Смена владельца библиотеки Polyfill привела к подстановке вредоносного кода на 110 тысяч сайтов
Более 110 тысяч сайтов, использующих открытую JavaScript-библиотеку Polyfill для обеспечения совместимости со старыми версиями браузеров, стали жертвой вредоносных изменений, внесённых в код библиотеки новым владельцем проекта. В библиотеку, загружаемую на сайты через домен cdn.polyfill.io, был встроен вредоносный код, перенаправляющий пользователя на мошеннические сайты (например, googie-anaiytics.com), букмекерские конторы и online-казино.
Смена владельца библиотеки Polyfill привела к подстановке вредоносного кода на 110 тысяч сайтов
Более 110 тысяч сайтов, использующих открытую JavaScript-библиотеку Polyfill для обеспечения совместимости со старыми версиями браузеров, стали жертвой вредоносных изменений, внесённых в код библиотеки новым владельцем проекта. В библиотеку, загружаемую на сайты через домен cdn.polyfill.io, был встроен вредоносный код, перенаправляющий пользователя на мошеннические сайты (например, googie-anaiytics.com),...
В ночные сборки Firefox добавлена поддержка вертикальных вкладок
В ночные сборки Firefox, на базе которых 6 августа будет сформирован релиз Firefox 129, добавлена новая реализация боковой панели и возможность вертикального размещения вкладок, что позволяет выделить дополнительное экранное пространство для просмотра содержимого сайтов на широкоформатных экранах (с апреля вертикальные вкладки тестировались в отдельных сборках larch, а теперь доступны в штатных ночных сборках). Для включения вертикальных вкладок следует активировать параметры sidebar.revamp и sidebar.verticalTabs на странице about:config. Боковая панель может отображаться как в развёрнутом, так и в свёрнутом виде. В развёрнутом виде показывается часть заголовков страниц во вкладках и названия вынесенных в боковую панель операций, а в свёрнутом - видны только пиктограммы сайтов и операций.
В ночные сборки Firefox добавлена поддержка вертикальных вкладок
В ночные сборки Firefox, на базе которых 6 августа будет сформирован релиз Firefox 129, добавлена новая реализация боковой панели и возможность вертикального размещения вкладок, что позволяет выделить дополнительное экранное пространство для просмотра содержимого сайтов на широкоформатных экранах (с апреля вертикальные вкладки тестировались в отдельных сборках larch, а теперь доступны в штатных ночных сборках). Для включения вертикальных...
Обновление текстового редактора GNU Emacs 29.4 с устранением уязвимости
Проект GNU опубликовал релиз текстового редактора GNU Emacs 29.4. Код проекта написан на языках Си и Lisp и распространяется под лицензией GPLv3. GNU Emacs 29.4 преподносится как внеплановый экстренный выпуск с устранением уязвимости (CVE не назначен). Детали об уязвимости пока не раскрываются, указано лишь, что для её блокирования запрещено исполнять произвольные shell-команды при включении режима Org. Судя по всему уязвимость позволяет добиться выполнения кода при открытии определённого контента в Emacs или при просмотре специально оформленных сообщений во входящем в состав Emacs почтовом/RSS/NNTP-клиенте Gnus.
Обновление текстового редактора GNU Emacs 29.4 с устранением уязвимости
Проект GNU опубликовал релиз текстового редактора GNU Emacs 29.4. Код проекта написан на языках Си и Lisp и распространяется под лицензией GPLv3. GNU Emacs 29.4 преподносится как внеплановый экстренный выпуск с устранением уязвимости (CVE не назначен). Детали об уязвимости пока не раскрываются, указано лишь, что для её блокирования запрещено исполнять произвольные shell-команды при включении режима Org. Судя по всему уязвимость...
Каталог приложений Flathub достиг отметки в 2 миллиарда загрузок
Каталог Flathub, позиционируемый как независимая от отдельных поставщиков площадка для распространения пакетов в формате Flatpak, достиг рубежа в 2 миллиарда загрузок пакетов. Наибольшее число загрузок зафиксировано из США (438 млн), Германии (202 млн), Бразилии (187 млн), России (93 млн), Великобритании (92 млн), Франции (85 млн), Испании (71 млн), Канады (64 млн) и Италии (50 млн). В день загружается около 3 млн пакетов. В настоящее время в каталоге представлено более 2600 приложений, из которых примерно 42% помечены как верифицированные, т.е. публикуемые основными проектами или лицами, связанными с ними.
Каталог приложений Flathub достиг отметки в 2 миллиарда загрузок
Каталог Flathub, позиционируемый как независимая от отдельных поставщиков площадка для распространения пакетов в формате Flatpak, достиг рубежа в 2 миллиарда загрузок пакетов. Наибольшее число загрузок зафиксировано из США (438 млн), Германии (202 млн), Бразилии (187 млн), России (93 млн), Великобритании (92 млн), Франции (85 млн), Испании (71 млн), Канады (64 млн) и Италии (50 млн). В день загружается около 3 млн пакетов. В настоящее...
SUSE обеспечит поддержку CentOS 7 до 2028 года, а SUSE Linux 15 до 2037 года
Компания SUSE объявила о предоставлении в рамках проекта SUSE Liberty Linux Lite расширенной поддержки систем, использующих CentOS 7. Пользователям CentOS 7 предоставлена возможность переключения на использование репозиториев SUSE Liberty Linux, выпуск обновлений и оказание технической поддержки для которых будет осуществляться до 30 июня 2028 года. Стоимость сервиса заявлена в $2500 в год на 100 подписок или $20000 в год на 1000 подписок. Штатное время сопровождения ветки CentOS 7 истекает 30 июня 2024 года, после чего обновления с устранением уязвимостей для CentOS 7 выпускаться не будут.
SUSE обеспечит поддержку CentOS 7 до 2028 года, а SUSE Linux 15 до 2037 года
Компания SUSE объявила о предоставлении в рамках проекта SUSE Liberty Linux Lite расширенной поддержки систем, использующих CentOS 7. Пользователям CentOS 7 предоставлена возможность переключения на использование репозиториев SUSE Liberty Linux, выпуск обновлений и оказание технической поддержки для которых будет осуществляться до 30 июня 2028 года. Стоимость сервиса заявлена в $2500 в год на 100 подписок или $20000 в год...
Обновление Bliss OS, сборки Android для ПК и ноутбуков
Доступно июньское обновление проекта Bliss OS, продолжающего развитие Android-x86, порта платформы Android для архитектуры x86 (в проект Bliss OS перешло большинство разработчиков Android-x86). Bliss OS предоставляет готовые сборки с пользовательским окружением на базе Android, оптимизированные для использования на ПК, планшетах и ноутбуках. Bliss OS также может использоваться для замены Chrome OS на Chromebook. Наработки проекта распространяются под лицензией Apache 2.0.
Обновление Bliss OS, сборки Android для ПК и ноутбуков
Доступно июньское обновление проекта Bliss OS, продолжающего развитие Android-x86, порта платформы Android для архитектуры x86 (в проект Bliss OS перешло большинство разработчиков Android-x86). Bliss OS предоставляет готовые сборки с пользовательским окружением на базе Android, оптимизированные для использования на ПК, планшетах и ноутбуках. Bliss OS также может использоваться для замены Chrome OS на Chromebook. Наработки проекта распространяются...
Mozilla поглотила компанию Anonym, развивающую платформу показа рекламы
Компания Mozilla объявила о покупке стартапа Anonym, развивающего платформу для показа рекламы, обеспечивающую конфиденциальность пользователей. Предполагается, что приобретение Anonym позволит Mozilla вывести на рынок решение, удовлетворяющее потребность пользователей в сохранении конфиденциальности, объединив технологии Anonym с репутацией и возможностями продвижения продуктов Mozilla. Компания Anonym основана в 2022 году двумя бывшими вице-президентами Meta, пожелавшими совместить убеждения в том, что реклама необходима для поддержания бесплатного доступа к контенту, и в том, что пользователи имеют право на сохранение конфиденциальности.
Mozilla поглотила компанию Anonym, развивающую платформу показа рекламы
Компания Mozilla объявила о покупке стартапа Anonym, развивающего платформу для показа рекламы, обеспечивающую конфиденциальность пользователей. Предполагается, что приобретение Anonym позволит Mozilla вывести на рынок решение, удовлетворяющее потребность пользователей в сохранении конфиденциальности, объединив технологии Anonym с репутацией и возможностями продвижения продуктов Mozilla. Компания Anonym основана в 2022 году двумя...
После семи лет разработки профессиональное общество института инженеров электротехники и электроники (IEEE Computer Society) и консорциум Open Group утвердили новую версию стандарта POSIX 1003.1-2024, нацеленного на обеспечение переносимости программ между UNIX-подобными системами. Стандарт определяет программные интерфейсы между операционными системами и прикладными программами, и охватывает набор библиотечных функций, возможностей командного интерпретатора и утилит.
После семи лет разработки профессиональное общество института инженеров электротехники и электроники (IEEE Computer Society) и консорциум Open Group утвердили новую версию стандарта POSIX 1003.1-2024, нацеленного на обеспечение переносимости программ между UNIX-подобными системами. Стандарт определяет программные интерфейсы между операционными системами и прикладными программами, и охватывает набор библиотечных функций, возможностей командного интерпретатора и утилит.
Mozilla восстановила доступ к дополнениям, заблокированным по требованию Роскомнадзора
Компания Mozilla пересмотрела своё решение в отношении дополнений к Firefox, ранее заблокированных в каталоге addons.mozilla.org (AMO) для пользователей из РФ. Блокировка была выполнена по требованию Роскомнадзора и затронула 4 популярные дополнения, позволяющие использовать VPN или прокси для получения доступа к ресурсам, занесённым в единый реестр запрещённых сайтов РФ.
Mozilla восстановила доступ к дополнениям, заблокированным по требованию Роскомнадзора
Компания Mozilla пересмотрела своё решение в отношении дополнений к Firefox, ранее заблокированных в каталоге addons.mozilla.org (AMO) для пользователей из РФ. Блокировка была выполнена по требованию Роскомнадзора и затронула 4 популярные дополнения, позволяющие использовать VPN или прокси для получения доступа к ресурсам, занесённым в единый реестр запрещённых сайтов РФ.
Анализ безопасности 100 бесплатных VPN-приложений для платформы Android
Издание Top10VPN, занимающееся рецензированием и проверкой VPN-сервисов, провело тестирование 100 самых популярных бесплатных VPN-приложений для платформы Android, суммарно насчитывающих более 2.5 миллиарда установок (для проверки были взяты 100 бесплатных VPN-приложений, для которых в каталоге Google Play зафиксировано наибольшее число загрузок). Основные выводы.
После 11 месяцев разработки опубликован релиз новой стабильной ветки языка программирования Perl - 5.40. При подготовке нового выпуска было изменено около 160 тыс. строк кода (без документации и автоматически сгенерированного кода - 110 тысяч), изменения затронули 1500 файлов, в разработке приняли участие 75 разработчиков.
В OpenSSH добавлена встроенная защита от атак по подбору паролей
В кодовую базу OpenSSH добавлена встроенная защита от автоматизированных атак по подбору паролей, в ходе которых боты пытаются угадать пароль пользователя, перебирая различные типовые комбинации. Для блокирования подобных атак в файл конфигурации sshd_config добавлен параметр PerSourcePenalties, позволяющий определить порог блокировки, срабатывающий при большом числе неудачных попыток соединений с одного IP-адреса. Новый механизм защиты войдёт в состав следующего выпуска OpenSSH и будет включён по умолчанию в OpenBSD 7.6.
В OpenSSH добавлена встроенная защита от атак по подбору паролей
В кодовую базу OpenSSH добавлена встроенная защита от автоматизированных атак по подбору паролей, в ходе которых боты пытаются угадать пароль пользователя, перебирая различные типовые комбинации. Для блокирования подобных атак в файл конфигурации sshd_config добавлен параметр PerSourcePenalties, позволяющий определить порог блокировки, срабатывающий при большом числе неудачных попыток соединений с одного IP-адреса. Новый механизм защиты...
В Android-платформе GrapheneOS появилась возможность создания деструктивного PIN-кода
В очередном обновлении защищённой мобильной платформы GrapheneOS 2024053100 появилась функция экстренной блокировки данных на устройстве. Пользователю предоставлена возможность задания дополнительного пароля и PIN-кода, ввод которых приведёт к очистке всех ключей в аппаратных хранилищах, включая ключи, используемые для шифрования данных на накопителе, а также к очистке eSIM и перезагрузке. Таким образом, в случае оказания давления на пользователя или появления угрозы попадания смартфона не в те руки, владелец устройства может ввести деструктивный PIN и блокировать данные без возможности восстановления доступа.
В Android-платформе GrapheneOS появилась возможность создания деструктивного PIN-кода
В очередном обновлении защищённой мобильной платформы GrapheneOS 2024053100 появилась функция экстренной блокировки данных на устройстве. Пользователю предоставлена возможность задания дополнительного пароля и PIN-кода, ввод которых приведёт к очистке всех ключей в аппаратных хранилищах, включая ключи, используемые для шифрования данных на накопителе, а также к очистке eSIM и перезагрузке. Таким образом, в случае...
Атака на провайдера, выведшая из строя 659 тысяч домашних маршрутизаторов
Группа Black Lotus Labs опубликовала результаты анализа вредоносного ПО, задействованного в инциденте, в результате которого в октябре прошлого года в течение 72 часов было выведено из строя более 600 тысяч домашних маршрутизаторов одного из крупных американских провайдеров (в отчёте провайдер не называется, но упомянутые события совпадают с инцидентом у компании Windstream). В результате атаки злоумышленников, которая получила кодовое имя Pumpkin Eclipse, прошивка поражённых вредоносным ПО устройств была повреждена и провайдер был вынужден заменить оборудование у почти половины своих клиентов - сканирование сети показало, что после случившегося на оборудование другого производителя было заменено 179 тысяч устройств ActionTec (T3200s и T3260s) и 480 тысяч устройств Sagemcom (F5380).
Атака на провайдера, выведшая из строя 659 тысяч домашних маршрутизаторов
Группа Black Lotus Labs опубликовала результаты анализа вредоносного ПО, задействованного в инциденте, в результате которого в октябре прошлого года в течение 72 часов было выведено из строя более 600 тысяч домашних маршрутизаторов одного из крупных американских провайдеров (в отчёте провайдер не называется, но упомянутые события совпадают с инцидентом у компании Windstream). В результате атаки злоумышленников, которая получила...
Компания Canonical опубликовала Real-time Ubuntu 24.04
Компания Canonical объявила о готовности сборок Real-time Ubuntu 24.04, оптимизированных для выполнения задач в режиме реального времени. В сборках задействовано ядро Linux 6.8 с патчами RT ("Realtime-Preempt", PREEMPT_RT или "-rt"), обеспечивающими снижение задержек и позволяющими добиться предсказуемого времени обработки событий. В сборки дополнительно включены оптимизации, нацеленные на повышение производительности и снижение задержек на платах Raspberry Pi 4 и 5, и системах на базе процессоров Intel Core, поддерживающих технологии TCC (Time Coordinated Computing) и TSN (Time-Sensitive Networking).
Компания Canonical опубликовала Real-time Ubuntu 24.04
Компания Canonical объявила о готовности сборок Real-time Ubuntu 24.04, оптимизированных для выполнения задач в режиме реального времени. В сборках задействовано ядро Linux 6.8 с патчами RT ("Realtime-Preempt", PREEMPT_RT или "-rt"), обеспечивающими снижение задержек и позволяющими добиться предсказуемого времени обработки событий. В сборки дополнительно включены оптимизации, нацеленные на повышение производительности и снижение задержек на платах...
После двух лет разработки опубликован первый выпуск проекта Conversations Classic (2.2), развивающего форк XMPP-клиента Conversations для платформы Android. Программа поддерживает такие возможности, как сквозное шифрование, передачу изображений и файлов, звуковые и видео вызовы, голосовые сообщения, конференции, индикацию прочитанного, синхронизацию с десктоп-системами, интеграцию с адресной книгой и привязку нескольких учётных записей. Код проекта написан на языке Java и распространяется под лицензией GPLv3.
После двух лет разработки опубликован первый выпуск проекта Conversations Classic (2.2), развивающего форк XMPP-клиента Conversations для платформы Android. Программа поддерживает такие возможности, как сквозное шифрование, передачу изображений и файлов, звуковые и видео вызовы, голосовые сообщения, конференции, индикацию прочитанного, синхронизацию с десктоп-системами, интеграцию с адресной книгой и привязку нескольких учётных записей. Код проекта...
Один из корневых DNS-серверов 4 дня находился в рассинхронизированном состоянии
Один из 13 корневых серверов DNS (c.root-servers.net), обеспечивающих работу корневой зоны DNS (начальное звено в цепочке резолвинга доменных имён, отдающее сведения о DNS-серверах, обслуживающих домены первого уровня, и ключах для их верификации при помощи DNSSEC) четыре дня находился в состоянии, не синхронизированном с остальными корневыми DNS-серверами. Работу корневого DNS-сервера "С" (192.33.4.12) обеспечивает 12 серверов, размещённых в разных странах. Все эти серверы c 18 по 22 мая не отражали изменения в корневой зоне, отдавали устаревшие данные и не синхронизировались с остальной корневой инфраструктурой DNS.
Один из корневых DNS-серверов 4 дня находился в рассинхронизированном состоянии
Один из 13 корневых серверов DNS (c.root-servers.net), обеспечивающих работу корневой зоны DNS (начальное звено в цепочке резолвинга доменных имён, отдающее сведения о DNS-серверах, обслуживающих домены первого уровня, и ключах для их верификации при помощи DNSSEC) четыре дня находился в состоянии, не синхронизированном с остальными корневыми DNS-серверами. Работу корневого DNS-сервера "С" (192.33.4.12) обеспечивает 12...
Выпуск KDE Gear 24.05, набора приложений от проекта KDE
Представлено майское сводное обновление приложений KDE Gear 24.05, развиваемых проектом KDE. Это второе значительное обновление набора приложений, опубликованное в рамках ветки KDE 6 и после перехода на использование библиотеки Qt 6. В составе набора опубликованы выпуски 250 программ, библиотек и плагинов. Информацию о наличии Live-сборок с новыми выпусками приложений можно получить на данной странице. Новые версии отдельных приложений можно загрузить из каталогов Flathub и SnapCraft.
Выпуск KDE Gear 24.05, набора приложений от проекта KDE
Представлено майское сводное обновление приложений KDE Gear 24.05, развиваемых проектом KDE. Это второе значительное обновление набора приложений, опубликованное в рамках ветки KDE 6 и после перехода на использование библиотеки Qt 6. В составе набора опубликованы выпуски 250 программ, библиотек и плагинов. Информацию о наличии Live-сборок с новыми выпусками приложений можно получить на данной странице. Новые версии отдельных приложений можно...
SSH-бэкдор, установленный при взломе kernel.org, два года оставался незамеченным
Исследователи из компании ESET опубликовали 43-страничный отчёт с анализом руткита Ebury и связанной с ним активности. Утверждается, что Ebury применяется с 2009 года и с тех пор был установлен на более чем 400 тысяч серверов под управлением Linux и несколько сотен систем на базе FreeBSD, OpenBSD и Solaris. Около 110 тысяч серверов оставались поражены Ebury по состоянию на конец 2023 года. Исследование представляет отдельный интерес с учётом того, что Ebury был задействован при атаке на kernel.org, что открывает некоторые новые подробности компрометации инфраструктуры разработки ядра Linux, выявленной в 2011 году. Ebury также был выявлен на серверах регистратора доменов, криптобиржах, выходных узлах Tor и у нескольких хостинг-провайдеров, имена которых не называются.
SSH-бэкдор, установленный при взломе kernel.org, два года оставался незамеченным
Исследователи из компании ESET опубликовали 43-страничный отчёт с анализом руткита Ebury и связанной с ним активности. Утверждается, что Ebury применяется с 2009 года и с тех пор был установлен на более чем 400 тысяч серверов под управлением Linux и несколько сотен систем на базе FreeBSD, OpenBSD и Solaris. Около 110 тысяч серверов оставались поражены Ebury по состоянию на конец 2023 года. Исследование представляет отдельный...
В NetBSD введён запрет на использование кода, сгенерированного AI-системами
Организация NetBSD Foundation представила обновлённые правила внесения изменений в дерево исходных текстов проекта. В новых правилах появился пункт, запрещающий включение в состав NetBSD кода, сгенерированного с использованием AI-инструментов на базе больших языковых моделей, таких как ChatGPT, GitHub Copilot и Code Llama, без предварительного письменного утверждения командой Core Team. В качестве причины упомянуты неопределённость в области авторских прав и несоответствия политике лицензирования NetBSD.
В NetBSD введён запрет на использование кода, сгенерированного AI-системами
Организация NetBSD Foundation представила обновлённые правила внесения изменений в дерево исходных текстов проекта. В новых правилах появился пункт, запрещающий включение в состав NetBSD кода, сгенерированного с использованием AI-инструментов на базе больших языковых моделей, таких как ChatGPT, GitHub Copilot и Code Llama, без предварительного письменного утверждения командой Core Team. В качестве причины упомянуты неопределённость...
Gregory's Server
