Opengram является форком проекта mytelegram. Код Opengram написан на языке C# (.NET 9) и распространяется в исходных текстах без указания лицензии. Изначальный проект mytelegram поставляется под лицензией Apache 2.0, которая в соответствии с пунктом 4a требует включения копии текста лицензии при распространении производных работ.

Сервер построен на наборе микросервисов, запускаемых через Docker Compose: шлюз MTProto-подключений, сервер авторизации и обмена ключами, сервер сессий, серверы команд и запросов (архитектура CQRS), HTTP Bot API, служебный API администрирования, серверы хранения и раздачи файлов, TURN/STUN для звонков и сервис отправки кодов подтверждения. В качестве инфраструктуры используются MongoDB , Redis, RabbitMQ и MinIO.

Из поддерживаемых возможностей: личные чаты, группы, супергруппы и каналы, секретные (end-to-end) чаты, голосовые и видеозвонки (через TURN/STUN и SFU mediasoup), боты и Bot API, настройки приватности и двухфакторная аутентификация, стикеры, реакции и кастомные эмодзи; звёзды (Stars) и подарки (Star Gifts), включая перепродажу и апгрейд; истории (Stories), темы оформления и обои; запланированные и самоудаляющиеся сообщения.

1. Главная ссылка к новости
2. OpenNews: Неофициальный Telegram-клиент Nekogram отправлял номера телефонов боту разработчика
3. OpenNews: Представлен Monogram, альтернативный открытый клиент Telegram для Android
4. OpenNews: В Telega, альтернативном клиенте Telegram, выявили возможность совершения MITM-атаки
5. OpenNews: Мэйнтейнеры Fedora и Gentoo отказались от сопровождения пакетов с Telegram Desktop
6. OpenNews: GPL-код из Telegram взят мессенджером Mail.ru без соблюдения GPL

Для JavaScript-движка GJS, применяемого в GNOME Shell, Polari и GNOME Documents, развивается фреймворк gjsify, добавляющий поддержку языка TypeScript. Из последних достижений в gjsify отмечена возможность выполнения компилятора TypeScript внутри GJS, что позволяет обойтись без Node.js для запуска tsc. Добавлена встроенная команда "gjsify install", которую можно использовать вместо "npm install".

Опубликован музыкальный проигрыватель Vinyl 1.4.0, написанный на Rust и ставший первым мультимедийным приложением GNOME, поддерживающим загрузку текстов песен напрямую из тегов ID3v2. В новой версии также появилась возможность загрузки отдельных изображений обложек для каждого трека, добавлена кнопка открытия каталога с текущим треком, реализованы всплывающие подсказки, появилась возможность поиска по расширениям.

Опубликован первый выпуск приложения Contributor Atlas с наглядной интерактивной картой участников разработки и истории развития проекта GIMP.

Опубликован выпуск Gitte 0.6.0, клиента для работы с Git для GNOME, написанного с использованием GTK4, libadwaita и Relm4.

1. Главная ссылка к новости
2. OpenNews: В GNOME SDK добавлена поддержка языка построения интерфейсов Blueprint
3. OpenNews: Выпуск библиотеки Libadwaita 1.8 для создания интерфейсов в стиле GNOME
4. OpenNews: Представлен GTK2-NG, форк библиотеки GTK2
5. OpenNews: Доступен графический тулкит GTK 4.22 со встроенным движком отрисовки SVG

В качестве причин прекращения принятия публичных pull-запросов упоминается подготовка к первому альфа-выпуску, требующая более строгого распределения ответственности за вносимые изменения. По мнению создателей Ladybird код должен приниматься только от тех, кто заслуживает доверия и готов нести персональную ответственность за каждую строку кода, и то, соответствует ли код архитектуре проекта и сможет ли поддерживаться в будущем.

Из проблем возникающих при приёме изменений от всех желающих упоминается снижение уровня доверия к авторам патчей - из-за возможности формирования изменений через AI, размер патча теперь не коррелирует с трудозатратами и потраченным на разработку временем. Принятие сторонних патчей также упрощает деятельность злоумышленников, первое время генерирующих рабочие изменения, чтобы заслужить доверие для последующего внедрения в код скрытой уязвимости.

Дополнительно можно отметить майский отчёт о развитии Ladybird. Из недавних достижений отмечается:

• Реализован JIT-компилятор для WebAssembly, основанного на Cranelift (переход от интерпретации к JIT-компиляции в 8 раз повысил производительность прохождения теста CoreMark и в 3-4 раза микротестов отдельных функций);
• Задействован новый блокировщик нежелательного контента, основанный на библиотеке adblock-rust от проекта Brave и поддерживающий фильтры в стиле Adblock Plus и EasyList;
• На языке Rust переписан парсер HTML;
• Код прокрутки содержимого вынесен из основного потока в отдельный процесс композитинга и переведён на асинхронную модель работы;
• Включён по умолчанию API Media Source Extensions и улучшена работа с потоковым видео;
• Добавлена система кэширования байткода JavaScript на диске;
• В сборщике мусора реализован инкрементальный режим очистки памяти, исключающий длительные приостановки вычислений и повышающий отзывчивость интерфейса;
• Расширена поддержка CSS, реализованы контейнерные запросы (@container), разграничение области видимости (@scope), "grid-template-columns: subgrid", "scroll-margin", "scroll-padding";
• Добавлен API Permissions;
• Реализован протокол HSTS (HTTP Strict Transport Security);
• Обеспечено автоматическое определения кодировки текста;
• В инструменты для web-разработчиков добавлена поддержка инспектирования flexbox- и grid-раскладок;
• Улучшена совместимость с Discord, Shopify, Reddit, а также с сайтами, использующими графики на базе библиотеки TradingView.
• Модернизирован интерфейс пользователя на базе библиотеки Qt. Реализован режим вертикального отображения вкладок. Добавлена поддержка перемещения вкладок мышью для их группировки, отсоединения или переноса в другое окно;
• Вместо типовых для Qt стилей панелей и кнопок, реализовано собственное оформление вкладок, панели инструментов и адресной строки. Добавлена возможность восстановления недавно закрытых вкладок и окон. Реализована функция вставки текста из буфера обмена средней кнопкой мыши.

Браузер Ladybird развивается Андреасом Клингом, который когда-то работал в компании Nokia и занимался разработкой KHTML, а затем в Apple был одним из разработчиков Safari. Изначально проект был создан как приложение для операционной системы SerenityOS, но летом 2024 года был выделен в отдельный проект и получил пожертвование в 1 млн. долларов. Браузер написан на языке С++ (стартовал проект переписывания компонентов на Rust) и распространяется под лицензией BSD. Проектом развиваются собственный движок LibWeb, JavaScript-интерпретатор LibJS и сопутствующие библиотеки.

1. Главная ссылка к новости
2. OpenNews: Компоненты браузера Ladybird начали переписывать на Rust при помощи AI
3. OpenNews: Браузер Ladybird успешно прошёл 90% тестов на совместимость с Web-платформой
4. OpenNews: Уязвимость в LibJS, позволяющая выполнить код при открытии страницы в браузере Ladybird
5. OpenNews: Браузер Ladybird опередил Servo при тестировании поддержки web-технологий
6. OpenNews: Проект свободного браузера Ladybird получил пожертвование в 1 млн. долларов от сооснователя GitHub

Платформа сосредоточена на создании сборок на базе ядра Linux, но отдельно развиваются прототипы, позволяющие собирать пакеты для различных ОС, включая macOS, Haiku и BSD-системы. В планах поддержка создания окружений на основе других ядер, например, на базе L4, Fuchsia и RedoxOS, и формирование сборок на базе Android (AOSP). Для сборки доступно более 7000 пакетов.

В T2 обеспечивается поддержка 20 аппаратных архитектур, применяемых как в современных встраиваемых системах, так и на устаревшем оборудовании. Например, обеспечена поддержка игровых приставок Nintendo Wii U и Sony PS3, рабочих станций SGI, Sun и HP. Для большинства архитектур возможна загрузка в окружениях с 128 МБ ОЗУ. Поддерживаются такие архитектуры, как Alpha, Arc, ARM64, HPPA64, IA64, Loongarch64, M68k, Microblaze, MIPS64, Nios2, OpenRISC, PowerPC 64, RISC-V 64, s390x, SPARC 64, SuperH, i486, i686, i786, x86-64 и x32.

Среди изменений в новой версии:

• Предоставлены полные сборки со средой рабочего стола KDE Plasma, собранные компилятором Clang с использованием Си-библиотеки musl.
• Добавлены сборки с KDE Plasma для архитектур RISC, Alpha, IA-64, SPARC и HPPA.
• В сборках с KDE в менеджере приложений Discover включена поддержка пакетов в формате Flatpak.
• Реализована поддержка воспроизводимой пересборки окружений с KDE Plasma на базу Wayland и glibc или musl.
• Добавлена возможность установки KDE в режиме автоматического входа, не требующего у пользователя ввода пароля.
• Обновлены версии почти 4000 пакетов, например, в поставку вошли ядро Linux 7.0, GCC 16.1, LLVM/Clang 22.1, Mesa 26.1, Glibc 2.43, Musl 1.2.5, uClibC 1.0.56.
• Расширена поддержка архитектур ARM64, RISC-V, IA-64, SPARC64, HPPA64.
• В состав включены дополнительные прошивки для чипов Wi-Fi и Bluetooth.
• Для систем ARM64 добавлен OpenGL-драйвер Panfrost для GPU ARM Mali.
• Добавлен драйвер для использования GPU PowerVR на системах RISCV64.
• Перенесены патчи для поддержки Apple T2 Mac.

1. Главная ссылка к новости
2. OpenNews: Релиз платформы сборки дистрибутивов T2 SDE 26.3
3. OpenNews: В T2 Linux восстановили поддержку архитектуры ускорения XAA в X.Org Server

Дополнительно можно отметить публикацию июньского отчёта об уязвимостях в Android, в котором упомянуто 124 уязвимости. 18 уязвимостям присвоен критический уровень опасности. 2 критические уязвимости присутствуют во фреймворках и позволяют совершить удалённую атаку для выполнения своего кода в системе без необходимости совершения пользователем каких-либо действий. 13 критических уязвимостей присутствуют в системных компонентах и позволяют поднять свои привилегии в системе. 3 критические проблемы выявлены в проприетарных компонентах Qualcomm.

1. Главная ссылка к новости
2. OpenNews: Релиз Chrome 149
3. OpenNews: При помощи AI-модели Mythos выявлены 23 тысячи уязвимостей в открытом ПО
4. OpenNews: Релиз Firefox 150 с устранением 359 уязвимостей
5. OpenNews: Обновления Firefox 150.0.1 и Chrome 147.0.7727.137 с устранением критических уязвимостей
6. OpenNews: Обновление Firefox 150.0.2. За апрель в Firefox устранено 423 уязвимости

Основной целью Emscripten заявлено создание инструмента, позволяющего выполнять в Web код независимо от языка программирования, на котором этот код изначально написан. В компилируемых приложениях могут использоваться вызовы стандартных библиотек C и С++ (libc, libcxx), расширения C++, многопоточность на базе pthreads, API POSIX и многие мультимедийные библиотеки. Отдельно предоставляются API для интеграции с Web API и кодом на JavaScript. Emscripten поддерживает трансляцию вывода библиотеки SDL2 через Canvas, а также реализует поддержку OpenGL и EGL через API WebGL, что позволяет преобразовывать в WebAssembly графические приложения и игры (например, имеется порт тулкита Qt, поддерживаются игровые движки Unreal Engine и Unity, а также движок симуляции физических процессов Bullet).

Помимо компиляции кода на C/C++ отдельно развиваются проекты для запуска в браузерах интерпретаторов и виртуальных машин для языков Lua, C#, Python, Ruby и Perl. Кроме того, возможно применение фронтэндов к LLVM, отличных от Clang, например, фронтэндов для языков, как Swift, Rust, D и Fortran.

Присвоение номера версии 6.0 связано с внесением изменений, нарушающих совместимость. Основные изменения в Emscripten 6.0:

• Увеличены минимальные версии браузерных движков, в которых может исполняться генерируемый код: Chrome 74 -> 85, Firefox 68 -> 79 и Safari 12.2 -> 14.1. Изменение позволило задействовать по умолчанию расширения WebAssembly для импорта и экспорта изменяемых глобальных переменных, а также увеличения разрядности чисел с сохранением знака и значения.
• При выполнении потоковой загрузки с использованием операции Fetch размер загружаемого блока теперь ограничен 8 МБ для предотвращения загрузки в память сразу всего содержимого больших файлов.
• Обновлены версии musl libc 1.2.6, libpng 1.6.58 и google-closure-compiler 20260429.0.0.
• Реализован флаг компилятора "-m64", который аналогичен флагам "-sMEMORY64" и "--target=wasm64".
• Из объекта PThread удалено поле PThread.runningWorkers.
• Функция pause() теперь возвращает 0 вместо EINTR.
• На платформе Windows вместо bat-файла (emcc.bat) для запуска Emscripten предложен exe-файл (emcc.exe).

1. Главная ссылка к новости
2. OpenNews: Компилятор Emscripten достиг возможности собственной пересборки
3. OpenNews: Emscripten - проект по созданию компилятора кода C/C++ в JavaScript
4. OpenNews: Опубликован стандарт WebAssembly 3.0
5. OpenNews: Представлен порт ядра Linux для WebAssembly, запускаемый в браузере
6. OpenNews: Доступен Wasmer 5.0, инструментарий для создания приложений на базе WebAssembly

Система поддерживает интеграцию с различными большими языковыми моделями, допускает привязку комментариев к конкретным строкам в коде и содержит встроенные наборы правил для выявление типовых проблем и уязвимостей, таких как ошибки при синхронизации потоков, межсайтовый скриптинг и подстановка SQL-кода. Проверка на основе правил предоставляется для языков Java, TypeScript, Go, Python, Kotlin, C++ и C.

Open Code Review предлагает инструментарий командной строки, читающий изменения из git, отправляющий их большой языковой модели через выбранного AI-агента и генерирующий структурированный отчёт с построчными комментариями. Помимо анализа переданных изменений AI-агент может выполнять поиск в кодовой базе, загружать файлы из репозитория и инспектировать другие изменённые файлы для более глубокого погружения в контекст и учёта связи с другими изменениями.

1. Главная ссылка к новости
2. OpenNews: Компания Alibaba открыла наработки, связанные с RISC-V процессорами XuanTie
3. OpenNews: Компания Alibaba открыла код распределённой СУБД PolarDB, основанной на PostgreSQL
4. OpenNews: Rietveld - новый инструмент рецензирования кода
5. OpenNews: Введён в строй AI-сервис Sashiko для рецензирования изменений в ядре Linux

Для разработки решений на базе Roku LT OS поставляется SDK и примеры прошивок, а в качестве обучающего руководства предложен видеокурс. Roku использует Roku LT OS в пультах дистанционного управления телевизорами. Представленная ОС также задействована в университетском проекте LT Racing, развивающем гоночный электромобиль, в качестве операционной системы для блока управления (VCU, Vehicle Control Unit) на базе SoC STM32H755ZI. Данный чип включает два ядра ARM Cortex‑M4 и ARM Cortex‑M7, которые задействованы для раздельного изолированного выполнения независимых экземпляров Roku LT OS.

В качестве минимальных требований к оборудованию заявлены процессор 100Mhz и 64 Кб ОЗУ. Запускаемые в Roku LT OS приложения собираются в форме динамически загружаемых разделяемых библиотек. Имеется поддержка TCP/IP стека lwIP, кодеков MP4 и Opus, шифрования и TLS. Поставляются драйверы для различных датчиков, Bluetooth, USB, устройств ввода, Wi-Fi, SD-карт, NPU, SPI, I2C.

1. Главная ссылка к новости
2. OpenNews: Выпуск MicroPythonOS 0.9, ОС с графическим интерфейсом для микроконтроллеров
3. OpenNews: В чипах ESP32 выявлены недокументированные команды для управления контроллером Bluetooth
4. OpenNews: Meshtastic - реализация самодостаточной mesh-сети на базе передатчиков LoRa
5. OpenNews: Компания LG опубликовала платформу webOS Open Source Edition 2.28
6. OpenNews: Samsung адаптирует мобильную платформу Tizen для архитектуры RISC-V

По сравнению с Azure Linux 3.0 новая ветка переведена с собственной пакетной базы на использование пакетов из дистрибутива Fedora 43. В качестве основы используются штатные SRPM-пакеты из репозиториев Fedora, для которых поставляется набор оверлеев - файлов конфигурации в формате TOML, дающих возможность пересобирать пакеты с дополнениями, оптимизациями и изменениями, необходимыми для Azure Linux. Для генерации результирующих RPM-пакетов на основе SRPM-пакетов Fedora и оверлеев применяется инструментарий azldev, написанный на языке Go и поставляемый под лицензией MIT. Система сборки Azure Linux даёт возможность генерировать как классические установочные окружения с RPM-пакетами, так и монолитные атомарно обновляемые системные образы.

В Azure Linux 4.0 поставляется ядро Linux 6.18 с дополнительными оптимизациями, добавлена защита от атак через зависимости (supply chain), обеспечен предсказуемый цикл поддержки и выпуска обновлений, реализованы инструменты для интеграции с облаком Azure и включены возможности для усиления безопасности, такие как фильтрация системных вызовов, шифрование дисковых разделов, верификация репоизиториев и пакетов по цифровой подписи, защита от атак, связанных с символическими ссылками и сборка с опциями для защиты от переполнений буфера.

В состав включены новые драйверы, оптимизированные для оборудования, применяемого в Azure, улучшена интеграция с гипервизором Hyper-V и добавлена поддержка GPU- и AI-ускорителей. Пакетный менеджер tdnf заменён на dnf5. Обеспечена поддержка SELinux. Среди задействованных версий системных компонентов: glibc 2.42, OpenSSL 3.5, systemd 258, Python 3.14, RPM 6.0.

1. Главная ссылка к новости
2. OpenNews: Microsoft опубликовал дистрибутив Azure Linux 3.0.20260506
3. OpenNews: Microsoft развивает дистрибутив Azure Linux 4 на базе Fedora Linux
4. OpenNews: Microsoft рассматривает возможность перевода Azure Linux на пакетную базу Fedora
5. OpenNews: Microsoft открыл код Windows Subsystem for Linux и текстового редактора Edit
6. OpenNews: Компания Microsoft продемонстрировала собственный Linux-дистрибутив для коммутаторов

Основные изменения в Chrome 149 (1, 2, 3, 4):

• В конфигуратор в секцию "Система" ("System") добавлены настройки для управления загрузкой и использованием AI-моделей, выполняемых на устройстве пользователя. Например, можно полностью запретить использование подобных моделей и удалить ранее загруженные модели.
• В июне начнётся публикация официальных сборок Chrome 149 для Linux-систем на базе архитектуры ARM64, поставляемых в пакетах deb и rpm. Ранее официальные сборки Chrome для Linux публиковались только для архитектуры x86_64, а для архитектуры ARM64 были доступны только сторонние сборки Chromium, предлагаемые дистрибутивами.
• В Service Worker-ах ограничено использование API Background Fetch для фоновой загрузки данных.
• В CSS реализована поддержка настройки оформления разделителей между элементами в контейнерах grid и flexbox. Добавлены CSS-свойства column-rule-inset и row-rule-inset для укорачивания или удлинения разделителей, а также column-rule-visibility-items и row-rule-visibility-items для управления видимостью разделителей (только между заполненными элементами или во всех промежутках сетки). Ширину, цвет и отступы можно анимировать с помощью переходных эффектов (transition), активируемых, например, при наведении курсора.
• Убрано влияние активных WebSocket-соединений на сохранение страницы в кэше перехода (BFCache - Back-forward cache), обеспечивающем мгновенный переход при использовании кнопок "Назад" и "Вперёд" или при навигации по уже просмотренным страницам текущего сайта. Ранее наличие WebSocket-соединения не позволяло поместить страницу к кэш и приводило к необходимости её полной перезагрузки при нажатии кнопок "Назад" или "Вперёд".
• В CSS-свойстве shape-outside реализована возможность использования функций path(), shape(), rect() и xywh().
• В CSS-свойство "image-rendering" добавлено значение "crisp-edges", предписывающее масштабировать изображение без размытия с сохранением контраста и чётких границ.
• Добавлено CSS-свойство path-length, позволяющее изменять атрибут pathLength в SVG.
• В объект Intl.Locale добавлена возможность задавать и получить информацию об используемом варианте языка.
• Внесены улучшения в инструменты для web-разработчиков, в которых стабилизирована реализация MCP-сервера (Model Context Protocol) и интерфейса командной строки для AI-агентов. Добавлена возможность эмуляции собственных HTTP-заголовков. Значительное переработана панель AI-ассистента. Реализована экспериментальная возможность отладки страниц, использующих API WebMCP. В панель CSS добавлена поддержка автодополнения стилей, используя AI-модель Gemini.
  
  

1. Главная ссылка к новости
2. OpenNews: Google случайно раскрыл детали неисправленной уязвимости в Chromium
3. OpenNews: В библиотеку ANGLE, используемую в Chrome и Android, добавлена поддержка Wayland
4. OpenNews: Релиз Chrome 148
5. OpenNews: Google увеличил вознаграждение за выявление уязвимостей в Android до $1.5 млн, а в Chrome - до $500 тысяч
6. OpenNews: Chrome переходит на двухнедельный цикл подготовки релизов

Уязвимость использует метод, напоминающий zip-бомбу, применяемую к функциональности сжатия заголовков в HTTP/2. Идея в том, что запрос может содержать тысячи сжатых заголовков, таких как "Cookie", без прикреплённых данных, каждый из которых в запросе представлен однобайтовой ссылкой в индексе HPACK, но на сервере требует полноценного выделения памяти под весь заголовок. Уровень расходования памяти в различных HTTP-серверах варьируется от примерно 70 байт на каждый байт в индексе для nginx, IIS и Pingora, до 4000 байт в Apache httpd и 5700 в Envoy. При атаке с потребительского компьютера, имеющего канал связи 100Mbps, для исчерпания 32 ГБ памяти требуется примерно 10 секунд при атаке на сервер с Envoy 1.37.2, 18 секунд - Apache httpd 2.4.67 и 45 секунд - nginx 1.29.7.

Для блокирования уязвимости в выпуске nginx 1.29.8 из проекта freenginx была перенесена директива max_headers, по умолчанию допускающая обработку не более 1000 заголовков. В Envoy исправление включено в состав выпусков 1.35.11 и 1.36.7, в которых реализованы лимиты mutable_max_request_headers_kb и max_headers_count. В Apache httpd исправление предложено в выпуске модуля mod_http2 2.0.41, который ещё не вошёл в релизы Apache httpd. Для Microsoft IIS и Cloudflare Pingora исправления пока отсутствуют. В качестве обходного пути защиты можно отключить использование протокола HTTP/2 и выставить ограничение на размер памяти, доступный для рабочих процессов.

Дополнение 1: HTTP-сервер Angie не подвержен уязвимости, поскольку перенес защиту от этой атаки из freenginx ещё в версии 1.8.0, вышедшей в 2024 году.

Дополнение 2: Сформировано обновление pingora 0.8.1 с добавлением ограничений, блокирующих атаку.

Дополнение 3: Наличие проблемы подтверждено в HTTP-сервере h2o. Исправление доступно в форме патча.

1. Главная ссылка к новости
2. OpenNews: Использование zip-бомбы для борьбы с вредоносными web-ботами
3. OpenNews: Представлена техника совершения DoS-атаки через отправку PNG-бомбы
4. OpenNews: Уязвимость в протоколе HTTP/2, задействованная в крупнейшей DDoS-атаке
5. OpenNews: Атака Continuation flood, приводящая к проблемам на серверах, использующих HTTP/2.0
6. OpenNews: Уязвимость в реализациях протокола HTTP/2, упрощающая проведение DoS-атак

Уязвимость присутствует в udev-обработчике libinput-device-group и вызвана отсутствием должного экранирования спецсимволов в атрибутах, получаемых от устройств и передаваемых в подсистему udev в форме "ключ=значение". Через подстановку символа перевода строки ("\n") в атрибут, можно добиться добавления своего правила udev, например, через выполнение uinput-команды UI_SET_PHYS("poc\n<SECOND_KEY>=<value>"). Для выполнения произвольных команд с правами root достаточно подобным способом подставить udev-правило со свойством "REMOVE_CMD", запускающем указанную команду после отключения устройства.

Для эксплуатации уязвимости атакующий должен иметь доступ к устройству /dev/uinput или /dev/uhid. Обычно доступ к uinput и uhid имеет только пользователь root, но в некоторых дистрибутивах поставляются udev-правила, позволяющие непривилегированным пользователям использовать uinput. Например, в Fedora подобные правила выставляются при установке пакетов steam-devices, antimicrox и kdeconnectd. Доступен прототип эксплоита.

1. Главная ссылка к новости
2. OpenNews: Уязвимость в libinput, приводящая к выполнению кода при подключении вредоносного устройства
3. OpenNews: Релиз Libinput 1.4 с реализацией всех запланированных функций

Из расширенных возможностей Privoxy можно отметить: возможность привязки тегов для изменения поведения фильтров в зависимости от отдельных клиентских и серверных HTTP-заголовков; режим инспектирования HTTPS, позволяющий фильтровать HTTPS-запросы и ответы; использование регулярных выражений в файлах конфигурации; возможность замены анимированных gif-ов на урезанные статические картинки. Privoxy может использоваться для блокирования рекламы и нежелательного контента на устройствах, на которых невозможно установить соответствующие браузерные дополнения.

Среди изменений в новом выпуске:

• В режиме инспектирования HTTPS включено по умолчанию использование ключей на базе эллиптических кривых (SN_X9_62_prime256v1) вместо RSA при генерации ключей и сертификатов для сайтов.
• Реализована возможность использования разных клиентских тегов для разных клиентов, работающих на том же хосте.
• Добавлена сборочная опция "--enable-acl-debugging" для добавления расширенных возможностей отладки ACL.
• Повышена эффективность работы фильтров за счёт применения отдельных связанных списков для разных типов фильтров.
• Во встроенный web-интерфейс добавлена возможность добавления и убирания внешних фильтров.
• Прекращена поддержка библиотеки mbedtls 2.x и версий OpenSSL до 2.0.
• Для "sourceforge" добавлен фильтр для скрытия панели вайб-кодинга.
• Исправлены две проблемы с безопасностью (CVE-идентификаторы не присвоены):
  • Переполнение буфера в функции parse_chunk_size(), проявляющееся при разборе размера блока данных при использовании "Chunked Transfer Encoding" в HTTP/1.0.
  • Переполнение стека в функции ssl_send_certificate_error() из-за сохранения сообщения об ошибке в стеке без учёта его размера.

1. Главная ссылка к новости
2. OpenNews: Выпуск фильтрующего прокси Privoxy 4.1.0
3. OpenNews: Стабильный релиз прокси-сервера Squid 7
4. OpenNews: Выпуск HTTP/TCP-балансировщика HAProxy 3.0
5. OpenNews: Выпуск Toxiproxy 2.6, прокси для проверки устойчивости приложений к сетевым проблемам

У пользователей Outlook была включена опция для обращения к почтовому серверу с использованием шифрования, но почтовый клиент при её выставлении продолжал использовать сетевой порт 110 для POP3, вместо смены номера порта на 995, применяемого для TLS-сеанса к серверу POP3, и не использовал расширение STARTTLS для переключения на TLS-сеанс. Некоторые старые конфигурации Outlook без вывода предупреждения игнорировали флаг включения TLS-шифрования в случае явного указания порта 110 и сразу отправляли команды USER и PASS открытым текстом. Наиболее старый выпуск Microsoft Outlook в котором замечено проявление проблемы датирован 2007 годом.

1. Главная ссылка к новости
2. OpenNews: Доступен IMAP-сервер Dovecot 2.4.0
3. OpenNews: Red Hat представил Hummingbird, защищённую редакцию Fedora на базе контейнеров
4. OpenNews: Пересмотр решения о создании редакции Fedora AI Developer Desktop
5. OpenNews: Microsoft развивает дистрибутив общего назначения Azure Linux 4 на базе Fedora Linux
6. OpenNews: В Fedora решено удалить пакеты со средой рабочего стола Deepin

Некоторые из регрессий в rsync 3.4.3:

• Начали завершаться с ошибкой команды для инкрементального создания резервных копий, в которых было указано несколько опций "--compare-dest";
• Стало невозможно собрать rsync на системах с ядрами Linux до версии 5.6 из-за задействования системного вызова openat2 (коммит 1, коммит 2);
• Перестал работать формат "хост::модуль/путь" (коммит).
• Перестали восприниматься команды, использующие опцию "--delete-missing-args" вместе с "--files-from" (коммит).
• При синхронизации стали выдаваться ошибки о нахождении значения modtime_nsec вне допустимого диапазона.
• Нарушилась сборка на старых версиях macOS.
• Изменилось поведение опции "--link-dest" (коммит).
• Возникли сбои при запуске в мультиплексоре терминалов tmux.

Эндрю Триджелл (Andrew Tridgell), основатель проектов samba и rsync, два года назад вернувшийся к сопровождению rsync и добавивший проблемные коммиты, опубликовал заметку с пояснением сложившейся ситуации. По словам Эндрю, проект rsync столкнулся с лавиной отчётов об уязвимостях, многие из которых были сгенерированы через AI. В релизе rsync 3.4.3 появление регрессий стало ценой устранения уязвимостей. Эндрю сознательно предпочёл исправить уязвимости, несмотря на то, что исправления могли нарушить работу некоторых редких, но корректных сценариев использования rsync. Подобные сценарии не покрывались старым тестовым набором и ручными проверками, поэтому регрессии остались не замеченными и будут устранены в следующим выпуске 3.4.4.

Возникшая ситуация побудила Эндрю модернизировать тестовый набор, ввести проверку покрытия кода и реализовать тестирование в системе непрерывной интеграции на разных платформах, а также выполнить анализ потенциальных уязвимостей. Так как Эндрю уже почти 60 лет и он предпочёл бы путешествовать на яхте, а не тратить своё время на устранение уязвимостей в rsync, он решил привлечь AI-ассистенты для выполнения рутинных задач в условиях свалившейся лавины сообщений об уязвимостях. Эндрю разработал архитектуру, план проверки и структуру нового тестового набора, после чего при помощи AI сгенерировал его на Python и заменил им ранее применявшийся тестовый shell-скрипт. При разработке использовалась модель Claude с ручной проверкой результата и перекрёстной проверкой в Codex и Gemini.

1. Главная ссылка к новости
2. OpenNews: Выпуск утилиты для синхронизации файлов Rsync 3.3.0. Эндрю Триджелл возвращается в проект
3. OpenNews: В состав OpenBSD добавлена собственная реализация rsync - openrsync
4. OpenNews: В Rsync 3.4.0 устранены уязвимости, позволявшие выполнить код на сервере и клиенте
5. OpenNews: В состав macOS включён openrsync от проекта OpenBSD
6. OpenNews: Уязвимость в rsync, позволяющая повысить свои привилегии в системе