goletsa.log

Артефакт прошлого. #software

Время идёт, место не меняется. Стабильность признак мастерства? #events

Узнал в сегодня лет что можно собрать своё ядро для WSL #linux #wsl #windows

01001000 01100101 01101100 01101100 01101111 00100000 01110111 01101111 01110010 01101100 01100100 00100001

Hello world! Сегодня, 13 сентября, 256 день года! С днём программистов и всем им сочувствующих! Всех работников клавиатуры и сложных алгоритмов поздравляю с профессиональным днём! Без вас мир был бы совсем другим! Желаем вам адекватных юзеров, понятных комментариев, меньше багов и быстрой компиляции! Но и об оптимизации не забывайте! Троекратный удар в бубен и ура! Ура! Ураа!!

https://deploytarot.com #humor

И правда, почему это на электронной бумаге нельзя было печатать. Интересно, в основную ветку это попадет? https://hackaday.com/2026/09/10/if-its-electronic-paper-why-not-print-to-it/ https://nishantjosh.dev/blogs/how-to-build-a-fking-printer/ https://github.com/NishantJoshi00/crosspoint-reader #read #book

#humor

Хм, какой интересный подход... #life

Шесть CVE в RouterOS за одну ночь Сначала MikroTik выкатил обновление и попросил не задавать вопросов:

Important security update MikroTik has found a security vulnerability in RouterOS and releases containing a fix have been published in all channels. To give time to update your systems, we are not currently publishing detailed information. This article will be updated with more information in due time.

https://mikrotik.com/supportsec А через сутки CERT-PL — именно он тут CNA, не вендор — опубликовал шесть CVE с полными техническими описаниями. Подробности не публикуются, да 🌝 Две критические, обе 9.2 по CVSS 4.0. 🔑 CVE-2026-86060 — 9.2, CWE-88 (argument injection)

RouterOS contains an argument-handling flaw in the SSH login path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper. This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)

Суть: логин, начинающийся с запрещённого символа, протаскивается в SSH-хелпер как аргумент и подменяет маску политик RouterOS. Аутентификация не нужна — хватает того, что вы вообще слушаете SSH. 🗝 CVE-2026-67276 — 9.2, CWE-347 (improper verification of cryptographic signature)

RouterOS does not compare the complete RSA public key when matching an SSH authentication request to an authorized user key, checking the key type and modulus but omitting the exponent. Because signature verification uses the client-supplied key, an attacker knowing an authorized RSA modulus can supply a key with exponent one, forge a valid signature, and open an SSH command channel as the target user without the private key. This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)

Суть: при сверке ключа RouterOS смотрит на модуль и забывает про экспоненту. Кто знает ваш публичный модуль — а он публичный — подставляет e=1, подделывает подпись и заходит по SSH вашим пользователем без приватного ключа. Остальные четыре: — CVE-2026-67277 — 8.8, CWE-306. btest принимает «related»-соединение до аутентификации: неаутентифицированный UDP-тест, утечка неинициализированного хвоста кернельного буфера и перезапуск ядра через underflow. — CVE-2026-67281 — 8.7, CWE-824 + CWE-22. WebFig, /jsproxy: неинициализированный указатель principal плюс обход каталога в шифрованном URI — неаутентифицированное чтение root-файлов, включая конфиги с учётками. — CVE-2026-67279 — 6.9, CWE-841. SSH после клиентского rekey входит в connection protocol, хотя аутентификации не было: неаутентифицированный exec, создание и перезапись файлов. — CVE-2026-67278 — 6.3, CWE-347. Кривые подписи RSA/PKCS#1 v1.5 при валидации X.509 плюс корневой CA с e=3 в трасте — можно выписать себе доверенный промежуточный и представиться любым TLS-сервером. Чинится везде одинаково: 6.49.21, 7.23.4, 7.24.2 и новее. ЗЫ И отдельно из адвайзори: после апгрейда RouterOS сам проверит, не скомпрометировано ли устройство, и выставит статус Flagged с критической записью в лог. Так что если обновились и в логах тишина — это ещё не «пронесло», конфиг на предмет незнакомых скриптов и юзеров всё равно посмотрите. Вендор просит об этом вне зависимости от статуса.

Увлекательные штуки иногда в сети находишь. Или они тебя. Вашему вниманию скан документального фильма 1972(!) года про долговременную орбитальную станцию «Салют-1». Выложен буквально несколько дней назад. Целый час ламповых космических технологий полувековой давности. На том же канале можно ещё смело смотреть «Крутые дороги космоса», а вообще, скажу честно, там можно очень крепко залипнуть, потому что автор оцифровал и выложил уже почти тысячу документалок обо всём на свете. https://www.youtube.com/watch?v=WNJPgR9A1ms

https://youtu.be/zzNDkhREikM?is=qUpSFgkfUprmJnpG Пока пролюбили все полимеры, вспомним девятого. #video #serial

https://youtu.be/zzNDkhREikM #video #serial

https://youtu.be/zzNDkhREikM #video

Так, ладно, блокировки блокировками, а пятница должна оставаться пятницей 🌝 Давние подписчики знают, что я люблю, ценю и уважаю серию HoMM https://t.me/tech_b0lt_Genona/4617 И вот на Gamescom анонисировали ремейк третьей части https://www.gamescom.global/en/product/heroes-of-might-and-magic-iii-remake https://store.steampowered.com/app/3809850/Heroes_of_Might_and_Magic_III_Remake/ Выглядит красиво, конечно, посмотрим как будет в плане играбельности И по этому поводу есть ещё одна хорошая новость. HotA теперь доступна в Steam

Если вам нравится играть с помощью Steam, то HotA теперь можно установить и на этой платформе, при условии наличия приобретённой там копии игры "Герои Меча и Магии III: Полное Собрание". Отмечаем, что претензии по вопросам покупки соответствующих продуктов команда не принимает и не имеет какой бы то ни было материальной заинтересованности в этом вопросе.

https://t.me/h3hota/77 https://store.steampowered.com/app/5061200/Heroes_of_Might_and_Magic_III_Horn_of_the_Abyss/

Что может быть лучше в пятницу, чем разговор о том, почему вокруг говорят про дефицит кадров, с другой стороны везде кричат про сокращения, а третьи жалуются, что стало крайне сложно подбирать людей. Что вообще происходит, куда делась та самая тихая айтишная гавань, что за рынок работодателя, как искать работу, когда вокруг нейросети, и что там теперь по зарплатам. Всё это без стеснения обсуждаем в новом выпуске sysadmins. https://www.youtube.com/watch?v=XntQZsV61EA https://linkmeup.ru/podcasts/3252/

Неделю назад где-то начали давить DoH, а теперь взялись за остальное На ТСПУ начали перехватывать открытые DNS запросы к 1.1.1.1, 8.8.8.8 https://habr.com/ru/articles/1075272/

... И тут в ходе экспериментов, возникает следующая интересная ситуация, если отправить запрос резолвинга A записи сначала с ttl 2 (отправка до узла после ТСПУ), а затем повторить отправку, но уже с ttl 64, то тогда возвращается оригинальный ответ:

~# tcpdump -n -i ppp0 host 8.8.8.8 -v
tcpdump: listening on ppp0, link-type LINUX_SLL (Linux cooked v1), snapshot length 262144 bytes
11:48:27.486777 IP (tos 0x0, ttl 2, id 154, offset 0, flags [none], proto UDP (17), length 82)
    X.X.X.X.23121 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:48:30.533401 IP (tos 0x0, ttl 64, id 11794, offset 0, flags [none], proto UDP (17), length 82)
    X.X.X.X.23121 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:48:30.683231 IP (tos 0x0, ttl 109, id 1909, offset 0, flags [none], proto UDP (17), length 102)
    8.8.8.8.53 > X.X.X.X.23121: 35076 2/0/1 rutracker.org. A 172.67.182.196, rutracker.org. A 104.21.32.39 (74)

При этом отправка рандомного пакета (не DNS запроса) с ttl 2 в начале не изменяет ситуацию, и при повторной отправке с ttl 64 будет получен NXDomain:

~# tcpdump -n -i ppp0 host 8.8.8.8 -v
tcpdump: listening on ppp0, link-type LINUX_SLL (Linux cooked v1), snapshot length 262144 bytes
11:54:00.766581 IP (tos 0x0, ttl 2, id 3798, offset 0, flags [none], proto UDP (17), length 380)
    X.X.X.X.21631 > 8.8.8.8.53: 20150 updateA Resp11*-| [46423q] [|domain]
11:54:00.899956 IP (tos 0x0, ttl 64, id 22135, offset 0, flags [none], proto UDP (17), length 82)
    X.X.X.X.21631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:54:00.911030 IP (tos 0x0, ttl 60, id 9107, offset 0, flags [none], proto UDP (17), length 70)
    8.8.8.8.53 > X.X.X.X.21631: 35076 NXDomain* 0/0/1 (42)

... И тут самое интересное, если выслать DNS запрос с TTL 2 до 8.8.8.8, тогда в ICMP TTL Exceeded будет содержаться dst ip не 8.8.8.8, а 195.208.5.1 (сервер НСДИ) ... При очень быстрой отправке DNS запросов в рамках одного соединения получается очень интересный сбой, сначала отдаёт NXDomain, а затем настоящие IP-адреса:

~# tcpdump -n -i ppp0 host 8.8.8.8 
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on ppp0, link-type LINUX_SLL (Linux cooked v1), snapshot length 262144 bytes
11:58:27.180858 IP X.X.X.X.24631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:58:27.181146 IP X.X.X.X.24631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:58:27.181300 IP X.X.X.X.24631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:58:27.181424 IP X.X.X.X.24631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:58:27.181540 IP X.X.X.X.24631 > 8.8.8.8.53: 35076+ [1au] A? rutracker.org. (54)
11:58:27.199977 IP 8.8.8.8.53 > X.X.X.X.24631: 35076 NXDomain* 0/0/1 (42)
11:58:27.213332 IP 8.8.8.8.53 > X.X.X.X.24631: 35076 2/0/1 A 104.21.32.39, A 172.67.182.196 (74)
11:58:27.213482 IP 8.8.8.8.53 > X.X.X.X.24631: 35076 2/0/1 A 172.67.182.196, A 104.21.32.39 (74)
11:58:27.213542 IP 8.8.8.8.53 > X.X.X.X.24631: 35076 2/0/1 A 104.21.32.39, A 172.67.182.196 (74)
11:58:27.216791 IP 8.8.8.8.53 > X.X.X.X.24631: 35076 2/0/1 A 172.67.182.196, A 104.21.32.39 (74)

Вывод: ТСПУ осуществляет направленный DNAT в сторону НСДИ при наличии DNS протокола внутри пакета, а так же при определённых dst адресах (не на всех DNS серверах происходит DNAT). Оператор связи на выходе после ТСПУ видит не dst адрес 8.8.8.8, а адрес НСДИ (195.208.5.1). С точки зрения оператора связи, трафик к 8.8.8.8 по netflow статистике должен был упасть.

Материал на Хабре по блокировке DoH выглядит сейчас так

По диагонали посмотрел, в целом забавно, но есть странные решения. Время редистрибутить OSPF в BGP #network

Архитектурные подходы практические советы к тому как строить Интернет провайдера. В качестве выбранной базы MikroTik, но советы очень общие чтобы подходить ко всему, поэтому можете на выбранную платформу не обращать внимания. Единственный момент, что, наверное, не стоит сейчас выбирать PPPoE, хотя в нём много своих плюсов и сразу подумать про IPv6, потому что с IPv4 публичными адресами для нового провайдера будет тяжеловато. В любом случае, 50000 абонентов в провайдере, это, конечно, не микропровайдер, но и не такое большое число - построить такую сеть реально почти на любом вендоре и технологии которые есть вокруг.