В командном интерпретаторе Bash выявлена опасная уязвимость (CVE-2014-6271), позволяющая организовать выполнение кода в контексте другого сеанса bash. Проблема вызвана недоработкой в организации экспорта переменных окружения и shell-функций в другие экземпляры bash, что приводит к выполнению блоков кода из специально оформленных переменных окружения, полученных от других процессов.

Во многих типовых конфигурациях уязвимость может быть эксплуатирована по сети, если bash вызывается в качестве shell-интерпретатора. Потенциально может быть атаковано любое приложение которые запускает bash или скрипты на bash с установкой переменных окружения на основе внешних данных (манипуляция с подобными suid-программами может привести к повышению привилегий в системе). В том числе могут быть атакованы CGI-скрипты (написанные на bash или в которых вызывается bash), DHCP-клиенты, системы печати на базе CUPS и конфигурации OpenSSH (например, системы доступа к репозиториям Git и Subversion, ограниченные выполнением одной команды через опцию ForceCommand).

Текущие версии bash используют переменные окружения для экспорта функций, при этом если в переменной содержится "() {", то её содержимое воспринимается как функция. Из-за ошибки, после завершения тела функции, обработка продолжается и после символа "}". Если после функции указана команда, то bash выполнит и её (например, "VAR=() { ignored; }; /bin/id"). Уязвимость проявляется для любых переменных окружения, имя не имеет значения.

В случае с OpenSSH атака может быть проведена через подстановку переменной окружения SSH_ORIGINAL_COMMAND:


После выполнения указанной команды в переменную окружения будет скопирована в том числе строка '() { ignored; }; /usr/bin/id', которая инициирует запуск команды /usr/bin/id на стороне удалённой системы. Аналогичные атаки могут быть проведены через переменную окружения TERM или при запуске CGI-скриптов через переменные REMOTE_USER, HTTP_CUSTOM, QUERY_STRING и т.п. (например, можно передать значение "() {" вместо имени пользователя или в теле HTTP-заголовка "Custom:").

Для устранения проблемы подготовлена серия патчей. Обновления пакетов с bash уже выпущены для Debian, Ubuntu, RHEL, CentOS. Оценить появление обновлений для других систем можно на следующих страницах: Fedora, openSUSE, SLES, Slackware, Gentoo, OpenBSD, NetBSD, FreeBSD.

Для проверки системы на наличие уязвимости можно выполнить команду:


В качестве обходного временного пути защиты может быть применена блокировка по маске через iptables:


Дополнение 1: Выявлены методы (CVE-2014-7169) обхода патча, представленного вчера для устранения критической уязвимости в Bash. Для решения проблемы подготовлен новый патч. В дистрибутивах проблема пока остаётся неисправленной. Для проверки на наличие обходного пути эксплуатации уязвимости можно использовать команду (успешно срабатывает после установки вчерашнего обновления bash в Ubuntu и Debian):


Дополнение 2: Проведена попытка массового сканирования серверов на предмет наличия уязвимости в Bash. Первый же эксперимент выявил около 3 тысяч хостов, подверженных уязвимости в Bash при запросе корневой страницы по IP, без заполнения заголовка Host (при полноценном сканировании с указанием корректных имён домена таких сайтов может оказаться в 50 раз больше). Организация целевых атак на конкретные CGI-скрипты, например, на /cgi-sys/defaultwebpage.cgi из CPanel позволяет как минимум в 10 раз расширить область действия атаки. Так как уязвимость очень проста в эксплуатации не исключается появление в ближайшее время червей, нацеленных на поражение конкретных проблемных CGI-скриптов.

Источник: opennet.ru

Canonical выложила финальный релиз новой версии Ubuntu, Ubuntu Unicorn под версией 14.10. Насколько можно судить, новой версией Canonical решила отметить круглую дату. Дело в том, что Ubuntu исполнилось уже 10 лет. Первый релиз появился как раз в октябре, 2004 года. За два последних года было продано более 30 миллионов ПК с предустановленным дистрибутивом Убунту. За последние несколько лет количество ПК и ноутбуков с установленной Ubuntu выросло в несколько раз.
Стоит отметить, что в версии 14.10 нет ничего революционно нового. Разработчики заявляют, что все обновления в Ubuntu Unicorn, вернее, большинство, будут интересны разработчикам, в первую очередь. Кроме того, много внимания разработчики уделили безопасности ОС.
В качестве новинки представлен Ubuntu Developer Tools Centre, упрощающий задачу разработки под Ubuntu. Здесь есть все тулкиты Android со всеми зависимыми библиотеками. Кроме того, привычные многим приложения LibreOffice, Firefox, Chromium и Rhythmbox обновлены. Если кто смотрит Netflix, то теперь появилась возможность просмотра ТВ-шоу и фильмов через Chrome в Убунту.


Ядро 3.16 теперь поддерживает архитектуру Power8 и ARM 64, а также графические чипы от NVIDIA и AMD, плюс Haswell, Broadwell, Merrifield и Cherryview. В ядро также включена подержка видеодекодера Radeon H.264.

Ну, а скачать все это можно отсюда:

новость с geektimes.ru

Новый Unreal Tournament строится «на принципах свободы», доступны первые сборки на Linux

Компания Epic Games анонсировала начало разработки новой версии культовой игры Unreal Tournament, создание которой будет строиться на принципах свободы. Игра будет бесплатна, расширяемой и создаваться вместе с игроками.
«Мы знаем, что фанаты игры обладают такой же страстью к Unreal Tournament, как и мы сами. Мы знаем, что у вас множество идей и строгих убеждений относительно того, как игра должна развиваться и какой быть, — заявил старший разработчик Стив Полж (Steve Polge). — Так давайте сделаем что-нибудь радикальное и сотворим игру вместе, свободную и для всех нас».
В майском анонсе компании было заявлено следующее:
Мы создадим небольшую группу «ветеранов» URT, которая приступит к разработке немедленно;
с первого кода и художественного оформления разработка будет вестись по открытому принципу, в сотрудничестве с Epic, фанатами URT и разработчиками UE4;
любой фанат может присоединиться к работе;
весь код и содержимое будет доступно на GitHub;
разработка будет вестись с учётом «первоисточников» жанра соревновательных FPS;
разработка сфокусирована на Linux, Mac и Windows.
Игра будет полностью свободна — речь не идёт даже про модель free-to-play. Дизайнеры и разработчики смогут создавать собственные модификации; единственное, что получит компания, — часть с дохода от их продаж.
В начале недели Epic объявила о доступности еженедельных сборок для всех желающих, а не только разработчиков. Для того, чтобы получить доступ, необходимо зарегистрироваться на форуме. В том числе, для скачивания доступна версия под GNU/Linux.

Новость с nixp.ru

Операционная система Ubuntu, являясь дружественным пользователю дистрибутивом Linux, за относительно короткое время смогла стать очень популярной. Были у Ubuntu удачи, были и падения. Сейчас эта операционная система собирается расширять сферу влияния, переходя на новые платформы.

В число таких платформ могут войти умные устройства, бытовая техника, носимые девайсы, роботы. Источник: geektimes

Состоялся релиз Linux-дистрибутива Ubuntu 15.10

Команда разработчиков Ubuntu объявила о доступности для скачивания финальной сборки одноименной операционной системы, получившей индекс 15.10 и известной под кодовым названием Wily Werewolf (в переводе с английского «хитрый оборотень»).

Новая редакция платформы получила усовершенствованный пользовательский интерфейс Unity, обновлённое ядро Linux 4.2 с поддержкой современных видеокарт AMD Radeon, процессоров Intel Broxton и функций шифрования данных средствами файловой системы F2FS (Flash-Friendly File System), а также расширенный инструментарий для разработчиков Ubuntu Make. Помимо этого, сообщается о включении в состав операционной системы нового релиза открытой среды для организации облачных вычислений OpenStack Liberty (в серверной версии), доработках менеджера настройки Bluetooth-соединений, устранении ошибок и неточностей в коде продукта, обновлении представленных в дистрибутиве программных пакетов и прочих изменениях, повышающих стабильность и скорость работы ОС. С полным списком реализованных в Ubuntu 15.10 нововведений можно ознакомиться на странице wiki.ubuntu.com/WilyWerewolf/ReleaseNotes.

Дистрибутив Ubuntu 15.10 представлен в различных редакциях (Desktop, Server, Cloud Server, Kubuntu и др.) и доступен для скачивания на официальном сайте проекта ubuntu.com. Выпуск следующей версии операционной системы запланирован на апрель 2016 года.

По версии портала DistroWatch.com система занимает третье место по популярности среди десктопных Linux-платформ.

Обновлённые версии дистрибутивов Ubuntu выходят каждые полгода и поддерживаются обновлениями безопасности в течение 9 месяцев. Исключение составляют релизы c долгосрочной поддержкой Long Term Support (LTS), выпускаемые раз в два года и поддерживаемые разработчиком в течение пяти лет. Пользователям устаревших версий Ubuntu рекомендовано произвести апгрейд операционной системы, руководствуясь опубликованными на сайте разработчиков инструкциями.

Загружаем и тестируем отсюда:


утащил с 3dnews.ru

Компания «Доктор Веб» предупреждает пользователей о распространении троянца-шифровальщика, способного заражать операционные системы семейства Linux. Выбор каталогов, в которых троянец шифрует файлы, позволяет сделать вывод, что главная мишень вирусописателей — администраторы сайтов, на машине которых развернут собственный веб-сервер. Специалисты компании «Доктор Веб» предполагают, что жертвами троянца стали по меньшей мере десятки пользователей.
Обнаруженная угроза внесена в вирусную базу компании «Доктор Веб» как Linux.Encoder.1. После запуска с правами администратора троянец загружает файлы с требованиями вирусописателей и файл, содержащий путь до публичного RSA-ключа, после чего запускает себя как демон и удаляет исходные файлы. Данный RSA-ключ в дальнейшем используется для хранения AES-ключей, с помощью которых троянец шифрует файлы на зараженном компьютере.
В первую очередь Linux.Encoder.1 шифрует все файлы в домашних каталогах пользователей и каталогах, относящихся к администрированию веб-сайтов. После этого шифровальщик рекурсивно обходит всю файловую систему: сперва начиная с каталога, из которого он был запущен, а следующим шагом — с корневого каталога «/». При этом шифруются файлы с расширениями из заданного списка и только при условии, что имя каталога начинается с одной из заданных вирусописателями строк.
Пострадавшие файлы получают расширение .encrypted. В каждом каталоге, содержащем зашифрованные файлы, троянец размещает файл с требованиями вирусописателей: жертве предлагают оплатить расшифровку файлов с помощью криптовалюты Bitcoin.
Компания «Доктор Веб» рекомендует пользователям, файлы которых оказались зашифрованы, обратиться в службу технической поддержки, подробно описав ситуацию и приложив несколько образцов зашифрованных файлов. Для корректной расшифровки файлов важно, чтобы пользователь не удалял и не изменял никакие из зашифрованных файлов, т. к. при этом может быть утеряна информация, необходимая для их восстановления.
Источник: Dr.Web

Для людей, интересующихся игровой индустрией, а так же просто геймеров, не секрет, что Valve, компания-разработчик магазина электронной дистрибуции игр «Steam», очень лояльно относится к Linux-платформе. Парни из этой компании считают, что и на компьютерах под управлением данными ОС есть место играм. Однако, как это обычно бывает с другими крупными разработчиками, когда речь заходит об Open source, заявления Valve — не пустой звук. Взяв курс на продвижение игр на Linux-системах (а также, косвенно, продвижение самих Linux-систем), за три года компания добилась того, что более 1600 игр из ее магазина Steam совместимы и работают на компьютерах под управлением *unix-системами.

Одним из главных шагов в данном направлении стало вхождение Valve в состав некоммерческой организации Linux Foundation, подготовка Steam для работы с unix-системами и обновление собственных проектов: Valve не только распространяют игры на данный момент, но также являются разработчиками таких всемирно популярных тайтлов как Team Fortress 2, Dota 2 и CS:GO. Все эти игры уже успешно работают из под Linux. Также для собственной консоли Valve, SteamMachine, была разработана ОС на базе ядра Linux.

Последние три года Valve активно инвестировали в Linux-разработки, спонсировали проекты Collabora и LunarG и продвигали кросс-платформенную мультимедийную библиотеку SDL2.

Большие надежды Valve связывают с новым API для 2D и 3D графики под названием «Vulkan». Впервые он был представлен на GDC 2015. По заявлению разработчиков, Vulkan станет серьезным конкурентом для DX12, так как будет способен на все то, что может DX12 плюс Vulkan не ограничен одной платформой.

Во время прошедшей в августе конференции SIGGRAPH 2015 Дэн Гинсбург из Valve так прокомментировал API Vulkan:

Если вы не намерены выпускать свою игру на DirectX 12 в этом году, то для использования DX12 вовсе нет серьезных причин. Дело в том, что Vulkan справляется с той же работой на Windows 10, при этом не ограничиваясь только одной платформой. Vulkan будет работать на всем. Не только Windows 10, но Windows 7, Windows 8 и Linux.

Главной проблемой является то, что разработчиков нужно будет убедить использовать Vulkan вместо DX12. Если новый API получит большое распространение, это станет еще одним шагом по развороту игровой индустрии от Windows в сторону кросс-платформенности.

Источник: geetimes

Лист бумаги + 2 минуты = Utopic Unicorn

Компания Canonical подвела итоги конкурса оригами. В ходе соревнования участникам предлагалось из листа бумаги изготовить Утопического единорога, который является символом актуальной на данный момент версии Ubuntu 14.10 Utopic Unicorn.

Победитель конкурса, изготовивший самого прекрасного единорога, получил приз — новенький смартфон BQ Aquaris E4.5 Ubuntu Edition. А общественность получила в свое распоряжение чертежи, по которым любой желающий может самостоятельно и без всяких затрат изготовить замечательный сувенир.

Инструкция по изготовлению Единорога с помощью рук и листа бумаги (PDF).

Для только начинающих постигать искусство оригами, специалисты из Canonical сняли видеоролик:


В изготовленного своими руками единорога можно вложить флешку с Ubuntu и использовать как великолепный подарок. Несколько Utopic Unicorn из салфеток способны украсить любой банкетный стол.

Практически все версии ядра Linux, от 3.8 до 4.5 (в git) подвержены достаточно серьезной уязвимости, которая дает возможность локальному юзеру получить права суперпользователя. Оказывается, уязвимость CVE-2016-0728 существует с 2012 года, а наиболее подвержены риску пользователи ОС Android. дело в том, что код приложений и игр, созданных с использованием NDK (Native Development Kit) и выложенных в Google Play, компания Google проверить не может.Источник: habrahabr

Обратите внимание на эти условия, при которых зловреды будут исполнены



Дак не работает никто из-под root в nix
Это не окошки, в которых "одминят" все, кто хочет и кто даже не подозревает этого.