The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

·03.06 Регрессии в rsync 3.4.3 и принятие изменений, подготовленных с использованием AI (14)
  После выхода обновления утилиты для синхронизации файлов rsync 3.4.3 с исправлением 6 уязвимостей, отмечено появление регрессий, нарушающих работоспособность ранее используемых конфигураций. Помимо этого непонимание и недовольство вызвало добавление за последние две недели в репозитории rsync около 50 изменений, подготовленных с использованием AI-модели Claude. Некоторые пользователи связали появление регрессий с генерацией низкокачественных исправлений уязвимостей при помощи AI.

Некоторые из регрессий в rsync 3.4.3:

Эндрю Триджелл (Andrew Tridgell), основатель проектов samba и rsync, два года назад вернувшийся к сопровождению rsync и добавивший проблемные коммиты, опубликовал заметку с пояснением сложившейся ситуации. По словам Эндрю, проект rsync столкнулся с лавиной отчётов об уязвимостях, многие из которых были сгенерированы через AI. В релизе rsync 3.4.3 появление регрессий стало ценой устранения уязвимостей. Эндрю сознательно предпочёл исправить уязвимости, несмотря на то, что исправления могли нарушить работу некоторых редких, но корректных сценариев использования rsync. Подобные сценарии не покрывались старым тестовым набором и ручными проверками, поэтому регрессии остались не замеченными и будут устранены в следующим выпуске 3.4.4.

Возникшая ситуация побудила Эндрю модернизировать тестовый набор, ввести проверку покрытия кода и реализовать тестирование в системе непрерывной интеграции на разных платформах, а также выполнить анализ потенциальных уязвимостей. Так как Эндрю уже почти 60 лет и он предпочёл бы путешествовать на яхте, а не тратить своё время на устранение уязвимостей в rsync, он решил привлечь AI-ассистенты для выполнения рутинных задач в условиях свалившейся лавины сообщений об уязвимостях. Эндрю разработал архитектуру, план проверки и структуру нового тестового набора, после чего при помощи AI сгенерировал его на Python и заменил им ранее применявшийся тестовый shell-скрипт. При разработке использовалась модель Claude с ручной проверкой результата и перекрёстной проверкой в Codex и Gemini.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск утилиты для синхронизации файлов Rsync 3.3.0. Эндрю Триджелл возвращается в проект
  3. OpenNews: Уязвимость в Rsync, позволяющая перезаписать файлы на стороне клиента
  4. OpenNews: В Rsync 3.4.0 устранены уязвимости, позволявшие выполнить код на сервере и клиенте
  5. OpenNews: В состав macOS включён openrsync от проекта OpenBSD
  6. OpenNews: Уязвимость в rsync, позволяющая повысить свои привилегии в системе
Обсуждение (14) | Тип: Тема для размышления |


·03.06 Microsoft представил Coreutils для Windows, эмулятор терминала Intelligent Terminal и контейнеры в WSL (167 –16)
  Компания Microsoft представила порт набора утилит Coreutils для платформы Windows. В состав входит несколько десятков утилит, включая sort, cat, chmod, chown, cp, find, sleep, sort, tee, echo, uptime и ls. Инструментарий позволяет напрямую использовать в Windows типовые утилиты, доступные в Linux и macOS, без использования прослойки WSL. Целью проекта заявлено упрощение перехода между Unix-подобными системами, WSL, контейнерами и Windows, и предоставление единого набора команд, флагов и методов, позволяющих переносить существующие скрипты из других систем без переписывания. Код написан на Rust и PowerShell, и распространяется под лицензией MIT.

Реализация основана на коде проекта uutils (Rust Coreutils), развивающего вариант GNU Coreutils на языке Rust, а также реализациях утилит find и grep на Rust. Утилиты собраны в виде одного универсального исполняемого файла "C:\Program Files\coreutils\coreutils.exe", отдельные команды к которому привязаны при помощи жёстких ссылок в NTFS.

Из-за конфликта с имеющимися штатными утилитами Windows или привязки к специфичным возможностям из поставки исключены утилиты dd, dir, dircolors, shred, sync, uname, expand, kill, more, paste, timeout и whoami. Из состава также исключены утилиты, завязанные на не поддерживаемые в Windows концепции POSIX: chcon, chgrp, chmod, chown, chroot, groups, hostid, id, install, logname, mkfifo, mknod, nice, nohup, pathchk, pinky, runcon, stdbuf, stty, tty, users, who.

Из ограничений и особенностей отмечается необходимость использовать NUL вместо /dev/null, отсутствие поддержки сигналов (SIGHUP, SIGPIPE, SIGUSR), возможность создания символических ссылок только после включения режима для разработчика, недоступность некоторых операций с правами доступа. При работе с каталогами принимаются как пути с символом "/", так и c "\".

Одновременно представлен первый выпуск эмулятора терминала Intelligent Terminal, представляющего собой форк Windows Terminal с интегрированным AI-агентом. Поддерживается подключение AI-агентов, поддерживающих протокол ACP (Agent Client Protocol), таких как gitHub Copilot, Claude, Codex и Gemini. Код терминала написан на языках C++ и Rust, и открыт под лицензией MIT.

По функциональности терминал близок к Windows Terminal и также поддерживает вкладки, темы оформления, профили, комбинации клавиши разделение экрана на отдельные области. Из отличий выделяется отдельная статусная строка с состоянием AI-агента и возможностью быстрого обращения к нему, а также привязанная к контексту закрепляемая панель для взаимодействия с AI-агентом. Имеется возможность просмотра истории действий AI-агентов и переключения между разными AI-агентами. Упоминается возможность отправки в Microsoft телеметрии с информацией об использовании программы.

Дополнительно анонсирован проект по созданию системы для запуска Linux-контейнеров в Windows, реализованной на базе прослойки WSL (Windows Subsystem for Linux). Инструментарий предоставляет типовой интерфейс командной строки wslc и API для создания, развёртывания и запуска контейнеров на базе Linux из окружения Windows, а также для обращения к запущенным контейнерам из Windows. Первую ознакомительную версию WSL-контейнеров намерены опубликовать в ближайшие месяцы в составе одного из обновлений WSL. Так как WSL является открытым проектом, отслеживать разработку можно уже сейчас на GitHub.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск GNU Coreutils 9.11
  3. OpenNews: Microsoft развивает дистрибутив общего назначения Azure Linux 4 на базе Fedora Linux
  4. OpenNews: Выпуск Cygwin 3.6.0, GNU-окружения для Windows
  5. OpenNews: Microsoft открыл код Windows Subsystem for Linux и текстового редактора Edit
  6. OpenNews: Microsoft открыл исходные тексты PowerShell и портировал для Linux
Обсуждение (167 –16) | Тип: К сведению |


·03.06 Расширение системной памяти через подкачку в видеопамяти NVIDIA (83 +34)
  Опубликован инструментарий nbd-vram, позволяющий разместить область подкачки в видеопамяти графической карты NVIDIA. Подобный манёвр даёт возможность виртуально увеличить размер памяти в системе, работающей на ноутбуках с впаянной нерасширяемой оперативной памятью и GPU NVIDIA. Код написан на языке Си и распространяется под лицензией MIT.

Например, на ноутбуке с 16 ГБ ОЗУ и видеокартой NVIDIA GeForce RTX 3070 с 8 ГБ VRAM через раздел подкачки можно задействовать дополнительные 7 ГБ памяти. В сочетании с применением модуля ядра zram для сжатого хранения раздела подкачки и подключением дополнительного раздела подкачки на SSD-накопителе общий размер адресуемой памяти в тестовой конфигурации доведён до 46 ГБ (при нехватке ОЗУ начинает использоваться видеопамять, затем привлекается сжатие при помощи zram и на последнем этапе задействуется подкачка на SSD). Производительность работы с видеопамятью при последовательном чтении оценивается примерно в 1.3 GB/s и задержками ниже NVMe из-за обращения к GPU по шине PCIe.

Реализация основана на применении фонового процесса nbd-vram, который выделяет VRAM через API драйвера CUDA и предоставляет системе доступ к полученной видеопамяти в форме блочного устройства на базе протокола NBD (Network Block Device). В ядре Linux используется встроенный драйвер nbd без загрузки собственных специализированных модулей. После создания блочного устройства /dev/nbdX, связанного с выделенной видеопамятью, на нём штатными утилитами создаётся раздел подкачки.

Для автоматизации запуска конфигурации с nbd-vram подготовлен инсталлятор и сервис systemd "vram-swap-nbd.service". Настройка сводится к заданию размера выделяемой видеопамяти и приоритета подкачки через переменные VRAM_SETUP_SIZE_MB и VRAM_SWAP_PRIORITY. Имеется опция для активации подкачки в видеопамяти только при подключении ноутбука к стационарному источнику питания, позволяющая экономить энергию в автономном режиме. Для работы nbd-vram требуется NVIDIA GPU c поддержкой CUDA (например, серии GeForce RTX и GTX), драйвер NVIDIA с библиотекой libcuda.so.1 (установка CUDA Toolkit не требуется), ядро Linux новее 3.0 и пакет nbd-client.

  1. Главная ссылка к новости
  2. OpenNews: Изменение настроек ядра Linux 6.12 привело к проблемам c zRAM в некоторых дистрибутивах
  3. OpenNews: Атаки GDDRHammer и GeForge, искажающие память GPU для доступа ко всей памяти CPU
  4. OpenNews: Доступна библиотека управления памятью jemalloc 5.3.1
  5. OpenNews: Для Linux представлена технология Zswap для сжатого кеширования в системе подкачки
  6. OpenNews: Ubuntu переходит на использование файла подкачки вместо раздела подкачки
Обсуждение (83 +34) | Тип: К сведению |


·03.06 Выпуск дистрибутива Ubuntu Sway Remix 26.04 LTS (24 –1)
  Доступен выпуск дистрибутива Ubuntu Sway Remix 26.04 LTS, предоставляющего преднастроенный и готовый к использованию рабочий стол на основе мозаичного композитного менеджера Sway. Дистрибутив является неофициальной редакцией Ubuntu 26.04, созданной с оглядкой как на опытных пользователей GNU/Linux, так и новичков, желающих попробовать окружение мозаичных оконных менеджеров без необходимости в их долгой настройке. Для загрузки подготовлены сборки для архитектур amd64, arm64 и компьютеров Raspberry Pi.

Окружение дистрибутива построено на основе Sway - композитного менеджера, использующего протокол Wayland и полностью совместимого с мозаичным оконным менеджером i3, а также панели Waybar, файлового менеджера Thunar, и утилит из проекта NWG-Shell, таких как менеджер обоев рабочего стола Azote, полноэкранного меню приложений nwg-drawer, утилиты для вывода содержимого скриптов на экран nwg-wrapper (используется для отображения подсказки по горячим клавишам на рабочем столе), менеджера настройки тем GTK, курсора и шрифтов nwg-look и скрипта Autotiling, автоматически компонующего окна открытых приложений на манер динамических мозаичных оконных менеджеров.

В состав дистрибутива входят программы как с графическим интерфейсом, такие как Firefox, Qutebrowser, Audacious, Transmission, Libreoffice, Pluma и MATE Calc, так и консольные приложения и утилиты, такие как музыкальный проигрыватель Musikcube, видеопроигрыватель MPV, утилита для просмотра изображений Swayimg, утилита для просмотра документов PDF Zathura, текстовый редактор Neovim, файловый менеджер Ranger и другие.

Другой особенностью дистрибутива является полный отказ от использования пакетного менеджера Snap, все программы поставляются в виде обычных deb-пакетов, в том числе веб-браузер Firefox, для установки которого задействован официальный PPA-репозиторий Mozilla Team. Установщик дистрибутива основан на фреймворке Calamares.

Основные изменения:

  • Sway обновлен до выпуска 1.11.
  • Для систем с видеочипами NVIDIA по умолчанию задействован движок отрисовки на базе Vulkan.
  • Задействован ряд утилит из графического окружения Xfce: вместо файлового менеджера PCmanFM установлен Thunar, утилита для просмотра изображений lximage-qt заменена на Ristretto, а архиватор Engrampa - на Xarchiver.
  • Собственные скрипты для вывода уведомлений об изменении уровня громкости и яркости экрана заменены на утилиту SwayOSD.
  • Из поставки удалены музыкальный проигрыватель Audacious и почтовый клиент Thunderbird.
  • Сформирован установочный образ для архитектуры arm64, который можно использовать на UEFI-совместимых платах с процессорами ARM, таких как Ampere, а также в виртуальных машинах на компьютерах Mac с процессорами Apple Silicon.
  • Внесён ряд улучшений в образ для одноплатных компьютеров Raspberry Pi.

  1. Главная ссылка к новости
  2. OpenNews: Релиз дистрибутива Ubuntu 26.04
  3. OpenNews: Компания Canonical опубликовала монолитный дистрибутив Ubuntu Core 26
  4. OpenNews: Релиз дистрибутива TileOS 2.0
  5. OpenNews: Выпуск дистрибутива Ubuntu Sway Remix 25.10
  6. OpenNews: Выпуск пользовательского окружения Sway 1.12
Обсуждение (24 –1) | Автор: Sunderland93 | Тип: Программы |


·02.06 Первый выпуск редактора Vim Classic, продолжающего развитие ветки Vim 8.2 (73 +8)
  Дрю ДеВолт (Drew DeVault), автор пользовательского окружения Sway, почтового клиента Aerc, языка программирования Hare и платформы совместной разработки SourceHut, опубликовал первый выпуск Vim Classic, форка текстового редактора Vim 8.2, продолжающего сопровождение прошлой ветки. В качестве причин создания форка указано непринятие политики Vim в отношении использования AI. По задумке Дрю ДеВолта, Vim Classic 8.3 можно рассматривать как то, как мог бы выглядеть выпуск Vim 8.3, если бы разработчики Vim не создали ветку Vim 9 с новым скриптовым языком Vim9 Script, имеющим синтаксис, близкий к JavaScript, TypeScript и Java. От Vim 8.2 выпуск Vim Classic 8.3 отличается исправлением ошибок и портированием некоторых возможностей из новых веток Vim.

  1. Главная ссылка к новости
  2. OpenNews: SDL запретил приём кода от AI. Созданы форки Vim, избавленные от AI-изменений
  3. OpenNews: Удалённо эксплуатируемые уязвимости в ядре FreeBSD, Vim и Emacs
  4. OpenNews: Релиз текстового редактора Vim 9.2
  5. OpenNews: Выпуск текстового редактора Neovim 0.10
  6. OpenNews: Выпуск консольной среды разработки LazyVim 5
Обсуждение (73 +8) | Тип: Программы |


·02.06 Доступна библиотека устранения шума на изображениях Open Image Denoise 2.5 (49 +12)
  Компания Intel опубликовала выпуск проекта oidn 2.5 (Open Image Denoise), развивающего коллекцию фильтров для устранения шумов на изображениях, подготовленных с использованием систем рендеринга на основе трассировки лучей. Open Image Denoise развивается как часть более крупного проекта oneAPI Rendering Toolkit, нацеленного на разработку средств программной визуализации научных расчётов (SDVis (Software Defined Visualization), включающих библиотеку трассировки лучей Embree, систему фотореалистичной отрисовки GLuRay, платформу распределённой трассировки лучей OSPRay и систему программной растеризации OpenSWR. Код написан на языке С++ и опубликован под лицензией Apache 2.0.

Целью проекта является предоставление высококачественных, эффективных и простых в использовании функций шумоподавления, которые можно применять для повышения качества результатов трассировки лучей. Предложенные фильтры позволяют на основании результата сокращённого цикла трассировки лучей получить итоговый уровень качества, сопоставимый с результатом более затратного и длительного процесса детализированного рендеринга.

Open Image Denoise обеспечивает отсеивание случайного шума, возникающего, например, при трассировке лучей на основе численного интегрирования по методу Монте-Карло (MCRT). Для достижения высокого качества рендеринга в подобных алгоритмах требуется проведение трассировки очень большого числа лучей, иначе на результирующем изображении появляются заметные артефакты в виде случайного шума.

Применение Open Image Denoise позволяет на несколько порядков сократить количество необходимых вычислений при расчёте каждого пикселя. В итоге, можно значительно быстрее сгенерировать изначально зашумлённое изображение, но затем довести его до приемлемого качества при помощи быстрых алгоритмов подавления шумов. При наличии соответствующего оборудования предложенный инструментарий можно применять даже для интерактивной трассировки лучей c устранением шумов на лету.

Библиотека может применяться на различных классах устройств, от ноутбуков и ПК, до узлов в кластерах. Реализация оптимизирована для различных классов 64-разрядных CPU Intel с поддержкой инструкций SSE4, AVX2, AVX-512 и XMX (Xe Matrix Extensions), чипов Apple Silicon и систем с GPU Intel Xe (серии Arc, Flex и Max), NVIDIA (на базе архитектур Turing, Ampere, Ada Lovelace, Hopper и Blackwell) и AMD (на базе архитектур RDNA2 (Navi 21), RDNA3 (Navi 3x), RDNA 3.5 и RDNA4). В качестве минимального требования заявлена поддержка SSE4.1.

Основные изменения в выпуске Open Image Denoise 2.5:

  • Значительно повышена производительность и сокращено потребление памяти на GPU Intel с движком XMX (Xe Matrix eXtensions) и CPU Intel c поддержкой инструкций AMX-FP16.
  • Добавлен API для импорта внешних семафоров из графических API Vulkan и Direct3D 12. В настоящее время поддержка ограничена устройствами с CUDA (в Windows и Linux) и HIP (в Windows). Поддержка устройств SYCL появится в одном из будущих выпусков.
  • Добавлен флаг OIDN_EXTERNAL_MEMORY_TYPE_FLAG_DEDICATED для импорта специализированной внешней памяти.

  1. Главная ссылка к новости
  2. OpenNews: Intel опубликовал программу 3D-визуализации OSPRay Studio 1.0 и движок 3D-рендеринга OSPRay 3.1
  3. OpenNews: Доступна библиотека устранения шума на изображениях Open Image Denoise 2.2
  4. OpenNews: Intel выпустил движок распределённой трассировки лучей OSPRay 3.0
Обсуждение (49 +12) | Тип: Программы |


·02.06 Проблемы с соблюдением авторского права при переписывании ScanCode на Rust при помощи AI (161 +23)
  Сопровождающий открытый инструментарий ScanCode Toolkit, предназначенный для сканирования кода на предмет пересечений с чужими авторскими правами, выявления используемых лицензий и обнаружения неисправленных уязвимостей, раскритиковал проект, создавший при помощи AI клон продукта ScanCode, переписанный с Python на Rust (название клона не упоминается, но, судя по всем признакам, речь про проект Provenant). Утверждается, что в переписанном проекте нарушена торговая марка ScanCode и удалены упоминания об авторских правах и лицензиях. Претензии объясняются тем, что в переписанном клоне продолжено использование ключевых алгоритмов ScanCode, сохранена архитектура проекта и структура кода.

По мнению сопровождающего ScanCode успешному созданию клона способствовало наличие у проекта исчерпывающего автоматизированного тестового набора, включающего более 90 тысяч тестов, из которых 40 тысяч посвящены обнаружению использования тех или иных лицензий в коде. Авторы переписанной версии заявили о существенном повышении производительности (в 10-100 раз), но, по словам сопровождающего ScanCode, ценой ускорения стало неполное прохождение тестового набора, а также снижение корректности работы и полноты предоставляемой информации (клон выдавал некорректные результаты и находил не всю информацию при анализе).

Если в специальных тестах производительности Rust-порт существенно опережал ScanCode, то при прохождении стандартного тестового набора клон оказался медленнее, несмотря на то, что в нём пропускались некоторые проверки. После внесения в ScanCode оптимизаций, таких как кэширование, производительность ScanCode при сканировании кода стала не хуже, чем в клоне на Rust, при полном сохранении корректности работы.

Авторам клона также вменяется нарушение авторских прав и лицензии Apache 2.0, под которой распространяется код ScanCode. Отмечается, что в процессе переписывания были нарушены 4 основных требования лицензии: оставление оригинального файла с примечанием (NOTICE), сохранение упоминаний об авторских правах, выделение совершённых изменений и смена имени в производной работе. После замечания авторы клона разместили файл NOTICE и переименовали свой проект, но два нарушения пока остаются неустранёнными.

Сопровождающий ScanCode считает, что сообщество должно выработать критерии для разделения того, что при использовании AI считать производной работой, а что независимой реализацией. По его мнению, после переписывания кода на другом языке с сохранением алгоритмов и структуры результат продолжает оставаться производной работой, даже если в процессе были переименованы переменные и переделаны или удалены комментарии. Заявления авторов Rust-порта о независимой переработке, лишь вдохновлённой проектом ScanCode, в этом случае некорректно, так как работа нацелена на создание видимости оригинальной разработки, что даже хуже чем прямое копирование, так как подобные манипуляции сложнее обнаружить.

Значительной проблемой при генерации кода через AI называется отсутствие отслеживания происхождения кода, который был использован для получения результата. По умолчанию AI-агенты, использующие код из открытых проектов, игнорируют информацию об авторах, если специально не реализованы средства выявления и сохранения метаданных о лицензиях и авторстве. Проблема атрибуции затрагивает не только работу по переписыванию кода с одного языка на другой, но и генерацию кода в общем виде - результат в этом случае может достаточно точно повторять шаблоны из существующего открытого кода, используемого в процессе обучения модели.

  1. Главная ссылка к новости
  2. OpenNews: Переписывание кода при помощи AI для перелицензирования открытых проектов
  3. OpenNews: Компоненты браузера Ladybird начали переписывать на Rust при помощи AI
  4. OpenNews: Платформа Cal.com прекратила публиковать код из-за опасения выявления уязвимостей через AI
  5. OpenNews: Служба здравоохранения Великобритании намерена закрыть свои репозитории с открытым кодом из-за AI
  6. OpenNews: Компания Cloudflare представила EmDash, альтернативу WordPress с изоляцией плагинов
Обсуждение (161 +23) | Тип: К сведению |


·02.06 Canonical опубликовал утилиту workshop для развёртывания окружений для разработки (32 –3)
  Компания Canonical представила инструментарий workshop, позволяющий одной командной быстро создавать в Ubuntu изолированные окружения для применения при разработке ПО и решения задач, связанных с машинным обучением и вовлечением AI-агентов. Начинка окружения определяется в одном файле конфигурации в формате YAML, который позволяет точно воспроизвести описанное окружение на любых компьютерах. Предполагается, что благодаря workshop разработчик может сосредоточиться на том, что он хочет получить, не тратя своё время на разбор зависимостей и настройку начинки. Инструментарий устанавливается в виде snap-пакета. Код проекта написан на языке Go и распространяется под лицензией GPLv3.

Окружение формируется из независимых подключаемых элементов, оформляемых в виде SDK, которыми можно делиться с другими пользователями через каталог SDK Store. Комбинируя свои и уже существующие SDK разработчик может задействовать в окружении желаемые языки программирования, библиотеки и инструменты. Например, предоставляются SDK для использования Ollama, OpenCode, NVIDIA CUDA и AMD ROCm. Для низкоуровневого управления окружениями в workshop задействован инструментарий управления контейнерами LXD 6.8.

  1. Главная ссылка к новости
  2. OpenNews: Сервисы Ubuntu и Canonical оказались недоступны из-за DDoS-атаки
  3. OpenNews: Марк Шаттлворт анонсировал MAAS, инструментарий для быстрого развертывания конфигураций Ubuntu
  4. OpenNews: Canonical прекратит поддержку Bazaar в платформе Launchpad
  5. OpenNews: В 2024 году выручка компании Canonical составила 291 млн. долларов
  6. OpenNews: Компания Canonical опубликовала MicroCloud 3, инструментарий для развёртывания кластеров
Обсуждение (32 –3) | Тип: Программы |


·02.06 Обновление X.Org Server 21.1.23 с устранением 9 уязвимостей (99 +23)
  Опубликованы корректирующие выпуски X.Org Server 21.1.23 и DDX-компонента (Device-Dependent X) xwayland 24.1.12, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 9 уязвимостей. Некоторые уязвимости потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH.

Исправленные уязвимости (CVE-идентификаторы не назначены):

Обсуждение (99 +23) | Тип: Программы |


·01.06 Атакующие встроили вредоносное ПО в 32 NPM-пакета Red Hat (85 +23)
  В результате компрометации процесса формирования релизов на базе GitHub Actions в принадлежащих компании Red Hat репозиториях RedHatInsights, злоумышленники смогли опубликовать в каталоге NPM 64 вредоносные версии, охватывающие 32 NPM-пакета для платформы Red Hat Cloud Services. Для каждого из поражённых NPM-пакетов были выпущены по две вредоносные версии, в которые был интегрирован код для активации нового варианта червя mini-shai-hulud, выполняющего поиск токенов и учётных данных в текущем окружении.

Червь размещался в файле index.js и активировался через preinstall-обработчик, вызываемый при установке поражённого пакета. После активации червь выполнял поиск в системе токенов к NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp и KubernetesK8s, а также закрытых ключей SSH. Найденные данные отправлялись злоумышленникам. В случае обнаружения токена для подключения к каталогу NPM червь автоматически публиковал новые вредоносные релизы для разрабатываемых в текущем окружении пакетов, поражая дерево зависимостей.

Доступ к GitHub Actions был получен в результате компрометации учётной записи одного из сотрудников Red Hat, что позволило атакующим напрямую отправить коммиты в репозитории javascript-clients, frontend-components и platform-frontend-ai-toolkit, без прохождения стадии рецензирования. Через коммиты в систему непрерывной интеграции подставлялся файл ci.yaml, который при запуске сборочной работы запускал при помощи платформы bun скрипт _index.js. Скрипт использовал полномочие "id-token: write" для запроса у GitHub токена OIDC (OpenID Connect), который затем применялся для аутентификации в NPM при помощи механизма "trusted publishing".

NPM-пакеты, содержащие вредоносный код:

  • @redhat-cloud-services/chrome (2.3.1, 2.3.2)
  • @redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
  • @redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
  • @redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
  • @redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
  • @redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
  • @redhat-cloud-services/frontend-components-advisor-components (3.8.2)
  • @redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
  • @redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
  • @redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
  • @redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
  • @redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
  • @redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
  • @redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
  • @redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
  • @redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
  • @redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
  • @redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
  • @redhat-cloud-services/insights-client (4.0.4, 4.0.5)
  • @redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
  • @redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
  • @redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
  • @redhat-cloud-services/patch-client (4.0.4, 4.0.5)
  • @redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
  • @redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
  • @redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
  • @redhat-cloud-services/rule-components (4.7.2, 4.7.3)
  • @redhat-cloud-services/sources-client (3.0.10, 3.0.11)
  • @redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
  • @redhat-cloud-services/tsc-transform-imports (1.2.2)
  • @redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
  • @redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)

  1. Главная ссылка к новости
  2. OpenNews: В 42 NPM-пакета TanStack интегрирован самораспространяющийся червь
  3. OpenNews: Серверы инфраструктуры Fedora и Red Hat были взломаны
  4. OpenNews: Анализ конфиденциальных данных, захваченных червём Shai-Hulud 2
  5. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
  6. OpenNews: Взлом внутреннего GitLab-сервера Red Hat
Обсуждение (85 +23) | Тип: Проблемы безопасности |


·01.06 Разработаны правила использования AI в проекте Rust (72 +15)
  Разработчики языка программирования Rust готовят к публикации правила применения AI-ассистентов в проекте. Предложенные правила отточены в ходе обсуждения, насчитывающего более 3000 сообщений, одобрены 4 сопровождающими и ожидают публикации. За отдельными исключениями, правила запрещают передачу кода, сгенерированного через AI, в основной репозиторий rust-lang/rust, но не распространяются на субмодули, подветки и зависимости из каталога crates.io, а также другие репозитории организации. При этом правила разрешают использование AI для анализа, изучения, рецензирования и проверки кода.

Применение AI допускается в случаях, когда полученная через AI информация в частном порядке используется только одним разработчиком и не распространяется публично. Например, когда разработчик задаёт AI вопросы по коду, формирует для себя сводку по комментариям к PR или issue, привлекает AI для рецензирования изменений, создаёт через AI инструменты для личного использования, консультируется через AI о возможных вариантах выбора решения. Также допускается создание через AI экспериментальных изменений, не подлежащих рецензированию другими участниками.

Запрещено применение AI для формирования комментариев, отчётов о проблемах и описаний изменений, публикуемых от имени участника. При этом разрешено цитирование выдачи от AI с явной пометкой, что контент сформирован через AI (например, прикрепление результатов диагностики через AI). Запрещено создание документации через AI. При рецензировании запрещено рассмотрение выводов AI как достаточных для приёма или отклонения изменений - результаты проверки через AI могут носить только рекомендательный характер.

С оговорками и явным упоминанием, что результат получен через AI, разрешено применение AI для машинного перевода на другие языки, поиска и верификации ошибок, а также внесения незначительных изменений в код и тексты (например, правка опечаток и подбор синонимов).

В рамках эксперимента допускается передача заранее согласованных, некритичных, досконально проверенных и хорошо протестированных изменений, изначально сгенерированных через AI. Перед отправкой pull-запроса c подобным изменением, разработчик должен заранее договориться с рецензирующими. Предлагаемые изменения должны помечаться меткой "ai-assisted" и могут затрагивать вторичные инструменты, такие как tidy и linkchecker, но не должны касаться ключевых возможностей и элементов языка. Для отслеживания результатов эксперимента изменения предписано отправлять в отдельный приватный Zulip-канал, доступ к которому предоставлен только участникам проекта.

  1. Главная ссылка к новости
  2. OpenNews: Во Flathub запрещено размещение приложений, сгенерированных при помощи AI
  3. OpenNews: Каталог GNOME Circle не будет принимать приложения, созданные с использованием AI
  4. OpenNews: Благодаря AI для включения в ядро Linux стали присылать на 20% больше изменений
  5. OpenNews: При помощи AI-модели Mythos выявлены 23 тысячи уязвимостей в открытом ПО
Обсуждение (72 +15) | Тип: К сведению |


·01.06 Выпуск эмулятора 86Box 6.0 (98 +39)
  Представлен выпуск проекта 86Box 6.0, развивающего эмулятор систем на базе архитектуры x86, при помощи которого можно запускать старые операционные системы и приложения, включая те, что применялись в начале 1980-годов на компьютерах IBM PC 5150 и IBM PS/2. Поддерживается точная низкоуровневая эмуляция систем, начиная с процессоров 8086 и заканчивая Intel Сeleron Mendocino. Код проекта написан на языке C и распространяется под лицензией GPLv2.

Для управления работой предоставляется графический интерфейс c возможностями для настройки виртуальных машин. Доступна эмуляция различных периферийных устройств, таких как видеоадаптеры, звуковые карты, сетевые карты и контроллеры жёстких дисков. Среди поддерживаемых операционных систем: MS-DOS, Windows 3.11/95, OS/2, различные дистрибутивы Linux, BeOS, NEXTSTEP и другие старые ОС.

В новом выпуске:

  • В эмуляторе устройств хранения реализована симуляция звуков, издаваемых жёсткими дисками во время работы, таких как писк от вращение шпинделя и щёлканье при перемещении головок.
  • Реализован виртуальный сетевой коммутатор для сетевого соединения нескольких эмулируемых систем, запущенных в разных экземплярах 86Box.
  • Добавлен турбо-режим, отключающий принудительное ограничение производительности эмуляции.
  • В панель инструментов добавлена отдельная кнопка для создания скриншотов. Помимо сохранения изображения в файл, реализованы команды для сохранения скриншота в буфер обмена и создания скриншота без постобработки и масштабирования.
  • Добавлена кнопка для сброса системного каталога в исходное состояние.
  • В пользовательском интерфейсе с использованием вкладок переработаны окна с настройками. В общие системные настройки перенесена секция для конфигурирования комбинаций клавиш. на отдельную страницу перенесены настройки монитора. В окна со списками устройств добавлена функция текстового поиска.
  • В строку состояния добавлены индикаторы DVD, звуковых CD, ленточных накопителей и защиты накопителя от записи.
  • Добавлен драйвер для проброса доступа к реальным устройствам с последовательным портом и к CD-ROM.
  • Повышена производительность на хостах с процессорами ARM.
  • Улучшена эмуляция CPU NEC V20/V30 и видеокарт S3 ViRGE и Trio3D/2X
  • Реализована эмуляция звуковых карт Analog Devices AD1816, Aztech Sound Galaxy Pro 16 AZTPR16, Covox Sound Master, HP Multimedia Pro 16V-A, IBM Music Feature Card, MediaVision ThunderBoard, Pro Audio Spectrum и TexElec SAAYM (CMS/Game Blaster + Yamaha OPM) с шиной ISA, а также внешних звуковых карт FTL Sound Adapter, SiliconSoft SoundJr, OPL2LPT, OPL3LPT, CMSLPT и TNDLPT, подключаемых через параллельный порт.
  • Добавлена эмуляция сетевой карты SMC 83C170 PCI.
  • Реализована эмуляция ленточных накопителей с интерфейсом SCSI, а также жёстких дисков MFM/RLL, SCSI-контроллера QLogic ISP1xxx PCI и IDE-контроллера jr-IDE PCjr.
  • Добавлена поддержка подключения реальных (не эмулируемых) жёстких дисков и дисководов.
  • Добавлена эмуляция жёстких дисков Quantum Fireball EL2.5AT, EL5.1AT, EL7.6AT, EL10.2AT, Western Digital Expert 200BA.
  • Добавлена поддержка запуска 86Box в ARM64-версиях Windows.
  • Добавлена эмуляция компьютеров:
    • 808x: IBM Multistation 5550
    • 286: Nixdorf 8810 M30
    • 386: Philips P3345, Tandy 1000 RSX, ICOP-6021 (Hand386 или Pocket 386), JUMPtec MOPS/386A
    • 486 Socket 1: Pioneer Vantage 4865C-25/33, Tandy Sensation
    • 486 Socket 2: Intel Classic R/R Plus, Samsung SPC-7500P, Tandy Sensation II
    • 486 Socket 3: ADD-X Normerel Xenon
    • 586 Socket 5: Compaq Presario 7100 Series 586
    • 586 Socket 7: ASUS TXP4-X, Lucky Star 5AVP3, MSI MS-5156, Siemens Simatic OP47
    • 686 Slot 1: AIR P6KDI, FIC KN-6000, HP Brio 83xx, MSI MS-6117, TriGem Como

  1. Главная ссылка к новости
  2. OpenNews: Выпуск эмулятора 86Box 5.3
  3. OpenNews: Выпуск эмулятора FEX 2508, позволяющего запускать x86-программы на системах ARM64
  4. OpenNews: Выпуск Box64 0.4.0, эмулятора для запуска x86-игр на системах ARM64, RISC-V и Loongarch64
  5. OpenNews: Выпуск эмулятора QEMU 11.0.0
Обсуждение (98 +39) | Тип: Программы |


·01.06 Выпуск музыкального проигрывателя Audacious 4.6 (81 +26)
  Представлен релиз легковесного музыкального проигрывателя Audacious 4.6, ответвившегося в своё время от проекта Beep Media Player (BMP), являющегося форком классического плеера XMMS. Выпуск поставляется с двумя интерфейсами пользователя: на основе GTK и Qt. Готовые сборки в ближайшее время будут подготовлены для различных дистрибутивов Linux (snap, flatpak, PPA) и для Windows.

Основные новшества Audacious 4.6:

  • Добавлен плагин для навигации по файловой системе.
  • Реализован порт плагина Playback History, предоставляющего интерфейс для просмотра истории воспроизведения, использующий библиотеку GTK.
  • Добавлена настройка для принудительного включения работы через Xwayland в окружениях на базе Wayland. Данная настройка активируется по умолчанию на системах со старыми версиями Qt и при включении интерфейса в стиле Winamp, не поддерживающего Wayland.
  • Добавлена возможность сортировки элементов списка воспроизведения по битрейту.
  • В утилиту командной строки audtool добавлена опция для экспорта списков воспроизведения.
  • Реализована поддержка проигрывания файлов в формате Musepack SV8.
  • Добавлена поддержка всех MIME-типов и расширений формата AIFF (Audio Interchange File Format).
  • Реализована возможность сортировки файлов по времени создания или модификации.
  • Добавлена поддержка чтения тегов с лирикой из файлов Opus, Ogg Vorbis и FLAC. Расширены типы файлов, для которых читаются теги с информацией о нормализации громкости (ReplayGain).
  • В интерфейсе на базе Qt появилась поддержка перемещения мышью файлов в основное окно из других приложений.
  • Для платформы macOS реализован плагин "Now Playing", позволяющий отображать сведения о воспроизводимой в данным момент композиции.
  • Прекращена поддержка инструментария autotools, вместо которого задействована сборочная система Meson.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск музыкального проигрывателя Audacious 4.5
  3. OpenNews: Выпуск музыкального проигрывателя Qmmp 2.3
  4. OpenNews: Открыта реализация протокола ASIO и перелицензирован SDK музыкальных плагинов VST 3
  5. OpenNews: Новая версия музыкального проигрывателя DeaDBeeF 1.10.1
  6. OpenNews: Опубликован музыкальный проигрыватель Nocturne 1.0
Обсуждение (81 +26) | Тип: Программы |


·31.05 Выпуск Armbian 26.5, дистрибутива для одноплатных компьютеров (27 +14)
  Опубликован выпуск Linux-дистрибутива Armbian 26.5, предоставляющего компактное системное окружение для одноплатных компьютеров с процессорами на базе архитектур ARM, RISC-V и x86, поддерживающее различные модели Raspberry Pi, Odroid, Orange Pi, Banana Pi, Helios64, pine64, Nanopi и Cubieboard на базе процессоров Allwinner, Amlogic, Actionsemi, Freescale / NXP, Marvell Armada, Rockchip, Radxa и Samsung Exynos.

Для формирования сборок используются пакетные базы Debian и Ubuntu, но все компоненты полностью пересобирается при помощи собственной сборочной системы с включением оптимизаций для уменьшения размера, увеличения производительности и применения дополнительных механизмов защиты. Например, раздел /var/log монтируется с использованием zram и хранится в ОЗУ в сжатом виде со сбросом данных на накопитель раз в день или при завершении работы. Раздел /tmp монтируется при помощи tmpfs.

Проектом поддерживается более 30 вариантов сборок ядра Linux для разных платформ ARM и ARM64. Предоставляется SDK для упрощения создания своих системных образов, пакетов и редакций дистрибутива. Для подкачки используется ZSWAP. При входе по SSH предоставляется опция для использования двухфакторной аутентификации. В состав входит эмулятор box64, позволяющий запускать программы, собранные для процессоров на базе архитектуры x86. Предлагаются готовые пакеты для запуска пользовательских окружений на базе KDE, GNOME, Budgie, Cinnamon, i3wm, Mate, Xfce и Xmonad.

Основные изменения в Armbian 26.5:

  • Добавлена поддержка плат Arduino UNO Q (QRB2210), Mekotronics R58S2, NanoPC-T6 LTS Plus, Ariaboard Photonicat 2, EByte ECB41-PGE, NORCO EMB-3531, Cainiao CNIoT-CORE, SpacemiT MUSE Book, EasePi A2/R2, TQ-Systems TQMa8MPxS/TQMa93xxLA, Seeed reComputer и Qidi X.
  • Для платформ sunxi, meson64, rockchip64, rpi4b и uefi edge ядро Linux обновлено до версии 7.0, а для платформ rockchip64 и meson64 - до 7.1-rc.
  • Загрузчик U-Boot обновлён до версии 2026.04 в сборках для плат на базе чипов Rockchip (NanoPC-T6, NanoPi M5/R76S, Rock 5 ITX, Rock 5B Plus, Helios4/64, odroidhc4/n2, xt-q8l-v10).
  • Конфигурации со средой рабочего стола перестроены с использованием настроек в формате YAML и многоуровневой архитектуры в armbian-config. На новую систему конфигурации переведена поддержка пользовательских окружений KDE Plasma, KDE Neon, MATE и i3wm. Расширена поддержка Xfce, MATE, i3, Xmonad, Enlightenment и Cinnamon для архитектур armhf и riscv64. В набор компонентов на среднем уровне добавлены Vulkan и Panthor GPU runtime, а на минимальном - libcamera/v4l и alsa-ucm-conf.
  • Добавлены новые модули с конфигурационными скриптами (Armbian Config Next Generation) для code-server, Dozzle, Wallos, управления ZFS pool, редактирования device tree и управления памятью.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск Armbian 26.2 и DietPi 10.1, дистрибутивов для одноплатных компьютеров
Обсуждение (27 +14) | Тип: Программы |


·31.05 Доступен дистрибутив NixOS 26.05, использующий пакетный менеджер Nix (129 +12)
  Представлен релиз дистрибутива NixOS 26.05, основанного на пакетном менеджере Nix и предоставляющего собственные разработки для упрощения настройки и сопровождения системы. В NixOS вся настройка системы осуществляется через единый файл системной конфигурации configuration.nix. Предоставляются возможности для быстрого отката системы на предыдущую версию конфигурации и переключения между различными состояниями системы. Поддерживается установка индивидуальных пакетов отдельными пользователями и возможность одновременного использования нескольких версий одной программы. Обеспечены воспроизводимые сборки. Для архитектур x86_64 и ARM64 подготовлены установочный образы с графическим окружением (3.7 ГБ) и сокращённым консольным вариантом (1.6 ГБ).

При использовании Nix результат сборки пакетов хранится в отдельном подкаталоге в /nix/store. Например, после сборки пакет firefox может записываться в /nix/store/8onlv1pc3ed6n5nskg6ad4twcfd0d5ae4ed5c4-firefox-151.0.2/, где "8onlv1pc3ed6n5nskg6ad4twcfd0d5ae4ed5c4" является хешем всех его зависимостей и инструкций сборки. Под установкой пакета подразумевается его сборка или скачивание уже собранного (при условии, что он был уже собран на Hydra - сервисе сборки проекта NixOS), а также формирование директории с символическими ссылками на все пакеты в профиле системы или пользователя, с последующим добавлении этой директории в список PATH. Аналогичный подход применяется в пакетном менеджере GNU Guix, который основан на наработках Nix. Коллекция пакетов представлена в специальном репозитории Nixpkgs.

Основные новшества:

  • Добавлено 20442 пакета, удалено 17532 пакета, обновлено 20641 пакетов. Добавлено 85 новых модулей и 1547 опций конфигурации, удалено 355 опций и 25 модулей. В разработке и сопровождении пакетов приняли участие 2842 разработчика, подготовивших 59703 изменения.
  • Среди новых модулей: OpenThread Border Router, knot-resolver, LibreChat, DankMaterialShell, mangowc, Tailscale, udp-over-tcp, turborepo-remote-cache, ReFrame, LogiOps.
  • Содержимое начального RAM-диска (initrd) переведно по умолчанию на использование системного менеджера systemd. Поддержка старой реализации на базе shell-скриптов объявлена устаревшей и будет удалена в выпуске NixOS 26.11.
  • Платформа x86_64-darwin, которая перестала использоваться компанией Apple, объявлена устаревшей. Сопровождение и сборка бинарных пакетов для данной платформы будет осуществляться до конца года.
  • Набор компиляторов GCC обновлён до ветки 15. Инструментарий LLVM остаётся на версии 21. Стандартная библиотека glibc обновлена до версии 2.42.
  • Среда рабочего стола GNOME обновлена до ветки 50, в которой удалён код для поддержки X11, переработан интерфейс родительского контроля, улучшена поддержка нецелых уровней масштабирования и механизма VRR (Variable Refresh Rate), реализована поддержка Wayland-протокола color-management-v2 для управления цветом.
  • Среда рабочего стола Budgie обновлена до версии 10.10, переведённой на Wayland.
  • По умолчанию предложено ядро Linux 6.18 (было 6.12). Из-за отсутствия сопровождающих прекращена поставка варианта ядра linux-rt.
  • Добавлен файл system.nix, позволяющий сконфигурировать NixOS без использования nix-channel.
  • Реализация D-Bus переведена с dbus на более высокопроизводительный и стабильный пакет dbus-broker.
  • В Nixpkgs прекращена поддержка ФС Reiserfs и ecryptfs.

  1. Главная ссылка к новости
  2. OpenNews: Уязвимости в Nix и Lix, позволяющие поднять привилегии в системе
  3. OpenNews: Доступен пакетный менеджер GNU Guix 1.5 и дистрибутив на его основе
  4. OpenNews: Доступен дистрибутив NixOS 25.11, использующий пакетный менеджер Nix
  5. OpenNews: Отставка команды модераторов NixOS из-за разногласий с управляющим комитетом
  6. OpenNews: Мейнтейнеры NixOS отказались поддерживать XLibre
Обсуждение (129 +12) | Тип: Программы |


Следующая страница (раньше) >>



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2026 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру