Linux / Линукс 🥸

Уязвимости недели: root в Linux, побег из KVM и Ghostscript

Подъехала очередная порция CVE — с эксплоитами, демонстрациями и всеми делами. Разбираем по порядку.

❤️ Ядро Linux. Четыре уязвимости, дающие непривилегированному локальному пользователю root. Эксплоиты уже готовы и показаны на Fedora 43/44 и Ubuntu 24.04. Устранены в версиях 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 и 7.2.4.
— DirtyAH6 (CVE-2026-80844) — переполнение буфера в обработчике IPsec AH. Теоретически может быть эксплуатирована и удалённо.
— TUNderflow (CVE-2026-81000) — запись за границы буфера при разборе TUN-пакета.
— PPPoEject (CVE-2026-68121) — use-after-free в драйвере PPPoE.
— DiagSpill (CVE-2026-74469) — переполнение буфера в диагностике SCTP. Тоже теоретически удалённо.
Для первых трёх нужны user namespace или CAP_NET_ADMIN.

❤️ KVM. CVE-2026-89775 позволяет сбежать из гостевой системы на хост. Только ARM64, только с вложенной виртуализацией, но если /dev/kvm доступен непривилегированным (а в RHEL это по умолчанию), можно и привилегии поднять. Причина — банальная: функция расчёта размера возвращала 0, а освобождение страниц воспринимало это как «ничего не делать».

❤️ Exim 4.100.1. Четыре уязвимости: чтение за границей буфера и неинициализированные данные в Proxy, use-after-free в TLS-on-connect с GnuTLS и SMTP smuggling.

❤️ Ghostscript 10.08.0. CVE-2026-39919 — переполнение буфера в парсере JPEG 2000. Самое сочное: Ghostscript вызывается при создании миниатюр, фоновой индексации и конвертации изображений. Во многих случаях достаточно просто просмотреть каталог с файлом в Nautilus, чтобы сработал эксплоит. А ещё можно подсунуть JPEG или PNG, внутри которого PostScript — MIME-тип определится по содержимому, и Ghostscript его скушает. Устранено в 10.08.0.

❤️ Unbound 1.26.1. Девять уязвимостей, включая CVE-2026-81642 — переполнение буфера при обработке DNSKEY, ведущее к удалённому выполнению кода. Плюс проблемы с DNSSEC, CNAME, DoQ и DoH.

❤️ Suricata 8.0.7. Аж 67 уязвимостей, две критические. Детали не раскрыты, но уровень опасности намекает на удалённое выполнение кода при обработке специально оформленного трафика.

Linux / Линукс 🥸

Fedora на Samsung Tab S9

Linux / Линукс 🥸

Valve сделала Lepton: Android-игры теперь запускаются в Linux, и это не эмулятор

Valve подготовила Lepton — инструментарий для запуска Android-игр в Linux. И да, это не эмуляция, а полноценный контейнер с системным образом Android.

Сделано это в первую очередь для Steam Frame, VR-шлема на Linux, который Valve продвигает как автономную платформу. Логика простая: если шлем работает на Linux, а игр для Android — море, почему бы не завести их прямо там? Lepton формирует изолированный контейнер, внутри которого крутится Android со всем необходимым для игр. Начинка собрана из наработок Waydroid, Anbox, Halium и Hybris. Образ под GPLv3, инструментарий запуска под MIT.

Для разработчиков приятный бонус: в Android-окружение пробрасываются библиотеки Steamworks, графические драйверы (mesa, zink) и Vulkan-прослойки для оптимизации рендеринга. Плюс интеграция с отладчиками (strace, gdb, lldb, renderdoc) и профилировщиками (perfetto). То есть можно не просто запустить игру, а ещё и понять, почему она тормозит.

Чем Lepton отличается от того же Waydroid:
Запуск под непривилегированным пользователем — никакого root, никаких танцев с правами. Все процессы работают под одним пользователем, изоляции между играми нет — предполагается, что каждая запускается в своём контейнере. Lepton не универсален: выпилены все Android-сервисы, которые не нужны для игр. Зато есть кэширование состояния компонентов, чтобы окружение стартовало быстрее.

Valve аккуратно строит экосистему, где Linux это не альтернатива для избранных, а полноценная игровая платформа. Сначала Proton для Windows-игр, теперь Lepton для Android. Если Steam Frame взлетит, это может стать тем самым мостиком, которого не хватало для массового VR на открытой ОС. И да, это не эмулятор, это контейнер. Разница принципиальная: производительность выше, совместимость лучше, а возни с настройкой меньше.

Linux / Линукс 🥸

Linux / Линукс 🥸

Нейролинукс на горизонте? Доля AI‑патчей в ядро выросла с 0,33% до 17,25%

Каждый шестой патч для Linux Kernel в сентябре был написан с помощью AI. За прошлую неделю разработчики отправили 1634 патча, созданных с участием AI. Это новый рекорд. Доля растёт почти каждый месяц: 0,33% в феврале, 4,07% в апреле, 7,2% в июле, 10,66% в августе и уже 17,25% в сентябре.

Однако не все из отправленных патчей приняли в ядро. Кроме того, автор графика считает случаи, где разработчики сами раскрыли использование AI, но не публикует методику и список патчей. Поэтому цифра может быть как завышена повторными версиями одного патча, так и занижена теми, кто про AI ничего не написал.

Правила Linux Kernel разрешают использовать AI, но автор обязан понимать и уметь защитить каждую отправленную строчку. Мейнтейнер, в свою очередь, может принять такой патч, отправить на дополнительную проверку или сразу отклонить.

Linux / Линукс 🥸

Никсос юзеры, объясните

Linux / Линукс 🥸

Доля Linux в Северной Америке выросла до 15,65%, а по всему миру – до 8,76%.

Linux / Линукс 🥸

Разработчики NetBSD выкатили корректирующий апдейт 10.2

Релиз включает в основном исправления проблем и уявзимостей, выявленных с момента публикации NetBSD 10.1 в декабре 2024 года. Ветка NetBSD 10 будет поддерживаться до релиза NetBSD 12.0. Для загрузки подготовлены установочные образы размером 639 МБ, доступные в сборках для 57 системных архитектур и 16 различных семейств CPU. Для новых установок рекомендуется использовать недавно опубликованный релиз NetBSD 11.0.

Из не связанных с исправлением ошибок изменений отмечается поддержка новых версий компиляторов, повышение стабильности работы WiFi-драйвера iwm, решение проблем при работе на системах Olimex A64 и MIPS R5000SC, реализация возможности загрузки ядра для amd64 при вызове qemu с опцией "-kernel". Добавлена поддержка устройств ASIX AX88179A USB Ethernet, Asus USB-N10 Nano B1 Wi-Fi, Realtek RTL8126 5Gbps Ethernet, RTL8125D (rev 0x6890000), RIoTboard i.MX6S IOMUX, VMware PV SCSI. Устранены уязвимости в ipfilter, telnet, TCP-стеке ядра, OpenSSL, Unbound и X.Org. Обновлены версии openssl 3.0.21, tmux 3.6a и xkbcomp 1.5.0.

Linux / Линукс 🥸

Linux / Линукс 🥸

systemd 262 вышел спустя три месяца работы, и на этот раз главная тема — минимализм и контейнеры. Разработчики вкомпилировали базовые unit-файлы прямо в бинарник, так что теперь можно запускать systemd как PID1 в контейнере вообще без установки юнитов на диск. Плюс добавили сборку в виде одного статического исполняемого файла.

Из заметного: появилась интеграция с dm-clone для клонирования блочных устройств (настройки через /etc/clonetab, новая утилита systemd-clonesetup), а systemd-sysupdate обзавёлся полноценной базой установленных файлов и командами для управления фичами и компонентами по отдельности, в том числе "рекомендуемые компоненты", которые можно тыкнуть одной командой под своё железо. Отчёты systemd-report теперь можно подписывать криптографически (Ed25519, TPM2 PCR или TSM).

Мелочей тоже вагон: RestartRandomizedDelaySec спасёт от "стада" одновременных рестартов после сбоя, LUOSession намекает на живое обновление ядра без даунтайма, а самый забавный пункт — генерация случайных, но воспроизводимых хостнеймов через символ "$" (система сама выберет слово из списка на основе machine-id). Ну и FSS в journald наконец переехал с libgcrypt на OpenSSL.

Linux / Линукс 🥸

Linux / Линукс 🥸

Вышел VLC 3.0.24

В VLC и во встроенных библиотеках устранено более 130 проблем с безопасностью, вызванных переполнениями буфера, обращением к памяти после её освобождения, целочисленными переполнениями и двойным освобождением памяти (детали пока не раскрываются). Некоторые из уязвимостей могут эксплуатироваться при обработке специально оформленного контента.

Львиная доля исправлений прилетела благодаря генеральной уборке под капотом: авторы обновили почти полсотни сторонних библиотек и совершили квантовый скачок, перепрыгнув с древнего FFmpeg 4.4 сразу на свежий 8.1.2. Заодно из кодовой базы наконец вымели окаменелости вроде плагинов музейного стандарта NPAPI и давно почившего скрипта youtube.lua.

Из практических обновлений: плеер научили декодировать фирменные форматы звука Atrac3/Atrac9, профессиональное видео APV, забирать контент по SFTP с авторизацией по SSH-ключам и стабильнее находить сетевые папки через SMB2. Для любителей линуксовых песочниц добавили официальный Flatpak.

Когда в последний раз обновляли плеер?

Linux / Линукс 🥸

Linux / Линукс 🥸