Kurgan-Telecom Ru | Информационные технологии

В новой версии встраиваемой ОС, предназначенной в первую очередь для маршрутизаторов, исправлено большое количество уязвимостей. Рекомендуется обновиться до последнего выпуска OpenWrt и установить все доступные обновления пакетов.

( читать дальше... )

 openwrt

Разработчик Wayland Саймон Сер (Simon Ser) запросил слияние для внедрения нового протокола ext-transient-output. Этот протокол предназначен для удаленного управления программным обеспечением, таким как серверы VNC, в среде Wayland.

Ext-transient-output аналогичен ext-transient-seat, но работает с Wayland-выходами (wl_output). Ext-transient-seat позволяет привилегированным клиентам динамически создавать независимые рабочие места, которые полезны для программного обеспечения удаленного рабочего стола и VNC. Ext-transient-output поддерживает динамический вывод для таких клиентов, позволяя перехватывать виртуальные выходные данные с помощью ext-image-copy-capture и отображать их на удаленном устройстве.

В запросе на слияние описывается следующий принцип работы протокола: «Привилегированные клиенты могут использовать временный протокол вывода для создания независимых виртуальных выходов, которые будут удалены из компоновщика после уничтожения объекта».

Протокол совместим с протоколами захвата изображения, такими как ext_output_image_capture_source_manager_v1, и используется для сценариев удаленного взаимодействия.

Особенностью протокола является создание глобальной переменной wl_output, не привязанной к конкретному аппаратному устройству.

В настоящее время существует экспериментальная реализация ext-transient-output для библиотеки компоновщика wlroots, представленная в виде черновика запроса на слияние.

 vnc, wayland

Signal — это мессенджер с открытым исходным кодом, позиционирующий себя как безопасный мессенджер со сквозным шифрованием и без привязки к номеру телефона. Описание уязвимости было опубликовано во вторник, 20 октября.

Суть уязвимости состоит в том, что Signal использует собственную библиотеку для реализации протокола WebRTC, в которой злоумышленник может выполнить переполнение очереди, и клиентское приложение не увидит события на завершение вызова. После того как пользователь нажимает на кнопку завершения вызова, приложение ведёт себя как обычно, но продолжает отправлять собеседнику аудио и видеосигнал, что может привести к передаче конфиденциальной информации.

CVSS присвоили этой уязвимости рейтинг 9.3 из 10. На github уже есть концептуальный эксплойт на языке python.

Всем пользователям рекомендуется обновиться до версии 2.72 как можно скорее.

 signal, webrtc

Вышла версия 0.3.0 Axia — свободной (Apache 2.0) веб-консоли и REST API для управления LDAP-каталогами. Через браузер можно управлять пользователями, группами, OU и учётными записями компьютеров. Поддерживаются OpenLDAP, Samba AD и Active Directory, а также любой сервер со стандартным LDAP (RFC 4511) поверх LDAPS или StartTLS.

Задача проекта — отдать рутину (заведение учёток, сброс паролей, группы) техподдержке и кадровикам, не раздавая им доступ к каталогу. Консоль работает от имени одной служебной учётной записи с делегированными правами. Права операторов назначаются через группы каталога и могут только сужать полномочия служебной учётки. Изменять учётные записи с бо́льшими правами, чем у самого оператора, нельзя. Все действия, включая отклонённые попытки, пишутся в журнал аудита.

( читать дальше... )

• Исходники: https://github.com/Nelsar/Axia
• Документация: https://nelsar.github.io/Axia/
• Выпуск 0.3.0: https://github.com/Nelsar/Axia/releases/tag/v0.3.0

 active directory, dotnet, ldap, openldap, samba

CheriBSD – специализированная операционная система, которая развивается при участии исследователей из Кембриджского университета и SRI International. Система поддерживает платформу Arm Morello и экспериментальную архитектуру CHERI-RISC-V. Исходный код и инструментарий доступны открыто.

Главная особенность проекта – использование аппаратно проверяемых привилегий (capabilities) вместо обычных указателей. Такая привилегия содержит адрес, границы доступной памяти и разрешения на выполнение операций. Процессор проверяет эти ограничения при обращении к памяти, что позволяет обнаруживать выходы за границы объектов и ограничивать последствия ошибок работы с указателями.

Механизмы CHERI интегрированы не только в пользовательские приложения, но и в ядро, системные библиотеки, ABI и средства отладки. Это позволяет экспериментировать с защитой существующего кода на C и C++, не требуя полного перехода на языки с проверками безопасности памяти на уровне компилятора, такие как Rust.

 bsd, cheribsd

Друзья, представляю вашему вниманию плеер RaceView. Он нужен, чтобы смотреть несколько видео синхронно. Изначально задумывался мной для просмотра в первую очередь Формулы-1: выбираем файл гонки, DriverTracker и DataChannel, запускаем и получаем три окна, воспроизведение в которых идёт синхронно.

В принципе подойдёт для любого случая, когда нужно несколько записей одного момента, например, для мультикамерных записей.

Что умеет:

• несколько дорожек, первая — мастер, остальные подстраиваются по её часам;

• управление по каждой дорожке: пауза/воспроизведение, выбор аудиодорожки, отключение звука, громкость и временной сдвиг;

• синхронная перемотка с OSD;

• полноэкранный режим по каждому окну или по всем сразу;

• регистрируется в виджете воспроизведения KDE Plasma как один проигрыватель;

• доступны переводы на английский русский, немецкий, испанский и французский;

Стек: Qt6 (Widgets / OpenGLWidgets / DBus), libmpv, C++17, CMake.

Сборки для Linux (AppImage) и Windows x86_64 (zip) готовятся в GitHub Actions и лежат в релизах.

Лицензия — GPL-3.0-or-later (проект линкует libmpv и Qt).

Замечания и баги — в issues или в комментариях.

 media player, mpv, video, от автора

Тихо и незаметно, в октябре 2026 года Санкт-Петербургской группе пользователей GNU/Linux — SPbLUG — исполняется 30 лет.

Первая линуксовка прошла в октябре 1996, но годы спустя сообщество всё так же собирается каждую последнюю среду месяца, а 28 октября отмечает юбилей. Праздновать зовут всех: и ветеранов, и тех, кто только присматривается к Linux.

Юбилейная встреча пройдёт 28 октября (среда) в 19:30 в баре Failover (2-я Советская улица, 18). Вход свободный. Будет ретроспектива «SPbLUG: три десятилетия вместе», воспоминания о первых дистрибутивах, угощения от партнёров IHC.ru и живое общение.

( читать дальше... )

 spblug, линуксовка, санкт-петербург

28 лет назад, в октябре 1998 года, был зарегистрирован домен Linux.org.ru.

По традиции просьба написать в комментариях, что бы вы хотели изменить на сайте, чего не хватает и какие функции стоит дальше развивать. Интересны и идеи по развитию, и мелочи, которые хотелось бы поменять, например, мешающие проблемы юзабилити и баги.

 lor

Команда PHP предупредила о выпуске двух критических исправлений безопасности. Администраторам рекомендуется заранее подготовить инфраструктуру к обновлению: опубликованные сведения об уязвимостях указывают на потенциальную возможность удалённого выполнения кода на серверах.

Две критические уязвимости

Разработчики PHP объявили о подготовке экстренных обновлений для двух уязвимостей — CVE-2026-109618 и CVE-2026-109619. Каждая из них получила оценку критичности 9,2 из 10 по CVSS v4.0.

Согласно официальному уведомлению, выпуск исправлений запланирован на 21 октября 2026 года, 14:00 UTC. Разработчики оставили за собой право опубликовать обновления раньше.

Технические подробности и перечень исправленных версий PHP должны быть опубликованы вместе с обновлениями.

( читать дальше... )

 cve, php, безопасность, уязвимость

Томас Фрохвайн (Thomas Frohwein) сообщил о портировании Wine на OpenBSD.

Известные ограничения:

• заявлена поддержка только 64-разрядных программ (WoW64 не поддерживается);
• внутренние тесты отключены, поскольку им нужен доступ к X-серверу, а несколько тестов всё ещё зависают.

В качестве успешно запускающихся программ называются ремастер игры «Ведьмак 3» (требуется vkd3d-proton) и редактор Notepad++.

 openbsd, port, wine

Компания Bitwarden, разработчик одноимённого менеджера паролей, в октябре 2026 года анонсировала переход на модель двойного лицензирования своих клиентских приложений. Основные моменты новой схемы лицензирования:

• Коммерциализация официальных сборок: С будущих обновлений все приложения, доступные через Google Play, Apple App Store и магазины расширений браузеров, а также загружаемые напрямую с официального сайта, будут распространяться под коммерческой лицензией Bitwarden.
• Открытый код на GitHub: Bitwarden продолжит публиковать и обновлять свою полностью открытую версию под лицензией GNU GPLv3 на GitHub. Пользователи, предпочитающие исключительно FOSS-решения, смогут собирать приложение из исходников или использовать метод Side-load.
• Разделение функционала в перспективе: Разработчики отметили, что в будущем коммерческие и открытые версии могут развиваться независимо. Платные функции, такие как возможности для корпоративного использования или интеграция с системами единого входа (SSO), могут стать доступны только в коммерческих сборках, в то время как в версии под GPLv3 останется базовый функционал управления паролями.
• Влияние на пользователей: На данный момент для текущих пользователей ничего не изменится. Бесплатный тарифный план будет доступен как в коммерческих, так и в открытых сборках, и все текущие функции останутся доступными в обеих версиях.

 bitwarden

20 октября 2026 года состоялся релиз операционной системы OpenBSD 8.0 — 61-го выпуска проекта. Новая версия получила ряд улучшений ядра, виртуализации, сетевых служб и поддержки оборудования. Как всегда, отдельное внимание разработчики уделили безопасности системных компонентов.

( читать дальше... )

 bsd, openbsd

Issuerd — Keycloak-совместимый IAM-сервер, написанный на Rust и распространяемый по лицензии Apache-2.0. Распространяется как один самодостаточный бинарник.

IAM-сервер (Identity and Access Management) — сервис, позволяющий реализовать централизованную аутентификацию и авторизацию (Single Sign-On, SSO) для веб-приложений.

Проект проходит тестирование по полной сертификационной матрице OpenID Foundation Conformance Suite (11 OP-профилей, 43 тест-плана, 612 модулей, более 31 000 условий) в CI на каждом релизе без ошибок и предупреждений. Результаты хранятся в репозитории.

Реализованы:

• DPoP (RFC 9449);
• token exchange (RFC 8693);
• CIBA (Client-Initiated Back-channel Authentication);
• федерация LDAP/Kerberos (импорт 100 тысяч пользователей AD за ~30 секунд).

Поставляются бинарники для шести платформ с SBOM, Docker Hub, crates.io.

>>> Документация

 oauth2, openid, rust