V San José probíhá vývojářská konference NVIDIA GTC 2024. CEO společnosti NVIDIA Jensen Huang měl dvouhodinovou keynote, ve které představil celou řadu novinek: NVIDIA Blackwell platform, NVIDIA NIM microservices, NVIDIA Omniverse Cloud APIs, Project GR00T, …
Byly zpracovány a na YouTube zveřejněny videozáznamy jednotlivých přednášek z letošního Installfestu.
Od 21. do 23. března proběhnou Arduino Days 2024. Sledovat bude možné oficiální streamy. Zúčastnit se lze i lokálních akcí. V Česku jsou aktuálně registrovány dvě: v Praze na Matfyzu a v Poličce v městské knihovně.
Letošní ročník konference LinuxDays se uskuteční o víkendu 12. a 13. října, opět se potkáme v pražských Dejvicích na FIT ČVUT. Také během letošního ročníku nás budou čekat desítky přednášek, workshopy, stánky a spousta doprovodného programu. Aktuální dění můžete sledovat na Twitteru, Facebooku nebo na Mastodonu, přidat se můžete také do telegramové diskusní skupiny.
Byla vydána nová major verze 2.0.0 a krátce na to opravné verze 2.0.1 open source online editoru Etherpad (Wikipedie) umožňujícího společné úpravy v reálném čase.
Matematický software GNU Octave byl vydán ve verzi 9.1.0. Podrobnosti v poznámkách k vydání. Nově je preferovaný grafický backend Qt a preferovaná verze Qt 6. V tomto vydání byly přepracovány funkce pro převod čísel z desítkové soustavy. Jako obvykle jsou zahrnuta také výkonnostní vylepšení a zlepšení kompatibility s Matlabem.
Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu březnový souhrn novinek. Vypíchnout lze, že pracují na virtuálním asistentu PineVox a zatím bezejmenných sluchátkách na lícní kosti (bone conduction).
Hyprland, kompozitor pro Wayland zaměřený na dláždění okny a zároveň grafické efekty, je již dva roky starý. Při té příležitosti byla vydána verze 0.37.0 (a záhy opravná 0.37.1 řešící chybu ve vykreslování oken). Nově závisí na knihovně hyprcursor, která poskytuje škálovatelné kurzory myši.
Geolokační služba Mozilla Location Service, kterou používá množství svobodného softwaru (často přes Geoclue), letos skončí. Data budou dostupná pouze do 10. dubna 2024, API klíče třetích stran budou odstraněny 12. června. Příčinou je údajné porušení patentů firmy Skyhook v roce 2019, následná dohoda omezila rozvoj MLS.
Byly zveřejněny informace o bezpečnostní chybě CVE-2017-6074 v Linuxu zneužitelné k lokální eskalaci práv. Jde o chybu v podpoře DCCP (Datagram Congestion Control Protocol). Do linuxového jádra se dostala v říjnu 2005. V upstreamu byla opravena 17. února (commit). Bezpečnostní chyba byla nalezena pomocí nástroje syzkaller [Hacker News].
Tiskni Sdílej:
On to Andrej Konovalov v jednom z těch mailů píše:
Anyway, my bet was that DCCP is poorly tested and maintained and I decided to try fuzzing it specifically with syzkaller. I found a few bugs, one of them is an exploitable double free.
Pokud vím, DCCP se opravdu v praxi moc nepoužívá. SCTP někde ano, ale zaslechl jsem nějaké zmínky, že tam, kde se používá ve větším měřítku, často nepoužívají implementaci z linuxového jádra, ale nějakou jinou. Někde se ale určitě používá i ta linuxová implementace, protože už jsem na to měl nareportované nějaké bugy.
V případě téhle chyby je ale situace horší, protože ke zneužití lokálním uživatelem stačí to, že je modul nainstalovaný (naloaduje se automaticky, pokud někdo zkusí vytvořit DCCP socket).
Což není zase až tak překvapivé, pokud víte něco o tom, jak ten proces funguje. Jestli o to tak moc stojíte, ten patch se IIRC aplikuje naprosto hladce na cokoli přinejmenším od 3.0 (IIRC i na 2.6.32) a i na 2.6.16 byla potřeba minimální úprava, ke které není ani potřeba rozumět tomu kódu.
Pokud DCCP nepoužíváte - a to téměř jisté nepoužíváte - stačí ten modul smazat a je po problému (případně odloadovat, pokud by náhodou byl už naloadovaný).
Len ma prekvapuje že dochádza k zbytočnému oneskoreniu schválenia bezpečnostnej záplaty priamo v prípade vanilla jadra.
Tam k žádnému zpoždění nedošlo. Patch byl poslán do netdev listu 16.2., 19.2. už byl v mainline a téhož dne vyšla 4.10 i s ním. (Mimochodem, embargo na detailní informace o té chybě oficiálně skončilo až ve středu 22.2.)
Co se týká stable updatů, viz první větu mého minulého příspěvku. Proces přípravy a vydávání stable updatů není optimalizován na to, aby opravy vážnějších bezpečnostních chyb byly ve vydaném updatu v minimálním možném čase. Pokud chcete tohle, používejte distribuční jádro.
Tak ještě jeden zoufalý pokus. Proces vydávání stable updatů funguje svým víceméně pravidelným tempem a nebere ohled na to, že se v některé jeho fázi (v tomto případě den před vydáním) nějaká bezpečnostní chyba stala mediální hvězdou. (Občas vyjde mimořádný opravný update jen s jedním fixem, ale to se stává spíš v případech, že se bezprostředně po vydání updatu přijde na to, že přináší regresi, která je buď hodně kritická nebo se týká hodně uživatelů.) Pokud tomu chcete dál říkat "plánované zdržení", tak si to užijte, to je váš problém.
Nezbývá mi než zopakovat: pokud chcete mít kritické security fixy ASAP, nepoužívejte Gregova jádra, od toho jsou tady distribuce.