Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней. Предполагается, что запрет позволит предотвратить внесение вредоносных изменений в уже опубликованные релизы в случае утечки токенов доступа или компрометации процессов публикации пакетов в PyPI. Изначально подобное ограничение предлагалось реализовать в январе 2024 года, но оно не было утверждено из-за практикуемого некоторыми проектами добавления поддержки новых версий Python в уже опубликованные релизы (из 15 тысяч наиболее популярных пакетов подобные изменения спустя 14 дней после релиза вносили 56 проектов). Предложение было выставлено на обсуждение второй раз в марте этого года, после … Читать далее В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации

За сутки в списке рассылки linux-cve-announce опубликовано 432 новых отчёта об уязвимостях в ядре Linux, которым присвоены CVE-идентификаторы. Из общей массы можно выделить уязвимость Frag Gap, для которой подготовлен рабочий эксплоит, позволяющий непривилегированному локальному пользователю получить права root в системе. Уязвимость вызвана записью за пределы выделенного буфера в обработчике фрагментированных UDP-пакетов в IPv6 (CVE-2026-53362) и IPv4 (CVE-2026-5336) стеках ядра. Для эксплуатации уязвимости осуществляется отправка порции данных, размер которых не укладываются в допустимый размер фрагмента (превышает MTU), через UDP-сокет с выставленной опцией UDP_CORK, предписывающей объединять поступающие через сокет данные в одну датаграмму. Проблема возникает при обработке данных, требующих разделения на фрагменты, … Читать далее 432 отчёта об уязвимостях в ядре Linux. Локальная root-уязвимость Frag Gap

В системе управления web-контентом WordPress, которая по приблизительной оценке используется на 500 миллионах сайтах, выявлены две уязвимости, которые в комбинации позволяют получить полный доступ к панели администратора и выполнить код с привилегиями web-сервера через отправку внешнего запроса без прохождения аутентификации. Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам, — для атаки достаточно, чтобы сайт на базе WordPress был доступен для внешних запросов. Проблемы устранены в корректирующих обновлениях 6.8.6, 6.9.5 и 7.0.2. В эксплоите задействованы две уязвимости: CVE-2026-60137 — позволяет без прохождении аутентификации добиться подстановки SQL-запроса из-за отсутствия должной … Читать далее Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере

Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 7.2.14, в котором представлено 7 изменений: В дополнениях для хост-окружений с Linux реализована начальная поддержка ядра Linux 7.2, релиз которого ожидается 17 августа. В дополнения для гостевых систем с Linux добавлена поддержка новых версий пакетов с ядром, выпущенных для RHEL 9.8 и 9.9. В инсталляторе для Windows обеспечено определение Visual C++ runtime. В менеджере виртуальных машин улучшена работа при использовании Windows Hyper-V в качестве движка для вирутализации. В дополнениях для гостевых систем с Windows решены проблемы с обработкой unicode-форматов в буфере обмена. Упрощены требования к зависимостям для сборки BIOS (достаточно NASM 2.16). … Читать далее Выпуск VirtualBox 7.2.14

Компания OpenAI опубликовала сведения об инциденте, который привёл к взлому инфраструктуры платформы Hugging Face и получению доступа к учётным данным некоторых сервисов. Инцидент произошёл в ходе тестирования возможностей автономного AI-агента находить уязвимости и проводить комплексные атаки для достижения общей цели (тест ExploitGym). При тестировании использовались как существующая модель GPT‑5.6 Sol, так и более функциональная предварительная версия новой модели OpenAI, у которых были отключены механизмы, ограничивающие использование для проведения кибератак. AI-агент был запущен во внутреннем изолированном окружении, не имевшем доступа к глобальной сети, но предоставляющем возможность установки пакетов из внутренних копий репозиториев. В процессе решения поставленной задачи AI-агент обнаружил уязвимость в … Читать далее В ходе тестирования автономный AI-агент OpenAI без явной указки взломал инфраструктуру Hugging Face

Состоялся релиз web-браузера Firefox 153. Firefox 153 отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформированы обновления прошлых веток с длительным сроком поддержки — 140.13.0 и 115.38.0. На стадию бета-тестирования в ближайшее время будет переведена ветка Firefox 154, релиз которой намечен на 18 августа. Основные новшества в Firefox 153 (1, 2, 3): Реализованы контекстные контейнеры, которые можно использовать для гибкой изоляции произвольных сайтов. Контейнеры предоставляют возможность изоляции различных типов контента без создания отдельных профилей, что позволяет разделить между собой информацию отдельных групп страниц. Например, можно создать отдельные, изолированные друг от … Читать далее Релиз Firefox 153

Опубликован стабильный релиз интерфейса для упрощения настройки параметров сети — NetworkManager 1.58.0. Плагины для поддержки VPN (Libreswan, OpenConnect, Openswan, SSTP и др.) развиваются в рамках собственных циклов разработки. Основные новшества NetworkManager 1.58: Добавлена поддержка механизма CLAT (Customer-side Translator, 464XLAT), позволяющего на хосте, на котором используется только протокол IPv6, организовать работу приложений, поддерживающих только IPv4. CLAT реализован в форме выполняемого на уровне ядра BPF-обработчика, создающего виртуальный сетевой интерфейс с внутренним адресом IPv4. Отправляемые через этот интерфейс IPv4-пакеты преобразуются в IPv6 и через сеть IPv6 перенаправляются на шлюз NAT64, транслирующий обращение IPv6-клиентов к серверам IPv4. Для автоматического использования CLAC в зависимости от … Читать далее Релиз сетевого конфигуратора NetworkManager 1.58.0 с поддержкой CLAT и GENEVE

Разработчики операционной системы NetBSD представили новый порт hb68k, в котором реализована поддержка систем на базе процессоров Motorola 680×0, разработанных в 1979 году. В настоящее время подобные процессоры продолжают использоваться в конструкторах для самостоятельной домашней сборки компьютеров и обучения проектированию электронных устройств. Порт также может оказаться полезен любителям ретро систем, например, можно отметить недавние инициативы по запуску Linux на игровых приставках Atari Jaguar и Sega MegaDrive, оснащённых CPU Motorola 68000. Работа порта опробована на созданном энтузиастом компьютере Phaethon 1, оснащённом самодельным блоком управления памятью (MMU), 8MB ОЗУ, двумя последовательными портами 16650, таймером DS3231/3232, шиной VME для подключения периферии, а также контроллерами … Читать далее ОС NetBSD портирована на системы с процессорами Motorola 68000

Опубликован выпуск проекта Kata Containers 4.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenInfra Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE. Основу Kata составляет runtime, позволяющий создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, в которых используется общее … Читать далее Выпуск Kata Containers 4.0 с изоляцией контейнеров при помощи виртуализации

Майкл Катанзаро (Michael Catanzaro), с 2020 года отвечающий за отслеживание проблем с безопасностью в проекте GNOME, объявил о сокращении срока раскрытия информации об уязвимостях с 90 до 30 дней. Заявлено, что открытие публичного доступа к информации об уязвимости через 30 дней после получения отчёта является разумным компромиссом, с учётом того, что в большинстве случаев сопровождающие либо устраняют проблему за 1-3 недели, либо вообще не обращают на неё внимания. Изменение вступит в силу 1 августа и объясняется существенным ростом числа отчётов об уязвимостях, созданных при помощи AI-ассистентов. При разборе отчётов об уязвимостях, связанных с GNOME, для упрощения администрирования прекращено разделение на … Читать далее Изменения в отслеживании проблем с безопасностью в GNOME

Доступен композитный сервер Hyprland 0.56, использующий протокол Wayland. Проект ориентирован на мозаичную (tiling) компоновку окон, но поддерживает и классическое произвольное размещение окон, группировку окон в форме вкладок, псевдомозаичный режим и полноэкранное раскрытие окон. Код написан на языке С++ и распространяется под лицензией BSD. Предоставляются возможности для создания визуально привлекательных интерфейсов: градиенты в обрамлении окон, размытие фона, анимационные эффекты и тени. Для расширения функциональности могут подключаться плагины, а для внешнего управления работой предоставляется IPC на базе сокетов. Настройка осуществляется через файл конфигурации, изменения в котором подхватываются на лету без перезапуска. Из функций также выделяются: динамически создаваемые виртуальные рабочие столы; режимы компоновки … Читать далее Выпуск композитного сервера Hyprland 0.56

Запущен сервис wiyci (The World Is Your CI) от автора проекта Repology. Сервис агрегирует логи сборки свободных проектов, находит в них индикаторы проблем, включая предупреждения компилятора и сломанные тесты, и представляет результат в виде, напоминающем интерфейс систем непрерывной интеграции. Идея в том, что сборка пакетов настоящих дистрибутивов покрывает большее разнообразие окружений, нежели обычные CI (которые, кроме того, используются не всеми проектами) и может выявить больше проблем, и закрыть слепое пятно в экосистеме СПО. На данном этапе проект находится в альфа-стадии и поддерживает логи сборки пакетов Alpine, Fedora и FreeBSD, что, впрочем, уже покрывает 2 ядра ОС, 3 реализации libc (glibc, … Читать далее Доступен wiyci — сервис по анализу логов сборки пакетов

Опубликован исходный код MeetVap, кроссплатформенного мессенджера с клиентами для Android, iOS и Web. Помимо клиентских компонентов также открыта и серверная часть. Проект ориентирован на обеспечение конфиденциальности пользователей. Сообщения не хранятся на сервере после доставки, регистрация не требует номера телефона или адреса электронной почты. Поддерживаются личные и групповые чаты, голосовые и видеозвонки, обмен файлами, голосовыми сообщениями и геопозицией. Код доступен под лицензией AGPLv3. При разработке интерфейсов мобильных приложений и Web-клиента активно использовались современные AI-инструменты для ускорения реализации. При этом вся архитектура, проектирование и интеграция функциональности выполнялись разработчиком, а каждый фрагмент сгенерированного кода проходил обязательную проверку, доработку и рецензирование перед включением в … Читать далее Опубликован исходный код мессенджера MeetVap

Началась работа над возрождённым проектом NextBSD, нацеленным на создание операционной системы, использующей технологии macOS, такие как системный менеджер launchd, механизм межпроцессного взаимодействия Mach IPC и библиотека диспетчеризации параллельного выполнения задач libdispatch, поверх современной кодовой базы FreeBSD. Новая реализация создаётся заново, не используя кодовую базу старого проекта NextBSD, прекратившего существование 10 лет назад, но цели и реализуемые идеи у проектов совпадают. Проект возродил Джо Мэлони (Joe Maloney), принимавший участие в разработке старого NextBSD и смежных проектов, таких как helloSystem, ravynOS, FreeNAS/TrueNAS, PCBSD/TrueOS и GNUstep, а также известный как создатель среды рабочего стола Gershwin, применяемой в GhostBSD. Код распространяется под лицензией BSD-2 … Читать далее Возобновлена работа над ОС NextBSD, сочетающей технологии FreeBSD и macOS

Состоялся релиз статически типизированного языка программирования V 0.5.2 (vlang). Основными целями при создании V были простота изучения и использования, высокая читаемость, быстрая компиляция, повышенная безопасность, эффективная разработка, кроссплатформенное использование, улучшенное взаимодействие с языком C, лучшая обработка ошибок, отключаемый сборщик мусора (GC), современные возможности и более удобное сопровождение программ. Проект также развивает свою графическую библиотеку и пакетный менеджер. Код компилятора, библиотек и сопутствующих инструментов открыт под лицензией MIT. Среди изменений в новой версии: Внедрена начальная версия управления владением памятью (как в Rust) с использованием флага -ownership. Вся логика реализована во время компиляции (comptime), поэтому не оказывает влияния на скорость или размер … Читать далее Релиз языка программирования V 0.5.2

Один из разработчиков GNOME Calendar (Hari Rana) вынес на публику конфликт с сопровождающим пакет в дистрибутиве Linux Mint. Конфликт обусловлен тем, что в Linux Mint поставляется пакет с изменённой устаревшей версией GNOME Calendar. Несмотря на наличие специфичных изменений, приложение поставляется под именем GNOME Calendar, из-за чего у пользователей возникает впечатление об использовании оригинального проекта. В варианте GNOME Calendar от Linux Mint остаются неисправленными некоторые ошибки и пользователи регулярно обращаются по этому поводу к основным разработчикам GNOME Calendar, считая, что они ответственны за возникающие проблемы. На странице «About» в приложении сохранены контактные данные основного проекта и пользователи направляют уведомления о проблемах … Читать далее Разработчик GNOME Calendar обвинил Linux Mint в игнорировании проблемы с устаревшим пакетом

Опубликован выпуск проекта D7VK 2.0, развивающего реализацию графических API Direct3D 3, 5, 6 и 7, предложенных компанией Microsoft в 1996, 1997, 1998 и 1999 годах. D7VK работает через трансляцию вызовов в API Vulkan и позволяет при помощи Wine запускать в Linux ретро игры, завязанные на API Direct3D 3, 5, 6 и 7. Код проекта написан на языке C++ и распространяется под лицензией Zlib. В качестве основы при разработке использован код бэкенда d3d9 от проекта DXVK — D7VK преобразует API Direct3D 3, 5, 6 и 7 в вызовы Direct3D 9, которые затем транслируются в API Vulkan. Разработчик не намерен добиваться включения … Читать далее Новые версии D7VK 2.0 и DXVK 3.0.2, реализаций Direct3D поверх API Vulkan

Компания Collabora представила проект Holo Core, в рамках которого совместно с компанией Valve подготовлена редакция дистрибутива Arch Linux для платформы AArch64. Holo Core создан для использования SteamOS на устройстве Steam Frame, сочетающем персональный компьютер, 3D-шлем и два 3D-контроллера. Разработка Holo Core потребовалась, так как дистрибутив Arch Linux, лежащий в основе SteamOS, доступен только для архитектуры x86_64, в то время как устройство Steam Frame построено на чипе Snapdragon 8, использующем архитектуру ARM64. Для тестирования доступен исходный код пакетов, адаптированных для архитектуры ARM64, а также готовые бинарные сборки пакетов и образ контейнера в формате Docker. Ключевой задачей проекта названо построение инфраструктуры непрерывной … Читать далее Компания Collabora представила Holo Core, порт Arch Linux для архитектуры AArch64

Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлена порция изменений для ветки KDE Plasma 6.8, релиз которой запланирован на 14 октября. Среди недавних изменений: В композитный менеджер KWin добавлена возможность автоматической дорисовки на стороне сервера теней и контуров окон, а также применения эффекта закругления углов для приложений, применяющих декорирование окон на стороне клиента (CSD, client-side-decorated), но не поддерживающих указанные элементы оформления. Изменение позволило придать типовой для KDE вид таким приложениям, как Steam и Discord, окна которых ранее отрисовывались без теней, обрамления и скруглений. Для активации теней реализовано новое правило переопределения атрибутов окон приложений (KWin Window Rules) — «Window … Читать далее В KDE реализована отрисовка теней окон на стороне сервера для приложений, подобных Steam и Discord

Компания Core Devices опубликовала отчёт о развитии платформы Pebble. За четыре месяца после начала серийного производства выпущено более 23 тысяч экземпляров умных часов Pebble Time 2, выполнено свыше 80% предварительных заказов. Завершить рассылку оставшихся устройств планируется до конца июля, после чего часы поступят в свободную продажу. Одновременно продолжается развитие открытой программной платформы PebbleOS для умных часов, в которой за последние месяцы заметно улучшена энергоэффективность: время автономной работы Pebble 2 Duo увеличилось с 17 до более чем 30 дней, а Pebble Time 2 теперь работает около трёх недель без подзарядки. В SDK для разработчиков добавлена поддержка сенсорного экрана, динамика, RGB-подсветки, расширены … Читать далее Отчёт проекта по возрождению умных часов Pebble

Состоялся релиз дистрибутива Whonix 18.2, нацеленного на предоставление гарантированной анонимности, безопасности и защиты частной информации. Дистрибутив основан на Debian GNU/Linux и использует Tor для обеспечения анонимности. Наработки проекта распространяются под лицензией GPLv3. Для загрузки подготовлены образы виртуальных машин в формате ova для VirtualBox (2.6 ГБ c LXQt и 1.5 ГБ консольный) и qcow2 для гипервизора KVM (4ГБ c LXQt и 2.3 ГБ консольный). Особенностью Whonix является разделение дистрибутива на два отдельно запускаемых компонента — Whonix-Gateway с реализацией сетевого шлюза для анонимных коммуникаций и Whonix-Workstation с рабочим столом. Компоненты представляют собой отдельные системные окружения, поставляемые внутри одного загрузочного образа и запускаемые … Читать далее Выпуск Whonix 18.2, дистрибутива для анонимных коммуникаций