OpenNews - Новости мира открытых систем (BSD выборка)


В четырёх популярных дополнениях к Chrome выявлен вредоносный код

Дата: 16 Января 2018 23:44:56

Исследователи из компании ICEBRG выявили четыре дополнения к Google Chrome, в которых присутствовали вредоносные вставки, позволяющие выполнять в браузере произвольный код, загружаемый со сторонних сайтов. Аудитория одного из проблемных дополнений насчитывает 509 тысяч пользователей.


Тестирование рабочего стола KDE Plasma 5.12

Дата: 16 Января 2018 17:55:48

Доступна для тестирования бета-версия пользовательской оболочки Plasma 5.12, построенной с использованием платформы KDE Frameworks 5 и библиотеки Qt 5 с применением OpenGL/OpenGL ES для ускорения отрисовки. Протестировать новый выпуск можно через Live-сборку от проекта openSUSE и сборки от проекта KDE Neon. Пакеты для различных дистрибутивов можно найти на данной странице. Релиз ожидается 6 февраля.


Новые Web API в Firefox будут доступны только для HTTPS

Дата: 16 Января 2018 10:50:31

Компания Mozilla объявила о применении принципа защищённого контекста (Secure Context) к новым Web-технологиям, которые будут появляться в будущих выпусках Firefox. Secure Context подразумевает, что ряд возможностей для web-разработки станет доступен только при открытии с использованием защищённого соединения. По мнению разработчиков, данная тактика позволит ускорить повсеместный переход сайтов на HTTPS, а в случае доступа по HTTP усложнит проведение атак, которые могут привести к утечке персональных данных или получению низкоуровневого доступа к оборудованию.


Уязвимость в BitTorrent-клиенте Transmission, позволяющая выполнить код

Дата: 16 Января 2018 09:47:18

В BitTorrent-клиенте Transmission выявлена уязвимость (CVE-2018-5702), затрагивающая RPC-интерфейс, используемый для организации связи между бэкендом (рабочий процесс) и фронтэндом (интерфейс). Уязвимость позволяет организовать атаку, которая, если в системе запущен демон Transmission, может привести к выполнению произвольного кода, при открытии на той же системе в браузере сайта атакующего. Исправление доступно в виде патча и обновления для Arch Linux, Debian и FreeBSD (пока недоступно для Fedora, SUSE, openSUSE, Ubuntu, RHEL/EPEL).


Выпуск Coreboot 4.7

Дата: 15 Января 2018 19:46:25

После десяти месяцев разработки подготовлен релиз проекта CoreBoot 4.7, в рамках которого разрабатывается свободная альтернатива проприетарным прошивкам и BIOS. В создании новой версии приняло участие 150 разработчиков, которые подготовили 2573 изменения.


Метод отслеживания посетителей сайтов при помощи CSS, без JavaScript

Дата: 15 Января 2018 10:28:58

Jan Böhmer опубликовал прототип системы для организации отслеживания перемещения посетителей по сайтам, который ограничивается использованием только CSS и не требует выполнения кода на JavaScript. При размещении на сайте представленного кода организуется передача на внешний сервер базовой информации о посетителе, включая сведения о разрешении экрана, типе браузера и наличии заданных шрифтов. На основе различий в доступных шрифтах можно определить тип ОС.


В коммутаторах Lenovo и IBM выявлен бэкдор

Дата: 13 Января 2018 19:29:18

Компания Lenovo сообщила о выявлении бэкдора (CVE-2017-3765) в операционной системе ENOS (Enterprise Network Operating System), которая поставляется в некоторых моделях коммутаторов Lenovo и IBM (Flex System Fabric, RackSwitch и BladeCenter). Проблема найдена в ходе аудита кодовой базы ENOS, проведённого Lenovo в рамках проверки безопасности продуктов, полученных в ходе поглощения других компаний. Получив управление злоумышленник мог изменить произвольные настройки, в том числе организовать зеркалирование и анализ трафика или нарушить нормальную работу инфраструктуры.


Эксперимент по созданию файловой системы, хранящей данные в кэше DNS

Дата: 13 Января 2018 10:20:56

Под вдохновением от проекта PingFS, предпринята попытка создания более надёжной ФС - DNSFS. Как и PingFS проект DNSFS позиционируется как эксперимент, не рассчитанный на серьёзное использование.


Уязвимость в Glibc, позволяющая поднять привилегии в системе

Дата: 12 Января 2018 23:04:50

В стандартной библиотеке Glibc выявлена уязвимость (CVE-2018-1000001), вызванная переполнением через нижнюю границу буфера в функции realpath(), проявляющимся при возврате относительного пути системным вызовом getcwd(). Изначально ядро Linux возвращало в getcwd() только абсолютные пути, но затем в ядре 2.6.36 поведение было изменено, но функции Glibc не были адаптированы на обработку относительных путей.


Доступна коммуникационная система Nextcloud Talk с поддержкой видеовызовов

Дата: 12 Января 2018 12:26:02

После полутора лет разработки создатели облачной платформы Nextcloud (форк ownCloud) представили первый выпуск проекта Nextcloud Talk, в рамках которого подготовлено решение для развёртывания сервиса для обмена текстовыми сообщениями, совершения голосовых звонков и видеовызовов с возможность организации видеоконференций и проведения вебинаров.


Сбой антиспам-системы привёл к коллапсу в репозитории NPM

Дата: 12 Января 2018 10:28:37

В репозитории NPM произошёл инцидент, напоминающий произошедшую в 2016 году историю с модулем left-pad, удаление которого привело к неработоспособности многих проектов из-за потери зависимости. На этот раз причиной проблем стала система автоматизированной борьбы со спамом, из-за которой по ошибке были удалены пользователь floatdrop и 102 разработанных им модуля.


Представлен метод атаки на групповой чат WhatsApp и Signal

Дата: 11 Января 2018 19:36:41

Группа исследователей безопасности из Рурского университета опубликовала сведения о недоработках протокола в системе групповых чатов WhatsApp, позволяющих при получении доступа к серверу организовать прослушивание закрытого чата, несмотря на применение оконечного (end-to-end) шифрования на стороне участников чата. Таким образом, поставлена под сомнение способность групповых чатов WhatsApp обеспечить тайну переписки в случае компрометации инфраструктуры, диверсии персонала или предоставления доступа спецслужбам.


Компания Apple присоединилась к альянсу, развивающему свободный видеокодек

Дата: 11 Января 2018 11:56:35

Компания Apple присоединилась к альянсу Open Media, который развивает видеокодек нового поколения AV1, который изначально позиционируется как общедоступный и не требующий оплаты отчислений. Присоединение к проекту Apple является важным шагом на пути к намеченной цели, так как в Open Media теперь представлено большинство влиятельных технологических компаний, включая Google, Microsoft, Mozilla, Facebook, Amazon, Intel, AMD, ARM и NVIDIA, а также такие крупные провайдеры контента, как Netflix и Hulu.


Релиз почтового клиента Notmuch 0.26

Дата: 11 Января 2018 10:29:43

Доступен релиз почтового клиента Notmuch, сосредоточенного на индексации, организации поиска и классификации по тегам большого архива электронной корреспонденции, включающего миллионы писем. Код Notmuch написан на языке Си и распространяется под лицензией GPLv3. Для индексации используется поисковый движок Xapian.


Let's Encrypt опубликовал описание атаки и план по устранению проблемы

Дата: 10 Января 2018 21:08:37

Сервис Let's Encrypt опубликовал описание уязвимости, из-за которой сегодня утром был отключен метод проверки владения доменом TLS-SNI-01. Проблема была не на стороне Let's Encrypt и была вызвана предоставлением излишних полномочий на некоторых хостингах.