Разработчик Debian и исследователь в сфере информационной безопасности Andres Freund сообщает об обнаружении вероятного бэкдора в исходном коде xz версий 5.6.0 и 5.6.1.

Бэкдор представляет собой строчку в одном из m4-скриптов, которая дописывает обфусцированный код в конец скрипта configure. Этот код затем модифицирует один из сгенерированных Makefile проекта, что в конечном итоге приводит к попаданию вредоносной нагрузки (замаскированной под тестовый архив bad-3-corrupt_lzma2.xz) непосредственно в исполняемый файл библиотеки liblzma.

Особенность инцидента состоит в том, что вредоносные скрипты сборки, служащие «триггером» для бэкдора, содержатся только в распространяемых tar-архивах с исходным кодом и не присутствуют в git-репозитории проекта.

Сообщается, что человек, от чьего имени вредоносный код был добавлен в репозиторий проекта, либо непосредственно причастен к произошедшему, либо стал жертвой серьёзной компрометации его личных учётных записей (но исследователь склоняется к первому варианту, т. к. этот человек лично участвовал в нескольких обсуждениях, связанных с вредоносными изменениями).

По ссылке исследователь отмечает, что в конечном итоге целью бэкдора, по-видимому, является инъекция кода в процесс sshd и подмена кода проверки RSA-ключей, и приводит несколько способов косвенно проверить, исполняется ли вредоносный код на вашей системе в данный момент.

Рекомендации по безопасности были выпущены проектами Arch Linux, Debian, Red Hat и openSUSE.

Разработчики Arch Linux отдельно отмечают, что хотя заражённые версии xz и попали в репозитории дистрибутива, дистрибутив остаётся в относительной «безопасности», т. к. sshd в Arch не линкуется с liblzma.

Проект openSUSE отмечает, что ввиду запутанности кода бэкдора и предполагаемого механизма его эксплуатации сложно установить «сработал» ли он хотя бы раз на данной машине, и рекомендует полную переустановку ОС с ротацией всех релевантных ключей на всех машинах, на которых хотя бы раз оказывались заражённые версии xz.

>>> Подробности (lwn.net)

Как-то в марте прошлого года я проводил генеральную уборку и нашёл у себя кучу старых сломанных одноядерных ноутбуков со сгоревшими материнскими платами. Там же были платы от разбитых телефонов и планшетов. Выкидывать было жалко, а на досках объявлений такое даже за 100 рублей никто бы не купил. Но я присмотрел среди этих плат несколько на SoC Allwinner: первый на A13, второй на A33. Изначально я думал из них сделать сервер на Linux, однако когда я зашёл на вики, глаз зацепило слово LVDS. Я сразу подумал: а что если взять один из этих мёртвых ноутбуков, снять сгоревшую мать и заменить её платой от полностью разбитого планшета? Так и родилась идея этого самодельного ноутбука.

( читать дальше... )

Прикольно бы же было любую софтину в код обратно развернуть.

Раньше сидел на FVWM и про это есть две темы:
2008 год: FVWM для на ноуте
2020 год: Минимализм на FVWM прошедший через года.

В прошлой теме умные люди насоветовали всякого, после чего решил попробовать i3, да на нём и остался. Всем устраивает, даже в скриптоту с API через сокет лезть не пришлось, обошёлся одним баш скриптом для работы с несколькими мониторами.

( читать дальше... )

Всем добра!

Тут будут некоторые рассуждения об особенностях применения нейросетей в машинном обучении. Просьба указать на неточности.

1. Альтернативы. Алгоритмы с обучением в машинном зрении применялись давно. В основном использовался «метод опорных векторов» (SVM) и «К ближайших соседей» (KNN, где NN не имеет никакого отношения к нейросетям). По скорости обучения и требовательности к ресурсам они были намного лучше свёрточных нейросетей из популярных фрейворков. По точности были где-то наравне с нейросетями, а иногда и лучше. Основной их недостаток — необходимость предобработки изображений, выделение признаков «ручками».

Правка. Критерием выбора нейросети может быть Inductive bias (априорные знания о природе данных, которые человек некоторым образом вкладывает в модель машинного обучения), а также размер датасета и число категорий сортировки. При малом датасете и числе категорий классические решения могут дать лучшую точность. При большом датасете нейросети обычно выигрывают.

2. Эпохи. При обучении нейросетей используются две выборки с фото — тренировочная и тестовая. На тренировочной сеть обучается, а тестовая используется для оценки полученной точности. В каждой эпохе мы подгоняем коэффициенты так, чтобы результаты сортировки тестовой выборки становились лучше. Соответственно, на определённом этапе мы получаем так называемое «переобучение», когда мы слишком сильно подогнали решение под тестовую выборку. Номер эпохи, в которой недообучение переходит в переобучение сказать трудно. Поэтому если датасаентист берёт точность сортировки в, например, сотой эпохе и говорит, что это точность у полученной модели, то он лукавит или заблуждается. Данная точность может быть результатом переобучения. Вопрос в том, может ли быть переобучение уже во второй эпохе.

Правка: влияние тестовой выборки некорректно называть переобучением. Более точно будет говорить об «утечке данных из валидационной части».

3. Аугментация данных. Для улучшения точности сортировки производят деформации изображений датасета. Например, мы можем повернуть или растянуть изображения. При удачной аугментации будет прирост точности. С другой стороны, работоспособность такого приёма может говорить о несовершенстве нейросетей.

Правка: аугментация помогает внедрить inductive bias в нейросеть.

4. Кропы. Обычно для обучения нейросетей используются квадратные изображения заданного размера (кропы), в котором объект размещается оптимально. Если объект вылезает из кропа или занимает слишком мало места, то точность будет понижаться. Вторая проблема — выделение кропа из фона. При использовании альтернативных методов обучения мы можем не использовать квадратных кроп с жёстким размером. Мы можем даже использовать непрямоугольные изображения, если удалим фон. Нейросеть же «ест» объекты прямо с фоном из-за чего могут быть внесены искажения.

Правка: для выделения кропа датасаентистам может помочь YOLO.

5. Распознавание в 3Д. Если мы сделали снимки объекта с разных сторон, то при использовании своего алгоритма мы можем воссоздать 3Д-модель (облако точек) и работать с ней. При использовании нейросетей из фреймворков мы можем оценить фото каждого ракурса отдельно как 2Д, а потом как-то усреднить. Очевидно, что такой подход не идеален. При использовании же трёхмерного облака точек нейросети будут обучаться вечно.

31 января, после полутора лет непрерывной разработки, состоялся выпуск 1.0 лёгкой и портативной кроссплатформенной библиотеки векторной графики ThorVG, предназначенной для визуализации векторных сцен и анимаций. Поддерживается загрузка файлов в форматах Lottie и SVG Tiny 1.2 (список реализованных возможностей SVG Tiny в Wiki проекта).

Библиотекой предоставляются удобные API для импорта, создания и отображения векторной графики, а также для её экспорта в различные графические форматы, что делает её универсальной для использования в различных программных платформах и приложениях для визуализации графического контента. Также поставляются консольные утилиты lottie2gif и svg2png.

ThorVG используется для рендеринга векторной графики в таких проектах, как Tizen OS, Godot Engine, LVGL и плеерах dotLottie.

( читать дальше... )

>>> Подробности на thorvg.org (thorvg.org)

Niels Möller

Я рад объявить о новом крупном релизе GNU Nettle, низкоуровневой библиотеки криптографических функций. Этот релиз включает в себя несколько изменений API, некоторые из которых довольно существенны, а также удаление устаревших функций. Есть одна заметная новая функция: поддержка SLH-DSA подписей (алгоритм цифровой подписи на основе хеширования без сохранения состояния).

Это новый крупный релиз. Он включает в себя поддержку SLH-DSA. Внесены несколько изменений в API Nettle, а также удалены устаревшие функции. Кроме того, улучшен ABI, в результате чего API остался практически неизменным, в частности, уменьшены контекстные структуры для ряда алгоритмов...

( читать дальше... )

>>> Подробности (gnu.org)

Фонд X.Org объявил, что в этом году Конференция разработчиков X.Org пройдёт в Торонто, Канада, и организатором ее выступит Arm.

Mark Filion

Привет!
Мы рады сообщить, что XDC 2026 состоится 28-30 сентября в Торонто, Канада — отметьте это в своих календарях!
Конференция будет проходить в Daniels Spectrum, оживлённом общественном культурном центре в самом сердце района Риджент–Парк в Торонто, всего в нескольких минутах от площади Йонг-Дандас.
Выражаем искреннюю благодарность Arm за организацию конференции в этом году.
Регистрация и приём заявок скоро начнутся, а до тех пор обязательно следите за нашими новостями, чтобы быть в курсе последних событий:
https://floss.social/@XOrgDevConf

>>> phoronix (phoronix.com)

Использую jeos. Устанавливаю новые ядра apt-get install - старые удаляю remove-old-kernels.

# remove-old-kernels
Currently booted kernel package: kernel-image-6.18-6.18.8-alt1
Previous kernel with uptime 1 days: kernel-image-6.12-6.12.57-alt1 (backup)
Warning: Package for the backup kernel not found.
Keeping this kernel (with the reason why):
   kernel-image-6.18-6.18.8-alt1.x86_64 (latest for 6.18, currently booted)

Nothing to remove.

Что за (backup) ядра kernel-image-6.12-6.12.57-alt1 которого нет ни в системе ни в репозитории? В jeos установленой на другом компьютере такого не наблюдаю. Как это победить?

Допустим есть файл как узнать сколько раз его читали и сам факт чтения. Например его прочитали и мне приходит уведомление на почту или там на рабочем столе в уведомлениях, читать могут антивирусные приложения, я и некий кулхацкер как узнать что читал кулхацкер.

Перемещено hobbit из general

В свободное время работаю над небольшим проектом FSM (github.com) (последний релиз). Это программа для отображения основных сведений о компьютере и установленной системе, независимая от конкретного DE. Информация по каждому компоненту ПК/ОС разделена на отдельные страницы. Вообще, как-то вскользь упоминал о нём здесь, но тогда всё было прям сыро и не готово.

(скриншот 1; скриншот 2; скриншот 3)

Отображает следующую информацию:

• Процессор: название и модель, флаги, список уязвимостей, частоты;
• Использование памяти и подкачки;
• Список смонтированных разделов и файловых систем tmpfs и sysfs;
• Некоторые таблицы DMI:
  • BIOS (Type 0);
  • Baseboard (Type 2);
  • Chassis (Type 3);
  • Processor (Type 4);
  • в будущем планирую добавить к отображению большее число таблиц
• Аккумулятор ноутбука (если подключен);
• Данные о подключенных мониторах: EDID, список поддерживаемых разрешений;
• Список пользователей и групп;
• Инфа об установленном дистрибутиве Linux;
• Информация о ядре Linux;
• Список загруженных модулей ядра;
• Список установленных deb/rpm-пакетов;
• Список сервисов systemd
• Имя хоста;
• Средняя загрузка ПК, время работы ПК;
• Локаль, с которой запущена программа;
• Рабочее окружение;
• Ну и графики использования ОЗУ и ЦП, куда ж без них.

Особых планов на будущее нет, так как программой занимаюсь по большей части только для себя и в свободное время. Хотелось бы добавить сбор и отображение сведений о видео и звуке, подключенных PCI- и USB-устройствах, а также сортировку и поиск пользователей, пакетов и сервисов systemd.

Не претендую на правильность и корректность реализации, плюс понимаю, что код, особенно фронтенда, - с душком, от которого постепенно стараюсь избавиться (ровно из-за этого и не написал в раздел «Новости», так как пока не считаю эту программу зрелой для этого). Если кому-то она понадобится – буду только рад; критика, баг-репорты и новые идеи только приветствуются; по сути пишу только ради фидбека по поводу нужности всего этого дела и желаемого функционала.

Список изменений v0.5.1

• Отказался от iced_aksel в пользу plotters для построения графиков. Новый движок значительно проще в использовании и куда демократичнее грузит проц;
• Добавил поддержку использования gksudo для аутентификации, если не доступен polkit;
• Небольшой рефакторинг кода.

Текущие баги:

• На некоторых системах некорректно работает с polkit;
• На некоторых системах не может определить частоты ЦП.

Софтина написана на Rust, для GUI использую iced. Собраны deb-пакеты для архитектур x86_64, i686, aarch64 (работа тестировалась только на x86_64). Распространяется под лицензией GNU GPLv3.

• GitHub-репозиторий
• Что запланировано на следующую (v0.6.0) версию

Chawan — это текстовый веб-браузер и пейджер для Unix-подобных систем, ориентированный на реализацию современных веб-стандартов. При этом Chawan стремится быть самодостаточным, простым в использовании и расширяемым.

Он включает в себя такие функции, как CSS, встроенные изображения в терминале (включение этой функции – по желанию; нужно отредактировать конфигурацию) и JavaScript, реализуемые через небольшой независимый браузерный движок.

( читать дальше... )

>>> Chawan 0.3.3 (chawan.net)

Всем здравствуйте. Кто-нибудь занимался подобными вещами? Вот, например, есть у меня Lenovo G580 (Compal LA-7912p) c 15,6" матрицей LP156WH4-TLN2 (согласно EDID). Это одноканальная LVDS-матрица разрешением 1366х768 px:

$ cat LVDS-1_edid.bin | parse-edid 
Checksum Correct

Section "Monitor"
	Identifier ""
	ModelName ""
	VendorName "LGD"
	# Monitor Manufactured week 0 of 2011
	# EDID version 1.3
	# Digital Display
	DisplaySize 340 190
	Gamma 2.20
	Option "DPMS" "false"
	Modeline 	"Mode 0" -hsync -vsync 
EndSection
$  xrandr 
Screen 0: minimum 8 x 8, current 3286 x 1080, maximum 32767 x 32767
LVDS1 connected primary 1366x768+0+0 (normal left inverted right x axis y axis) 340mm x 190mm
   1366x768      60.00*+
   1280x720      59.74  
   1024x768      60.00  
   1024x576      60.00    59.90    59.82  
   960x540       60.00    59.63    59.82  
   800x600       60.32    56.25  
   864x486       60.00    59.92    59.57  
   640x480       59.94  
   720x405       59.51    60.00    58.99  
   680x384       60.00  
   640x360       59.84    59.32    60.00  
DP1 disconnected (normal left inverted right x axis y axis)
HDMI1 connected 1920x1080+1366+0 (normal left inverted right x axis y axis) 600mm x 330mm
   1920x1080     60.00*+  74.97    50.00    59.94  
   1680x1050     59.88  
   1280x1024     75.02    60.02  
   1440x900      59.90  
   1280x800      59.91  
   1280x720      60.00    50.00    59.94  
   1024x768      75.03    70.07    60.00  
   800x600       72.19    75.00    60.32    56.25  
   720x576       50.00  
   720x480       60.00    59.94  
   640x480       75.00    72.81    66.67    60.00    59.94  
   720x400       70.08  
VGA1 disconnected (normal left inverted right x axis y axis)
VIRTUAL1 disconnected (normal left inverted right x axis y axis)

К сожалению, ноутбук не имеет интерфейса eDP (novoselovvlad.ru), это бы сильно упростило задачу. Вопрос: существует ли одноканальная LVDS матрица с разрешением выше 1336х768?

Ответ: существует целый каталог матриц, выбираешь понравившуюся и раздобываешь :) Это всё ясно-понятно, но

Кто-нибудь занимался подобными вещами?

Поделитесь историями успехов-неуспехов.

:)

МЦСТ выпустила эмулятор QEMU для архитектуры E2K. Теперь программы для Эльбруса можно запускать на компьютерах с архитектурой x86‑64. Это откроет платформу для профессионалов, исследователей и энтузиастов, а также упростит разработчикам сборку и тестирование ПО.

Эмулятор qemu-e2k обеспечивает возможность, используя операционную систему семейства Linux запускать прикладные программы для операционных систем семейства Linux в машинных кодах Эльбрус (e2k) на компьютере архитектуры x86-64.

( читать дальше... )

>>> Исходные тексты QEMU от АО "МЦСТ" (openelbrus.ru)

Команда разработчиков FreeBSD рада объявить о выпуске FreeBSD 15.0-RELEASE. Это первый релиз ветки stable/15.

( читать дальше... )

>>> Подробности (freebsd.org)

У легендарного журнала «Квант» открылся новый сайт – там и свежий номер, и архив старых, созданных под руководством Андрея Колмогорова и других крупнейших математиков.

Сайт позволяет искать по автоматически распознанным изображениям представленных номеров журнала. Попробуйте на странице «Архив номеров» ввести интересующее вас словосочетание. В качестве примера: кубик Рубика. По клику на номер с жёлтым фоном открывается страница номера с подсвеченными найденными словами. А если вы школьником отправляли решения в «Задачник „Кванта“», то можете попробовать найти свою фамилию в списках читателей, приславших решения.

( читать дальше... )

>>> Журнал «Квант» (kvant.digital)

Состоялся выпуск каталогизатора домашней библиотеки MyLibrary 4.2.1. Код программы написан на языке программирования С++ и доступен (GitHub, GitFlic) под лицензией GPLv3. Графический интерфейс пользователя реализован с помощью библиотеки GTK4. Программа адаптирована для работы в операционных системах семейства Linux и Windows. Для пользователей Arch Linux в AUR доступен готовый сценарий сборки пакета. Для пользователей Windows доступен экспериментальный инсталлятор.

MyLibrary каталогизирует файлы книг в формате fb2, epub, pdf, djvu, odt, txt, md, как доступные напрямую, так и упакованные в архивы (zip, 7z, jar, cpio, iso, tar, tar.gz, tar.bz2, tar.xz, rar), и создаёт собственную базу данных, не изменяя исходные файлы и не меняя их положения. Для каталогизации также доступен формат fbd (файл книги упакованный в архив вместе с файлом с расширением fbd, содержащем тэг description формата fb2). В формате fbd могут храниться любые файлы, не только книги. Контроль целостности коллекции и её изменений осуществляется за счёт создания базы данных хэш-сумм файлов и архивов.

( читать дальше... )

>>> Подробности на OpenNET (opennet.ru)

Привет, ЛОР! Тут недавно был тред: Каковы практические проблемы Jabber?

Хочу поговорить об этом немного с другой стороны.
Наша контора вложила деньги в развитие Jabber и как протокола, и клиентов.

В ближайшее время планируются к релизу нативные версии для Android, iOS, десктопа (кроссплатформа, НЕ electron) и отдельно Web-версии (+ElectronTauri для ценителей)

Интересует мнение тех, кто пользуется Jabber, а также тех, кто пользовался им ранее, но ушёл на другие протоколы.

Каких фич вам не хватает?
Проблемы с синхронизацией, серверной историей, звонками между разными платформами – уже решены.
Прозрачная интеграция с Telegram – практически готово, за исключением звонков.
Федерация с Matrix – работает для текстовых сообщений, ведём переговоры с ProcessOne (контора которая пилит Ejabberd) для улучшения ситуации.

Анимированные стикеры с какашками и Unicode смайлы с разноцветными ниггерами не предлагать.

Даже пользователь без прав администратора способен вызвать необратимую рассинхронизацию дисков.

В Linux обнаружена серьёзная уязвимость, существующая уже более десяти лет, и связана она с механизмом программного RAID при использовании флага O_DIRECT. Проблема позволяет привести массив в несогласованное состояние, причём без каких-либо ошибок или предупреждений со стороны системы. Несмотря на то, что баг впервые был зарегистрирован ещё в 2015 году, интерес к нему вновь возрос в контексте современных задач, таких как живая миграция виртуальных машин.

( читать дальше... )

>>> Подробности (kernel.org)

Добрый(-ое) вечер/утро, в общем заинтересовала тематика Open-source биосов и нашёл Coreboot. Решаюсь поставить и заодно разобраться в том, что поддерживается то, что мне необходимо.

На руках ноутбук: Lenovo G505s (APU), потребности закрывает. Но стало интересно, с помощью Coreboot можно настроить ту же оперативную память, частоты и т.д.? Ну и, видеопамять подтянуть побольше, вместо 768 метров.

За одно интересно, есть ли толк от GUI-версии настроек железяк в Coreboot? Или проще обычным обойтись конфиг файлом?