🗑 В Ubuntu Snap нашли уязвимость, которая жила в коде 10 лет

Если в нашем ИТ есть технология, которую ненавидят так же искренне, как принтеры и эффективных манагеров, то это пакетный менеджер Snap от Canonical 🙂

Нам годами насильно впихивали этот тормозящий мусор, замедляющий старт системы и плодящий десятки loop-интерфейсов, засирающих вывод df -h. Но зато это строгая песочница! Это абсолютная изоляция и безопасность! 😬

Опубликованы детали трех новых уязвимостей в демоне snapd. А одна из этих дыр живет в коде еще со времен релиза Ubuntu 16.04 LTS... ровно 10 лет (с весны 2016 года).

Самая свежая и критическая дыра (CVE-2026-8933) позволяет любому локальному юзеру через подмену симлинков закинуть вредоносное правило в udev и повысить свои права до root. Вторая уязвимость (CVE-2026-15226) дает возможность процессу тупо сбежать из изолированной песочницы на уровень хостовой ОС из-за забытых ограничений setuid в шаблонах seccomp. Но главная - это CVE-2024-5300. Эта дыра 10 лет позволяла любому изолированному приложению читать хэши паролей пользователей через systemd-userdbd. Десять лет, Карл!

apt autoremove --purge snapd

Типичный 🥸 Сисадмин

Каждый раз отказываюсь верить в существование подобных сочетаний унитаза и стойки, но реальность такова, что их становится больше 🚽

Типичный 🥸 Сисадмин

🚨 ФСБ предъявило обвинения против создателя Telegram по статье "содействие террористической деятельности" (ч. 1.1 ст. 205.1 УК РФ).

Поводом для обвинения стал... бот знакомств Дайвинчик 🙂. По версии следствия, недружественные спецслужбы под видом девушек в этом боте знакомились с малолетними симпами, кидали им фишинговые ссылки, деанонили, а потом шантажом заставляли поджигать релейные шкафы на железных дорогах и базовые станции.

А виноват во всем этом, естественно, лично Дуров, потому что не удалил бота.

А теперь представьте, что злоумышленники грабят банк, предварительно созвонившись по МТС, приехав на заниженной Гранте и закупив монтировки на Яндекс.Маркете. Кто сядет? По аналогичной схеме - сядут генеральный директор МТС, директор АвтоВАЗа и топ-менеджер Яндекса. Потому что они предоставили инфраструктуру и не обеспечили модерацию разговоров в салоне автомобиля 🏥

🤔 Дайвинчик исторически появился и до сих пор прекрасно работает в родном ВКонтакте. Но гендиру VK Владимиру Кириенко никто статью за терроризм почему-то не шьет.
🤔 В гос мессенджере MAX тоже есть ровно такие же боты для знакомств Дайвинчика.

По чатам гуляет гипотеза, что реальная причина может быть в том, что это финальная стадия принудительной пересадки населения в чебурнет. Замедление телеги не дало нужного эффекта - народ просто включил тоннели и продолжил сидеть в любимых каналах.

Поэтому и достали самую тяжелую кувалду. Ведь обвинение в терроризме это идеальный юридический рычаг. Завтра ТГ официально признают экстремистской/террористической организацией в РФ. А послезавтра покупка Telegram Premium или оплата рекламы (ТГ Ads) в каналах будет приравнена к статье 275.1 (финансирование терроризма), за которую дают от 15 лет ⚰️

Типичный 🥸 Сисадмин

🙏 Новый пробой дна в приватности мобильных устройств.

Под эгидой защиты бабушек от телефонных скамеров принят новый закон... с 1 марта 2027 года российские банки будут обязаны использовать "сертифицированные средства защиты" для поиска опасных программ на телефонах клиентов. Нашел вирус - заблокировал перевод по СБП или карте.

До сентября 2027 года банки должны будут заставить пользователей либо дать согласие на работу этого встроенного сканера, либо подписать официальный отказ (и в случае кражи денег банк избавляется от рисков).

Получается, чтобы приложение банка могло чекать малварь, ему нужен полный доступ к ОС телефона... чтение ФС, мониторинг процессов, список всех установленных приложух и доступ к памяти. Да еще и с добровольного согласия юзверя иметь полный сбор телеметрии 😗

А что если банк рано или поздно начнет ругаться на клиенты тоннелирования трафика или альтернативные сборки мессенджеров. Захочешь перевести маме денег? Сначала удОли опасные приложухи.

А что делать если у тебя LineageOS, GrapheneOS или разлоченный загрузчик и установлен Magisk, то перевод пройдет?

Еще момент... в приложении Сбера уже много лет зашит SDK от Каспера, который иногда выдает ложные срабатывания (например, ругается на системные утилиты от Xiaomi). Недавно РЖД (!) выкатили обнову, где нельзя купить билет, если не дашь разрешение модулю Касперского (якобы от перекупов). Теперь этот карнавал станет обязательным для всех 😶

Вижу несколько способов как выживать ИТ-параноику (хотя все кто хотел - уже давно сделал):

1. Две лопаты... основной девайс для жизни. И отдельный кирпич сугубо для всяких троянов, где нет ни фото, ни контактов.

2. Юзать Web-версии через браузер. ИМХО - базовый и самый чистый способ взаимодействия. У браузера жесткая песочница, и никто не сможет просканировать файлы через Safari или Хром.

3. Юзать изолированные среды. Если нужен пуш, то остаются костыли вроде Shelter, Insular или рабочего профиля. Загоняем всякое в резервацию, пусть сидят там и сканируют друг друга на вирусы.

Плата за удобство она такая 👾

Типичный 🥸 Сисадмин

👨‍🦳 Зампред Госдумы по информполитике через ТАСС настоятельно порекомендовал россиянам воздержаться от любых финансовых операций внутри мессенджера до особых разъяснений ФСБ.

Ни платных подписок, ни покупки валют TON и так далее. То есть любые операции внутри экосистемы Telegram я нашим гражданам не рекомендую

Стоят ли анимированные звездочки и стикосы 15 лет строгого режима? 🤯

Типичный 🥸 Сисадмин

😮 Финны планируют сболгарить магистральную оптику в Европу для РФ.

Продолжает происходить разделение интернетов. Финская энергетическая компания Fingrid с 2027 года планирует физически уничтожить трансграничную инфраструктуру связи с Россией.

Магистральные ВОЛС обычно вешают на высоковольтные опоры ЛЭП. В 2022 году переток электроэнергии между РФ и Финляндией остановился. Линия на 400 кВ от Выборга в сторону финских подстанций мертва. И финнам стало экономически невыгодно обслуживать железные мачты в лесах только ради того, чтобы по ним гоняли ру-трафик.

В первоисточнике написано так:

Кабель будет обрезан, а опоры - разобраны.

З.Ы. Трафик с Финляндией это один из ключевых и самых коротких магистральных маршрутов для связности с европейскими ДЦ (Германия, Нидерланды, etc). Если этот канал физически дропнут, то придется всё это дело перемаршрутизировать через другие стыки.

Но вспоминая новость про мораторий Минцифры, там где операторам уже запретили расширять пропускную способность оставшихся каналов в Европу - становится опять грустно.

Узких горлышек становится все меньше, а трафика - больше. Когда финны спилят опоры, оставшиеся магистрали забьются под завязку. Зарубежный пинг улетит в небеса, а цены на транзит для нас пробьют потолок.

Там, где РКН не может заблокировать BGP-сессию, финский электрик просто спилит столб...

Кароч, Финляндия скоро не самая быстрая локация для тоннеля.

Типичный 🥸 Сисадмин

Ветеран FreeCAD бросил проект своей жизни из-за нейросетей

Разработчики открытого ПО продолжают священную войну против искусственного интеллекта. Председатель ассоциации FreeCAD Йорик ван Хавр заявил, что отходит от дел. Человек отдал проекту почти двадцать лет своей жизни, но теперь категорически отказывается мириться с новым курсом на внедрение ИИ. По его словам, нейросети и опенсорс абсолютно несовместимы.

Йорик обвиняет ИИ в разрушении экологии, нарушении авторских прав и этических проблемах. Но главная боль заключается в другом. Разработчик уверен, что крупные технологические гиганты используют нейросети для захвата независимых проектов, которые изначально создавались как безопасная гавань от корпоративного влияния.

Linux / Линукс 🥸

🥶 Как положить европейский ЦОД из-за 60 метров кабеля.

Ребята из FirstVDS выкатили эпичный постмортем по своей локации в Амстердаме (Qupra DC2). Хостер честно расписал, как их локация легла на 58 часов, и не стал прятаться за "виноват дата-центр".

Сначала на крыше выходит из строя основной чиллер. Привозят резервный, кидают его на внешний дизель-генератор. Вроде починили основной - дизель увозят. И тут восстановленный чиллер окончательно отваливается. Ребут с инженером не помогает. Чтобы запитать резервный чиллер от щитка, нужно 60 метров силового кабеля. А ЕГО НЕТ. Ждали сутки, пока привезут, сидя на фрикулинге без компрессоров. Итог - 58 часов общего простоя, и заявленный SLA 99,95% фактически перестает действовать 😵

Ирония в том, что выбирать особо не из чего - и на железе, и на аренде. Продвинутые GPU-серверы прибавили 30-50%. Средний чек GPU-серверы - 2,3 млн, память в стратосфере, с арендой негусто, особенно в Москве. Площадки битком, а на весь регион не больше 1,4 тыс. стойко-мест.

Из неочевидного нашлось вот что. У Московского кластера видеоигр и анимации есть свой ЦОД, и они сдают выделенные GPU. Звучит странно - площадка под геймдев, анимацию и медийку, не самое очевидное место для H100, но почему бы и да? Для ориентира... аренда выделенного сервера с картами уровня RTX Ada 5000 или топовыми H100 обходится в среднем от нескольких десятков до сотен тысяч рублей в месяц в зависимости от конфига. От 1 до 8 карт на сервер, не шаренный.

Инженерку, естественно, полез чекать с охлаждения)) Изоляция горячих и холодных коридоров, прецизионники суммарно свыше 1 млн BTU. Питание - два независимых ввода, умные PDU, ИБП. Площадка на 21 стойку, но зато могут налить до 20 кВт на шкаф, SLA 99,95%.

Если своё железо уже есть, там же колокейшн - от размещения отдельных юнитов до аренды стойки 42U по вполне стандартным для рынка ценам.

Типичный 🥸 Сисадмин

🕵️‍♂️ Google переименовывает хакеров.

Google Threat Intelligence Group (в которую теперь входит купленный ими Mandiant) отказываются от аббревиатур вроде APT29, UNC2452 или FIN11, и выкатывают новую, систему именования хакерских группировок.

Как было раньше... аналитики натыкались на новую активность и вешали на нее ярлык UNC (Uncategorized - неклассифицированная угроза) плюс рандомный номер. Так появлялись всякие UNC1878 или UNC1945. Если группа вырастала и ее цели становились понятны, она мутировала в APT (Advanced Persistent Threat - если это гос. шпионаж) или FIN (если это финансовые хацкеры). Запоминать эти цифры было больно и ИБшники часто путались в отчетах 😱

Теперь Google переходит на криптонимы из двух слов. Первое слово это уникальное запоминающееся имя группировки (например, старое, которое уже прижилось в отчетах, или случайно сгенерированное). А вот второе слово - маркер страны происхождения или мотивации.

Google, в качестве примера, выкатил справочник новых суффиксов:
🇨🇳 CASTLE - Китай (КНР)
🇮🇷 ION - Иран
🇰🇵 NEPTUNE - Северная Корея
🇷🇺 RELIC - РФ
🏴‍☠️ COMET - Финансовые киберпреступники (шифровальщики, вымогатели).

То есть теперь, если кого-то атакует Scattered COMET - значит, это не гос. шпионаж, а коммерческие хакеры, которые пришли за выкупом за расшифровку БД.

Типичный 🥸 Сисадмин