Last Notes
"Всего сопровождающие открытые проекты получили сведения о 1596 проблемах и подтвердили наличие 1451 уязвимостей. При этом в кодовых базах пока исправлено только 97 проблем и выпущено 88 публичных отчётов об уязвимостях."
"...патчи выходят одновременно с молоточками..."
Ну-ну...
При помощи AI-модели Mythos выявлены 23 тысячи уязвимостей в открытом ПО
Компания Anthropic подвела первые итоги тестирование предварительного варианта AI-модели Mythos, в которой были существенно (https://www.opennet.ru/opennews/art.shtml?num=65165) расширены возможности по поиску ошибок, выявлению уязвимостей и написанию готовых эксплоитов. Компания Anthropic провела сканирование при помощи AI-модели Mythos более тысячи важных открытых проектов, в ходе которого было выявлено 23019 уязвимостей. 6202 уязвимостям был назначен высокий или критический уровень опасности.
1752 из 6202 уязвимостей, отнесённых моделью Mythos к категории опасных, были проверены независимыми компаниями, специализирующимися на компьютерной безопасности. В 1587 (90.6%) случаях наличие уязвимости было подтверждено, а в 1094 (62.4%) - сохранился уровень высокой или критической опасности. Anthropic планирует продолжить сканирование открытых проектов и при текущих показателях предполагается, что в дополнение к упомянутым уязвимостям Mythos вероятно выявит ещё около 3900 опасных уязвимостей в открытом ПО при проверке 50 участниками проекта Glasswing.
Сведения об 467 верифицированных уязвимостях переданы сопровождающим открытые проекты представителями компаний, проводивших рецензирование. Кроме того, по отдельным запросам сотрудники Anthropic передали сопровождающим информацию о 1129 непроверенных проблемах. Всего сопровождающие открытые проекты получили сведения о 1596 проблемах и подтвердили наличие 1451 уязвимостей. При этом в кодовых базах пока исправлено только 97 проблем и выпущено 88 публичных отчётов об уязвимостях.
Кроме того, сообщается, что 50 участниками проекта Glasswing, которым был предоставлен ранний доступ к модели Mythos, выявлено более 10 тысяч опасных уязвимостей в своих кодовых базах. Например, компания Cloudflare нашла при помощи Mythos более 2000 ошибок, из которых 400 отмечены как уязвимости с высоким и критическим уровнем опасности. Уровень ложных срабатываний по оценке Cloudflare оказался ниже, чем при тестировании людьми. Компания Mozilla при проверке кода Firefox 150 нашла (https://www.opennet.ru/opennews/art.shtml?num=65405) при помощи Mythos 271 уязвимостей, что в 10 раз больше, чем было найдено при проверке Firefox 148 моделью Claude Opus 4.6.
Источник: https://www.opennet.ru/opennews/art.shtml?num=65515 (https://www.opennet.ru/opennews/art.shtml?num=65515)
https://www.opennet.ru/opennews/art.shtml?num=65515
----
Пришла пора разрушить ваши детские иллюзии по поводу фразы "Казнить нельзя помиловать".
НИГДЕ в этой фразе не нужна запятая!
Казнить: нельзя помиловать ( двоеточие=потому что).
Казнить нельзя – помиловать (тире=поэтому).
Да, вам лгали все детство, живите с этим.
----
На текущий момент в лялихе нашли 7 дырок "класса Copy Fail".
Предлагаю тотализатор - сколько еще найдут? :)
снять клип одним кадром, в живую, на грэмми.
Тётка жжёт напалмом.
https://www.youtube.com/watch?v=Rn89mUndYbo
я натравливал гопочат на исходники ygg - ничего особо страшного он не нашёл. Правда это было достаточно давно по ИИ меркам. Может современная версия и найдёт что-то...
а мені цікаво коли до ігдрочіля доберуться і вскриють (мовчки) всі компи, що люб'язно відкрили свої тунелі всесвіту.
А, ну и там, до кучи, "В nginx выявлена вторая за 10 дней удалённо эксплуатируемая уязвимость". Я с большим интересом жду, когда по взрослому возьмутся за kvm/qemu...
GRO Frag - седьмая уязвимость класса Copy Fail, предоставляющая права root в Linux
В открытом доступе размещён эксплоит (https://gist.github.com/lcfr-eth/2566a5cef312c94a5ff8d62fa417955f) для седьмой уязвимости (1 (https://www.opennet.ru/opennews/art.shtml?num=65325), 2-3 (https://www.opennet.ru/opennews/art.shtml?num=65395), 4 (https://www.opennet.ru/opennews/art.shtml?num=65441), 5 (https://www.opennet.ru/opennews/art.shtml?num=65473), 6 (https://www.opennet.ru/opennews/art.shtml?num=65476)) в ядре Linux, позволяющей непривилегированному локальному пользователю получить права root, перезаписав данные в страничном кэше. CVE-идентификатор ещё не присвоен, кроме кода эксплоита информации о проблеме пока нет. Исправление доступно только в виде патча (https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/commit/?id=4db79a322db8), который опубликован 20 мая и 21 мая был принят в основную ветку ядра Linux (корректирующие выпуски (https://kernel.org) ядра ещё недоступны).
Уязвимость присутствует в реализации технологии GRO (https://docs.kernel.org/networking/segmentation-offloads.html) (Generic Receive Offload), применяемой для ускорения обработки сегментированных пакетов. Уязвимость вызвана ошибкой в реализации механизма zerocopy в функции skb_gro_receive(), осуществляющей прямое изменение данных в страничном кэше для исключения лишней буферизации. При установленном флаге SKBFL_MANAGED_FRAG_REFS пропускалось сохранение ссылки на освобождаемые страницы памяти в поле shinfo->frags, после чего данное поле присоединялось к другому skb без изменения счётчика ссылок, что приводило к обращению к памяти после её освобождения (use-after-free). Проблему удалось эксплуатировать для перезаписи данных в страничном кэше, благодаря манипуляции с указателем на буфер io_uring.
Атака возможна на системы с включённой подсистемой io_uring (io_uring_disabled=0). Для работы эксплоита в системе должен быть доступный на чтение исполняемый файл с флагом SUID-root. Механизм эксплуатации сводится к тому, что атакующий добивается оседания базы пользователей в страничном кэше, после чего подставляет в кэш строку "hax::0:0::/root:/bin/sh". Следом запускается команда "su hax", которая получает не оригинальную базу пользователей с накопителя, а изменённую копию с подставным логином "hax", которому выставлены права root и пустой пароль. Работа эксплоита протестирована в Ubuntu 24.04.
Источник: https://www.opennet.ru/opennews/art.shtml?num=65504 (https://www.opennet.ru/opennews/art.shtml?num=65504)
https://www.opennet.ru/opennews/art.shtml?num=65504
True
https://zhub.link/system/media_attachments/files/116/619/723/362/321/347/original/e94f20dd5aa22660.png
зато сидючи на чём-то совсем маргинальном есть вероятность не попасть под раздачу. Ибо токены стоят денег, а тот-же хайку используют полтора землекопа. Не окупится.
да колись на федорі була відома дірка з .xz а на дебіан ще не встигла заїхати.
просто піпл який активно топить за шапку з фольги (виживання без ші) явно програє еволюційний відбір і цей відбір мені чогось не хочиться з ними розділяти.
Угу, только гребень мейнстрима не обещает, что дырку успеют закрыть до того, как.
Це пішов тренд на AI пентести. Зара буде всюди.
У зв'язку з цим, передумав дауншифт на всякі Haiku OS, FF ESR та інші кошерні штуки бо реально стрьомно сидіть трохи далі від гребня мейнстріму.
Походу решили и за Фрю взяться... Там вобще весь список хорош, но вот это - меня прям особенно вштырило. Настолько классическая классика...
--------
- CVE-2026-45255 () - в инсталляторе bsdinstall и конфигураторе bsdconfig отсутствовало экранирование () спецсимволов в shell-скрипте, показывающем пользователю список доступных для подключения беспроводных сетей, определённых в результате сканирования. Атакующий может создать подставную точку доступа и назначить специально оформленный идентификатор сети (SSID), содержащий выполняемые в shell конструкции (например, "test`id`"). При вызове пользователем функции поиска беспроводных сетей, подставленные атакующим shell-команды будут выполнены на системе пользователя с правами root (выбор или подключение к сети атакующего не требуется, достаточно просто инициировать сканирование сетей).
--------
Стосовно NIP-65 - це виходить що клієнт побіжить в перші підкидні двері. Уявімо, що бодрий журналюга вривається в #nostr і починає тут душу ізлівать. Тим часом, йому підкидують релеїв через комент або лайк.
#maps #математика #интересное
Карта мира глазами математика, шарящего в топологии (не путать с топографией!).
Здесь не соблюдены ни относительные площади стран, ни даже их расположение. Только кто с кем граничит и имеет выход к морю.
https://m.s.cafe/media_attachments/files/116/614/059/954/559/204/original/d5188e1adf05a483.webp
если я не путаю - kind:112 - что-то нестандартное.
Hubzilla version 11.2.1 contains an important fix for a security issue that would in some cases allow a malicious actor to alter an activity (such as a Like or Announce/Repeat, etc) without affecting the cryptographic signature of the activity. This could caue potential unauthenticated activities to be injected into the system.
Only activities coming from other fediverse software relying on LD-Signatures are affected. Hubzilla defaults to using the more robust Data Integrity Proofs where available, such as between Hubzilla instances. In addition, the way Hubzilla normalizes the incoming messages before validating the signature mitigated most of the attack vectors, while some would still affect us.
In version 11.2.1 further mitigations has been implemented, so that we will reject activities containing any of the potentially dangerous keywords before even trying to validate the signature.
Thanks to the Mastodon security team for reporting this issue, and helping us understand how the attack work. See also their announcement about the issue.
CVE: CVE-2026-46349
Severity: 5.3 (Medium)
Vector: CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
Vulnerable component: PubCrawl (ActivityPub addon)
Vulnerable version: Up to and including 11.2
Fixed in: 11.2.1
ага, ясно понятно. https://image.nostr.build/0e31f8e7a24a7d42176c6b54d77f522424390aac843f5c50810bb2410562e004.png
Yup 😎
https://image.nostr.build/35525559f700e23c1b1f2566a4f075176b050c03827ed1ce2c31f4172d62dcb2.jpg
Всё таки у меня не пропадает ощущение, что в какой-то момент я провалился в немножко альтернативную вселенную....
----------------------
Компания Microsoft опубликовала наработки, связанные с дистрибутивом Azure Linux 4, который по сравнению с веткой 3.0 кардинально переработан и переведён с собственной пакетной базы на использование пакетов из дистрибутива Fedora 43. Если ранее Azure Linux позиционировался как платформа для Linux-окружений, используемых в облачной инфраструктуре, edge-системах и различных сервисах Microsoft, то теперь Azure Linux преподносится как защищённая и надёжная операционная система общего назначения, оптимизированная для облака Azure, которую можно использовать в виртуальных машинах, контейнерах, окружении WSL (Windows Subsystem Linux) и в качестве основной ОС на компьютерах.
----------------------
ну як провтикав - різні айпі бачив на резольві, але потім чогось сам собі рішив що це один сервер :)
ні, я провтикав цей момент, там і дійсно ж 2 різні IP. дякую!
И тут мне пришла в голову мысль.
А ты понимаешь, что wss://nostr.twinkle.lol и ws://[302:a4cb:8384:284d:ee:c:7dec:3221]/ - это два РАЗНЫХ релея? Совсем разных. Может ты думал, что ws: - это еще один адрес nostr.twinkle.lol и ожидал там увидеть тоже самое?
Слушай, я тебе уже, по моему, писал: хочешь странного - потрать время на то, что-бы полностью понять как оно работает. Вот прям подробно. Не хочешь вникать - будь как все.
забув додати, на gossip:
* підписок я теж не бачу, не бачу юзернем
* але бачу останні пости з howto.ygg
це я тестую на чистому профілі, видаливши попередній local/share і заново імпортувавши ключ на ws 0200::/7 only.
Вы потратите свои лучшие силы на абсолютно бесполезных москвичей, а менее прикрытые и более стратегические цели выживут. Путин максимально доволен. Читай мой прошлый пост на эту тему.
на gossip ws://[302:a4cb:8384:284d:ee:c:7dec:3221]/ (only)
на jumble wss://nostr.twinkle.lol/
* на gossip не бачу попередніх постів з jumble (припустимо вони на лівакових релеях)
* на jumble я не бачу 2 нових своїх постів з gossip
Мы долбили той ночью не только по нерезиновой.
gossip умеет одновременно работать и с ws и с wss
Так а нашо тоді ws:// ну серйозно, це що таке іздєватєльство над нубами, просто опція для ентузіастів чи в ньому є практичне застосування?
еще чуть-чуть и ты проникнешься, почему nostr.twinkle.lol - wss/https не смотря на то, что доступен через ygg.
Знов удень пробував поставити Jumble з підключенням до ігового піра. Він мені не треба, просто для інфи. Чогось йому не вистачає - от наприклад конект йде, а після авторизації не бачу своїх же дописів.
Виходить що дані хостяться не там, де я думав, мабуть в тих релеях шо під постом написані. Клірнет релей я додав, але він не паше.
Нормальний юзер тут ногу зломить. Або я просто перевтомився від хайтек і вже на очі не бачу.
Через минут 10 перезагружу сервер.
Хехе. Наши дотянулись до капотни. Пока - слегонца, но надеюсь недорогих моквичей и гостей нерезиновой еще ждёт туапсец.
Це дуже схожа ситуація з Invidious - дофіга було інстансів але жоден з них підключити в тому ж FreeTube повноцінно не можна (через фільтр-проксі yggstack)
Я чого ще спитав за цей AAAA бо в мене були думки, чому б (мені) не засетапить релей I2P. У свій час, багато децентралізованих / антицензурних соціалок згинуло саме через відсутність анонімізації.
А мені комунізм не цікавий, я людина проста: бачу AAAA на вікіпедії і думаю - він там треба чи це в мене глюк.
Якщо воно не працює і це так треба, то варік локалхост + релей ws:// не працює повноцінно: ті само блосуми-апосуми, пошук API, може ще шо забув.
Якось по нормальному треба мені зробити чистоплотний форк (викинути зашиті в той же Jumble залежності на клір і його всякі скрипти які він з кліра тягне)
а с nostr.twinkle.lol никто коммунизма не обещал. Хочешь чистый ws:// - тебе на ws://[302:a4cb:8384:284d:ee:c:7dec:3221]/
Трансформаторный... Аж олдскулы свело...
струм*
короч,
http://[202:68d0:f0d5:b88d:1d1a:555e:2f6b:3148]/d/254-blok-zivlennia-stabilizovanii-bps-5-foto
Колись купив за скажені гроші для живлення саморобної електроніки, але майже не користувався.
https://blossom.ditto.pub/fa59a24f3ec020e9030e9a813d6bc501c220227427d21ad30cfcafcd901b1b75.webp
https://blossom.ditto.pub/f20affedfdb7a9bce57acee06cc663fb57a72b93fbd26eb70e4abf90498714f2.webp
Як видно, є режими 3 - 4.5 (популярний тоді) - 6 - 9 -12 Вольт. Не зважаючи на дебелі габарити (13х8х6 см) максимальна напруга - всього 0.2 А :)
Це думаю заживити ним свій імпровізований NTP на базі Garmin eTrex-10, бо чомусь пальчикові Ni-MH акумулятори не видають потрібні 70-90 мА.
#ретро #електроніка
@npub1w7n…x26t вирішив тут ще разок спробувати #nostr over #yggdrasil але http://[302:a4cb:8384:284d:0:dc:6554:694d] мене редіректить на HTTPS
цю адресу я отримав з
``` bash
dig AAAA nostr.twinkle.lol
```
планував підключити релей ws://[302:a4cb:8384:284d:ee:c:7dec:3221]
розумію що можна взяти локалхост, але думаю скажу про цей "баг" WebUI
По великому рахунку, мені хтось давно казав, що сітка координат і так зміщена (для цивільних).
У мене приймач ловить GPS + GLONASS для точності місцевизначення в зажоп'ях. Разом з тим в теорії має бути й точніший час, бо гаджет вираховує мабуть середнє значення, або бере іншу коли одна з систем падає. Ще є Galileo і якісь китайські, але гаджет їх не підтримує.
Дякую за інфу, додав зауваження до матеріалу. Я тут і так в принципі поліз довбати свій туристичний навігатор, але шось він не шле мені потік байтів, поки не розберусь - задля експерименту сидітиму на Yggdrasil NTP over TCP.
@npub14cc…2nka
> Якщо на материнській платі жива батарейка, яка забезпечує роботу годинника, то NTP можна вимкнути
Нет. Потому что часы на материнке достаточно быстро уходят.
Угу. Глонас во время войны с мордором - особо разумная идея.