| · | 25.05 | Во Flatpak намерены сделать systemd обязательной зависимостью (53 –8) |
|
На конференции Linux App Summit Себастьян Вик (Sebastian Wick), мэйнтейнер инструментария Flatpak, и Адриан Вовк (Adrian Vovk), создатель инсталлятора для GNOME OS и один из разработчиков systemd-homed и systemd-sysupdate, выступили с докладом о будущем системы самодостаточных пакетов Flatpak. В докладе упоминается намерение создать для нужд Flatpak новый процесс systemd-appd, который будет предоставлять информацию о запущенных экземплярах приложений.
В systemd-appd будет реализована функциональность для назначения приложениям идентификаторов и хранения привязанных к этим идентификаторам полномочий. Использование systemd-appd позволит решить проблемы с надёжной аутентификацией запущенных Flatpak-приложений и определением какое именно приложение пытается получить доступ к системным ресурсам. Благодаря systemd-appd появится возможность использования вложенных sandbox-окружений (например, для дополнительной изоляции процессов в браузерах), реализовать поддержку мультимедийного сервера PipeWire и избавиться от D-Bus прокси, применяемого для фильтрации доступа к системным сервисам. В докладе также представлен проект Flatpak Next (Flatpak 2.0), в котором планируют переделать архитектуру Flatpak с учётом накопленного опыта и с использованием современных технологий. При этом поддержку systemd-appd планируют добавить не дожидаясь Flatpak Next в ветку Flatpak 1.x. На вопрос станет ли systemd-appd обязательной зависимостью во Flatpak, Адриан Вовк ответил, что изначально он намеревался очень внимательно отнестись к системам без systemd, но после обрушившейся на него агрессивной критики, возникшей на пустом месте (разработка пока находится только в планах и ни одной строчки кода systemd-appd не написано), он не намерен тратить своё время на поддержку систем без systemd. На аналогичный вопрос, Джорж Кастро (Jorge Castro), менеджер по взаимодействию с сообществом в проекте FlatHub, подтвердил, что systemd станет обязательной зависимостью во Flatpak.
| ||
|
Обсуждение (53 –8) |
Тип: К сведению |
| ||
| · | 25.05 | Выпуск дистрибутива MX Linux 25.2 (19 +2) |
|
Опубликован релиз легковесного дистрибутива MX Linux 25.2, созданного в результате совместной работы сообществ, образовавшихся вокруг проектов antiX и MEPIS. Выпуск основан на пакетной базе Debian с улучшениями от проекта antiX и пакетами из собственного репозитория. В дистрибутиве на выбор можно использовать системы инициализации sysVinit и systemd. Поставляются собственные инструменты для настройки и развёртывания системы. Для загрузки доступны 64-разрядные сборки (x86_64) с рабочим столом Xfce (3 ГБ), а сборки с рабочим столом KDE (3.6 ГБ) и сборки (2.4 ГБ) с оконным менеджером Fluxbox.
В новом выпуске:
| ||
|
Обсуждение (19 +2) |
Тип: Программы |
| ||
| · | 24.05 | Нарушение AGPL производителем 3D-принтеров Bambu Lab и создание форка Bambu Studio (66 +53) |
|
В ответ на недавние угрозы разработчику, вернувшему возможность прямой печати на 3D-принтерах Bambu Lab без использования проприетарного приложения Bambu Connect, правозащитная организация Software Freedom Conservancy (SFC) объявила о проведении расследования возможных нарушений свободных лицензий в ПО и прошивках компании Bambu Lab. Помимо этого, запущена инициатива по отстаиванию права самостоятельно проводить ремонт, в рамках которой началась работа по обратному инжинирингу проприетарных библиотек Bambu Lab и создан независимый форк платформы Bambu Studio.
Развиваемый компанией Bambu Lab пакет Bambu Studio является форком свободного проекта Prusa Slicer и так же как исходный проект распространяется под лицензией AGPLv3. В выпущенное год назад обновление прошивки к 3D-принтерам Bambu Lab было внесено изменение, блокирующее возможность прямой печати. После обновления прошивки для продолжения работы с 3D-принтером в альтернативных пакетах подготовки моделей к 3D-печати, таких как OrcaSlicer, требовалась установка дополнительного проприетарного приложения Bambu Connect, без которого послойный вывод на печать перестал работать. Один из энтузиастов реализовал для OrcaSlicer возможность напрямую отправлять команды 3D-принтерам Bambu Lab без необходимости установки Bambu Connect, но компания Bambu Studio под угрозой судебного разбирательства вынудила разработчика удалить репозиторий с созданным кодом, при том, что реализованный энтузиастом метод прямой отправки команд на 3D-принтеры был основан на содержимом из репозитория AGPL-проекта Bambu Studio. Организация SFС трактовала данный шаг как ущемление прав, предоставляемых лицензией AGPLv3. При давлении на энтузиаста компания Bambu Lab применила тактику запугивания и утверждала, что условия использования продукта (terms of service) превалируют над требованиями AGPLv3, что является нарушение пункта 10.3 лицензии AGPL. Данный пункт запрещает налагать дополнительные ограничения, мешающие осуществлению прав, предоставленных лицензией. Помимо этого, правозащитная организация SFC выявила прямое нарушения условий лицензии AGPLv3 в приложении Bambu Studio, в котором используется библиотека libbambu_networking, исходный код которой не предоставляется. Так как Bambu Studio является ответвлением от другого открытого AGPL-проекта, он должен распространяться строго под исходной лицензией APGLv3 и не имеет права вносить в неё исключения. Соответственно, все компоненты должны быть доступны в исходном коде без дополнительных ограничений и комбинирование AGPL-кода с проприетарной библиотеке в одном продукте недопустимо. Библиотека libbambu_networking загружается через интерактивный запрос в интерфейсе пользователя, но подобный манёвр не позволяет обойти условия AGPL. Для оказания помощи пользователям 3D-принтеров, испытывающим трудности из-за нарушений AGPLv3 компанией Bambu Lab, создан проект baltobu, в рамках которого под защитой SFC создано три репозитория:
| ||
|
Обсуждение (66 +53) |
Тип: К сведению |
Интересно
| ||
| · | 24.05 | Благодаря AI для включения в ядро Linux стали присылать на 20% больше изменений (90 +8) |
|
На конференции Open-Source Summit 2026 во вступительной беседе Линус Торвальдс рассказал о тенденциях в использовании AI-инструментов при разработке ядра Linux. По словам Линуса, за последние шесть месяцев значительно увеличился объём коммитов. Например, при формировании последних двух релизов ядра внесено примерно на 20% больше коммитов, чем в ранее выпускавшихся ветках. Изменение объясняется тем, что за последние несколько месяцев AI-инструменты доросли до уровня качества, приемлемого для многих разработчиков, и теперь наблюдается явный рост применения AI практически по всем направлениям разработки.
Обилие присылаемых последнее время отчётов об ошибках, выявленных при помощи AI-ассистентов, Линус охарактеризовал как краткосрочную боль, которая принесёт пользу в долгосрочной перспективе - любая выявленная и исправленная ошибка лучше, чем остающаяся незамеченной. Для небольших команд и одиночных сопровождающих шквал сгенерированных через AI сообщений об ошибках становится проблемой и приводит к выгоранию, особенно когда подобные отчёты отправляются без проверки, а отправивший их не способен ответить на вопросы и предоставить дополнительную информацию. По поводу AI Линус высказался, что это всего лишь ещё один инструмент, повышающий эффективность работы и меняющий способ разработки, но не меняющий принципы программирования. Когда-то появление компиляторов и высокоуровневых языков повысило производительность разработки в 1000 раз и избавило разработчиков от необходимости вводить дампы машинных кодов и вычислять смещения для операций ветвления. Примерно также AI позволяет повысить производительность, беря на себя выполнение рутинной работы и оставляя разработчику постановку задач и проверку результата. При этом важно, чтобы разработчик не только умел формировать запросы, но и имел компетенцию для оценки и проверки результата. AI-ассистент рассматривается как новое звено перед компилятором, который, в своё время, для упрощения разработки стал звеном перед ассемблером.
| ||
|
Обсуждение (90 +8) |
Тип: К сведению |
| ||
| · | 24.05 | Выпуск SSH-клиента PuTTY 0.84 (49 +18) |
|
Сформирован релиз PuTTY 0.84, клиента для протоколов SSH, Telnet, Rlogin и SUPDUP, поставляемого со встроенным эмулятором терминала и поддерживающего работу в Unix-подобных системах и Windows. Исходные тексты проекта доступны под лицензией MIT.
В новой версии:
| ||
|
Обсуждение (49 +18) |
Тип: Программы |
| ||
| · | 23.05 | Выполнено дизассемблирование микрокода i386 и создан открытый CPU z386 (155 +84) |
Энтузиасты смогли успешно извлечь и дизассемблировать микрокод процессора Intel 80386, который из-за отсутствия документации считался "чёрным ящиком". Бинарный образ микрокода был воссоздан с привлечением AI по фотографиям кристалла в высоком разрешении, а логика работы разобрана через трассировку соединений на кристалле. Постепенно были определены структура микрокоманд (μ-ops), поля, порядок исполнения и маркеры конца инструкций. Наработки проекта опубликованы на GitHub как общественное достояние.
 Выявлено, что в CPU 80386 каждая инструкция полностью исполняется через микрокод, в то время как в 8086 и современных процессорах часть инструкций обрабатывается напрямую. Кроме того, в отличие от процессоров 8086, в 80386 микрокод не реализует алгоритмы напрямую, а в основном настраивает аппаратные ускорители (умножитель, делитель, быстрый сдвиг, PTU (Protection Test Unit)). В ходе исследования также была обнаружена возможная проблема с безопасностью при обработке битовой карты прав доступа к вводу/выводу (IO permission bitmap): при 4-байтовом обращении к портам проверялись биты прав доступа только для первых 3 байтов, а доступ к 4-му байту не проверялся, что теоретически допускало обращение к аппаратным регистрам, доступ к которым должен был быть запрещён. На основе опубликованного микрокода разработан открытый CPU z386, реализованный на языке SystemVerilog и работающий с использованием FPGA. Вместо реализации каждой инструкции в форме отдельного RTL (Register-transfer level) в z386 реализованы аппаратные структуры, которыми управляет оригинальный микрокод. Производительность подготовленной реализации соответствует быстрому 386 ПК (~70MHz). Под управлением z386 удалось успешно запустить DOS 6/7, DOS/4GW, DOS/32A и игры, такие как Doom и Cannon Fodder.
| ||
|
Обсуждение (155 +84) |
Тип: К сведению |
| ||
| · | 23.05 | При помощи AI-модели Mythos выявлены 23 тысячи уязвимостей в открытом ПО (109 +12) |
|
Компания Anthropic подвела первые итоги тестирования предварительного варианта AI-модели Mythos, в которой были существенно расширены возможности по поиску ошибок, выявлению уязвимостей и написанию готовых эксплоитов. Компания Anthropic при помощи AI-модели Mythos провела сканирование более тысячи важных открытых проектов, в ходе которого было выявлено 23019 уязвимостей. 6202 уязвимостям был назначен высокий или критический уровень опасности.
1752 из 6202 уязвимостей, отнесённых AI-моделью Mythos к категории опасных, были проверены независимыми компаниями, специализирующимися на компьютерной безопасности. В 1587 случаях (90.6%) наличие уязвимости было подтверждено, а в 1094 (62.4%) - сохранился высокий или критический уровень опасности. При текущих показателях ложных срабатываний предполагается, что из 6202 заявленных AI-моделью опасных уязвимостей примерно 3900 (62.4%) сохранят выбранный моделью высокий уровень опасности, не считая опасных уязвимостей найденных отдельно при проверке 50 участниками проекта Glasswing. Сведения об 467 верифицированных уязвимостях переданы сопровождающим открытые проекты представителями компаний, проводивших рецензирование. По отдельным запросам сотрудники Anthropic напрямую передали сопровождающим информацию о 1129 непроверенных проблемах. Всего сопровождающие 281 открытого проекта получили сведения о 1596 проблемах и подтвердили наличие 1451 уязвимостей. При этом в кодовых базах пока исправлено только 97 проблем и выпущено 88 публичных отчётов об уязвимостях. Кроме того, сообщается, что 50 участников проекта Glasswing, которым был предоставлен ранний доступ к модели Mythos, выявили в своих кодовых базах более 10 тысяч опасных уязвимостей. Например, компания Cloudflare нашла при помощи Mythos более 2000 ошибок, из которых 400 отмечены как уязвимости с высоким и критическим уровнем опасности. Уровень ложных срабатываний по оценке Cloudflare оказался ниже, чем при тестировании людьми. Компания Mozilla при проверке кода Firefox 150 нашла при помощи Mythos 271 уязвимость, что в 10 раз больше, чем было найдено при проверке Firefox 148 моделью Claude Opus 4.6. В качестве примера уже исправленной критической проблемы приводится уязвимость (CVE-2026-5194) в криптографической библиотеке wolfSSL. Mythos смог подготовить эксплоит, позволяющий атакующему сформировать поддельный ECDSA-сертификат для сайтов и почтовых серверов, который при проверке библиотекой wolfSSL обрабатывался как корректный. Проблема была вызвана отсутствием в коде проверки размера хэша и OID, что позволяло указать в сертификате хэш, размером меньше допустимого.
| ||
|
Обсуждение (109 +12) |
Тип: Проблемы безопасности |
Интересно
| ||
| · | 23.05 | Введён в строй официальный каталог Godot Asset Store, интегрированный с движком Godot (32 +12) |
|
После нескольких лет работы и нескольких месяцев бета-тестирования представлен официальный магазин-каталог ассетов и плагинов для игрового движка Godot - Godot Asset Store, который пришёл на смену библиотеке ассетов (Asset Library). Новый каталог примечателен полной интеграцией с движком Godot и его поддержка уже добавлена в ветку Godot 4.7, находящуюся на стадии бета тестирования. В каталоге пока поддерживается размещение только бесплатных ассетов, поддержку размещения платных продуктов и систему донатов обещают добавить позднее.
Из новых возможностей, по сравнению с Asset Library, отмечается появление рейтинга и рецензирования ассетов, доступ к аналитике о загрузках, возможность предоставления нескольких версий для загрузки, добавление страницы со списком изменений и поддержка привязки тегов к ассетам, включая собственные теги. При доступе в Asset Store используется общая с инфраструктурой Godot система учётных записей, например, если у пользователя есть учётная запись в форуме, то ему не нужно создавать отдельный аккаунт в Asset Store. Разработчикам рекомендуется начать переносить свои ассеты из Asset Library в Asset Store. Автоматически такой перенос решили не производить из-за необходимости получения разрешения от каждого автора на миграцию, переноса на свой хостинг файлов со сторонних ресурсов и нежелании переносить давно не поддерживаемые устаревшие ассеты. В дальнейшем доступ к каталогу Asset Library будет сохранён для поддержки старых версий движка Godot, но будет переведён в режиме только для чтения. Изначально организация Godot Foundation не хотела создавать собственный официальный каталог ассетов и полагалась на экосистему и существующие платформы, такие как itch.io, но в конечном счёте из-за ряда проблем изменила свои намерения. Запуск Asset Store избавит сообщество от путаницы с магазинами приложений (многие пользователи не понимали, какой из магазинов рекомендован Godot Foundation), решит проблемы с авторскими правами и злоупотреблениями (некоторые каталоги размещали платные версии бесплатных ассетов без информации об авторстве) и позволит избавиться от технического долга (в Asset Library использовалась своя система учётных записей, не интегрированная с остальными сервисами Godot). Исходный код игрового движка Godot был открыт в 2014 году студией OKAM, после десяти лет развития проприетарного продукта профессионального уровня, который использовался для создания и публикации многих игр для PC, игровых консолей и мобильных устройств. Движок подходит для создания 2D- и 3D-игр, предоставляет простой для изучения язык задания игровой логики, графическую среду для проектирования игр, систему развёртывания игр в один клик, возможности анимации и симуляции физических процессов, встроенный отладчик и систему выявления узких мест в производительности. Код игрового движка, среды проектирования игр и сопутствующих средств разработки (физический движок, звуковой сервер, бэкенды 2D/3D рендеринга и т.п.) распространяется под лицензией MIT.
| ||
|
Обсуждение (32 +12) |
Тип: К сведению |
| ||
| · | 23.05 | Недельный отчёт о разработке KDE (52 +14) |
|
Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлена порция изменений для ветки KDE Plasma 6.8, релиз которой запланирован на 14 октября, а также ветки KDE Plasma 6.7, находящейся на стадии бета-тестирования перед релизом, намеченным на 16 июня.
Изменения в ветке KDE Plasma 6.8:
Среди улучшений, добавленных за прошедшую неделю в ветку KDE 6.7:
| ||
|
Обсуждение (52 +14) |
Тип: Обобщение |
| ||
| · | 23.05 | Доступен GNOME Commander 2.0, переписанный на Rust и сменивший лицензию на GPLv3 (172 +9) |
|
Состоялся релиз двухпанельного файлового менеджера GNOME Commander 2.0, оптимизированного для использования в пользовательском окружении GNOME. GNOME Commander представляет такие возможности как вкладки, доступ к командной строке, закладки, изменяемые цветовые схемы, режим пропуска каталогов при выделении файлов, доступ к внешним данным через SFTP и SAMBA, расширяемые контекстные меню, автоматическое монтирование внешних накопителей, доступ к истории навигации, поддержка плагинов, встроенный просмотрщик текста и изображений, функции поиска, переименования по маске и сравнения каталогов. Код распространяется под лицензией GPLv3.
В новой версии:
| ||
|
Обсуждение (172 +9) |
Тип: Программы |
| ||
| · | 23.05 | Релиз дистрибутива TileOS 2.0 (45 +10) |
|
Доступен выпуск дистрибутива TileOS 2.0 "Sauropod", построенного на пакетной базе Debian и предлагающего рабочий стол, использующий мозаичные оконные менеджеры. TileOS преследует те же цели, что и дистрибутив Ubuntu Sway Remix (развивается тем же автором), предлагая готовый к использованию интерфейс, не требующий дополнительной настройки и ориентированный как на опытных пользователей Linux, так и на новичков, желающих попробовать окружение мозаичных оконных менеджеров, не тратя большое количество времени на их настройку.
В отличии от Ubuntu Sway Remix, TileOS гораздо более открыт для различных изменений и кастомизаций, а также избавлен от каких-либо потенциальных проблем с авторскими правами (Ubuntu Sway Remix использует зарегистрированные товарные знаки Canonical, но официального ответа по поводу включения дистрибутива в официальное семейство Ubuntu до сих пор не получено). Для загрузки подготовлены сборки для архитектуры amd64 (в будущем планируется обеспечить поддержку arm64, в частности плат Raspberry Pi). Исходный код компонентов TileOS распространяется по лицензии GNU GPLv3. Основное внимание в TileOS уделяется оконным менеджерам, использующим протокол Wayland. Официально представлены редакции с рабочими столами Sway, River, Qtile, MiracleWM и Niri. Дистрибутив использует пакетную базу Debian Stable, однако из тестовой ветки переносятся различные улучшения, более свежие версии некоторого ПО и графических драйверов. Помимо этого, в состав включён ряд исправлений, оптимизирующих работу дисковой подсистемы и памяти, а также перенесены некоторые улучшения из Ubuntu, например монтирование дисков в файловом менеджере без запроса пароля, и другие.  В новом выпуске:
Добавлены две новые экспериментальные редакции:
Помимо этого сформирован выпуск TileOS 1.4 "T-Rex", в который включены накопившиеся обновления, в том числе с устранением недавно обнаруженных уязвимостей в ядре Linux.
| ||
| · | 23.05 | Релиз StartWine-Launcher 422, программы для запуска Windows-приложений и игр в Linux (19 +2) |
|
Опубликован выпуск приложения Startwine-Launcher 422, развиваемого для запуска в Linux-системах программ и игр, собранных для платформы Windows. Основной целью разработки StartWine-Launcher было упрощение процесса создания новичками префиксов Wine, - наборов библиотек и зависимостей Windows, необходимых для работы Windows-приложений в Linux. Код StartWine-Launcher написан на языке Python и распространяется под лицензией GPLv3. Интерфейс реализован на основе библиотеки GTK.
Основные изменения:
 
| ||
| · | 22.05 | GRO Frag - седьмая уязвимость класса Copy Fail, предоставляющая права root в Linux (48 +21) |
|
В открытом доступе размещён эксплоит для седьмой уязвимости (1, 2-3, 4, 5, 6) в ядре Linux, позволяющей непривилегированному локальному пользователю получить права root, перезаписав данные в страничном кэше. CVE-идентификатор ещё не присвоен, кроме кода эксплоита информации о проблеме пока нет. Исправление доступно только в виде патча, который опубликован 20 мая и 21 мая был принят в основную ветку ядра Linux (корректирующие выпуски ядра ещё недоступны).
Уязвимость присутствует в реализации технологии GRO (Generic Receive Offload), применяемой для ускорения обработки сегментированных пакетов. Уязвимость вызвана ошибкой в реализации механизма zerocopy в функции skb_gro_receive(), осуществляющей прямое изменение данных в страничном кэше для исключения лишней буферизации. При установленном флаге SKBFL_MANAGED_FRAG_REFS пропускалось сохранение ссылки на освобождаемые страницы памяти в поле shinfo->frags, после чего данное поле присоединялось к другому skb без изменения счётчика ссылок, что приводило к обращению к памяти после её освобождения (use-after-free). Проблему удалось эксплуатировать для перезаписи данных в страничном кэше, благодаря манипуляции с указателем на буфер io_uring. Атака возможна на системы с включённой подсистемой io_uring (io_uring_disabled=0). Для работы эксплоита в системе должен быть доступный на чтение исполняемый файл с флагом SUID-root. Механизм эксплуатации сводится к тому, что атакующий добивается оседания базы пользователей в страничном кэше, после чего подставляет в кэш строку "hax::0:0::/root:/bin/sh". Следом запускается команда "su hax", которая получает не оригинальную базу пользователей с накопителя, а изменённую копию с подставным логином "hax", которому выставлены права root и пустой пароль. Работа эксплоита протестирована в Ubuntu 24.04.
| ||
|
Обсуждение (48 +21) |
Тип: Проблемы безопасности |
| ||
| · | 22.05 | В nginx выявлена вторая за 10 дней удалённо эксплуатируемая уязвимость (55 +15) |
|
Сформированы корректирующие выпуски nginx 1.31.1 и 1.30.2, в которых устранена критическая уязвимость (CVE-2026-9256), позволяющая удалённо добиться выполнения кода с правами рабочего процесса nginx через отправку специально оформленного HTTP-запроса. Выявившие проблему исследователи продемонстрировали рабочий эксплоит с обходом ASLR, который будет опубликован вместе с полным описанием спустя 30 дней после исправления. Уязвимость получила кодовое имя nginx-poolslip. Проблема проявляется начиная с версии nginx 0.1.17, выпущенной в феврале 2005 года. Для angie и freenginx на момент написания новости исправления не опубликованы.
Как и устранённая на прошлой неделе похожая проблема, новая уязвимость вызвана переполнением буфера в модуле ngx_http_rewrite_module и проявляется в конфигурациях с определёнными регулярными выражениями в директиве "rewrite". В данном случае уязвимость затрагивает системы с перекрывающимися шаблонами для подстановки (скобки в скобках) в rewrite-выражении, например, "^/((.*))$" или "^/(test([123]))$", в сочетании с использованием нескольких неименованных подстановок в заменяющей строке (например, "$1$2"). Дополнительно можно отметить выпуск njs 0.9.9, модуля для интеграции интерпретаторов языка JavaScript в http-сервер nginx. В новой версии устранена уязвимость (CVE-2026-8711), проявляющаяся начиная с версии njs 0.9.4. Проблема вызвана переполнением буфера и проявляется в конфигурациях с директивой js_fetch_proxy, содержащей переменные nginx с данными из клиентского запроса (например, $http_*, $arg_* и $cookie_*), в сочетании с использованием location-обработчика, вызывающего функцию ngx.fetch(). Уязвимость можно эксплуатировать для выполнения кода с правами рабочего процесса nginx через отправку специально оформленного HTTP-запроса.
| ||
|
Обсуждение (55 +15) |
Тип: Проблемы безопасности |
| ||
| · | 22.05 | Во FreeBSD устранено 4 уязвимости, позволяющие поднять привилегии, и одна удалённая root-уязвимость (75 +13) |
Во FreeBSD устранено 7 уязвимостей, из которых одна позволяет удалённо выполнить код с правами root, а четыре повысить свои привилегии в системе. Уязвимости устранены в обновлениях FreeBSD 15.0-RELEASE-p9, 14.4-RELEASE-p5 и 14.3-RELEASE-p14.
| ||
|
Обсуждение (75 +13) |
Тип: Проблемы безопасности |
| ||
| Следующая страница (раньше) >> | ||
