Linux | Линукс

🐧Обсудить в Чате Linux

За неделю выявили критические уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux ▪️ В GStreamer (до 1.28.2) три переполнения буфера в обработчиках MKV, MOV/MP4 и H.266/VVC позволяют удалённо выполнить код. Атака упрощается тем, что GNOME автоматически индексирует новые файлы…

За неделю выявили критические уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux ▪️ В GStreamer (до 1.28.2) три переполнения буфера в обработчиках MKV, MOV/MP4 и H.266/VVC позволяют удалённо выполнить код. Атака упрощается тем, что GNOME автоматически индексирует новые файлы в ~/Downloads. ▪️ В CUPS (исправлений пока нет) две удалённые дыры: CVE-2026-34980 позволяет неаутентифицированно выполнить код с правами пользователя lp через спецоформленное задание печати, а CVE-2026-34990 — повысить привилегии с lp до root через подмену принтера. ▪️ В wolfSSL 5.9.1 закрыли 21 уязвимость, включая критическую (CVE-2026-5194): отсутствие проверки размера хэша снижало стойкость цифровых подписей (ECDSA, ED25519, ML-DSA и др.), что позволяло обойти аутентификацию. Проблему нашёл AI. ▪️ В OpenSSL (3.6.2 и др.) семь уязвимостей. CVE-2026-31790 — утечка данных из неинициализированной памяти в RSA KEM RSASVE. CVE-2026-31789 — переполнение буфера в 32-битных системах при обработке сертификатов X.509. ▪️ В OpenClaw (2026.3.11) критическая уязвимость (10/10) CVE-2026-32922: команда /pair approve не проверяла полномочия, позволяя любому подключившемуся назначить себе права администратора. Ранее была CVE-2026-33579 с похожим эффектом. В сети найдено 135 тыс. открытых экземпляров OpenClaw, 63% из них доступны без аутентификации. ▪️ В Nix (исправлено в версиях 2.34.5 и новее) критическая уязвимость (9/10) CVE-2026-39860 — некорректное исправление CVE-2024-27297 позволяет перезаписать любой файл в системе, если фоновый процесс Nix работает с правами root (как в NixOS). ▪️ В ядре Linux исправлено 5 уязвимостей, найденных Claude Code. Одна из них (в драйвере NFS) позволяет через запросы к NFS-серверу читать память ядра и проявляется с ядра 2.6.0 (2003 год). 🐧Обсудить в Чате Linux

Little Snitch наконец вышел на Linux (с eBPF и веб-интерфейсом) Вышла первая Linux-версия легендарного межсетевого экрана для приложений Little Snitch (ранее только macOS). Программа позволяет в реальном времени отслеживать, куда именно обращаются приложения, блокировать нежелательные соединения, и…

Little Snitch наконец вышел на Linux (с eBPF и веб-интерфейсом) Вышла первая Linux-версия легендарного межсетевого экрана для приложений Little Snitch (ранее только macOS). Программа позволяет в реальном времени отслеживать, куда именно обращаются приложения, блокировать нежелательные соединения, использовать списки блокировки (например, oisd.nl для рекламы и трекинга) и создавать белые списки. Блокировка работает по IP, подсетям и доменным именам. Для инспектирования трафика в Linux задействована подсистема eBPF — BPF-обработчик загружается в ядро. Фоновый процесс написан на Rust (распространяется под проприетарной лицензией, но бесплатно), а управление осуществляется через веб-интерфейс на localhost:3031 (поддерживается PWA). Требуется ядро Linux 6.12 и новее. Существует и открытый аналог OpenSnitch, но автор Linux-версии Little Snitch отметил, что тот ему не подошёл для быстрой блокировки соединений одним кликом. 🐧Обсудить в Чате Linux

FreeBSD Foundation запустила проект по тестированию на ноутбуках Некоммерческая организация FreeBSD Foundation представила инициативу по сбору данных о совместимости FreeBSD с современными ноутбуками. Цель в том, чтобы выявить проблемы и расставить приоритеты для улучшения поддержки мобильных устро…

FreeBSD Foundation запустила проект по тестированию на ноутбуках Некоммерческая организация FreeBSD Foundation представила инициативу по сбору данных о совместимости FreeBSD с современными ноутбуками. Цель в том, чтобы выявить проблемы и расставить приоритеты для улучшения поддержки мобильных устройств. Все отчёты будут публиковаться на сводной странице. Участникам предлагают запустить скрипт run_hwprobe. sh, который автоматически собирает информацию о CPU, GPU, сетевых адаптерах, Wi-Fi, Bluetooth, накопителях, USB и загруженных модулях ядра. Затем вручную проверить по контрольному списку: спящий режим, индикаторы, экономию энергии, HDMI, аппаратное декодирование видео, высокоскоростной Wi-Fi, работу KDE и внешних мониторов. Результат отправляется как pull-запрос на GitHub. 🐧Обсудить в Чате Linux

Практики, позволяющие повысить уровень информационной безопасности при работе с npm В GitHub-репозитории (https://github.com/lirantal/npm-security-best-practices) есть разделы: — npm Security Best Practices — Secure Local Development Best Practices — npm Maintainer Security Best Practices — npm Pa…

Практики, позволяющие повысить уровень информационной безопасности при работе с npm В GitHub-репозитории (https://github.com/lirantal/npm-security-best-practices) есть разделы: — npm Security Best Practices — Secure Local Development Best Practices — npm Maintainer Security Best Practices — npm Package Health Best Practices Каждый из описанных выше разделов состоит из набора рекомендаций, перечень которых варьируется. Для каждой рекомендации приводятся некоторые советы и набор команд, в которых указано как её можно реализовать на практике. 🐧Обсудить в Чате Linux

Критическая уязвимость во Flatpak позволяет вредоносному приложению вырваться из песочницы и выполнить код на хост-системе Разработчики Flatpak выпустили срочное обновление 1.16.4, закрывающее уязвимость CVE-2026-34078 с критическим уровнем опасности (9.3 из 10). Проблема заключается в сервисе flat…

Критическая уязвимость во Flatpak позволяет вредоносному приложению вырваться из песочницы и выполнить код на хост-системе Разработчики Flatpak выпустили срочное обновление 1.16.4, закрывающее уязвимость CVE-2026-34078 с критическим уровнем опасности (9.3 из 10). Проблема заключается в сервисе flatpak-portal: он принимает пути в опции sandbox-expose, которые могут оказаться символическими ссылками, указывающими на произвольные части файловой системы хост-системы . Перед монтированием сервис раскрывает такую ссылку и подключает в изолированное окружение любой путь, на который она указывает. В результате вредоносное или скомпрометированное flatpak-приложение может получить полный доступ на чтение и запись к файлам хост-системы, а затем выполнить произвольный код вне режима изоляции — например, добавить автозапускаемый скрипт в ~/.bashrc или изменить ~/.ssh/authorized_keys. В этом же обновлении исправлены ещё три уязвимости: CVE-2026-34079, позволяющая удалять произвольные файлы на хост-системе через манипуляции с очисткой кэша ld.so ; проблема с произвольным чтением файлов в контексте system-helper (GHSA-2fxp-43j9-pwvc) ; и уязвимость, позволяющая одному пользователю мешать другому отменять загрузку приложений (GHSA-89xm-3m96-w3jg). Патч уже доступен в стабильной ветке 1.16.4 , а также в экспериментальной 1.17.4. В качестве временной меры защиты можно отключить сервис flatpak-portal командами sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service, однако это может нарушить работу некоторых приложений. 🐧Обсудить в Чате Linux

Теперь требования к процессору и памяти у Ubuntu даже выше, чем у Windows Ubuntu 26.04: процессор 2 ГГц, 6 ГБ ОЗУ Windows 11: процессор 1 ГГц, 4 ГБ ОЗУ 🐧Обсудить в Чате Linux

Вышла новая версия Rust Coreutils (uutils 0.8) Уровень совместимости с эталонным тестовым набором GNU Coreutils достиг 94,74% (было 94,59%). Количество успешных тестов выросло до 630, число неудачных снизилось с 23 до 21. В утилитах cat, df, wc, tty, tsort, tail, touch, date, mkdir и uucore перешл…

Вышла новая версия Rust Coreutils (uutils 0.8) Уровень совместимости с эталонным тестовым набором GNU Coreutils достиг 94,74% (было 94,59%). Количество успешных тестов выросло до 630, число неудачных снизилось с 23 до 21. В утилитах cat, df, wc, tty, tsort, tail, touch, date, mkdir и uucore перешли с nix на rustix, что позволило сократить объём unsafe-кода в hostname, logname, who и nice. Оптимизировали производительность: dd ускорилась на 45%, numfmt — на 3%, остальные (ls, sort, wc, cat, tee, pr) тоже стали быстрее. Размер исполняемых файлов true, false и echo уменьшили. Более 70 утилит (включая ls, head, cat, cp, mv, sort, tail) теперь можно собирать в WebAssembly с интерфейсом WASI — уже работает демо с интерактивным терминалом. 🐧Обсудить в Чате Linux