По прогнозам, пик метеорного потока Леонид придётся на 18 ноября. Метеорный поток можно наблюдать из большинства мест земного шара, а в этом году условия для наблюдения будут особенно хорошими, так как почти не будет лунной засветки.

В течение нескольких часов после полуночи и ранним утром субботы наблюдатели могут ожидать увидеть около 10-15 метеоров в час.

Этот метеорный поток возникает, когда Земля проходит через пыль, оставшуюся после кометы Темпеля-Туттля, и небольшие обломки размером примерно с горошину сгорают в нашей атмосфере.

Леониды — один из самых быстрых метеорных потоков, с которыми мы сталкиваемся на Земле: фрагменты космической пыли врезаются в нашу атмосферу со скоростью 71 км в секунду.

Метеорный поток Леонид 1997 года, вид из космоса.

Метеорный поток Леонид знаменит ещё и тем, что в прошлом он вызывал метеорные бури, когда в небе проносилось беспрецедентное количество комет.

В 1966 году это было невероятное зрелище: жители юго-запада США сообщали, что видели до 3 000 метеоров в минуту.

Однако такие метеоритные бури случаются примерно раз в 33 года — именно столько времени требуется комете, чтобы завершить орбиту вокруг Солнца — и, по прогнозам, ещё одна такая буря повторится только в 2032 году.

Для наблюдения лучше всего уехать за город, подальше от фонарей и магазинов, и дать глазам время адаптироваться. Будет казаться, что Леониды исходят из созвездия Льва, но полосы от них должны пройти по всему небу.

>>> Подробности

Антон Горелкин, заместитель главы комитета Госдумы по информационной политике, внёс на рассмотрение палаты законопроект, предусматривающий продление до 1 января 2025 года возможности авторизации и регистрации на российских сайтах при помощи зарубежных сервисов и электронной почты, сообщает ТАСС.

Согласно принятому в июле этого года законопроекту с 1 декабря 2023 года в Рунете планируется добровольно (без штрафов и санкций) ограничить регистрацию на российских сайтах с использованием иностранных электронных почтовых сервисов и зарубежных номеров телефонов (законопроект №570420-7). Согласно тексту проекта, для регистрации на сайтах в Рунете пользователи должны будут предоставить в качестве легального способа регистрации номер телефона российского оператора связи, данные для входа через единый портал «Госуслуг» (ЕСИА), личные данные через Единую биометрическую систему (ЕБС) и иную информсистему, обеспечивающую авторизацию пользователей сайтов и владельцем которой является гражданин РФ, не имеющий гражданства другого государства, или российское юрлицо с иностранным владением менее 50%.

Как указал Антон Горелкин, решение о переносе было принято после череды консультаций и совещаний с отраслью. «Выяснилось, что сроки нужно продлить — иначе не будет гарантии стабильного функционирования платформ, что поставит под угрозу комфорт российских пользователей», — указал Горелкин.

>>> Подробности

Тэвис Орманди (Tavis Ormandy), исследователь безопасности из компании Google, выявил новую уязвимость (CVE-2023-23583) в процессорах Intel, получившую кодовое имя Reptar и в основном представляющую опасность для облачных систем, в которых выполняются виртуальные машины разных пользователей. Уязвимость позволяет вызвать зависание или аварийную остановку работы системы при выполнении в непривилегированных гостевых системах определённых операций. Для тестирования своих систем опубликована утилита, создающая условия для проявления уязвимости.

Исследователи Центра Гельмгольца по информационной безопасности (CISPA) опубликовали новый метод атаки CacheWarp, позволяющий скомпрометировать механизм защиты AMD SEV (Secure Encrypted Virtualization), применяемый в системах виртуализации для защиты виртуальных машин от вмешательства со стороны гипервизора или администратора хост-системы. Предложенный метод позволяет злоумышленнику, имеющему доступ к гипервизору, добиться выполнения стороннего кода и повышения привилегий в виртуальной машине, защищённой при помощи AMD SEV.

( читать дальше... )

>>> Подробности

В Минцифры пояснили, что в РФ будут блокироваться конкретные VPN-сервисы и VPN-протоколы, которые определены экспертной комиссией ведомства как угроза безопасности функционирования интернета. Регулятор не публикует в открытом доступе список этих фильтруемых ресурсов и протоколов.

«На основании решения экспертной комиссии, предусмотренной пунктом 10 правил, может осуществляться фильтрация конкретных VPN-сервисов и VPN-протоколов на мобильной сети связи для зарубежного трафика, которые определены как угроза», — уточнили в Минцифры.

( читать дальше... )

>>> Подробности

Европейское космическое агентство представило первые изображения, полученные с космического телескопа «Евклид». Пять полноцветных снимков подтверждают, что телескоп готов приступить к созданию самой обширной трёхмерной карты Вселенной.

( читать дальше... )

>>> Подробности

6 ноября 2023 года вышла тестовая версия подсистемы инициализации и управления службами в Linux systemd v255-rc1, где добавлен компонент systemd-bsod, который обеспечивает поддержку ВSOD («синего экрана смерти») в Linux.

Новая утилита systemd-bsod позволяет выводить предупреждения (зарегистрированные сообщения об ошибках из журнала LOG_EMERG) в виде белых букв на синем фоне в полноэкранном режиме и QR-код с ошибкой, если загрузка компонентов Linux завершилась отказом.

Это добавление показа bsod в systemd было разработано в рамках обсуждения и внедрения улучшений взаимодействия с пользователем при ранних сбоях загрузки системы под названием Outreachy 2023.

Синий экран смерти как таковой впервые появился в Windows 95. Его вызывал различный сбой в работе системы. Пользователи сами могли его вызвать, если открывали дисковод во время чтения диска системой или изменяли разрешения экрана и потом перезагружались.

>>> Подробности

…по повышению безопасности в С++

Решение Бьярне Струструпа по повышению безопасности в С++ опирается на концепцию «профилей». Это наборы правил, при соблюдении которых достигаются определенные гарантии безопасности. Профили будут определены в стандарте ISO C++ и будут касаться таких распространенных проблем безопасности, как указатели, диапазоны массивов и т.д.

Идея заключается в том, чтобы использовать сам компилятор языка Си++ в качестве сложного статического анализатора, которому можно поручить выполнение требований профиля. Например, если профиль ориентирован на безопасность памяти, то компилятор может применять правила, предотвращающие такие распространенные ошибки, связанные с памятью, как переполнение буфера или разыменование нулевого указателя.

Струструп подчеркивает, что эти профили не должны создавать значительных накладных расходов во время выполнения. Основное внимание уделяется тому, что может быть сделано во время компиляции с помощью статического анализа, который не только практически не имеет оверхеда, но иногда даже может повысить производительность. Цель состоит в том, чтобы сделать проверки безопасности как можно более эффективными, опираясь на локальный статический анализ, а не на ресурсозатратный глобальный статический анализ.

Профили разработаны таким образом, чтобы быть гибкими. Они могут применяться к различным фрагментам кода, обеспечивая постепенный переход от старого, менее безопасного кода к современному, более безопасному. Это облегчает модернизацию существующих кодовых баз с применением улучшенных мер безопасности без их полного переписывания.

Струструп также отметил, что сообщество может внести свой вклад в доработку этих профилей и формализацию их спецификаций. Для этого он создал репозиторий на GitHub.

>>> Подробности

Редакция издания Hothardware опубликовала результаты первых тестов нового процессора на базе arm, который компания Qualcomm представила На прошедшем мероприятии Snapdragon Summit.

Речь идет о новом 64-битном 12-ядерном процессоре Snapdragon X Elite с ядрами Oryon для Windows ПК, разработанном на основе технологий стартапа NUVIA, купленного Qualcomm ранее. Процессор показал выдающуюся производительность, превзойдя большинство современных платформ от Intel, AMD и Apple в различных аспектах, включая энергоэффективность.

Snapdragon X Elite, изготовленный по 4-нм техпроцессу, может работать на частотах до 3,8 ГГц, и автоматически разгоняться до 4,3 ГГц. Общий объем кеш-памяти L2 и L3 составляет 42 Мбайт, и процессор поддерживает память LPDDR5X-8533 и накопители стандарта PCIe 4.0.

Графический процессор Adreno в составе Snapdragon X Elite является самым мощным среди разработанных Qualcomm и обеспечивает производительность до 4,6 Тфлопс, поддерживая 4K-дисплеи с частотой обновления 120 Гц и HDR10. Кроме того, чип оснащен нейронным сопроцессором Hexagon для выполнения задач машинного обучения с производительностью до 45 TOPS.

( читать дальше... )

>>> Подробности

Китайская компания Semiconductor Manufacturing International Corp. использовала оборудование голландской ASML для производства чипов 7 нм. При этом, по информации Bloomberg, SMIC не получила доступ к передовому EUV-оборудованию, а модифицировала старое оборудование для DUV-литографии. Тем не менее, новый чип, попавший в смартфон Huawei Mate 60 Pro, «насторожил США», которые объявили о введении новых санкций.

Американские власти совместно с Японией и Нидерландами много лет пытаются перекрыть Китаю доступ к передовым полупроводниковым технологиям. Несмотря на ограничения, Huawei в конце августа выпустила смартфон Mate 60 Pro с 5G и 7 нм процессором HiSilicon Kirin 9000S. Компания TechInsights разобрала смартфон и выяснила, что чип внутри него разработала SMIC, продемонстрировав производственные возможности, выходящие за рамки санкций США.

Как утверждают источники Bloomberg, для изготовления чипа SMIC использовала модифицированное оборудование для фотолитографии в глубоком ультрафиолете (Deep ultraviolet lithography, DUV), выпущенное голландской компанией ASML, а также инструменты других компаний.

ASML доминирует на рынке производства оборудования для фотолитографии. Её новейшие системы фотолитографии в сверхжёстком ультрафиолете (Extreme ultraviolet lithography, EUV) играют ключевую роль в производстве самых передовых чипов. Из-за экспортных ограничений у ASML нет права продавать EUV-машины в Китай, однако источники издания предполагают, что китайские предприятия модернизируют старые DUV-модели для производства 7-нанометровых и, возможно, даже более совершенных чипов.

Это очень дорогой процесс, намного затратнее, чем использование EUV-оборудования, однако китайское правительство берёт на себя значительную часть затрат компаний на производство чипов. Из-за этого китайские производители чипов стараются накапливать запасы DUV-оборудования, особенно после того, как к санкциям США присоединились Япония и Нидерланды.

Давление со стороны США подтолкнуло правительство Нидерландов прошлым летом объявить о планах запретить компании ASML поставлять в Китай часть своего DUV-оборудования без специальной лицензии. Пока ASML ещё может экспортировать эту продукцию в Китай, но с января поставки будут запрещены.

В октябре власти США ещё больше ужесточили экспорт DUV-оборудования, введя одностороннее право de minimis, предполагающее контроль продажи опредёленных литографических машин иностранного производства, содержащих любое количество американских материалов. На прошлой неделе генеральный директор ASML Питер Веннинк сообщил инвесторам, что новые санкции США и Нидерландов вместе срежут продажи компании в Китае на 15%.

>>> Подробности

В России ведётся разработка обучающей платформы для системных программистов - БМПОС (Базовая Модульная Платформа Операционных Систем), которая задумана и создаётся как обучающее пособие по разработке операционных систем с развитой теоретической и практической базой. В рамках проекта развивается модульное ядро, которое фундаментально отличается от существующих ядер и спроектировано специально для изучения процесса разработки операционных систем. Код ОС написан на языке Си и распространяется под MIT-подобной лицензией ГОЛ (Государственная Открытая Лицензия, в настоящий момент организациями GNU и OSI не была проведена экспертная оценка на предмет соответствия данной лицензии определениям Свободного ПО или Open Source).

Разработка нацелена на получение обучающимися знаний по минимально необходимой кодовой базе, формирование навыков постройки простой и понятной архитектуры и максимального упрощения кода. ОС имеет небольшой размер бинарных файлов, что способствует достижению высокой надёжности и упрощению процессов сборки и тестирования.

Проект не ставит перед собой цели использования вне виртуальных машин. Поддерживается только модульная сборка со встраиваемыми на этапе компиляции модулями. В феврале следующего года планируется полноценный релиз платформы с полным набором драйверов, включая гостевые расширения QEMU и VirtualBox.

В первом тестовом выпуске ядра доступен менеджер памяти, менеджер видеопамяти и загрузчик модулей. Реализована поддержка экранов TGA. Добавлены инструкции по сборке и запуску. Продолжается работа над менеджером задач и системой потоков ввода-вывода. В ближайших планах создание драйверов для клавиатуры, SATA (ACHI) и ФС EXT2.

>>> Подробности

Компания Google приступила к реализации в браузере Chrome функции IP Protection, предназначенной для скрытия IP-адреса пользователя от владельцев сайтов. Новая возможность может использоваться в качестве встроенного анонимайзера, нацеленного прежде всего на предотвращение отслеживания перемещений, но, среди прочего, пригодного и для обхода блокировок, реализованных как на стороне сайтов, так и на уровне операторов связи.

Технически предложенная возможность реализована через отправки трафика не на прямую, а через прокси-сервер, перенаправляющий запрос на целевой сервер, который видит в качестве входящего IP-адреса только адрес прокси, по аналогии с использованием VPN. Для анонимизации запроса предусмотрена возможность проброса запроса последовательно через несколько прокси. В этом случае информация об IP-адресе клиента будет известна только первому прокси, а второй прокси в цепочке будет видеть адрес первого прокси.

Google планирует протестировать режим защиты IP-адресов на небольшом проценте пользователей в одном из будущих выпусков Chrome (c 119 по 125). На первом этапе в тестировании будет задействован только один прокси-сервер, принадлежащий Google, и скрытие будет включено только для доменов и рекламных сетей Google. Данный этап будет предложен для систем с IP-адресами из США и охватит не более 33% пользователей экспериментальных выпусков Chrome.

На второй фазе тестирования планируют ввести в строй конфигурацию из двух уровней прокси: вначале соединение будет направляться из браузера через шифрованный туннель к прокси, принадлежащий Google, а затем направляться на второй прокси, принадлежащий компании, не связанной с Google. Туннелирование трафика будет организовано так, что первый прокси, который видит IP-адрес пользователя, не будет видеть параметры запроса и не сможет определить целевой хост, к которому адресовано обращение пользователя. Второй же прокси сможет определить данные о целевом хосте, но не будет видеть IP-адрес пользователя. Т.е. прокси будут видеть сведения либо об адресе пользователя, либо о целевом сайте, что не позволит на стороне прокси связать пользователя с запрошенным сайтом.

Трафик будет направляться на прокси с использованием методов CONNECT и CONNECT-UDP и созданием туннеля на базе протокола TLS, обеспечивающем сквозное шифрование. Для предотвращения злоупотреблений доступ к первому прокси, контролируемому Google, будет производиться при помощи криптографического токена, который будет генерироваться сервером аутентификации Google при подключении Chrome к учётной записи пользователя в Google (без аутентификации в Chrome доступ к прокси будет закрыт). К токену также будут привязаны ограничения трафика, которые затруднят пробрасывание трафика через прокси серверы во вредоносных целях.

Режим скрытия IP-адресов по умолчанию будет отключён и сможет быть активирован по желанию пользователя. Скрытие адресов планируют применять не для всех сайтов, а только для отдельно сформированного списка доменов, которые уличены в отслеживании перемещений пользователей. Привязка к списку позволит избежать нежелательных изменений, нарушающих поведение сайтов и приводящих к проблемам c определением местоположения, разделением пользователей и учётом трафика (например, блокировка нарушителя на сайте может оказаться применённой ко всем пользователям, перенаправляемым через прокси).

Для решения проблем с привязкой к местоположению, которая может использоваться на сайте для выполнения требований локальных законодательств и выбора параметров локализации, предлагается использовать прокси второго уровня в той же стране или даже городе, что и пользователь (в конечном счёте планируется развернуть широкую сеть из прокси-серверов второго звена, построенную в сотрудничестве с разными провайдерами и сетями доставки контента).

Разработчики движка WebKit развивают для браузера Safari похожую функциональность Intelligent Tracking Protection, которая пока ограничена экспериментами с одним прокси, но в дальнейшем будет переведена на использование модели с двумя независимыми уровнями прокси-серверов.

>>> Подробности

20 октября 2023 года администратор jabber.ru (xmpp.ru) сообщил о выявлении атаки по расшифровке трафика пользователей (MITM), проводимой в течение нескольких месяцев в сетях немецких хостинг-провайдеров Hetzner и Linode. На этих IT-ресурсах размещён сервер проекта и вспомогательные VPS-окружения. Атака была организована через перенаправление трафика на транзитный узел, подменяющий TLS-сертификат для XMPP-соединений, шифруемых с использованием расширения STARTTLS.

Неизвестные участники этой атаки выпустили отдельный SSL сертификат и проксировали коннекты к TCP:5222.

( читать дальше... )

>>> Подробности

Антимонопольная борьба руководства Евросоюза против американской корпорации Google способствовала росту популярности российской поисковой системы «Яндекс» в европейских странах.

По данным агентства Bloomberg, это произошло из-за того, что подвергшаяся ограничениям Google была вынуждена дать пользователям смартфонов с операционной системой Android в 23 странах ЕС возможность пользоваться приложениями других поисковых систем.

Согласно статистике сайта ОС Android, которую приводит Bloomberg, «Яндекс» вошел в пятерку самых популярных поисковиков в Германии, Италии, Чехии, Дании и других странах.

>>> Подробности

Банк разослал всем клиентам следующее сообщение:

Скачайте новое приложение для iOS

Рекомендуем сделать это прямо сейчас

Выпустили наше новое приложение для iPhone — его можно скачать в App Store. Оно называется DocStorage.
DocStorage позиционируется как сервис для хранения документов, но после скачивания и авторизации откроется наше привычное приложение.

Приложение могут удалить в любой момент, поэтому не откладывайте и установите его сейчас.
Как минимум — на всякий случай, как максимум — чтобы пользоваться новыми функциями, получать мгновенные уведомления, управлять картами, вкладами и бонусами, оплачивать счета и переводить деньги.

Пожалуйста, не оставляйте отзывы в App Store. Если у вас есть замечания по работе приложения, напишите нам или позвоните — мы обязательно разберемся.

>>> Подробности

Сегодня проект NetBSD объявил о том, что их последний релиз добавил официальную поддержку сырных бутербродов. «NetBSD известна тем, что работает на аппаратном обеспечении с ограниченными ресурсами, которое просто не может справиться с другими UNIX-подобными операционными системами,» заявил Фердинанд Амальда, руководитель проекта NetBSD. «И ничто так не символизирует ограниченные ресурсы, как сырный бутерброд.»

Амальда продолжил: «Но только NetBSD может запустить полноценный сервер Apache на жареном сырном бутерброде. Не то чтобы это было соревнование… но на скольких типах обеденной еды может работать Linux?» В последнем релизе NetBSD сырные бутерброды были переведены в категорию официально поддерживаемых платформ, включая поддержку как жареных, так и холодных вариантов, а также различных периферийных устройств, таких как майонез, ветчина, оба вида хлеба - кислый и белый, и томатный суп.

Новость была встречена с быстрыми похвалами от сообщества разработчиков. Один инженер заявил: «Здорово видеть, что NetBSD наконец-то может работать на сырных бутербродах в производственной среде. Учитывая текущие проблемы с поставками Raspberry Pi и других одноплатных компьютеров, жареные сырные бутерброды являются наиболее логичной и вкусной заменой для встроенных, критически важных систем.»

Однако не все были довольны. Представители «Коалиции по вычислениям на мясных булочках» обвинили проект NetBSD в «мягкой бутербродной предвзятости» и «поддержке от большого молочного бизнеса».

>>> Подробности

Недавно группа ученых из Принстонского университета, EleutherAI и Университета Торонто представила миру LLEMMA — языковую модель нового поколения, специализирующуюся на математике. Этот проект стал результатом работы с уникальным набором данных, Proof-Pile-2, в котором собраны научные статьи, програмные реализации математических методов и другие материалы. И самое интересное: LLEMMA превзошла все ожидания, показав впечатляющие результаты на тесте MATH.

( читать дальше... )

>>> Подробности

Представлен выпуск свободной UNIX-подобной операционной системы OpenBSD 7.4. Проект OpenBSD был основан Тэо де Раадтом (Theo de Raadt) в 1995 году после конфликта с разработчиками NetBSD, в результате которого для Тэо был закрыт доступ к CVS репозиторию NetBSD. После этого Тэо де Раадт с группой единомышленников создал на базе дерева исходных текстов NetBSD новую открытую операционную систему, главными целями развития которой стали переносимость (поддерживается 13 аппаратных платформ), стандартизация, корректная работа, проактивная безопасность и интегрированные криптографические средства. Размер полного установочного ISO-образа базовой системы OpenBSD 7.4 составляет 630 МБ.

Кроме непосредственно операционной системы, проект OpenBSD известен своими компонентами, которые получили распространение в других системах и зарекомендовали себя как одни из наиболее безопасных и качественных решений. Среди них: LibreSSL (форк OpenSSL), OpenSSH, пакетный фильтр PF, демоны маршрутизации OpenBGPD и OpenOSPFD, NTP-сервер OpenNTPD, почтовый сервер OpenSMTPD, мультиплексор текстового терминала (аналог GNU screen) tmux, демон identd с реализацией протокола IDENT, BSDL-альтернатива пакету GNU groff - mandoc, протокол для организации отказоустойчивых систем CARP (Common Address Redundancy Protocol), легковесный http-сервер, утилита синхронизации файлов OpenRSYNC.

Основные улучшения:

• Для архитектур amd64 и i386 добавлены компоненты для обновления микрокода к процессорам AMD. Новые версии микрокода устанавливаются автоматически при загрузке. Для распространения бинарных файлов с микрокодом подготовлен порт «ports/sysutils/firmware/amd». Установка нового микрокода осуществляется при помощи штатной утилиты fw_update. Аналогичная поддержка обновления микрокода для процессоров Intel была реализована в 2018 году и предложена в выпуске OpenBSD 6.3.
• Для ядра и пространства пользователя включены механизмы защиты IBT (Indirect Branch Tracking, amd64) и BTI (Branch Target Identification, arm64), предназначенные для блокирования нарушения нормального порядка выполнения (control flow) в результате применения эксплоитов, изменяющих хранимые в памяти указатели на функции (реализованная защита не позволяет вредоносному коду выполнить переход на середину функции).
• На системах с архитектурой arm64 для защиты пространства пользователя включена аутентификация указателей (Pointer Authentication). Технология позволяет использовать специализированные инструкции ARM64 для проверки адресов возврата при помощи цифровых подписей, которые хранятся в неиспользуемых верхних битах самого указателя.
• Настройки системного компилятора clang, а также clang и gcc из портов, изменены для применения вышеотмеченных механизмов защиты, что значительно усилило защиту всех базовых приложений и большинства приложений из портов от эксплоитов, использующих методы возвратно-ориентированного программирования (ROP - Return-Oriented Programming). При использовании техники ROP атакующий не пытается разместить свой код в памяти, а оперирует уже имеющимися в загруженных библиотеках кусками машинных инструкций, завершающихся инструкцией возврата управления (как правило, это окончания библиотечных функций). Работа эксплоита сводится к построению цепочки вызовов подобных блоков («гаджетов») для получения нужной функциональности.
• Добавлен новый системный вызов kqueue1, который отличается от kqueue передачей флагов. В настоящее время в kqueue1 поддерживается только флаг O_CLOEXEC (close-on-exec) для автоматического закрытия файловых дескрипторов в дочернем процессе после вызова exec().
• Для архитектур amd64 и i386 реализована поддержка псевдоустройства dt для организации динамической трассировки системы и приложений. Для вставки пользовательских записей в лог ktrace добавлен системный вызов utrace.
• Из FreeBSD перенесены исправления, устраняющие неопределённое поведение при использовании файловых систем MS-DOS.
• Отключена опция монтирования softdep, применяемая для отложенной сгруппированной записи метаданных.
• Программам, защищённым при помощи системного вызова unveil, разрешено сохранение core-дампов в текущий рабочий каталог.
• Для архитектуры ARM64 задействована возможность перехода в глубокие состояния неактивности (idle), доступные в чипах Apple M1/M2, для экономии энергии и реализации ждущего режима.
• Добавлена обходная защита от уязвимости Zenbleed в процессорах AMD.
• Усовершенствована поддержка многопроцессорных систем (SMP). Избавлены от блокировок функция arprequest(), код обработки входных ARP-пакетов и реализация определения соседних узлов в стеке IPv6.
• Интерфейс синхронизации таблиц пакетного фильтра pfsync переписан для улучшения работы с блокировками и совместимости с будущей работой по распараллеливанию сетевого стека.
• Реализация фреймворка drm (Direct Rendering Manager) синхронизирована с ядром Linux 6.1.55 (в прошлом выпуске - 6.1.15). Улучшена работа на системах с процессорами Intel на базе микроархитектур Alder Lake и Raptor Lake.
• Внесены улучшения в гипервизор VMM. В vmd реализована поддержка многопроцессной модели для блочных и сетевых virtio-устройств. В блочное virtio-устройство добавлена поддержка векторного ввода/вывода в режиме zero-copy. Ограничен доступ гостевых систем к режимам p-state процессоров AMD. Владельцам виртуальных машин разрешено через vmctl переопределять загружаемое ядро.
• Добавлен новый заголовочный файл uchar.h с типами char32_t и char16_t, и функциями c32rtomb(), mbrtoc32(), c16rtomb() и mbrtoc16(), определёнными в стандарте C11.
• В функцию malloc добавлена опция «D» для определения утечек памяти при помощи ktrace («MALLOC_OPTIONS=D ktrace -tu program») и kdump («kdump -u malloc …»).
• В утилиту make добавлена поддержка переменной ${.VARIABLES} для вывода имён всех выставленных глобальных переменных.
• В утилиту kdump добавлена опция «-u» для выбора точек трассировки utrace по заданной метке.
• В утилиту openrsync добавлены опции «–size-only» и «–ignore-times».
• В cron и crontab добавлена поддержка случайных смещений при указании диапазонов значений с заданным шагом, что позволяет избежать одновременного запроса ресурса с разных машин, имеющих одинаковые правила в cron. Например, указание «0~59/30» или «~/30» в поле с минутами приведёт к запуску команды два раза в час через последовательные случайно выбранные интервалы.
• В утилиту wsconsctl добавлена возможность маппинга кнопок для нажатий двумя или тремя пальцами на кликпаде.
• Добавлена поддержка нового оборудования и включены в состав новые драйверы.
• Улучшена установка на системы с процессорами armv7 и arm64.
• Добавлена поддержка загрузки файлов из системного раздела EFI (EFI System Partition).
• В инсталляторе улучшена поддержка программных RAID (softraid). Добавлена возможность размещения корневого раздела в softraid на системах riscv64 и arm64. Softraid добавлен в ramdisk для архитектуры powerpc64. Для arm64 реализована поддержка шифрования дисков (Guided Disk Encryption).
• В функцию malloc добавлена проверка всех блоков в списке отложенного освобождения памяти для выявления ситуаций записи в освобождённую область памяти.
• Для выполнения команды shutdown теперь требуется добавление пользователя в группу «_shutdown», что позволяет разделить полномочия, связанные с завершением работы и прямого чтения с дисковых устройств.
• При помощи системного вызова unveil утилита patch ограничена доступом только к текущему каталогу, каталогу со временными файлами и файлам, перечисленным в командной строке.
• Добавлен sysctl net.inet6.icmp6.nd6_queued для показа числа пакетов, ожидающих ответа ND6 (по аналогии с ARP).
• При настройки адреса IPv6 на сетевом интерфейсе обеспечена отправка анонса соседним маршрутизаторам по мультикаст адресу.
• Добавлена начальная поддержка TSO (TCP Segmentation Offload) и LRO (TCP Large Receive Offload) для обработки сегментов и объединения пакетов на стороне сетевой карты.
• Ускорена загрузка из ядра правил пакетного фильтра pf утилитой pfctl. Включена обработка действий «keep state» и «nat-to» для возвращаемых через ICMP сообщений об ошибках.
• Отключено вычисления контрольных сумм IP, TCP и UDP для loopback-интерфейсов.
• Добавлена начальная поддержка VPN IPsec, зависящих от маршрутизации (route-based).
• В bgpd добавлена поддержка Flowspec (RFC5575, пока поддерживается только анонсирование правил flowspec). Реализация ASPA (Autonomous System Provider Authorization) приведена к соответствию спецификациям draft-ietf-sidrops-aspa-verification-16 и draft-ietf-sidrops-aspa-profile-16, и переведена на использование поисковых таблиц, не зависящих от AFI (Address Family Indicator).
• На 30-50% повышена производительность rpki-client. Добавлена поддержка сжатия gzip и deflate.
• Обновлены пакеты LibreSSL и OpenSSH. Подробный обзор улучшений можно посмотреть в обзорах LibreSSL 3.8.0, OpenSSH 9.4 и OpenSSH 9.5.
• Число портов для архитектуры AMD64 составило 11845 (было 11764), для aarch64 - 11508 (было 11561), для i386 - 10603 (было 10572). Среди версий приложений в портах:
  • Asterisk 16.30.1, 18.19.0б, 20.4.0
  • Audacity 3.3.3
  • CMake 3.27.5
  • Chromium 117.0.5938.149
  • Emacs 29.1
  • FFmpeg 4.4.4
  • GCC 8.4.0 и 11.2.0
  • GHC 9.2.7
  • GNOME 44
  • Go 1.21.1
  • JDK 8u382, 11.0.20 и 17.0.8
  • KDE Applications 23.08.0
  • KDE Frameworks 5.110.0
  • Krita 5.1.5
  • LLVM/Clang 13.0.0 и 16.0.6
  • LibreOffice 7.6.2.1
  • Lua 5.1.5, 5.2.4, 5.3.6 и 5.4.6
  • MariaDB 10.9.6
  • Mono 6.12.0.199
  • Mozilla Firefox 118.0.1 и ESR 115.3.1
  • Mozilla Thunderbird 115.3.1
  • Mutt 2.2.12 и NeoMutt 20230517
  • Node.js 18.18.0
  • OpenLDAP 2.6.6
  • PHP 7.4.33, 8.0.30, 8.1.24 и 8.2.11
  • Postfix 3.7.3
  • PostgreSQL 15.4
  • Python 2.7.18, 3.9.18, 3.10.13 и 3.11.5
  • Qt 5.15.10 и 6.5.2
  • R 4.2.3
  • Ruby 3.0.6, 3.1.4 и 3.2.2
  • Rust 1.72.1
  • SQLite 3.42.0
  • Shotcut 23.07.29
  • Sudo 1.9.14.2
  • Suricata 6.0.12
  • Tcl/Tk 8.5.19 и 8.6.13
  • TeX Live 2022
  • Vim 9.0.1897 и Neovim 0.9.1
  • Xfce 4.18
• Обновлены компоненты от сторонних разработчиков, входящие в состав OpenBSD 7.3:
  • Графический стек Xenocara на базе X.Org 7.7 с xserver 21.1.8 + патчи, freetype 2.13.0, fontconfig 2.14.2, Mesa 22.3.7, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
  • LLVM/Clang 13.0.0 (+ патчи)
  • GCC 4.2.1 (+ патчи) и 3.3.6 (+ патчи)
  • Perl 5.36.1 (+ патчи)
  • NSD 4.7.0
  • Unbound 1.18
  • Ncurses 5.7
  • Binutils 2.17 (+ патчи)
  • Gdb 6.3 (+ патч )
  • Awk 12.9.2023
  • Expat 2.5.0.

>>> Подробности

В Linux-подсистеме nvmet-tcp (NVMe-oF/TCP), позволяющей обращаться к NVMe-накопителям по сети (NVM Express over Fabrics), используя протокол TCP, выявлена уязвимость (CVE-2023-5178), потенциально позволяющая удалённо выполнить свой код на уровне ядра или, при наличии локального доступа, поднять свои привилегии в системе. Исправление пока доступно в виде патча. Проблема проявляется с самой первой версии драйвера NVMe-oF/TCP (в отчёте об уязвимости упоминается ядро Linux 5.15, но поддержка NVMe-oF/TCP была добавлена в ядро 5.0). Уязвимости подвержены системы с включённым сервером NVMe-oF/TCP (NVME_TARGET_TCP), который по умолчанию принимает соединения на сетевом порту 4420.

Уязвимость вызвана логической ошибкой, из-за которой функция nvmet_tcp_free_crypto вызывалась два раза и два раза освобождала некоторые указатели, а также разыменовывала освобождённые адреса. Подобное поведение приводит к обращению к уже освобождённой области памяти (use-after-free) и двойному освобождению памяти (double-free) при обработке сервером NVMe-oF/TCP специально оформленного сообщения от клиента, который может находиться как в локальной, так и в глобальной сети.

>>> Подробности

Компания Google опубликовала релиз web-браузера Chrome 118. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей при поиске RLZ-параметров. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 119 запланирован на 31 октября.

( читать дальше... )

>>> Подробности

Опубликован релиз дистрибутива Ubuntu 23.10 «Mantic Minotaur», который отнесён к промежуточным выпускам, обновления для которых формируются в течение 9 месяцев (поддержка будет осуществляться до июля 2024 года). Готовые установочные образы созданы для Ubuntu, Ubuntu Server, Lubuntu, Kubuntu, Ubuntu Mate, Ubuntu Budgie, Ubuntu Studio, Xubuntu, UbuntuKylin (редакция для Китая), Ubuntu Unity, Edubuntu и Ubuntu Cinnamon.

( читать дальше... )

>>> Подробности