Вышли версии nginx 1.15.6 и 1.14.1, в которых исправлены три уязвимости:
CVE-2018-16843 и CVE-2018-16844 — чрезмерное потребление памяти и CPU в модуле ngx_http_v2_module, реализующем поддержку протокола HTTP/2.
CVE-2018-16845 — отправка клиенту содержимого памяти рабочего процесса при использовании модуля ngx_http_mp4_module
Для эксплуатации первых двух уязвимостей достаточно наличия параметра http2 директивы listen. Эксплуатация CVE-2018-16845 требует директиву mp4 и специально подготовленного mp4-файла.
Также в nginx 1.15.6 исправлен баг, из-за которого nginx, собранный с OpenSSL 1.1.0, но работающий с OpenSSL 1.1.1, всегда разрешал использование протокола TLS 1.3. И добавлен ряд директив, определяющих поведение TCP keepalive (использование параметра сокета SO_KEEPALIVE) в модулях http бэкендов proxy, fastcgi, grpc, memcached/ scgi? uwsgi
Вышел nginx 1.15.4, минорное обновление текущей mainline-ветки 1.15.*
Список изменений
Добавление: теперь директиву ssl_early_data можно использовать с OpenSSL.
Исправление: в модуле ngx_http_uwsgi_module. Спасибо Chris Caputo. (прим. Что именно исправлено, не уточняется).
Исправление: соединения к некоторым gRPC-бэкендам могли не кэшироваться при использовании директивы keepalive.
Исправление: при использовании директивы error_page для перенаправления ошибок, возникающих на ранних этапах обработки запроса, в частности ошибок с кодом 400, могла происходить утечка сокетов.
Исправление: директива return при возврате ошибок не изменяла код ответа, если запрос был перенаправлен с помощью директивы error_page.
Исправление: стандартные сообщения об ошибках и ответы модуля ngx_http_autoindex_module содержали атрибут bgcolor, что могло приводить к их некорректному отображению при использовании пользовательских настроек цветов в браузерах. Спасибо Nova DasSarma.
Изменение: уровень логгирования ошибок SSL «no suitable key share» и «no suitable signature algorithm» понижен с уровня crit до info.
Вышел nginx 1.15.3, минорное обновление текущей mainline-ветки 1.15.*
Список изменений
Добавление: теперь TLSv1.3 можно использовать с BoringSSL.
Добавление: директива ssl_early_data, сейчас доступна при использовании BoringSSL.
Добавление: директивы keepalive_timeout и keepalive_requests в блоке upstream.
Исправление: модуль ngx_http_dav_module при копировании файла поверх существующего файла с помощью метода COPY не обнулял целевой файл.
Исправление: модуль ngx_http_dav_module при перемещении файла между файловыми системами с помощью метода MOVE устанавливал нулевые права доступа на результирующий файл и не сохранял время изменения файла.
Исправление: модуль ngx_http_dav_module при копировании файла с помощью метода COPY для результирующего файла использовал права доступа по умолчанию.
Изменение: некоторые клиенты могли не работать при использовании HTTP/2; ошибка появилась в 1.13.5.
Состоялся экспериментальный выпуск открытой реализации Win32 API - Wine 3.11. С момента выпуска версии 3.10 было закрыто 12 отчётов об ошибках и внесено 180 изменений.
Наиболее важные изменения: * Расширена поддержка отладки процессов Wow64; * Добавлена возможность использования хэшей sha256/sha384 в цифровых подписях ECDSA; * Улучшено информирование об использовании в CPU режима HyperThreading; * Улучшена реализация штатного диалога TaskDialog; * Закрыты отчёты об ошибках, связанные с работой игр и приложений: Mafia II, DDS Converter, Chuckie Egg: The Next Batch v1.2, Microsoft Office, Mod Organizer 2.1.2.
Вышел nginx 1.15.0 (это первая версия новой mainline-ветки 1.15).
Список изменений
Изменение: директива «ssl» теперь считается устаревшей; вместо неё следует использовать параметр ssl директивы listen.
Изменение: теперь при использовании директивы listen с параметром ssl nginx определяет отсутствие SSL-сертификатов при тестировании конфигурации.
Добавление: теперь модуль stream умеет обрабатывать несколько входящих UDP-пакетов от клиента в рамках одной сессии.
Исправление: в директиве proxy_cache_valid можно было указать некорректный код ответа.
Исправление: nginx не собирался gcc 8.1.
Исправление: логгирование в syslog останавливалось при изменении локального IP-адреса.
Исправление: nginx не собирался компилятором clang, если был установлен CUDA SDK; ошибка появилась в 1.13.8.
Исправление: при использовании unix domain listen-сокетов на FreeBSD в процессе обновления исполняемого файла в логе могли появляться сообщения «getsockopt(TCP_FASTOPEN) ... failed».
Исправление: nginx не собирался на Fedora 28.
Исправлено поведение при использовании директивы limit_req (заданная скорость обработки запросов могла не соблюдаться).
Исправлена обработка адресов клиентов при использовании unix domain listen-сокетов для работы с датаграммами на Linux.
Посоветуйте аудиоплеер под ведроид. Хочу: Поддержку тега album artist (большинство плееров использует штатную медиатеку, она не умеет в album artist и ID3v2.4); Удобную работу с плейлистами; Швабодку (очень желательно чтобы плеер был в f-droid)
Для тех кто не в теме: AV1 (не путать с AVI) это видеокодек разрабатываемый организацией The Alliance for Open Media (лень перепечатывать список участников, да простят меня Ъ). Предполагается как убийца H.265, по крайней мере в вебе. Жмёт круче H.265, royalty-free, в разработке участвуют жирные поставщики онлайн-видео и разработчики браузеров. Декодер есть в ночных сборках FireFox, можно посмотреть демо.
Ключевые недостатки на данный момент: * Пока не поддерживается примерно нигде, спеки только-только заморозили; * Вроде как единственный на данный момент енкодер даже близко не оптимизирован, тормозит как последняя сволочь; * Хардварной акселерации нет. Одна бабка сказала что от заморозки спек до первых потребительских устройств, умеющих в аппаратное декодирование сабжа, пройдёт года два
Мой верный N900 медленно, но неотвратимо, дохнет. Начинаю задумываться о возможности планирования его замены на какой-нибудь android. Но гуглозонды и дополнительные дырявые свистоперделки я не хочу. Видимо надо брать телефон с прицелом на перепрошивку чем-то из чего выпилена хотя-бычасть зондов и куда не впилино дополнительных свистоперделок. Посоветуйте телефон и прошивку. Игори не нужны, а современный веб может тормозить вообще на любом железе, других ресурсоёмких задач вроде не предвидится, так-что производительность не критична. А вот время работы от аккумулятора хотелось-бы подольше, как и время жизни (не люблю технику менять). Ах да, карта памяти нужна (аудиотека большая). С бюджетом пока не определился. Понятно что чем дешевле тем лучше. Непонятно стоит-ли рассматривать дешёвых китайцев (что у них с поддержкой сторонними прошивками, особенно в отдалённой перспективе), или сразу закладываться на жирные бренды?
Как можно сверстать такую раскладку так, что-бы существовал элемент для которого A и B являются потомками, а C не является? На ум приходит только float или вообще абсолютное позиционирование. Но ведь есть всякие модные flex-ы и grid-ы. Смысл этого непотребства в том что-бы получить требуемую картинку сохранив структуру HTML соответствующей структуре данных. Вопрос скорее теоретический, «нужно» это в одном личном проекте который я благополучно динамлю уже года два по массе причин. Так-что поддержка всякими там IE не важна
…тысяч 10, а лучше 50. Маршруты пушатся минут эдак десять. При этом и сервер и клиент толком не нагружены. Проверял с клиентом на linux и windows. По TCP и UDP При этом с antizapret.prostovpn.org аналогичное количество маршрутов приходит гораздо быстрее. Подозреваю что дело в каком-нибудь волшебном параметре в конфиге сервера, похоже что сервер пушит маршруты небольшими пачками с некоторым интервалом
Ъ tl;dr: Нботающий в ЦЕРНе Русский Физик™ Александр Зюганов, то-ли пьяный то-ли упоротый, заставил техников разогнать БАК на полную мощность что-бы «открыть врата в АД». Это привело к «локальному сейсмическому толчоку магнитудой до 3.2 по шкале Рихтера и разрядам высвободившейся в пространство энергии, сопоставимым с ударом огромной молнии», а так-же незначительному повреждению оборудования БАКа
Полный копипаст:
Российский физик Александр Зюганов, один из ведущих ученых ЦЕРН, только что был арестован службой безопасности ЦЕРН – сразу после того, как под его руководством на Большом адронном коллайдере были проведены «высоко опасные операции».
Как сообщается, Александр Зюганов обвиняется в «нарушении правил безопасности ЦЕРН». Находясь в состоянии алкогольного или лекарственного опьянения и пользуясь своими административными полномочиями, он, избегая потенциальных предупреждающих знаков, призывал техников максимально разогнать гигантский ускоритель частиц.
Эти рискованные и опасные маневры взывали локальный сейсмический толчок магнитудой до 3.2 по шкале Рихтера и разряды высвободившейся в пространство энергии, сопоставимые с ударом огромной молнии.
Как сообщается, Большому адронному коллайдеру не был нанесен заметный ущерб за исключением выхода из строя нескольких больших предохранительных конденсаторов.
История безрассудства
Российский физик, известный своим взрывным и смелым характером, присоединился к команде международных ученых почти 5 лет назад и самого начала был был откровенным критиком ЦЕРН.
«Зюганов – человек крайностей», – рассказывает журналистам его коллега, румынский физик Юрий Малания, – «Возможно что он один из 100 самых выдающихся умов в мире, но его характер подобен характеру извергающегося вулкана. Он хочет, чтобы все шло быстрее, поскольку по его мнению, мы десятилетиями отстаем в науке и уже должны были колонизировать Марс и Луну. Ещё он хочет оставить в науке свой неизгладимый свой след, подтолкнув пределы наших знаний к настоящему 21-му веку».
В своем интервью одному из российских научных журналов в 2013-м году, это российский физик, известный своей прямотой и откровенностью, охарактеризовал официальный коллектив CERN как кучку слабаков-недоумков, неспособных понять ни его, Зюганова гениальность, ни важность технологий, над которой в настоящее время работают.
Создание Черной дыры
Скандальный физик так же известен своей одержимостью темной материей и черными дырами.
«Его давней мечтой было воссоздать черную дыру в ускорителе», – пишет французский научный журналист Жанна Легран, – «Он всегда был активным сторонником повышения потенциала коллайдера и требовал разгонять частицы до скоростей в 1000 раз быстрее, чем на данный момент, хотя большинство ученых такие беспрецедентные скорости определено пугают.
К слову, не далее как в прошлом году сам глава Католической церкви Римский Папа Франциск стал на сторону сторонников связанной с CERN истерии и предупредил, что эксперименты ученых могут «иметь катастрофические последствия для человечества» и даже могут «распахнуть Врата Ада».
В общем в этой истории о моему все идеально: Пьяный русский физик Зюганов, БАК и портал в АД. Не хватает только слаки и BFG для отстрела кибердемонов
В тред призываются официальные послы ЦЕРНа на ЛОРе: Evgueni и morse
Состоялся релиз LibreOffice 5.4. В выпуске присутствуют новые функции для каждого модуля и дополнительные улучшения совместимости c Microsoft Office. Доступны сборки для Windows, macOS, GNU/Linux, а также для облачной установки.
какие есть варианты кэширования btrfs на ssd? Судя по моему гуглингу никаких собственных механизмов на этот случай у него нет, но может я что-то упустил. Какие вообще есть варианты кэширования кроме bcache(fs), dm-cache и lvm-cache? Каковы их плюсы, минусы, подводные камни?
Пока смотрю в сторону bcache. Правильно я понимаю что для того что-бы с него грузить систему достаточно вынести /boot на обычный раздел? Есть у bcache какие-то способы посмотреть чем именно занят кэш и почему?
P.S. я в курсе что btrfs имеет склонность неожиданно превращаться в тыкву, не нужно меня предупреждать. Бекапы будут
В продолжение предыдущей темы. В новый комп нужны новые диски. Диски нужны объёмные (2 Тб), тихие, надёжные, не слишком тормознутые и дешёвые (бюджет 15 круб). Но так не бывает, поэтому надо что-то придумывать. Я придумал такой вариант: два харда по 2 Тб в RAID1 + какой-нибудь не слишком тормозной, хлипкий и мелкий SSD. RAID1 даст надёжность (бекапы это хорошо, но бекапить все 2 Тб не получится, а терять данные я очень не люблю), если активные набор данные будет влезать в SSD (что вполне вероятно) то и скорость будет годной и харды лишний раз не будут дёргаться. Вроде нормальный вариант. Остаётся только выбрать SSD и тихие харды. Я пока остановился на этом: Intel 600p SSDPEKKW128G7X1 (128ГБ, M.2) 2 x WD Blue WD20EZRZ (2Тб, SATA III, 5400, 64МБ)
Intel 600p выбран просто потому-что это самый дешёвый SSD с M2 из доступных в моём любимом магазине, и он вроде как минимум не полный калл. SATA SSD, как я понял, бывают какими угодно в плане надёжности и скорости, вплоть до просто-флешка-с-sata. WD Blue Выбрал за низкую скорость вращения (меньше шум, а проблемы со скоростью доступа смягчит SSD-кэш) и низкую цену. Но напрягают истории с быстрым выходом из строя WD Green в Linux из-за отложенной записи (Blue сейчас это те-же Green, объединили линейки).
Может посоветуете чего получше? Приоритеты для хардов: тишина, надёжность, цена. Приоритеты SSD: скорость, цена, надёжность (сохранность данных не важна, важна сохранность устройства). Бюджет — 15 килорублей.
P.S. создаётся впечатление что в каждом подобном треде появляется SSD-фан который начинает уверять всех что харды не нужны, и надо всё на SSD переводить, а если SSD не подходят под ваши потребности то у вас просто неправильные потребности. Я вообще согласен что SSD это православно, но мне действительно нужно 2Тб места, так-что пока за 15 круб нельзя купить SSD на 2Тб ssd-only вариант мне не подходит. Увы мне. И какой-нибудь наркоманский вариант вроде яндекс.диска для хранения того что не влезло на SSD это тоже не вариант.
Мой старый боевой товарищ стал уже совсем старым, чувствую долго он не протянет. Начал задумываться об апгрейде (путём замены всех потрохов). Но я совершенно не в теме современного железа (в последний раз интересовался железом лет восемь назад), так-что прошу совета. Нужны: Проц; Память. 16гб, потом когда-нибудь добавлю до 32; Материнка. 4 слота памяти (что-бы можно было в будущем легко удвоить память), возможность установить быстрый SSD (так понимаю сейчас в основном M2 используется).
БП останется старый (он и так недавно менялся), диски — отдельный разговор для отдельной темы.
Комп нужен тихий. Работать на нём будет только онтопик, так-что отсутствие проблем с совместимостью — критично (хотелось-бы минимизировать пляски с дровами). Игори в число приоритетных задач не входят, хотя возможность поиграть в относительно старые игры будет плюсом, так-что думаю ограничиться интегрированной видюхой (опять-же шума будет меньше, и можно не обращать внимание на холивары nvidia vs amd :). Потом может воткну что-то дискретное (например ради третьего Ведьмака, судя по отзывам он уж очень хорош).
В основном смотрю в сторону Intel, потому-что их видюхи кажется неплохо поддерживаются в онтопике, к тому-же в AMDшном железе я разбираюсь ещё меньше чем в Интеловском.
TL;DR: Провайдер (выделенных серверов) online.net плохой, не пользуйтесь им.
Или второй акт марлезонского балета. Вчера, в 18 часов по московскому времени, без объявления войны перестал отвечать сервер который я арендую у провайдера online.net. Полез в ЛК провайдера, там было сказано что сервер заблокирован за outgoing flood, и предлагалось связаться с сапортом для того что-бы разблокировать сервер бесплатно или за 19 евро. Связался с сапортом, запросил подробности и любой доступ к серверу (как иначе решать потенциальные проблемы с ним). Через пять минут сапорт ответил что сервер заблокирован по причине DDOS from IP IP_сервера (attack ID 302593): protocols : tcp, targets: 213.230.76.234/32, sports: www-http, dports: 61847, lo и спросил могу-ли я это объяснить. Я ответил что никого не DDoSил и даже не DoSил, мамая клянус. Предположил что сервер мог быть взломан (не то что-бы были какие-то явные предпосылки, но ведт разумное предположение). Так-же я напомнил что без доступа к серверу я могу только гадать, и задал уточняющие вопросы о предполагаемой атаке. Через 36 минут ответа не было (и сообщение значилось как не прочитанное), и я поинтересовался живы-ли они там. Ещё через 21 минуту у меня попросили получше объяснить «последний пункт». Ответил в духе «у меня тут продакшен в час пик лежит, я не спал сутки, а вы мне мозки конопатите и сопли жуёте, так-что я немного нервный». Впрочем ещё через 10 минут выяснилось что «последний пункт» это про мои попытки получить хоть какие-то подробности о предполагаемой атаке. «К сожалению мы не можем сказать больше» потому-что вы не платите нам по 35 евро в месяц за расширенную поддержку (осуществляемую видимо теми-же умственно отсталыми личностями). И мне предложили решать свою проблему самостоятельно для чего разблокировали сервер и загрузили его системой для восстановления (ну наконец-то, хотя-бы половина того о чём я просил полтора часа назад). Но система для восстановлениябыла недоступна. Ну вот не пинжилась и всё тут. Что-то там у них разладилось наверное. Через два с половиной часа они ответили что исправили эту проблему, система для восстановления стала доступна. После 50 минут колупаний в системе (и борьбы со сном) я не нашёл ничего более подозрительного чем куча запросов к сайту с того самого IP который я, предположительно, атаковал. Запросы приходились на один большой файл webm, шли они всю вторую половину дня, особенно много их было перед блокировкой. Учитывая что «атака» шла с 80 порта на какой-то-рандомный-порт-больше-1024 я решил что наиболее вероятная гипотеза это не взлом, а ложно-положительный детект. Подробно изложил сапорту спои соображения и ребутнул сервер в нормальный режим. И на всякий случай пока забанил «атакованную» /24 подсеть на тех сайтах (сайты вспомогательные, на них дополнительный функционал сервиса, так-что это не слишком жестоко). Итого даунтайм пять часов. Если-бы сапорт поменьше жевал сопли и сразу дал доступ к серверу (о чём я просил их в первом же сообщении) то даунтайм мог-бы сократиться до часа. А если-бы не видимо-ложно-положительное срабатывание их детектилки DDoSов то всей этой истории вовсе не было-бы. Провайдер на ровном месте создал мне проблему, и героически помогал её решить пять часов. Ай маладца!
И напоследок вопрос: как-бы покачественнее нагадить этим замечательным людям в душу и карму, что-бы им неповадно было? Есть ведь какие-то сайты где собирают отзывы о провайдерах, для VPS провайдеров точно есть, а вот про дэдики не попадалось.
Debian stable, подключен jessie-backports. После обновления (и автоматической пересборки) DKMS модуля ZFS этот модуль перестал загружаться . modprobe zfs выдаёт modprobe: ERROR: could not insert 'zfs': Unknown symbol in module, or unknown parameter (see dmesg). В dmesg zfs: Unknown symbol setattr_prepare (err 0)
Правильно я понимаю что oAuth2 стандартизирует только получение токена, а дальнейшая работа с сервисом (с использованием этого токена) не стандартизирована никак? Или просто не все провайдеры реализуют эту часть? Или я слепой? Т.е. выходит для реализации стандартного «войти через социалочки» нужно под каждую социалочку писать отдельный код для получения как минимум имени пользователя и аватара? Нельзя реализовать oAuth-клиент в общем виде и добавлять поддержку новых провайдеров просто указывая для них URLы и clientSecret-ы? Но это же… ненужно.
