Os eventos mais importantes de 2024 relacionados a projetos abertos

Uma seleção final dos eventos mais importantes e notáveis de 2024 relacionados a projetos abertos e segurança da informação:

• Conflitos: Crise no projeto NixOS. Exclusão de Sonny Pierce do conselho da GfNOME Foundation. Afastamento temporário do autor de BсacheFS e suas críticas a Linus Torvalds. Afastamento de um dos principais desenvolvedores do Python. Conflito entre WordPress e WP Engine, que resultou na substituição do plugin ACF. Ataques da Malibal ao CoreBoot. Queixa ao regulador europeu sobre a Mozilla. Bloqueio do uBlock Origin Lite. Rebranding do Apache devido a questões indígenas.
• Sanções e bloqueios: Exclusão de 11 mantenedores do núcleo Linux relacionados à Rússia. Recusa do Spring em aceitar alterações de desenvolvedores da Rússia. Cumprimento dos requisitos da Mozilla pelo Roskomnadzor, seguido pela revogação do bloqueio e multa. Bloqueio temporário da Rússia no Docker Hub. Fechamento de acesso da Rússia aos repositórios OpenTofu. Bloqueio incorreto do OpenXRay no GitHub. Bloqueio no GitLab da extensão do navegador BPC.
• Forks: FreeNginx — fork do Nginx, Valkey e Redict — forks do SGBD Redis, Flock — fork do Flutter, Apache Cloudberry — fork do SGBD Greenplum. Lançamento inicial do OpenTofu, um fork do Terraform. Transição do OpenSearch, um fork do Elasticsearch, para a Linux Foundation.
• Aquisições, fusões e projetos conjuntos: A Microsoft entregou o Mono à comunidade Wine. A IBM compra a HashiCorp. A Mozilla adquiriu a empresa Anonym. Fusão do Tor com o Tails. Reestruturação do OpenSSL e união com as bibliotecas Bouncy Castle e Cryptlib. Iniciativa para o desenvolvimento da arquitetura x86.
• Patentes e direitos autorais: Ataques da Nintendo a projetos que desenvolvem emuladores de consoles: Yuzu, Suyu, Ryujinx, forks do Yuzu. A iniciativa OS Zone anulou 54 patentes. Remoção de parte do código ZLUDA a pedido da AMD. O HDMI Forum não permitiu a implementação do HDMI 2.1 em drivers abertos.
• Leis e regulamentos: Possibilidade de bloquear desenvolvedores do núcleo Linux que violarem o código de conduta. A FCC restaurou as regras de neutralidade da rede. Regras de uso de marcas registradas do Rust. NetBSD e Gentoo proibiram o uso de código gerado por sistemas de IA. O GitHub proibiu o armazenamento de projetos para criação de deepfakes.
• Licenças: Rascunho da licença Post-Open. Transição dos SGBDs Redis, CockroachDB e ScyllaDB para licença proprietária. Retorno do Elasticsearch para uma licença aberta. Interrupção do desenvolvimento do SGBD Greenplum como produto aberto. Mudança da licença do Zabbix de GPLv2 para AGPLv3, Forgejo de MIT para GPLv3, OpenVPN de GPLv2 para GPLv2 com exceções. Problemas de licenciamento com os drivers Tuxedo.
• Publicação do código-fonte do Winamp. Violação da licença GPL no código do Winamp. Remoção do código do Winamp.
• Introdução à definição de sistema de IA aberta e iniciativa para sua revogação. Classificação da abertura de modelos de IA generativa.
• Plataformas de desenvolvimento e catálogos de aplicativos: Desvinculação total do Forgejo do Gitea. Transição do Fedora para o Forgejo. GitVerse da SberTech. Plataforma P2P Radicle 1.0. Hospedagem de repositórios Git Game of Trees Hub. Autenticação de dois fatores obrigatória e novo sistema de verificação de pacotes no PyPI. 2 bilhões de downloads e um milhão de usuários no Flathub.
• Linguagens de programação e compiladores: GCC 14, LLVM 18/19, Java SE 22/23, Go 1.22/1.23, .NET 9, Perl 5.40, Julia 1.11, PHP 8.4, Ruby 3.4, V 0.4.8, Snek 1.10, Tcl/Tk 9.0, Swift 6.0, Clojure 1.12, Mojo 24.3.
• Novas linguagens e compiladores: Borgo (combina as melhores características do Go e Rust). TrapC (linguagem semelhante ao C, segura para trabalhar com memória). Hare (linguagem próxima ao C criada pelo fundador do Sway). Pkl (linguagem para definição de configuração). Vcc — compilador C/C++ para Vulkan. Bend — linguagem para cálculos paralelos em GPU.
• Ferramentas de desenvolvimento: Meson 1.6, Automake 1.17, GNU Mes 0.27. Gittuf para proteção criptográfica de repositórios Git. Ambiente de desenvolvimento Eclipse Theia. Editor de código Zed foi liberado.
• Python: Python superou o JavaScript na classificação do GitHub. Compilador JIT integrado. Python 3.13. NumPy 2.0.0. Compilador Nuitka 2.0.
• Programação segura: Promoção em C++ de mecanismos de trabalho seguro com memória. Estratégia para reduzir vulnerabilidades no Android. Fil-C — compilador para trabalho seguro com memória em C/C++. Avaliação da eficácia da aplicação do MiraclePtr em C++. Hyperlight — hipervisor para isolamento de funções individuais.
• Rust: Tradutor de IA para reescrever código C em Rust. Consórcio para desenvolver sistemas altamente confiáveis em Rust. Análise do uso de unsafe em pacotes Rust. Verificação da biblioteca padrão do Rust. Melhoria da portabilidade entre C++ e Rust.
• Componentes do sistema: systemd 256/257, Glibc 2.39/2.40, GNU Shepherd 1.0.0. Redução de dependências no libsystemd. run0 — substituto integrado ao systemd para sudo. Port do systemd baseado em Musl.
• Hardware: Roteador OpenWrt One. Novas placas Raspberry Pi: Pico 2, Compute Module 5, Pico 2 W, 500, Monitor, Media Center. Assistente de IA Home Assistant Voice. Vortex 2.2 (GPGPU aberto baseado em RISC-V). Criação de um processador aberto compatível com Z80. FuryGpu — GPU baseada em FPGA. PiDP-10 (clone do mainframe PDP-10). Primeiro chip na plataforma OpenTitan.
• Firmwares: A participação da Intel no desenvolvimento do CoreBoot. Ferramenta fwupd 2.0.0. Modificação de firmwares para chips TI CC13XX e CC26XX.
• Infraestrutura de rede: Iniciativa para utilização padrão do TCP_NODELAY (implementado no OpenBSD). Tesla lançou o protocolo TTPoE. A porcentagem de tráfego indesejado aumentou para 6,8%. free5GC para a construção da rede de referência 5G. Interrupção do suporte ao protocolo OCSP no Let’s Encrypt. Framework Pingora da Cloudflare. Sistema de configuração Netplan 1.0. Stack de rede F-Stack 1.24. hostapd/wpa_supplicant 2.11 com suporte ao Wi-Fi 7.
• Padrões: C23. Vulkan 1.4. POSIX 1003.1-2024. Padronização BPF. OpenMP 6.0. Padronização de algoritmos de criptografia pós-quântica. RFC para o codec de áudio FLAC.
• Mecanismos de proteção: OpenPaX (semelhante ao Grsecurity/Pax). Sistema de controle de acesso IPE.
• Novos SOs e distribuições: KDE desenvolvendo sua própria distribuição. ALDOS — uma variante do Fedora sem systemd. Kernels Asterinas e Maestro, escritos em Rust e parcialmente compatíveis com Linux. Apertis — distribuição para dispositivos eletrônicos da Collabora. Chimera — kernel Linux com ambiente FreeBSD. Red Hat Enterprise Linux AI. Fedora Atomic Desktops. Serpent OS. AlmaLinux Kitten. Uma variante atualizável do Manjaro. Selectel OS. TileOS. Helios (baseado no Illumos). ExectOS (com microkernel semelhante ao Windows NT).
• Atualizações de distribuições e SOs: Ubuntu 24.04/24.10, Ubuntu Core 24, CentOS Stream 10, Red Hat Enterprise Linux 10-beta/9.5/9.4, Fedora 40/41, openSUSE Leap 15.6, SUSE Linux Enterprise 15 SP6, openSUSE Leap Micro 6, ALT 10, elementary OS 8, Whonix 17.2, Linux Mint 22, Azure Linux 3.0, Proxmox VE 8.3, Tails 6, Alpine 3.21, Armbian 24.11, NixOS 24.11, Vanilla OS 2, Blend OS 4, Endless OS 6.0, LibreELEC 12.0, Manjaro 24.0, OpenMediaVault 7.0, Redox OS 0.9, Haiku R1-beta5, OpenIndiana 2024.04.
• Mudanças nas distribuições: Transformação do GNOME OS em uma distribuição para usuários comuns e transição para atualizações atômicas. Arch Linux (porta para RISC-V, participação da Valve). Fedora (remoção da sessão X11, transição para DNF5, ferramentas de IA, instalador baseado em interface web, status da edição básica para KDE). Mudanças na preparação de versões intermediárias do RHEL. OpenSUSE (transição para a plataforma SLFO/ALP, instalador Agama, builds repetíveis, descontinuação do uso da marca SUSE). Novos kernels no Ubuntu.
• OpenStreetMap migrou do Ubuntu para o Debian. LinkedIn migrou do CentOS para o Azure Linux.
• Sistemas operacionais em tempo real: RISC OS 5.30. RT-Thread 5.1. Suporte ao modo em tempo real no kernel Linux. Possibilidade de uso gratuito do QNX 8.0.
• BSD: FreeBSD 14.2, NetBSD 10, OpenBSD 7.6. ravynOS (edição do FreeBSD no estilo macOS). NixBSD (NixOS com kernel do FreeBSD). Discussão sobre o uso de Rust no FreeBSD. Melhoria do suporte a laptops no FreeBSD. Novo ciclo de preparação de lançamentos do FreeBSD. Instalador gráfico para o FreeBSD. SmolBSD (criação de micro-compilações do NetBSD).
• Plataformas móveis: Android 15/16-pre, LineageOS 22, KDE Plasma Mobile 6, Phosh 0.44, webOS 2.27, Ubuntu Touch OTA-7 Focal, Bliss OS, postmarketOS 24.12, /e/OS 2.6. Ecossistema de aplicativos móveis abertos Mobifree. Compilações postmarketOS baseadas em systemd. Porta Tizen para RISC-V. Droidian - variante Debian para smartphones. Suporte a PIN destrutivo no GrapheneOS.
• Portando Chrome OS para a plataforma Android. Suporte a aplicativos Linux no Android. MicroFuchsia para máquinas virtuais no Android.
• Gerenciamento de pacotes: Transição do OpenWrt para o gerenciador de pacotes APK. Pacstall (analógico do AUR para Ubuntu). GNU Mes 0.27. Início do desenvolvimento do RPM 6. Aura 4.0.0. Pacman 7.0. GNU Stow 2.4. Lançamentos de testes do APT 3.0. Modernizando o gerenciamento de pacotes no Arch Linux.
• Novos ambientes de usuário: Miracle, fase alfa para o COSMIC, KDE 6, Theseus Ship (anteriormente KWinFT).
• Atualização de ambientes de usuário: Xfce 4.20, GNOME 46/47, KDE Plasma 6.0/6.1/6.2, KDE Gear 24.12, MATE 1.28, LXQt 2.1.0, Cinnamon 6.4, Trinity R14.1.3, MaXX Interactive Desktop 2.2, Sway 1.10, Budgie 10.9, Regolith 3.1. Objetivos do KDE para dois anos. Plano do GNOME para 5 anos. 40 anos do X Window System.
• Atualização de servidores compostos: labwc 0.8.0, Hyprland 0.46, Niri 0.1.10, Cage 0.2, Weston 14.0, Wayfire 0.9.
• GUI: GTK 4.41/4.16, Qt 6.7/6.8, IGL 1.0. FLTK 1.4.0 com suporte a Wayland. Ardour continuou o desenvolvimento de um fork do GTK2. PortableGL 0.98 (implementação do OpenGL 3 em C). Novos motores para OpenGL e Vulkan no GTK. Louvre para desenvolvimento de servidores compostos. Desenvolvimento do SDL3.
• GPU: Mesa 24.0/24.1/24.2/24.3. Suporte ao Direct3D 8 adicionado ao DXVK. Porta de drivers NVIDIA para módulos de kernel abertos. Implementação aberta do vGPU da NVIDIA. Projeto LibreCUDA. A AMD publicou a documentação para o GPU RDNA 3.5.
• Promoção do Wayland: Wayland 1.23. Possibilidade de compilar o GNOME apenas com Wayland. Suporte ao Wayland nos drivers NVIDIA. Raspberry Pi OS migrou para o Wayland. Projeto Frog para promover novos protocolos Wayland. Protocolos experimentais do Wayland.
• Drivers: Nova (novo driver aberto para GPU da NVIDIA com firmwares GSP). embedded-hal (criação de drivers em Rust). Melhoria dos drivers NVK e Zink. EXT2 em Rust. Honeykrisp (driver Vulkan para o chip Apple M1). Disponibilidade do driver panthor para a 10ª geração de GPUs Mali. A AMD liberou o driver para NPU com motor XDNA.
• Multimídia: Pilha aberta para câmeras MIPI. FFmpeg 7.0/7.1, PipeWire 1.2.0, PulseAudio 17.0, OBS Studio 31.0, Kodi 21, MythTV 34. Estação de trabalho de áudio Zrythm 1.0.0. Plataforma de gerenciamento de estações de rádio Rivendell.
• Codecs: Codecs de áudio TSAC e Opus 1.5. Decodificador xHE-AAC do FFMpeg. jpegli - codificador e decodificador JPEG do Google. Suporte a JPEG XL na Samsung.
• Gráficos: Aproximação do lançamento do GIMP 3.0. Inkscape 1.4, Darktable 5.0, RawTherapee 5.10, Scribus 1.6.0.
• Modelagem e 3D: Blender 4.3, FreeCAD 1.0, CadZinho 0.6, KiCad 8.0. O código do Google Blocks foi aberto. Programa de visualização 3D OSPRay Studio 1.0 e engine de renderização 3D OSPRay 3.1. Modelo 3D da ilha Caldera. Mapa de redes viárias da Overture Maps.
• Jogos: Beta do NauEngine da VK, Godot 4.3, Open 3D Engine 24.09, Dagor Engine 24.12. Ferramenta para executar jogos Windows da Asahi. Lakka 5.0. Proton 9.0. Wine 9.0. Minetest renomeado para Luanti. Código do jogo Descent 3 foi aberto. Projeto SteamFork. Suporte ao ASUS ROG Ally no SteamOS.
• Novos projetos abertos: Código do emulador Mikage foi aberto. A Microsoft abriu o código do repositório Garnet. A Valve abriu o código do Steam Audio. A NVIDIA transferiu a linguagem de shaders Slang para o consórcio Khronos. Abertura do Bitwarden SDK.
• SGBD: PostgreSQL 17, MySQL 8.4/9.0/9.1, MariaDB 11.4, Valkey 8.0, Redis 7.4, DuckDB 1.0, IvorySQL 4.0, SynchDB 1.0, EdgeDB 5.0, Firebird 5.0.
• Web: Node.js 23/24 com suporte a TypeScript. Deno 2.0. Suporte a código em linguagem C na plataforma JavaScript Bun. Wasmer 5. Teste Speedometer 3.0.
• Navegadores: Tor Browser 14.0, FixBrowser Wolvic na engine Chromium. 25 anos de Dillo. Verso e Servo-the-browser na engine Servo. Servo passou nos testes Acid2. Pressão para o desenvolvimento do navegador Ladybird e decisão de usar a linguagem Swift nele.
• Mozilla: Plataforma de publicidade. Descontinuação da colaboração com Onerep. Projeto MLS (Mozilla Location Service) foi encerrado. Decisão de não interromper o suporte para a segunda versão do manifesto do Chrome. Troca de liderança. Demissões de inverno e outono. Geração de sites por IA. Ferramentas de reconhecimento de voz. Rebranding.
• Firefox: lançamentos 122-133, proteção contra rastreamento usando redirecionamentos, bloqueio de cookies de terceiros, permissões temporárias, exibição de miniaturas, tradução de trechos de texto, "Firefox Labs", chat-bot embutido, barra lateral, abas verticais, diálogo unificado de limpeza, substituição automática de HTTP por HTTPS, suporte a Zstandard, melhorias no Firefox View e no visualizador de PDF, porta para o OS Haiku. Firefox 20 anos.
• Chrome: lançamentos 121-131, micropagamentos para monetização, desempenho de extensões, abandono da segunda versão do manifesto, manutenção do suporte a cookies de terceiros, aviso de descontinuação do uBlock Origin, integração de um grande modelo de linguagem.
• Sistemas distribuídos e P2P: Rede P2P em overlay Nebula 1.9. Meshtastic — rede mesh baseada em transmissores LoRa. OpenZiti 1.0 para integração de redes em overlay em aplicativos. PeerTube 7.0.
• Pacotes de escritório: LibreOffice 24.2/24.8, Calligra 4.0, ONLYOFFICE 8.2.
• Aprendizado de máquina: AlphaFold 3 da DeepMind, modelo hertz-dev para comunicação de voz, ChatTTS para síntese de fala, Databricks lançou o modelo DBRX, xAI, lançou o modelo Grok, depurador Transformer Debugger da OpenAI, Google lançou o modelo Gemma.
• Sistemas de arquivos: Anúncio da obsolescência do driver Ext2 e remoção do ReiserFS. Cluster Ceph com largura de banda de tebibytes por segundo. LittleFS 2.10. Sistema de arquivos em cluster VitastorFS.
• Virtualização e contêineres: Trabalho na migração do VMware Workstation para o hipervisor KVM. VMware Workstation e VMware Fusion se tornaram gratuitos. Paravirtualização IOMMU no Xen. VirtualBox sobre KVM. Microsoft lançou o hipervisor OpenVMM/OpenHCL. Finch para Linux. Migração de componentes do Hyper-V para o kernel Linux. Lima 1.0 (Linux-on-Mac), Xen 4.19, XCP-ng 8.3, Kata Containers 3.4, LXC 6.0, QEMU 9.0-9.2, Bubblewrap 0.11, CRIU 4.0, Distrobox 1.8, VirtualBox 7.1, MicroCloud LTS.
• Aplicações servidoras: OpenSSH 9.7-9.9, BIND 9.20, Samba 4.20/4.21, Exim 4.98, Postfix 3.9, servidor SMTP chasquid 1.13, ClamAV 1.4, nginx 1.26 com HTTP/3, libmicrohttpd 1.0.0, HAProxy 3.0. Transição do Let’s Encrypt para ntpd-rs. OpenSSH: fim do suporte ao DSA, divisão em vários processos, proteção contra ataques de força bruta.
• Kernel Linux: Branch linus-next. Discussão sobre o uso de C++ no kernel. Lunatik (criação de manipuladores em Lua). Execução do Linux em um chip Intel 4004. Código aberto para suporte ao CPU Elbrus. Colisões. Versões da microarquitetura x86_64. Kernel ELKS 0.8 para CPUs de 16 bits. Branch UEK-next da Oracle.
• eBPF: escalonadores de tarefas, diagnóstico de dispositivos de entrada, operação no espaço do usuário, bpftop, atualização do DTrace. Plano para o fim do suporte a CPUs ARM antigas.
• Principais alterações no núcleo:
  • 6.7: integração do sistema de arquivos Bcachefs, fim do suporte à arquitetura Itanium, possibilidade de funcionamento do Nouveau com firmware GSP-R, suporte à criptografia TLS em NVMe-TCP, possibilidade de usar exceções em BPF, suporte a futex em io_uring, otimização de desempenho do escalonador fq (Fair Queuing), suporte à extensão TCP-AO (TCP Authentication Option) e possibilidade de limitar conexões de rede no mecanismo de proteção Landlock, gerenciamento de acesso ao user namespace e io_uring através do AppArmor.
  • 6.8: driver Xe para GPU Intel, modo de proteção de dispositivos de bloco com sistemas de arquivos montados, mecanismo de escalonador de tarefas Deadline server, otimização automática da fusão de páginas de memória idênticas, primeiro driver na linguagem Rust, chamadas de sistema listmount e statmount, remoção do bpfilter e SLAB, mecanismo guest_memfd no KVM, profiling de acesso a dados.
  • 6.9: módulo dm-vdo para deduplicação e compressão de dispositivos de bloco, modo de acesso direto a arquivos em FUSE, suporte à criação de pidfd para threads individuais, mecanismo de tokens BPF, suporte a Rust em sistemas ARM64, descontinuação do driver de sistema de arquivos Ext2, remoção do antigo driver NTFS, suporte ao mecanismo Intel FRED.
  • 6.10: driver ntsync com primitivas de sincronização Windows NT, componentes DRM Panic para implementar um análogo da "tela azul da morte", descontinuação do suporte a CPUs Alpha antigas, possibilidade de verificação de integridade em sistemas de arquivos baseados em FUSE, restrição de acesso a ioctl através do mecanismo Landlock, subsistema para perfilamento de operações de alocação de memória, chamada de sistema mseal(), possibilidade de troca de dados criptografados com dispositivos TPM, suporte a filas de trabalho de alta prioridade em dm-crypt, driver panthor para a décima geração de GPU Mali.
  • 6.11: suporte a operações de gravação atômica em nível de bloco, suporte a operações bind() e listen() em io_uring, novo mecanismo de bloqueios de manipuladores de interrupção, possibilidade de gravação em arquivos executáveis espelhados na memória, suporte à escrita de drivers de dispositivos de bloco na linguagem Rust, otimização da chamada getrandom(), nova implementação do AES-GCM.
  • 6.12: possibilidade de ativação do modo em tempo real, sched_ext para criação de escalonadores de CPU através de eBPF, exibição de QR code em condições de emergência, mecanismo Device Memory TCP, mecanismo de reserva de recursos SCHED_DEADLINE server, melhoria no escalonador de tarefas EEVDF, módulo IPE para definição de políticas de integridade.
• Criptografia: Biblioteca de criptografia homomórfica da Apple. Ferramentas PGP sq 1.0, OpenSSL 3.3/3.4, LibreSSL 4.0, VeraCrypt 1.26.14, GnuPG 2.5, Libgcrypt 1.11.0, Cryptsetup 2.7. Reestruturação do OpenSSL. Compatibilidade do Rustls com OpenSSL e nginx. Desenvolvimento de algoritmos de criptografia pós-quânticos.
• Problemas com criptografia: KyberSlash (vulnerabilidade no algoritmo pós-quântico Kyber). EUCLEAK (clonagem de chaves YubiKey 5). Recuperação da chave PuTTY.
• Backdoor no pacote XZ Utils: retrospectiva, lógica de ativação, resultados da auditoria, tentativas de ataques semelhantes em outros projetos.
• Vulnerabilidades em processadores: BadRAM (AMD, bypass SEV-SNP), Sinkclose (AMD, acesso ao SMM). Bypass da proteção do Spectre. Indirector (Intel). TikTag (ARM, bypass MemTag). Nova variante BHI (Intel). ZenHammer (AMD). GhostRace (Intel, AMD, ARM, IBM). GhostWrite (RISC-V XuanTie). LeftoverLocals (GPU AMD, Apple, Qualcomm e Imagination). RFDS (Intel Atom).
• Métodos de ataque: KeyTrap e NSEC3 no DNSSEC. ArtPrompt e BoN para contornar filtros de sistemas de IA. Port Shadow (redirecionamento de conexões e Wi-Fi). TunnelVision (redirecionamento de tráfego VPN). Obtendo certificados TLS para domínios de terceiros «.mobi». Ataque através do IP 0.0.0.0 no navegador. SnailLoad (detecção de sites abertos pela latência dos pacotes). Ataque ao manipulador de aplicativos não instalados no Ubuntu. Ciclagem de protocolos baseados em UDP. «Continuation flood» (interrupção do funcionamento de servidores HTTP/2.0). Falsificação de resposta no protocolo RADIUS. Ataque através de sequências de escape. BatBadBut (bibliotecas Rust, PHP, Node.js, Python, Ruby, Go, Erlang e Haskell). VPN Pesquisas: Uso de IA para identificar vulnerabilidades no SQLite. Análise do rootkit Ebury, instalado após a invasão do kernel.org. Bootkit UEFI Bootkitty.
• Problemas devido à geração de relatórios de vulnerabilidades lixo com IA. Prejuízo à reputação devido a CVEs com vulnerabilidades falsas e exageradas.
• Vulnerabilidades locais: núcleo Linux (n_gsm, netfilter, io_uring, nf_tables, ksmbd, ktls, uio, pilha de rede), núcleo FreeBSD (1, 2), GRUB2 (RHEL), tuned, needrestart (padrão no Ubuntu Server), PostgreSQL, NetworkManager-libreswan, guix-daemon, pam_oath, Nix, drivers NVIDIA, Flatpak, Buildah, Podman, Node.js, libuv, Glibc.
• Vulnerabilidades remotas: pilha IPv6 do Linux. Pilha Bluetooth do Android. Vulnerabilidade root no OpenSSH (regreSSHion), vulnerabilidades específicas do RHEL e FreeBSD no OpenSSH. Execução de código em sistemas com CUPS (continuação). libaom e libvpx (codecs AV1 e VP8/VP9, ataque possível através de navegadores). Servidor NFS FreeBSD e OpenBSD. Apache Struts, GStreamer, Libarchive, X.Org Server (1, 2, 3, 4), libgsf (afeta o GNOME), Emacs, Js2Py, PHP, nginx (HTTP/3), Fluent Bit, Git, R, Glibc (ataque via scripts PHP), Suricata, ClamAV, runc (afeta Docker e Kubernetes), FFmpeg (JPEG XL), Redis.
• Invasões: Internet Archive. Cloudflare. Barracuda Networks. Comprometimento do repositório PyTorch. Competições Pwn2Own Automotive, Pwn2Own 2024 e Pwn2Own Ireland 2024.
• Privacidade: Análise de sessões OpenVPN. Telemetria em Manjaro Linux, Fedora e Go. Análise de aplicativos VPN para Android. Estatísticas sobre bloqueadores de anúncios. Acesso a dados de repositórios GitHub remotos e privados.
• Vulnerabilidades em firmwares e bootloaders: Vulnerabilidade no Shim (bypass do UEFI Secure Boot). PixieFAIL (ataque a firmwares UEFI via PXE). Vulnerabilidades em firmwares UEFI da Phoenix e AMI MegaRAC. Vulnerabilidades em firmwares da Qualcomm. Bypass do UEFI Secure Boot devido a chave de teste em placas-mãe.
• Métodos de ataque: KeyTrap e NSEC3 no DNSSEC. ArtPrompt e BoN para contornar filtros de sistemas de IA. Port Shadow (redirecionamento de conexões e Wi-Fi). TunnelVision (redirecionamento de tráfego VPN).
• Vulnerabilidades em roteadores e equipamentos: Falha em 659 mil roteadores domésticos. Possibilidade de gerenciar modems de milhões de assinantes da ISP Cox. Backdoors em roteadores e dispositivos de armazenamento em rede da D-Link. Vulnerabilidades em dispositivos Juniper. Vulnerabilidades em roteadores ASUS. Confusão de SSID (substituição de rede Wi-Fi). Substituição de artefatos de compilação do OpenWRT. Desbloqueio de fechaduras eletrônicas Saflok.
• Detecções de pacotes maliciosos nos repositórios PyPI (1, 2) e Snap Store. Vulnerabilidades perigosas no GitHub Enterprise Server, Gogs, GitLab (1, 2, 3, 4, 5, 6). Revisão manual de nomes de pacotes no Snap Store. Análise de download de pacotes obsoletos do NPM. Modelos de IA maliciosos no repositório Hugging Face. Cem mil repositórios com código malicioso no GitHub.
• Falhas: Problemas na inicialização do Linux devido a um erro na atualização para o Windows (análise). Exclusão de /home ao executar 'systemd-tmpfiles --purge'. Falha na zona de domínio RU devido ao DNSSEC. Dessincronização do servidor DNS raiz 'C'. Tema KDE que remove arquivos do usuário.
• Ataques às infraestruturas: Injeção de código malicioso através do Polyfill. Vazamento de token de acesso a repositórios do GitHub em Python. DDoS na SourceHut. Vazamento de tokens nos Hugging Face Spaces. Publicação de versões maliciosas da Ultralytics. Injeção de código malicioso no cliente JavaScript oficial da criptomoeda Solana. Código malicioso no plugin ss-otr para Pidgin.
• Incidentes: Os atacantes alteraram as configurações BGP do operador de telecomunicações Orange Espagne. O GitHub atualizou as chaves GPG devido a uma vulnerabilidade na infraestrutura. Exposição pública de um token de repositórios internos da Mercedes.

Ao longo do ano, foram publicadas 1569 notícias no OpenNET, que receberam 158 mil comentários. No outono de 2024, o projeto OpenNET completará 28 anos.

Fonte: opennet.ru