ИБ-специалист обнаружил опасную уязвимость в SQLite, которая на протяжении 22 лет оставалась незамеченной

Источник: https://www.securitylab.ru/news/534524.php

Суть уязвимости в том, что SQLite написано на C и использует printf. Серьезно.

> Для использования уязвимости злоумышленники должны передать в функцию printf большие строковые входные данные, причем строка формата должна содержать тип подстановки: %Q, %q или %w.
> Исследователь также обнаружил, что если строка формата содержит символ “!” – специальный символ, включающий сканирование символов юникода, то можно добиться выполнения произвольного кода или провести DoS-атаку.

В общем, обновляемся до 3.39.2 или новее. Ну а если вы все еще сидите на своей пекарне с 32-битным процессором, то можно даже не паниковать - эта штука проявляется только на 64-битных процессорах.

Интересно, есть ли на это дело какой-то линтер? Было бы хорошо прогнать его на больших проектах типа линуксового ядра.

Ровно одной недели не хватает до срока в месяц, как я писал последний пост. Работа практически скушала меня, а этот пост писался целую неделю ☺️. В общем, оживаем и поехали!

Я слез с макбука на Linux. 26 октября ко мне приехал Maibenben X568, на котором установленная ubuntu была резко заменена на Arch Linux. Прошел уже почти месяц с этого момента, и я считаю, что настало время поделиться с вами впечатлениями. Сравнивать буду с Macbook Pro 13" M1 (2020) и Dell G5 5590-9340, который был у меня до макбука.

Это не проплаченный пост, а текст от реального владельца. @leaveitru соврать не даст :).

- Качество сборки. Выше всяких похвал. Бывший когда-то ранее DELL G5 5590 по ощущениям был намного более хлипким, например, немного продавливалась подложка клавиатуры при наборе текста или при игре в стрелялки.
- Нет огромного количества крепежных защелок. Мои лучи ненависти Dell, которые помимо винтов сделали огромное количество пластмассовых защелок на нижней крышке. На Maibenben я просто все раскрутил, и крышка снялась сама. Есть защелки в нижней части, но по ощущениям они нужны как направляющие, для правильной установки крышки.
- Офигенный экран. Не ретина, как на макбуке, конечно, но я не вижу пикселей, как я видел на 15" FHD панели у Dell. Разрешение 2К на 15", я считаю, минимальным сейчас, чтобы не вытекали глаза. 165 гц - божественно. Dell, конечно, был далеко позади с FHD @ 60 гц.
- Офигенная клавиатура. Мало того, что она оптомеханика, так еще и с RGB подсветкой. Я набрал на ней уже не одну тысячу знаков, печатать на ней одно удовольствие. В играх тоже все отлично, только в CS:GO замечаю, что левый CTRL как будто не нажимается. Возможно, особенность игры. А на Dell и макбуке была обычная мембранка ¯\_(ツ)_/¯.
- Отличная производительность. Мне с головой хватает Core i7 11800H, я только увеличил объем RAM до 64 ГБ. Также RTX3070 справляется со всеми интересующими меня играми на ура, Doom Eternal на ультракошмаре меньше 100 FPS не выдает, например. Dell не выдавал, а про макбук вообще молчим - для него игр сейчас можно сказать и нет.

Ну и немного дегтя:

- Реальная автономность - около полутора часов. Настроить лучше я не смог, хотя при отключении БП он и говорил что-то про 3-3.5 часа, но быстро скатывася в 1.5 часа. Хотя, я особо и не пытался ☺️.
- Неудобная зарядка. Прямоугольный блок с обычным поверкордом с одной стороны и не-usb-type-c с другой (круглый штекер).
- Встроенная камера - шлак. Если вы часто общаетесь по видеосвязи на работе, то лучше купите внешнюю камеру.
- Есть нюансы работы с Linux. Например, мне не удалось заставить Thunderbolt или HDMI работать хорошо на видеовыход. Подозреваю, что проблема в разной герцовке встроенной панели и внешнего монитора, но копать глубже пока лень.
- Встроенные динамики - откровенный шлак. Рекомендую что-то внешнее. Крайне рекомендую. Хотя, стоит уточнить, что к Dell я бы тоже рекомендовал - такой же шлак был по звуку.

В остальном - отличный ноут по цене ниже именитых брендов (как был, так и остается, хоть и подорожала железка). Версию с RTX3060 можно купить за 100-110к, версию с RTX3070 - за 125-135к. С учетом того, что аналогичный Dell, Lenovo или Asus будет минимум на 10к (для Asus), а в среднем на 20-50к дороже (в зависимости от видеокарты), конкурентов у него просто нет.

Вообще это Intel NUC x15, только перебрендированный. Найти драйвера для Windows и обновления BIOS можно по LAPKC71F, это ID платформы.

Сиим постом я начинаю цикл, посвященный очередному путешествию в Linux и мир открытого ПО. Упор делаем, конечно же, на разработку и управление командой :). Все посты можно будет найти по тегу #coweramOSSMBB.

Клавиатура Maibenben X568 и как управлять подсветкой в Linux. #coweramOSSMBB

У Maibenben X568 оптомеханическая клавиатура с RGB подсветкой, на которой очень приятно работать. Однако, есть и ложка дегтя (это ж китайский ноут) - контроллер подсветки не запоминает настройки при выключении. То есть при старте у вас всегда будет RGB волна. С этим придется смириться.

А вот с чем нельзя смириться - это с отсутствием возможности управлять подсветкой! Клавиатурно (так сказать) сделать этого нельзя - нет соответствующих клавиш. Однако сделать это можно программно! Качаем и ставим:

https://github.com/rodgomesc/avell-unofficial-control-center

GUI нет, хотя автор обещается его сделать. Ничего, мы можем и в командную строку, однако и тут есть нюанс - DeviceID внезапно захардкожен, поэтому нужно поправить файлик вручную, чтобы заставить работать с клавиатурой ноута. Для этого:

1. Делаем lsusb и ищем ITE Device(8291). Берем его DeviceID - у меня это 6006 из 048d:6006.
2. Открываем на редактирование /usr/lib/python3.10/site-packages/aucc/main.py (версию питона поправьте по необходимости).
3. Ищем ControlCenter(vendor_id=0x048d и меняем product_id.
4. Даем команду aucc -c white -b 4 и убеждаемся, что подсветка теперь белая. Команда запросит ваш пароль для sudo.

А теперь - автозапуск этого добра. В /etc/systemd/system/keyboard-color.service добавляем вот это:

[Unit]
Description=Sets keyboard RGB backlit.
After=sleep.target

[Service]
Type=oneshot
ExecStart=/usr/sbin/aucc -c white -b 4

[Install]
WantedBy=multi-user.target sleep.target

Команду ExecStart поменяйте по необходимости под себя. Я люблю белую подсветку на максимальной яркости. Этот юнит будет запускаться как при запуске системы, так и при выходе из сна, осталось его только включить:

sudo systemctl daemon-reload
sudo systemctl enable keyboard-color
sudo systemctl restart keyboard-color

В Wayland добавлена возможность отключения вертикальной синхронизации.

Источник: https://www.opennet.ru/opennews/art.shtml?num=58160, https://cgit.freedesktop.org/wayland/wayland-protocols/commit/?id=6394f0b4f3be151076f10a845a2fb131eeb56706

В скором времени можно будет отключать вертикальную синхронизацию в вяленом и получить свои 400fps в CS:GO, если железо в виде видеокарты и CPU позволяет. Сейчас, даже с использованием Xwayland, количество кадров в секунду ограничено герцовкой экрана. Обладатели 60гц панелей скоро обрадуются и опять побегут рашить Б (или мид, кому как ¯\_(ツ)_/¯).

Mutter годен! Но с оговорками ☺️ #coweramOSSMBB

Есть такое рабочее окружение - GNOME. Главная его особенность - оно слабо юзабельно без расширений, которые на JS, со всеми вытекающими. А пляски с версиями GNOME и их поддержкой в расширениях может заслужить отдельный эпос про головную боль. Но сейчас не об этом, а о одной из самых важных частей - mutter.

Это оконный менеджер (если про иксы) или композитор (если про вяленый). GNOME Shell фактически есть плагин к mutter. И у него есть один большой недостаток - оно довольно лагучее. Проявляется это в подергивании при рендере анимаций (а у меня 165 гц панель сейчас, на секундочку, я это не просто вижу, меня аж коребит). С течением времени оно может начать выдавать, по ощущениям, не более 30 fps. Особенно хорошо это проявляется, если запустить несколько приложений на Electron и повходить в сон и повыходить из него.

Однако, решение есть! В виде трех MR: раз, два, три. Первый улучшает рендеринг за счет динамического выбора режима (двойная или тройная буферизация), второй - помогает бороться с пропусками кадров при большой нагрузке и использовании Wayland, третий - оптимизирует выбор региона для отрисовки и фактически рендерит только то, что видит пользователь (если я правильно понял код и описание MR).

В Ubuntu первый MR уже есть в версии 22.04 и более новых, поэтому в принципе почуствовать плавность вы можете уже сейчас. Остальные два, как я понял еще нет, второй поедет в GNOME 44, третий ждет еще несколько других MR смерженными. А вот пользователи Arch Linux могут уже сейчас поставить из AUR пакет mutter-performance и наслаждаться всеми фиксами. Если хотите - можете попробовать собрать пакет для своего дистрибутива с патчами из означенных выше MR.

В моем случае как бы я не нагружал ноут, но добиться пропуска кадров, подергиваний или других каких-то лагов в гномощели я не смог. Вот вообще. У меня intel как основная видеокарта, а вот товарищ @leaveitru вроде бы тоже поставил патченный mutter на nvidia. Будем ждать его репортов о работе этого поделия :).

nano, спасение неосиливших vim, апгрейднулся до 7.0.

Источник: https://www.nano-editor.org/news.php

Изменений не очень много, особенно если сравнивать с 6.0 или 5.0. Из всего описанного я не использую (или не хотел использовать) ровным счетом ничего.

Делаем GNOME пригодным к использованию. #coweramOSSMBB

Вообще я любитель или KDE, или i3 (sway, если про Wayland). Так уж сложилось, что к гному у меня была жесткая антипатия, в основном из-за того, что было описано в прошлом посту серии - дичайшие лаги. Спустя полчаса-час работы с таким GUI глаз просто начинал дергаться и хотелось выкинуть ноутбук или компьютер в окно.

Однако, сейчас это все меняется, Wayland торт (ну, почти...), GNOME не лагает... Чем не вариант попробовать его пощупать? В итоге щупал, щупал, да так и остался на нем. И скопил некий набор расширений, которые хотел бы вам порекомендовать. Прям берем и копипастим названия из списка на extensions.gnome.org и ставим.

- AppIndicator and KStatusNotifier Item Support - всем привычный трей.
- Bluetooth Quick Connect - выводит менюшку с известными устройствами Bluetooth в меню настроек, которое показывается по клику в районе верхнего правого угла.
- Burn My Windows - когда захотелось малец красивостей. Этот плагин позволяет выбрать различные анимации при открытии и закрытии окон и диалогов. Мой фаворит - "Энергия В".
- Dash to Dock - выводим док на рабочий стол.
- Hide Universal Access - когда вы пойдете по пути масштабирования общего или же только шрифтов, у вас в менюшке сверху появится иконка универсального доступа. Спорим, вы никогда не тыкните в нее специально? ☺️ Это расширение ее скрывает.
- Notification Counter - выводит счетчик уведомлений рядом с часами. Полезно при отслеживании, например, писем, ибо ни один почтовый клиент в доке отображать это не умеет.
- quake-mode - в связке с alacritty и tmux является отличнейшим средством работы в командной строке. Крайне рекомендую. Из минусов - не применяются анимации из Burn My Windows :(. Помогает натянуть стиль квейковой консольки (выезжание сверху) на любое приложение.
- system-monitor-next - годный монитор системных ресурсов для верхней панели.
- Unite - делаем что-то типа Unity из GNOME. Отвечает у меня за показ кнопок управления окна справа в верхней панели, скрытие заголовков развернутых окон (коих 95%), а также приводит верхнюю панель вообще в порядок. Крайне рекомендую к установке!
- Weather O'Clock - отображение погоды рядом с часами. Необходимо настроенное гномовское приложение "Погода".

Вышеописанные расширения сделали мой экспириенс в GNOME вполне годным, что не хочется (пока что) возвращаться обратно на KDE, или же настраивать i3. Хотя кто знает, может на новогодних выходных и перекачусь?

Яндекс представил новую версию своего поисковика - Y2.

Источник: https://3dnews.ru/1078004/yandeks-predstavil-versiyu-poiska-novogo-pokoleniya-y2

Обещается, что поисковик будет более контекстным, то есть если вы ищете врачей - будет кнопка "записаться на прием" или ссылка на сайт, где это можно сделать, а если вы разработчик и ищете "java spring backend plugin golang interoperability" вы получите именно то, что ищете (ну, или максимально приближенное).

Я погонял некоторые разрабо-опсовые запросы, которые помогают найти мне все нужное на первой странице гугла, и результат меня впечатлил - все ответы были найдены на первой (максимум - на второй) странице яндекса. Так держать!

В Linux-окружении для Apple M2 продемонстрирована работа KDE и GNOME с поддержкой GPU-ускорения.

Источник: https://www.opennet.ru/opennews/art.shtml?num=58205

Вот это действительно годная новость. Во времена владения макбуком на М1 (Pro 2020, 16/512 GB) мне переходу на Asahi мешали отсутствие аппаратного ускорения графики (тормозило дико все), отсутствие bluetooth и невозможность слушать музыку через встроенные динамики. От одной проблемы избавились, поздравляю!

Действительно жаль только то, что может быть это добро допилят только к моменту наступления EOL железа.

Законодатели предложили правительству РФ идентифицировать пользователей компьютерных игр.

Источник: https://3dnews.ru/1078441/v-pravitelstvo-rf-vneseno-predlogenie-po-identifikatsii-polzovateley-kompyuternih-igr-cherez-rossiyskie-sistemi

Это настолько эпично, что я даже процитирую:

> Глава Законодательного собрания Владимирской области Владимир Киселёв предположил, что для означенных целей можно использовать сервисы «Сбер ID» и «Яндекс ID». Глава комиссии утверждает, что многие «коллеги из региональных парламентов» предложили установить запрет на регистрацию «небезопасных для несовершеннолетних» игровых аккаунтов.

Оставлю это без комментариев. Не с того конца, как мне кажется, к этому подходят, надо с детьми работать, а не вот это вот все.

Разбирая почту, нашел вот такое от rabota66.ru. Там уже давненько работу не ищу (да и вообще она меня сама находит в последние лет 5), но мимо такого я пройти не смог. Крайне любопытный подбор вакансий. Особенно посередине.

https://github.com/Lxtharia/minegrub-theme

Это шедевр, товарищи! Был бы у меня grub - поставил бы, не задумываясь. Но я на systemd-boot ¯\_(ツ)_/¯.

Когда баннеры не просто задолбали - в свежем Firefox (108) появилась фича автонажатия на куки-баннер.

Источник: https://www.opennet.ru/opennews/art.shtml?num=58319

Цитирую:

> В about:config добавлены настройки cookiebanners.bannerClicking.enabled и cookiebanners.service.mode для автонажатия на баннеры, запрашивающие полномочия по использованию Cookie на сайтах. В интерфейсе ночных сборок реализованы переключатели для управления автонажатием на Cookie-баннеры в привязке к определённым доменам.

То есть баннеры про "разрешите мы вам пученьку поставим для трекинга" уже настолько всех задолбали, что в браузер встроили автокостыль "да фиг с тобой, я согласен"?

Раньше было как - никто ничего не спрашивал, просто ставили куку и все. В настройках браузеров (и то, кстати, не всех) можно было запретить определенным сайтам (или даже всем) ставить куки. Потом приехал GDPR, кукозакон, и все стали показывать баннер, мол, разрешите вам поставить куки, позязя. Даже с какой-то гранулярностью - рекламные там, отслеживательные, и все такое. Теперь в браузерах появляется автоматический клик на этих кукобанерах.

Воистину колесо Сансары дало полный круг.

Внезапно стал из слушателя участником трансляции про итоги года. Рассказываю про миграцию инфраструктуры компании с облачных на свои сервера и что выбрать в качестве софта.

Попутно говорим про политику. Присоединяйтесь.

Если вы не особо следили за ИТ новостями, связанными с *NIX (это Linux, BSD, даже немного macOS), то можно посмотреть списочек главного (или последних ченжлогов) тут. Запасайтесь любимым напитком или хрустяшками и поехали вспоминать 2022.

Например я вспомнил, что хотел потыкать в очередной раз Rust и почитать подробнее про ЯП Carbon.

Уязвимости прошивки в Qualcomm Snapdragon позволяют управлять даже выключенным компьютером.

Источник: https://www.securitylab.ru/news/535555.php

Если вдруг кто не знал - то в любом модеме, который находится в смартфонах и планшетах, и теперь еще и на компьютерах с процессорами ARM, есть своя операционная система. Эта операционная система независима от основной (с которой взаимодействует пользователь), и может вполне быть всегда включена. Эта штука аналогична Intel Management Engine.

А еще к этим штукам обычно нет никакого пользовательского доступа, как и исходников, поэтому проверить надежность таких ОС невозможно.

Остается надеяться, что вендоры быстренько запилят обновления бивисов (ок, ок, UEFI) и прошивок модемов (if any) и нас не похекают даже эйргапнутыми. А то ну совсем стыдоба.

Подсветите им, что есть статические анализаторы, которые помогают выявить большое количество Buffer Overflow уязвимостей еще до деплоя клиентам.

В CPython хотят дать возможность работать без GIL.

Источник: https://discuss.python.org/t/pep-703-making-the-global-interpreter-lock-optional/22606

CPython - это эталонная реализация языка программирования Python, написанная на С.

И это хорошо. Когда пишешь на питоне (не ML, прикладное что-то) у тебя всегда возникает головняк - мультитрединг или мультипроцессинг с костылями для нормального IPC. Теперь можно будет выкинуть мультипроцессинг для большинства задач. С другой стороны, там падение однопоточной произвоительности до 10%. Неприятненько, но не совсем смертельно.

А еще это означает, что надо будет под работу без GIL, скорее всего, библиотеки и ПО адаптировать.

В общем, ждем ебилдов ©.

Вышел restic 0.15

Источник: https://restic.net/blog/2023-01-12/restic-0.15.0-released/

Restic это утилита для резервного копирования, написанная на Go и работающая по принципам снапшотов, создавая инкрементальные бэкапы.

Самой примечательной фичей является имплементация команды rewrite, которая позволяет удалить некоторые файлы из снапшотов. Я в свое время словил несколько "приятностей", когда бэкапы раздувались из-за логов (которые, конечно же, постоянно меняются, удаляются, создаются заново...). Поэтому всем пользователям рекомендую обновиться, чтобы в случае чего не пересоздавать бэкапы с нуля с правильным --exclude. А кто не пользует - рекомендую :).

Фанат War Thunder выложил секретные данные об истребителе F-16A

Источник: https://3dnews.ru/1080410

Один из пользователей официального форума опубликовал закрытую информацию об американском лёгком истребителе F-16A и ракетах AIM-120 AMRAAM, чтобы подкрепить свою правоту в споре об их спецификациях. Это уже седьмой по счёту случай с обнародованием секретной информации поклонниками War Thunder.

Надеюсь, наши летчики не будут сливать характеристики своих летабл, а то будет грустно, если секретные спеки условного Су-57 попадут на игровой форум.