drošība
Ievainojamības, ielāpi un izmeklējumi. Bez panikas, ar konkrētiem rīcības soļiem.
$ ls | wc -l → 162 raksti
RSA-260 sadalīts reizinātājos par 400 000 dolāru: 4900 GPU dienas Cognition klasterī
Cognition inženieris Eriks Lu sadalīja reizinātājos 862 bitu skaitli RSA-260. Rēķins prasīja 4900 GPU dienas un pēc tirgus cenām maksātu ap 400 000 dolāru.
OpenSSL 4.1 alfa pievieno DTLS 1.3 divas dienas pēc 3.0 atbalsta beigām
OpenSSL 4.1.0-alpha1 ienes DTLS 1.3 no RFC 9147, GREASE un AVX-512 optimizācijas pēckvantu parakstiem. Divas dienas iepriekš 3.0 sērija zaudēja tiesības uz drošības labojumiem.
Ceturtais ārkārtas ielāps piecās nedēļās: CVSS 10.0 kļūda N-central ļauj izpildīt kodu bez pieteikšanās
N-able piecās nedēļās izlaidusi ceturto ārkārtas ielāpu N-central platformai. Jaunākā kļūda ar CVSS 10.0 ļauj izpildīt kodu uz servera bez pieteikšanās.
Zen 6 BTB izolācija atceļ SafeRET, ko mēnesi iepriekš laboja piecos LTS kodolos
Zen 6 procesoros zaru mērķa buferis ir izolēts starp kontekstiem, tāpēc Linux tur vairs neliek SafeRET secību. User/user vektoru sedz IBPB pie konteksta maiņas.
Rustls pēc noklusējuma pieņem ML-DSA sertifikātus: paraksts aug no 64 līdz 2420 baitiem
Rust TLS bibliotēka 0.23.44 laidienā bez papildu iestatījumiem pieņem pēckvantu ML-DSA sertifikātus. Tajā pašā laidienā aizvērta 2022. gadā pieteikta kļūda, kuras dēļ TLS sesiju atslēgu žurnāls tika veidots kā lasāms visiem sistēmas lietotājiem.
Viena Kconfig rinda izslēdz randstruct, lai Linux 7.3 allmodconfig būvējumā ietilptu Rust
Linux 7.3 pieņēma vienas rindas ielāpu, kas testa būvējumos izslēdz randstruct, lai allmodconfig beidzot kompilētu arī Rust kodu.
Pixel 11 aparatūrā MTE tomēr ir, bet programmaparatūra kodolam padod arm64.nomte
GrapheneOS atklāja, ka Tensor G6 tomēr prot atmiņas marķēšanu, bet Google programmaparatūra kodolam padod arm64.nomte. Noplūduši dokumenti rāda, ka MTE no Pixel 11 čipa izsvītroja jau 2022. gadā.
Aktīvi izmantota ievainojamība jāpiesaka 24 stundās: CRA prasības sākas 11. septembrī
No 11. septembra ES ražotājiem par aktīvi izmantotu ievainojamību jāpaziņo 24 stundu laikā. ENISA vienotā ziņošanas platforma līdz tam publiski nav atvērta.
22 CVE Dovecot 2.4.5 laidienā: lielāko daļu atrada automātiski koda analīzes rīki
Dovecot 2.4.5 aizver 22 drošības caurumus: autentifikācijas apiešanu caur XCLIENT FORWARD, CRIME tipa noplūdi IMAP kompresijā un sešus veidus, kā ar vienu vēstuli noslogot serveri.
Linux kodola CVE skaits laidienā uzkāpis no 500 līdz 1500, 7.3 var pārsniegt 2000
Greg Kroah-Hartman slaids rāda CVE skaitu katrā kodola laidienā: no 500 pie 6.9 līdz vairāk nekā 1500 pie 7.2. Iemesls ir LLM, kas skenē 40 miljonus rindu.