#prog #rust #article

Building software for places where the internet barely exists

Статья о программе для синхронизации данных в условиях, когда соединение медленное и крайне ненадёжное. Нацелено на решение крайне практической задачи: связи между поликлинниками в Бутане. Технически связь есть, но 2G, и в силу множества причин связь часто обрывается, порой на несколько дней. Починка инфраструктуры — дело сложное из-за горного ландшафта, где ещё и дороги регулярно размывает дождями. Написанный автором ZamSync позволяет надёжно реплицировать данные даже в таких условиях. В статье также есть сравнения с уже существующими решениями.

BTW

Хаотичное поведение Apple может привести к потере доверия российских пользователей. Думаю, компании следует объясниться: почему она лишает миллионы людей доступа к привычным сервисам, сначала банковским, потом транспортным, теперь коммуникационным

Говорит нам Антон Вадимович Горелкин (https://t.me/webstrangler/4838)

Я вот кстати хотел бы тоже узнать почему лишают миллионы людей доступа к привычным коммуникационным (и не только) средствам, но Антон Вадимович нам не ответит.

Поэтому предлагаю подписчикам в комментариях написать только неправильные ответы 🌝

#prog #article

How to miscompile programs with “benign” data races

Или как "безвредные" гонки данных могут быть вредить программе в контексте легальных оптимизаций компиляторов.

И вдогонку

Benign Data Races: What Could Possibly Go Wrong?

Тоже с конкретными примерами.

Текст поправили, но ссылка в CRM-ке осталась жить

https://novos.mk.ru/social/2026/06/26/sdelay-kachestvennyy-i-unikalnyy-polnyy-rerayt-etoy-novostnoy-stati-na-russkom-yazyke-perevedi-pryamuyu-rech-v-kosvennuyu-i-pridumay-interesnyy-i-klikabelnyy-novostnoy-zagolovok-i-podzagolovok.html

Вообще, конечно, интернет скатился в унылое нейрохрючево. Однотипные текстовые высеры ИИ, однотипные картинки генерённые (никакого полёта мысли и фантазии), засраные нейрокалом видеохостинги.

Чтобы посмотреть и почитать что-то в этих ваших интернетах надо реально продираться среди куч говна.

Теперь так приятно почитать и посмотреть посты в Telegram по которым видно, что человек вложил в них свои силы.

- на чем играешь?
- на скуф престиж 😎

#prog #rust #article

How we found a bug in the hyper HTTP library

None of the tools at the application level surfaced any errors, crashes, or log entries that provided useful clues. Application-level observability can have a blind spot for bugs that live below its awareness.

The failure occurred intermittently, scaled with response size, couldn’t be reproduced with simple tools like curl, and disappeared when we observed the system more closely. These signals pointed to a timing-dependent bug in the connection layer, not in the application logic.

Our breakthrough came from using kernel-level tooling with strace, the one layer that records what actually happened on the socket. The underlying bug lived in the few milliseconds between a partial flush and a premature shutdown — a window that opened only after we made the system faster.

Баг присутствовал в нескольких мажорных версиях hyper и, что иронично, проявился в Cloudflare из-за, в конечном счёте, оптимизаций архитектуры. А ещё это хорошее напоминание, что Rust защищает от гонок данных, но не от состояния гонок в целом.

#prog #rust #article #successstory

Rust PNG crate gets even faster, used by GNOME and Chromium

Rust png crate, also known as image-png, implements PNG encoding and decoding in safe Rust. It is compliant with the third edition of the PNG specification, including APNG support.
A year ago it was already the fastest PNG decoder in the world. Since then it has gotten even faster.

<...>

image-png is used as the default PNG implementation in Chromium since M139 (August 2025) across all platforms [выделение моё], both on desktop and on mobile.

This required meeting a remarkably high bar in terms of features, performance, correctness, compatibility and security. It would only ship if there were no regressions in any of those categories!

#prog #ml #abnormalprogramming

Llama.ttf

The font shaping engine HarfBuzz, used in applications such as Firefox and Chrome, comes with a Wasm shaper allowing arbitrary code to be used to "shape" text.

In particular, this "arbitrary" code could in principle be an entire LLM inference engine with trained parameters bundled inside, relying on treating text containing magic symbols for fake "ligatures" to initialize the LLM and use it to generate text.

It could also in principle be an entire LLM inference engine (Llama in our case, hence the name) except instead of only being in principle it's what this is.

Есть ссылка на видео с демонстрацией. Сам шрифт весит 60 мегабайт, по очевидным причинам.

(thanks @programming_sucks)

Как называется процесс диагностики нейроотличных состояний?

Спектральный анализ

#meme про тормоз

...

#meme про бисексуальную повестку

Incident Report: CVE-2026-LGTM

Необычный жанр: #itsec-сатира (и ещё немного #ml)

Massimiliano Oldani (sgrakkyu) опубликовал PoC, который из непривилегированного процесса внутри изолированного по сети контейнера даёт полноценный побег на хост с root. В основе — свежезакрытая уязвимость IPv6-стека ядра Linux: при сборке UDPv6-фрагментов через splice() ядро выделяло буфер только под заголовки, забывая про перенос выровненных байтов (fraggap), и запись уходила за конец объекта прямо в служебную структуру skb_shared_info.

Дальше один испорченный байт nr_frags разворачивается в page use-after-free и технику Dirty Pagetable с произвольным чтением/записью ядра: KASLR обходится через SMP-трамплин, SELinux глушится подменой пролога avc_denied(), а сам побег из контейнера делается через core_pattern. Всё срабатывает детерминированно, без heap-grooming и без каких-либо привилегий.

Баг тихо жил с ядра 6.0, но эксплуатировать его стало возможно только с версии 6.6, после которой он попал во все поддерживаемые ветки и был незаметно убран коммитом в середине июня — без CVE, без advisory и без бэкпорта в stable, что автор и критикует: фикс лежит в открытом дереве, фактически раздавая рабочий 0-day. Опубликованный PoC намеренно ослаблен и работает только на ядрах без CONFIG_INIT_ON_ALLOC (RHEL/CentOS). Боевую версию обещают после выхода патчей.

Ну #itsec #suckassstory

А вы ещё спрашиваете, зачем проверки границ нужны