| · | 20.07 | Для ядра Linux предложен драйвер GPIO, написанный на Rust (379 –3) |
|
В ответ на замечание Линуса Торвальдса о том, что пример драйвера, прилагаемый к набору патчей с реализацией поддержки языка Rust для ядра Linux, бесполезен и не решает реальных задач, предложен вариант драйвера PL061 GPIO, переписанный на Rust. Особенностью драйвера является то, что его реализация практически построчно повторяет имеющийся драйвер GPIO на языке Си. Для разработчиков, желающих познакомиться с созданием драйверов на Rust, подготовлено построчное сравнение, позволяющее понять в какие конструкции на Rust преобразован код на Си.
| ||
|
Обсуждение (379 –3) |
Тип: К сведению |
| ||
| · | 20.07 | Muse Group добивается закрытия репозитория проекта musescore-downloader на GitHub (188 –23) |
|
Компания Muse Group, основанная проектом Ultimate Guitar и владеющая открытыми проектами MusesCore и Audacity, возобновила попытки закрытия репозитория musescore-downloader, в котором развивается приложение для бесплатной загрузки музыкальных нот с сервиса musescore.com без необходимости входа на сайт и без подключения к платной подписке Musescore Pro. Претензии также касаются репозитория musescore-dataset с коллекцией нот, скопированных с musescore.com. При этом Muse Group не имеет ничего против проекта LibreScore, в котором тот же автор развивает свободную альтернативу musescore.com, основанную на кодовой базе приложения MuseScore, распространяемого под лицензией GPL.
Представители Muse Group попросили автора добровольно удалить репозитории musescore-downloader и musescore-dataset. Первый репозиторий содержит приложение, позволяющее через обращение к внутреннему API загружать бесплатно любой контент с сервиса musescore.com. Репозиторий подлежит закрытию так как в musescore-downloader осуществляется неправомерный обход систем защиты авторских прав (против доступа к общедоступному содержимому musescore.com претензий нет). Через второй репозиторий, musescore-dataset, незаконно распространяются копии работ, лицензированных у музыкальных издателей. В случае musescore-dataset проблемы более серьёзные и могут рассматриваться как уголовное преступление (умышленное нарушение авторских прав с преступным умыслом). Автор проблемных репозиториев отказался удалять репозитории и компания Muse Group столкнулась с непростой дилеммой. С одной стороны имеется угроза прекращения существование сервиса musescore.com, а с другой возможность искалечить жизнь человека. Простейшим выходом было бы привлечение юристов и отправка официального DMCA-требования в GitHub на блокировку репозиториев, но Muse Group решили не прибегать к таким действиям, а договориться неофициальным путём, после того как выяснили, что Wenzheng Tang, разработчик проблемных репозиториев, уехал из Китая по политическим причинам и в случае проблем с законом его ждёт аннулирование вида на жительство и депортация с последующим преследованием на родине за оскорбление китайского правительства. На другой чаше весов находится вероятность нарушения статуса кво, которого удалось достигнуть с музыкальными издателями. Изначально весь контент размещался в MuseScore добровольцами бесплатно и без ограничения доступа, но потом началось преследование сообщества правообладателями и создатели MuseScore потратили много сил чтобы удержаться на плаву и сохранить сайт. Проблема в том, что права на транскрипцию музыкального произведения в ноты и аранжировку принадлежит правообладателю, независимо от того, кто выполнил транскрипцию или аранжировку. Ценой продолжения работы MuseScore.com стало лицензирование музыкальных нот популярных произведений, права на которые принадлежат таким компаниям, как Alfred, EMI и Sony, и ограничение доступа с введением системы платной подписки. Компания Muse Group по закону обязана обеспечить соблюдение авторских прав на лицензированные музыкальные произведения, а наличие лазейки для неограниченной загрузки лицензированного содержимого создаёт угрозу существованию сервиса. Противостояние с автором musescore-downloader продолжается с февраля 2020 года. Отмечается, что время на раздумья уже почти исчерпано и скоро предстоит принять решение. Действия против нарушителя также в любой момент могут быть предприняты напрямую со стороны правообладателей. Позиция автора musescore-downloader сводится к тому, что он использовал в своей программе штатный публично документированный API, информация о котором была удалена с сайта musescore.com уже после создания приложения. Кроме того, автор musescore-downloader считает неправильным, что доступ к публикациям, подготовленным энтузиастами и изначально размещённым в открытом доступе безвозмездно, был ограничен только для платных подписчиков, в то время как Muse Group не является владельцем прав на контент, подготовленный пользователями (пользователи не владеют правами на ноты чужих произведений, так как правообладателем являются музыканты и музыкальные издатели).
| ||
|
Обсуждение (188 –23) |
Тип: К сведению |
| ||
| · | 20.07 | Реализована загрузка ядра Linux на плате ESP32 (75 +16) |
|
Энтузиасты смогли загрузить окружение на базе ядра Linux 5.0 на плате ESP32 с двухъядерным процессором Tensilica Xtensa (плата esp32 devkit v1, без полноценного MMU), оснащённой 2 МБ Flash и 8 МБ памяти PSRAM, подключённой через интерфейс SPI. Для загрузки подготовлен готовый образ Linux-прошивки для ESP32. Загрузка занимает около 6 минут.
Прошивка сформирована на основе виртуальной машины JuiceVm и порта ядра Linux 5.0. JuiceVm предоставляет минимально возможную обвязку для систем RISC-V, способную загружаться на чипах с несколькими сотнями килобайт оперативной памяти. JuiceVm обеспечивает запуск OpenSBI (RISC-V Supervisor Binary Interface), связующего интерфейса для загрузки ядра Linux и минимального системного окружения из прошивки, специфичной для платформы ESP32. Помимо Linux, JuiceVm также поддерживает загрузку FreeRTOS и RT-Thread. 
| ||
|
Обсуждение (75 +16) |
Тип: К сведению |
| ||
| · | 20.07 | Сформировано обновление uMatrix 1.4.2, несмотря на прекращение разработки проекта (59 +39) |
|
Рэймонд Хилл (Raymond Hill), автор системы блокирования нежелательного контента uBlock Origin, опубликовал новый выпуск браузерного дополнения uMatrix 1.4.2, которое предоставляет возможности для блокировки внешних ресурсов, похожие на межсетевой экран. Обновление выпущено в качестве исключения, несмотря на то, что разработка дополнения была прекращена в прошлом году. Формирование нового выпуска не означает возобновление разработки - после публикации uMatrix 1.4.2 репозиторий опять возвращён в режим архива.
В новом выпуске устранена общая с uBlock Origin уязвимость, позволяющая добиться краха или исчерпания памяти при навигации по специально оформленному URL. Кроме того, из списка ресурсов удалён уже несуществующий сервис hpHosts и изменена ссылка на загрузку списка хостов MVPS (http заменён на https).
| ||
|
Обсуждение (59 +39) |
Тип: Программы |
| ||
| · | 19.07 | Релиз шрифтового движка FreeType 2.11 (41 +16) |
|
Представлен релиз FreeType 2.11.0, модульного шрифтового движка, предоставляющего единый API для унификации обработки и вывода шрифтовых данных в различных векторных и растровых форматах.
Среди изменений:
| ||
|
Обсуждение (41 +16) |
Тип: Программы |
| ||
| · | 19.07 | NVIDIA опубликовала драйвер 470.57.02, открыла код RTXMU и добавила поддержку Linux в RTX SDK (75 +32) |
|
Компания NVIDIA опубликовала первый стабильный выпуск новой ветки проприетарного драйвера NVIDIA 470.57.02. Драйвер доступен для Linux (ARM, x86_64), FreeBSD (x86_64) и Solaris (x86_64).
Основные новшества:
Одновременно на конференции Game Developers Conference компания NVIDIA объявила об открытии под лицензией MIT исходных текстов SDK-инструментария RTXMU (RTX Memory Utility), позволяющего использовать уплотнение и субраспределение буферов BLAS (bottom level acceleration structures) для значительного сокращения потребления видеопамяти. Уплотнения даёт возможность снизить общее потребление памяти BLAS на 50%, а субраспределение повышает эффективность хранения буферов, за счёт объединения нескольких мелких буферов в страницы, размером 64 KB или 4 MB.  NVIDIA также открыла под лицензией MIT код библиотеки NVRHI (NVIDIA Rendering Hardware Interface) и фреймворка Donut. NVRHI представляет собой абстрактную прослойку, функционирующую поверх разных графических API (Direct3D 11, Direct3D 12, Vulkan 1.2) в Windows и Linux. Donut предоставляет набор готовых компонентов и стадий отрисовки для создания прототипов систем рендеринга, работающих в режиме реального времени. Кроме того, компания NVIDIA обеспечила поддержку Linux и архитектуры ARM в SDK: DLSS (Deep Learning Super Sampling, реалистичное масштабирование изображений с использованием методов машинного обучения), RTXDI (RTX Direct Illumination, динамическое освещение), RTXGI (RTX Global Illumination, воссоздание отражения света), NRD (NVIDIA Optix AI-Acceleration Denoiser, использование машинного обучения для ускорения реалистичного рендеринга изображений).
| ||
|
Обсуждение (75 +32) |
Тип: Программы |
| ||
| · | 19.07 | Линус Торвальдс прокомментировал ситуацию с драйвером NTFS от Paragon Software (266 +113) |
|
При обсуждении вопроса разделения полномочий при сопровождении кода файловых систем и связанных с VFS драйверов, Линус Торвальдс выразил готовность напрямую принять патчи с новой реализацией файловой системы NTFS, если компания Paragon Software возьмёт на себя обязанности мэйнтенера файловой системы NTFS в ядре Linux и получит подтверждение от других разработчиков ядра, выполнивших рецензирование корректности кода (судя по всему, подтверждения уже имеются).
Линус отметил, что среди разработчиков VFS ядра нет людей, отвечающих за приём pull-запросов с новыми ФС, поэтому подобные запросы можно отправлять лично ему. В целом Линус намекнул, что он не видит особых проблем с принятием в основной состав ядра нового кода NTFS, так как плачевное состояние старого драйвера NTFS не выдерживает критики, а к новому драйверу Paragon за год не было предъявлено существенных претензий. За год в списке рассылки linux-fsdevel для рецензирования было предложено 26 версий патчей ntfs3, в которых были устранены высказанные замечания, но вопрос включения в состав ядра застопорился в невозможности найти мэйнтейнера VFS, который мог бы принять решение по концептуальным вопросам - что делать со старым драйвером ntfs и реализовывать ли в новом драйвере устаревшие вызовы FAT ioctl. В текущем виде для принятия патчей необходимо обеспечить в ntfs3 совместимость с недавно внесёнными изменениями в API iov, из-за которых патч перестал собираться, и по возможности перевести код на использование fs/iomap (предполагается, что это не критично и адаптация может быть выполнена уже при нахождении ntfs3 в ядре). Код нового драйвера NTFS был открыт компанией Paragon Software в августе прошлого года и отличается от уже имеющегося в ядре драйвера возможностью работы в режиме записи. Драйвер поддерживает все возможности актуальной версии NTFS 3.1, включая расширенные атрибуты файлов, режим сжатия данных, эффективную работу с пустотами в файлах и воспроизведение изменений из журнала для восстановления целостности после сбоев.
| ||
|
Обсуждение (266 +113) |
Тип: К сведению |
| ||
| · | 19.07 | Обновление Firefox 90.0.1 (77 +14) |
Доступен корректирующий выпуск Firefox 90.0.1, в котором предложено несколько исправлений:
| ||
|
Обсуждение (77 +14) |
Тип: Программы |
| ||
| · | 19.07 | Выпуск программы для перекодирования видео HandBrake 1.4.0 (45 +17) |
|
После почти двух лет разработки представлен релиз инструмента для многопоточного перекодирования видеофайлов из одного формата в другой - HandBrake 1.4.0. Программа доступна как в варианте, работающем в режиме командной строки, так и в виде GUI-интерфейса. Код проекта написан на языке Си (для Windows GUI реализован на .NET) и распространяется под лицензией GPL. Бинарные сборки подготовлены для Linux (Flatpak), macOS и Windows.
Программа может перекодировать видео с BluRay/DVD-дисков, копий директорий VIDEO_TS и любых файлов, формат которых поддерживается библиотеками libavformat и libavcodec из состава FFmpeg. На выходе могут быть сформированы файлы в таких контейнерах, как WebM, MP4 и MKV, для кодирования видео могут быть применены кодеки AV1, H.265, H.264, MPEG-2, VP8, VP9 и Theora, для звука - AAC, MP3, AC-3, Flac, Vorbis и Opus. Из дополнительных функций присутствуют: калькулятор битрейта, предпросмотр в процессе кодирования, изменение размера и масштабирование картинки, интегратор субтитров, широкий набор профилей конвертации для заданных типов мобильных устройств. В новом выпуске:
| ||
|
Обсуждение (45 +17) |
Тип: Программы |
| ||
| · | 19.07 | В сентябре состоится конференция PyCon Russia (38 –3) |
|
5-6 сентября в санатории Klyazma Resorts (Московская область, Мытищинский район, п. Поведники) состоится PyCon Russia, конференция для разработчиков, использующих язык программирования Python. Запланировано 35 докладов, но в этом году среди докладчиков только отечественные разработчики, развивающие продукты в таких компаниях, как Mail.ru, Avito, Selectel, Intel, Тинькофф и Райффайзен. Участие платное (18 тыс. рублей, без учёта стоимости проживания).
| ||
| · | 19.07 | Debian 11 "Bullseye" перешёл на стадию полной заморозки перед релизом (74 +20) |
|
Пакетная база Debian 11 "Bullseye" переведена в фазу полной заморозки, непосредственно предшествующей релизу. Отныне передача любых изменений в пакеты блокирована и требует получения разрешения от команды ответственных за формирование релиза. Релиз ожидается в августе или сентябре 2021 года.
В настоящее время насчитывается 133 критические ошибки, блокирующие релиз (месяц назад было 155, два месяца назад - 185, три месяца назад - 240, пять месяцев назад - 472, в момент заморозки в Debian 10 - 316, Debian 9 - 275, Debian 8 - 350, Debian 7 - 650). Дополнение: Релиз запланирован на 14 августа.
| ||
|
Обсуждение (74 +20) |
Тип: К сведению |
| ||
| · | 19.07 | Выпуск GNU Binutils 2.37 (36 +14) |
Представлен релиз набора системных утилит GNU Binutils 2.37, в состав которого входят такие программы, как GNU linker, GNU assembler, nm, objdump, strings, strip.
| ||
|
Обсуждение (36 +14) |
Тип: Программы |
| ||
| · | 18.07 | Релиз систем сборки CMake 3.21 и Meson 0.59 (37 +6) |
|
Представлен релиз кроссплатформенного открытого генератора сценариев сборки CMake 3.21, выступающего в качестве альтернативы Autotools и используемого в таких проектах, как KDE, LLVM/Clang, MySQL, MariaDB, ReactOS и Blender. Код CMake написан на языке C++ и распространяется под лицензией BSD.
CMake примечателен предоставлением простого языка сценариев, средствами расширения функциональности через модули, минимальным числом зависимостей (нет привязки к M4, Perl или Python), поддержкой кэширования, наличием инструментов для кросс-компиляции, поддержкой генерации файлов сборки для широкого спектра систем сборки и компиляторов, наличием утилит ctest и cpack для определения сценариев тестирования и сборки пакетов, утилитой cmake-gui для интерактивной настройки параметров сборки. Основные улучшения:
Дополнительно можно отметить выпуск сборочной системы Meson 0.59, которая используется для сборки таких проектов, как X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME и GTK. Код Meson написан на языке Python и поставляется под лицензией Apache 2.0. Поддерживается кросс-компиляция и сборка в Linux, Illumos/Solaris, FreeBSD, NetBSD, DragonFly BSD, Haiku, macOS и Windows с использованием GCC, Clang, Visual Studio и других компиляторов. Возможна сборка проектов на различных языках программирования, включая C, C++, Fortran, Java и Rust. Вместо утилиты make при сборке по умолчанию применяется инструментарий Ninja, но возможно применение и других бэкендов, таких как xcode и VisualStudio. В систему встроен многоплатформенный обработчик зависимостей, позволяющий использовать Meson для сборки пакетов для дистрибутивов. Правила сборки задаются на упрощённом предметно-ориентированном языке, отличаются хорошей читаемостью и понятны пользователю (по задумке авторов разработчик должен тратить минимум времени на написание правил). Поддерживается инкрементальный режим сборки, при котором пересобираются только компоненты, напрямую связанные с изменениями, внесёнными с момента прошлой сборки. Meson можно использовать для формирования повторяемых сборок, при которых запуск сборки в разных окружениях приводит к генерации полностью идентичных исполняемых файлов. Основные новшества Meson 0.59:
| ||
|
Обсуждение (37 +6) |
Тип: Программы |
| ||
| · | 17.07 | Уязвимость в cdnjs, позволившая выполнить код на серверах Cloudflare (184 +32) |
|
В предоставляемой компанией Cloudflare сети доставки контента cdnjs, предназначенной для ускорения доставки JavaScript-библиотек, выявлена критическая уязвимость, позволяющая выполнить произвольный код на серверах CDN. Опасность проблемы усугубляется тем, что для загрузки JavaScript-библиотек сервисом пользуется около 12.7% всех сайтов в интернете и компрометация инфраструктуры позволяет подменить библиотеки, отдаваемые любым из этих сайтов.
Сервис cdnjs осуществляет загрузку пакетов из Git или репозитория NPM, после чего даёт возможность любому сайту бесплатно воспользоваться сетью доставки контента Cloudflare для ускорения загрузки JavaScript-библиотек. При изучении кода компонентов cdnjs, опубликованных на GitHub, было выявлено, что для распаковки NPM-пакетов в архивах tgz используется штатный модуль archive/tar на языке Go, которые выдаёт список файлов как есть, без нормализации путей. В случае, когда скрипт распаковывает содержимое на основании выданного списка, наличие в архиве файлов вида "../../../../../../../tmp/test" может привести к перезаписи произвольных файлов в системе, насколько это позволяют права доступа. Было предположено, что атакующий может подать заявку на добавление своей библиотеки в cdnjs и загрузить в репозиторий NPM специально оформленный архив, содержащий файлы с символами "../" в пути. На серверах cdnjs периодически выполняется операция "autoupdate", в ходе которой обработчик загружает новые версии предложенной библиотеки и распаковывает содержимое. При помощи файлов c путями "../" атакующий может добиться перезаписи файлов со скриптами сервиса и выполнения своего кода на сервере на котором производилась распаковка. В случае загрузки обновлений из Git было выяснено, что загружающий обновления обработчик не учитывал символические ссылки при копировании файлов из Git. Данная особенность позволяла организовать чтение любых файлов с сервера через добавление в Git символических ссылок. Эксперименты с демонстрацией взлома cdnjs для получения премии на HackerOne было решено начать с проверки гипотезы относительно чтения файлов. В Git-репозиторий отдаваемой через CDN JavaScript-библитеки была добавлена символическая ссылка test.js, указывающая на файл /proc/self/maps. После публикации новой версии библиотеки обработчик обновлений обработал данный репозиторий и опубликовал указанный файл в cdnjs (test.js был создан как символическая ссылка и при запросе данного файла выдавалось содержимое /proc/self/maps). Подставив символическую ссылку на файл /proc/self/environ автор исследования заметил, что внутри отданных данных присутствуют значения переменных окружения GITHUB_REPO_API_KEY и WORKERS_KV_API_TOKEN. В первой переменной хранился ключ к API для доступа с правом записи в репозиторий robocdnjs на GitHub. Во второй переменной хранился токен к хранилищу KV в cdnjs. Воспользовавшись полученными сведениями злоумышленник мог внести изменения в cdnjs и полностью скомпрометировать инфраструктуру.
| ||
|
Обсуждение (184 +32) |
Тип: Проблемы безопасности |
| ||
| · | 16.07 | Уязвимость в uBlock Origin, приводящая к краху или исчерпанию ресурсов (163 +33) |
|
В системе блокирования нежелательного контента uBlock Origin выявлена уязвимость, позволяющая добиться краха или исчерпания памяти при навигации по специально оформленному URL, в случае подпадания данного URL под фильтры строгой блокировки ("strict blocking"). Уязвимость проявляется только при прямом переходе на проблемный URL, например при клике по ссылке.
Уязвимость устранена в обновлении uBlock Origin 1.36.2. Аналогичной проблеме также подвержено дополнение uMatrix, но его сопровождение прекращено и обновления больше не выпускаются. Обходные пути защиты в uMatrix отсутствуют (изначально предлагалось отключить все фильтры строгой блокировки через вкладку "Assets", но эта рекомендация была признана недостаточной и создающей проблемы для пользователей с собственными правилами блокировки). В ηMatrix, форке uMatrix от проекта Pale Moon, уязвимость устранена в выпуске 4.4.9. Фильтр строгой блокировки обычно определяется на уровне доменов и подразумевает запрет любых соединений, даже при прямом переходе по ссылке. Уязвимость вызвана тем, что во время перехода на страницу, подпадающую под фильтр строгой блокировки, пользователю отображается предупреждение, в котором приводятся сведения о заблокированном ресурсе, в том числе показывается URL и параметры запроса. Проблема в том, что uBlock Origin разбирает параметры запроса рекурсивно и добавляет в дерево DOM без учёта уровня вложенности. При обработке специально оформленного URL в uBlock Origin для Chrome можно вызвать крах процесса, в котором выполняется браузерное дополнение. После краха, до тех пор пока процесс с дополнением не перезапустится, пользователь остаётся без блокировки нежелательного содержимого. В Firefox наблюдается исчерпание памяти.  Дополнение: В NoScript некоторые пользователи отмечают наличие ошибки, приводящей при открытии некоторых сайтов к 100% загрузке CPU в Firefox.
| ||
|
Обсуждение (163 +33) |
Тип: Проблемы безопасности |
| ||
| << Предыдущая страница (позже) | ||
| Следующая страница (раньше) >> | ||
