SPbLUG News

Пишем и самим не верится, что наконец-то сообщаем об этом! Митапу в Санкт-Петербурге — быть! Санкт-Петербург раскроет свои двери для Expert Fridays 25 марта в 19:00. Тема митапа — DevOps С распростертыми объятиями нас примут на площадке Selectel (Цветочная, д.19) На митапе выступят: — Алексей Григоровский, DevOps Engineer. Тема доклада — «GitOps: Деплоимся в k8s с помощью ArgoCD rollouts» — Рустам Гимадиев, DevOps Engineer. Тема доклада — «CICD для Terragrunt на GitHub Actions: проблемы и опыт их решения» Список спикеров будет дополняться. Ну, и не изменяя нашим традициям, с нас — крафтовое пиво от наших Питерских друзей и вкуснейшая пицца 🍻🍕 Вход для участников бесплатный, поэтому с вас только QR-код и регистрация по ссылке: https://spb.expertfridays.com/events/devops-meetup/ До встречи!💃🏽

Напоминаем — в пт в Селектеле DevOps meetup!

23 марта 2022 с 19 до 22 состоится очередное собрание SPbLUG. Приходите пообщаться, выдохнуть, обсудить актуальные IT-новости. Просим воздержаться от обсуждения политических новостей, хотя, это, не просто. Адрес: м. Василиостровская, 7 линия В.О. дом 42, бар Failover. На стекляной двери на входе висит два логотипа — Failover бара и Ногтевой студии Пиlки. Вам сюда и подняться по лесенке. Вход в левую дверь. В баре есть крафтовое пиво, чай, кофе и бутерброды. Если будет желание — можем скинуться и заказать пиццу.

‼️ А вот это плохо. В опенсорс начали вставлять деструктивный код против России. Почему плохо? • Потому же, почему и цензура плоха. Где та линия и кто решает, что вот тут ещё нельзя, а тут уже можно? • Деструктив всегда плохо. Безсусловно. Как и война. Безусловно. • Все эти зловреды работают как пуля - бездушно. По IP там, или таймзоне ✅ Доверие теряется за мгновение. А восстанавливается годами или даже десятилетиями. Или не восстанавливается 🇬🇧 Some opensource projects have started to inject destructive code to do something bad with "Russian" IT. It's wrong! • It's like censorship. Where is red line? Who are decision-makers? • Destructive code is bad. Very bad. Unforgivable. Without conditions. War is bad, Vary bad. Unforgivable. Without conditions. Unforgivable Curses. • Malware isn't selective. It hit anybody. IP-address or timezone aren't right markers ✅ Trust is lost in seconds. Trust is restored in decades. Or never. https://docs.google.com/spreadsheets/d/1H3xPB4PgWeFcHjZ7NOPtrcya_Ua4jUolWm-7z9-jSpQ/htmlview?pru=AAABf7s6eoc*lXxgW2OQG5yig1d0fmf3cQ#gid=2074850979

Некоторое — к счастью, сравнительно небольшое — количество разработчиков свободного ПО на фоне текущих событий поехало кукушкой и решило срочно добавить в пакеты, мейнтейнерами которых они являются, что-нибудь актуальное. Диапазон простирается от лозунгов и призывов до вполне реального malware — например, разработчик node-ipc вставил код, который на серверах с IP, геолоцирующимися на Россию и Белоруссию, с вероятностью 25 % перезаписывает все файлы, до каких может дотянуться (и в скобках замечу, что вообще оказался патентованным мудаком: в своём репозитории он тёр комментарии с указанием на это, в чужих нелепо отмазывался «ну смотрите, этот код же всё равно на самом деле не работает!»). Отмечу, что в большинстве стран мира за такие действия предусмотрена уголовная ответственность, причём независимо от мотивации автора и лицензии, под которой распространяется код («отказ от ответственности» юридически ничтожен, если речь идёт об умышленном причинении вреда). Отношение к таким мудакам в сообществе, к счастью, резко негативное — независимо от политических взглядов. Пакеты, а иногда и их разработчики вычищаются из репозиториев, в зависящем от них ПО ставится version lock на версию, которая ещё не была замарана. Список уже известных пакетов с авторами с поехавшей кукушкой ведётся чатом @ctorecordschat и доступен здесь: https://docs.google.com/spreadsheets/d/1H3xPB4PgWeFcHjZ7NOPtrcya_Ua4jUolWm-7z9-jSpQ/htmlview Проверьтесь.

друзья, для тех кому актуально. Мы внезапно решили сегодня в 20:00 (и до ночи) собрать встречу для интересующизся эмигрирацией в Сербию. Благо там комплиментарное нам общество, хорошая погода и легко делаются все необходимые документы и банковские счета. Вести будет @smirnoffmg, попробуем подключить ребят из Белграда. 7-я линия В.О., 42

Господа, пришло время оживлять SRE митапы! Пока мы работаем, прод не падает. Завтра, 10 марта, в 20:00, будет первый за долгое время митап. Выступит Эдуард Генералов, RollerAds — рекламная сетка на 200-500k rps. «**Кеширование**: выживание в режиме нестабильной сети» После — обсудим проблематику кеширования в режиме круглого стола. Приходите! Встречаемся в Failover bar, 7-я линия В.О., 42. Безалкогольного пива хватит всем.

Одна из самых серьёзных уязвимостей в ядре Linux за всё время его существования. Встречайте! Dirty pipe: https://dirtypipe.cm4all.com/

Пишем и самим не верится, что наконец-то сообщаем об этом! Митапу в Санкт-Петербурге — быть! Санкт-Петербург раскроет свои двери для Expert Fridays 25 марта в 19:00. Тема митапа — DevOps С распростертыми объятиями нас примут на площадке Selectel (Цветочная, д.19) На митапе выступят: — Алексей Григоровский, DevOps Engineer. Тема доклада — «GitOps: Деплоимся в k8s с помощью ArgoCD rollouts» — Рустам Гимадиев, DevOps Engineer. Тема доклада — «CICD для Terragrunt на GitHub Actions: проблемы и опыт их решения» Список спикеров будет дополняться. Ну, и не изменяя нашим традициям, с нас — крафтовое пиво от наших Питерских друзей и вкуснейшая пицца 🍻🍕 Вход для участников бесплатный, поэтому с вас только QR-код и регистрация по ссылке: https://spb.expertfridays.com/events/devops-meetup/ До встречи!💃🏽

⭕️ CVE-2021-4034: pwnkit: Local Privilege Escalation in polkit's pkexec Внезапно подъехала действительно серьезная проблема повышения привилегий (LPE) до рута практически во всех линукс дистрибутивах, за счет наличия по-умолчанию утилиты pkexec с суидным битом. Бага с первого коммита аж в мае 2009 года, и ресерчеры Qalys заявляют, что хоть это и повреждение памяти, но эксплуатация уязвимости быстра, надежна, и независима от архитектуры. Обнаружилось, что при обработке переменной PATH специального вида существуют условия перезаписи за пределы границ envp[0], что дает возможность внедрить какбэ свою особенную LD_PRELOAD прям в суидник. Просто до жути. Это и делает CVE-2021-4034 весьма реальной угрозой, связанной с повышением привилегий в Linux. 🧟‍ Эксплоит уже в комментариях. Быстрый фикс: 🔥chmod 0755 /usr/bin/pkexec Исправление: https://gitlab.freedesktop.org/polkit/polkit/-/commit/a2bf5c9c83b6ae46cbd5c779d3055bff81ded683 Подробно: 👉 https://www.openwall.com/lists/oss-security/2022/01/25/11

Не часто сюда форвардим какие-то новости, но вот новость касающаяся практически всех пользователей GNU/Linux систем. Очередная уязвимость. Подробности ниже.

Новогодняя встреча: 15 декабря 2021 с 19:00 в Паб78 https://pub78.ru/ Стол на имя "Андрей".

15 декабря 2021 состоится ежегодная предновогодняя встреча SPbLUG. Время: с 19:00 до 22:00 (а там как пойдёт). Место: будет объявлено позднее. Добавляйте в ваши календари!

Alpine Linux 3.15.0 Released with Linux kernels 5.15 (LTS) 🤘

18 ноября, Цветочная 19, Selectel, Санкт-Петербург Linkmeetup - это место, где IT инженеры увлекательно и с пользой проводят время. Основная его идея прямо повторяет идеологию всего linkmeup - мы делаем всё так, как считаем правильно. Это не маркетинговое мероприятие, а именно инженерное, чем оно и выделяется на фоне многих. Мы ничего не продаём, не бросаемся красивыми обещаниями со сцены и не обещаем мир во всём мире. Вокруг нас достаточно инженерных вопросов, о которых хочется поговорить в непринуждённой обстановке. Программа и регистрация: https://meetup.linkmeup.ru

Fedora Linux 35 is here. You'll want to get it (or upgrade) right away. https://fedoramagazine.org/announcing-fedora-35

#sainthighload2021 #dns 🎥 Я не только слежу за Роскомнадзором. Я тот самый общественник, который не настоящий общественник, а так, по дороге зашёл. В сентябре я выступил на конференции Saint Highload++ 2021 в Санкт-Петербурге. Я сделал краткий технический обзор про безопасность DNS и текущее состояние оной безопасности: https://youtu.be/zDFSFlRSG-A ⚠️ Держитесь подальше от торфяных болот ✅ Перед докладом тема была очень подогрета, что, конечно же, повлияло на доклад ✅ Презентация сделана на LaTeX и размещена на GitHub: https://github.com/schors/shl2021-secure-dns

РБК: В России появится фонд для создания софта с открытым кодом – В России может появиться Russian Open Source Foundation – До 1 ноября планируется собрать в эту НКО ключевых игроков рынка open source – Это Сбербанк, ВТБ, Mail.Ru Group, Яндекс, Postgres Pro, Arenadata и еще 1-2 компании – В России государство активно потребляет open source продукты – Стоит задача обеспечить, чтобы они были эффективными и безопасными – НКО должна будет координировать деятельность сообществ разработчиков, образовательных и научных организаций – НКО будет оператором отечественного репозитория или зеркал крупнейших зарубежных – НКО будет обеспечивать грантовую поддержку разработки подобного софта – НКО будет представлять российские сообщества открытого ПО в переговорах с международными общественными организациями в той же области и др.

Встреча SPbLUG в "свободном формате" сегодня с 🕗 20:00 в pub78 (https://vk.com/pub78spb)