Какие были ваши первые ощущения, когда вы решили что будете использовать Vim?

Linux / Линукс 🥸

Разработчик OpenMandriva удалил репозитории и подменил пакеты GNOME/Cosmic после конфликта с лидером проекта

Давиде Беатричи, администратор репозиториев OpenMandriva, в результате конфликта с лидером проекта удалил часть GitHub-репозиториев и совершил вредоносные действия в репозитории Cooker. Он опубликовал пустой пакет, который переводил в категорию устаревших все пакеты GNOME и Cosmic (с помощью тега «Obsoletes:»), что могло нарушить работу систем пользователей, использующих эти окружения. Команда OpenMandriva провела аудит и не выявила других вредоносных действий, сейчас восстанавливает удалённые репозитории и работоспособность пакетов.

Беатричи известен как разработчик Mumble, и у OpenMandriva не было оснований не доверять ему. Инцидент начался с удаления из чата его товарища, отличавшегося токсичным поведением, после публичных нападок на участника в matrix-чате и обсуждениях на GitHub. Беатричи и ещё один участник покинули проект в знак протеста, а лидер проекта отключил доступ к их зеркалам на OneDev. В ответ Беатричи злоупотребил оставшимися правами администратора.

"Хорошо" поработал на свою репутацию...

Linux / Линукс 🥸

Linux / Линукс 🥸

Этот безобидный код имитирует уязвимость, которая годами жила в демоне синхронизации времени (ntpd) по всему миру.

Выглядит просто и максимально безопасно. Ровно до тех пор, пока строка конфига не окажется чуть длиннее, чем планировал разраб ⚰️

Типичный 🥸 Сисадмин

Линуксоид уговаривает накатить пингвина

Linux / Линукс 🥸

Debian 13.6: обновление shim для Secure Boot, замена geoip-database на устаревшую версию 🥸

Вышло шестое корректирующее обновление Debian 13.6 (124 обновления стабильности, 120 исправлений уязвимостей). Ключевое изменение — обновление shim-signed для UEFI Secure Boot в связи с истечением сертификата Microsoft (новая версия заверена сертификатом 2023 года). fwupd обновлён до 2.0.20 с поддержкой обновления БД сертификатов Secure Boot.

Из-за проблем с лицензией пакет geoip-database заменён на устаревшую версию 2019 года (актуальные данные нужно загружать напрямую). Обновлены postfix, samba, wireless-regdb, wireshark.

Debian 12.15 — последнее штатное обновление. Ветка Debian 12 переходит на LTS-поддержку (до 30 июня 2028 года). Debian 13 будет сопровождаться до 9 августа 2028, затем LTS до 2030 года. Для Debian 12 будет доступна Extended LTS от Freexian до 2033 года.

Linux / Линукс 🥸

Так вот что имел в виду Платон?

Linux / Линукс 🥸

🔥 Ахтунг! В публичный доступ вывалили уязвимость Januscape (CVE-2026-53359) в гипервизоре Linux KVM.

Если у злоумышленника есть root-права внутри гостевой виртуалки (а любой покупатель VPS за 100 рублей их имеет), он может пробить изоляцию, выйти на уровень гипервизора на архитектуре x86 и получить полный контроль над физическим сервером и всеми остальными соседями по железу. Canonical временно советует костыль... вырубить вложенную виртуализацию (nested virtualization).

Еще из примечательного то, что баг лежал в KVM 16 лет.

Еще по сети гуляет легендарный email из рассылки 2007 года. Пишет Тео де Раадт (создатель OpenBSD), отвечая юзеру, который утверждает, что виртуализация полезна для безопасности 🏥

Перевод этой базы:
> Вы, должно быть, курите что-то забористое. Виртуализация на x86 - это когда вы берете почти целое ядро, полное новых багов, и кладете его поверх мерзкой архитектуры x86, в которой даже защита страниц памяти работает криво. А потом запускаете свою ОС поверх этой новой кучи дерьма 👨‍🦳
>
> Вы абсолютно оторваны от реальности (если не просто тупы), если думаете, что программисты по всему миру, которые не способны написать обычную ОС или приложение без дыр в безопасности, вдруг внезапно возьмут и напишут слой виртуализации без дыр 😂
>
> Вы просто увидели на полке коробку, она переливалась красивыми цветами, и вы ее купили. Вот и вся ваша x86 виртуализация 😎

Спустя почти 20 лет после этого письма пророчество сурового бородатого деда - сбылось.

Типичный 🥸 Сисадмин

Критическая Linux-уязвимость Januscape в KVM позволяла 16 лет атаковать хост из гостевой системы

Исследователь Хену Ким обнаружил уязвимость Januscape в гипервизоре KVM, которая позволяет злоумышленнику совершить побег из гостевой виртуальной машины и выполнить код с правами root на хост-системе. Проблема существовала в коде ядра Linux около 16 лет и затрагивает KVM-хосты на x86-архитектуре с процессорами Intel и AMD, не влияя на ARM64.

Суть уязвимости CVE-2026-53359 в use-after-free при работе с механизмом трансляции адресов памяти. При поиске теневой страницы KVM проверял только номер гостевого фрейма, игнорируя атрибуты страницы. Это позволяло использовать уже освобождённую память, занятую другими объектами ядра, что приводило к повреждению данных. Опубликованный PoC-эксплоит вызывает панику ядра хоста, отключая все виртуальные машины на сервере. Исследователь утверждает, что возможен и полноценный захват системы с правами root, но эксплоит для этого пока не опубликован.

Особую опасность баг представляет для мультитенантных облачных сред с включённой вложенной виртуализацией. Для атаки требуются права root внутри гостевой VM и активная nested virtualization, что вынуждает KVM использовать уязвимый код теневых таблиц даже на системах с аппаратной поддержкой EPT или NPT. В некоторых дистрибутивах файл /dev/kvm доступен на запись всем пользователям, позволяя непривилегированному атакующему получить root-доступ на непропатченной системе. Исследователь получил 250 тысяч долларов за обнаружение уязвимости через программу Google kvmCTF.

Исправление состоит из одной строки в функции kvm_mmu_get_child_sp() и уже включено в основную ветку ядра (коммит 81ccda30b4e8 от 19 июня 2026 года). Патч доступен в стабильных версиях ядра 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 и 5.10.260. Debian уже выпустил обновление для testing и unstable, RHEL и его производные ожидают патча от Red Hat, SUSE и openSUSE пока тестируют исправления. Временная мера защиты — отключение вложенной виртуализации параметрами kvm_intel.nested=0 или kvm_amd.nested=0.

Linux / Линукс 🥸

Linux / Линукс 🥸

Жизнь в мире и спокойствии

Linux / Линукс 🥸

Сравнение отзывчивости ввода в X11 и Wayland

Опубликованы результаты аппаратного тестирования задержек ввода в играх на X11 и Wayland. Измерения проводились с помощью Raspberry Pi RP2040 и фотодиода, симулирующего USB-мышь, на системе с AMD Ryzen 7 5800X3D и NVIDIA RTX 4070 SUPER. Тестировалась игра Diabotical (DirectX 11) через Proton 11.0 на KDE Plasma 6.7.2.

Наименьшая задержка достигнута в конфигурации X11 + VRR + dxvk-low-latency — 4,21 мс. Второе место у Wayland + VRR + dxvk-low-latency — 4,38 мс. Без оптимизаций X11 показал 4,79 мс, Wayland — 4,93 мс. Разница в 0,14–0,22 мс признана неощутимой для человека. Худшие результаты у XWayland — 8,06 мс (и 5,95 мс с dxvk-low-latency), поэтому в окружениях Wayland рекомендуется включать экспериментальную поддержку Wayland в Proton через PROTON_ENABLE_WAYLAND=1.

VRR и dxvk-low-latency дают небольшое снижение задержек, но главное — они уменьшают разброс значений, сглаживают пики и делают задержки более предсказуемыми в реальных условиях переменной нагрузки.

Linux / Линукс 🥸

Проблемы новичка

Linux / Линукс 🥸

s6-rc 0.7: команда reload, новый формат БД и удаление s6-rc-bundle

Вышла новая версия сервисного менеджера s6-rc 0.7.0.0. Появилась команда s6-rc reload и управляющий файл reload-signal для перезапуска длительно работающих сервисов (по умолчанию SIGHUP). Удалена утилита s6-rc-bundle — изменение bundle-наборов без перекомпиляции больше не поддерживается. Предложен новый формат внутренней БД (требуется перекомпиляция и запуск s6-rc-format-upgrade). В s6-rc-set-change добавлены опции -I/-i для конфликтующих зависимостей и -P/-p для автоматического разрешения конфликтов.

В s6 добавлена команда s6-svscanboot для перенаправления логов супервизора, а в s6-svc — опция -l для отправки сигнала перезапуска. В s6-frontend добавлена поддержка пользовательских сервисов и команд s6 live reset, s6 apply, s6 enable|disable|start|stop|kill|apply. В HTTP-сервере tipidee реализована поддержка FastCGI и опция cgi_pass_authorization.

Linux / Линукс 🥸

Linux / Линукс 🥸