Vývojáři OpenMW (Wikipedie) oznámili vydání verze 0.49.0 této svobodné implementace enginu pro hru The Elder Scrolls III: Morrowind. Přehled novinek i s náhledy obrazovek v oznámení o vydání.
Masivní výpadek elektrického proudu zasáhl velkou část České republiky. Hasiči vyjížděli k většímu počtu lidí uvězněných ve výtazích. Výpadek se týkal zejména severozápadu republiky, dotkl se také Prahy, Středočeského nebo Královéhradeckého kraje. Ochromen byl provoz pražské MHD, linky metra se už podařilo obnovit. Výpadek proudu postihl osm rozvoden přenosové soustavy, pět z nich je nyní opět v provozu. Příčina problémů je však stále neznámá. Po 16. hodině zasedne Ústřední krizový štáb.
Po více než roce vývoje od vydání verze 5.40 byla vydána nová stabilní verze 5.42 programovacího jazyka Perl (Wikipedie). Do vývoje se zapojilo 64 vývojářů. Změněno bylo přibližně 280 tisíc řádků v 1 500 souborech. Přehled novinek a změn v podrobném seznamu.
Byla vydána nová stabilní verze 7.5 webového prohlížeče Vivaldi (Wikipedie). Postavena je na Chromiu 138. Přehled novinek i s náhledy v příspěvku na blogu.
Sniffnet je multiplatformní aplikace pro sledování internetového provozu. Ke stažení pro Windows, macOS i Linux. Jedná se o open source software. Zdrojové kódy v programovacím jazyce Rust jsou k dispozici na GitHubu. Vývoj je finančně podporován NLnet Foundation.
Byl vydán Debian Installer Trixie RC 2, tj. druhá RC verze instalátoru Debianu 13 s kódovým názvem Trixie.
Na čem pracují vývojáři webového prohlížeče Ladybird (GitHub)? Byl publikován přehled vývoje za červen (YouTube).
Libreboot (Wikipedie) – svobodný firmware nahrazující proprietární BIOSy, distribuce Corebootu s pravidly pro proprietární bloby – byl vydán ve verzi 25.06 "Luminous Lemon". Přidána byla podpora desek Acer Q45T-AM a Dell Precision T1700 SFF a MT. Současně byl ve verzi 25.06 "Onerous Olive" vydán také Canoeboot, tj. fork Librebootu s ještě přísnějšími pravidly.
Licence GNU GPLv3 o víkendu oslavila 18 let. Oficiálně vyšla 29. června 2007. Při té příležitosti Richard E. Fontana a Bradley M. Kuhn restartovali, oživili a znovu spustili projekt Copyleft-Next s cílem prodiskutovat a navrhnout novou licenci.
Svobodný nemocniční informační systém GNU Health Hospital Information System (HIS) (Wikipedie) byl vydán ve verzi 5.0 (Mastodon).
S velkou slávou Google představil plugin přinášející na Linux podporu pro hlas a video v jejich Gmail IM klientu. Pod zprávičkou se objevila vtipná poznámka od anonyma Virt6: To je Apt-backdoor. Klasická součást všech balíků google . Bohužel, při bližším ohledání mi zmrzl úsměv na rtech.
Samotná stránka kde je odkaz na stažení balíčku není automaticky přenášená šifrovaně - tedy MITM útok není žádný problém. Ale řekněme, že uživatel je paranoidní a to s do adresního řádku dopíše. To je mu po kliknutí na tlačítko "Instalovat" na nic, protože Google odkaz vede na tunu JavaScriptu a výsledný soubor zase na nešifrované HTTP. A co hůř, tady už finta s přidáním s do protokolu nefunguje - jednoduše dojde k přesměrování na úvodní stránku Google. Na to, že k tomu balíčku nikde nenabízí kontrolní součty - a ani ten balíček není podepsaný je to už docela průšvih. Ale teď už se podíváme na samotný ballíček.
Je to standardní .deb balík, takže rozbalíme ar x google-talkplugin_current_amd64.deb, vylezou nám z toho dva .tar.gz archivy: data.tar.gzkde se nachází soubory které přijdou do filesystému a control.tar.gz kde jsou umístěny drobnosti jako instalační skripty nebo MD5 jednotlivých souborů v archivu. Nejprve koukneme na data.tar.gz.
Veškeré soubory jsou v /opt/google/talkplugin. V /usr je pár symlinků a changelog. To, co je zajímavé je ale v adresáři opt/google/talkplugin/cron a nasymlinkováno do etc/cron.daily/google-talkplugin. A tady to začíná být opravdu (ne)veselé. Nejen, že tento skript přidá do systému repozitář Google, on dokonce přidá svůj klíč mezi důvěryhodné klíče repozitářů. Pokud balíčkovač repozitář Googlu při upgradu zakáže, ten skript ho opět povolí. Tedy pokud si tento balíček nainstalujete, nejen, že je nijak neověřený ale dojde i k automatickému přidání nijak neověřeného GPG klíče mezi důvěryhodné zdroje. Výsledné dopady na bezpečnost mohou být katastrofální.
Tiskni
Sdílej:
Google však neprozradil, jaké počítače použilJinak nepodepisováním balíčků trpí třeba i Arch (jeden ze dvou důvodů, proč jsem od něj odešel) a takovýto MITM možná používá i česká policie.
anonyma Virt6Tak od anonyma, nebo od Virt6?
on dokonce přidá svůj klíč mezi důvěryhodné klíče repozitářůNepoznám debian/apt, ale fungujú tie kľúče? Ja overujem Slackware-ové balíky GPG kľúčmi a aby bol GPG kľúč Slackware-u dôveryhodný, tak musí byť podpísaný mojím GPG kľúčom. A to bezo mňa žiaden skript neurobí.