Исследователи безопасности из компании Binarly выявили возможность обхода режима верифицированной загрузки UEFI Secure Boot на более чем 800 продуктах, выпущенных компаниями Acer, Dell, Fujitsu, Gigabyte, HP, Intel, Lenovo и Supermicro. Проблема получила кодовое имя PKfail и связана с использованием в прошивках не заслуживающего доверия ключа платформы (PK, Platform Key), сгенерированного компанией AMI (American Megatrends International) и поставляемого в качестве тестового примера. Наиболее старые прошивки, в которых использовался тестовый ключ, выпущены в 2012 году, а самые новые датированы июнем 2024 года. По данным исследователей проблеме подвержены более 10% всех проверенных прошивок.
Представлен релиз дистрибутива Linux Mint 22, перешедший на пакетную базу Ubuntu 24.04 LTS. Дистрибутив полностью совместим с Ubuntu, но существенно отличается подходом к организации интерфейса пользователя и подбором используемых по умолчанию приложений. Разработчики Linux Mint предоставляют десктоп-окружение, соответствующее классическим канонам организации рабочего стола, которое является более привычным для пользователей, не принимающих новые методы построения интерфейса GNOME 3. Для загрузки доступны DVD-сборки на базе оболочек MATE 1.26 (3 ГБ), Cinnamon (3 ГБ) и Xfce (3 ГБ). Linux Mint 22 отнесён к выпускам с длительным сроком поддержки (LTS), обновления для которого будут формироваться до 2029 года.
В кодовую базу JavaScript-платформы Node.js принято изменение, добавляющее возможность выполнения файлов с кодом на языке программирования TypeScript. Поддержка языка TypeScript включается при помощи опции "--experimental-strip-types" и сводится к очистке специфичных для данного языка определений типов, т.е. преобразованию перед выполнением исходного кода в JavaScript. Не связанные с описанием типов возможности TypeScript, такие как пространства имён, декораторы, свойства параметров и перечисляемые типы (enum), пока не поддерживаются. Протестировать новую возможность можно воспользовавшись сегодняшними ночными сборками Node.js 23.
Компания Truffle Security опубликовала сценарии атак на несколько типовых приёмов работы с репозиториями на GitHub, позволяющие извлечь данные из удалённых репозиториев, у которых имеются публичные форки или которые были созданы как форки.
Разработчики криптографической библиотеки OpenSSL объявили о полном преобразовании структуры и методов управления проектом. Для поддержания миссии проекта созданы два равноправных подразделения - некоммерческая организация OpenSSL Foundation и коммерческая компания OpenSSL Corporation, сфокусированные на интересах некоммерческого сообщества и коммерческих предприятий. Оба подразделения функционируют полностью независимо и имеют раздельные процессы принятия решений.
После двух с половиной лет разработки консорциум ISC представил первый стабильный релиз новой значительной ветки DNS-сервера BIND 9.20, который вобрал в себя изменения, развивавшиеся в экспериментальной ветке BIND 9.19. Поддержка ветки 9.20 будет осуществляться в рамках расширенного цикла сопровождения до первого квартала 2028 года. Поддержка ветки 9.18 прекратится во 2 квартале 2025 года. Для развития функциональности следующей стабильной версии BIND будет сформирована экспериментальная ветка BIND 9.21.0. Код проекта написан на языке Си и распространяется под лицензией MPL 2.0.
После двух с половиной лет разработки опубликован выпуск hostapd/wpa_supplicant 2.11, набора для обеспечения работы беспроводных протоколов IEEE 802.1X, WPA, WPA2, WPA3 и EAP. В состав набора входит приложение wpa_supplicant для подключения к беспроводной сети в роли клиента и фоновый процесс hostapd для обеспечения работы точки доступа и сервера аутентификации, включающего такие компоненты как WPA Authenticator, клиент/сервер аутентификации RADIUS, сервер EAP. Исходные тексты проекта распространяются под лицензией BSD.
Вице-президент Google, курирующий проект Privacy Sandbox, объявил об отмене плана по отключению в браузере Chrome поддержки сторонних Cookie, выставляемых при обращении к доменам, отличающимся от домена текущей страницы. Сторонние Cookie применяются для отслеживания перемещений пользователя между сайтами в коде рекламных сетей, виджетов социальных сетей и систем web-аналитики. Вместо полного отказа от сторонних Cookie в Chrome намерены реализовать новый интерфейс, дающий возможность пользователю принять самостоятельное решение по блокированию подобных Cookie, и в любой момент включить или отключить блокировку. Детали реализации пока не раскрываются, как не поясняется и отличие от уже существующей в настройках chrome://settings/cookies опции "Блокировать сторонние файлы cookie".
После шести месяцев разработки опубликован релиз системной библиотеки GNU C Library (glibc) 2.40, которая полностью следует требованиям стандартов ISO C11 и POSIX.1-2017. В состав нового выпуска включены исправления от 68 разработчиков.
Управляющий совет организации GNOME Foundation исключил Сонни Пирса (Sonny Piers) из совета директоров и всех комитетов GNOME, а также заблокировал его учётную запись на GitLab и Discourse проекта GNOME. Сонни был отстранён ещё в мае, но объявлено об этом только сейчас. Решение об исключении было принято на закрытом заседании, без публикации протокола голосования и без раскрытия предшествующего голосованию обсуждения, а также без информирования сообщества и без пояснения причин. Формально в качестве причины указано поступление жалобы на нарушение кодекса поведения, но это лишь общая формулировка, ничего не говорящая о сути возникших проблем.
Организация Blender Foundation опубликовала выпуск свободного пакета 3D-моделирования Blender 4.2, подходящего для решения различных задач, связанных с 3D-моделированием, 3D-графикой, разработкой компьютерных игр, симуляцией, рендерингом, композитингом, трекингом движений, скульптурным моделированием, созданием анимации и монтажом видео. Код распространяется под лицензией GPL. Готовые сборки сформированы для Linux, Windows и macOS. Выпуск получил статус релиза с расширенным сроком поддержки (LTS) и будет поддерживаться до июля 2026 года. Также продолжают поддерживаться LTS-ветки Blender 3.3 и 3.6, обновления для которых будут формироваться до сентября 2024 года и июня 2025 года.
Проект OpenMandriva опубликовал релиз OpenMandriva ROME 24.07, редакции дистрибутива OpenMandriva, использующей модель непрерывной доставки обновлений (rolling-выпуски). Предложенная редакция позволяет получить доступ к новым версиям пакетов, развиваемым для ветки OpenMandriva Lx 6, не дожидаясь формирования классического дистрибутива. Для загрузки подготовлены iso-образы размером 2.1-3.4 ГБ c рабочими столами KDE, GNOME и LXQt, поддерживающие загрузку в Live-режиме. Сборки для KDE и LXQt подготовлены в вариантах x86_64 и "znver1" (сборка, оптимизированная для процессоров AMD Ryzen, ThreadRipper и EPYC). Сборки с KDE поставляются в вариантах с Plasma 6 X11, Plasma 6 Wayland и Plasma 5. В ближайшее время планируется опубликовать сборки для плат на базе архитектуры ARM64.
Компания Cloudflare опубликовала статистику о характере трафика, обработанного системой доставки контента с 1 апреля 2023 года по 31 марта 2024 года. За год доля сомнительного, вредоносного или мусорного HTTP-трафика, который был блокирован или перенаправлен на проверочные страницы для отсеивания ботов (JavaScript-проверка или капча), увеличилась с 6% до 6.8% в среднем за год. Пиковые значения подобного трафика достигали 12% в определённые дни.
Инженеры из компании NVIDIA опубликовали заметку, резюмирующую планы в отношении перевода проприетарных драйверов NVIDIA на использование по умолчанию открытых модулей ядра Linux для GPU, начиная с микроархитектуры Turing (GeForce GTX 1600 и RTX 2000). Используемые в драйверах NVIDIA модули для ядра Linux были открыты весной 2022 года под лицензиями MIT и GPLv2, а план по использованию их по умолчанию был анонсирован два месяца назад. Речь только о переключении основного пакета драйверов по умолчанию на уже существующие открытые модули, которые ранее поставлялись в качестве опции. Предоставляющие основную функциональность прошивки и компоненты, работающие в пространстве пользователя, такие как библиотеки для CUDA, OpenGL и Vulkan, остаются проприетарными.
Группа исследователей из канадских и американских университетов разработала технику атаки Port Shadow, позволяющую через манипуляцию с таблицами трансляции адресов на стороне VPN-сервера добиться отправки ответа на запрос другому пользователю, подключённому к тому же VPN-серверу. Метод может быть использован для организации перехвата или перенаправления шифрованного трафика, проведения сканирования портов и деанонимизации пользователей VPN. В качестве примера показано как можно использовать метод для перенаправления на хост атакующего DNS-запросов пользователя, работающего через VPN-сервер, к которому в качестве клиента имеет возможность подключиться атакующий.