В прошивках Tenda найден бэкдор, дающий доступ к web-интерфейсу с правами администратора в обход аутентификации

В прошивках маршрутизаторов, коммутаторов, точек доступа и систем видеонаблюдения Tenda выявлен бэкдор (CVE-2026-11405), позволяющий получить доступ к web-интерфейсу с правами администратора, минуя штатную аутентификацию. Проблема в процессе /bin/httpd: при неудачной проверке пароля по MD5 вызывается функция GetValue("sys.rzadmin.password"), проверяющая совпадение с предопределённым паролем в прошивке. При совпадении создаётся сеанс с правами администратора.

Для эксплуатации достаточно доступа к HTTP/HTTPS-интерфейсу. Затронуты прошивки для FH1201, W15E, AC10, AC5, AC6 и других устройств. Рекомендуется ограничить доступ к web-интерфейсу из внешних сетей.

Linux / Линукс 🥸

Linux / Линукс 🥸

Ubuntu завершила интеграцию ARM64: пакеты в основном архиве, Livepatch, Steam через FEX и Secure Boot на Snapdragon

Команда Ubuntu Foundations Team подвела итоги года работы над полноценной поддержкой ARM64. Основные достижения:

— Пакеты ARM64 перенесены из портов (ports.ubuntu.com) в основной архив (archive.ubuntu.com), что повысило скорость и надёжность загрузки.

— Livepatch (исправления ядра без перезагрузки) распространён на ARM64 (Ubuntu 26.04 LTS и Ubuntu Core 26).

— Собран стабильный snap-пакет Steam для ARM64 с эмуляцией x86 через FEX (поддержка GPU, Wine, Proton, DXVK, vkd3d), протестирован на Snapdragon X Elite, NVIDIA DGX Spark и Radxa Orion O6.

— Добавлена поддержка ноутбуков на Snapdragon X Elite (Lenovo Thinkpad X13s/T14s, Dell XPS 9345) с Secure Boot через EFI-прослойку stubble (Device Tree в UKI-подобном образе).

— Google анонсировал Chrome для ARM64 Linux с Widevine DRM (Netflix, Spotify, Disney+) — интеграция планируется в snap-пакеты Firefox и Spotify.

— Добавлены snap-пакеты OnlyOffice, FreeCAD, Teams for Linux для ARM64.

Linux / Линукс 🥸

Бабушкин ПК сильно тормозил, так что....

Linux / Линукс 🥸

Во FreeBSD исправили 22 уязвимости, включая RCE через RTSP в libalias и 13 локальных повышений привилегий

Вышли обновления FreeBSD 15.1-RELEASE-p1, 15.0-RELEASE-p11, 14.4-RELEASE-p7 и 14.3-RELEASE-p16, закрывающие 22 уязвимости.

Среди них:

▪️ CVE-2026-49420 (RCE): переполнение буфера в libalias (RTSP) в пакетном фильтре ipfw и natd. Специально оформленный RTSP-трафик может вызвать переполнение стека и удалённое выполнение кода с правами root. Обходные пути: блокировать alias_smedia.ko, убрать libalias_smedia.so из /etc/libalias.conf или заблокировать порты 554 и 7070.

▪️ Локальное повышение привилегий (13 уязвимостей):
CVE-2026-49415: состояние гонки в execve (procfs/linprocfs).
CVE-2026-49422: use-after-free в tcp_rack.ko.
CVE-2026-49419: underflow счётчика ссылок в Jail.
CVE-2026-49429: переполнение буфера в OpenZFS (ioctl ZFS_IOC_USERSPACE_MANY).
CVE-2026-49427, CVE-2026-49428: use-after-free в largepage (sendfile SF_NOCACHE, open/fspacectl O_TRUNC).
CVE-2026-49421: unlinkat/funlinkat с AT_RESOLVE_BENEATH.
CVE-2026-49418: use-after-free в msync(MS_INVALIDATE).
CVE-2026-49416: целочисленное переполнение в vt (ioctl CONS_HISTORY).
CVE-2026-49413: LD_PRELOAD в Linuxulator через suid.
CVE-2026-49412: use-after-free в IPV6_MSFILTER.
CVE-2026-45258: mmap в sound (/dev/dsp).
CVE-2026-45257: KTLS — перезапись страничного кэша.

▪️ Менее опасные: утечки стека в waitid (Linuxulator) и compat32, DoS в KTLS, переполнения в iconv.

Linux / Линукс 🥸

Это так?

Linux / Линукс 🥸

LineageOS запустил статистику использования: почти 1,5 млн активных установок, из которых только 26% — официальные сборки, 74% — неофициальные. Лидер по числу установок — Waydroid (231 тыс.), за ним Xiaomi Mi 8 (111 тыс.), Motorola moto g7 power (50 тыс.), Samsung Galaxy S7 (42 тыс.).

По странам: США (339 тыс.), Китай (298 тыс.), Бразилия (280 тыс.), Россия (62 тыс.), Вьетнам (55 тыс.). В России и США 2/3 установок — не на смартфоны (Waydroid, Nintendo Switch, Raspberry Pi). В Китае лидирует Xiaomi Mi 8, в Бразилии — Motorola moto g7, во Вьетнаме — Samsung Galaxy S7.

Только 8,8% используют последнюю LineageOS 23.2, 8,1% — 22.2, 5,4% — 21.1. 73,4% — на устаревших версиях (20.0 — 29,9%, 18.1 — 23,7%, 17.1 — 14,3%, 19.1 — 5,5%). Для 18, 19, 20 доступны июльские патчи. Для 16 и 17 — исправления до ноября 2025. Для 14 и 15 — планируется адаптация.

Начата разработка LineageOS 24 (Android 17). Появился web-установщик через WebUSB. Обновлён Updater с Material 3 Expressive и потоковой установкой A/B-обновлений.

Linux / Линукс 🥸

Linux / Линукс 🥸

В NPM 12.0 по умолчанию отключён запуск скриптов при установке пакетов

Опубликован выпуск пакетного менеджера NPM 12.0, входящего в поставку Node.js и применяемого для распространения модулей на языке JavaScript. Новая версия примечательна прекращением по умолчанию запуска скриптов во время установки пакетов. Предполагается, что изменение усложнит проведение атак через компрометацию зависимостей и замедлит распространение червей, активируемых из установочных скриптов.

Linux / Линукс 🥸

Вышел NPM 12.0.

Ключевое изменение: настройка allowScripts по умолчанию выставлена в "off", поэтому скрипты (preinstall, install, postinstall) и компиляция C/C++ через node-gyp (binding.gyp) больше не запускаются автоматически при установке. Для их запуска требуется явное разрешение через npm approve-scripts (с указанием пакетов или --all). Также по умолчанию отключена автоматическая загрузка зависимостей из Git-репозиториев и прямых ссылок на tar-архивы (--allow-git и --allow-remote установлены в "none").

Анонсирован запрет GAT-токенов без 2FA для критических операций (с августа). С января 2027 года прямая публикация пакетов с использованием токенов, обходящих 2FA, будет запрещена — пакеты будут попадать в staging-раздел до ручного подтверждения сопровождающим. Для автоматической публикации предлагается механизм "Trusted Publishers" на основе OpenID Connect (OIDC) с ограниченными по времени токенами.

Linux / Линукс 🥸

Линус Торвальдс: «Я больше не программист, я лидер разработки»

Создатель Linux окончательно эволюционировал в типичного менеджера. На саммите в Мумбаи он признался, что почти перестал читать чужой код и больше не считает себя программистом. Теперь он гордо называет себя ведущим разработчиком, который просто раздает советы и разруливает конфликты при слиянии веток. Из рабочих инструментов у великого и ужасного остались только Git, электронная почта и поисковик Google.

Параллельно Линус решил устроить массовую зачистку ядра от цифрового нафталина. Под нож пошла поддержка древних процессоров 486 серии без аппаратной плавающей точки и прочего музейного железа.

Досталось и фанатикам языка Rust. Торвальдс осадил хайп, заявив, что модный синтаксис не спасет от дыр в логике. Если программист пишет кривые алгоритмы, то переписывание на Rust просто сделает этот кривой код безопасным для памяти, но работать он от этого лучше не станет. Сам создатель ядра по-прежнему предпочитает старую добрую сишку.

Но главная боль современного Linux — это нейросети. По словам Торвальдса, ИИ генерирует невероятное количество мусорных отчетов об ошибках и галлюцинаций, заставляя живых мейнтейнеров тратить часы на проверку этого бреда. Даже когда нейросеть выдает рабочий патч, это обычно просто бездумный медицинский пластырь, который лечит симптом, но оставляет корень проблемы. Хотя иногда ИИ всё же находит постыдные баги двадцатилетней давности, от которых краснеет всё сообщество. Сам же Линус нашел нейросетям куда более важное применение... он использует их, чтобы пририсовывать Годзиллу на свои фотографии из отпуска

Linux / Линукс 🥸

Зумеры добрались до Линукса

Linux / Линукс 🥸

В среде рабочего стола Cinnamon реализована полноценная поддержка Wayland

Разработчики дистрибутива Linux Mint объявили о стабилизации поддержки протокола Wayland в среде рабочего стола Cinnamon. В кодовой базе, на основе которой формируется будущий стабильный выпуск Cinnamon 6.8 практически достигнут паритет в функциональности при работе с использованием X11 и Wayland. В Cinnamon 6.8 будет полностью поддерживаться как работа с использованием X11, так с Wayland. Намеченный на декабрь выпуск Linux Mint 23 станет первым, в котором поддержка Wayland в Cinnamon не будет рассматриваться экспериментальной.

Среди недавних улучшений в Cinnamon:

▪️ При использовании Walyand обеспечен корректный выбор размера и позиционирование новых окон, всплывающих диалогов и контекстных меню.
▪️ При работе через Walyand реализовано корректное переключение фокуса ввода.
▪️ Устранены многие ошибки в Cinnamon, muffin, cinnamon-session и Xwayland, приводившие к аварийному завершению работы при использовании Wayland.
▪️ Улучшена поддержка многомониторных конфигураций и KVM-переключателей мониторов в окружении c Wayland.
▪️ В приложениях, использующих Wayland или запускаемых через Xwayland, а также в композитном сервере и десктоп-сеансе задействовано аппаратное ускорение графики, реализованное через Wayland-протоколы wl_drm и zwp_linux_dmabuf_v1, а также аппаратно ускоренную работу GBM поверх EGL на видеокартах NVIDIA.
▪️ Предоставлена полная поддержка экранов с высокой плотностью пикселей (HiDPI) при использовании Wayland. Решены проблемы с масштабированием пиктограмм и курсоров мыши. Устранены ошибки, проявлявшиеся в приложениях на движке Chromium, таких как Slack и VSCode.
▪️ При использовании Wayland реализована работа индикаторов прогресса выполнения операции, например, показа прогресса копирования файлов в кнопке на панели.
▪️ Обеспечен запуск базовых приложений, запускаемых через pkexec, в качестве Wayland-клиентов без применения Xwayland.
▪️ Добавлена команда "cinnamon-list-windows" для упрощения получения списка всех открытых окон и определения их позиции, размера, данных о HiDPI и связанных с ними приложениях и бэкендах.
▪️ В композитном сервере Muffin обеспечено округление до целых чисел координат и размеров всех графических элементов библиотеки Clutter для более точного позиционирования и чёткой отрисовки апплетов и компонентов рабочего стола.
▪️ Добавлена поддержка юнитов systemd для пользовательских сеансов (graphical-session.target), активируемых для запуска сопутствующих сервисов в привязке к графическому сеансу.

Linux / Линукс 🥸

Работает и ладно

Linux / Линукс 🥸

pgrust — клон PostgreSQL на Rust, проходящий все 46 тысяч регрессионных тестов: в 50 раз быстрее при транзакциях и в 300 раз на аналитических запросах

Опубликован проект pgrust — реализация СУБД PostgreSQL, переписанная на Rust с использованием транслятора c2rust и AI-ассистента. Проект пока не готов для продакшна, но уже проходит все регрессионные тесты PostgreSQL, совместим с форматом хранения PostgreSQL 18.3 и может использовать data-каталог от неё. Исходный код распространяется под AGPLv3, в отличие от пермиссивной лицензии оригинала.

Цель проекта в достижении полной совместимости с PostgreSQL 18.3 и эксперименты с изменением внутренней архитектуры, избавление от исторических ограничений. Следующая версия pgrust уже использует многопоточную модель обработки соединений, пакетную обработку строк и упреждающую загрузку данных. В тестах percona-tpcc новая версия оказалась быстрее штатного PostgreSQL на 50% при обработке транзакций и в 300 раз на аналитических запросах.
Планы: многопоточная архитектура, пулинг соединений, оптимизация для JSON, Copy-on-Write без копирования данных, отказ от VACUUM, ограничения на ресурсоёмкие запросы и защита от неэффективных планов оптимизатора.

Перевод на Rust — гибридный подход: код PostgreSQL обработан c2rust (unsafe-представление, около 1000 crate-пакетов), затем параллельно переведён на идиоматический Rust с помощью Claude и Conductor.

Linux / Линукс 🥸

Вышел Rust 1.97.

Основные изменения: по умолчанию включена новая схема декорирования имён -Csymbol-mangling-version=v0, разработанная специально для Rust, которая заменяет Itanium ABI и лишена его недостатков (нечитаемые хэши и части компилятора, не использующие ABI). В Cargo добавлена переменная CARGO_BUILD_WARNINGS (warn/allow/deny) для управления реакцией на предупреждения компилятора без сброса кэша (ранее для завершения сборки требовалось -Dwarnings в RUSTFLAGS, что вызывало полную перекомпиляцию). При сборке включено отображение сообщений компоновщика в виде предупреждений (линт linker_messages), которые rustc фильтрует, оставляя только те, что могут свидетельствовать о проблемах.

Стабилизированы новые API, включая Default for RepeatN, Copy for ffi::FromBytesUntilNulError, Send for std::fs::File для UEFI, методы isolate_highest_one, isolate_lowest_one, highest_one, lowest_one, bit_width для целых чисел и NonZero, а также char::is_control как const.

Linux / Линукс 🥸

Какие были ваши первые ощущения, когда вы решили что будете использовать Vim?

Linux / Линукс 🥸

Разработчик OpenMandriva удалил репозитории и подменил пакеты GNOME/Cosmic после конфликта с лидером проекта

Давиде Беатричи, администратор репозиториев OpenMandriva, в результате конфликта с лидером проекта удалил часть GitHub-репозиториев и совершил вредоносные действия в репозитории Cooker. Он опубликовал пустой пакет, который переводил в категорию устаревших все пакеты GNOME и Cosmic (с помощью тега «Obsoletes:»), что могло нарушить работу систем пользователей, использующих эти окружения. Команда OpenMandriva провела аудит и не выявила других вредоносных действий, сейчас восстанавливает удалённые репозитории и работоспособность пакетов.

Беатричи известен как разработчик Mumble, и у OpenMandriva не было оснований не доверять ему. Инцидент начался с удаления из чата его товарища, отличавшегося токсичным поведением, после публичных нападок на участника в matrix-чате и обсуждениях на GitHub. Беатричи и ещё один участник покинули проект в знак протеста, а лидер проекта отключил доступ к их зеркалам на OneDev. В ответ Беатричи злоупотребил оставшимися правами администратора.

"Хорошо" поработал на свою репутацию...

Linux / Линукс 🥸

Linux / Линукс 🥸