Сегодня вышла версия GStreamer 1.28 — новейшее дополнение к широко используемой мультимедийной платформе с открытым исходным кодом.
В версии 1.28 продолжается работа по переписыванию большего количества функций на языке программирования Rust с целью обеспечения безопасной работы с памятью. В GStreamer встроен детектор объектов YOLOX. Разработчики, использующие Rust, могут создавать приложения для анализа видео в реальном времени, добавляя эти новые элементы в свой медиаконвейер.
Состоялся выпуск Godot 4.6 — кроссплатформенного игрового движка с открытым исходным кодом. В Godot 4.6 по умолчанию используется физический код Jolt, который был экспериментальной опцией ещё в версии 4.4. Новая версия вносит существенные изменения в код для экранного пространства (SSR), что значительно улучшает качество отражений.
Еще одно фундаментальное изменение — это появление LibGodot, библиотеки, позволяющей встраивать движок в ваши собственные приложения. Нативная поддержка OpenXR 1.1 — еще одно дополнение для Godot, в Windows теперь используется Direct3D 12 в качестве рендеринга по умолчанию.
В редакторе Godot 4.6 появилась новая «современная» тема оформления в дополнение к классической. Также в Godot 4.6 улучшена документация и внесены другие усовершенствования для помощи разработчикам игр.
Уязвимость в пакете GNU InetUtils затронула все версии с 1.9.3 по 2.7 включительно.
Казалось бы, telnet давно ушел в прошлое вместе с модемами и dial-up, но именно он внезапно стал источником серьезной уязвимости. В GNU InetUtils обнаружен баг, который позволяет удаленно войти в систему под root без пароля, просто отправив специально сформированное значение переменной окружения.
Проблема затрагивает telnetd сервер, входящий в состав GNU InetUtils. Он передает программе login значение переменной USER, полученной от клиента, без какой-либо проверки. Этим можно воспользоваться, если клиент отправит строку «-f root» в качестве USER и подключится с параметром telnet -a или –login. В результате login воспринимает это как служебный флаг, пропускает стандартную процедуру аутентификации и автоматически авторизует пользователя как root.
Уязвимость получила идентификатор CVE-2026-24061 и оценку по CVSS: 9.8. Под угрозой находятся все версии GNU InetUtils, начиная с 1.9.3 и заканчивая 2.7 включительно. Баг присутствует в проекте почти 11 лет, с мая 2015 года, но был выявлен только сейчас. По сути, это классический пример уязвимости старой школы, где опасная строка без фильтрации передается системной утилите с привилегиями root.
DAXFS — это простая файловая система только для чтения, которая работает непосредственно с общей физической памятью через подсистему DAX (Direct Access). Она полностью обходит традиционный стек блочного ввода-вывода, чтение файлов осуществляется путем прямой загрузки в память без кэша страниц и копирования.
Особенности:
чтение файлов происходит как прямая загрузка из памяти, без дублирования в кэше;
поддержка памяти GPU, FPGA и CXL-устройств через DMA;
DAXFS изначально был разработан для многоядерных сред, где несколько экземпляров ядра совместно используют одну область физической памяти;
использует формат образа только для чтения, не требующий выделения памяти во время выполнения и сложного управления устройствами.
Предложение отправлено в Linux Kernel Mailing List. Код уже доступен на GitHub, но для включения в основное ядро Linux потребуются обсуждения и доработки.
Проект Node.js меняет программу вознаграждений за найденные ошибки после того, как разработчики столкнулись с потоком отчетов, созданных с помощью искусственного интеллекта, которые трудно оценить.
Теперь для отправки отчетов об уязвимостях HackerOne в проект Node.js требуется показатель Signal 1.0 или выше.
Signal — это метрика репутации в HackerOne, которая отражает качество прошлых отчетов исследователя. Высокий Signal указывает на историю валидных и значимых находок. Это требование помогает расставлять приоритеты в пользу отчетов от экспертов с доказанным опытом и снижает нагрузку по разбору некорректных заявок.
_______ ________ __
| |.-----.-----.-----.| | | |.----.| |_
| - || _ | -__| || | | || _|| _|
|_______|| __|_____|__|__||________||__| |____|
|__| W I R E L E S S F R E E D O M
-----------------------------------------------------
OpenWrt 24.10.5, r29087-d9c5716d1d
-----------------------------------------------------
19 декабря вышла OpenWrt 24.10.5 - операционная система на базе ядра Linux, предназначенная для встраиваемых устройств.
С днем рождения, ReactOS!
Сегодня исполняется 30 лет с момента первого коммита в дерево исходного кода ReactOS. Это был настолько долгий путь, что многие из наших сегодняшних контрибьюторов, включая меня, тогда еще даже не родились. Тем не менее, наша миссия — предоставить «ваши любимые приложения и драйверы Windows в среде с открытым исходным кодом, которой можно доверять» — продолжает объединять людей.
Мы продолжаем двигать ReactOS вперед. Cейчас ведется работа над несколькими внешними проектами. Среди этих захватывающих инициатив: новая среда сборки для разработчиков (RosBE), новый драйвер NTFS, новый драйвер ATA, поддержка многопроцессорности (SMP), поддержка систем UEFI класса 3, рандомизация адресного пространства (ASLR) для ядра и пользовательского режима, а также поддержка современных видеодрайверов на базе модели WDDM.
На сайте проекта есть интересная инфографика, которая раскроет в полной мере 30 лет разработки.
Chawan — это текстовый веб-браузер и пейджер для Unix-подобных систем, ориентированный на реализацию современных веб-стандартов. При этом Chawan стремится быть самодостаточным, простым в использовании и расширяемым.
Он включает в себя такие функции, как CSS, встроенные изображения в терминале (включение этой функции – по желанию; нужно отредактировать конфигурацию) и JavaScript, реализуемые через небольшой независимый браузерный движок.
PyTorch — популярный фреймворк для машинного обучения — обновился до версии 2.10.
Cреди основных новшеств можно отметить:
Поддержка AMD ROCm:
Введена поддержка сгруппированной GEMM.
Улучшена поддержка ROCm для Windows.
Добавлены новые модели GPU GFX1150/GFX1151 (серия AI 300) в списки поддержки hipblaslt.
Расширены функциональные возможности, такие как поддержка scaled_mm v2 и AOTriton scaled_dot_product_attention.
Поддержка GPU Intel:
Внедрены новые API Torch XPU для Intel.
Поддержка дополнительных операторов ATen.
Оптимизация производительности для GPU Intel.
Поддержка NVIDIA CUDA:
Расширенные возможности для написания шаблонных ядер.
Улучшена поддержка CUDA 13.
Поддержка Python 3.14 для torch.compile(), а также экспериментальная поддержка сборки Python 3.14 без глобальной блокировки интерпретатора (free-threaded).
Снижение накладных расходов на запуск ядер благодаря горизонтальному слиянию комбо-ядер в Torch Inductor.
Проект curl прекратил программу вознаграждения за найденные ошибки после того, как разработчики столкнулись с потоком отчетов, созданных с помощью искусственного интеллекта, которые трудно оценить.
На прошлой неделе Даниэль Стенберг, руководитель проекта, разместил на GitHub запись, сообщающую о завершении программы к концу января 2026 года. Он ранее выражал недовольство по поводу баг-репортов от ИИ в начале 2024 года и подумал о закрытии программы уже в середине 2025 года. Хотя он признал, что ИИ может помочь в поиске ошибок, основной проблемой стали многочисленные «бесполезные» отчеты.
В своем сообщении Стенберг отметил, что прекращение программы вознаграждения должно уменьшить поток некачественных отчетов и облегчить работу команды безопасности curl.
Стенберг также выразил надежду, что разработчики будут продолжать отправлять настоящие отчеты о безопасности, даже если финансового вознаграждения не будет.
Алан Поуп (Alan Pope), бывший менеджер по инжинирингу и взаимодействию с сообществом в компании Canonical, обратил внимание на новую волну атак на пользователей каталога приложений Snap Store. Вместо регистрации новых учётных записей, злоумышленники начали выкупать просроченные домены, фигурирующие в email зарегистрированных разработчиков snap-пакетов. После перекупки домена злоумышленники перенаправляют почтовый трафик на свой сервер и получив контроль над email, инициируют процесс восстановления забытого пароля для доступа к учётной записи.
