Гипервизор Xen разрешил гостевым системам взламывать хосты

Разработчики гипервизора Xen выкатили пачку экстренных обновлений, закрывающих сразу двадцать уязвимостей. И если восемь из них просто приводят к отказу в обслуживании или утечке памяти, то оставшиеся двенадцать полностью умножают на ноль саму концепцию виртуализации.

Эти дыры позволяют гостевой системе вырваться из своей песочницы и выполнить любой код на стороне физического хоста.

Главной звездой этого парада уязвимостей стал загрузчик pygrub и библиотека libfsimage. Хакеру достаточно просто скормить системе специально оформленный образ диска в древнем формате iso9660, чтобы вызвать классическое переполнение буфера. После этого гостевая машина получает привилегии, которых с головой хватает для захвата контроля над всем физическим сервером.

Вдобавок исследователи нашли целую россыпь состояний гонки при работе с очередями и таблицами грантов, что позволяет вырваться на свободу даже самому обычному непривилегированному пользователю внутри виртуальной машины.

Под капотом популярного гипервизора творится настоящий хаос. Из-за отсутствия базовых проверок гостевые системы могут читать чужие данные из стека или возвращать себе страницы памяти, которые им вообще не принадлежат.

Linux / Линукс 🥸

Linux / Линукс 🥸

npm начал проверять пакеты на вирусы и сломал скрипты автоматизации

Разработчики менеджера пакетов npm внезапно осознали, что их репозиторий превратился в огромную свалку для вирусов и троянов. Чтобы хоть как-то спасти ситуацию, Microsoft и GitHub прикрутили обязательное автоматическое сканирование кода при каждой публикации.

Теперь команда "npm publish" больше не означает, что ваш код сразу доступен миру. Пакет отправляется в цифровое чистилище на проверку, которая может длиться от пяти до пятнадцати минут. Идеальный подарок для всех DevOps-инженеров, чьи сборочные конвейеры годами были завязаны на мгновенную доступность свежих пакетов в реестре.

Отдельная бюрократическая пытка ждет авторов так называемых утилит двойного назначения. Если вы пишете легальные инструменты для пентеста или обфускаторы, которые сканер может принять за вирус, готовьтесь к унижениям. Теперь в файле "package.json" нужно обязательно прописывать специальную метку, а в корне проекта создавать текстовый документ "DISCLOSURE" с подробными оправданиями того, зачем вашей программе нужны подозрительные функции. Видимо, корпоративные безопасники искренне верят, что настоящие хакеры постесняются написать фейковое оправдание для своего стилера паролей и покорно уйдут с платформы.

В качестве контрольного выстрела авторам таких специфичных утилит принудительно включают двухфакторную аутентификацию. А если автоматика решит, что ваш код слишком похож на малварь, публикацию просто заблокируют, оставив вам лишь призрачный шанс на успешную апелляцию в техподдержку.

Программистам придется массово переписывать свои скрипты автоматизации, добавляя туда костыли с бесконечными циклами ожидания и повторными попытками скачивания, пока npm соизволит одобрить их свежий релиз.

Linux / Линукс 🥸

Linux / Линукс 🥸

😱 Росфинмониторинг внес Павла Дурова в перечень террористов и экстремистов. Скорость коммитов в государственном репозитории зашкаливает.

Пытаться задушить Телегу на техническом уровне L7 модели OSI через коробки ТСПУ - это оказалось дорого, долго и неэффективно. Протоколы мутируют, а юзвери моментально поднимают прокси и тоннели ⌨️

Поэтому если ты не можешь заблокировать трафик сервиса, ты должен сделать его использование токсичным и уголовно наказуемым... перекрыть ему финансовый кислород.

Какие возникают риски для нас (в любом случае ждём разъяснений):

🟢 Угроза для обычных юзеров. Premium, покупка звезд, внутренний криптокошелек, покупка никнеймов и анонимных номеров на фрагменте. С сегодняшнего дня любая транзакция в сторону сервисов Telegram может соотноситься со статьей 205.1 УК РФ (Содействие террористической деятельности или финансирование терроризма). От 8 до 15 лет строгоча. Сесть на 10 лет за анимированный эмодзи в статусе - это может быть уже не панорама 🤦‍♂

🟢 В ТГ крутятся миллиарды рублей рекламных бюджетов. Ни одно белое российское юрлицо больше не сможет занести деньги в Telegram Ads или оплатить корпоративные подписки. Отделы комплаенса и бухгалтерии просто заблокируют любые проводки, чтобы гендиректор не уехал отдыхать в СИЗО 🤐

🟢 Блокчейн TON, который глубоко интегрирован в мессенджер, сейчас окажется под колоссальным давлением. Любые шлюзы, P2P-маркеты и обменники, работающие с TON внутри РФ, автоматически становятся инструментами теневого финансирования запрещенки.

Посмотрим что будет с рынком рекламы...🤑

На всякий случай можно отвязать все банковские карты и автопродления из настроек ТГ.

Типичный 🥸 Сисадмин

Проект GCC запретил принимать сгенерированный нейросетями код

Староверы выпустили жесткий свод правил, который категорически запрещает принимать в проект любые юридически значимые изменения, сгенерированные искусственным интеллектом. Значимым куском кода комитет назначил объем свыше пятнадцати строк.

Логика в том, что все боятся судебных исков за нарушение авторских прав, так как юридический статус машинной генерации до сих пор висит в воздухе. Теперь каждый патч будет рассматриваться так, чтобы в святая святых компилятора не просочилась ни одна строчка из популярных языковых моделей.

Правда, в этих запретах зияют огромные дыры. Нейросетям разрешили писать сценарии для тестов, ведь на авторские права в тестовом окружении всем глубоко плевать. Также алгоритмы можно использовать для отладки, поиска багов и анализа архитектуры, главное чтобы этот машинный труд не попадал в итоговые коммиты.

Если же вы сгенерировали крошечный фикс на три строчки, вам придется публично повесить на себя клеймо в виде метки Assisted-by. Заодно комитет запретил роботам самостоятельно отправлять патчи в репозиторий, видимо всерьез опасаясь, что автоматика начнет пушить свои бэкдоры напрямую от имени языковых моделей.

Индустрия с интересом наблюдает, как комитет собирается контролировать этот абсурдный лимит в пятнадцать строк. Абсолютно непонятно, что мешает разработчику скормить задачу нейросети, слегка переименовать переменные и выдать результат за свой собственный гениальный код. Никаких рабочих детекторов сгенерированного кода не существует, поэтому весь этот манифест держится исключительно на честном слове и паранойе юристов. Забавно, что пересмотреть эти консервативные правила обещают не раньше 2027 года, когда нейросети, вероятно, уже научатся писать компиляторы целиком с нуля...

Linux / Линукс 🥸

Linux / Линукс 🥸

Представлен singularity-shell - неофициальный настольный клиент планировщика задач Singularity

Код написан на языке C++ с использованием библиотеки Qt и распространяется под лицензией GPLv3. Пакет singularity-shell доступен для установки из репозитория Роса 13.

Официальное настольное приложение представляет из себя упакованную в Electron веб-версию, способную работать без интернета, однако поставляется только как snap-пакет, а значит, чтобы им пользоваться, нужно прогружать в память не только блоб Electron, но и посторонний набор библиотек, что видится неразумной тратой ресурсов портативного компьютера, а запускать посторонние исполняемые файлы опасно.

С помощью AI-модели Kimi K3 был сделан работающий прототип на системном QtWebEngine, которое запускает поставляемый в составе snap JavaScript, а затем с помощью AI-модели DeepSeek V4 Pro оно было доработано до требуемого состояния. Местами при необходимости делаются подстановки javascript и CSS для корректировки запускаемого без изменений оригинального javascript/electron приложения.

Реализовать работу печати плана дня, крепко завязанную на Chromium/Electron, пока не удалось. В остальном приложение выполняет свою основную функцию - работу оффлайн и синхронизацию с сервером, чего нельзя достичь при использовании обычной веб-версии.

При первом запуске скачивается snap-пакет, из которого извлекается полезная часть на JavaScript. Затем в фоне выполняется проверка наличия обновлений (которую можно отключить флагом командной строки).

Linux / Линукс 🥸

Когда используешь Линукс

Linux / Линукс 🥸

Keychron заставит геймеров компилировать код для мышки

Производители периферии из Keychron решили, что страдать при настройке открытых клавиатур недостаточно, и анонсировали проект ZGM. Под этой аббревиатурой скрывается первая полноценная открытая прошивка для игровых мышей на базе операционной системы реального времени Zephyr.

Релиз намечен на первый квартал 2027 года под суровой лицензией GPLv3, а подопытным кроликом станет модель G6 HE.

Официальные маркетологи радостно вещают про минимизацию задержек и простоту кастомизации. На практике это означает, что скоро любой энтузиаст сможет превратить свою дорогую игровую мышь в бесполезный кирпич, просто попытавшись перепрошить алгоритм работы колесика или изменить цвет подсветки.

Под капотом новой платформы скрывается сложная модульная архитектура. Разработчики разделили драйверы сенсора, кнопок и беспроводных модулей на отдельные заменяемые слои. Если раньше геймер просто скачивал проприетарную утилиту и шел играть, то теперь ему предлагают с головой окунуться в дивный мир открытого исходного кода.

Keychron очень гордится своим успешным опытом работы с прошивкой QMK для клавиатур, тактично умалчивая о том, что рядовые пользователи до сих пор впадают в ступор при виде консольных команд для переназначения макросов. Теперь этот же восхитительный опыт переносят на мыши, чтобы каждый клик левой кнопкой обрабатывался через серьезную операционную систему реального времени.

"Подключи и играй" => "скомпилируй и молись"

Linux / Линукс 🥸

🎉 Друзья, с праздником! С Днём Системного Администратора - 2026!

Братья и сестры по ssh, хранители бэкапов, сегодня последняя пятница июля. День, когда мы официально имеем право перевести нервную систему в ридонли.

Если честно, тот минувший год был тяжелым. Мы с вами в прямом эфире наблюдали, как переписывается базовая архитектура мира. Мы строили обходные маршруты, когда падали магистрали. Мы перекомпилировали ядра, отбивались от юзеров, и поднимали инфру в условиях, когда (работает - не трогай) превращалось в (сломалось - выживай) 🤙

И знаете что? Мы выжили 🖥

Мы тот самый невидимый слой изоляции между бизнес-глюками, новыми законами и поехавшей реальностью. Мы те, кто собирает топовый энтерпрайз из китайских костылей и старого доброго опенсорса. Мы те, кто читает логи, как любимую книгу, и по звуку кулеров понимает, что серверу поплохело. Когда эффективные менеджеры говорят что что-то невозможно, мы просто открываем терминал и пишем костыль, который спасает всю контору.

Мы - цифровые атланты 💪... без шуток, серьезно. Мы держим этот мир на изоленте, стяжках и святом BGP. И пока мы на смене - пакеты будут доходить до адресата, БДшки будут синхронизироваться, а бэкапы - бэкапиться.

Желаю всем нам в этот день:
🔹 Чтобы ТСПУ обходили ваши пакеты стороной, а DPI слеп от одного вашего фингерпринта!
🔹 Чтобы OOM Killer никогда не приходил за вашими СУБД!
🔹 Чтобы df -h всегда показывал 50% свободного места!
🔹 Чтобы ваш личный аппаратный ресурс никогда не уходил в троттлинг от выгорания 💚
🔹 И чтобы сегодня хотя бы один юзер сказал... "Спасибо, без тебя бы ничего не работало".

Выпрямите спину. Закройте таски. Налейте в бокал тот самый жидкий патч, который вам по душе, и просто выдохните. Вы делаете великую работу. Даже если кажется, что никто этого не ценит - мы-то с вами всё понимаем 💪

Перед отмечанием не забудьте забэкапить конфиги, ибо в субботу утром может пригодиться!

С праздником нас! За локалхост, за аптайм и за тех, кто в консоли! Админь! 🍻

Делитесь в комментах, как обстановка на проде и чем охлаждаете свои системы в этот великий день? 👇

Типичный 🥸 Сисадмин

🧑‍💻 Хватит читать про Linux. Открой терминал.

В IzzyLab мы подобрали для тебя более 400 заданий по разным темам и уровням сложности.

👨‍💻 Настоящий терминал прямо в браузере - ничего не нужно устанавливать.
👨‍💻 Задачи из реальной практики.
👨‍💻 От первых команд Linux до Terraform и Kubernetes.

Теория забывается за неделю. Практика - остаётся.

И да, это БЕСПЛАТНО.

Сохраняй в закладки - https://izzylab.ru

AOMedia опубликовал систему формирования объёмного звука OAR

Альянс AOMedia, курирующий разработку форматов кодирования видео AV1 и AV2, объявил о публикации первой версии спецификации Open Audio Renderer (OAR v1), определяющей эталонную реализацию системы формирования объёмного (иммерсивного) звука, учитывающего распространение звуковых сигналов в трехмерном пространстве для воссоздания звучания, максимально близкого к естественному.

OAR дополняет ранее опубликованную спецификацию IAMF, которая описывает формат для хранения и распространения звуковых данных, возможностями для преобразования звуковых данных в оптимизированный звуковой сигнал под конкретное устройство пользователя (от наушников до многоканальных домашних кинотеатров, систем виртуальной реальности и автомобильных мультимежийных систем). В качестве исходных данных используются файлы или потоки в формате IAMF, которые адаптируются их аудиосистему слушателя в реальном времени.

Поддерживается два режима:
Формирование звука для акустических систем (Loudspeaker) любой конфигурации, от стереодинамиков до многоканальных систем объёмного звучания и домашних кинотеатров.

Бинауральное формирование пространственного звука для наушников, меняющее форму сигнала для каждого уха с учётом особенностей восприятия звуковых волн ушной раковиной и положения головы, относительно источника звука.

OAR поддерживает представление звука на основе каналов (стерео, многоканальный звук 5.1 и 7.1), сцен (Ambisonics) и объектов. В представлении на основе объектов отдельные звуки сопровождаются метаданными, описывающими их позицию и перемещение в трёхмерном пространстве. OAR интерпретирует имеющуюся информацию об изменении громкости и траектории звука в процессе воспроизведения и обеспечивает качественное звучание независимо от используемого оборудования. Помимо этого доступны встроенные модули нормализации громкости и ограничения пиковых значений для предотвращения искажений и резких перепадов звука.

Linux / Линукс 🥸

Логотип Ubuntu под микроскопом?

Linux / Линукс 🥸

Arch Linux снова отключил передачу бесхозных пакетов в AUR из-за новой волны атак с вредоносным кодом

30 и 31 июля выявлена подстановка вредоносных изменений в 70 пакетов, оставшихся без сопровождения. Вредоносный код включал троян для удалённого доступа, выполнения команд через Tor и кражи конфиденциальных данных: внутренних БД браузера, ключей криптокошельков, токенов облачных сервисов, данных из менеджеров паролей и мессенджеров.

Это уже не первая атака такого рода. После предыдущей волны 15 июня была приостановлена регистрация новых учётных записей в AUR, возобновлённая 13 июля после введения обязательной верификации email. Передача пакетов будет восстановлена только после реализации более надёжных мер защиты.

Linux / Линукс 🥸

Linux / Линукс 🥸

Файловая система Linux

Linux / Линукс 🥸

В KDE значительно повысили производительность при использовании внешних GPU

Разработчики KDE выкатили очередной отчет о грядущей Plasma 6.8. Выяснилось, что до осени 2026 года графический стек Wayland при работе с внешними видеокартами напоминал изощренную пытку. Из-за ограничений старого протокола linux-dmabuf v5 композитный менеджер не умел напрямую передавать буферы между eGPU и основным дисплеем. Каждый отрисованный кадр приходилось вручную копировать через медленную системную оперативную память. На практике это означало, что дорогущая внешняя видеокарта, подключенная по USB-C, выдавала 5 кадров в секунду в простейшем тесте vkcube.

Теперь, с внедрением шестой версии протокола, этот архитектурный костыль наконец-то убрали. Лишнее копирование памяти исчезло, и частота кадров в тестах логично взлетела с 5 до 120 FPS. В тяжелом Cyberpunk 2077 производительность подскочила почти в два раза.

Также оказывается, что виртуальные экраны для скринкастов всё это время были привязаны к жесткому разрешению 1920x1080, и только сейчас пользователям разрешили его менять.

В оконном менеджере появилась поддержка кнопок приема звонков, в интерфейсе выбора эмодзи заработало масштабирование значков, а мониторы в конфигураторе теперь можно двигать попиксельно стрелками на клавиатуре.

Linux / Линукс 🥸