| · | 18.11 | Предварительный выпуск среды рабочего стола Budgie 10.10, переведённый на Wayland (21 –1) |
|
Опубликован предварительный выпуск среды рабочего стола Budgie 10.10-preview.1, в котором полностью отказались от поддержки X11 и оставили только возможность работы в окружениях на базе протокола Wayland. Одновременно сформированы аналогичные тестовые выпуски для сопутствующих компонентов, таких как менеджер сеансов Budgie Session (форк gnome-session), набор пиктограмм Budgie Desktop View, интерфейс для настройки системы Budgie Control Center (форк GNOME Control Center), конфигуратор экрана Budgie Display Configurator и набор сервисов Budgie Desktop Services. Код проекта распространяется под лицензией GPLv2.
Выпуск примечателен достижением паритета функциональности апплетов при использовании Wayland со старым окружением на базе X11, доработкой MenuManager и стабилизацией нового интерфейса для настройки параметров экрана. В качестве композитного сервера рекомендовано использовать labwc на базе библиотеки wlroots, но в ветке Budgie 11 обещают добавить поддержку Kwin и композитных серверов на базе библиотек Mir. Среди необходимых для сборки зависимостей заявлена библиотека libxfce4windowing, реализующая не зависящий от графической системы слой с элементами управления окнами (экраны, корневые окна, виртуальные рабочие столы и т.п.). Для создания панели и компонентов рабочего стола задействована библиотека gtk-layer-shell, использующая GTK3 и Wayland-протокол Layer Shell. После релиза Budgie 10.10 ветка 10.x будет переведена в режим сопровождения, в котором допускается только исправление ошибок. В дальнейшем все ресурсы будут брошены на развитие ветки Budgie 11, примечательной отделением функциональности рабочего стола от слоя, обеспечивающего визуализацию и вывод информации. Разделение позволит абстрагировать код от конкретных графических тулкитов и библиотек. Основу Budgie составляет панель, близкая по организации работы к классическим панелям рабочего стола. Все элементы панели являются апплетами, что позволяет гибко настраивать состав, менять размещение и заменять реализации основных элементов панели на свой вкус. Среди доступных апплетов можно отметить классическое меню приложений, систему переключения задач, область со списком открытых окон, просмотр виртуальных рабочих столов, индикатор управления питанием, апплет управления уровнем громкости, индикатор состояния системы и часы. ![]()
| ||
|
Обсуждение (21 –1) |
Тип: Программы |
| ||
| · | 18.11 | Опубликована 66 редакция рейтинга самых высокопроизводительных суперкомпьютеров (63 +10) |
Опубликован 66-й выпуск рейтинга 500 самых высокопроизводительных компьютеров мира. Наиболее заметным изменением в рейтинге стало смещение Китая со второго на четвёртое место по числу суперкомпьютеров (на 2 и 3 места выбились Япония и Германия, три года назад Китай занимал первое место).
Десятка самых высокопроизводительных суперкомпьютеров в 66 редакции рейтинга не изменилась:
Что касается отечественных суперкомпьютеров, то созданные компанией Яндекс кластеры Червоненкис, Галушкин и Ляпунов опустились с 75, 102 и 120 мест на 83, 115 и 140 места. Данные кластеры созданы для решения задач машинного обучения и обеспечивают производительность 21.5, 16 и 12.8 петафлопса соответственно. Кластеры работают под управлением Ubuntu 16.04 и оснащены процессорами AMD EPYC 7xxx и GPU NVIDIA A100: кластер Chervonenkis насчитывает 199 узлов (193 тысячи ядер AMD EPYC 7702 64C 2GH и 1592 GPU NVIDIA A100 80G), Galushkin - 136 узлов (134 тысячи ядер AMD EPYC 7702 64C 2GH и 1088 GPU NVIDIA A100 80G), Lyapunov - 137 узлов (130 тысяч ядер AMD EPYC 7662 64C 2GHz и 1096 GPU NVIDIA A100 40G). Развёрнутый Сбербанком кластер Christofari Neo опустился сo 125 на 147 место. Christofari Neo работает под управлением NVIDIA DGX OS 5 (редакция Ubuntu) и демонстрирует производительность 11.95 петафлопса. Кластер насчитывает более 98 тысяч вычислительных ядер на базе CPU AMD EPYC 7742 64C 2.25GHz и поставляется с GPU NVIDIA A100 80GB. Второй кластер Сбербанка (Christofari) за полгода сместился с 201 на 233 место в рейтинге. Из рейтинга выбыл отечественный кластер: Lomonosov 2, который полгода назад занимал 495 место (в 2015 году кластер Lomonosov 2 занимал 31 место, а его предшественник Lomonosov в 2011 году - 13 место). Всего в рейтинг вошло 5 российских кластеров (для сравнения с ноября 2024 по июнь 2025 года в рейтинге было 6 отечественных систем, c 2021 по 2024 год - 7, в 2020 году - 2, в 2017 году - 5, а в 2012 году - 12). Наиболее интересные тенденции:
Одновременно опубликован новый выпуск альтернативного рейтинга кластерных систем Graph 500, ориентированного на оценку производительности суперкомпьютерных платформ, связанных с симулированием физических процессов и задач по обработке больших массивов данных, свойственных для таких систем. Рейтинги Green500, HPCG (High-Performance Conjugate Gradient) и HPL-AI объединены с Top500 и отражаются в основном рейтинге Top500.
| ||
|
Обсуждение (63 +10) |
Тип: К сведению |
| ||
| · | 18.11 | Опубликован дистрибутив AlmaLinux 9.7 (25 +1) |
|
Доступен выпуск дистрибутива AlmaLinux 9.7, синхронизированный c новым выпуском Red Hat Enterprise Linux 9.7 и содержащий все предложенные в данном выпуске изменения. Установочные образы подготовлены для архитектур x86_64, ARM64, ppc64le и s390x в форме загрузочного (1 ГБ), минимального (2 ГБ) и полного образа (10 ГБ). Позднее будут сформированы Live-сборки с GNOME, KDE, MATE и Xfce, а также образы для плат Raspberry Pi, контейнеров, WSL (Windows Subsystem for Linux) и облачных платформ.
Дистрибутив по возможности бинарно совместим с Red Hat Enterprise Linux и может использоваться в качестве замены RHEL 9.7 и CentOS 9 Stream. Изменения сводятся к ребрендингу, удалению специфичных для RHEL пакетов, таких как redhat-*, insights-client, subscription-manager-migration*, kpatch*, kmod-redhat-*, rhc, spice* и virtio-win, и расширению поддержки оборудования. В частности, по сравнению с RHEL в AlmaLinux добавлена поддержка дополнительных идентификаторов устройств Compaq, LSI SAS 10xx/2xxx, LSI MegaRAID SAS1078, HP NetRAID-4M, Adaptec 5400S, Dell PERC 2*/3*, Dell PERC5, QLogic ISP, Emulex BladeEngine 2/3, Emulex OneConnect, Themisto/Callisto Jupiter Platform, IBM 8i, Adaptec Catch All, CERC SATA RAID, Legend и т.д. Кроме того, для использования доступен репозиторий Synergy, в котором размещены пакеты, отличающиеся от Red Hat Enterprise Linux. В настоящее время в репозитории Synergy уже опубликованы пакеты c пользовательским окружением Pantheon, развиваемым проектом Elementary OS, и утилитой Warpinator, предназначенной для шифрованного обмена файлами между двумя компьютерами. Дистрибутив AlmaLinux основан компанией CloudLinux в ответ на преждевременное сворачивание поддержки CentOS 8 компанией Red Hat (выпуск обновлений для CentOS 8 прекращён в конце 2021 года, а не в 2029 году, как предполагали пользователи). Проект курирует отдельная некоммерческая организация AlmaLinux OS Foundation, которая была создана для разработки на нейтральной площадке с участием сообщества и c использованием модели управления, похожей на организацию работы проекта Fedora. Дистрибутив бесплатен для всех категорий пользователей. Все наработки AlmaLinux публикуются под свободными лицензиями. Кроме AlmaLinux, в качестве альтернатив классическому CentOS также позиционируются Rocky Linux (развивается сообществом под руководством основателя CentOS), Oracle Linux, SUSE Liberty Linux и EuroLinux. Кроме того, компания Red Hat предоставила возможность бесплатного использования RHEL в организациях, развивающих открытое ПО, и в окружениях индивидуальных разработчиков, насчитывающих до 16 виртуальных или физических систем.
| ||
|
Обсуждение (25 +1) |
Тип: Программы |
| ||
| · | 18.11 | CPython может сделать Rust обязательной сборочной зависимостью к версии 3.17 (158 –7) |
|
Эмма Смит (Emma Smith) и Кирилл Подопригора (Kirill Podoprigora), входящие в число ключевых разработчиков Python (core team), опубликовали предварительное предложение (Pre-PEP) о постепенном добавлении возможности использования языка Rust в кодовой базе CPython, эталонной реализации языка программирования Python. Изначально Rust предлагают использовать для необязательных модулей стандартной библиотеки, размещаемых в директории Modules/. В перспективе, к версии Python 3.17, Rust может стать обязательной зависимостью при сборке CPython.
Основные причины внедрения Rust — обеспечение безопасной работы с памятью, предотвращение ошибок категории use-after-free и выходов за границы буфера, а также упрощение разработки потокобезопасного кода, что особенно актуально в свете официальной поддержки сборки CPython без глобальной блокировки интерпретатора (GIL, Global Interpreter Lock) для распараллеливания операций на многоядерных системах (проект free-threaded Python). Rust также предоставляет высокоуровневые, но производительные структуры данных и развитую систему метапрограммирования, включая гигиеничные макросы. План внедрения:
Для взаимодействия с C API CPython предполагается использовать автоматически генерируемые привязки через bindgen, а не сторонние абстракции, такие как PyO3, чтобы избежать задержек при обновлении API. Вопросы управления зависимостями, кросс-компиляции и поддержки редких платформ находятся в стадии обсуждения. В опубликованном предложении подчёркивается, что все платформы из документа PEP 11 поддерживаются Rust как минимум на уровне Tier 2. Некоторые устаревшие или нишевые системы (например, HPPA и RISC OS) не поддерживаются, однако их доля в экосистеме Python считается незначительной.
| ||
| · | 17.11 | Разработчики openSUSE развивают zssh, реализацию SSH на языке Zig (78 +7) |
|
Разработчики дистрибутива openSUSE представили проект zssh, в котором предпринята попытка реализации протокола SSH на языке Zig. Реализация включает код для разбора протокола и работы со связанными с SSH примитивами, такими как ключи, сертификаты и механизм обмена сообщениями с ssh-agent. Реализации алгоритмов шифрования заимствованы из существующих библиотек. Код проекта распространяется под лицензией GPLv3.
В качестве целей проекта заявлено создание SSH-стека на языке Zig, легко расширяемого для проведения экспериментов и исследований, например, связанных с тестированием посткватновых алгоритмов шифрования и расширением протокола. Проект изначально развивается с оглядкой на возможность использования вместе с различными криптографическими библиотеками, такими как libcrypto и leancrypto.
| ||
|
Обсуждение (78 +7) |
Тип: Программы |
| ||
| · | 17.11 | Представлены сборки Debian Libre, поставляемые без несвободных компонентов (40 +8) |
|
Саймон Йозефссон (Simon Josefsson), сопровождающий 170 пакетов в Debian, представил проект Debian Libre Live Images, предоставляющий сборки Debian GNU/Linux, избавленные от несвободных компонентов, таких как блобы для прошивок. В соответствии с принятым в 2022 году решением, в состав официальных iso-образов Debian включены как свободные прошивки из репозитория main, так и проприетарные прошивки, распространяемые через репозиторий non-free-firmware. Представленный проект начал формирование редакций официальных live-образов для архитектуры amd64, позволяющих запустить или установить Debian 13 без использования несвободных компонентов.
| ||
|
Обсуждение (40 +8) |
Тип: К сведению |
| ||
| · | 17.11 | Marathon OS - мобильная ОС в стиле BlackBerry 10 на базе Linux, Qt и Wayland (89 +28) |
|
Представлен проект Marathon OS, развивающий дистрибутив Linux для мобильных устройств, сочетающий наработки из дистрибутива PostmarketOS с графической оболочкой Marathon Shell. Пользовательское окружение написано с использованием Qt и QML, и базируется на собственном композитном сервере, использующем протокол Wayland и воссоздающем модель управления жестами в стиле операционной системы BlackBerry 10. Код проекта написан на языках C++ и QML, и распространяется под лицензией MIT.
Возможна установка на устройства, поддерживаемые в PostmarketOS, но в качестве полностью протестированной эталонной платформы заявлен смартофон OnePlus 6 (Snapdragon 845).
Системное окружение основано на пакетной базе PostmarketOS и Alpine Linux. Ядро Linux собрано с опцией PREEMPT_RT, обеспечивающей работу в режиме реального времени. Корневой раздел монтируется в режиме только для чтения. Для работы на устройствах, поддерживаемых в платформе Android, применяется прослойка libhybris, позволяющая использовать драйверы Android, работающие в пространстве пользователя. Для защиты данных применяется полнодисковое шифрование, а для изоляции приложений - механизм Landlock. В системе также применяется механизм разделения полномочий (Permission portal), позволяющий ограничивать возможности каждого приложения, например, можно запрещать или выборочно разрешать доступ к сети, сервису определения местоположения, камере, микрофону, адресной книге, хранилищу, bluetooth и телефонному стеку. Marathon OS поддерживает как запуск программ, написанных с использованием собственного инструментария на базе Qt/QML, так и выполнение любых Linux-приложений, способных работать в окружении на базе Wayland. В ближайшее время также обещают задействовать пакет Waydroid для запуска Android-приложений. Для распространения и организации установки программ развивается каталог приложений Marathon Store. В базовый набор программ включены менеджер приложений, web-браузер, календарь, калькулятор, программа для работы с камерой, галерея фотографий, карты, мессенджер, заметки, мультимедийный проигрыватель, конфигуратор и эмулятор терминала. Также для установки доступны типовые программы, такие как Firefox, GIMP и LibreOffice. Для поставки программ применяется свой формат пакетов (zip-архив + метаданные + цифровая подпись), но также поддерживается и установка пакетов в форматах Flatpak и Snap. Имеется прослойка для обеспечения совместимости с программами на базе GTK и технологий GNOME. Для навигации в Marathon Shell применяется система экранных жестов в стиле BlackBerry 10 без использования навигационной панели. Например, для вывода списка приложений применяется сдвиг снизу вверх, для показа панели с быстрыми настройками - сдвиг сверху вниз, для показа списка уведомлений и сообщений - скольжение вправо от края. Заявлена сенсорная отзывчивость интерфейса на уровне 10-15 мс. Предлагается унифицированный интерфейс для просмотра уведомлений и сообщений, позволяющий просматривать содержимое в хронологическом порядке, выполнять полнотекстовый поиск по всем сообщениям и быстро запускать типовые действия. В интерфейсе переключения между приложениями эскизы отображаются в live-режиме и отражают текущее состояние каждой запущенной программы. Отрисовка осуществляется с задействованием GPU для ускорения. Управление и настройка сетевых и аппаратных возможностей осуществляется при помощи cистемных сервисов: NetworkManager (WiFi и сетевой доступ), ModemManager (телефония и SMS), UPower (управление питанием и аккумуляторами, профили энергопотребления) и BlueZ (Bluetooth, сопряжение устройств). Также имеются сервисы для управления выводом, звуком и уведомлениями. На текущем этапе развития уже работают базовые возможности, в процессе доведения до финальной готовности средства для работы с камерой и мультимедиа. Обеспечен вывод видео с частотой 60 кадров в секунду на смартфоне OnePlus 6. В планах отмечено начало производства собственного смартфона Marathon EV 1, оформленного в форм-факторе, близком к устройству BlackBerry Passport с выдвижной клавиатурой и размером, близким к размеру паспорта. Также из планов отмечается поддержка тем оформления GTK и KDE, обеспечение 10-летнего цикла сопровождения и формирование сборок для устройств OnePlus 6T и Poco F1. ![]() ![]() ![]() ![]()
| ||
|
Обсуждение (89 +28) |
Тип: К сведению |
Интересно
| ||
| · | 17.11 | Выпуск дистрибутива OmniOS CE r151056, построенного на технологиях OpenSolaris (63 +3) |
Опубликован релиз дистрибутива OmniOS Community Edition r151056, основанного на наработках проекта Illumos, продолжающего развитие ядра, сетевого стека, файловых систем, драйверов, библиотек и базового набора системных утилит OpenSolaris. OmniOS примечателен предоставлением поддержки гипервизоров bhyve и KVM, виртуального сетевого стека Crossbow, файловой системы ZFS и средств запуска легковесных Linux-контейнеров. Дистрибутив может применяться для построения масштабируемых web-систем, виртуализации и создания систем хранения.
| ||
|
Обсуждение (63 +3) |
Тип: Программы |
| ||
| · | 17.11 | Проект IDEmacs подготовил окружение в стиле VSCode на базе редактора Emacs (89 +15) |
|
Опубликован проект IDEmacs, нацеленный на создание конфигураций текстового редактора Emacs, по оформлению, клавиатурным комбинациям и стилю работы приближенных к популярным графическим редакторам кода и интегрированным средам разработки. Первым опубликован набор компонентов для эмуляции редактора кода VSCode (Visual Studio Code). Похожее на VSCode окружение воссоздано при помощи настроек, темы оформления и плагинов, таких как боковая панель для навигации по файлам Treemacs и панель вкладок Centaur Tabs, а также около 20 пакетов для изменения поведения и реализации расширенной функциональности в Emacs. Наработки проекта распространяются как общественное достояние.
Предполагается, что IDEmacs может оказаться полезен для программистов, желающих перейти на Emacs из других IDE, или начинающих разработчиков на Common Lisp и Scheme, которым требуется функциональность Emacs. IDEmacs предоставляет графический интерфейс, поддержку манипуляций мышью, типовые для популярных IDE клавиатурные комбинации, возможность настройки через GUI без правки файлов на Elisp. ![]()
| ||
|
Обсуждение (89 +15) |
Тип: Программы |
| ||
| · | 16.11 | Выпуск Phosh 0.51.0, GNOME-окружения для смартфонов (58 +11) |
Опубликован релиз Phosh 0.51, экранной оболочки для мобильных устройств, основанной на технологиях GNOME и библиотеке GTK. Окружение изначально развивалось компанией Purism в качестве аналога GNOME Shell для смартфона Librem 5, но затем вошло в число неофициальных проектов GNOME и используется в postmarketOS, Mobian, Droidian, некоторых прошивках для устройств Pine64 и редакции Fedora для смартфонов. Phosh использует композитный сервер Phoc, работающий поверх Wayland, а также собственную экранную клавиатуру. Наработки проекта распространяются под лицензией GPLv3+.
![]() Среди изменений:
| ||
|
Обсуждение (58 +11) |
Тип: Программы |
| ||
| · | 16.11 | Доступен дистрибутив Nitrux 5.0, переведённый с NX Desktop на Hyprland (92 +13) |
|
Опубликован выпуск дистрибутива Nitrux 5.0.0, построенного на пакетной базе Debian и поставляемого с системой инициализации OpenRC. Размер полного загрузочного образа составляет 3.3 ГБ. Наработки проекта распространяются под свободными лицензиями.
Ранее проект развивал собственный рабочий стол NX Desktop, реализованный в форме надстройки над KDE Plasma, но теперь дистрибутив перешёл на поставку нового пользовательского окружения, построенного на базе композитного сервера Hyprland, панелей Waybar и Crystal Dock, меню приложений Wofi и меню завершения работы в системе Wlogout. Для запуска игр предложен композитный сервер Gamescope, развиваемый компанией Valve. Для вывода уведомлений задействован Sway Notification Center, а для показа экранных индикаторов - SwayOSD. Композитный сервер Hyprland использует Wayland и предоставляет возможности для создания визуально привлекательных интерфейсов: градиенты в обрамлении окон, размытие фона, анимационные эффекты и тени. Для расширения функциональности могут подключаться плагины, а для внешнего управления работой предоставляется IPC на базе сокетов. Настройка осуществляется через файл конфигурации, изменения в котором подхватываются на лету без перезапуска. Из функций также выделяются: динамически создаваемые виртуальные рабочие столы; режимы компоновки элементов на экране; глобальная обработка горячих клавиш; управление жестами на тачпаде/сенсорном экране. ![]() Другие изменения в выпуске Nitrux 5.0:
| ||
|
Обсуждение (92 +13) |
Тип: Программы |
| ||
| · | 16.11 | В Firefox развивают режим для навигации с использованием AI (132 –35) |
Аджит Варма (Ajit Varma), вице-президент Mozilla по продукту Firefox, анонсировал новый режим просмотра - "AI Window", в котором будет предложено отдельное пространство взаимодействия с AI, дополняющее имеющийся стандартный режим навигации в Web и режим приватного просмотра. Функциональность AI Window пока находится в стадии разработки и недоступна для тестирования. Утверждается, что данный режим выйдет за рамки уже предлагаемого в Firefox чатбота, встраиваемого боковую панель, и позволит персонализировано взаимодействовать с AI-ассистентом и получать помощь во время просмотра web-страниц. Режим будет активироваться по желанию пользователя (opt-in, по умолчанию отключён). Похожая инициатива недавно была представлена компанией Google для Chrome.
![]()
| ||
|
Обсуждение (132 –35) |
Тип: К сведению |
| ||
| · | 16.11 | Выпуск браузерного движка Servo 0.0.2 (76 +37) |
|
Опубликован выпуск браузерного движка Servo 0.0.2 и развиваемого вместе с ним демонстрационного браузера ServoShell, написанных на языке Rust. По функциональности выпуск аналогичен ночной сборке от 14 ноября, для которой проведено дополнительное ручное тестирование. Готовые сборки предоставлены для Linux, Android, macOS и Windows.
Движок изначально развивался компанией Mozilla, но затем перешёл под покровительство организации Linux Foundation. Servo отличается поддержкой многопоточного рендеринга web-страниц, распараллеливанием операций с DOM (Document Object Model) и задействованием предоставляемых языком Rust механизмов безопасного программирования. Servo изначально создан с поддержкой разбиения кода DOM и рендеринга на более мелкие подзадачи, которые могут выполняться параллельно и более эффективно использовать ресурсы многоядерных CPU. В Firefox уже интегрированы некоторые части Servo, такие как многопоточный CSS-движок и система отрисовки WebRender. ![]() Основные изменения:
| ||
|
Обсуждение (76 +37) |
Тип: Программы |
| ||
| · | 15.11 | В PyPI введено подтверждение смены устройства, с которого осуществляется вход (11 +6) |
|
Разработчики репозитория Python-пакетов PyPI (Python Package Index) внедрили дополнительный этап проверки во время входа, требующий подтверждения операции по email в случае подключения с устройства или браузера, с которого раннее не производился вход. Подтверждение требуется в дополнение к имеющейся двухфакторной аутентификации, требующей ввод одноразового кода (TOTP - Time-based One-Time Password) помимо обычных учётных данных. При использовании в качестве второго фактора аутентификации ключей на базе технологий WebAuthn или Passkeys, дополнительное подтверждение по email не требуется.
В качестве причины добавления новой проверки называется усиление защиты от фишинга. С недавних пор для обхода защиты при помощи двухфакторной аутентификации атакующие перешли к применению прозрачного проксирования трафика с фишинговых сайтов на реальный сайт pypi.org, из-за чего у пользователя создаётся ощущение работы с реальным каталогом PyPI. Страница входа также проксируется и атакующие контролируют не только изначально введённый пароль входа, но и ответ на проверочный запрос второго фактора аутентификации. Дополнительный запрос подтверждения полномочий с предупреждением о попытке входа с нового устройства предотвратит компрометацию в случае перехвата TOTP-кода и пароля, а также насторожит разработчиков, не менявших оборудование. В ходе проксирования атакующие могут перехватить параметры учётной записи и введённый одноразовый код TOTP, но не могут повлиять на подтверждение по еmail, требующее клика на указанной внутри письма ссылке. Если пользователь получил проверочное письмо, но не пытался войти в каталог PyPI, то не следует переходить по ссылке. Если попытка входа была, но устройство не менялось, следует проверить не была ли попытка входа через фишинговый сайт и в случае выявления атаки срочно поменять пароль и проверить активность в учётной записи.
| ||
|
Обсуждение (11 +6) |
Тип: К сведению |
| ||
| · | 15.11 | Удалённо эксплуатируемая уязвимость в Bluetooth-стеке платформы Android (57 +19) |
|
В ноябрьском бюллетене безопасности Android опубликована информация об уязвимости CVE-2025-48593 в подсистеме Bluetooth, которая затрагивает версии Android с 13 по 16. Уязвимости присвоен критический уровень опасности (9.8 из 10) так как она может привести к удалённому выполнению кода при обработке специально оформленных Bluetooth-пакетов.
Компания Google пока не раскрывает детального описания уязвимости, но независимые исследователи утверждают, что проблема не затрагивает обычные смартфоны и касается только Bluetooth-устройств, способных выступать в роли громкоговорителя, таких как умные колонки, умные часы и автомобильные информационно-развлекательные системы. Для эксплуатации требуется, чтобы пользователь выполнил сопряжение своего устройства с устройством атакующего, т.е. для блокирования проблемы обходным путём достаточно не принимать сомнительные запросы на сопряжение (в бюллетене Google упомянуто, что для эксплуатации не требуется совершение действий пользователем). Исправление сводится к добавлению вызова для проверки существования Discovery Database при работе с Bluetooth-профилем Handsfree и остановки поиска пиров с использованием протокола SDP (Service Discovery Protocol), а также сбросу и очистке структуры p_disc_db ("discovery database). Определённые манипуляции по возвращению ошибок и возобновлению соединений в процессе определения Bluetooth-сервиса и согласования взаимодействия сервера с клиентом приводят к обращению к уже освобождённой области памяти (use-after-free). Исправление уже перенесено в кодовую базу LineageOS. Доступен ранний прототип эксплоита, вызывающий аварийное завершение при запуске Android в специальном эмуляторе. В сети также замечены попытки продажи рабочего эксплоита, но, судя по всему, это попытки распространения вредоносного ПО или продажи пустышки мошенниками. Кроме этой уязвимости, в ноябрьском обновлении Android присутствует исправление уязвимости CVE-2025-48581, приводящей к повышению привилегий. Проблема затрагивает только Android 16 и помечена как опасная. Причиной уязвимости является логическая ошибка в функции VerifyNoOverlapInSessions из файла apexd.cpp, позволяющая блокировать установку обновлений с исправлением проблем безопасности. Отмечается, что уязвимость можно использовать для локального повышения привилегий. Для совершения атаки не требуется выполнение действий пользователем.
| ||
| Следующая страница (раньше) >> | ||
|
Закладки на сайте Проследить за страницей |
Created 1996-2025 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |