Уязвимости в пакетных менеджерах Nix, Lix и Guix

В пакетных менеджерах GNU Guix, Nix и Lix выявлены уязвимости (Nix, Guix, Lix), позволяющие выполнить код с правами пользователей, под которыми запускаются сборочные задания (например, nixbld* в Nix/Lix), что может использоваться для записи своих данных в сборочное окружение и внесения изменений в сборочный процесс. Проблемы присутствуют в фоновых процессах guix-daemon и nix-daemon, применяемых для организации доступа непривилегированных пользователей к сборочным операциям.

Уязвимости вызваны тем, что при выполнении некоторых операций для доступа к временным сборочным каталогам использовались не дескрипторы dirfd, а полные файловые пути, что позволяло подменить сборочный каталог, размещаемый в иерархии /tmp (например, "/tmp/guix-build-PACKAGE-X.Y.drv-0"). Неверное использование dirfd в функции рекурсивного удаления приводило к состоянию гонки, из-за которого атакующий мог подставить символическую ссылку в момент между созданием и изменением владельца сборочного каталога. При успешной атаке guix-daemon/nix-daemon вместо смены пользователя для сборочного каталога менял владельца для файла, адресуемого символической ссылкой.

Уязвимости устранены в обновлениях Lix 2.93, Nix 2.29 и Guix 1.4.0-38.0e79d5b. Для эксплуатации уязвимостей атакующий должен иметь возможность запуска произвольных сборочных работ. Для атаки с использованием уязвимости CVE-2025-46415 достаточно возможности создания файлов в каталоге /tmp на сборочной машине, а для уязвимости CVE-2025-46416 необходимо иметь возможность запуска кода в контексте основного пространств имён идентификаторов пользователей (pid namespace) и сети (network namespace).

Linux / Линукс 🥸

Linux / Линукс 🥸

Разработчики KDE подтвердили планы по постепенному отказу от поддержки сеанса X11 в среде Plasma, хотя точные сроки пока не определены

По словам координатора по качеству KDE Нейта Грэма, полный переход на Wayland неизбежен, но вряд ли произойдет в ближайшие два года.

Окончательное прекращение поддержки X11 будет зависеть от решения текущих проблем Wayland, включая корректное восстановление позиций окон, улучшение работы с графическими планшетами и поддержку глобального меню для приложений, не основанных на Qt. Разработчики намерены сначала довести Wayland до состояния, при котором он сможет полностью заменить X11 без потери функциональности.

Пока что X11 продолжает поддерживаться: исправляются критические ошибки и обеспечивается совместимость компонентов KDE. Однако новые функции и несущественные исправления для X11 будут реализовываться только при наличии спонсорской поддержки. При этом большинство разработок в KDE не привязаны к конкретной графической системе — лишь менее 1% багов связаны исключительно с X11.

Основная причина отказа от X11 — устаревание технологии. Wayland лучше подходит для современных задач, таких как работа с HDR, адаптивной частотой обновления (VRR), несколькими мониторами и GPU, а также обеспечивает повышенную безопасность и стабильность.

Согласно телеметрии, среди пользователей Plasma 6 доля Wayland составляет 73%, а среди всех версий KDE — 60%. Интересно, что месяц назад Wayland использовали 82% пользователей Plasma 6, но показатель снизился из-за выхода SteamOS 3.7, где по умолчанию используется X11. Тем не менее, такие дистрибутивы, как Arch Linux, Fedora, Manjaro, KDE neon и Kubuntu, уже предлагают Wayland в качестве стандартного сеанса.

Linux / Линукс 🥸

Linux / Линукс 🥸

В Linux всё редактор, если захотеть.

Linux / Линукс 🥸

А вдруг, не ты компилируешь систему, а она тебя 😱

Linux / Линукс 🥸

В 2024 году выручка компании Canonical составила 291 млн. долларов

Canonical опубликовала финансовый отчёт за 2024 год, в соответствии с которым выручка за прошлый год составила 291 млн долларов. Для сравнения в 2023 году был получен $251 млн, в 2022 году - $205 млн, а в 2013 - $84 млн. Валовая прибыль компании за 2024 год составила $258.3 млн (в 2023 году - $218.5 млн), а операционная прибыль - $15.5 млн (в 2023 году - $11.2 млн).

Что касается расходов, то $77.5 млн (в 2023 году - $75.4 млн) было потрачено на организацию продаж и маркетинг; $36.7 млн ($31.6 млн) на разработку и исследования; $138 млн ($108 млн) на административные расходы. В 2024 году в компании было трудоустроено 1175 сотрудников (в 2023 году насчитывалось 1034 сотрудника, в 2022 году - 858, а в 2014 году - 337 сотрудников).

Linux / Линукс 🥸

Все чипы равны. Всё загружается… если правильно выбрать ветку, патчи, toolchain и фазу луны 👨‍🔬

Linux / Линукс 🥸

Библиотека построения графических интерфейсов Cosmoe, использующая Wayland и API в стиле BeOS

Представлена GUI-библиотека Cosmoe, поддерживающая работу в Linux в окружениях на базе Wayland. Cosmoe позволяет создавать программы с графическим интерфейсом на языке C++, применяя для формирования интерфейса API в стиле библиотеки классов операционной системы BeOS. Библиотека даёт возможность напрямую запускать в Linux программы, использующие API BeOS. Код проекта распространяется под лицензией MIT.

Cosmoe предлагает набор классов C++, позволяющих быстро и просто создавать интерфейсы пользователя. С одной стороны, Cosmoe существенно проще и компактнее таких тулкитов, как GTK и Qt, но, с другой стороны, позволяет создавать интерфейсы, более современно выглядящие, чем при использовании легковесных FLTK и Xforms. На устаревших системах Cosmoe даёт возможность добиться очень низкого потребления ресурсов, а на современных позволяет выжать из оборудования максимальную производительность, благодаря активному использованию многопоточности. Предоставляется коллекция примеров приложений, использующих Cosmoe для создания интерфейса, среди которых эмулятор терминала, редактор стилей и простые игры.

Библиотека основана как легковесное и не требующее серверных компонентов (app_server, registrar) ответвление от кодовой базы проекта Cosmoe Classic, переведённой на работу поверх композитных серверов, использующих протокол Wayland. Проект Cosmoe Classic занимался портированием окружения Haiku OS для работы поверх ядра Linux и использовал отрисовку интерфейса в окне, созданном при помощи библиотеки SDL. Разработка Cosmoe Classic была возрождена в прошлом году после семнадцатилетнего перерыва.

В настоящее время проект переориентирован с разработки форка ОС Haiku на создание обособленной библиотеки для создания графических приложений для Linux. На текущем этапе разработка находится на альфа-стадии, при этом библиотека уже поддерживает около 95% от всех возможностей API BeOS. Из наиболее важных ограничений отмечается отсутствие поддержки не привязанных к экрану экземпляров типа BBitmap, необходимых для аппаратного ускорения отрисовки, и неготовность API BFilePanel, формирующего диалоги для открытия и сохранения файлов.

Linux / Линукс 🥸

Linux / Линукс 🥸

Linux / Линукс 🥸

Linux / Линукс 🥸