W sieci odnotowano masowy atak na domowe routery, w których firmware wykorzystuje implementację serwera http od firmy Arcadyan. Aby uzyskać kontrolę nad urządzeniami, zastosowano kombinację dwóch luk, które pozwalają na zdalne wykonanie dowolnego kodu z uprawnieniami roota. Problem dotyczy szerokiego zakresu routerów ADSL od firm Arcadyan, ASUS i Buffalo, a także urządzeń sprzedawanych pod markami Biełajn (problem potwierdzony […]
Firma Elasticsearch opublikowała wydanie elasticsearch-py 7.14.0, oficjalnej biblioteki klienckiej dla języka Python, zawierające zmianę, która blokuje możliwość łączenia się z serwerami, na których używana jest nieoryginalna, komercyjna platforma Elasticsearch. Biblioteka kliencka będzie wyświetlać błąd, jeśli po drugiej stronie używany jest produkt, przedstawiający się w nagłówku „X-Elastic-Product” nie jako „Elasticsearch” w nowych wydaniach, lub nie przekazujący pól tagline i […]
W standardowych bibliotekach języków Rust i Go zidentyfikowano luki związane z niewłaściwym przetwarzaniem adresów IP zawierających cyfry ósemkowe w funkcjach parsowania adresów. Luki te pozwalają na obejście weryfikacji dopuszczalnych adresów w aplikacjach, na przykład do organizacji zapytań do adresów interfejsu loopback (127.x.x.x) lub podsieci intranetowych podczas przeprowadzania ataków SSRF (serwerowe oszustwo żądania). Luki te stanowią kontynuację problemów wcześniej wykrytych w bibliotekach node-netmask […]
Dostępne jest wydanie dystrybucji Linux Bottlerocket 1.2.0, rozwijanej przy współpracy z firmą Amazon, mającej na celu efektywne i bezpieczne uruchamianie izolowanych kontenerów. Narzędzia i komponenty zarządzające dystrybucją są napisane w języku Rust i rozpowszechniane na licencjach MIT oraz Apache 2.0. Obsługuje uruchamianie Bottlerocket w klastrach Amazon ECS, VMware oraz AWS EKS Kubernetes, a także tworzenie dowolnych kompilacji i edycji, umożliwiających zastosowanie […]
Dostępna jest nowa wersja skanera bezpieczeństwa sieci Nmap 7.92, zaprojektowana do audytowania sieci i wykrywania aktywnych usług sieciowych. W nowej wersji usunięto uwagi projektu Fedora dotyczące niezgodności z kryteriami otwartego oprogramowania licencji NPSL (na bazie GPLv2), na podstawie której rozpowszechniany jest kod Nmap. W nowej wersji licencji wprowadzono obligatoryjny wymóg zakupu oddzielnej komercyjnej licencji na korzystanie z kodu w oprogramowaniu zamkniętym […]
Firma Google pracuje nad dostarczeniem pełnych wersji przeglądarki Chrome dla systemu Fuchsia. W Fuchsia dostępny jest już silnik przeglądarki oparty na kodzie źródłowym Chromium do uruchamiania odrębnych aplikacji internetowych, ale przeglądarka jako osobny, pełnoprawny produkt dla Fuchsia nie była dostępna, a sama platforma rozwijała się w pierwszej kolejności dla IoT i urządzeń konsumenckich, takich jak Nest Hub. Ostatnie […]
Po dwóch latach prac zaprezentowano wydanie panelu Latte Dock 0.10, oferującego eleganckie i proste rozwiązanie do zarządzania zadaniami i plasmoidami. Obsługiwany jest efekt parabolicznego powiększania ikon w stylu macOS lub panelu Plank. Panel Latte zbudowany jest na bazie frameworka KDE Frameworks i biblioteki Qt. Obsługiwana jest integracja z pulpitem KDE Plasma. Kod projektu jest rozpowszechniany […]
Systemy webowe, w których frontend przyjmuje połączenia przez HTTP/2 i przekazuje je do backendu przez HTTP/1.1, stały się podatne na nową wersję ataku „HTTP Request Smuggling”, pozwalającą na wstrzykiwanie specjalnie sformatowanych żądań klienta do treści zapytań innych użytkowników, które są przetwarzane w tym samym wątku między frontendem a backendem. Atak może być wykorzystany do wstrzykiwania złośliwego kodu JavaScript do sesji z legalnym […]
Ogłoszono zwycięzców corocznej nagrody Pwnie Awards 2021, wyróżniającej najważniejsze luki i absurdalne porażki w dziedzinie bezpieczeństwa komputerowego. Pwnie Awards jest uważana za odpowiednik Oscara i Złotej Maliny w dziedzinie bezpieczeństwa komputerowego. Główne nagrody (lista nominowanych): Najlepsza luka umożliwiająca podniesienie przywilejów. Zwycięstwo przyznano firmie Qualys za odkrycie luki CVE-2021-3156 w narzędziu sudo, umożliwiającej uzyskanie przywilejów roota. […]
Zostało przedstawione wydanie EdgeX 2.0, otwartej modułowej platformy służącej do zapewnienia interakcji między urządzeniami IoT, aplikacjami i usługami. Platforma nie jest związana z urządzeniami konkretnych dostawców ani systemami operacyjnymi, a jej rozwój odbywa się w niezależnej grupie roboczej pod egidą Linux Foundation. Komponenty platformy zostały napisane w języku Go i są rozpowszechniane na licencji Apache 2.0. EdgeX umożliwia tworzenie bramek łączących istniejące urządzenia IoT oraz […]
Opublikowano wersję projektu PipeWire 0.3.33, rozwijającego nową generację serwera multimedialnego, który ma zastąpić PulseAudio. PipeWire rozszerza możliwości PulseAudio o funkcje do pracy z strumieniami wideo, możliwość przetwarzania dźwięku z minimalnymi opóźnieniami oraz nowy model bezpieczeństwa do zarządzania dostępem na poziomie pojedynczych urządzeń i strumieni. Projekt jest wspierany w GNOME i jest już domyślnie stosowany w Fedora Linux. […]
Kees Cook, były główny administrator systemu kernel.org i lider Ubuntu Security Team, obecnie pracujący w Google nad zabezpieczeniami Androida i ChromeOS, wyraził zaniepokojenie obecnym procesem naprawiania błędów w stabilnych gałęziach jądra. Co tydzień do stabilnych gałęzi dodawanych jest około stu poprawek, a po zamknięciu okna na zmiany w następnej wersji zbliża się do tysiąca […]