Linux / Линукс

В systemd добавлена возможность разработки компонентов на языке Rust В кодовую базу системного менеджера systemd принято изменение, добавляющее возможность создания компонентов на языке Rust. Rust намерены использовать только для разработки новых компонентов, а существующий код на языке Си переписывать на Rust не планируют. Пакетный менеджер cargo в процессе сборки не применяется, остаётся задействована только сборочная система Meson. Rust-код используется в режиме "no_std" (без стандартной библиотеки), разрешено использовать только библиотеки core, alloc и libc. Компоненты systemd на Rust динамически связываются с Си-библиотекой libsystemd-shared. Rust-обвязки над libsystemd-shared генерируются автоматически на этапе сборки из заголовочных файлов при помощи утилиты bindgen, и становятся доступны для rust-программ в форме пакета systemd_shared. Для работы требуется как минимум версии rustc 1.85 и bindgen 0.71.1, соответствующие версиям из Debian 13. Тестовый исполняемый файл на Rust при сборке с LTO-оптимизациями занимает 32 КБ, при том что аналог на Си занимает 20 КБ. По умолчанию поддержка Rust включается только при наличии в системе соответствующего Rust-инструментария (-Drust=auto). В качестве первого компонента, написанного на Rust, развивается systemd-keyring-setup, который пока не принят в основную кодовую базу systemd. Systemd-keyring-setup предназначен для настройки и управления X.509-сертификатами для механизмов ядра Linux dm-verity, fs-verity и bpf. Linux / Линукс 🥸

Linux / Линукс 🥸

Version 3.0 Linux / Линукс 🥸

Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений Опубликованы детали инцидента, в ходе которого злоумышленникам удалось получить контроль над 333 выходными узлами сети Tor (всего в Tor около 3000 выходных узлов) и организовать на них перехват нешифрованного трафика и перенаправление SSH-соединений. Атака началась 2 октября (в пятницу вечером), но была выявлена и начала блокироваться 4 октября. 5 октября все скомпрометированные серверы были отключены операторами или самими атакующими. Разбирательство показало, что атакующие получили доступ к серверам за два месяца до начала атаки на пользователей Tor и установили в скомпрометированных системах вредоносное ПО Ebury 1.8.3. Целью атаки был перехват паролей, ключей и конфиденциальной информации в транзитном незашифрованном трафике, а также захват паролей к SSH. При анализе незашифрованного трафика атакующие сосредоточились на обращениях без шифрования к почтовыми серверам. Для стимулирования отката на работу без шифрования на выходных узлах было произведено блокирование сетевых портов, применяемых для организации шифрованного канала связи с почтовыми серверами. Нешифрованный трафик анализировался на лету. Для сбора паролей к SSH было организовано перенаправление SSH-запросов на один из 12 серверов злоумышленников. Данные серверы принимали соединение по SSH и выводили запрос пароля от имени сервера, к которому осуществлялось подключение. Так как хостовые ключи не совпадали, ssh на стороне клиента выдавал предупреждение о подключении к неизвестному серверу. Если пользователь игнорировал данное предупреждение и вводил пароль для подключения, то вредоносный сервер транслировал через себя подключение к легитимному целевому SSH-серверу, сохранял введённый жертвой пароль и перехватывал информацию о действиях в SSH-сеансе. Параллельно осуществлялось подключение к целевому серверу с захваченным паролем и установка на него вредоносного ПО Ebury. Получая контроль над Linux-серверами, не являющимися выходными узлами Tor, атакующие меняли настройки в файле torrc и превращали их новые вредоносные выходные узлы Tor. Для определения всех вредоносных выходных узлов выявивший проблему исследователь использовал утилиту exitmap для перебора всех выходных узлов, установки SSH-соединения через каждый из них и проверки факта перенаправления запроса. Как именно атакующие получили доступ к захваченным Tor-узлам пока не ясно, среди прочего высказываются предположения о компрометации операторов хостинга. Linux / Линукс 🥸

Когда сказали Linux вместо GNU/Linux Linux / Линукс 🥸

Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP. В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого парамтера в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start(). Linux / Линукс 🥸

Linux / Линукс 🥸

Студия Рубикон Музыка для удовольствия, новые песни, новые клипы, музыка для души. Зарегистрироваться #реклама vk.ru О рекламодателе

Релиз менеджера паролей KeePassXC 2.8 Ключевые изменения в новом выпуске:

— Перевод графического интерфейса с Qt5 на Qt6. — Возможность использования функции автоподстановки паролей в приложения в окружениях на базе Wayland, используя порталы XDG. — Поддержка настройки комбинаций клавиш. — Возможность синхронизации БД с внешними системами и поддержка использования внешних утилит для импорта. — Режим быстрой разблокировки доступа через Polkit в Linux. — Формирование ARM64-сборок для Windows и экспериментальных ARM64-сборок в формате AppImage для Linux. — Переход на хранение файлов состояния приложения в каталоге ~/.local/state/ (XDG_STATE_HOME) вместо ~/.cache (XDG_CACHE_HOME). — Поддержка генерации ключей RSA, ECDSA и Ed25519 для SSH Agent. — Улучшена интеграция с рабочим столом сборок в формате AppImage. — Реализован импорт SSH-ключей, паролей от Wi-Fi и записей с неизвестным типом из Proton Pass. — Устранена уязвимость (CVE-2026-69150), приводящая к обращению к уже освобождённой памяти при импорте специально оформленного файла в формате KDB.

Linux / Линукс 🥸

Неплохой аптайм З.Ы. LeoNTP Networked Time NTP Server Типичный 🥸 Сисадмин

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве Состоялся релиз проекта F-Stack 2.0, развивающего редакцию сетевого стека FreeBSD, адаптированную для обособленной работы в пользовательском пространстве в форме библиотеки. Проект создан крупнейшей в Китае телекоммуникационной компанией Tencent и используется в её продуктах и сервисах. Код написан на языке Си и распространяется под лицензией BSD. Поддерживается работа в Linux и FreeBSD. Проектом также поддерживаются переведённые на использование F-Stack редакции Nginx 1.28 и СУБД Redis 6.2.6, демонстрирующие производительность выше обычных сборок, работающих поверх системного сетевого стека. F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов. Наиболее заметные изменения в новом выпуске:

— Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13). — Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим. — Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов. — Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload) для IPv6. — Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров. — Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов — Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check(). — Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра. — Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью. — В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms. — В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).

Linux / Линукс 🥸

Linux / Линукс 🥸

Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP Разработчики PHP опубликовали отчёт о проблемах, возникших в процессе устранения исправленных критических уязвимостей в PHP. Информация об уязвимости, возникающей при исчерпании доступной памяти, была получена в ходе внешнего аудита ещё в 2024 году, но была воспринята лишь как теоретическая возможность совершения атаки. Исправление затянулось из-за проблем с достижением консенсуса среди разработчиков PHP о способе устранения уязвимости. Рассматривалось несколько конкурирующих предложений о решении проблемы, каждое из которых имело свои минусы. Приходилось выбирать между нарушением обратной совместимости, появлением новых векторов для атак, вызывающих отказ в обслуживании, и необходимостью внесения изменений во множество сторонних дополнений. Несколько месяцев назад компании Calif и Wiz независимо друг от друга при помощи AI-моделей GPT‑5.6 и Gemini 4 Argon выявили рабочие методы эксплуатации проблемы и 11 и 24 августа 2026 года сообщили об этом разработчикам PHP. После этого разработке исправлений был назначен наивысший приоритет и начато реформирование процесса принятия решений для более оперативного реагирования в вопросах, связанных со сложными компромиссами (подобные решения теперь могут приниматься большинством голосов без строгого достижения консенсуса). Изначально, скоординированная с дистрибутивами дата публикации исправления была назначена на 22 октября, но затем была перенесена на 21 октября после утечки 20 октября в социальные сети сведений о CVE-идентификаторах и некорректных данных о времени публикации предстоящих корректирующих выпусков. Вскоре после анонса предстоящих исправлений в компания Calif, выявившая одну из уязвимостей, по ошибке опубликовала видеоролик с демонстрацией работы эксплоита, в котором были заметны некоторые детали, позволяющие сузить область поиска и воссоздания информации о проблеме. Ролик был быстро удалён, что лишь подстегнуло у исследователей желание докопаться до сути уязвимости и форсировало работу над альтернативными прототипами эксплоитов. Помимо этого, за шесть часов до намеченной публикации исправлений компания Chainguard нарушила эмбарго и опубликовала сборки своего дистрибутива, содержащие исправленную версию PHP. Подобное нарушение дало возможность злоумышленникам изучить исправление до официального релиза, а также перечеркнуло всю работу по скоординированному раскрытию информации и одновременной публикации исправлений в разных дистрибутивах. Спустя 16 часов после раскрытия деталей об уязвимостях универсального рабочего эксплоита ещё не появилось и массовых атак пока не наблюдается, что объясняется сложностью эксплуатации уязвимости из-за необходимости определения раскладки структур в памяти процесса, которая специфична в каждой сборке. Опубликованные рабочие прототипы эксплоитов завязаны на отдельные конфигурации и проведение атаки в лабораторных условиях. Также появилось много фиктивных эксплоитов, являющихся галлюцинациями AI, лишь создающих видимость атаки, завязанных на ошибки в конфигурации или работающих только при наличии других критических уязвимостей. Linux / Линукс 🥸

"Мне нужно пойти все починить." Linux / Линукс 🥸

Зарабатывайте на установках Яндекс Браузера Партнёрская программа для сервисных центров, магазинов компьютерной техники, сайтов для скачивания файлов и авторов статей. Вы можете предлагать его своим клиентам и аудитории — и зарабатывать на новых установках. Выплаты до 500₽ за каждую установку Яндекс Браузера. Подать заявку #реклама 0+ partner.browser.yandex.ru О рекламодателе

Проблемные корневые сертификаты eMudhra были сгенерированы в HSM и прошли независимый аудит Компания eMudhra опубликовала заявление, связанное с инцидентом, в результате которого у восьми корневых сертификатов удостоверяющего центра оказались легко подбираемые закрытые ключи, имеющие всего 1 байт энтропии вместо 48. eMudhra утверждает, что сертификаты были сгенерированы в апреле 2025 года на публичной церемонии с использованием аппаратных модулей HSM (Hardware Security Module), имеющих сертификат соответствия требованиям FIPS 140-2 Level 3. В процессе генерации ключей произошёл сбой, из-за которого на этапе упаковки/распаковки в HSM (wrap/unwrap, шифрование и расшифровка ключом-обёрткой) в дополнение к основному набору криптостойких ключей был создан второй набор слабых ключей с обнулёнными старшими байтами, который и был задействован в сертификатах. Сбой не распознали, так как закрытые ключи создаются и хранятся только в HSM и не попадают в открытом виде за его пределы. Причина произошедшего сбоя пока не ясна и компания проводит связанное с этим расследование. Утверждается, что проблемные корневые сертификаты, созданные с использованием слабых ключей, прошли независимый аудит и два года оставались в списке доверенных во всех хранилищах корневых сертификатов. Linux / Линукс 🥸

Зачем взламывать периметр, если можно просто войти? Украденный пароль, перехваченная сессия или скомпрометированный токен — и злоумышленник может получить доступ к корпоративным системам под видом легитимного пользователя. Для защиты от таких сценариев CURATOR запустил CURATOR.IDENTITY — облачное решение для управления доступом и аутентификацией. Что оно умеет: 🔹 подключать MFA и SSO для корпоративных сервисов, VPN и веб-приложений; 🔹 настраивать права доступа для разных категорий пользователей; 🔹 учитывать контекст входа и устройство; 🔹 защищать пользовательские сессии и выстраивать Zero Trust-сценарии. Решение расширяет защиту CURATOR: теперь она охватывает не только инфраструктуру и приложения, но и доступ к ним. 👉 Подробнее о CURATOR.IDENTITY — по ссылке.

Linux / Линукс 🥸

😮 PHP2Shell гулял по интернетам до релиза ИБшники из AWS посмотрели в логи и оказывается, что первые успешные пробивы пошли еще 17 октября. За 4 дня до официального анонса 😗 Также разобрали механику эксплойта, и это просто песня. Атака не оставляет ВООБЩЕ НИКАКИХ следов. Не нужен обход авторизации, пофиг на плагины, WAFы и версии CMS. Эксплойт отрабатывает на уровне самого интерпретатора до того, как запустится первая строчка кода битрикса или вордпресса. В логах приложения чистота. Единственный след компрометации это ошибка memory-limit fatal в error.log веб-сервера. А теперь эпичный проёб про то, как вообще сплойт так быстро ушел в массы. Релиз планировали на 22 октября. Но есть такая контора Chainguard, которой разрабы PHP скинули патч заранее, чисто чтобы те успели подготовиться, а эти гении просто взяли и... выкатили пропатченные бинарники в паблик 💩 Хацкеры скачали новые сборки, сравнили старое с новым, поняли, где была дыра, и написали рабочий эксплойт. Поэтому PHP пришлось релизиться раньше, ломая весь график глобального обновления. В мире сейчас светит голой жопой около 2,6 миллиона серверов на PHP 🤙 Типичный 🥸 Сисадмин

Релиз CRIU 4.3 — инструмента, который сохраняет состояние работающих процессов и воскрешает их на другой машине или после перезагрузки ядра, даже не разрывая открытые TCP-соединения. На этом годами держится бесшовная live-миграция контейнеров в Docker, LXC и OpenVZ, а также фокусы с обновлением хостовой ОС без простоя сервисов. В версии 4.3 упор сделали на скорость и взаимодействие с видеокартами. Слепки памяти теперь можно на лету сжимать быстрым алгоритмом LZ4 с многопоточной распаковкой, а восстановление виртуальной памяти перевели на асинхронный ввод-вывод (AIO). Но главное новшество — полноценная работа с графическими ускорителями: в CRIU добавили бэкенд для сохранения состояния API драйвера NVIDIA CUDA, а для чипов AMD научились морозить и восстанавливать буферы подсистемы DRM и дескрипторы DMA-BUF. Для архитектуры ARM64 прикрутили поддержку аппаратных теневых стеков (GCS), чтобы при восстановлении процесса злоумышленники не могли подменить адреса возврата функций. Linux / Линукс 🥸