Обе дороги ведут к безумию

Linux / Линукс 🥸

Kakehashi развивает инструментарий для запуска исполняемых файлов macOS в Linux

Разработчики выкатили проект Kakehashi, который позволяет нативно запускать macOS-бинарники формата Mach-O прямо в Linux. Причем речь идет о прямом совпадении архитектур ARM64, поэтому никакой тяжелой эмуляции процессора или JIT-компиляции не требуется. Утилита написана на Rust и просто перехватывает системные вызовы для libSystem в пространстве пользователя, на лету переводя их на понятный ядру Linux язык.

Пока проект нацелен исключительно на консольные утилиты, но уже успешно переваривает работу 7-Zip, curl и даже тестовые сборки через clang.

Без боли, конечно, не обошлось: при тестах архиватора производительность macOS-сборки просела в пять раз по сравнению с родным бинарником под Linux. Зато Kakehashi может стать настоящим чит-кодом для CI-пайплайнов, ведь арендовать ARM-серверы на базе Linux для тестирования софта на порядок дешевле, чем оплачивать дорогие облачные инстансы с настоящей яблочной операционкой.

Linux / Линукс 🥸

Linux / Линукс 🥸

Переполнение буфера в iwd, эксплуатируемое через Wi-Fi

В фоновом процессе iwd, применяемом для организации подключения Linux-систем к беспроводной сети, выявлена уязвимость (CVE не назначен), приводящая к переполнению буфера при обработке специально оформленного беспроводного запроса (802.11k), не требующего аутентификации в сетях с WPA2 без PMF. Доступен прототип эксплоита.

Уязвимость вызвана переполнением фиксированного буфера uint8_t frame[512] при разборе кадров RRM (Radio Report Measurement) в функции rrm_report_beacon_results(). Проблема проявляется версиях iwd с 1.30 по 3.12 включительно. Исправление доступно в виде стороннего патча, пока не принятого в основную кодовую базу iwd.

Linux / Линукс 🥸

Linux / Линукс 🥸

Сервис доставки игр GOG разрабатывает Linux-версию GOG Galaxy

Сервис доставки старых классических игр GOG.com (Good Old Games) подтвердил разработку Linux-версии приложения GOG Galaxy, позволяющего загружать, устанавливать, обновлять и запускать игры, а также объединять в одной коллекции игры и друзей из разных игровых клиентов.

Поддержка размещения игр для Linux была добавлена в GOG.com в 2014 году, но игровой клиент GOG Galaxy до сих пор был доступен только для Windows и macOS. Дата публикации Linux версии не сообщается, но упоминается, что платформа Linux рассматривается как важный объект для инвестиций.

В отличие от загрузки игр через web в GOG Galaxy поддерживаются такие возможности, как автоматическая установка и обновление игр, сохранение этапов прохождения игр в облаке, отслеживание достижений, ведение библиотеки игр, ведение списка друзей, возможности социальной сети, интеграция со сторонними игровыми клиентами, такими как Steam, Epic Games Store, Xbox и PlayStation.

Linux / Линукс 🥸

В июле был установлен новый рекорд по количеству сгенерированных ИИ патчей, отправленных в ядро Linux – 2 144 новых изменения.

Пока что каждый месяц этого года обновлял предыдущий рекорд...

Linux / Линукс 🥸

Linux / Линукс 🥸

Linux / Линукс 🥸

54 из 55 выявленных через ИИ уязвимостей в SQLite оказались фиктивными

Эксперты из JFrog взялись проверять свежую пачку из 55 уязвимостей в базе данных SQLite и выяснили, что 54 из них оказались галлюцинацией искусственного интеллекта.

Организация MITRE не глядя раздала всем выдумкам официальные идентификаторы CVE, а вендоры вроде Red Hat и SUSE на панике влепили главной угрозе 10 баллов из 10. По факту 54 из 55 найденных дыр оказались банальными галлюцинациями языковых моделей.

Детальный разбор показал, что ИИ просто не умеет в матчасть. Главный баг с обращением к освобожденной памяти ссылался на функцию, которой вообще не существовало в указанной версии SQLite. В других репортах нейросеть выдумывала файлы, путала аргументы или обвиняла в утечках кода модули, которые чисто архитектурно не умеют освобождать память, а лишь помечают ее для перезаписи. Приложенные прототипы эксплоитов предсказуемо оказались нерабочим мусором, не способным вызвать даже банальный краш базы данных.

Linux / Линукс 🥸

Linux / Линукс 🥸

Релиз эмулятора терминала Shitty

Разработчик называет его «серьезным терминалом с глупым названием». Проект написан на C++23 (требующем для сборки флаг -std=c++26), распространяется под двойной лицензией MIT/GPL-3.0 и работает на Linux и macOS.

К слову, автор не скрывает, что активнейше привлекал ИИ-ассистентов для написания кода.

Главный упор сделан на скорость, мгновенный старт и минимальные задержки. Мозги и состояние терминала крутятся на процессоре, а вот отрисовка рендерится напрямую через Vulkan на Linux и Metal на macOS, без всяких прослоек и тяжелых графических тулкитов.

Бенчмарки показывают, что Shitty умудрился обогнать признанных королей скорости в лице Alacritty, Kitty и Ghostty: вывод 100 МБ ASCII пролетает на скорости ~118 МиБ/с, а на битых UTF-8 байтах разрыв с конкурентами становится совсем неприличным.

Под капотом завезли полноценную поддержку VT52–VT5xx, протокол гиперссылок (OSC 8), Kitty-протоколы мыши и клавы, а также честную работу с графемными кластерами, чтобы составные эмодзи не расползались.

Из интересных фич - избавление от мерцания при изменении размера окна (ресайз и кадр синхронизированы в одной транзакции) и шрифты, встроенные прямо в бинарник st. Так что терминал заведется и отрисует красивый текст даже на абсолютной голом минималистичном дистрибутиве. За корректность отвечает пачка из более чем 5000 тестов, прогнанных через реальный PTY.

Linux / Линукс 🥸

Linux / Линукс 🥸

И в чем он не прав?

Linux / Линукс 🥸

Червь ChainDrop заразил 400+ пакетов с миллиардами скачиваний

Экосистему Node.js сотрясла одна из крупнейших атак в истории: неизвестные запустили самораспространяющегося червя ChainDrop, который умудрился заразить 444 пакета и сгенерировать более 2200 вредоносных релизов. В эпицентре катастрофы оказались базовые библиотеки вроде keyv, flat-cache и file-entry-cache, суммарно собирающие полмиллиарда скачиваний в неделю.

Атака стартовала с компрометации аккаунта мейнтейнера keyv. Злоумышленники пробрались в его GitHub Actions и выкатили вредоносную версию 6.0.0 под видом легитимного обновления с честной SLSA-аттестацией. При установке пакета срабатывал хук preinstall, который незаметно подтягивал Bun runtime и запускал 710-килобайтный обфусцированный скрипт. Далее червь начинал пылесосить систему: шлепал по 140 путям в поисках ключей AWS, GCP, Kubernetes, а также выскребал память /proc/<pid>/mem в раннерах GitHub Actions.

Если ChainDrop находил валидный токен к NPM, он автоматически заражал локальные проекты разработчика, публиковал их свежие вредоносные релизы и по цепочке заражал зависимости. Внутри червя обнаружилось немало хакерских фишек:
🟠 EtherHiding: получение C2-команд прямо из смарт-контрактов в блокчейне Ethereum;
🟠 Закрепление: внедрение шпионских конфигов в VS Code, GitHub Copilot и Claude Code;
🟠 Патриотический чекер: полная самоликвидация и остановка работы, если в системе обнаруживалась русскоязычная локаль (LANG=ru*).

Под удар попали такие гиганты, как cacheable-request (33.9 млн скачиваний/неделя), @cacheable/utils (8.7 млн) и cache-manager (4.2 млн). Разработчикам сейчас настоятельно рекомендуется перевыпустить все токены окружений, заглянуть в настройки своих AI-ассистентов и проверить версионность библиотек в package-lock.json.

Linux / Линукс 🥸

Ностальгия в глаз попала

Linux / Линукс 🥸

Google опубликовал официальные Linux-сборки Chrome для архитектуры ARM64

Сборки доступны в пакетах deb и rpm. Ранее официальные сборки Chrome для Linux публиковались только для архитектуры x86_64, а для архитектуры ARM64 были доступны только сторонние сборки Chromium, предлагаемые дистрибутивами.

Официальная версия Chrome отличается поддержкой подключения к учётной записи в Google, интеграцией сервисов Google, синхронизацией данных между устройствами, упрощённой установкой дополнений из каталога Chrome Web Store, возможностью включения расширенного режима защиты и поставкой CDM-модуля (Content Decryption Module) Widevine для просмотра медиаконтента, защищённого авторскими правами (DRM), в таких сервисах, как Netflix, Spotify и Disney+.

Linux / Линукс 🥸

> спасибо за покупку
> но Linux бесплатный

Linux / Линукс 🥸