Поиск

20 июня 2018 года вступило в силу Соглашение между Правительством Российской Федерации и Правительством Алжирской Народной Демократической Республики о предоставлении Алжирской Народной Демократической Республике доступа к сигналу высокой точности российской глобальной навигационной спутниковой системы ГЛОНАСС. Соглашением предусмотрено: «Предоставление Алжирской Народной Демократический Республике доступа к ВТ-сигналу осуществляется посредством поставки в рамках военно-технического сотрудничества между Российской Федерацией и Алжирской Народной Демократической Республикой навигационной аппаратуры потребителя (НАП), которая мажет устанавливаться и использоваться на имеющихся в распоряжении Алжирской Народной Демократической Республики вооружении, военной технике и любом другом оборудовании, которые поставляются Алжирской Народной Демократической Республике Российской Федерацией. НАП может также устанавливаться на вооружении, военной технике и оборудовании, изготавливаемых Алжирской Стороной исключительно для Национальной Народной армии».

Разработчики дистрибутива Gentoo Linux предупредили пользователей о компрометации одной из учетных записей проекта на портале GitHub. Злоумышленникам удалось изменить содержание репозиториев и внедрить вредоносный код, позволяющий удалить все файлы из системы. «28 июня около 20:20 неизвестные получили контроль над учетной записью проекта Gentoo на портале GitHub и изменили содержание репозиториев. Мы все еще работаем над определением маштабов ущерба и восстановлением контроля над репозиториями. Весь код Gentoo, размещенный на GitHub, на данный момент должен считаться скомпрометированным», - следует из заявления Gentoo. По словам разработчиков, злоумышленники заменили ветки portage и musl-dev вредоносными ebuild, предназначенными для удаления всех файлов из системы. Ebuild представляют собой скрипты bash, используемые Gentoo Linux для системы управления программным обеспечением Portage. «Поскольку главный репозиторий Gentoo ebuild размещен в нашей собственной инфраструктуре, а Github - это только его зеркало, все в порядке, если вы используете rsync или webrsync из gentoo.org», - отметили разработчики.

Музей компьютерной истории сообщает о том, что отныне все желающие могут скачать исходные коды Eudora — клиента электронной почты, который в нынешнем году отмечает своё тридцатилетие. Оригинальная версия Eudora вышла ещё в 1988 году. Спустя три года права на программу были приобретены компанией Qualcomm, которая разделила её на два варианта: бесплатную версию Eudora Lite и коммерческую версию Eudora Pro. В 2006 году тестовая версия программы (8.0) была преобразована в проект с открытым исходным кодом на базе Mozilla Thunderbird и названа Penelope. Впоследствии инициатива получила имя Eudora OSE (Eudora Open Source Edition). Разработка клиента прекратилась в 2010-м, а в 2013-м он был признан устаревшим. Теперь открыт код последней стабильной версии Eudora (релиза 7.1.0.9 для Windows и 6.2.4 для macOS), который до сих пор оставался закрытым. Исходники программы выпущены под лицензией BSD. Таким образом, наработки проекта могут использовать все желающие в собственных целях. Важно отметить, что распространяемый код очищен от неприятных слов (преимущественно в комментариях). Кроме того, из него удалены сторонние проприетарные компоненты.

Корпорация Microsoft подтвердила наличие уязвимости в Skype, которая позволяет злоумышленникам получить привилегии администратора на компьютере. Компания не сможет решить проблему в ближайшее время, потому что для этого потребуется переписать уязвимую часть кода. Уязвимость была обнаружена исследователем безопасности Стефаном Кантхаком (Stefan Kanthak), который сообщил, что компонент Skype, используемый для обновления, можно обмануть с целью модифицировать системную библиотеку. Это позволяет хакеру загружать вредоносный код и помещать его в пользовательскую временную папку, подменяя её на существующую библиотеку, которая может быть изменена кем угодно. По словам Кантхака, после получения доступа злоумышленник «может сделать что угодно». Однако для этого хакеру необходимо получить физический доступ к компьютеру, например, зайти под гостевым аккаунтом. Кантхак сообщил Microsoft об этой уязвимости, которая позволила хакерам получать права администратора, ещё в сентябре 2017 года. Компания признала, что исправление потребует «большой перестройки кода». Исправить уязвимость обычным патчем невозможно. Для этого компании придётся переписать код и выпустить новую версию Skype для Windows, на что потребуется гораздо больше времени. Точная дата выхода новой версии Skype пока неизвестна.

8 февраля часть исходного кода iOS попала в Интернет. Через некоторое время Apple потребовала у GitHub удалить его. Утечка, впервые замеченная сайтом Motherboard, вероятнее всего, является частью кода iOS под названием iBoot, который запускает систему при включении iPhone и гарантирует, что выполняемый код действителен и исходит от Apple. Юристы Apple описали утечку как воспроизведение исходного кода Apple iBoot, который отвечает за обеспечение надежной загрузки операционной системы Apple iOS. В запросе на удаление сказано: «Исходный код iBoot является собственностью Apple и это затрагивает авторские права компании. Это не открытое программное обеспечение». Джонатан Левин (Jonathan Levin), автор книг о системном программировании iOS и macOS, назвал это самой большой утечкой в истории. Утечка могла помочь хакерам быстрее обнаружить уязвимости в iOS и упростить создание джейлбрейков iPhone. Несмотря на то, что код убрали из сети, в Интернете все ещё остались его резервные копии. Тем не менее в Apple заверяют, что пользователям не о чем беспокоиться. Представитель Apple прокомментировал ситуацию порталу TechCrunch: «По умолчанию безопасность наших продуктов не зависит от секретности исходного кода. Наши продукты имеют много слоёв аппаратной и программной защиты, также мы подталкиваем клиентов обновляться до новых версий ПО, в которые входят новейшие меры безопасности.»

Поддержка 64-битных приложений появилась в Android с выходом версии операционной системы 5.0 Lollipop, который состоялся в 2015 году, но она не была обязательной. Теперь Google заявила, что к августу 2019 года 64-битная поддержка должна присутствовать в каждом приложении. Это не означает, что разработчики вынуждены будут убрать из своих продуктов 32-битную поддержку — просто им придётся добавить ещё и 64-битную. По словам Google, причина такого требования в том, что в конечном итоге появятся устройства, которые смогут работать только с 64-битным кодом. Впрочем, компания выдвинула и другие, более срочные требования. Так, в августе 2018 года новые приложения должны будут активно использовать программный интерфейс Android Oreo. А в ноябре соответствующие обновления должны быть выпущены и для старых программ. В начале 2018 года Google обновит систему безопасности Android, но разработчикам в данном случае беспокоиться не о чем. Компания лишь станет добавлять в приложения «небольшой объём» метаданных, которые будут доказывать тот факт, что тот или иной продукт был загружен через Google Play. Стоит отметить, что Google — не первая компания, которая начала стремиться к переходу на 64-битную архитектуру. Apple ввела для iOS аналогичное требование в феврале 2015 года, а в сентябре этого года iOS 11 окончательно лишилась поддержки 32-битных приложений.

Разработчик ядра Linux Скотти Бауэр обнаружил новый способ незаметного взлома Android-устройств и заражения их вредоносным ПО с помощью переданных по Wi-Fi вредоносных пакетов. Бауэр обнаружил несколько программных ошибок в Wi-Fi драйвере qcacld, поддерживающем чипсеты Qualcomm Atheros. Данные чипсеты вместе с проблемным драйвером используются во многих Android-смартфонах, планшетах, маршрутизаторах и других устройствах, включая Pixel и Nexus 5. Всего разработчик обнаружил шесть ранее неизвестных уязвимостей, позволяющих удаленно выполнить код, и сообщил о них Google. В понедельник, 6 ноября, компания выпустила для них исправление. Как пояснил Бауэр, Qualcomm использует SoftMAC, а значит, объект управления уровнем MAC (Media Access Control Sublayer Management Entity, MLME) обрабатывается программным, а не аппаратным обеспечением или прошивкой SoC. В связи с этим исходный код, ответственный за фреймы управления 802.11, должен быть в драйвере и поэтому виден всем. Другими словами, злоумышленник может проанализировать код и определить нужные фреймы управления. Далее он может отправить фреймы на устройство находящейся неподалеку жертвы и проэксплуатировать уязвимость. Драйвер qcacld содержит 691 тыс. строк кода. Среди обнаруженных разработчиком уязвимостей самой серьезной является CVE-2017-11013. Проблема затрагивает файл dotllf.c и позволяет вызвать переполнение буфера, а затем удаленно выполнить код.

В Министерстве связи и массовых коммуникаций Российской Федерации подготовили проект постановления правительства, согласно которому для внесения программ в реестр отечественного софта разработчиков обяжут сдавать в министерство «материалы, идентифицирующие программное обеспечение в форме исходного текста, объектного кода или иной форме, присущей языку программирования, на котором написано представленное программное обеспечение, в объёме, достаточном для его идентификации». Для сравнения, сейчас от разработчиков требуют лишь «экземпляр программного обеспечения без технических средств защиты авторских прав». В пресс-службе Минкомсвязи сообщили, изменения продиктованы необходимостью проверки ПО на наличие иностранного компонента. Напомним, что согласно постановлению правительства РФ от 16 ноября 2015 года запрещена закупка иностранного софта за бюджетные деньги при наличии российских аналогов. В экспертный совет при Минкомсвязи, который решает, соответствует ли софт требованиям и стоит ли его включать в реестр, входят разработчики ПО, представители отраслевых ассоциаций, научных и образовательных организаций, федеральных или региональных органов власти. Исполнительный директор Ассоциации разработчиков программных продуктов (АРПП) «Отечественный софт» (объединяет порядка 140 компаний — разработчиков ПО) Евгения Василенко выразила мнение, что поправки носят избыточный характер. К тому же, доступ к коду могут получить конкуренты, чьи представители входят в экспертный совет. «Есть продукты, которые изначально построены на базе свободного программного обеспечения, имеют открытый код. Есть системы, которые десятилетиями с нуля разрабатывались российскими компаниями. Код такого ПО, по моему мнению, компании не будут готовы открывать экспертному совету», — заявила Василенко.

Исследователи команды безопасности Google Джейсон Геффнер и Жан Би обнаружили уязвимость в антивирусном продукте ESET Endpoint Antivirus 6 (CVE-2016-9892), позволяющую удаленно выполнить код на Mac с привилегиями ядра. Осуществить атаку очень просто – достаточно лишь перехватить подключение продукта к серверам ESET и проэксплуатировать уязвимость в библиотеке XML. «Уязвимые версии ESET Endpoint Antivirus 6 статически связаны с устаревшей библиотекой синтаксического анализа XML и не проводят надлежащим образом аутентификацию сервера, тем самым позволяя удаленному неавторизованному атакующему выполнить код с привилегиями ядра», - сообщили исследователи. По словам экспертов, esets_daemon использует устаревшую версию библиотеки POCO XML, в которой присутствует уязвимость переполнения буфера (CVE-2016-0718). Помимо прочего, библиотека запрашивает лицензию по адресу https://edf.eset. com/edf:. Злоумышленник может осуществить атаку «человек посередине» и отправить в качестве ответа данные для эксплуатации CVE-2016-0718 с последующим выполнением кода с привилегиями ядра. Демон не проверяет сертификат сервера ESET, что дает возможность атакующему выдать себя за сервер ESET и предоставить клиенту самоподписанный SSL-сертификат. Осуществив MITM-атаку, злоумышленник может отправить на Mac вредоносный контент, взломать уязвимую библиотеку, а затем выполнить код. Уязвимость исправлена в версии 6.4.168.0.