| · | 06.04 | Выпуск Cozystack 1.2, открытой PaaS-платформы на базе Kubernetes |
|
Доступен выпуск свободной PaaS-платформы Cozystack 1.2, построенной на базе Kubernetes. Проект нацелен на предоставление готовой платформы для хостинг-провайдеров и фреймворка для построения частных и публичных облаков. Платформа устанавливается напрямую на серверы и охватывает все аспекты подготовки инфраструктуры для предоставления управляемых сервисов. Cozystack позволяет запускать и предоставлять кластеры Kubernetes, базы данных и виртуальные машины. Код платформы доступен на GitHub и распространяется под лицензией Apache-2.0.
Платформа включает свободную реализацию сетевой инфраструктуры (fabric) на базе Kube-OVN, и использует Cilium для организации сервисной сети, MetalLB для анонса сервисов наружу. Хранилище реализовано на LINSTOR, где предлагается использование ZFS в качестве базового слоя для хранилища и DRBD для репликации. Имеется преднастроенный стек мониторинга на базе VictoriaMetrics и Grafana. Для запуска виртуальных машин используется технология KubeVirt, которая позволяет запускать классические виртуальные машины прямо в контейнерах Kubernetes и уже имеет все необходимые интеграции с Cluster API для запуска управляемых Kubernetes-кластеров внутри "железного" Kubernetes-кластера. В рамках платформы можно по клику разворачивать Kafka, FerretDB, PostgreSQL, Cilium, Grafana, Victoria Metrics и другие сервисы. Главные нововведения в Cozystack 1.2.0:
| ||
|
Обсуждение |
Автор: tym83 |
Тип: Программы |
| ||
| · | 05.04 | Возобновлены попытки удаления поддержки процессоров i486 из ядра Linux (59 +11) |
|
Инго Молнар (Ingo Molnar), мэйнтейнер архитектуры x86, механизма блокировок и планировщика задач в ядре Linux, вновь поднял тему прекращения поддержки процессоров i486 в ядре Linux и опубликовал патч, удаляющий опции для сборки ядра с поддержкой процессоров 486DX, 486SX и AMD ELAN (CONFIG_M486, CONFIG_M486SX и CONFIG_MELAN). В примечании указано, что очень мало кто использует современные ветки ядра Linux на устаревших 32-разрядных CPU и не удалось найти ни одного основного дистрибутива, для которого продолжали бы публиковаться пакеты с ядром, собранные с опцией "M486=y".
При этом, из-за сохранения поддержки CPU 486 в ядре приходится держать усложнённый код, эмулирующий некоторые аппаратные операции, такие как CX8 (сравнить и обменять 8 байт) и TSC (счётчик циклов CPU, используемый в планировщике задач). Подобный код время от времени становится источником проблем, разбор которых отнимает у разработчиков время, которое можно было бы потратить c больше пользой. В прошлогоднем обсуждении Линус Торвальдс заявил, что чувствует, что настало время отказаться от поддержки CPU 486 и не видит причин, чтобы продолжать тратить время разработчиков на решение возникающих из-за этих процессоров проблем. До этого Линус поднимал тему удаления поддержки CPU 486 в октябре 2022 года. Поддержка процессоров 386 была удалена из ядра в 2012 году.
| ||
|
Обсуждение (59 +11) |
Тип: К сведению |
| ||
| · | 05.04 | В KDE реализован новый Wayland-протокол для дробного масштабирования и улучшена поддержка Vulkan (106 +6) |
Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлены изменения для ветки KDE Plasma 6.7, релиз которой ожидается в июне. Среди недавно внесённых изменений:
| ||
|
Обсуждение (106 +6) |
Тип: Обобщение |
| ||
| · | 05.04 | Лидером Debian впервые станет женщина. Позиция по верификации возраста в Debian (241 –55) |
|
Андреас Тилле (Andreas Tille), лидер проекта Debian, опубликовал ежемесячный отчёт, в котором пояснил, что не стал в третий раз участвовать в выборах лидера проекта, чтобы стимулировать других участников выдвигать свои кандидатуры. В итоге, на пост лидера в этом году претендует только один кандидат -
Шрути Чандран (Sruthi Chandran), участница из Индии. Голосование началось вчера и продлится до 17 апреля, но результат уже предрешён, маловероятно, что большинство участников проголосуют "против всех".
Шрути подключилась к проекту в 2016 году и принимала участие в поддержке 194 пакетов, среди которых пакеты c библиотеками для Ruby, Node.js и Go, а также пакеты со шрифтами. Она также входила в число организаторов конференций DebConf India и DebConf, и является членом команды Outreach, развивающей инициативы по обучению новичков и привлечению в проект женщин и меньшинств. Планы Шрути на посту лидера касаются поддержки разнообразия в сообществе, делегирования части решаемых лидером задач на 1-2 помощников для повышения эффективности работы, создания для студентов структурированного курса по Debian, организации предустановки Debian на ноутбуки, работы над более доброжелательной манерой общения в сообществе и содействия участникам, предлагающим новые идеи и процессы по усовершенствованию Debian. В планах также упоминается создание более простого, чем общее голосование разработчиков (GR, General Resolution) процесса принятия решений для утверждения мелких повседневных вопросов, для которых общее голосование избыточно.
Во второй части отчёта Андреас Тилле поделился мнением о реализации требований законов по интеграции в операционные системы API для проверки возраста, принятых в некоторых штатах США и в Бразилии. Отмечается, что ситуация с применимостью данных законов к некоммерческому проекту, развиваемому добровольцами и распространяемому бесплатно, пока остаётся неясной - реализация мер для соответствия дистрибутива данным законам находится на стадии обсуждения разработчиками и юридической оценки организацией SPI (Software in the Public Interest). Предполагается, что обязательства по выполнению законов в первую очередь затрагивают дистрибьюторов и коммерческие компании, создающие продукты на основе Debian. Проект Debian готов интегрировать возможности, необходимые для выполнения требований законов в производных дистрибутивах, но данная функциональность будет опциональной и не будет навязываться пользователям из стран без подобных законов. Добавление API для запроса приложениями информации о возрасте пользователя также обсуждается разработчиками дистрибутивов Ubuntu, Fedora, Linux Mint и NixOS. Конкретные решения ещё не приняты, но рассматривается возможность реализации необходимого API. В systemd уже принято изменение, добавляющее в userdb поле birthDate с датой рождения пользователя, а в утилиту homectl опцию "--birth-date' для установки возраста. Добавленное поле сможет использоваться в развиваемом для дистрибутивов портале xdg-desktop-portal и сервисе AccountsService для выдачи приложениям сведений о возрастной категории пользователя через D-Bus интерфейс "org.freedesktop.AgeVerification1" или "org.freedesktop.ParentalControls".
| ||
|
Обсуждение (241 –55) |
Тип: К сведению |
| ||
| · | 04.04 | Выпуск MidnightBSD 4.0.4 с инструментарием для верификации возраста (47 –38) |
|
Состоялся релиз десктоп-ориентированной операционной системы MidnightBSD 4.0.4, основанной на FreeBSD с элементами, портированными из DragonFly BSD, OpenBSD и NetBSD. Базовое десктоп-окружение построено на основе Xfce (опционально можно установить связку GNUstep + Window Maker + GWorkspace). В отличие от других десктоп-сборок FreeBSD, ОС MidnightBSD изначально развивалась как форк FreeBSD 6.1-beta, который в 2011 году был синхронизирован с кодовой базой FreeBSD 7 и впоследствии вобрал в себя многие возможности из веток FreeBSD 9-13. Для управления пакетами в MidnightBSD задействована система mport, которая использует БД SQLite для хранения индексов и метаданных, или инструментарий Ravenports. Для загрузки подготовлен установочный образ размером 1 ГБ (i386, amd64).
В новом выпуске:
| ||
|
Обсуждение (47 –38) |
Тип: Программы |
| ||
| · | 04.04 | В ядре Linux 7.0 выявили регрессию, в два раза снижающую производительность PostgreSQL (82 +47) |
|
Инженер из компании Amazon выявил регрессию, специфичную для ядра Linux 7.0, релиз которого ожидается 13 апреля. Изменение настроек планировщика задач привело к существенному снижению пропускной способности и отзывчивости при работе СУБД PostgreSQL на системах с архитектурой ARM64. При использовании ядра 7.0 показатели производительности при прохождении теста pgbench "simple-update" снизились почти в два раза - с 98565 до 50751.
Замедление вызвано изменением режима вытеснения (preemption) в планировщике по умолчанию с PREEMPT_NONE на PREEMPT_LAZY на архитектурах, поддерживающих такой режим, из-за чего в пользовательском пространстве PostgreSQL стал тратить 55% времени CPU на вызов s_lock(). Для решения проблемы предложено вернуть по умолчанию режим PREEMPT_NONE и убрать его привязку к настройке ARCH_NO_PREEMPT. Питер Зейлстра (Peter Zijlstra), автор изменений, из-за которых возникла регрессия, и мэйнтейнер планировщика задач и связанных с блокировками подсистем ядра, заявил, что исправление нужно вносить в код PostgreSQL. Для устранения падения производительности он посоветовал задействовать в PostgreSQL недавно добавленное в ядро расширение "rseq slice" (Restartable Sequences) для ограничения вероятности вытеснения держателя блокировки. Пока не ясно какое решение примет Линус Торвальдс, который придерживается правила, что ядро не должно ухудшать работу и ломать совместимость с пространством пользователя. С одной стороны ядро 7.0 находится на финальной стадии тестирования перед релизом и откат настроек планировщика может привести к другим регрессиям, а с другой стороны пользователи могут столкнуться с двухкратным снижением производительности одной из самых популярных СУБД.
| ||
|
Обсуждение (82 +47) |
Тип: Тема для размышления |
| ||
| · | 04.04 | Атаки GDDRHammer и GeForge, искажающие память GPU для доступа ко всей памяти CPU (59 +24) |
|
Исследователи из нескольких университетов США и Австралии разработали две атаки класса Rowhammer - GDDRHammer и GeForge, позволяющие при выполнении непривилегированного ядра CUDA на GPU NVIDIA добиться искажения отдельных битов в чипах видеопамяти GDDR. В отличие от представленного в прошлом году метода GPUHammer, новые атаки не ограничиваются воздействием на данные, обрабатываемые в памяти GPU, а позволяют получить полный доступ ко всей основной памяти, относящейся к адресному пространству CPU. Исследователями продемонстрированы эксплоиты, предоставляющие root-доступ к основной системе при выполнении непривилегированного CUDA-ядра на GPU.
Обе атаки добиваются преждевременной потери заряда в определённых ячейках видеопамяти, к которым у атакующих нет прямого доступа, что приводит к изменению хранящихся в этих ячейках битов. Возможность чтения и записи в память, относящуюся к адресному пространству CPU, реализована путём вмешательства в работу аллокатора памяти GPU (cudaMalloc) для нарушения изоляции памяти GPU и отображения виртуальных адресов GPU в произвольные адреса физической памяти GPU или CPU. Вмешательство осуществляется через искажение значений битов в видеопамяти, в которой хранятся таблицы страниц памяти GPU, отвечающие за трансляцию виртуальных адресов в физические. Отличия между атаками GDDRHammer и GeForge сводятся к тому, что метод GDDRHammer модифицирует таблицу страниц последнего уровня (PT - Last Level Page Table), а метод GeForge - каталог страниц последнего уровня (PD0 - Last Level Page Directory). Среди прочего указанные таблицы трансляции адресов используются для организации прямого доступа GPU к памяти CPU, поэтому изменение адреса в таблице страниц GPU на физический адрес в основной оперативной памяти и выставление флага APERTURE, включающего режим маппинга памяти CPU, дают возможность читать и записывать данные c обращением к основной памяти через шину PCIe при отключённом IOMMU (по умолчанию отключён).   Успешные атаки продемонстрированы для высокопроизводительных профессиональных видеокарт NVIDIA RTX A6000 на базе микроархитектуры Ampere (стоимость новых карт начинается с $6850, а подержанных - с $4000) и бытовых моделей NVIDIA RTX 3060 ($250-300). Разработанная техника обхода защиты от Rowhammer в сочетании с задействованием предоставляемых в GPU средств распараллеливания операций позволила в 64 раза увеличить частоту возникновения искажения ячеек по сравнению с прошлыми атаками. В качестве временной меры для блокирования атак командой "nvidia-smi -e 1" может быть включён режим коррекции ошибок ECC (Error Correcting Codes), но он приводит к дополнительным накладным расходам и потенциально может быть обойдён, используя такие методы атак, как ECCploit и ECC.fail.
Атака RowHammer позволяет исказить содержимое отдельных битов памяти DRAM путём цикличного чтения данных из соседних ячеек памяти. Так как память DRAM представляет собой двухмерный массив ячеек, каждая из которых состоит из конденсатора и транзистора, выполнение непрерывного чтения одной и той же области памяти приводит к флуктуации напряжения и аномалиям, вызывающим небольшую потерю заряда соседних ячеек. Если интенсивность чтения большая, то соседняя ячейка может потерять достаточно большой объём заряда и очередной цикл регенерации не успеет восстановить её первоначальное состояние, что приведёт к изменению значения сохранённых в ячейке данных. Метод атаки Rowhammer был предложен в 2014 году, после чего между исследователями безопасности и производителями оборудования началась игра в "кошки-мышки" - производители чипов памяти пытались блокировать уязвимость, а исследователи находили новые способы обхода блокировок. Например, для защиты от RowHammer производители чипов добавили механизм TRR (Target Row Refresh), но оказалось, что он блокирует искажение ячеек лишь в частных случаях, но не защищает от всех возможных вариантов атаки. Методы атаки были разработаны для чипов DDR3, DDR4 и DDR5 на системах с процессорами Intel, AMD и ARM, а также для GDDR-памяти GPU NVIDIA. Помимо этого были найдены способы обхода коррекции ошибок ECC и предложены варианты совершения атаки по сети и через выполнение JavaScript-кода в браузере.
| ||
|
Обсуждение (59 +24) |
Тип: Проблемы безопасности |
| ||
| · | 04.04 | Выпуск Wine 11.6 (26 +18) |
|
Опубликован экспериментальный выпуск открытой реализации Win32 API - Wine 11.6. С момента выпуска 11.5 было закрыто 28 отчётов об ошибках и внесено 261 изменение.
Наиболее важные изменения:
| ||
|
Обсуждение (26 +18) |
Тип: Программы |
| ||
| · | 03.04 | Выпуск платформы обмена файлами OpenCloud 6.0 (77 +21) |
|
Опубликован релиз платформы OpenCloud 6.0, позволяющей развернуть на своём сервере систему для обмена файлами и совместной работы над контентом. Проект преподносится как открытая альтернатива проприетарным системам Microsoft SharePoint, Google Drive и Dropbox, соответствующая требованиям действующего в Европейском союзе постановления GDPR.
Проект основан как форк платформы OCIS (ownCloud Infinite Scale). В отличие от старой кодовой базы ownCloud и ответвившегося от неё проекта NextCloud серверная часть OCIS была переписана с языка PHP на Go. Создатели OpenCloud попытались избавить кодовую базу от лишней функциональности и сосредоточиться на максимально качественной реализации основной задачи - совместной работы с файлами. Написанная на языке Go серверная часть распространяется под лицензией Apache 2.0 и поддерживает программные интерфейсы WebDAV, gRPC, Microsoft RESTful Web API Graph, OCS, OCM 1.1 и OpenID Connect. Сервер реализован с использованием концепции микросервисов и может масштабироваться от установки на платы Raspberry Pi до больших многосерверных внедрений. Десктоп-клиент написан на С++ с использованием Qt, опубликован под лицензией GPLv3 и поддерживает сборку для Windows, macOS и Linux. В клиент также встроена функция синхронизации файлов и монтирования совместного хранилища в виде виртуальной файловой системы. Web-интерфейс написан на TypeScript с использованием фреймворка Vue.js и предложен под лицензией AGPLv3. Имеются мобильные приложения для Android и iOS. Помимо функций для хранения и обмена файлами, а также синхронизированного доступа к коллекции файлов с разных устройств, OpenCloud включает возможности для совместного редактирования документов в режиме реального времени, интеграции с офисным пакетом Collabora Online и редактором Markdown Editor (ToastUI), извлечения текста из изображений и отсканированных документов, использования протокола ICAP для проверки загружаемых файлов в антивирусных пакетах. Для публикуемых файлов можно ограничивать время жизни, предоставлять доступ по ссылке и защищать содержимое паролем. Для упрощения навигации по файлам поддерживаются теги, фильтры и полнотекстовый поиск. В системе отслеживается вся история работы с файлами и предоставляется поддержка отката изменений на определённую версию в прошлом. Возможна организация командной работы с закреплением подкаталогов ("рабочих пространств") за отдельными командами. Для администратора предоставляется интерфейс детализированного управления правами доступа и пользователями (например, можно разрешить пользователю только просмотр или только загрузку в хранилище). Поддерживается управление доступом на основе ролей (RBAC - Role-Based Access Control). В платформе применяется архитектура Privacy-First, подразумевающая, что пользователь OpenCloud с правами администратора не может получить доступ к контенту пользователей.  В новой версии:
| ||
|
Обсуждение (77 +21) |
Тип: Программы |
| ||
| · | 03.04 | Выпуск мобильной платформы /e/OS 3.6 (44 +20) |
|
Представлен выпуск мобильной платформы /e/OS 3.6, сфокусированной на конфиденциальности пользовательских данных. Платформа основана Гаэлем Дювалем (Gaël Duval), создателем дистрибутива Mandrake Linux. Проект поддерживает 287 моделей смартфонов и формирует сборки прошивок для наиболее популярных из них. На базе смартфонов OnePlus, Fairphone, Teracube, HIROH и Pixel подготовлены собственные редакции устройств, распространяемые с предустановленной прошивкой /e/OS под брендами Murena One, Murena 2, Murena Fairphone 4/5/6, Murena Teracube 2e, Murena Pixel 5/7 и Murena SHIFTphone 8.
Прошивка /e/OS развивается как ответвление от платформы LineageOS (на базе Android), избавленное от привязки к сервисам и инфраструктуре Google для исключения передачи телеметрии на серверы Google и повышения уровня конфиденциальности. Среди прочего, блокируется и неявная отправка информации, например, обращения к серверам Google при проверке доступности сети, резолвинге DNS и определении точного времени. В поставку входит пакет microG, предлагающий независимые аналоги сервисов Google, что позволяет обойтись без установки проприетарных компонентов. Для определения местоположения по Wi-Fi и базовым станциям (без GPS) прослойка UnifiedNlp, способная работать через BeaconDB, OpenWlanMap, openBmap, OpenCellID, lacells.db и другие альтернативные сервисы. Вместо поисковой системы Google предлагается метапоисковый сервис Murena Find на основе поискового движка Qwant. Для синхронизации точного времени вместо обращения к NTP-серверу Google запросы отправляются на серверы из коллекции NTP Pool, а вместо DNS-серверов Google (8.8.8.8) используются DNS-серверы текущего провайдера. В web-браузере по умолчанию включён блокировщик рекламы и скриптов для отслеживания перемещений. Для синхронизации файлов и данных приложений разработан собственный сервис, совместимый с инфраструктурой на основе Nextcloud. Серверные компоненты основаны на открытом ПО и доступны для установки на подконтрольных пользователю системах. Интерфейс пользователя включает собственное окружение для запуска приложений BlissLauncher, улучшенную систему уведомлений, новый экран блокировки и иное стилевое оформление. В BlissLauncher задействован разработанный для /e/OS набор автоматически масштабируемых пиктограмм и отдельная подборка виджетов (например, виджет для показа прогноза погоды). Проектом также развивается собственный менеджер аутентификации, позволяющий использовать для всех сервисов единую учётную запись (user@murena.io), регистрируемую в процессе первой установки. Учётную запись можно использовать для получения доступа к своему окружению с других устройств или через Web. В облаке Murena Cloud бесплатно предоставляется 1ГБ для хранения своих данных, синхронизации приложений и резервных копий. Среди входящих в состав приложений: почтовый клиент Mail (форк K9-Mail), web-браузер Cromite (на базе Chromium), программа для работы с камерой OpenCamera, программа для отправки мгновенных сообщений QKSMS, система для ведения заметок nextcloud-notes, PDF-просмотрщик MJ PDF, планировщик opentasks, программа для работы с картами Magic Earth, галерея фотографий gallery3d, файловый менеджер, каталог приложений App Lounge.   Основные изменения в /e/OS 3.6:
| ||
|
Обсуждение (44 +20) |
Тип: Программы |
| ||
| · | 03.04 | Альфа-выпуск мессенджера Pidgin 3 и анонс мессенджера Gaim 3 (88 +8) |
|
Представлен первый альфа-выпуск клиента для мгновенного обмена сообщениями Pidgin 3.0 (2.95). Выпуск отмечен как ещё не готовый для повседневного применения. Сборки подготовлены в формате Flatpak и размещены в beta-репозитории на Flathub.
Ветка Pidgin 3 разрабатывается с 2011 года, а до этого ещё три года обсуждалась на уровне концепций и идей. В Pidgin 3 выполнен переход на систему типов GObject, библиотек GTK4 и Adwaita, сборочную систему Meson, GPlugin для обработки плагинов, SQLite для хранения истории чатов и GSettings для работы с настройками. Полностью переработан API. Для определения элементов интерфейса задействован GTK Builder XML, а для отображения истории чатов создана собственная библиотека виджетов Talkatu. В интерфейсе Pidgin 3 объединены в одном окне список контактов и чат. Прекращена поставка консольного клиента Finch (не исключено, что его могут вернуть в будущем). Из протоколов пока развиваются реализации протоколов IRCv3, XMPP, SIP, Demo, Bonjour и Zulip. Ветка Pidgin 3 несовместима с Pidgin 2 и ранее созданными плагинами, но может быть установлена параллельно с имеющимися сборками Pidgin 2. Среди изменений в представленном тестовом выпуске:
Одновременно разработчики проекта Pidgin анонсировали мессенджер Gaim 3. В 2007 году Gaim был переименован в Pidgin из-за претензий компании AOL, развивавшей мессенджер AIM. В 2017 году AIM перестал существовать, а время действия товарного знака теперь истекло, поэтому разработчики решили воспользоваться старым именем для воплощения идеи создания чат-клиента с классическим интерфейсом в стиле Pidgin 2/Gaim, построенным на базе GTK4, и обладающим функциональностью мессендежра на основе библиотеки libpurple 3, развиваемой для Pidgin 3. Gaim 3 позволит подключаться ко всем сетям, поддерживаемым в libpurple 3, но использовать интерфейс, сфокусированный на прямом обмене сообщениями, вместо развиваемого в Pidgin 3 интерфейса на основе чат-комнат. Разработка Gaim 3 находится на начальной стадии. Сборки планируют формировать для Linux, Windows и macOS. 
| ||
|
Обсуждение (88 +8) |
Тип: Программы |
| ||
| · | 03.04 | Неофициальный Telegram-клиент Nekogram отправлял номера телефонов боту разработчика (142 +49) |
|
В неофициальном Telegram-клиенте Nekogram выявлен обфусцированный код, скрыто отправляющий боту "@nekonotificationbot" номера телефонов пользователей, вошедших в приложение, в привязке к идентификатору пользователя. Изменение для сбора номеров телефонов присутствует только в готовых APK-пакетах, распространяемых через Google Play, GitHub и Telegram-канал проекта. В исходном коде на GitHub и в APK-пакете из каталога F-Droid собирающее телефоны изменение отсутствует.
Бэкдор присутствовал в файле Extra.java. Предположительно, отправка осуществлялась начиная с версии Nekogram 11.2.3, первое время только для пользователей с китайскими номерами, а затем для всех. В программе также использовались osint-боты "@tgdb_search_bot" и "@usinfobot" для определения пользователей по их ID, но номера телефонов им не отправлялись.  Исследователями подготовлен java-хук и бот, позволяющие любому пользователю убедиться в отправке номеров телефонов его экземпляром приложения.
 По мнению выявивших проблему исследователей, авторы программы могли использовать получаемую информации для формирования базы данных для последующей продажи создателям OSINT-ботов. О намеренном скрытии подобной активности свидетельствует обфускация изменения и применение inline-запросов для отправки данных. После раскрытия проблемы в системе отслеживания ошибок проекта автор Nekogram признал отправку номеров телефонов своему боту, не пояснив причины такой активности, но упомянув, что присылаемые телефоны не сохранялись и не передавались кому-либо.
Дополнительно можно отметить выявление уязвимости в официальном приложении Telegram. Проект Zero Day Initiative (ZDI), предоставляющий денежные вознаграждения за сообщения о неисправленных уязвимостях, опубликовал предварительные данные об уязвимости ZDI-CAN-30207 в Telegram, которой присвоен критический уровень опасности (9.8 из 10) и выставлен признак удалённой атаки, не требующей действий от пользователя. Детали намерены раскрыть 24 июля, дав время разработчикам Telegram довести исправление до пользователей. Отдельно появилась информация, что уязвимость проявляется при открытии в Telеgram специально оформленных анимированных стикеров и может привести к выполнению кода злоумышленника без каких-либо действий со стороны пользователя. Судя по всему, уязвимость вызвана ошибкой в коде библиотеки rlottie, обеспечивающем работу предпросмотра. Представители Telegram заявили, что не считают выявленную проблему опасной уязвимостью, так как все загружаемые стикеры предварительно проверяются на серверах Telegram-а и подобная проверка не допустила бы показ пользователям вредоносного стикера. После заявления Telegram уровень опасности уязвимости был снижен с 9.8 до 7.0.
| ||
|
Обсуждение (142 +49) |
Тип: Проблемы безопасности |
| ||
| · | 03.04 | Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios (95 +36) |
|
Сопровождающий NPM-пакет axios, для которого на днях были выпущены вредоносные обновления, раскрыл подробности атаки, в результате которой атакующим удалось получить доступ к его компьютеру и всем учётных данным. Атака была проведена с использованием типового метода социального инжиниринга, который ранее уже использовался для компрометации разработчиков криптокошельков и AI-платформ.
Атакующий выдал себя за основателя известной компании и предложил организовать совместный проект. Вначале сопровождающего пригласили в рабочее пространство Slack, которое выглядело реалистично, содержало каналы с сообщениями из LinkedIn, имело фейковые профили работников компании и представителей других открытых проектов. Через какое-то время было назначено групповое обсуждение, организованное на базе платформы MS Teams. В ходе встречи возникли технические трудности, причиной которых назвали отсутствие необходимого дополнения на стороне сопровождающего. Сопровождающий установил недостающий компонент, который на деле оказался трояном, предоставившим атакующим удалённый доступ к системе. Отмечается, что всё было профессионально срежиссировано и выглядело правдоподобно.
| ||
|
Обсуждение (95 +36) |
Тип: Проблемы безопасности |
| ||
| · | 03.04 | Компилятор для языка Си, написанный на Shell (64 +63) |
|
Александр Гомес Гайгалас (Alexandre Gomes Gaigalas), автор библиотеки coral для создания переносимых shell-скриптов, опубликовал C89cc.sh, компилятор для языка Си, написанный целиком на Shell. Компилятор поддерживает стандарт C89 и может генерировать исполняемые файлы в формате ELF64 для систем x86-64. Код содержит около восьми тысяч строк и открыт под лицензией ISC.
| ||
|
Обсуждение (64 +63) |
Тип: Программы |
| ||
| · | 02.04 | Google выпустил открытую AI-модель Gemma 4, построенную на технологиях Gemini 3 (107 +23) |
|
Компания Google опубликовала новое семейство больших языковых моделей Gemma 4, основанных на технологиях модели Gemini 3. Gemma 4 распространяется под лицензией Apache в вариантах с 2.3, 4.5, 25.2 и 30.7 миллиардами параметров (E2B, E4B, 31B и 26B A4B). Варианты E2B и E4B подходят для использования на мобильных устройствах, системах интернета вещей (IoT) и платах типа Raspberry Pi, а остальные варианты пригодны для применения на рабочих станциях и системах с потребительскими GPU. Размер учитываемого моделью контекста составляет 128 тысяч токенов для моделей E2B и E4B, и 256 тысяч токенов для моделей 31B и 26B A4B.
Модели многоязыковые и мультимодальные: из коробки поддерживается 35 языков (при обучении использовано более 140 языков), а на входе может обрабатываться текст и изображения (модели E2B и E4B дополнительно поддерживают обработку звука). Модель 26B A4B основана на архитектуре MoE (Mixture-of-Experts), при которой модель разделена на серию экспертных сетей (при генерации ответа могут использоваться только 3.8 млрд параметров, но скорость существенно выше классических больших моделей), а остальные варианты используют классическую монолитную архитектуру. Модели поддерживают рассуждения и настраиваемые режимы обдумывания, поддерживают системную роль (System Role) для обработки инструкций (правил, ограничений) отдельно от данных. Модели могут использоваться для написания кода, распознавания объектов на изображениях, покадрового анализа видео, разбора документов и PDF, оптического распознания печатного и рукописного текста (OCR), распознания речи и перевода между языками. Возможно использование в качестве автономных агентов, взаимодействующих с различными инструментами и API. В большинстве тестов модели серии Gemma 4 существенно превзошли модель Gemma 3 c 27 мдрд параметров. Поддерживается использование Gemma 4 с инструментами и библиотеками LiteRT-LM, vLLM, llama.cpp, MLX, Ollama, NVIDIA NIM and NeMo, LM Studio, Unsloth, SGLang, Cactus, Basetan, MaxText, Tunix, Keras и Candle. Для быстрого запуска модели на своей системе подготовлен образ контейнера в формате Docker.
 
| ||
|
Обсуждение (107 +23) |
Тип: К сведению |
| ||
| Следующая страница (раньше) >> | ||
