Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшую неделю (16 - 22 июня).

- KDE Plasma 6.7. Из интересного - движок оформления Union, сохранение/восстановление сеанса Wayland, разнообразные улучшения в Discover, Plasma Bigscreen, различные оптимизации KWin. Также представлен недельный отчет о разработке KDE, где из интересного - плавная смена темы оформления при ее переключении в настройках, а также фикс краша KWin (готовится выпуск 6.7.1).
- Уязвимости в MySQL, VirtualBox, Solaris и других продуктах Oracle. Плановый выпуск апдейтов, конечно же, не мог обойтись без фиксов уязвимостей. Не забудьте обновиться.
- При переводе Firefox на zlib-rs разработчики натолкнулись на ошибку в CPU Intel. Вкраце: LLVM 22 при генерации кода неправильно работает с регистрами. Патчи для всего уже есть, в LLVM 23 проблема не проявляется.
- Обновление nginx 1.31.2 с устранением уязвимостей, эксплуатируемых через HTTP/3, HTTP2 и gRPC. Не забудьте обновиться.
- Стандартизирован HTTP-метод QUERY, комбинирующий возможности GET и POST. То есть если вы раньше все спокойно решали через POST и все работало отлично, то теперь у вас есть выбор теперь уже из трех штук. Конечно, это логически выверенный дополнительный глагол, потому что в среднем ограничение на длину ссылки - 4 или 8 кб (чаще 4 причем), что делает GET сильно малополезным для тех, кто пользует UUIDы, например.

- Релизы дистров и ОСей: FreeBSD 15.1, Android 17, SteamOS 3.8, Альт Рабочая станция К 11.4, Raspberry Pi OS 2026-06-18, postmarketOS 26.06.

Также у меня появился канал в MAX, присоединяйтесь!

Как вы знаете, я люблю Ferdium и делать всякие чятики так, чтобы они использовали максимальное количество свободного пространства. Пожалуй, самый "любимый" мною для этих экспериментов - это веб-версии тележеньки. И вот в очередной раз они поправили DOM с таблицей стилей, поэтому пришлось мое прошлое CSSничество пришлось переделывать. Теперь, чтобы сделать Telegram K максимально широким, делаем так:

body:not(.is-right-column-shown), html {
    --chat-input-max-width: 100%;
    --chat-width: 100%;
}
    
body:not(.is-right-column-shown) #column-center {
    transform: translate(calc(var(--left-column-visual-width) + var(--page-chats-padding)));
    width: calc(100% - var(--left-column-visual-width) - 40px);
}
    
body:not(.is-right-column-shown) .bubbles {
    inset-inline: 0;
}
    
body:not(.is-right-column-shown) .bubbles-inner, .chat-input {
    width: 100%;
}

body:not() нужен для того, чтобы относительно корректно отрабатывались ресайзы при показе правой панели с информацией о чате/пользователе. Пока что не победил "дерганую" анимацию при ресайзе, да и думаю не буду - я редко в правую панель вообще залезаю, можно и потерпеть. Однако если вы победите - дайте знать в комментариях кодом победы :).

Нашел в этом всем багулечку, что если ширина относительно небольшая - чат уходит за правую панель при ее открытии. Как побороть пока не понял.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 3 недели (23 июня - 13 июля).

1/2

- Первый тестовый выпуск композитного сервера Xfwl4 от проекта Xfce. Крыска понемногу присоединяется к миру Wayland, что не может не радовать.
- Компания Valve выпустила игровую приставку Steam Machine на базе Linux. Безусловно, компании респект за то, что двигает Linux в игровые массы, однако там всего 8 ГБ видеопамяти, то есть играть в 4К или "псевдо-4К" (это которые изогнутые мониторы) с нормальным FPS не получится. Говорю как обладатель такого монитора и 8 ГБ видеокарточки - лучше FullHD.
- Еженедельные отчеты о развитии KDE. Из интересного - тройная буферизация с GPU nVidia, прекращение поддержки OpenGL (OpenGL ES остается), а еще исправили одну уязвимость в механизме действия "Open New Window" (опять фиговая валидация!), Spectacle теперь может писать звук в скринкастах, выхлопали много Breeze-хардкода.
- Microsoft реализовал Linux-контейнеры в WSL. Выглядит интересно, но теперь у вас будет больше геморроя с настройкой инструментария для разработки.
- Очередная чистка ядра Linux. В этот раз нюкают код поддержки старых ARM платформ, EFS (из OS IRIX).
- Linux портирован для игровых приставок Sega MegaDrive. Интересный эксперимент, учитывая старость платформы и то, что внутри ничего не было (вроде MMU или адекватного объема RAM). Следом за этим Linux запустили на Atari Jaguar. Тут тоже интересно, ибо у приставки не было таймера и использовали таймеры DSP.
- На kernel.org по ошибке удалили со всех зеркал архивы с кодом ядра. Happens even with the best of us. Хорошее напоминание о необходимости проверки бэкапов и их разворачиваемости.
- Ядро Linux оказалось на первом месте по числу CVE-идентификаторов уязвимостей. Ну а что поделать, самый популярный опен-сорс.
- Опубликован BSDun, модуль для запуска исполняемых файлов FreeBSD в Linux. Штука, написанная на С, с помощью ИИ, так что будьте аккуратны. Ну а судя по названию - понятно, откуда разработчик, тем более он вроде бы в комментариях к новости отметился.
- В полку селф-хостед корпоративных чатов прибыло - открыли код Chatto. Слышу о нем впервые, но он написан на Go (радостно!) и является заменой слака и маттермоста. Киллерфича (по инфе с сайта) для меня - поддержка созвонов без сторонних сервисов. Надо будет потестировать.

2/2

Подборка уязвимостей, брешей и всякого подобного:

- Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org. У меня глаза на лоб полезли - если указать юзера "admin" и любой ключ, то вы могли изменить ссылки на загрузку Python, а также подменить чексуммы. И ладно это - уязвимость присутствовала с 2014 года!
- Раскрыты эксплоиты для 23 неисправленных уязвимостей в FFmpeg, VLC, Firefox, Docker, PHP, OpenVPN, nmap, libssh2, nghttp2 и 7zip. Обновляйтесь, если еще не успели! Внутри все классическое - переполнения, отсутствие валидации либо экранирования спецсимволов, немного приправлено (R)CE.
- Проблемы с очисткой ключей шифрования диска из ОЗУ при переходе Linux в ждущий режим. Портирование cryptsetup-suspend выявило, что с 2024 года при переходе в ждущий режим ключи от дисочков из памяти не очищались, то есть можно было через полную перезагрузку по питалову взять дамп свапа и достать ключики. Исправление уже готово и в релизе cryptsetup 2.8.7, так что обновляйтесь.
- Уязвимость в пакетном менеджере Guix, допускающая удалённое выполнение кода в системе. Классическое "разработчики забили на валидацию данных", причем как в пакетах, так и в метаданных о них, которые загружаются с сервера. Обновляйтесь, если пользуете сей пакетник.
- Бэкдор в прошивках Tenda, позволяющий получить доступ с правами администратора. Обновляйтесь, если пользуете, там статический админский пароль.
- Уязвимости во FreeBSD, допускающие повышение привилегий и удалённое выполнение кода. Там много всякого, включая около-10/10 штуки, поэтому если вы фряху пользуете - найдите время и обновитесь, релизы уже сформированы.
- GhostLock, BadEpoll и Januscape - уязвимости в ядре Linux, позволяющие получить права root и обойти изоляцию KVM. Очередная подборка громко названных уязвимостей в ядре Linux, позволяющие получить рута. Эксплоиты есть для всего, как и фиксы в ядре. Обновляйтесь по возможности.

- Релизы дистров и ОСей: KaOS 2026.06, QSOE (QNX-like OS), Mageia 10, CachyOS 260628, Slackel 9.0, ArchBang Linux 010726, OpenWrt 25.12.5, Qualcomm Linux 2.0, Deepin 25.2, Debian 12.15 и 13.6, B1ackOS GNU/Linux (роллинг на базе Debian Sid).

Также у меня есть канал в MAX, присоединяйтесь, там появились комментарии!

Этта...

https://max.ru/channel_coweram

Канал в Максе теперь публичный 🫠.

У кого пятничный деплой - тот я.

Спасибо гуглу за это, они захотели прямую ссылку на Privacy Policy, чтобы пользователь не скроллил, а бизнес посчитал это критической проблемой ¯⧹_(ツ)_⧸¯.

Интересное с просторов Usenet (помните, такой форум был раньше, перед вебом?):

10**9 questions = 1 gigawhat

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 2 недели (14 - 27 июля).

1/2

- Инициатива по упрощению тестирования экспериментальных версий программ в GNOME OS. Фактически гномосеки сделали свой Test Flight.
- Представлены X-сервер Frame и рабочий стол CHasm, написанные на ассемблере. Когда сильно заморочился с ИИшечкой и перфомансом. Практическая ценность на текущий момент сомнительная, но наблюдать за проектом будет интересно.
- Очередные еженедельные отчеты о развитии KDE. Из интересного - отрисовка теней на сервере у приложений вроде Steam и Discord (у которых нет теней в вяленом), установка CPU affinity (привязки процесса к CPU) в System Monitor, утилита kscreenctl для управления устройствами вывода.
- Компания Collabora представила Holo Core, порт Arch Linux для архитектуры AArch64. В отличие от множества других компаний, которые используют Linux в своих продуктах, от Valve есть огромная польза, за что им респект. Теперь список пополнился, фактически, портом на arm64, ибо в очках виртуальной реальности от Valve используется Snapdragon 8.
- Разработчик GNOME Calendar обвинил Linux Mint в игнорировании проблемы с устаревшим пакетом. Очередная драма из мира СПО, от одного чтения новости я убедился в том, что заднеприводные, как обычно, жгут, так сказать, по-взрослому. Канадский разработчик индийского (!!!) происхождения нетрадиционной ориентации (осуждаем и порицаем), фактически, пожаловался на то, что пользователи дистрибутивов с длительным циклом поддержки (например, Debian или Ubuntu LTS) запускают старые версии разрабатываемого им ПО. Кстати, быстренько глянув в его mastodon, увидел псто о том, что мейнтейнер из Fedora EPEL посоветовал ему обратиться к врачу. Горячо поддерживаю это направление!
- Возобновлена работа над ОС NextBSD, сочетающей технологии FreeBSD и macOS. В прошлый раз эта история закончилось ровно в тот момент, когда закончились деньги на развитие. Посмотрим, когда эта история закончится в этот раз.
- В ходе тестирования автономный AI-агент OpenAI без явной указки взломал инфраструктуру Hugging Face. В ближайшее время кибербез явно выйдет на новый уровень, постарайтесь не отстать 🫠.
- Сооснователь Twitter представил открытую коммуникационную платформу Buzz. Выглядит интересно, но из-за Nostr и децентрализации никуда далее техногиков это не уйдет, ибо бизнесу нужен контроль над IP, а не вот это вот все. А, еще без учетки openai или anthropic вы в этот "мессенджер" не зайдете 🫠.
- Дерево портов FreeBSD временно заморожено из-за добавления в порты слишком большого файла. Самое забавное, что тут "подкозлила ИИшка" - это был пакет github-copilot-cli, из-за криворукости мейнтейнера оного в гитцы залетел бинарник в 149 мегабайт, а github, куда порты зеркалятся, поддерживает максимум 100 мегабайт. Скажем спасибо Yuri Victorovich.
- Bun завершил перенос с Zig на Rust, после чего разработчики проектов публично разругались. Сразу после этого появились форки, которые продолжают развитие кодовой базы на Zig и без использования ИИ. Как думаете, выживут ли они?

2/2

Подборка уязвимостей (не забудьте обновиться!):

- Обновление nginx 1.31.3 с устранением RCE-уязвимости. Переполнение буфера, use after free. Классика.
- Обновление NTFS-3G 2026.7.7 с устранением 9 уязвимостей. Переполнение буфера, чтение за границами выделенного буфера.
- В OpenBSD устранена локальная уявзимость, позволяющая получить права root. И на старуху бывает проруха! Тут use after free.
- Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере. Или почему я не использую wordpress нигде и никому не советую.
- 432 отчёта об уязвимостях в ядре Linux. Локальная root-уязвимость Frag Gap. ИИшечка прямо лютует (ибо большинство уязвимостей выявлено с помощью ИИ), а тем, у кого включен IPv6, особое предупреждение - там обработка спецпакета UDP может выйти за пределы буфера и появляется возможность выполнить код с правами root.
- Уязвимости в XFS, snapd и Exim, позволяющие поднять свои привилегии. Ядрышко обновляем, snapd удаляем, exim, надеюсь, вы уже не пользуете же, да?
- 1434 уязвимости в продуктах Oracle, 82 из которых затрагивают Java, MySQL, VirtualBox и Solaris. Вот и Oracle на свои продукты ИИшечку натравила. 19 - java se, 41 - mysql, 16 - virtualbox, 6 - solaris. Остальное, видимо, что-то проприетарно-закрытое.

- Релизы дистров и ОСей: OPNsense 26.7, Whonix 18.2, Альт Рабочая станция 11.2, Ubuntu Touch 24.04-2.0, РЕД ОС 8.0.3 и РЕД ОС 7.3.7.

Также у меня появился канал в MAX, присоединяйтесь!

Минвайл в AUR очередная волна вредоносных изменений в пакеты. Пока что есть сообщения о:

monitorets
python-unpackable
python-jaraco.packaging
imeditor
python-aiofile
passbook-git
easywifi-git
python-app_paths
cast_control
python-daemons
python-buildlog-consultant
python-types-setuptools

В общем, повремените с обновлениями :)

Возможность взять пакет на сопровождение в AUR отключена до соответствующего объявления.

Интересно, что придумают в этот раз как защиту...