностей, ранее не участвовавших в разработке или недавно присоединившихся в к сообществу.

При приёме изменений следует воспринимать как признаки потенциально вредоносных действий попытки включения в запросы на слияние бинарных данных (например, в xz бэкдор был передан в архивах для тестирования распаковщика) или запутанного или трудного для понимания кода. Следует обращать внимание на пробные попытки внесения изменений, незначительно снижающих безопасность, отправляемые для оценки реакции сообщества и проверки наличия лиц, отслеживающих изменения (например, в xz функция Safe_fprintf была замена на fprintf). Подозрение также должны вызывать нетипичные изменения методов компиляции, сборки и развёртывания проекта, задействование сторонних артефактов и нагнетание ощущения необходимости срочного принятия изменений.

  1. Главная ссылка к новости
  2. OpenNews: Ретроспектива продвижения бэкдора в пакет xz
  3. OpenNews: Разбор логики активации и работы бэкдора в пакете xz
  4. OpenNews: В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock
  5. OpenNews: В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd
  6. OpenNews: Учреждён проект OpenSSF, сфокусированный на повышении безопасности открытого ПО
Обсуждение (83 +21) | Тип: Тема для размышления |


·17.04 Обновление Java SE, MySQL, VirtualBox, Solaris и других продуктов Oracle с устранением уязвимостей (5 +4)
  Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В апрельском обновлении в сумме устранена 441 уязвимость.

Некоторые проблемы:

  • 10 проблем с безопасностью в Java SE и 13 проблем в GraalVM. 8 уязвимостей в Java SE могут быть эксплуатированы удалённо без проведения аутентификации и затрагивают окружения, допускающие выполнение не заслуживающего доверия кода. Наиболее опасные проблемы в Java SE (уязвимость в JavaFX/WebKitGTK) и GraalVM (уязвимость в Node.js) имеют уровень опасности 7.5 из 10. Уязвимости устранены в выпусках Java SE 22.0.1, 21.0.3 и 17.0.11.
  • 26 уязвимостей в сервере MySQL, все из которых могут быть эксплуатированы удалённо. Наиболее серьёзная проблема имеет уровень опасности 6.5 и связана с уязвимостью в openSSL. Менее опасные уязвимости затрагивают оптимизатор, InnoDB, Thread Pooling, Group Replication Plugin, Audit Plugin, DML, mysqldump. Проблемы будут устранены в выпусках MySQL Community Server 8.4.0 и 8.0.38.
  • 13 уязвимостей в VirtualBox, 7 из которых помечены как опасные (у четырёх проблем уровень опасности 8.8 из 10, а у трёх - 7.8 из 10). Подробности об уязвимостях не раскрываются, но судя по выставленному уровню опасности, они позволяют получить доступ к хост-окружению из гостевых систем. Две уязвимости проявляются только на хостах с Linux и две - только на хостах с Windows. Одна из уязвимостей допускает удалённое совершение атаки по HTTP без прохождения аутентификации, но уровень опасности для данной проблемы выставлен в 5.9 из 10 из-за сложности эксплуатации. Уязвимости устранены в обновлении VirtualBox 7.0.16.
  • 3 уязвимости в Solaris, которые затрагивают технологию Solaris Zones и системные утилиты. Проблемам присвоены уровни опасности 8.2, 7.8 и 2.0. Уязвимости устранены в обновлении Solaris 11.4 SRU68. Кроме устранения уязвимостей в новой версии также обновлены версии пакетов Explorer 24.2, Node.js 18.19.1, BIND 9.18.24, libuv 1.48.0, sendmail 8.18.1, Unbound 1.19.1, Firefox 115.9.0esr, Thunderbird 115.9.0, library/nss, library/libtiff и kernel/arch-x86.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск VirtualBox 7.0.16 с устранением уязвимостей
  3. OpenNews: Обновление Java SE, MySQL, VirtualBox, Solaris и других продуктов Oracle с устранением уязвимостей
  4. OpenNews: Возможность генерации фиктивных подписей ECDSA в Java SE. Уязвимости в MySQL, VirtualBox и Solaris
  5. OpenNews: Релиз 19.3.0 виртуальной машины GraalVM и реализаций Python, JavaScript, Ruby и R на её основе
Обсуждение (5 +4) | Тип: Проблемы безопасности |


·17.04 Выпуск VirtualBox 7.0.16 (11 +4)
  Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 7.0.16, в котором отмечено 15 исправлений. Помимо данных изменений в новой версии устранено 13 уязвимостей, 7 из которых помечены как опасные (у четырёх проблем уровень опасности 8.8 из 10, а у трёх - 7.8 из 10).

Подробности об уязвимостях не раскрываются, но судя по выставленному уровню опасности, они позволяют получить доступ к хост-окружению из гостевых систем. Две уязвимости проявляются только на хостах с Linux и две - только на хостах с Windows. Одна из уязвимостей допускает удалённое совершение атаки по HTTP без прохождения аутентификации, но уровень опасности для данной проблемы выставлен в 5.9 из 10 из-за сложности эксплуатации.

Основные изменения в VirtualBox 7.0.16:

  • В дополнениях для хостов и гостевых систем добавлена начальная поддержка ядра Linux 6.9. В дополнениях для гостевых систем добавлена поддержка ядра 6.8 (для хостов ядро 6.8 поддерживалось ранее).
  • В дополнениях для хостов и гостевых систем на базе Linux добавлена возможность запрета автоматической загрузки модуля ядра через выставление параметра mod_name.disabled=1 в командной строке ядра.
  • В хост-окружениях на базе Linux решены проблемы со сборкой модулей ядра Linux при использовании компилятора GCC 13.2.
  • В хост-окружениях на базе Linux решены проблемы с определением IPC-сокета VBoxSVC в стартовом скрипте VBox.sh, проявляющиеся при запуске виртуальной машины с использованием утилиты sudo.
  • В дополнениях для хостов и гостевых систем на базе Linux устранены предупреждения, связанные с поддержкой UBSAN и mk_pte.
  • В дополнениях гостевых систем на базе Windows отмечены улучшения, связанные с графикой.
  • В В хост-окружениях на базе macOS решены проблемы со снижением производительности виртуальных машин при использовании App Nap.
  • Упрощён запуск вложенных гостевых систем с использованием гипервизора KVM на хостах с CPU Intel.
  • Устранено аварийное завершение виртуальной машины, проявляющиеся на некоторых новых CPU AMD.
  • В драйвере USB решены проблемы с контроллерами EHCI.
  • Улучшена поддержка звуковых устройств.
  • Обновлена документация на утилиты VBoxManage и vboximg-mount.
  • В пакете Guest Control налажено задействование правильного сеанса Windows при запуске процессов в гостевых окружениях Windows.

  1. Главная ссылка к новости
  2. OpenNews: VirtualBox адаптирован для работы поверх гипервизора KVM
  3. OpenNews: Выпуск VirtualBox 7.0.14
  4. OpenNews: Уязвимость в VirtualBox, эксплуатируемая через протокол RDP
  5. OpenNews: Релиз системы виртуализации VirtualBox 7.0
Обсуждение (11 +4) | Тип: Программы |


·17.04 Проект Gentoo запретил принятие изменений, подготовленных при помощи AI-инструментов (149 +39)
  Управляющий совет дистрибутива Gentoo Linux утвердил правила, запрещающие принятие в Gentoo любого контента, созданного с использованием AI-инструментов, обрабатывающих запросы на естественном языке, таких как ChatGPT, Bard и GitHub Copilot. Подобные инструменты не должны использоваться при написании кода компонентов Gentoo, создании ebuild, подготовке документации и отправке отчётов об ошибках.

Основные опасения, из-за которых запрещено применение AI-инструментов в Gentoo:

  • Неопределённость в области возможного нарушения авторских прав в содержимом, созданном при помощи моделей, обученных на большом массиве информации, охватывающем и произведения, защищённые авторским правом. Так же упоминается невозможность гарантировать соблюдение лицензионных требований в коде, сгенерированном через AI-инструменты. Сгенерированный AI код может рассматриваться как создание производной работы от кода, который использовался при обучении модели и распространяется под определёнными лицензиями.

    Например, при обучении модели на коде с лицензией, требующей извещения об авторстве (атрибуция), в предоставляемом AI-инструментами коде данное требование не выполняется, что может рассматриваться как нарушение большинства открытых лицензий, таких как GPL, MIT и Apache. Также могут возникнуть проблемы с лицензионной совместимостью при вставке в проекты под пермиссивными лицензиями кода, сгенерированного с использованием моделей, обученных на коде с копилефт-лицензиями.

  • Возможные проблемы с качеством. Опасения связаны с тем, что сгенерированный AI-инструментами код или текст может выглядеть корректным, но содержать неявные проблемы и расхождения с фактами. Использование такого контента без проверки может привести к снижению качества проектов. Например, синтезированный код может повторять ошибки кода, используемого при обучении модели, что в итоге приведёт к появлению уязвимостей и отсутствию необходимых проверок при обработке внешних данных.

    Проверка же требует больших трудозатрат на фактчекинг и рецензирование кода. Разбирая автоматически сгенерированные отчёты об ошибках разработчики вынуждены впустую тратить много времени на анализ бесполезных отчётов и перепроверять указанные там сведения по несколько раз, так как внешнее качество оформления вызывает доверие к информации и возникает ощущение, что рецензирующий что-то недопонял.

  • Этические вопросы, связанные с нарушением авторских прав при обучении моделей, негативным влиянием на экологию из-за больших энергозатрат при создании моделей, увольнениями в связи с заменой персонала AI-сервисами, снижением качества сервисов после замены служб поддержки на ботов, расширением возможностей для спама и мошенничества.

В анонсе отмечается, что новое требование может быть выборочно отменено для AI-инструментов, для которых будет доказано отсутствие проблем с авторским правом, качеством и этикой.

  1. Главная ссылка к новости
  2. OpenNews: Исследование влияния AI-ассистентов, подобных GitHub Copilot, на безопасность кода
  3. OpenNews: Судебное разбирательство против Microsoft и OpenAI, связанное с генератором кода GitHub Copilot
  4. OpenNews: GitHub ввёл в строй систему машинного обучения Copilot, генерирующую код
  5. OpenNews: Проект Gentoo перешёл под крыло организации SPI
  6. OpenNews: Проблемы из-за подготовленных AI-инструментами отчётов об уязвимостях
Обсуждение (149 +39) | Тип: К сведению | Интересно


·16.04 Новые версии nginx 1.25.5 и форка FreeNginx 1.26.0 (23 +3)
  Сформирован выпуск основной ветки nginx 1.25.5, в рамках которой продолжается развитие новых возможностей. В параллельно поддерживаемой стабильной ветке 1.24.x вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В дальнейшем на базе основной ветки 1.25.x будет сформирована стабильная ветка 1.26. Код проекта написан на языке Си и распространяется под лицензией BSD.

Среди изменений:

  • В модуль stream добавлена поддержка виртуальных серверов, конфигурация которых определяется в блоке "server { ... }" при помощи директивы server_name.
    
       server {
           server_name ~^(www\.)?(.+)$;
           proxy_pass www.$2:12345;
       }
    
  • Добавлен новый модуль ngx_stream_pass_module, предназначенный для проброса принятых соединений напрямую в любой слушающий сокет, связанный с такими модулями, как http, stream и mail.
    
       stream {
           server {
               listen 12345 ssl;
    
               ssl_certificate     domain.crt;
               ssl_certificate_key domain.key;
    
               pass 127.0.0.1:8000;
           }
       }
    
  • В директиве listen модуля stream реализована поддержка параметров "deferred" (включает отложенный accept), "accept_filter" (фильтр входящих соединений, применяемый перед вызовом функции accept) и "setfib" (задание таблицы маршрутизации).
  • Для некоторых архитектур реализована поддержка определения размера блока (cache line), используемого для передачи данных между кэшем CPU и памятью.
  • На системах Apple Silicon добавлена поддержка пакетного менеджера Homebrew.
  • Решены проблемы с кросс-компиляцией для Windows.
  • Устранена ошибка, приводившая к закрытию соединений при использовании режима 0-RTT в протоколе QUIC.

Дополнительно можно отметить публикацию стабильной версии проекта FreeNginx 1.26.0, развивающего форк Nginx. Разработку форка ведёт Максим Дунин, один из ключевых разработчиков Nginx. FreeNginx позиционируется как некоммерческий проект, обеспечивающий разработку кодовой базы Nginx без корпоративного вмешательства. Выпуск 1.26.0 отмечен как стабильный релиз, вобравший в себя изменения и исправления из выпусков mainline-ветки Nginx 1.25. Среди прочего в состав FreeNginx 1.26.0 вошли экспериментальная поддержка протокола HTTP/3, улучшения для противодействия DoS-атакам и исправления, связанные с асинхронной обработкой ввода/вывода.

Одновременно состоялся выпуск njs 0.8.4, интерпретатора языка JavaScript для веб-сервера nginx. Интерпретатор njs реализует стандарты ECMAScript и позволяет расширять возможности nginx по обработке запросов с помощью скриптов в конфигурации. Скрипты могут использоваться в файле конфигурации для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответа, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях. В новой версии: в CLI добавлена поддержка JavaScript-движка QuickJS; добавлена возможность выставления заголовка Server; реализована проверка на дублирование переменных, выставленных через js_set.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск Angie 1.5.0, российского форка Nginx
  3. OpenNews: Представлен FreeNginx, форк Nginx, созданный из-за несогласия с политикой компании F5
  4. OpenNews: В nginx 1.25.4 и Angie 1.4.1 устранены уязвимости, связанные с HTTP/3
  5. OpenNews: Уязвимости в ingress-nginx, позволяющие скомпрометировать кластеры Kubernetes
  6. OpenNews: Выпуск nginx 1.25.3, njs 0.8.2 и NGINX Unit 1.31.1
Обсуждение (23 +3) | Тип: Программы |


·16.04 Релиз Firefox 125 (65 +6)
  Состоялся релиз web-браузера Firefox 125 и сформировано обновление ветки с длительным сроком поддержки - 115.10.0. Из-за наличия выявленных на поздней стадии проблем сборка 125.0 была отменена, и в качестве релиза объявлен выпуск 125.0.1. На стадию бета-тестирования переведена ветка Firefox 126, релиз которой намечен на 14 мая.

Основные новшества в Firefox 125:

  • Во встроенном PDF-просмотрщике включена по умолчанию функция выделения текста выбранным цветом и рамкой.
  • На странице Firefox View, упрощающей доступ к ранее просматриваемому содержимому, в секции с открытыми вкладками обеспечено отображение закреплённых вкладок и добавлена поддержка индикаторов состояния, например, дающих понять, что в определённой вкладке воспроизводится звук или видео, а также позволяющих через нажатие на индикатор отключить или вернуть звук. Аналогичные индикаторы также добавлены для закладок и уведомлений.
  • Реализована возможность быстрого перехода по ссылке, сохранённой в буфере обмена. Если во время нажатия на адресную строку в буфере обмена находится URL, автоматически данный URL будет показан в качестве начальной рекомендации для перехода.
  • Добавлена поддержка воспроизведения защищённого контента (EME, Encrypted Media Extensions) с использованием кодека AV1, который используется некоторыми провайдерами потокового вещания для распространения контента более высокого качества.
  • При заполнении адресов в web-формах обеспечен вывод запроса на сохранение адреса (пока только для пользователей из США и Канады). В дальнейшем планируется использовать сохранённые данные для автозаполнения адресов.
  • Включена блокировка загрузки файлов с URL, которые находятся в списках потенциально опасного контента.
  • На системах, в которых используются дополнения с реализацией контейнеров вкладок, добавлена поддержка поиска из адресной строки вкладок, размещённых в разных контейнерах.
  • В настройки добавлена опция, позволяющая автоматически определять наличие прокси при помощи протокола WPAD (Web Proxy Auto-Discovery ), несмотря на наличие включённых настроек для подключения через системный прокси.
  • Изменено поведение обхода кнопок-переключателей (radio buttons) - если ни одна опция в кнопках не выбрана, то нажатие клавиши табуляции теперь активирует фокус только на первой опции, а следующее нажатие переводит фокус ввода на другой элемент, а не циклично перебирает все варианты опций. При этом клавиши со стрелками по-прежнему позволяют перемещаться по опциям одного элемента.


  • Добавлена поддержка атрибута popover, позволяющего создавать элементы, показываемые поверх других элементов web-интерфейса. Например, при помощи нового атрибута можно создавать меню действий, выводить подсказки для заполнения форм, создавать обучающие интерфейсы и реализовать захват содержимого. В отличие от элемента "dialog" элементы с атрибутом "popover" не используют модальный режим, поддерживают события и легко отменяются. Местоположение, каскадирование и фокус ввода выбираются и обрабатываются автоматически.
  • В WebAssembly по умолчанию включён режим "multi-memory", позволяющий wasm-модулям использовать и импортировать несколько независимых линейных области памяти.
  • В JavaScript добавлена поддержка сегментирования Unicode-текста (Unicode Text Segmentation), реализованная при помощи объекта Intl.Segmenter. Объект позволяет точно сегментировать текст в строке с учётом локали, например, для разделения слов в языках не использующих пробел для разделения слов.
  • В реализацию интерфейсов HTMLCanvasElement и OffscreenCanvas добавлена поддержка событий ContextLost и ContextRestored, позволяющих обработать в пользовательском коде ситуации потери и восстановления контекста при аппаратном ускорении отрисовки.
  • Включена поддержка метода navigator.clipboard.readText() для чтения из буфера обмена c запросом подтверждения операции (после вызова API пользователю показывается контекстное меню вставки для подтверждения действия).
  • В CSS-свойство "transform-box" добавлена поддержка значений stroke-box и content-box, позволяющих изменить метод вычисления эталонной области для операций трансформации, например, для реализации расширенных графических эффектов.
  • В CSS-свойстве "align-content" реализована возможность работы с блочными контейнерами. Например "display: block" и "display: list-item" теперь могут быть выровнены при помощи "align-content" без использования контейнеров flex и grid.
  • Прекращена поддержка метода SVGAElement.text, вместо которого рекомендуется использовать более широко распространённый метод SVGAElement.textContent.
  • В инструментах для web-разработчиков в нижней части панели отладчика реализовано новое выпадающее меню с действиями, связанными с Source Map. В about:config возвращена настройка "devtools.debugger.features.overlay" для отключения выводимого поверх контента индикатора приостановки выполнения JavaScript-кода отладчиком (Pause Debugger Overlay).
  • В версии для Android вкладки Custom Tabs, открываемые внутри других приложений, теперь учитывают выбор настройки темы оформления (тёмная тема, светлая тема и системный выбор темы). Улучшено меню с настройками логинов и паролей. Скрыта кнопка "Open in App", если Firefox выбран в качестве системного просмотрщика PDF.

Кроме новшеств и исправления ошибок в Firefox 125 устранено 18 уязвимостей (12 помечены как опасные). 11 уязвимостей (4 собраны под CVE-2024-3865) вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

В бета-версии Firefox 126 предложен новый упрощённый и унифицированный диалог для очистки данных пользователя, в котором улучшено разделение данных на категории и добавлены сведения о размере данных, сохранённых за выбранный промежуток времени.

  1. Главная ссылка к новости
  2. OpenNews: Релиз Firefox 124
  3. OpenNews: Во вкладках Firefox появится функция предпросмотра эскиза сайта
  4. OpenNews: В Firefox появится группировка вкладок
  5. OpenNews: Планы в отношении поддержки в Firefox второй и третьей версий манифеста Chrome
  6. OpenNews: В Firefox добавлена поддержка машинного перевода выделенных фрагментов текста
Обсуждение (65 +6) | Тип: Программы |


·16.04 Уязвимость в PuTTY, позволяющая восстановить закрытый ключ пользователя (113 +28)
  В PuTTY, клиенте для протокола SSH, пользующегося популярностью на платформе Windows, выявлена опасная уязвимость (CVE-2024-31497), позволяющая воссоздать закрытый ключ пользователя, сгенерированный с использованием алгоритма ECDSA с эллиптической кривой NIST P-521 (ecdsa-sha2-nistp521). Для подбора закрытого ключа достаточно проанализировать примерно 60 цифровых подписей, сформированных в PuTTY.

Уязвимость проявляется начиная с версии PuTTY 0.68 и также затронула продукты, в состав которых включены уязвимые версии PuTTY, например, FileZilla (3.24.1 - 3.66.5), WinSCP (5.9.5 - 6.3.2), TortoiseGit (2.4.0.2 - 2.15.0) и TortoiseSVN (1.10.0 - 1.14.6). Проблема устранена в обновлениях PuTTY 0.81, FileZilla 3.67.0, WinSCP 6.3.3 и TortoiseGit 2.15.0.1. После установки обновления пользователям рекомендуется сгенерировать новые ключи и удалить старые открытые ключи из файлов authorized_keys.

Уязвимость вызвана беспечностью разработчиков, которые для генерации 521-битного вектора инициализации (nonce) использовали 512-битную случайную последовательность, вероятно, посчитав что энтропии в 512 бит будет достаточно и оставшиеся 9 бит не имеют принципиального значения. В итоге, при генерации всех подписей, созданных в PuTTY с использованием алгоритма ecdsa-sha2-nistp521, первые 9 бит вектора инициализации всегда принимали нулевые значения.

Для ECDSA и DSA качество генератора псевдослучайных чисел и полное покрытие случайными данными параметра, используемого при вычислении модуля, имеет принципиальное значение, так как определение даже нескольких битов с информацией о векторе инициализации достаточно для совершения атаки по последовательному восстановлению всего закрытого ключа. Для успешного восстановления ключа достаточно наличия открытого ключа и анализа нескольких десятков цифровых подписей, сгенерированных с использованием проблемного вектора инициализации для известных атакующему данных. Атака сводится к решению задачи HNP (Hidden Number Problem).

Необходимые цифровые подписи можно получить, например, при подключении пользователя к SSH-серверу атакующего или к Git-серверу, использующему SSH в качестве транспорта. Необходимые для атаки подписи также можно узнать, если ключ использовался для заверения произвольных данных, например, git-коммитов при применении SSH-агента Pageant для перенаправления трафика на хост разработчика. Получение необходимых для восстановления ключа данных в ходе MITM-атаки исключено, так как подписи в SSH не передаются в открытом виде.

Отмечается, что похожее использование неполных векторов инициализации применялось в PuTTY и для других видов эллиптических кривых, но для алгоритмов, отличных от ECDSA P-521, возникших утечек информации недостаточно для реализации работающей атаки по восстановлению ключа. Ключи ECDSA другого размера и ключи Ed25519 атаке не подвержены.

  1. Главная ссылка к новости
  2. OpenNews: В неофициальных сборках PuTTY выявлен троян
  3. OpenNews: Выявлен метод клонирования ключей из криптографических токенов на базе чипов NXP
  4. OpenNews: Уязвимость TPM-Fail, позволяющая восстановить ключи, хранимые в TPM-модулях
  5. OpenNews: Новая техника атаки по сторонним каналам, позволяющая восстановить ключи ECDSA
  6. OpenNews: Уязвимость в SSH-клиентах OpenSSH и PuTTY
Обсуждение (113 +28) | Тип: Проблемы безопасности |


·16.04 Выпуск платёжной системы GNU Taler 0.10, развиваемой проектом GNU (63 +15)
  После полутора лет разработки проект GNU представил выпуск свободной системы электронных платежей GNU Taler 0.10, предоставляющей анонимность покупателям, но сохраняющей возможность идентификации продавцов для обеспечения прозрачности предоставления налоговой отчётности. Система не позволяет отследить информацию о том, куда пользователь тратит деньги, но предоставляет средства для отслеживания поступления средств (отправитель остаётся анонимным), что решает свойственные BitCoin проблемы с налоговым аудитом. Код написан на Python и распространяется под лицензиями AGPLv3 и LGPLv3.

GNU Taler не создаёт собственную криптовалюту, а работает с уже существующими валютами, в том числе с долларами, евро и биткоинами. Поддержку новых валют можно обеспечить через создание банка, который выступает финансовым гарантом. Бизнес-модель GNU Taler основана на выполнении операций обмена - деньги из традиционных платёжных систем, таких как BitCoin, Mastercard, SEPA, Visa, ACH и SWIFT, преобразуются в анонимные электронные деньги в той же валюте. Пользователь может передавать электронные деньги продавцам, которые затем могут на точке обмена поменять их обратно в реальные деньги, представленные традиционными системами платежей.

Все транзакции в GNU Taler защищены с использованием современных криптографических алгоритмов, позволяющих сохранить достоверность даже при утечке приватных ключей клиентов, продавцов и точек обмена. Формат БД предоставляет возможность верификации всех совершённых транзакций и подтверждения их непротиворечивости. Подтверждением платежа для продавцов является криптографическое доказательство перевода в рамках заключённого с клиентом контракта и криптографически подписанное подтверждение о наличии средств на точке обмена. В состав GNU Taler входят набор базовых компонентов, предоставляющих логику для работы банка, точки обмена, торговой площадки, кошелька и аудитора.

Финансирование разработки осуществляется на гранты Еврокомиссии, Государственного секретариата Швейцарии по образованию и Государственного секретариата Швейцарии по исследованиям и инновациям (SERI). В рамках проекта NGI TALER ведётся работа по созданию на базе GNU Taler продукта, готового для применения в Евросоюзе.

Основные изменения:

  • Добавлена поддержка обмена ключами с использованием протокола EBICS 3.0 (Electronic Banking Internet Communication Standard), предназначенного для защищённого обмена информацией о платежах между банками. Для отправки запросов в банки с использованием протокола EBICS предложена утилита libeufin-nexus.
  • Для магазинов предложен более удобный интерфейс проведения платежей с использованием QR-кодов, реализованный через публично доступный обработчик GET-запросов, использующий шаблоны.
  • В Apple app store размещена реализация кошелька для платформы iOS.
  • В кошельках улучшено управление подключением к точкам обмена.
  • В Wallet-core добавлена возможность генерации событий мониторинга для упрощения диагностики.
  • Для кошельков реализован новый тип транзакций, представляющих средства, потерянные из-за деноминации, отзыва или истечения срока действия монет.
  • В Wallet-core обеспечено кэширование запросов и добавлена поддержка верификации ключей в асинхронном режиме.

  1. Главная ссылка к новости
  2. OpenNews: Опубликована P2P-платформа GNUnet 0.20
  3. OpenNews: Выпуск платёжной системы GNU Taler 0.9, развиваемой проектом GNU
  4. OpenNews: Доступен GNU Anastasis, инструментарий для резервного копирования ключей шифрования
  5. OpenNews: Проект GNU представил собственную платёжную систему GNU Taler
Обсуждение (63 +15) | Тип: Программы |


·16.04 Открыты исходные тексты игры Descent 3 (81 +41)
  Кевин Бентли (Kevin Bentley), один из разработчиков игры Descent 3, добился у руководства компании Outrage Entertainment открытия исходных текстов проекта. Кевин, который взял в свои руки сопровождение нового проекта, набирает команду энтузиастов для возрождения и продолжения развития игры. Код написан на языке C++ и открыт под лицензией MIT.

Релиз игры Descent 3 был опубликован в 1999 году. Игра сочетает в себе шутер от первого лица и симулятор полётов в открытом и замкнутом пространстве. Поддерживается однопользовательский режим прохождения миссий и многопользовательские бои. Опубликована самая свежая кодовая база Descent 3 "1.5 Patch", включающая подготовленные несколько лет назад изменения для актуализации кода, написанного в 1990-х годах. Поддерживается сборка для Linux, macOS и Windows.

В поставку не вошла музыка и библиотеки для обработки форматов звука и видео ACM и MVE, права на которые не принадлежат компании Outrage Entertainment. Чтобы обеспечить корректную сборку проекта в ближайшее время отсутствующие библиотеки будут заменены заглушками. В дальнейшем видеоролики, используемые в заставке и в финальных сценах, планируют сконвертировать в формат, для которого имеются открытые библиотеки. Из задач, которые намерены решить в первую очередь, отмечается предоставление возможности сборки для разных платформ, создание инфраструктуры для тестирования в системе непрерывной интеграции, проведение чистки кода и удаление компонентов старой системы управления версиями.



Код первой в второй частей Descent был опубликован 1997 и 1998 годах для стимулирования разработки модов, но распространялся под проприетарной лицензией, запрещающей использование в коммерческих целях.

  1. Главная ссылка к новости
  2. OpenNews: Ассоциация K-D Lab открыла код игрового движка qdEngine
  3. OpenNews: Выпуск открытого игрового движка Godot 4.2
  4. OpenNews: Открыт код игрового движка Dagor Engine, который будет использован VK в Nau Engine
  5. OpenNews: Выпуск игрового движка Open 3D Engine 23.10, открытого компанией Amazon
  6. OpenNews: Первый выпуск открытого многопользовательского игрового движка Ambient
Обсуждение (81 +41) | Тип: Программы |


·15.04 Инициатива по избавлению браузерного движка Servo от привязки к Mozilla SpiderMonkey (106 +17)
  Разработчики браузерного движка Servo представили инициативу по усилению модульности и уходу от использования низкоуровневых API JavaScript-движка SpiderMonkey, развиваемого компанией Mozilla и применяемого в Servo для обеспечения поддержки JavaScript и WebAssembly. В дальнейшем Servo планируют перевести на более высокоуровневый API и слой абстракций для взаимодействия с JavaScript-движками, что даст возможность избавиться от небезопасных прямых обращений к коду SpiderMonkey, выполняемых в блоках unsafe. В отдалённой перспективе изменение позволит уйти от жёсткой привязи к SpiderMonkey и обеспечить поддержку других движков JavaScript и WebAssembly, таких как используемый в Chrome движок V8.

Проект Servo написан на языке Rust и отличается поддержкой многопоточного рендеринга web-страниц, распараллеливанием операций с DOM (Document Object Model) и задействованием предоставляемых языком Rust механизмов безопасного программирования. Проект Servo изначально развивался компанией Mozilla, но затем перешёл под покровительство организации Linux Foundation. Servo изначально создан с поддержкой разбиения кода DOM и рендеринга на более мелкие подзадачи, которые могут выполняться параллельно и более эффективно использовать ресурсы многоядерных CPU. В Firefox уже интегрированы некоторые части Servo, такие как многопоточный CSS-движок и система отрисовки WebRender.

  1. Главная ссылка к новости
  2. OpenNews: Проект по интеграции с Qt web-движка Servo, развиваемого на языке Rust
  3. OpenNews: Релиз браузерного движка WebKitGTK 2.42.0 и обновление проекта Servo
  4. OpenNews: Разработка браузерного движка Servo переведена в организацию Linux Foundation Europe
  5. OpenNews: Возобновлена активная разработка браузерного движка Servo
  6. OpenNews: Представлен браузерный движок Kosmonaut, написанный на языке Rust
Обсуждение (106 +17) | Тип: К сведению |


·15.04 GitLab заблокировал BPC, браузерное дополнение для обхода Paywall (186 +15)
  GitLab заблокировал репозиторий проекта BPC (Bypass Paywalls Clean), развивающего браузерное дополнение для организации доступа к материалам, распространяемым по платной подписке (Paywall). Причиной удаления стало направление в компанию GitLab жалобы о нарушении дополнением действующего в США Закона об авторском праве в цифровую эпоху (DMCA). В настоящее время разработчики дополнения рассматривает возможность перевода проекта на другой Git-хостинг. Ранее указанное дополнение было удалено по той же причине из каталога Mozilla.

Метод Paywall применяется многими крупными англоязычными изданиями (forbes.com, independent.co.uk, newsweek.com, newyorker.com, nytimes.com, wsj.com и т.п.) для открытия полного текста свежих статей только платными подписчиками. Ссылки на подобные статьи активно продвигаются в социальных сетях и поисковых системах, но после перехода по публикуемым ссылкам вместо открытия полного текста пользователю предлагается оформить платную подписку, если он хочет увидеть подробности.

Формулировка, на основе которой был заблокирован репозиторий BPC, не сообщается, но, судя по всему, проекту вменяется незаконный обход методов технической защиты доступа к содержимому, являющемуся объектом авторского права. Нарушение защиты в BPC является спорным вопросом, так как сайты с Paywall обычно открывают полный доступ поисковым системам и социальным сетям, из-за того, что издания заинтересованы в индексации текстов и привлечении посетителей, которых интересует данный материал. Поэтому для обхода ограничения доступа, как правило, достаточно просто сменить идентификатор браузера и притвориться поисковым ботом "Googlebot". На некоторых сайтах также может потребоваться очистить сессионную Cookie и заблокировать некоторые скрипты. Расширение BPC предлагало индивидуальный подход к каждому сайту, удаляло те или иные скрипты и использовало регулярные выражения для блокировки кода.

  1. Главная ссылка к новости
  2. OpenNews: Из каталога Mozilla удалено дополнение для обхода Paywall
  3. OpenNews: Mozilla удалила два популярных дополнения, блокирующих загрузку обновлений к Firefox
  4. OpenNews: Дополнения для обхода Paywall удалены из каталогов Chrome и Mozilla
  5. OpenNews: GitHub заблокировал репозиторий SymPy после ложной жалобы
  6. OpenNews: GitLab заблокировал репозиторий эмулятора Suyu
Обсуждение (186 +15) | Тип: Тема для размышления |


·15.04 Проект Redka развивает реализацию протокола и API Redis поверх SQLite (25)
  Опубликованы первые выпуски проекта Redka, нацеленного на предоставление RESP-протокола и API, совместимых с СУБД Redis, но реализованных поверх библиотеки SQLite. Задействование SQLite дополнительно позволяет обращаться к данным при помощи языка SQL, например, для формирования отчётов или анализа данных. Поддерживается использование ACID-транзакций. Redka может запускаться в форме сервера, принимающего запросы по сети, или использоваться в виде модуля для языка Go. Код проекта написан на языке Go и распространяется под лицензией BSD.

В настоящее время в Redka добавлена поддержка типов для работы со строками и хэшами, а также команд для манипуляции строковыми данными, ключами, транзакциями и хэшами. Например, доступны команды для установки и получения одного или нескольких привязанных к ключу строковых значений, задания времени жизни ключей, инкремента/декремента значений, поиска ключей по шаблону, переименования ключей, выполнения серии команд в рамках транзакции, отмены транзакции, работы с полями в хэшах.

В ближайшее время планируется добавить поддержку списков, коллекций (sets) и отсортированных коллекций. В отдалённой перспективе ожидается реализация алгоритма HyperLogLog, возможности для манипуляции географическими координатами и команд для взаимодействия с использованием модели publish/subscribe. Пока не планируется добавлять поддержку скриптов на языке Lua, аутентификацию, ACL, watch/unwatch и возможность работы в одном сервере с несколькими БД. Точно не будет реализована поддержка кластеров (Redis Cluster) и мониторинга (Redis Sentinel).

Тестирование производительности с использованием инструментария от проекта Redis, показало, что Redka в 2-6 раз отстаёт от Redis из-за отсутствия специфичных оптимизаций для хранения данных в формате ключ/значение. В частности, в созданном тестовом окружении Redis продемонстрировал производительность в 133 тысяч операций SET в секунду и 139 тысяч операций GET в секунду, в то время как производительность Redka составила 30 тысяч SET в секунду и 63 тысячи GET в секунду в ситуации, когда БД размещалась в оперативной памяти. При хранении БД на диске производительность Redka составила 22 тысячи операций SET в секунду и 56 тысяч GET в секунду.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск Redict 7.3.0, форка СУБД Redis
  3. OpenNews: Amazon, Google, Oracle, Ericsson и Snap основали Valkey, форк СУБД Redis
  4. OpenNews: СУБД Redis переходит на проприетарную лицензию. Обсуждение удаления Redis из Fedora
  5. OpenNews: Microsoft открыл код хранилища Garnet, совместимого с Redis
  6. OpenNews: Первый стабильный выпуск FerretDB, реализации MongoDB на базе СУБД PostgreSQL
Обсуждение (25) | Тип: Программы |


·14.04 Уязвимость в прошивках AMI MegaRAC, вызванная поставкой старой версии lighttpd (36 +16)
  В прошивках MegaRAC от компании American Megatrends (AMI), которые применяются в контроллерах BMC (Baseboard Management Сontroller), используемых производителями серверов для организации автономного управления оборудованием, выявлена уязвимость, позволяющая неаутентифицированному атакующему удалённо прочитать содержимое памяти процесса, обеспечивающего функционирование web-интерфейса. Уязвимость проявляется в прошивках, выпускаемых с 2019 года, и вызвана поставкой старой версии HTTP-сервера Lighttpd, содержащей неисправленную уязвимость.

В кодовой базе Lighttpd данная уязвимость была устранена ещё в 2018 году в версии 1.4.51, но исправление было внесено без присвоения CVE-идентификатора и без публикации отчёта с описанием характера уязвимости. В примечании к выпуску, было упомянуто об устранении проблем с безопасностью, но основное внимание было акцентировано на уязвимости в mod_userdir, связанной с использованием символов ".." и "." в имени пользователя.

В списке изменений также была упомянута проблема с обработкой HTTP-заголовков, но данное исправление было пропущено разработчиками прошивки и не перенесено в состав продукта, так как примечание о потенциальном устранении уязвимости класса use-after-free присутствовало лишь в тексте коммита, а в общем списке изменений не было указано, что ошибка приводит к обращению к памяти после освобождения.

Уязвимость позволяет прочитать содержимое памяти за пределами выделенного буфера. Проблема вызвана ошибкой в коде слияния HTTP-заголовков, применяемом при указании нескольких экземпляров HTTP-заголовка "If-Modified-Since". При обработке второго экземпляра заголовка lighttpd выделял новый буфер, чтобы вместить объединённое значение и освобождал память под буфер, в который было помещено значение из первого заголовка. При этом указатель con->request.http_if_modified_since не изменялся и продолжал указывать на уже освобождённую область памяти.

Так как данный указатель использовался при операциях сравнения содержимого заголовка If-Modified-Since, результат которых приводил к генерации разных кодов возврата, атакующий мог путём перебора угадать новое содержимое памяти, которую ранее занимал первый буфер. Проблема могла использоваться в сочетании с другими уязвимостями, например, для определения раскладки памяти для обхода механизмов защиты, таких как ASLR (рандомизация адресного пространства).

Наличие уязвимости подтверждено в серверных платформах Lenovo и Intel, но данные компании не планируют выпускать обновления прошивок из-за истечения времени поддержки, использующих данные прошивки продуктов, и низкого уровня опасности уязвимости. Проблема проявляется в прошивках к платформам Intel M70KLP и Lenovo HX3710, HX3710-F и HX2710-E (уязвимость присутствует среди прочего в последних версиях прошивок Lenovo 2.88.58 и Intel 01.04.0030). Дополнительно сообщается, что уязвимость в lighttpd также проявляется в прошивках к оборудованию Supermicro и в серверах, на которых используются BMC-контроллеры компаний Duluth и ATEN.

  1. Главная ссылка к новости
  2. OpenNews: Уязвимости в прошивках AMI MegaRAC, позволяющие удалённо выполнить код на уровне BMC-чипа
  3. OpenNews: Атака PMFault, позволяющая вывести из строя CPU на некоторых серверных системах
  4. OpenNews: PixieFAIL - уязвимости в сетевом стеке прошивок UEFI, применяемом для PXE-загрузки
  5. OpenNews: Уязвимость в прошивках BMC-контроллеров, затрагивающая серверы многих производителей
  6. OpenNews: LogoFAIL - атака на UEFI-прошивки через подстановку вредоносных логотипов
Обсуждение (36 +16) | Тип: Проблемы безопасности |


·14.04 Выпуск симуляторов транспортных компаний OpenTTD 14.0 и OpenLoco 24.04 (43 +35)
  Доступен релиз OpenTTD 14.0, свободной стратегической игры, симулирующей работу транспортной компании в реальном времени. Релиз приурочен к празднованию 20-летия проекта. Код OpenTTD написан на языке С++ и распространяется под лицензией GPLv2. Установочные пакеты подготовлены для Linux, Windows и macOS.

Изначально OpenTTD развивался как аналог коммерческой игры Transport Tycoon Deluxe, но позднее превратился в самодостаточный проект, значительно обогнавший по возможностям эталонный вариант игры. В частности, в рамках проекта создан альтернативный набор игровых данных, новое звуковое и графическое оформление, существенно расширены возможности игрового движка, увеличены размеры карт, реализован сетевой режим игры, добавлено много новых игровых элементов и моделей.

В новой версии:

  • Добавлена возможность замедления течения календарного времени, вплоть до его остановки. Изменение не меняет темп движения транспортных средств, динамику перевозок и прогресс развития городов, но влияет на время появления новых транспортных средств, инфляцию и устаревание транспорта.
  • В функции поиска пути для судов появилась возможность направлять корабли на большие расстояния без использования буев. Изменение позволит создавать игры, в которых используются только корабли, и исключит потерю кораблями маршрутов до портов.
  • Добавлен режим распределения транспортных средств, позволяющий избежать скопления транспорта на маршруте, благодаря автоматическому поддержанию дистанции между транспортом.
  • Обеспечена поддержка интеграции с социальными сетями и платформами, такими как Steam, Discord и GOG Galaxy, что позволяет другим отслеживать, когда пользователь играет в OpenTTD.
  • Добавлена возможность проведения опросов среди игроков, позволяющих лучше понять как пользователи играют в OpenTTD.
  • Предложен встроенный масштабируемый TTF-шрифт, обеспечивающий должный внешний вид при разных уровнях масштабирования. Улучшена отрисовка графического интерфейса и решены проблемы с цветами.
  • Добавлена кнопка "Help and Manuals" ("Помощь и руководства") для доступа к основной информации об игре
  • Пересмотрены применяемые по умолчанию настройки игрового процесса. Изменения в основном коснулись включения новых возможностей.
  • Читы (Cheats) переименованы в песочницу (Sandbox), так как некоторые воспринимали данное название в негативном контексте, в то время, как в OpenTTD подразумевался режим играть так, как нравится.

Дополнительно можно отметить выпуск OpenLoco 24.04, открытого движка для симулятора транспортной компании Chris Sawyer's Locomotion. В новой версии реализация команд для создания зданий и дорог переписана на языке С++, улучшена работа генераторов карт и ландшафтов, улучшена отрисовка текста.

Также можно упомянуть обновление проекта OpenRCT2 0.4.10, развивающего открытую реализацию стратегической игры RollerCoaster Tycoon 2, симулирующей конструирование парка развлечений и управление им, а также охватывающей также элементы инфраструктуры, такие как магазины и кафе. Для работы OpenLoco и OpenRCT2 требуются файлы с ресурсами от оригинальных игр Chris Sawyer's Locomotion и RollerCoaster Tycoon 2. Из отличий открытых вариантов движков выделяется поддержка современных платформ, улучшенный интерфейс, повышение качества искусственного интеллекта.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск игры OpenRCT2, предлагающей симулятор парка аттракционов
  3. OpenNews: Выпуск открытого игрового движка VCMI 1.3.0, совместимого с Heroes of Might and Magic III
  4. OpenNews: Выпуск TR1X 3.0, открытого движка для игры Tomb Raider
  5. OpenNews: Выпуск свободной стратегической игры Warzone 2100 4.4.2
Обсуждение (43 +35) | Тип: Программы |


Следующая страница (раньше) >>



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру