Blog Rubrika
U kodnu bazu sistemskog menadžera systemd je usvojena promjena koja dodaje mogućnost izrade komponenti na jeziku Rust. Rust će se koristiti samo za razvoj novih komponenti, dok se postojeći kod na jeziku C neće prepisivati u Rust. Paket menadžer cargo neće se koristiti tokom izrade, već se koristi samo sistem izgradnje Meson. Rust kod se koristi u režimu 'no_std' (bez standardnog […]
V knjižnici z referenčno implementacijo dekoderja za format stiskanja podatkov Brotli je bila odkrita ranljivost (CVE-2026-111497, kodna imena Broccoli2Shell in HTTP2Shell), ki vodi do prelivanja pomnilnika pri obdelavi posebej oblikovanih stisnjenih podatkov. Po podatkih Googla se ranljivost lahko izkoristi za oddaljeno izvajanje kode pri napadih na projekte, ki uporabljajo uradno implementacijo dekoderja Brotli. Med prizadetimi projekti so: Node.js, Bun, Envoy, Istio, […]
Razvijalci projekta PHP so opozorili na odkritje še ene ranljivosti (CVE-2026-115560), ki se potencialno lahko izkoristi za oddaljeno izvajanje kode na strežniku ob določenem redkem naboru nestandardnih nastavitev (ne v privzeti konfiguraciji) in izvajalskem PHP-kodu. Podrobnosti o ranljivosti bodo objavljene po pripravljenosti naslednjih popravkov PHP. Kot rešitev za zaščito se priporoča nastavitev parametra v php.ini […]
Objavljeno je bilo izdajo knjižnice OpenSSL 4.1.0, ki ponuja implementacijo protokolov TLS in različnih algoritmov šifriranja. OpenSSL 4.1 spada med izdaje z običajnim rokom podpore, ki se posodabljajo v obdobju 13 mesecev. Podpora LTS-veje OpenSSL 3.5 bo trajala do aprila 2030. Koda projekta se distribuira pod licenco Apache 2.0. Glavne novosti: Dodana je začetna podpora za arhitekturo Elbrus2000 (e2k). […]
Objavljene so podrobnosti incidenta, v katerem so hekerjem uspeli prevzeti nadzor nad 333 izhodnimi vozlišči omrežja Tor (skupaj je v Tor približno 3000 izhodnih vozlišč) in organizirati prestrezanje nešifriranega prometa ter preusmeritev povezav SSH. Napad se je začel 2. oktobra (v petek zvečer), vendar je bil odkrit in začel se je blokirati 4. oktobra. 5. oktobra so bili vsi kompromitirani strežniki izklopljeni […]
Podjetje Anthropic je predstavilo rezultate poskusov uporabe AI modelov za formalno verifikacijo zanesljivosti in varnosti že obstoječih projektov. Med poskusom so z AI modeli za 123 javnih knjižnic, preizkušenih v infrastrukturi OSS Fuzz, bila generirana matematična dokazila o odsotnosti napak pri delu s pomnilnikom. Preverjanje je potekalo na ravni skompiliranega assembler kode za arhitekturo RISC-V. Skupna količina generiranih […]
Raziskovalci podjetja VulnCheck so napovedali pridobitev prvega eksploita za ranljivost PHP2Shell (CVE-2026-109618), ki obide mehanizem randomizacije naslovov (ASLR) na sistemih x86-64 s tipično konfiguracijo PHP. Eksploit omogoča napad na sisteme s PHP 8.4.10-8.4.26 v privzeti konfiguraciji. Prej je težava določanja razporeditve pomnilnika v modulu mod_php ovirala izvedbo eksploita, ki bi omogočil izvajanje kode na dejanskih sistemih. Za […]
Objavljen je izid odprtega večplatformskega upravitelja gesel KeePassXC 2.8.0, ki nudi sredstva za varno shranjevanje običajnih gesel, enkratnih gesel (TOTP), SSH ključev in drugih podatkov, ki jih uporabnik smatra za zaupne. Podatki se lahko shranjujejo tako v lokalnem šifriranem skladišču kot v zunanjih oblačnih skladiščih. Koda projekta je napisana v jeziku C++ z uporabo knjižnice Qt in se distribuira pod licencami GPLv2 […]
Izšel je projekt F-Stack 2.0, ki razvija različico mrežnega sklopa FreeBSD, prilagojeno za samostojno delovanje v uporabniškem prostoru v obliki knjižnice. Projekt je ustanovila največja telekomunikacijska družba na Kitajskem, Tencent, in se uporablja v njenih izdelkih in storitvah. Koda je napisana v programskem jeziku C in je razdeljena pod licenco BSD. Podpira delovanje v Linuxu in FreeBSD. Projekt podpira tudi prevedene […]
Zabeležena je objava v repozitoriju PyPI zlonamerne izdaje knjižnice LiteLLM, ki beleži 23 milijonov prenosov na teden, ter vstavitev zlonamerne kode v uradno Docker sliko projekta. To ni prvi takšen incident z LiteLLM — marca letos so napadalci že objavili zlonamerne različice po prestrezanju uporabniških podatkov vzdrževalca. Tokrat so napadalci objavili različico LiteLLM 1.107.0, v […]
Družba eMudhra je objavila izjavo v zvezi z incidentom, v katerem so imeli enostavno ugotovljive zasebne ključe za osem korenskih certifikatov overiteljske agencije, s samo 1 bajtom entropije namesto 48. eMudhra trdi, da so certificati nastali aprila 2025 na javni slovesnosti z uporabo strojnih modulov HSM (Hardware Security Module), ki imajo certifikat skladnosti s standardom FIPS 140-2 […]
Razvijalci PHP so objavili poročilo o težavah, ki so nastale med odpravljanjem včeraj popravljenih kritičnih ranljivosti v PHP. Informacije o ranljivosti, ki nastane, ko se zmanjša razpoložljiva pomnilnika, so bile pridobljene med zunanjim revizijskim postopkom že leta 2024, vendar so jih obravnavali le kot teoretično možnost za napad. Popravek je zamudil zaradi težav pri doseganju soglasja med razvijalci PHP o načinu […]