Linux / Линукс

Новая уязвимость в CIFS-подсистеме ядра Linux даёт root через подмену библиотек

Раскрыты детали уязвимости CIFSwitch (CVE пока не присвоен) в модуле ядра CIFS и пакете cifs-utils, позволяющей непривилегированному пользователю получить права root. Уязвимость связана с механизмом cifs.spnego для аутентификации по протоколу SPNEGO при подключении к SMB-серверам.

Атака использует то, что обработчик cifs.upcall выполняется с правами root и доверяет параметрам, переданным из ядра (pid, uid, creduid, upcall_target). Злоумышленник инициирует вызов обработчика в своём пространстве имён монтирования, где подменяет /etc/nsswitch.conf и библиотеки libnss_*.so.2. Обработчик загружает эти библиотеки с правами root. Требуется разрешение на создание пространств имён пользователей или монтирования и наличие установленного пакета cifs-utils.

Уязвимы по умолчанию: Linux Mint, CentOS Stream 9 GNOME, Rocky Linux 9 Workstation, Kali Linux, AlmaLinux 9.7 Workstation, SUSE 15 SP7 / SAP 15 SP7 / SAP 16.

Требуют установки cifs-utils: Ubuntu 18.04-24.04 Desktop/Server, Pop!_OS, Debian 11/12/13, openSUSE Leap 15.6, Rocky Linux 8/9 KVM, Oracle Linux 8/9 KVM, Amazon Linux 2023 KVM.

Защищены SELinux/AppArmor по умолчанию: Ubuntu 26.04, Fedora 40-44, CentOS Stream 10, Rocky Linux 10, AlmaLinux 10.1, Oracle Linux 10, openSUSE Tumbleweed, openSUSE Leap 16.0, SUSE Linux 16.

Обходные пути до выхода патча: заблокировать загрузку модуля cifs, отключить user namespace (kernel.unprivileged_userns_clone=0) или переопределить правило cifs.spnego в /etc/request-key.d/.

Linux / Линукс 🥸

Linux / Линукс 🥸

IBM и Red Hat вложат $5 млрд в безопасность открытого ПО

В проект Lightwell инвестируют 5 млрд долларов для повышения безопасности открытого ПО на предприятиях. Будут задействованы AI и более 20 тысяч инженеров. Lightwell охватит процессы от разработки открытых проектов (upstream) до поддержания рабочих внедрений.

Внутри проекта создадут информационно-координационный центр по безопасности, использующий AI для проверки и тестирования патчей. Предприятия смогут сообщать о проблемах, получать проверенные исправления (применимые как к продуктам Red Hat, так и к upstream-коду) и скоординировано передавать их разработчикам. Инженеры IBM и Red Hat будут помогать в сопровождении проектов, рецензировании уязвимостей, разработке патчей и продвижении исправлений с учётом сложных цепочек зависимостей.

Интересно, будут ли они диктовать разрабам open source, как надо делать, и везде пихать AI?

Linux / Линукс 🥸

Грег Кроа-Хартман считает, что Rust мог бы предотвратить 60% ошибок в ядре Linux

На конференции Rust Week 2026 он рассказал, как Rust может помочь в предотвращении уязвимостей, возникающих из-за типичных ошибок при работе с памятью, блокировками, обработкой ошибок и недоверенными данными. Например, Грег привёл ошибку в подсистеме Bluetooth, которая оставалась незамеченной 15 лет (разыменование указателя без проверки), и проблему в гипервизоре Xen (забыли снять блокировку в коде обработки ошибок).

По словам разработчика, большинство ошибок в ядре вызваны подобными мелочами, которые со временем накапливаются. Rust выявляет такие проблемы на этапе сборки: например, Rust-абстракции для блокировок не позволяют получить доступ к внутренним указателям структур без захвата соответствующей блокировки (которая затем снимается автоматически).

Внедрение Rust уже положительно повлияло на Си-код: пришлось привести в порядок интерфейсы и заимствовать некоторые приёмы (например, блокировки с ограниченной областью видимости). Rust позволяет сосредоточиться на проверке логики, а не на отслеживании манипуляций с ресурсами. Система типов явно разграничивает заслуживающие и не заслуживающие доверия данные.

По мнению Грега, Rust один из реальных способов снизить число ошибок, вызванных традиционными оплошностями.

Верите ли вы, что Rust поможет снизить число уязвимостей в ядре?

Linux / Линукс 🥸

Linux / Линукс 🥸

Спустя два года после прошлого стабильного релиза опубликован выпуск среды рабочего стола MATE 1.29.

Проект MATE продолжает развитие кодовой базы GNOME 2.32 с сохранением классической концепции формирования рабочего стола. Ветка 1.29 преподносится как экспериментальная и применяется для разработки и тестирования функциональности будущего стабильного выпуска MATE 1.30.

C весны 2024 года разработка MATE находилась в стагнации, но сейчас к активному сопровождению проекта подключился Виктор Карех (Victor Kareh) из компании Red Hat.

Linux / Линукс 🥸

Она знает толк в извращениях

Linux / Линукс 🥸

Если бы путешественник во времени изменил ход событий

Linux / Линукс 🥸

AI-модель Claude Mythos обнаружила 23 тыс. уязвимостей в более чем 1 тыс. проектов с открытым исходным кодом. Из них 1 тыс. имеют оценку высокой или критической степени серьёзности.

По оценкам Anthropic, после завершения проверки будет подтверждено около 3,9 тыс. критических и серьёзных уязвимостей, а по мере продолжения сканирования их число может вырасти до 6,2 тыс.

Количество исправлений пока невелико по трём причинам: исследователи находятся в начале 90-дневного периода скоординированного раскрытия, некоторые уязвимости устраняются без публичного уведомления (Anthropic и партнёры вынуждены сами искать эти исправления, анализируя обновления через Claude), и даже при медленных темпах раскрытия Mythos усугубляет проблему перегруженности экосистемы безопасности.

Linux / Линукс 🥸

😮 Походу ТСПУ начали массовый геноцид MTProxy и Chrome-фингерпринтов

В профильных чатах жарко... уже несколько дней в Рунете фиксируется ковровый отвал средств обхода блокировок 🤪

Что отваливается прямо сейчас:

🟢Блокировка фингерпринтов Google Chrome. Протоколы вроде Xray/VLESS/Reality юзают библиотеку utls, чтобы подделать свой TLS-отпечаток под обычный браузер. Но DPI-коробки поумнели. Теперь ТСПУ анализирует поведение трафика после хендшейка. Если паттерн передачи байтов не совпадает с реальным серфингом веб-страниц, то прилетает TCP RST, и туннель уходит в забвение ⚰️

🟢Пишут про удушение TCP-RAW, когда любой голый TCP-трафик без внятной, легитимной структуры (чистый зашифрованный payload) теперь режется на границе. Правило Default Deny в действии... если DPI не может распознать протокол, пакет просто дропается.

🟢MTProxy снова в гробу... вышеописанные эвристики помножили на ноль все старые и новые прокси для Телеги. Смена портов (443, 8443) больше не помогает ⚰️

Единственный рабочий костыль, который сейчас спасает ИТ-бояр... это каскадирование (когда туннель через туннель). Трафик внутри РФ между российскими дата-центрами фильтруется ТСПУ гораздо слабее, чем трансграничный. Поэтому ИТ-бояре покупают VPS в Москве (входная нода), поднимают туннель до нее, а уже с московского сервера прокидывают второй туннель на сервер в Европах. Иксзибит был бы доволен.

Гонка брони и снаряда продолжается. В этом цифровом Колизее выживают только параноики 🕶

Типичный 🥸 Сисадмин

В чем разница между sudo su, sudo -i, sudo /bin/bash

Команда su позволяет изменить текущего пользователя терминала на другого. Команда sudo выполняет команду от имени root пользователя. Теперь разберем сам вопрос.

sudo su - выполняет команду su от имени суперпользователя. Таким образом, сначала используется sudo чтобы получить права суперпользователя, а затем пользователь меняется на root с помощью su. При этом вы останетесь в той же директории потому, что выполняется ваш .bashrc. А также .profile пользователя root поэтому вы окажетесь в окружении root.

sudo -i - похожая команда, опция -i указывает утилите что нужно переключиться в консоль от имени суперпользователя. На этот раз вы уже окажетесь в домашней папке root, и будет выполнен его .bashrc и .profile.

sudo /bin/bash - запускает еще одну оболочку bash от имени суперпользователя. Файлы конфигурации не читаются, но выполняется только .bashrc вашего пользователя. Вы не окажетесь в окружении root, а просто останетесь в своем окружении с правами суперпользователя.

📚@IT_obrazovach

И никакой головной боли

Linux / Линукс 🥸

Linux / Линукс 🥸

Выполнено дизассемблирование микрокода i386 и создан открытый CPU z386

Энтузиасты смогли успешно извлечь и дизассемблировать микрокод процессора Intel 80386, который из-за отсутствия документации считался "чёрным ящиком". Бинарный образ микрокода был воссоздан с привлечением AI по фотографиям кристалла в высоком разрешении, а логика работы разобрана через трассировку соединений на кристалле. Постепенно были определены структура микрокоманд (μ-ops), поля, порядок исполнения и маркеры конца инструкций. Наработки проекта опубликованы на GitHub как общественное достояние.

Linux / Линукс 🥸

Скоро flatpak будет зависеть от systemd...

Linux / Линукс 🥸

Благодаря AI для включения в ядро Linux стали присылать на 20% больше изменений

На конференции Open-Source Summit 2026 во вступительной беседе Линус Торвальдс рассказал о тенденциях в использовании AI-инструментов при разработке ядра Linux. По словам Линуса, за последние шесть месяцев значительно увеличился объём коммитов. Например, при формировании последних двух релизов ядра внесено примерно на 20% больше коммитов, чем в ранее выпускавшихся ветках. Изменение объясняется тем, что за последние несколько месяцев AI-инструменты доросли до уровня качества, приемлемого для многих разработчиков, и теперь наблюдается явный рост применения AI практически по всем направлениям разработки.

Обилие присылаемых последнее время отчётов об ошибках, выявленных при помощи AI-ассистентов, Линус охарактеризовал как краткосрочную боль, которая принесёт пользу в долгосрочной перспективе - любая выявленная и исправленная ошибка лучше, чем остающаяся незамеченной. Для небольших команд и одиночных сопровождающих шквал сгенерированных через AI сообщений об ошибках становится проблемой и приводит к выгоранию, особенно когда подобные отчёты отправляются без проверки, а отправивший их не способен ответить на вопросы и предоставить дополнительную информацию.

По поводу AI Линус высказался, что это всего лишь ещё один инструмент, повышающий эффективность работы и меняющий способ разработки, но не меняющий принципы программирования. Когда-то появление компиляторов и высокоуровневых языков повысило производительность разработки в 1000 раз и избавило разработчиков от необходимости вводить дампы машинных кодов и вычислять смещения для операций ветвления. Примерно также AI позволяет повысить производительность, беря на себя выполнение рутинной работы и оставляя разработчику постановку задач и проверку результата. При этом важно, чтобы разработчик не только умел формировать запросы, но и имел компетенцию для оценки и проверки результата. AI-ассистент рассматривается как новое звено перед компилятором, который, в своё время, для упрощения разработки стал звеном перед ассемблером.

Linux / Линукс 🥸

Linux / Линукс 🥸

Нарушение AGPL производителем 3D-принтеров Bambu Lab и создание форка Bambu Studio

В ответ на недавние угрозы разработчику, вернувшему возможность прямой печати на 3D-принтерах Bambu Lab без использования проприетарного приложения Bambu Connect, правозащитная организация Software Freedom Conservancy (SFC) объявила о проведении расследования возможных нарушений свободных лицензий в ПО и прошивках компании Bambu Lab. Помимо этого, запущена инициатива по отстаиванию права самостоятельно проводить ремонт, в рамках которой началась работа по обратному инжинирингу проприетарных библиотек Bambu Lab и создан независимый форк платформы Bambu Studio.
Развиваемый компанией Bambu Lab пакет Bambu Studio является форком свободного проекта Prusa Slicer и так же как исходный проект распространяется под лицензией AGPLv3. В выпущенное год назад обновление прошивки к 3D-принтерам Bambu Lab было внесено изменение, блокирующее возможность прямой печати. После обновления прошивки для продолжения работы с 3D-принтером в альтернативных пакетах подготовки моделей к 3D-печати, таких как OrcaSlicer, требовалась установка дополнительного проприетарного приложения Bambu Connect, без которого послойный вывод на печать перестал работать.

Один из энтузиастов реализовал для OrcaSlicer возможность напрямую отправлять команды 3D-принтерам Bambu Lab без необходимости установки Bambu Connect, но компания Bambu Studio под угрозой судебного разбирательства вынудила разработчика удалить репозиторий с созданным кодом, при том, что реализованный энтузиастом метод прямой отправки команд на 3D-принтеры был основан на содержимом из репозитория AGPL-проекта Bambu Studio.

Организация SFС трактовала данный шаг как ущемление прав, предоставляемых лицензией AGPLv3. При давлении на энтузиаста компания Bambu Lab применила тактику запугивания и утверждала, что условия использования продукта (terms of service) превалируют над требованиями AGPLv3, что является нарушение пункта 10.3 лицензии AGPL. Данный пункт запрещает налагать дополнительные ограничения, мешающие осуществлению прав, предоставленных лицензией.

Помимо этого, правозащитная организация SFC выявила прямое нарушения условий лицензии AGPLv3 в приложении Bambu Studio, в котором используется библиотека libbambu_networking, исходный код которой не предоставляется. Так как Bambu Studio является ответвлением от другого открытого AGPL-проекта, он должен распространяться строго под исходной лицензией APGLv3 и не имеет права вносить в неё исключения. Соответственно, все компоненты должны быть доступны в исходном коде без дополнительных ограничений и комбинирование AGPL-кода с проприетарной библиотеке в одном продукте недопустимо. Библиотека libbambu_networking загружается через интерактивный запрос в интерфейсе пользователя, но подобный манёвр не позволяет обойти условия AGPL.

Для оказания помощи пользователям 3D-принтеров, испытывающим трудности из-за нарушений AGPLv3 компанией Bambu Lab, создан проект baltobu.

Linux / Линукс 🥸

Потому что все вокруг должны знать 🐧

Linux / Линукс 🥸

Им не понять...

Linux / Линукс 🥸