crimea-karro


Режим доступа по SSL

Страницы: [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] [16] [17] [18] [19]

Утверждена единая спецификация для образов и runtime изолированных контейнеров

Проект Open Container Initiative (OCI) объявил о готовности первого открытого стандарта, призванного унифицировать формат образов контейнеров и runtime-компонентов, обеспечивающих запуск и жизненный цикл контейнеров. Опубликованные спецификации изначально не привязаны к решениям отдельных вендоров и учитывают повышенные требования к безопасности и переносимости. Благодаря OCI пользователи получат возможность упаковывать свои приложения в универсальные контейнеры, которые смогут работать с любым инструментарием, включая Docker и rkt.

Стандарт подготовлен благодаря совместной работе создателей конкурирующих проектов Docker и CoreOS, ранее пытавшиеся продвигать собственные форматы контейнеров. В состав рабочей группы также вошли представители компаний Google, Microsoft, Amazon Web Services, Cisco, EMC, Fujitsu, Oracle, HP, Huawei, IBM, Intel, Red Hat и VMware. Совместный проект развивается под эгидой организации Linux Foundation. В дальнейшем планируется ввести в строй программу сертификации, нацеленную на подтверждение полного соответствия спецификациям OCI в продуктах, заявляющих об их поддержке.

Одним из первых эталонных решений c реализацией спецификаций OCI стала связка из runtime runC и управляющего инструментария containerd, уже применяемых в Docker и Garden (Cloud Foundry), а также запланированного для интеграции в rkt от CoreOS. Runc предоставляет обособленный набор компонентов для запуска контейнеров на широком спектре систем, позволяя обойтись без внешних зависимостей. Для организации работы с контейнерами runc поддерживает пространства имён Linux (namespaces), различные средства повышения безопасности Linux (SELinux, Apparmor, seccomp, cgroups, capability, pivot_root, сброс uid/gid), live-миграцию (используется CRIU), возможности создания контейнеров в Windows 10, компоненты systemd и переносимые профили производительности. Containerd включает фоновый процесс и клиент командной строки, использующий runc для запуска контейнеров, соответствующих спецификации OCI.

Компания Oracle в рамках проекта Railcar развивает совместимую со спецификациями OCI альтернативу runc/containerd, написанную на языке Rust. В платформе Kubernetes реализован новый экспериментальный интерфейс CRI (Container Runtime Interface), позволяющий подключать альтернативные runtme, в том числе rklet и CRI-O. Компании Amazon, Intel, IBM и Google анонсировали поддержку спецификаций OCI в Amazon ECR (EC2 Container Registry), Intel Clear Containers, IBM Bluemix Container Service и Google Cloud Platform. Над поддержкой OCI также работает команда Apache Mesos.

Источник: http://www.opennet.ru/opennews/art.shtml?num=46889

Увидел свет дистрибутив Endless OS 3.2

Официально опубликован значительный релиз дистрибутива Endless OS 3.2, нацеленного на создание простой в работе системы, в которой можно быстро подобрать приложения на свой вкус. Изначально выпуск ожидался две недели назад, но первые сборки не прошли контроль качества и публикация установочных образов была задержана. Размер предлагаемых загрузочных образов составляет от 1.8 до 14 ГБ.

Дистрибутив Endless примечателен тем, что не использует традиционные пакетные менеджеры, вместо которых предлагается минимальная атомарно обновляемая базовая система, работающая в режиме только для чтения и формируемая при помощи инструментария OSTree (системный образ атомарно обновляется из Git-подобного хранилища). Приложения распространяются в виде самодостаточных пакетов в формате Flatpak.

Пользовательский интерфейс основан на значительно переработанном форке окружения GNOME и ориентирован на предоставлении средств для выбора и запуска приложений. При этом разработчики Endless активно участвуют в разработке upstream-проектов и передают им свои наработки. Например, в выпуске GTK+ 3.22 около 9.8% всех изменений было подготовлено разработчиками Endless, а курирующая проект компания Endless Mobile входят в надзорный совет GNOME Foundation, наряду с FSF, Debian, Google, Linux Foundation, Red Hat и SUSE.

Выпуск Endless OS 3.2 примечателен переводом компонентов рабочего стола и приложений дистрибутива (mutter, gnome-settings-daemon, nautilus и т.п.) на технологии GNOME 3.22 (прошлый вариант рабочего стола ответвился от GNOME 3.8). Кроме обновления базовых компонентов было модернизировано и оформление рабочего стола. Из наиболее заметных изменений интерфейса можно отметить:



Источник: http://www.opennet.ru/opennews/art.shtml?num=46887

Выпуск криптографической библиотеки Libgcrypt 1.8.0

Проект GNU представил выпуск библиотеки Libgcrypt 1.8.0, с реализацией компонентов, лежащих в основе механизмов шифрования, применяемых в GnuPG. Библиотека предоставляет функции для использования в сторонних приложениях различных криптоалгоритмов, включая симметричные шифры (AES, Arcfour, Blowfish, Camellia, CAST5, ChaCha20, DES, GOST28147, Salsa20, SEED, Serpent, Twofish), алгоритмы хэширования (MD5, RIPE-MD160, SHA-*, SHAKE256, TIGER-192, Whirlpool), алгоритмы аутентифицированного шифрования (HMAC-*, CMAC-*, GMAC-*, Poly1305-*), шифрование с использованием публичных ключей (RSA, Elgamal, DSA, ECDSA, EdDSA, ECDH). Новая ветка полностью совместима на уровне API и ABI с веткой 1.7.x (для использования новой версии не требуется пересборка программ).

Ключевые улучшения:



Источник: http://www.opennet.ru/opennews/art.shtml?num=46886

Уязвимость в gnome-exe-thumbnailer, позволяющая выполнить код при просмотре каталога с MSI-файлом

В пакете gnome-exe-thumbnailer, поставляемом во многих дистрибутивах, но официально не входящем в состав GNOME, выявлена уязвимость (CVE-2017-11421), позволяющая выполнить код злоумышленника при просмотре в файловом менеджере каталога, содержащего специально оформленный исполняемый файл Windows в формате MSI. Примечательно, что всего несколько дней назад похожая проблема была исправлена в компоненте evince.thumbnailer.

Уязвимость вызвана ошибкой в коде извлечения версии формата MSI в shell-скрипте gnome-exe-thumbnailer. Для выполнения данной операции на лету создаётся VBScript, анализирующий поля в файле, который затем выполняется через Wine:

     wine cscript.exe //E:vbs //NoLogo Z:\\tmp\\${TEMPFILE1##*/}.vbs 2>/dev/null"  
Так как VBScript-скрипт для извлечения версии оформлен в виде шаблона, в который подставляется имя файла (Set DB = WI.OpenDatabase(\"$INPUTFILE\",0)), то указав в имени файла символ кавычки можно подставить дополнительный код в формируемый VBScript. Например, при разборе файла с именем
     poc.msi\",0):Set fso=CreateObject(\"Scripting.FileSystemObject\"):Set poc=fso.CreateTextFile(\"badtaste.txt\")'.msi  
в шаблоне появится конструкция, создающая файл badtaste.txt:
     Set DB = WI.OpenDatabase(\"poc.msi\",0):Set fso=CreateObject(\"Scripting.FileSystemObject\"):Set poc=fso.CreateTextFile(\"badtaste.txt\")',0)  

Для эксплуатации уязвимости достаточно организовать вызов обработчика gnome-exe-thumbnailer для подготовленного злоумышленником файла. В частности, gnome-exe-thumbnailer будет запущен для создания миниатюр для файлов MSI при открытии каталога с ними в файловом менеджере, например, для атаки достаточно вставить USB-накопитель с вредоносным файлом. Другим вектором атаки является web-браузер: при открытии специально оформленной страницы можно инициировать вызов построителя миниатюр в Chrome и Epiphany, не требуя от пользователя каких-либо действий.

Уязвимость устранена в выпуске gnome-exe-thumbnailer 0.9.5. В качестве обходного пути защиты можно отключить gnome-exe-thumbnailer, удалив файл /usr/share/thumbnailers/gnome-exe-thumbnailer. Проследить появление пакетов с исправлениями можно на данных страницах: Debian, FreeBSD, Ubuntu, SUSE, openSUSE, RHEL, Fedora.

Источник: http://www.opennet.ru/opennews/art.shtml?num=46885

Релиз системы сборки CMake 3.9

Состоялся релиз кроссплатформенного открытого генератора сценариев сборки CMake 3.9, выступающего в качестве альтернативы Autotools и используемого в таких проектах, как KDE, LLVM/Clang, MySQL, MariaDB, ReactOS и Blender. Код CMake написан на языке C++ и распространяется под лицензией BSD.

CMake примечателен предоставлением простого языка сценариев, средствами расширения функциональности через модули, минимальным числом зависимостей (нет привязки к M4, Perl или Python), поддержкой кэширования, наличием инструментов для кросс-компиляции, поддержкой генерации файлов сборки для широкого спектра систем сборки и компиляторов, наличием утилит ctest и cpack для определения сценариев тестирования и сборки пакетов, утилитой cmake-gui для интерактивной настройки параметров сборки.

Основные улучшения: