Linux

Хотите поиграться с бэкдором xz? У нас есть краткая запись в блоге, в которой подробно описывается, как установить уязвимую версию Kali и проверить, является ли ваша система уязвимой или нет. https://www.kali.org/blog/xz-backdoor-getting-started/

Диагональная ориентация как идеал расположения экрана Поскольку Земля вращается вокруг своей оси с наклонением, это приводит к неравномерности распределения излучения Солнца. Говоря проще, именно из-за наклонения планеты мы испытываем смену времён года. Если наклонение орбиты важно для жизни на Земле, то нужно ли применить наклонение в 23,44 ° для ориентации монитора? Выяснить пользу диагональной ориентации попыталась некто xssfox. Для этого она задействовала различные конфигурации Xorg. Ынтырпрайзная Windows и прочие ширпотребные операционки уровня macOS не имеют поддержки диагональной ориентации дисплея. Достичь подобного получается только в Linux. https://habr.com/ru/articles/804371

Уязвимость в подсистеме io_uring, позволяющая получить привилегии root В интерфейсе асинхронного ввода/вывода io_uring, предоставляемом ядром Linux, выявлена уязвимость (CVE-2024-0582), позволяющая непривилегированному пользователю получить права root в системе. Для эксплуатации уязвимости достаточно обычного локального доступа к системе, без необходимости манипуляций с пространствами имён. В настоящее время публично доступен работающий эксплоит, а также подробно описана вторая техника эксплуатации уязвимости. Уязвимость вызвана обращением к уже освобождённому блоку памяти (use-after-free) в подсистеме io_uring, возникающем при регистрации и освобождении кольцевого буфера, созданного с флагом IORING_REGISTER_PBUF_RING. В ситуации применения к буферу операции mmap(), он остаётся отражённым в пространство пользователя после выполнения операции его освобождения (IORING_UNREGISTER_PBUF_RING). Используя данную особенность, атакующий может читать и записывать данных в страницы памяти, возвращённые системе распределения памяти ядра. https://blog.exodusintel.com/2024/03/27/mind-the-patch-gap-exploiting-an-io_uring-vulnerability-in-ubuntu/

Релиз операционной системы NetBSD 10.0 Проектом поддерживаются 8 первичных портов, составляющих ядро стратегии развития NetBSD: amd64, i386, evbarm, evbmips, evbppc, hpcarm, sparc64 и xen, а также 49 вторичных портов, связанных с такими CPU, как alpha, hppa, m68010, m68k, sh3, sparc и vax. Вторичные порты ещё поддерживаются, но уже потеряли актуальность или не имеют достаточного числа заинтересованных в их развитии разработчиков. Один порт (acorn26) включён в третью категорию, в которой размещены неработоспособные порты, претендующие на удаление, если не найдётся заинтересованных в их разработке энтузиастов. http://netbsd.org/releases/formal-10/NetBSD-10.0.html

Fedora Linux 40 появится уже через месяц: что нового в дистрибутиве? На днях стартовал тестовый процесс для бета-версии Fedora Linux 40, релиз которого запланирован на 23 апреля. Стоит отметить, что этот выпуск касается Fedora Workstation, Fedora Server, Fedora Silverblue, Fedora IoT, Fedora CoreOS, Fedora Cloud Base, Fedora Onyx и Live-сборки. Уже сформированы сборки для разных архитектур, включая x86_64, Power64 и ARM64 (AArch64). Подробности — под катом. https://habr.com/ru/companies/ru_mts/articles/804069/

Разбор логики активации и работы бэкдора в пакете xz Доступны предварительные результаты обратного инжиниринга вредоносного объектного файла, встроенного в liblzma в результате кампании по продвижению бэкдора в пакет xz. Бэкдор затрагивает только системы x86_64 на базе ядра Linux и Си-библиотеки Glibc, в которых к sshd применяется дополнительный патч, осуществляющий связывание с библиотекой libsystemd для поддержки механизма sd_notify. Изначально предполагалось, что бэкдор позволяет обойти аутентификацию в sshd и получить доступ к системе через SSH. Более детальный анализ показал, что это не так и бэкдор предоставляет возможность выполнить произвольный код в системе, не оставляя следов в логах sshd. https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504

Jan — это альтернатива ChatGPT с открытым исходным кодом, которая работает на вашем компьютере в автономном режиме. https://github.com/janhq/jan

Бэкдор, обнаруженный в широко используемой утилите Linux, взламывает зашифрованные SSH-соединения Вредоносный код, внедренный в xz Utils, циркулирует уже больше месяца. https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/

shutdown -r now

Amazon, Google, Oracle, Ericsson и Snap основали Valkey, форк СУБД Redis Организация Linux Foundation объявила о создании проекта Valkey, который продолжит развитие открытой кодовой базы СУБД Redis, распространяемой под лицензией BSD. Проект будет развиваться под эгидой организации Linux Foundation на независимой площадке с привлечением сообщества разработчиков и компаний, заинтересованных в продолжении сохранения открытой кодовой базы Redis. К работе над проектом присоединились такие компании, как Amazon Web Services (AWS), Google Cloud, Oracle, Ericsson и Snap Inc. https://www.linuxfoundation.org/press/linux-foundation-launches-open-source-valkey-community

One Day Offer для тестировщиков Linux ⚡️ 6 апреля всего за один день вы сможете пройти все этапы отбора, познакомиться с будущей командой и даже получить оффер. Команда создаёт систему на базе репозитория Debian — это собственная разработка Сбера. В работе используем: 👉 Bash 👉 Coreutils 👉 Autopkgtest 👉 Podman 👉 Debootstrap 👉 gbp-buildpackage, debuild 👉 Git, JIRA, Confluence, BitBucket, Jenkins, Nexus Мы приготовили много интересных задач: ✔️ Писать Bash-скрипты ✔️ Тестировать ядро Linux ✔️ Тестировать deb-пакеты в контейнере и в системе ✔️ Автоматизировать ручные тесты и писать новые ✔️ Оформлять тест-кейсы ✔️ Тестировать требования, анализировать и обеспечивать качество Хотите узнать, что чувствовала QA-команда Стива Джобса или Google, когда они создавали свои Linux-based OS? Регистрируйтесь на One Day Offer по ссылке. Работа найдётся для всех — и джунов, и мидлов, и сеньоров 😉

В Linux 6.9 больше не поддерживается драйвер файловой системы EXT2 https://www.phoronix.com/news/Linux-6.9-Deprecates-EXT2

Уязвимости в ядре Linux, позволяющие поднять свои привилегии через nf_tables и ksmbd В Netfilter, подсистеме ядра Linux, используемой для фильтрации и модификации сетевых пакетов, выявлена уязвимость (CVE-2024-1086), позволяющая локальному пользователю выполнить код на уровне ядра и поднять свои привилегии в системе. Проблема вызвана двойным освобождением памяти (double-free) в модуле nf_tables, обеспечивающем работу пакетного фильтра nftables. Выявивший уязвимость исследователь безопасности разработал и опубликовал рабочий прототип эксплоита. Работа эксплоита продемонстрирована в актуальных выпусках Debian и Ubuntu с ядрами Linux 5.14 - 6.6, а также в окружении с ядром KernelCTF (Capture the Flag), включающем дополнительные патчи для блокирования типовых методов работы эксплоитов и используемом компанией Google в программе выплаты вознаграждений за поиск уязвимостей. Степень успешности работы эксплоита оценивается в 99.4%. В сопроводительной статье детально разобран процесс создания сложного многоуровневого эксплоита и обход присутствующих в ядре механизмов защиты и противодействия работе эксплоитов. https://pwning.tech/nftables/

Когда кто-то говорит: "Кто-нибудь вообще использует Linux"

Firefox 124.0: посмотрите все новые функции, обновления и исправления https://www.mozilla.org/en-US/firefox/124.0/releasenotes/

Был обнаружен новый вариант #malware для уничтожения данных — AcidRain, специально разработанный для устройств #Linux x86. https://thehackernews.com/2024/03/suspected-russian-data-wiping-acidpour.html

Мы всегда хотим большего, не так ли?

Создание минималистичного веб-сервера на C в Linux https://www.youtube.com/watch?v=2HrYIl6GpYg

Напишите свои собственные сценарии Bash для автоматизации [Учебное пособие] https://www.youtube.com/watch?v=PPQ8m8xQAs8

Минимализм / Минималист / TMUX.config https://habr.com/ru/articles/800733/