🪆 Матрешка для параноиков: smolvm 1.7 запихнет каждое приложение в отдельную виртуальную машину

Разработчики выкатили новую версию инструментария smolvm, который возводит изоляцию приложений в абсолют. Теперь предлагается упаковывать каждую программу в образ smolmachine или огромный самодостаточный исполняемый файл, внутри которого зашит свой собственный кусок ядра Linux.

Проект написан на модном языке Rust и позволяет запускать этот программный бутерброд на любой популярной операционной системе через встроенные гипервизоры.

Создатели с гордостью заявляют, что их микро-виртуалка стартует всего за 200 миллисекунд. Зато уровень паранойи удовлетворен полностью: приложение работает в абсолютной изоляции, динамически отжирает память через специальный драйвер и засыпает вместе с виртуальным процессором во время простоя.

Утилита даже научилась запускать тяжелые образы из публичных реестров, превращая и без того неповоротливые контейнеры в еще более тяжелые виртуальные машины со своим ядром.

Отдельно радует проброс графики. Инженеры прикрутили поддержку API Vulkan, чтобы вы могли запускать графические приложения внутри виртуальной машины, запущенной внутри вашего десктопа. В качестве сценариев использования авторы предлагают изолировать не заслуживающие доверия программы и собирать безопасные среды разработки. Индустрия уверенно движется к тому моменту, когда для запуска обычного текстового редактора нам потребуется поднимать отдельный кластер виртуальных машин с пробросом видеокарты и многоуровневой виртуализацией.

Linux / Линукс 🥸

Linux / Линукс 🥸

В ночных сборках доступен для тестирования новый интерфейс Firefox 🦊

Разработчики Mozilla в очередной раз решили спасти падающую долю рынка не улучшением движка, а перекрашиванием кнопок. В ночных сборках браузера появился интерфейс Nova. Дизайнеры тотально скруглили кнопки вкладок и поле адресной строки, чтобы браузер стал максимально похож на мобильное приложение.

Для полного визуального счастья панель навигации, вкладки и боковую панель засунули в отдельную выделенную цветом зону, попутно поигравшись с отступами между всеми элементами интерфейса. Новая цветовая палитра теперь пестрит оттенками фиолетового и светлыми теплыми тонами, а вокруг активной вкладки прикрутили эффект свечения.

Linux / Линукс 🥸

Гипервизор Xen разрешил гостевым системам взламывать хосты

Разработчики гипервизора Xen выкатили пачку экстренных обновлений, закрывающих сразу двадцать уязвимостей. И если восемь из них просто приводят к отказу в обслуживании или утечке памяти, то оставшиеся двенадцать полностью умножают на ноль саму концепцию виртуализации.

Эти дыры позволяют гостевой системе вырваться из своей песочницы и выполнить любой код на стороне физического хоста.

Главной звездой этого парада уязвимостей стал загрузчик pygrub и библиотека libfsimage. Хакеру достаточно просто скормить системе специально оформленный образ диска в древнем формате iso9660, чтобы вызвать классическое переполнение буфера. После этого гостевая машина получает привилегии, которых с головой хватает для захвата контроля над всем физическим сервером.

Вдобавок исследователи нашли целую россыпь состояний гонки при работе с очередями и таблицами грантов, что позволяет вырваться на свободу даже самому обычному непривилегированному пользователю внутри виртуальной машины.

Под капотом популярного гипервизора творится настоящий хаос. Из-за отсутствия базовых проверок гостевые системы могут читать чужие данные из стека или возвращать себе страницы памяти, которые им вообще не принадлежат.

Linux / Линукс 🥸

Linux / Линукс 🥸

npm начал проверять пакеты на вирусы и сломал скрипты автоматизации

Разработчики менеджера пакетов npm внезапно осознали, что их репозиторий превратился в огромную свалку для вирусов и троянов. Чтобы хоть как-то спасти ситуацию, Microsoft и GitHub прикрутили обязательное автоматическое сканирование кода при каждой публикации.

Теперь команда "npm publish" больше не означает, что ваш код сразу доступен миру. Пакет отправляется в цифровое чистилище на проверку, которая может длиться от пяти до пятнадцати минут. Идеальный подарок для всех DevOps-инженеров, чьи сборочные конвейеры годами были завязаны на мгновенную доступность свежих пакетов в реестре.

Отдельная бюрократическая пытка ждет авторов так называемых утилит двойного назначения. Если вы пишете легальные инструменты для пентеста или обфускаторы, которые сканер может принять за вирус, готовьтесь к унижениям. Теперь в файле "package.json" нужно обязательно прописывать специальную метку, а в корне проекта создавать текстовый документ "DISCLOSURE" с подробными оправданиями того, зачем вашей программе нужны подозрительные функции. Видимо, корпоративные безопасники искренне верят, что настоящие хакеры постесняются написать фейковое оправдание для своего стилера паролей и покорно уйдут с платформы.

В качестве контрольного выстрела авторам таких специфичных утилит принудительно включают двухфакторную аутентификацию. А если автоматика решит, что ваш код слишком похож на малварь, публикацию просто заблокируют, оставив вам лишь призрачный шанс на успешную апелляцию в техподдержку.

Программистам придется массово переписывать свои скрипты автоматизации, добавляя туда костыли с бесконечными циклами ожидания и повторными попытками скачивания, пока npm соизволит одобрить их свежий релиз.

Linux / Линукс 🥸

Linux / Линукс 🥸

😱 Росфинмониторинг внес Павла Дурова в перечень террористов и экстремистов. Скорость коммитов в государственном репозитории зашкаливает.

Пытаться задушить Телегу на техническом уровне L7 модели OSI через коробки ТСПУ - это оказалось дорого, долго и неэффективно. Протоколы мутируют, а юзвери моментально поднимают прокси и тоннели ⌨️

Поэтому если ты не можешь заблокировать трафик сервиса, ты должен сделать его использование токсичным и уголовно наказуемым... перекрыть ему финансовый кислород.

Какие возникают риски для нас (в любом случае ждём разъяснений):

🟢 Угроза для обычных юзеров. Premium, покупка звезд, внутренний криптокошелек, покупка никнеймов и анонимных номеров на фрагменте. С сегодняшнего дня любая транзакция в сторону сервисов Telegram может соотноситься со статьей 205.1 УК РФ (Содействие террористической деятельности или финансирование терроризма). От 8 до 15 лет строгоча. Сесть на 10 лет за анимированный эмодзи в статусе - это может быть уже не панорама 🤦‍♂

🟢 В ТГ крутятся миллиарды рублей рекламных бюджетов. Ни одно белое российское юрлицо больше не сможет занести деньги в Telegram Ads или оплатить корпоративные подписки. Отделы комплаенса и бухгалтерии просто заблокируют любые проводки, чтобы гендиректор не уехал отдыхать в СИЗО 🤐

🟢 Блокчейн TON, который глубоко интегрирован в мессенджер, сейчас окажется под колоссальным давлением. Любые шлюзы, P2P-маркеты и обменники, работающие с TON внутри РФ, автоматически становятся инструментами теневого финансирования запрещенки.

Посмотрим что будет с рынком рекламы...🤑

На всякий случай можно отвязать все банковские карты и автопродления из настроек ТГ.

Типичный 🥸 Сисадмин

Проект GCC запретил принимать сгенерированный нейросетями код

Староверы выпустили жесткий свод правил, который категорически запрещает принимать в проект любые юридически значимые изменения, сгенерированные искусственным интеллектом. Значимым куском кода комитет назначил объем свыше пятнадцати строк.

Логика в том, что все боятся судебных исков за нарушение авторских прав, так как юридический статус машинной генерации до сих пор висит в воздухе. Теперь каждый патч будет рассматриваться так, чтобы в святая святых компилятора не просочилась ни одна строчка из популярных языковых моделей.

Правда, в этих запретах зияют огромные дыры. Нейросетям разрешили писать сценарии для тестов, ведь на авторские права в тестовом окружении всем глубоко плевать. Также алгоритмы можно использовать для отладки, поиска багов и анализа архитектуры, главное чтобы этот машинный труд не попадал в итоговые коммиты.

Если же вы сгенерировали крошечный фикс на три строчки, вам придется публично повесить на себя клеймо в виде метки Assisted-by. Заодно комитет запретил роботам самостоятельно отправлять патчи в репозиторий, видимо всерьез опасаясь, что автоматика начнет пушить свои бэкдоры напрямую от имени языковых моделей.

Индустрия с интересом наблюдает, как комитет собирается контролировать этот абсурдный лимит в пятнадцать строк. Абсолютно непонятно, что мешает разработчику скормить задачу нейросети, слегка переименовать переменные и выдать результат за свой собственный гениальный код. Никаких рабочих детекторов сгенерированного кода не существует, поэтому весь этот манифест держится исключительно на честном слове и паранойе юристов. Забавно, что пересмотреть эти консервативные правила обещают не раньше 2027 года, когда нейросети, вероятно, уже научатся писать компиляторы целиком с нуля...

Linux / Линукс 🥸

Linux / Линукс 🥸

Представлен singularity-shell - неофициальный настольный клиент планировщика задач Singularity

Код написан на языке C++ с использованием библиотеки Qt и распространяется под лицензией GPLv3. Пакет singularity-shell доступен для установки из репозитория Роса 13.

Официальное настольное приложение представляет из себя упакованную в Electron веб-версию, способную работать без интернета, однако поставляется только как snap-пакет, а значит, чтобы им пользоваться, нужно прогружать в память не только блоб Electron, но и посторонний набор библиотек, что видится неразумной тратой ресурсов портативного компьютера, а запускать посторонние исполняемые файлы опасно.

С помощью AI-модели Kimi K3 был сделан работающий прототип на системном QtWebEngine, которое запускает поставляемый в составе snap JavaScript, а затем с помощью AI-модели DeepSeek V4 Pro оно было доработано до требуемого состояния. Местами при необходимости делаются подстановки javascript и CSS для корректировки запускаемого без изменений оригинального javascript/electron приложения.

Реализовать работу печати плана дня, крепко завязанную на Chromium/Electron, пока не удалось. В остальном приложение выполняет свою основную функцию - работу оффлайн и синхронизацию с сервером, чего нельзя достичь при использовании обычной веб-версии.

При первом запуске скачивается snap-пакет, из которого извлекается полезная часть на JavaScript. Затем в фоне выполняется проверка наличия обновлений (которую можно отключить флагом командной строки).

Linux / Линукс 🥸