Die wichtigsten Ereignisse des Jahres 2023 im Zusammenhang mit Open-Source-Projekten

Eine Zusammenstellung der wichtigsten und bemerkenswertesten Ereignisse des Jahres 2023 im Zusammenhang mit Open-Source-Projekten und Informationssicherheit:

• Die Veröffentlichung der Quelltexte der Red Hat Enterprise Linux-Distributionspakete wurde eingestellt und CentOS Stream bleibt die einzige öffentliche Quelle für RHEL-Paketcode. Unzufriedenheit mit Red Hat über Produkte, die einfach neu gebaut werden, ohne eigene Änderungen. Umstrukturierung der Distributionen (Alma Linux, Rocky Linux, Oracle Linux), die RHEL-Pakete verwenden. Gründung des OpenELA-Verbandes, in dem Rocky Linux, Oracle und SUSE ihre Kräfte bündeln, um eine mit RHEL kompatible Paketbasis zu erhalten.
• Konflikte: Kritik am Geschäftsmodell von Red Hat. Versuch, die API Web Integrity voranzutreiben und ihre Entfernung aus Chromium als Reaktion auf Bedenken hinsichtlich einer ähnlichen DRM-Lösung für das Web. Bjarne Stroustrup gegen die Durchsetzung sicherer Programmiersprachen. Ablehnung von Patches von Baikal Electronics. Indigene gegen Apache. Abschaffung und Rückkehr des Docker Hub Free Team.
• Die Firma Canonical hat LXD in ihr Unternehmensprojekt umgewandelt. Daraufhin hat die Community der Linux-Container unter Beteiligung der LXD-Gründer einen unabhängigen Fork – Incus – erstellt. Danach hat Canonical das Projekt von der Apache-2.0-Lizenz auf die AGPLv3-Lizenz umgestellt.
• Forks: LibrePGP – ein Fork des OpenPGP-Standards vom Autor von GnuPG. Crab – ein Fork der Programmiersprache Rust. OpenTofu und OpenBao – Forks von Terraform und Vault, die nach dem Wechsel von HashiCorp zu einer proprietären Lizenz erstellt wurden.
• Akquisitionen und Restrukturierungen: SUSE wird von einem öffentlichen Unternehmen in eine private Firma umgewandelt. Mozilla hat das Unternehmen Fakespot gekauft. Das Projekt Nextcloud hat den E-Mail-Client Roundcube übernommen.
• Gerichtsverfahren: Quad9 hat einen Rechtsstreit mit Sony über die zwangsweise DNS-Sperrung gewonnen. Der Rechtsstreit zwischen Stockfish und ChessBase über die Verletzung der GPL wurde abgeschlossen.
• Urheberrecht: Änderung der Markenrichtlinien im Zusammenhang mit Rust. Sperrung der Website des Projekts Youtube-dl. Verhandlungen über Tantiemen für Urheberrechtsinhaber für von AI-Systemen generierte Inhalte. Entfernung eines Firefox-Add-ons zur Umgehung von Paywalls aufgrund einer DMCA-Beschwerde. Entfernung des Dolphin-Emulators von Steam und Sperrung des Projekts Lockpick auf GitHub auf Anfrage von Nintendo.
• Lizenzen: Übergang der Produkte von HashiCorp zu einer proprietären Lizenz. Der Compiler Cheerp wurde auf die Lizenzen Apache 2.0 und LLVM umgestellt. Wikipedia wechselt zur Lizenz CC BY-SA 4.0. Konzept des Post-Open Source.
• Gesetze: Verantwortung für Fehler im Open-Source-Code. Einfluss des Entwurfs des Cyber Resilience Act auf die OSS. Gesetzesentwürfe, die die Teilnahme von Bürgern der RF an großen OSS-Projekten behindern könnten.
• Entwicklungsplattformen und Anwendungs-Kataloge: Evolution von Flathub als unabhängiger Anwendungs-Katalog. Übergang des Hostings von Sourceware unter die Organisation SFC. Einführung der verpflichtenden Zwei-Faktor-Authentifizierung in PyPI und GitHub. Unterstützung von OpenID Connect in PyPI und Einstellung der Unterstützung für PGP-Signaturen. Einstellung der Unterstützung für Subversion in GitHub. Änderung der Prüfnummern von Archiven in GitHub.
• Programmiersprachen und Compiler: GCC 13, LLVM 16/17, Java SE 20/21, Go 1.21, .NET 8, Perl 5.38, Julia 1.10, PHP 8.3, Ruby 3.3, V 0.4.3, Zig 0.11, Nim 2.0. Tinygo – ein Go-Compiler auf Basis von LLVM. Minotaur – ein Optimierer für LLVM.
• Entwicklungswerkzeuge: Buck2-Bausystem. Fuzzing-Testsysteme Snapchange und Buzzer. Automatisierungssystem für den Build-Prozess Cicada. Übergang von Red Hat von Bugzilla zu Jira. Git 2.40-2.43.
• Neue Sprachen: Mojo, PXP (PHP-Dialekt), Birb, Moonbit.
• Python: Python 3.12. Compiler Cython 3.0, Nuitka 1.7. Interpreter RustPython. Plan zur Beseitigung der globalen Sperre. Einführung eines JIT-Compilers. Integration von Python in Excel. 7 % der Entwickler verwenden weiterhin Python 2.
• Expansion der Rust-Sprache: Rust 1.67 – 1.75. Hinzufügen von Rust-Code zum Windows 11-Kernel. Die Verwendung von Rust wird in Chromium erlaubt. Öffnung des Compilers Ferrocene. Parallelisierung des Compilierungsprozesses. Umschreibung von Binderm-Projekten, Fish, Xen-Toolchain, Google pvmfm und Intel TD-Shim in Rust. Audit von Rust-Paketen. Rust-Module für NGINX. Stabiler Release von Sudo-rs. IDE RustRover von JetBrains. Satellit mit einem Rust-Subsystem. Hickory DNS wird in Let’s Encrypt verwendet.
• Systemkomponenten: systemd 255/254/253, GRUB 2.12. Sanfter Neustart-Modus. Modernisierung der Partitionierung der Boot-Partitionen. Glibc 2.38. Glibc-Build mit LLVM. Einstellung der Unterstützung für utmp in Glibc.
• Hardware: SEF (Software Enabled Flash). RTL-Design von OpenTitan abgeschlossen. Vortex 2.0 (offene GPGPU). Cascade (Fuzzing-Test für RISC-V). Raspberry Pi 5. RISE (RISC-V Software Ecosystem). Architektur Intel x86S. Offene Smartwatches ZSWatch.
• Firmware: AMD openSIL - Plattform zur Erstellung offener Firmware. Valetudo (Firmware für Roboter-Staubsauger). Öffnung der Firmware von Musik-Synthesizern Deluge. Erstellung von GNU Boot und Umbenennung in Canoeboot aufgrund der Verwendung eines fremden Namens. Snagboot - Toolset zum Wiederherstellen und Neuprogrammieren von eingebetteten Geräten. Coreboot 4.19-4.22. InkBox OS 2.0 für E-Book-Reader Kobo und Kindle.
• Netzwerkinfrastruktur: Datentransfertechnologie Falcon. Fonoster (Alternative zu Twilio). Kommunikations-Stack für Drohnen WFB-ng. Wi-Fi-Stack OpenWifi 1.4. LTESniffer zum Abfangen von 4G LTE-Traffic. SSH3. Protokoll uProtocol für Automobilservices. Traffic-Optimizer LibreQoS. Device Memory TCP zur Datenübertragung zwischen Geräten.
• Standards: Standard SQL:2023. Standardisierung der End-to-End-Verschlüsselung MLS. Standardisierung eines zensurresistenten Systems für Domainnamen GNS. Standard für 3D-Rendering-Engines ANARI.
• Schutzmechanismen: CHERIoT zur Verbesserung der Sicherheit von C-Code. Schutz gegen Timing-Angriffe in OpenSSH. Der Code von AMD SEV (Secure Encrypted Virtualization) wurde offengelegt. Google Open Se Cura für sichere Chips. Plattform zur Isolierung des Browsers BrowserBox Pro. Konsortium zur Erforschung der Sicherheit des Linux-Kernels. Deaktivierung von io_uring in ChromeOS und Android.
• Betriebssysteme: ToaruOS 2.2, RT-Thread 5.0, DentOS 3.0, Visopsys 0.92, GeckOS 2.1, Fuchsia 14, Qubes 4.2.0.
• Neue Distributionen: Liberty Linux, Fork von RHEL durch SUSE. openKylin von den größten chinesischen Unternehmen. EB corbos Linux, Ubuntu-Edition für Automobilsysteme. Fedora Asahi Remix für Apple ARM-Chips. openSUSE Slowroll. openKylin 1.0 (chinesisch). Photon OS 5.0 (von VMware).
• Distributionen: Debian 12, Ubuntu 23.04/23.10, Fedora 38/39, openSUSE Leap 15.5, RHEL 9.2/9.3, SUSE 15 SP5, OpenWrt 23.05.0, Devuan 5.0, OpenMandriva Lx 5.0, Mageia 9, openSUSE Leap Micro 5.5, Elementary OS 7.1, Whonix 17, Linux Mint 21.2, Proxmox VE 8.0, Endless OS 5.0, SUSE ALP „Piz Bernina“ (Anpassbare Linux-Plattform), WSL 2.0 (Windows Subsystem für Linux). Neuer Paketbegleitzyklus mit Kernel in Ubuntu. Installer auf Basis einer Web-Oberfläche in Fedora und openSUSE.
• Mobile Plattformen: Android 14. KDE Plasma Mobile 23.01. LineageOS 20. ROSA Mobile auf Basis von KDE Plasma Mobile, RED OS M auf Basis von Android und ALT Mobile auf Basis von Phosh. Ubuntu Touch OTA-3 Focal, postmarketOS 23.12, /e/OS 1.17, webOS 2.24, Phosh 0.29.0. Smartphone Liberty Phone.
• BSD: FreeBSD 14.0, OpenBSD 7.4, DragonFly BSD 6.4, MidnightBSD 3.1, helloSystem 0.8, DiscoBSD. Einstellung der Unterstützung des GNU/kFreeBSD-Pakets in Debian.
• Paketverwaltung: Ubuntu Desktop-Variante nur mit Snap-Paketen. Binärpakete in Gentoo. Einstellung der Unterstützung von Flatpak in der Basisversion der offiziellen Ubuntu-Editionen. Projekt unsnap zur Migration von Ubuntu von Snap auf Flatpak.
• Neue Benutzeroberflächen: Miriway, Kera Desktop. Entwicklung der Plattform KDE 6.
• Aktualisierung der Benutzeroberflächen: GNOME 44/45, KDE 5.27, Budgie 10.8, Regolith 3.0, Enlightenment 0.26, Cinnamon 6.0, LXQt 1.4, NsCDE 2.3, Weston 13.0, labwc 0.7, Wayfire 0.8. Neues Fensterverwaltungskonzept in GNOME.
• GUI und Grafik: GTK 4.10/4.12, Qt 6.5/6.6, Libadwaita 1.4, Louvre 1.0, SDL 2.28, Mesa 23.0-23.3. Umstellung von GNOME Shell und Mutter auf GTK4. Arbeit an GTK5. Grafische Bibliothek IGL freigegeben. System zur Erstellung grafischer Schnittstellen Slint 1.0.
• Förderung von Wayland: Umstieg von Lubuntu auf Qt 6 und Wayland. Bewegung hin zur Einstellung der Unterstützung von X11 in GNOME, KDE, Fedora und RHEL. Unterstützung in IDE IntelliJ und OpenJDK. Portierung von Cinnamon.
• Treiber: NVK (Vulkan-Treiber für NVIDIA). Asahi für Apple AGX-GPUs. Unterstützung von GSP-Firmware für NVIDIA in nouveau. PanCSF für Mali-GPUs. Promotion des Xe-Treibers für Intel-GPUs.
• Modellierung und 3D: Blender 4.0, Quellcode des Renderingsystems Dreamworks MoonRay freigegeben. Engine für verteiltes Raytracing OSPRay 3.0. Förderung von FreeCAD für professionelle Anwendungen. Quellcode des internen Forks von Blender von SPA Studios veröffentlicht. D8VK (Direct3D 8 über Vulkan). CAD LibrePCB 1.0, FreeCAD 0.21, CadZinho 0.3, KiCad 7.0. Allianz zur Förderung der Technologie OpenUSD.
• Grafik: Inkscape 1.3, GIMP 2.10.36/2.99.16, Darktable 4.6, Krita 5.2, Pinta 2.1. Portierung von GIMP auf GTK3. AMD FidelityFX Super Resolution 2.2.
• Multimedia, Video: PipeWire 1.0.0, FFmpeg 6.1, GStreamer 1.22.0, Kodi 20. OBS Studio 30.0 und Owncast 0.1.0. Videobearbeitungsprogramme Flowblade 2.12, Shotcut 23.11, OpenShot 3.1, Pitivi 2023.03, LosslessCut 3.49.0.
• Codecs: IAMF-Format für räumlichen Klang. Beendigung der Unterstützung von Theora in Chrome und Firefox. Audiocodec Opus 1.4. Einbindung von aptX und aptX HD in Android. Unterstützung von JPEG XL in Safari und WebKit.
• Spiele: Quellcode der Spiel-Engine Dagor Engine veröffentlicht, die von VK in Nau Engine verwendet wird. Spiel-Engines Open 3D Engine 23.10, Minetest 5.8.0, Godot 4.0/4.1/4.2, Ambient. Quellcode des Spiels Duelyst und einer neuen Edition von Quake II veröffentlicht.
• Neue Open-Source-Projekte: Microsoft gibt den Quellcode von Azure RTOS frei und übergibt das Projekt an die Eclipse-Community. Emulator Blink. Yandex hat die Plattform YTsaurus eröffnet. Intel hat OpenCL CPU RT (OpenCL CPU Runtime) freigegeben. NVIDIA hat die RTX Remix Runtime geöffnet. Twitter hat die Empfehlungs-Engine veröffentlicht.
• Datenbanken: Verarbeitungssprache PRQL. PayPal hat die Datenbank JunoDB freigegeben. AlaSQL - Datenbank für Browser und Node.js. Dragonfly 1.0 (NoSQL-Speicher). PostgreSQL 16, MySQL 8.1/8.2, SQLite 3.41 - 3.44, DuckDB 0.9, EdgeDB 4.0. SQLite-Erweiterungen: CG/SQL (Stored Procedures), HC-tree (Parallelisierung des Schreibens), CBS und sqld (Cloud- und Serveroptionen). OrioleDB - Engine zu PostgreSQL ohne VACUUM. FerretDB 1.0 - MongoDB-Implementierungen auf Basis von PostgreSQL.
• Web: JavaScript-Plattformen Bun 1.0 und Node.js 21/20. Cheerp 3.0, ein C/C++-Compiler für JavaScript. Wasmer 4.0, ein Toolkit für WebAssembly.
• Browser: Midori 11, Pulse Browser, Tor Browser 13.0, Wolvic 1.5, qutebrowser 3.0, Nyxt 3.0.0, Tangram 2.0, Openra One, NetSurf 3.11. Neue Browser Mullvad (von Tor und Mullvad) VPN), Carbonyl und Thorium 110. Die Entwicklung von Servo wurde wieder aufgenommen. Trennung von Browser und Benutzeroberfläche in ChromeOS.
• Mozilla: KI-Bot MemoryCache. Verzeichnis von Erweiterungen für die Android-Version von Firefox. Wechsel von Mercurial zu Git. Start eines sozialen Netzwerks. Firefox 109-121: Entfernen von Tracking-Parametern aus URLs, maschinelle Übersetzung, ECH zur Verbergung der Domain im HTTPS-Verkehr, zusätzlicher Schutz vor versteckter Identifikation, Import von Erweiterungen aus anderen Browsern, automatisches Schließen von Cookie-Anfragen, Entfernung von XUL Layout, Beschleunigung für NVIDIA-GPU, Aktivierung von Wayland.
• Chrome: JIT-Compiler Maglev. Thorium – ein schnellerer Fork von Chromium. Vorbereitung zur Blockierung von Drittanbieter-Cookies. Erzwingung von HTTPS. Verschlüsselung, die gegenüber der Dekodierung auf Quantencomputern resistent ist. Unterstützung für WebGPU. Modus zur Verbergung IP-Adressen. Verkürzung des Release-Zyklus. Unterstützung von MathML. Chrome 109-120.
• Verteilte und P2P-Systeme: Kommunikationsplattform Jami Vilagfa. PeerTube 6.0. Apache Pinot 1.0. Unterstützung für P2P-Streaming in OBS Studio. Browser CENO 2.0, der ein P2P-Netz verwendet. Der Code für die Implementierung von MeshNet wurde geöffnet.
• Maschinelles Lernen: Optimierer für Modelle OpenXLA. BlenderGPT. Mozilla.ai. Modell zur Synthese von 3D-Bildern. Stable Video Diffusion, Video-LLaVA und Kandinsky Video zur Videosynthese. Llamafile zum Packen von Modellen in ausführbare Dateien. Modell zur vektoriellen Darstellung der Bedeutung von Text Jina Embedding. Hintergrundentfernung von Bildern und Videos. Offenes Datenset RedPajama. OpenChatKit, FlexGen, Open-Assistant zur Erstellung von Chatbots. AI Alliance für die gemeinsame Entwicklung offener KI-Technologien.
• Dateisysteme: Composefs, OpenZFS 2.2, Puzzlefs von Cisco, HAMMER2 für NetBSD und FreeBSD. Abgang des unterstützenden XFS. Umstellung von ReiserFS auf abgekündigt. Förderung von Bcachefs. Probleme mit XFS, OpenZFS und Ext4.
• Virtualisierung, Emulation und Container: MicroCloud von Canonical. Containersysteme Finch 1.0 (von Amazon), Incus (Fork von LXD), LXD 5.17, Bottlerocket 1.15.0, Firejail 0.9.72, Bubblewrap 0.8, Kata Containers 3.2. Xen 4.18. Intel hat die Entwicklung des Hypervisors HAXM (Hardware Accelerated Execution Manager) eingestellt. QEMU 8.0-8.2.
• Serveranwendungen: ClamAV 1.1/1.2, Postfix 3.8.0, Exim 4.97, nginx 1.24, OpenSSH 9.2-9.5, Samba 4.18/4.19, OpenVPN 2.6. VPN Rosenpass. Caching-Server Passim. IMAP-Bibliothek Gluon
• Der Linux-Kernel: Ein System zur automatischen Optimierung von Kernelparametern. Überwachung der Überhitzung des Systems. Entfernung von UMS (Userspace Mode-Setting). Systemaufruf cachestat. Die Kerne 6.6 und 6.1 haben den LTS-Status erhalten, der Kernel 6.1 wird 10 Jahre lang unterstützt. Ein vereinfachter Linux-kompatibler Kernel Tilck. Ausbrennen von Begleitprozessen.
• Hauptänderungen im Kernel:
  • 6.2: Erlaubt die Annahme von Code unter der Lizenz Copyleft-Next, verbesserte Implementierung von RAID5/6 in Btrfs, Fortsetzung der Integration von Rust-Unterstützung, reduzierte Overheads zum Schutz vor Retbleed-Angriffen, hinzugefügt die Möglichkeit zur Regelung des Speicherverbrauchs bei verzögerter Schreibweise, für TCP wurde ein Mechanismus zur Lastverteilung (Protective Load Balancing, PLB) hinzugefügt, ein hybrider Mechanismus zum Schutz des Befehlsausführungsflusses (FineIBT), in BPF die Möglichkeit, eigene Objekte und Datenstrukturen zu definieren, das Dienstprogramm rv (Runtime Verification) ist enthalten, der Energieverbrauch wurde bei der Implementierung von RCU-Sperren gesenkt.
  • 6.3: Bereinigung veralteter ARM-Plattformen und Grafiktreiber, Fortsetzung der Integration von Rust-Unterstützung, Dienstprogramm hwnoise, Unterstützung für Baumstrukturen (red-black) in BPF, BIG TCP-Modus für IPv4, integrierter Leistungstest Dhrystone, Möglichkeit des Ausführungsverbots in memfd, Unterstützung bei der Erstellung von HID-Treibern unter Verwendung von BPF, in Btrfs wurden Änderungen zur Verringerung der Fragmentierung von Blockgruppen angenommen.
  • 6.4: Möglichkeit zur Erstellung von Kernel-Arbeitern aus dem Benutzerspeicher, Fortsetzung der Integration von Rust-Unterstützung, Unterstützung des Intel LAM (Linear Address Masking) Mechanismus, Deduplication von Speicherseiten auf Prozessebene, Unterstützung gewohnter Iteratoren in BPF, Unterstützung für den Schlafmodus in RISC-V-Systemen, Möglichkeit zur Verfolgung von Benutzerprozessen, neues Speichermanagementsystem für Kernelmodule, Verbot der Deaktivierung von SELinux während des Betriebs, Unterstützung von verschlüsselten RPC-Paketen für NFS, Entfernung des SLOB Slab-Allocators.
  • 6.5: Unterstützung des Intel TPMI Energiemanagementmechanismus, Systemaufruf cachestat, Fortsetzung der Integration von Rust-Unterstützung, Unterstützung des Unaccepted Memory-Protokolls, Unterstützung für Vektoroperationen in RISC-V, Mechanismus „fprobe-events“, Übergang in die Kategorie veralteter Speicherverteilungsmechanismen SLAB, „data-only“-Modus in Overlayfs, „beneath“-Montagemodus.
  • 6.6: neuer Aufgabenplaner EEVDF; Schattenstapel-Mechanismus zum Schutz vor Exploits; Unterstützung von fs-verity in OverlayFS; Implementierung von Quoten und xattr in tmpfs; Vorbereitung von online fsck in XFS; verbesserte Nachverfolgung des Exports von „GPL-only“-Symbolen; Unterstützung von Netzwerksockets in io_uring; Speicherrandomisierung in kmalloc(); ReiserFS wurde als veraltet erklärt; primitive für den Vulkan-Treiber NVK in Nouveau hinzugefügt.
• Verschlüsselung: Protokoll zur kryptografischen Verifizierung OpenPubKey. Aktivierung von TLSv1.3 in nginx. Vollverschlüsselung des Datenträgers in Ubuntu. Standardmäßige FS-Verschlüsselung in Fedora. VeraCrypt 1.26, OpenSSL 3.1/3.2, Botan 3.0. Erweiterung zur Koordination der Aktualisierung von Let’s Encrypt-Zertifikaten.
• Kryptografie-Probleme: Wiederherstellung von RSA-Schlüsseln durch Analyse von SSH-Verbindungen. Optimierung der Faktorisierung von RSA-2048 auf einem Quantencomputer. Entschlüsselung von RSA basierend auf der Messung der Ausführungszeit. Angriff auf TPM 2.0-Krypto-Chips. Verbot der Änderung von Zertifikaten in Android. Wiederherstellung von Schlüsseln anhand einer LED-Anzeige.
• Schwachstellen in Prozessoren und Hardware: Downfall, SLAM, Reptar, CacheWarp, Inception, Zenbleed, EFLAGS, iLeakage, PMFault, GPU.zip. Problem bei AMD-CPUs bei der Division durch Null. Hängenbleiben von AMD-CPUs nach 1044 Tagen. Hintertür in Gigabyte-Firmware. 29 Schwachstellen in RISC-V-Prozessoren. Schwachstellen in AMI MegaRAC-Firmware.
• Angriffsmethoden: SMTP Smuggling (Spoofing von E-Mail-Nachrichten), Mayhem (Umgehung der Authentifizierung in sudo und OpenSSH), LogoFAIL (Einfügen von bösartigen Logos in UEFI-Firmware), BLUFFS (MITM in Bluetooth), MaginotDNS (Datenmanipulation im DNS-Cache), TunnelCrack (Abfangen von VPN-Traffic), RepoJacking (Übernahme von Projekten auf GitHub), BrutePrint (Entsperrung von Android-Smartphones), MacStealer (Abfangen von Wi-Fi-Traffic), Terrapin (MITM auf SSH). Angriff auf das HTTP/2-Protokoll. Umgehung der Festplattenverschlüsselung durch ständiges Drücken der Enter-Taste. Anwendung des Rowhammer-Angriffs zur Erstellung einzigartiger Identifikatoren. Einfügen von Tastatureingaben über Bluetooth.
• Forschungen: Analyse von Lecks auf den Smartphones Realme, Xiaomi und OnePlus. Methode zur Ausnutzung von NULL-Zeiger-Dereferenzierungen im Linux-Kernel. Bestimmung der Konturen von Objekten hinter Wänden über Wi-Fi. Abhängigkeit der Ausführungszeit von Instruktionen von den Daten in der CPU. Bestimmung des Standorts durch Analyse von Verzögerungen beim SMS-Versand. Bestimmung von Text durch den Klang der Tastatureingabe. Probleme mit alten Abhängigkeiten.
• Lokale Schwachstellen: Linux-Kernel (nftables (1, 2), eBPF, ipset, skb, exFAT, netfilter, tcindex, VMA, io_uring, Schutz vor Spectre v2, QoS), Glibc ld.so, NTFS-Treiber GRUB, OpenOffice, LibreOffice, Xreader, X.Org Server, libX11, GCC, openSUSE-welcome, Ubuntu OverlayFS, OverlayFS, sudo.
• Entfernte Schwachstellen: Linux-Kernel (NVMe-oF/TCP, ksmbd, IPv6-Stack), strongSwan IPsec, Exim, oFono, ClamAV, OpenSSH (1, 2, ssh-agent), Buildroot, Git (1, 2, 3), OpenSSL, GStreamer, Zephyr RTOS, OpenVPN, SoftEther VPN, ingress-nginx, VLC, Squid, libcue (Angriff über GNOME), libvpx (Angriff über Browser), libwebp (Angriff über Browser und LibreOffice), GitLab (1, 2, 3), FreeBSD pf, Python, PHP, Cargo (1, 2), VitualBox, Redis, Asterisk, Mastodon, nginx, I2P, Tor, cpdb-libs, cups-filters, Apache OpenMeetings, Warpinator, Ghostscript, Flatpak, Home Assistant, Wasmtime, ImageMagic, Ruby on Rails, Hyper.
• Hacks: MongoDB, Sourcegraph, Kodi, Inkscape, Ledger, LastPass, Slack, CircleCI und Rackspace, Reddit.
• Privatsphäre: Telemetrie in Go und Fedora. Telemetrieergebnisse in GNOME. Probleme in automobilen Informationssystemen. 67% der Apache Superset nutzen Beispielschlüssel. Wiederherstellung zugeschnittener Screenshots.
• Schwachstellen in Routern und Hardware: Barracuda ESG, Netgear, D-Link, MikroTik, ASUS, Juniper, Tenda, Samsung Exynos, Cisco IOS XE, Cisco Small Business, Zyxel, Canon. Abfangen von Datenverkehr von drahtlosen Zugangspunkten.
• Fortsetzung der Entdeckung bösartiger Pakete in Repositories und Verzeichnissen von NPM, PyPI, Ubuntu Snap Store. Übernahme von Projekten in PyPI und Packagist. Zugangsschlüssel, die in PyPI (1, 2) und GitHub vergessen wurden.
• Angriffe auf Infrastrukturen: Abfangen von Schlüsseln zur Signierung von Anwendungen auf GitHub. Leck von Git-Repositories von Yandex. Abfangen von verschlüsseltem Datenverkehr von jabber.ru und xmpp.ru. Bösartige Abhängigkeit in PyTorch. Leck von privaten Schlüsseln von Intel. Datenleck von 37 Millionen T-Mobile-Kunden aufgrund einer Schwachstelle in der API. Phishing von KeePass. Angriff auf Registrare, der die Übernahme der Kontrolle über 19 Top-Level-Domains ermöglichte.
• Vorfälle: Schwachstelle durch Ubuntu-Patches für OverlayFS. Veröffentlichung eines Host-SSH-Schlüssels von GitHub in einem öffentlichen Repository. Falsche Sicherheitsberichte. Backdoor in deb-Paketen des Free Download Managers. Einfügen obszöner Ausdrücke in den Installer von Ubuntu 23.10. Exploit rkvdec mit schädlichem Code.

Im Laufe des Jahres wurden auf OpenNET 1478 Nachrichten veröffentlicht, zu denen 162.000 Kommentare hinterlassen wurden. Im Herbst 2023 wird das OpenNET-Projekt 27 Jahre alt.

Quelle: opennet.ru