Доброго времени суток!

Представляю вам дайджест около-айтишных новостей за прошедшую неделю (19 - 26 января).

- Chrome 144. Началось тестирование вертикальных вкладок, ура! Наконец-то поняли товарищи, что у современных панелей по горизонтали места намного больше, чем по вертикали. Правда, сомневаюсь, что это будет удобнее, чем Tree Style Tab в Firefox, но посмотрим, к чему придут.
- Плагин к KWin для использования KDE в виртуальной реальности. Выглядит прям годно! Конечно, не без проблем с кодом (можно почитать комменты к МРу), но если можно будет просто вставить какой-нибудь Quest 3 и начать работать с кедами без проблем - это будет пушка!
- Проект Singularity развивает открытый руткит, обходящий SELinux, Netfilter, LKRG и eBPF. Описание звучит как адская вундервафля, которая свистнет ваш комп с помощью БПЛА, съест вашего кота и отобьет у вас девушку. Но вообще очень интересно почитать код, понимая, как можно сделать то или иное для сокрытия своей работы в системе. Из минусов - злоумышленники тоже точно будут это смотреть 😅.

Немного про атаки и уязвимости:

- Захват контроля над snap-пакетами, связанными с просроченными доменами. Злоумышленники регистрируют просроченные домены, восстанавливают доступ через почту к учеткам в Snap Store и публикуют вредоносные апдейты. Будьте внимательны, либо, как все здравые люди, сносите snap.
- Уязвимость в telnetd, позволяющая подключиться с правами root без аутентификации. Можно сделать USER='-f root' telnet -a srv и залогиниться под рутом. Самое забавное, что такой баг приехал в код аж в 2015 году и был связан с исправлением определения пользователя при автологине без аутентификации в Kerberos. Исправлений нет, есть только патчи, а если вы до сих пор пользуете telnet в 2026 году - то здоровья погибшим.
- Уязвимости в продуктах Oracle. В общей сложности 337 (!) уязвимостей, из них 11 в Java SE, 14 в MySQL, 14 в VirtualBox, 4 в Solaris. Обновляйтесь по возможности.
- Уязвимость в GitLab, позволяющая обойти двухфакторную аутентификацию. Пока что полностью историю с этой и еще четырьмя уязвимостями не раскрыли, но вы обновитесь.

- Релизы дистров и ОСей: MX Linux 25.1.

Наши поздравления разработчикам!

Всем привет!

Давно ничего не писал, аж целых 3 недели без малого, и на то были причины, разнообразные и не очень публично обсуждаемые. Но главное - не переживайте, я тут, скоро будет дайджест.

А пока посмотрите, насколько хорош я был 13 лет назад :)

https://www.youtube.com/watch?v=LkXLMhD4xYY

Мне кажется, что это отличная заглушка о техработах :)

К слову, тут нет ни одной картинки, а та, что есть - SVG :)

Доброго времени суток, товарищи!

Дайджест я подготовил, однако SiYuan (заметочник от китаесов, который я использую) в предпоследней версии ПОБИЛ ВСЕ ССЫЛКИ.

Поэтому я сейчас выдыхаю, чтобы ничего не разбить, а дайджест будет завтра :)

Починили! Сейчас все будет :)

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие три недели (27 января - 23 февраля).

Постарался сделать выжимку только очень интересного, так как за 3 недели новостей прилетело много.

Всех причастных с Днем Защитника Отечества!

- Проект Xfce анонсировал композитный сервер Xfwl4, использующий Wayland и Rust. Новость отличная, ибо XFCE как DE вполне себе хороша. Посмотрим, что у них получится.
- Первый публичный релиз ANet, стека для создания защищённых туннелей. Звучит как интересная замена wireguard в конечном счете, надо потестировать. Особенно порадовал их CoC.
- Сопровождающий 16 модулей GNOME ограничит своё участие в проекте. Некоторое напоминание о том, что Red Hat - крайне токсичная компания, которой все равно на работников.
- Выпуск языка программирования Go 1.26. Из интересного - new() теперь позволяет указывать начальное выражение для данных и в принципе делать указатели на примитивы, в генериках стало возможным ссылаться на самих себя (рекурсия в полях), runtime/secret для безопасной работы с чувствительными данными. Надеюсь, @leaveitru увидит последнее и заюзает в проекте на работе до того, как я к нему с директивой приду 😅.
- Уязвимость, позволяющая обойти механизм защиты Intel TDX. Затрагивает вроде бы только Xeon 6, а также Xeon Scalable 4 и 5, но есть подозрение, что другие семейства просто не тестировали. Поэтому обновляйте микрокод, if any.
- В ядре Linux на 12% ускорена обработка входящих UDP-пакетов. Просто заинлайнили одну функцию (которая могла вызываться до 100 млн. раз в секунду), и вот вам +12% к скорости обработки UDP трафика!
- AI-бот начал травлю сопровождающего из-за дискриминации при приёме AI-изменений. Небольшая драма, которая показывает, насколько печальна текущая ситуация с ИИ. Кратко: мейнтейнер matplotlib отклонил изменение от AI агента, а AI агент в своем блоге (!) с помощью выдумок и искажений фактов обвинил мейнтейнера в вахтерстве, расизме и вообще у него раздутое эго и неуверенность.
- Релиз среды рабочего стола KDE Plasma 6.6. Очень много годных изменений, но будьте готовы к тому, что изменения могут быть ломающими (например, замена SDDM на Plasma Login Manager).
- Проект MinIO перевёл Git-репозиторий в архивный режим. В ответ сообществом создан форк. Я уже писал ранее об их интересной интерпретации AGPLv3, и о создании коммерческой редакции с переходом разработки в чистую поддержку по багфиксам, теперь они официально закрыли опенсорсную версию. Конечно же, резко был создан форк, где все плевки в сообщество были исправлены 🫠.

- Релизы дистров и ОСей: FRANK OS 1.0 (самобытная ОС на основе FreeRTOS), Android 17 Beta 1, REMnux 8.0 (дистрибутив для анализа вредоносного ПО), Whonix 18.1, AsteroidOS 2.0 (Linux-платформа для умных часов, использующей Qt), Ubuntu Touch 24.04-1.2, Lakka 6 (дистрибутив для создания игровых консолей), Solaris 11.4 SRU90.

Доброго времени суток!

Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие три недели (24 февраля - 2 марта).

- Компоненты браузера Ladybird начали переписывать на Rust при помощи AI. Пример успешного и, судя по всему, очень грамотного использования ИИ для работы с кодом. Использовались Claude Code и OpenAI Codex, портированный на Rust код прошел все юниты и регрессионные тесты. Однако учтите, что это эксперимент и когда код на Rust появится в основном дереве исходников - неизвестно.
- Похоже к нам приходит очередная драма, на этот раз в стане LibreOffice и Collabora. Решено возобновить разработку LibreOffice Online, серверной версии для Web. Основная проблема такого решения в том, что 95% всех изменений в онлайновую версию вносила Collabora, которая больше 5 лет назад форкнула LibreOffice Online в Collabora Online, когда заморозили первый. А теперь The Document Foundation хочет опять вести разработку сего добра и направлять, как и раньше, "на избранных интеграторов", которые никаких особых изменений не вносили.
- Серия новых уязвимостей в telnetd, позволяющих получить root-привилегии в системе. Вы же не используете оный из состава GNU inetutils для подключения к продуктивным и важным системам, правда же? 🫠
- Разработчик ФС Bcachefs запустил AI-бота, ведущего блог и помогающего в разработке. Теперь bcachefs будет писаться истеричным ЫЫ, который требуется успокаивать после троллинга. Пожалуй, эту ФС правильно исключили из ядра и пользовать ее я не буду 🫠.
- Атака AirSnitch, позволяющая обойти изоляцию между клиентами в Wi-Fi. Там несколько методов, и подавляющее большинство рутеров оказались подвержены как минимум одному методу атаки. Ждем апдейтов прошивок и обновляемся (если это можно будет адекватно решить софтово). Пока я бы рекомендовал отрубать роуминг между частотами и по возможности не пользоватся мешем.
- Очередной отчет о развитии KDE. Из интересного - скругления выделений (для унификации внешнего вида между qtwidgets и qtquick), улучшения в интерфейсе настройки openvpn соединений.
- GNOME начал перенаправление части git-трафика на GitHub. Сейчас все операции клонирования уходят на шитхаб. А не проще ли было просто взять и переехать на него полностью? 😅
- В Калифорнии утверждён законопроект об интеграции в ОС API для проверки возраста. Законодатели требуют от ОС предоставить API для приложений, которое будет отдавать градации "до 13", "от 13 до 16", "от 16 до 18", "от 18", и, соответственно, при установке ОС эти данные у пользователя запрашивать. Очевидно, что делался сей закон с оглядкой на прошивку для игорей и macOS. В Linux-сообществе идет обсуждение этого закона, и самый популярный предлагаемый метод его соблюдения - написать на странице загрузки, что данный дистрибутив не предназначен для использования в штате Калифорния 😅.

- Релизы дистров и ОСей: а нет их, внезапно!

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие две недели (3 - 15 марта).

Отпуск закончился, пора опять радовать вас новостями 🙃.

1/2

- Очередной форк редактора Zed без AI. Теперь будем мучаться с выбором форка Zed 😅.
- Chrome переходит на двухнедельный цикл подготовки релизов. Теперь, похоже, догнать оный по циферке релиза станет в принципе невозможно. Firefox напрягся 🫠. Но мотивация этого решения довольно похвальна.
- Выпуск kafkalet 0.1, десктопного клиента для Apache Kafka. В свое время я долго мучался с kafka-ui и прочими похожими, но не очень понятными/запускаемыми приложениями, а теперь есть годный бесплатный десктопный клиент.
- До 10% аварийных завершений Firefox вызваны аппаратными проблемами с памятью. Так что не только разработчики криворуки, еще и ваша ADATA кривая 😅.
- Продемонстрировано превращение Sony PlayStation 5 в игровой ПК с Linux. Поздравляем консольщиков с получением возможности присоединиться к пека-боярам!
- Компанию SUSE готовят к продаже. В очередной раз, ранее продажи/поглощения были в 2003 (Novell), 2011 (Attachmate), 2015 (Micro Focus), 2018 (EQT). Ваши предположения, что с SUSE не так? 🫠
- Предложены патчи, убирающую опцию сборки IPv6 как модуля в ядре Linux. Давно пора, как мне кажется, я уже несколько лет у себя в сети держу дуалстек и никаких проблем не испытываю, да и разработчикам будет легче без костылей проверки модульности и загрузки/выгрузки этого модуля.
- Предложение по переводу системных логов lastlog, btmp, utmp и wtmp на использование SQLite. Предложение как по мне отличное, можно будет привычными средствами работать с этими данными, не боясь их как-то "поломать".

Немного уязвимостей, не забудьте обновиться:

- Уязвимости в проекте Pingora, позволяющие вклиниться в сторонние запросы. В фреймворке от Cloudflare для сетевых сервисов на Rust нашли три уязвимости, две из которых 9.3 из 10.
- Уязвимость в GSSAPI-патче к OpenSSH, удалённо эксплуатируемая на стадии до аутентификации. Разработчики OpenSSH сей патч принимать отказались, а дистрибутивы все-таки накатили при сборке, поэтому сидим и мучаемся. Помимо описанного подхода с отправкой специального сетевого пакета могут быть и другие уязвимости.
- Уязвимости в AppArmor, позволяющие получить root-доступ в системе. Конечно же, есть звучное имя - CrackArmor. Уязвимость эксплуатируется довольно легко, поэтому если вы рассчитываете на AppArmor для безопасности - готовьтесь обновлять ядро, патчи разработчикам уже передали.

2/2

- Релизы дистров и ОСей: Android 17 Beta 2, elementary OS 8.1.1, Nitrux 6.0, Android 16 QPR3 (третий квартальный релиз) с режимом рабочего стола, OpenWRT 25.12, Linux From Scratch 13 и Beyond Linux From Scratch 13, FreeBSD 14.4, Solaris 11.4.90 CBE, Zentyal 8.1, Moonforge (дистрибутив для встраиваемых систем), Debian 13.4, Ageleless Linux (для противодействия законам о проверке возраста).


Также у меня появился канал в MAX, присоединяйтесь!

Из плюсов - не надо разбивать длиннопосты на несколько, как в телеге, которая даже ссылки учитывает в длине сообщения, а также присутствует (в вебе) парсинг Markdown практически адекватный.

Из минусов - парсинг Markdown именно что практически адекватный: порезал списки, каждую точку/запятую после ссылки переносит на новую строку, либо съедает перенос строки в принципе 🤷‍♂️. Нельзя удалить превью первой ссылки.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшую неделю (16 - 23 марта).

- Уязвимости в snapd и Rust Сoreutils, позволяющие получить root-привилегии в Ubuntu. В snap все дело в некорректном взаимодействии утилит snap-confine и systemd-tmpfiles, а во втором не был реализован безопасный обход путей и можно было подменить при вызове, например, rm, удаляемую директорию на ссылку и удалить что-то не то.
- Выпуск среды рабочего стола GNOME 50 с удалением поддержки X11. Как и обещали, собстна. Но сообщество уже подсуетилось и поехало пилить GNOME-X11, форк с возвращенной поддержкой иксов.
- Google анонсировал новый процесс установки сторонних приложений в Android. Выглядит, конечно, не очень юзер-френдли, но вполне себе неплохой UX для домохозяек.

- Релизы дистров и ОСей: OpenWrt 24.10.6 и 25.12.1, предварительный выпуск SteamOS 3.8.0, antiX 26.

Также у меня появился канал в MAX, присоединяйтесь!

А говорят, что у нас распилы прям распилы. Смотрите, там тоже (:

Также у меня появился канал в MAX, присоединяйтесь!

Кхе! Запасаемся поп-корном!

Также у меня появился канал в MAX, присоединяйтесь!

Мне кажется, или WAF у DNS сломался?

(я без VPN, если что)

Также у меня появился канал в MAX, присоединяйтесь!

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие две недели (24 марта - 6 апреля).

- В Telega, альтернативном клиенте Telegram, выявили возможность совершения MITM-атаки. В общем, не используйте сторонние клиенты, дамы и господа, иначе ваши данные утекут, прям как в случае с Nekogram.
- Атаки на цепочку поставок прошедших двух недель: litellm, axios (разбор), pypi-пакет telnyx. Проверяйтесь и обновляйтесь по необхоимости!
- Грег Кроа-Хартман заметил улучшение в отчетах об ошибках от ИИ. Те, кто еще сомневаются, должны попробовать ИИшечку на своей кодовой базе (конечно же, с учетом возможных рисков утечки вашего кода для обучения оной). Верим и надеемся, что скоро ИИшечки будут компактны и производительны и им не нужно будет суперкластера для работы.
- Основатель и лидер Ubuntu MATE объявил об уходе из проекта. Интересы поменялись, MATE пару лет как в тотальной стагнации, беток свежего релиза Ubuntu до сих пор нет. Помянем?
- Более подробный разбор драмы ONLYOFFICE vs Euro-Office, о котором я писал ранее.
- Утечка кода инструментария Claude Code из-за забытого в NPM-пакете map-файла. Nuff said, happens even with the best of us. Не забудьте проверить, что у вас настроены хотя бы детекторы утечки кредов в гитцы 😊.
- Продолжение драмы Collabora vs TDF. На этот раз вторые исключили из своих рядов первых (включая сооснователей LibreOffice) в соответствии с новым принятым уставом, который не допускает присутствие в рядах сотрудников компаний, с которыми ведутся юридические разбирательства. Заряжаем еще одно ведро попкорна!
- Атаки GDDRHammer и GeForge, искажающие память GPU для доступа ко всей памяти CPU. Вкраце: ломая память GPU получаем доступ к памяти CPU (которая обычная RAM). Вроде бы есть методы защиты (включить ECC), но включение оных спровоцирует дополнительные накладные расходы при работе, а также потенциальное открытие двух других уязвимостей - ECCploit и ECC.fail. Получается максимально веселая ситуация - как бы вы ни старались, вас все равно поимеют 🫠.
- В ядре Linux 7.0 выявили регрессию, в два раза снижающую производительность PostgreSQL. PREEMPT_LAZY стал по-умолчанию для планировщика вместо PREEMPT_NONE, pgbench “simple-update” упал почти в два раза - с 98565 до 50751. Предлагается вернуть PREEMPT_NONE по-умолчанию, однако некоторые заявляют, что надо чинить юзерспейс (то есть постгрю), задействовать недавно добавленное в ядро расширение “rseq slice” (Restartable Sequences) для ограничения вероятности вытеснения держателя блокировки. Пахнет некоторой драмой, возможно стоит подготовить поп-корн, а пока ждем, что скажет Торвальдс.
- Возобновлены попытки удаления поддержки процессоров i486 из ядра Linux. Старичку давно пора на покой, отпустите его уже! А там, где такие CPU используются, можно и старый Linux попользовать.

- Релизы дистров и ОСей: VitruvianOS (гибрид окружения Haiku и ядра Linux), Ubuntu 26.04 Beta, Android 17 Beta 3, SystemRescue 13, ALT Mobile 11.0, 4MLinux 51.0, Apertis 2026 (позволяющий не использовать GPLv3 код), ROSA Fresh 13.2, /e/OS 3.6.

А вот конкретно сейчас зазывать вас в Max не буду, потому что эти долдоны сломали и markdown, и редактирование отложенного сообщения, чтобы в канал запостить уже хорошо отформатированное. Лучи поноса этим товарищам!

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшую неделю (7 - 13 апреля).

- В ядро Linux предложено включить распределённое реплицируемое блочное устройство DRBD 9. Отделение от TCP звучит вкусно, как и всякие улучшения производительности. Прямо уже хочется где-нибудь попробовать. А вообще помню, что с DRBD 8 было приличное количество спецэффектов, пользующие в проде, расскажите, как оно?
- Доля пользователей Linux в Steam превысила 5%. Вендекапец близко!
- Проект Solod развивает подмножество языка Go, транслируемое в язык Си. Без каналов и горутин выглядит как (пока что) какое-то ненужно, ибо это одни из основных фич языка Go. Посмотрим, что будет с этим проектом в будущем.
- Microsoft заблокировал учётные записи для заверения релизов VeraCrypt и WireGuard. Пока Макрософаг на связь с разработчиками не выйдет - новых релизов не будет, блокировка была произведена без предварительного уведомления. Особенно это забавно в виду того, что wireguard использует сам Microsoft в своем продукте Azure Kubernetes Service.
- Релиз Chrome 147 с поддержкой вертикальных вкладок и переделанным режимом чтения. Последнее нафиг не интересно, а вот первое - очень даже. Я хромого не пользую, но выглядит не совсем отвратно. Кто на нем - как вам вертикальные вкладки? А если сможете сравнить с Tree Style Tabs из Firefox - то будет вообще бесценно!
- Опубликована Linux-версия межсетевого экрана приложений Little Snitch. Примечательно, что для Linux оно все бесплатно либо опенсорсно, а вот пользователи яблока должны страдать (примерно по 60 тугриков за лицензию). Вот что GPL животворящий делает! 🫠

Очередные уязвимости и атаки:

- Атака GPUBreach, позволяющая получить root-доступ через выполнение CUDA-кода на GPU NVIDIA. Атака опасная, и скорее всего будет использоваться в комбинации с другой, чтобы получть какой-либо доступ к системе, а потом рутануть. Причем работает даже через IOMMU, так что как только будет апдейт с фиксом - обновляйтесь!
- Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения. Уязвимость в dbus сервисе flatpak-portal, который является неким "проксиком" к реальным порталам (это всякие окна выбора файлов/диалогов, шаринга экрана, микрофон-камера и все такое прочее, предоставляемое системой для приложений). Пока что для быстрофикса этот "проксик" можно отключить через systemd. Ну а также там есть еще несколько уязвимостей, хоть и не совсем критичный (у этой - 9.3 из 10 скора), но тоже неприятные, поэтому обновляйтесь как будет обновление доступно!
- Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux. Очень много уязвимостей в различных приложениях и библиотеках, обновляйтесь по возможности!
- Релизы дистров и ОСей: Deepin 25.1, Trisquel 12.0 (для тотальных фанатов швабодки).

Также у меня появился канал в MAX, присоединяйтесь! Они чуток пофиксили парсинг markdown!

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 2 недели (14 - 27 апреля).

- Релиз ядра Linux 7.0. Из интересного - правила ИИ-патчей (разраб должен верифицировать, а не просто отослать), NFS 4.1 по-умолчанию, rust теперь как один из основных ЯП, BPF в io_uring, начальная реализация wifi 8, оптимизации UDP (до 12% на 100 гбит).
- Чистка в ядре Linux: удалены опции сборки для процессоров i486, удаление поддержка процессоров Baikal, удаление старых Ethernet-драйверов.
- В OpenBSD переименовали поле в pfsync после ложного AI-отчёта об уязвимости. Или почему за ИИшечкой всегда надо все проверять и почему появились, например, такие товарищи.
- SDL запретил приём кода от AI. Созданы форки Vim, избавленные от AI-изменений. Если Linux, например, написал правила, то ярые противники ИИшечки, во-первых, запрещают писать код с помощью ИИ, а во-вторых пилят ИИ-free форки (то есть удаляют код, сгенерированный ИИ, в форке). Но по правде говоря, заголовок байтовый, ибо SDL пошел по пути Linux (код, сгенерированный ИИ, должен быть проверен человеком).
- Отчеты о развитии KDE. Из интересного - менеджмент сессий в Wayland, переключение рабочих столов на каждом экране отдельно, разделение по названием GPU в system monitor, для видеокарт intel (i915 и xe) включена поддержка аппаратных overlay-плоскостей.
- Уязвимости в Java SE, MySQL, VirtualBox и других продуктах Oracle. Очередная пачка уязвимостей, не забудьте обновиться.
- Проект WSL9x для запуска современных Linux-ядер в окружении Windows 95. Чем бы дитя не тешилось, лишь бы по подъездам не шарилось ©. Реальная юзабельность в дикой природе под вопросом, конечно же, но идея забавная (и ведь работает!).
- В Rust Coreutils выявлено 113 уязвимостей. В Ubuntu 26.04 возвращены cp, mv и rm из GNU Coreutils. В очередной раз убеждаемся, что "серебряной пули" не существует, и что код говно не потому, что написан на Си, а потому что разрабы - криворукие дураки.

- Релизы дистров и ОСей: Raspberry Pi OS 2026-04-13, Альт Рабочая станция К 11.3, Zorin OS 18.1, Solus 4.9, GhostBSD 26.1, Ubuntu 26.04, CachyOS 260426.

Также у меня появился канал в MAX, присоединяйтесь!

Тем временем вышел Zed 1.0. Так как я его периодически потыкиваю, ибо он чуть-чуть недотягивал до удобства VSCode'а, решил потыкать и в этот раз.

Из замеченного:

- Появилась возможность вывести закрепленные вкладки в отдельную строку, выше обычных вкладок. Ура!
- Информативное дерево изменений в git.
- Возможность красиво посмотреть коммиты и ветки в git.
- Возможность иметь несколько рабочих деревьев для проекта в git.
- Возможность работать с ветками (создание, переключение, удаление) в git.
- Относительно адекватно работающий sticky scroll (это когда вы скроллите, а текущая область кода, так же известные как скоуп/функции/классы, отображаются сверху).

Собственно, 1.0 не зря есть 1.0. В принципе, можно пользовать. Но конечно же, ложка дегтя присутствует - у меня на Macbook Pro M4 при скроллинге жрется 50-60% GPU, что может сделать очень печальной работу с локальными ИИшками, которые я пользую для автодополнения. Настроек как это починить или снизить влияние я не нашел, ну и стоит учитывать, что это не Electron и тут прямой рендер через GPU, так что ждем фиксов с оптимизациями, наверняка последуют.

Также у меня появился канал в MAX, присоединяйтесь!

Думаем, куда с товарищем @leaveitru переезжать техническим доменом, который был в зоне wtf.

Пока выбирали домен рег.ру сделал такое предложение. Нраица! :D

Также у меня появился канал в MAX, присоединяйтесь!