Всем привет! Приехало единичное изменение расписания выхода дайджеста.

На этих выходных дайджеста не будет, буду находиться в дороге. Дайджест выйдет в пятницу, 7 марта, покрывая неделю и 4 дня.

Следующий дайджест выйдет 16 марта, покрывая неделю и 3 дня, и далее буду работать по расписанию 👌.

https://sourcecraft.dev

Больше аналогов шитхаба богу аналогов шитхаб^W^Wимпортозамещения!

Лучше бы взяли условную Gitea и помогли допилить и/или сделали продукт на его базе нормальный... Тем более, что она под MIT.

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшие 2 недели (24 февраля - 8 марта).

Как обычно, ситуация круто поменялась, поэтому дайджест покрывает 2 недели и выходит в воскресенье, а не в пятницу, как было обещано.

Пользуясь случаем поздравляю прекрасную половину нашего общества с прошедшим 8 марта! 🌷

* Кристоф Хелвиг ушёл с поста мэйнтейнера DMA Mapping и ConfigFS после форсирования Rust. Все пересрались, Кристоф не хочет думать о Rust, Линус протащит Rust независимо от желаний мейнтейнеров. Однако Кристоф остается мейнтейнить подсистемы NVM Express, vmalloc и FreeVXFS, скорее всего до момента, когда к ним потребуются обвязки на Rust.
* Обновление X.Org Server 21.1.16 с устранением 8 уязвимостей. Если вы еще не перешли на Wayland - то рекомендую обновиться. По типам уязвимостей все по классике - неиницилизированные указатели, use-after-free, отсутствие проверки размера буфера и данных. Особенность этого всего добра только в том, что уязвимости существуют со стародавних времен, самая старая - с 1991 года!
* Проект по обеспечению запуска исполняемых файлов FreeBSD в Linux. Пока непонятно зачем, если только игори от плойки (PlayStation) запускать. В новости в принице отчет за 4 квартал 2024 года, заинтересованные могут прочитать. Я, например, подписан на список рассылки, чтобы быть в курсе.
* Компания Electronic Arts открыла игры серии Command&Conquer под лицензией GPL. Все как обычно - движок заопенсорсили, игровые ресурсы - нет. Да и при сборке требуется воссоздание окружения, что уже осложняет портирование движка на отличные от Windows ОСи.
* Компания IBM завершила сделку по покупке HashiCorp. За 6.4 лярда они получили права на Vagrant, Packer, Terraform, Nomad, Consul, Vault и прочих. Говорят, что IBM может обратно вернуть открытую лицензию (в 2023 году HashiCorp перевела свои продукты на BSL 1.1), но пока в это не очень-то и верится, да и форки существуют, если что (Terraform - OpenTofu, Vault - OpenBao).
* Mozilla пояснила причину удаления обещаний не продавать данные пользователей. Паникеры паникуют, мозилловцы оправдываются, адекваты и так понимают, что все ваши данные давно проданы :). Но в комментариях забавный срач.
* Релиз Firefox 136 с поддержкой вертикальных вкладок. Ура, ура, ура! Теперь осталось их сделать "деревом", как делает расширение Tree Style Tab, и можно пользовать. А вот неотключаемый сайдбар с иконками - зло. Если вы скрываете сайдбар с иконками, вы скрываете и вывод дополнений или вертикальные вкладки...
* Уязвимость в LibreOffice, позволяющая выполнить скрипт через подстановку ссылки в документ. Пофикшено в 24.8.5 и 25.2.1, не забудьте обновиться.
* Google опубликовал инструментарий для анализа и изменения микрокода AMD. Интересная история про уязвимость проверки микрокода CPU AMD на базе архитектур Zen 1 - 4.
* Релизы дистров и ОСей: Sailfish 5.0, Armbian 25.2, Solaris 11.4 SRU78, Proxmox Mail Gateway 8.2, GhostBSD 25.01, ROSA Fresh 13, Tails 6.13, Linux From Scratch 12.3 и Beyond Linux From Scratch 12.3 (это хендбуки для сборки своего линукса, без пакетников).

Итак, краткое ревью:

- Гитцы обычные - просмотр кода, ветки, пулл реквесты. Привычное деление на "организация/пользователь > репозиторий"
- Интерфейс похож на гитлабовский компоновкой (и более особо ничем). То есть менюшка вертикально слева, с подразделами.
- Задачи - калька с гитхаба плюс налет "ынтырпрайза" (есть статусы, которых в принципе хватит всем, и 5-ступенчатая приоритезация).
- За задачу можно проголосовать большим пальцем, других реакций не предусмотрено.
- Комментарии идут "от новым к старым", переключатель на привычное "от старым к новым" не нашел.
- Есть, видимо, эпики (обозначенные в задаче как "Цель"), но я не вкурил как их заводить. А доку читать конечно же лень 🫠.
- Есть CI/CD, который я не тыкал.
- Редактор комментариев и тела задачи - как в трекере. В принципе работает хорошо, и даже WYSIWYG'но.
- Мигрировать можно только с Github (утверждается, что "пока что").

Вывод: можно пользовать для самых нетребовательных. Любителям досочек и прочих плюшек рекомендую подождать - досок, вики, проектов и вообще чего-то, кроме CI/CD, гитцов и PR, пока нет. Но сама приложенька работает довольно быстро.

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшую неделю (9 - 16 марта).

Жена решила меня выгнать из гостиной в отдельную комнату, поэтому у меня появился некий "кабинет", а также опоздание дайджеста на 1 день 😅.

Часть 1 / 2

* Google отключил дополнение uBlock Origin в каталоге Chrome Web Store. Кнопка "Установить" теперь неактивна, а все из-за того, что дополнение пользует манифест расширений второй версии, а Google форсирует уже третью. В третьей версии предоставляемое API очень ограничено и не позволяет реализовать некоторые алгоритмы фильтрации и обхода противодействий использования блокировщика рекламы, поэтому автор uBlock Origin рекомендует использовать совместимый uBlock Origin Lite, либо переехать на Firefox, который не будет так сильно закручивать гайки.
* Microsoft переписывает компилятор TypeScript на языке Go. В текущем виде оно уже обеспечивает ускорение на порядок (например, сборка TypeORM ускорилась с 17.5 до 1.3 сек). Выпуск первой полнофункциональной версии запланирован на конец кода.
* Старые версии Firefox потеряют возможность использовать дополнения после 14 марта. То есть дополнения будут прямо деактивированы. Чтобы этого не произошло, Mozilla рекомендует обновить браузер до актуальной версии.
* Организация Объединённых Наций предложила принципы Open Source. Мысль вроде хорошая, однако есть у меня подозрения, что в итоге это все изгадят, потому что там есть пункт про "инклюзивность и разнообразие".
* В Ubuntu 25.10 решено заменить GNU Coreutils на uutils, написанные на Rust. Скоро мы будем запоминать не только отличия BSD версий от GNU (и использовать их, ориентируясь на тип операционки), но теперь еще и в рамках одной ветки ОС мы будем запоминать различия между "каноническими" и "крабовыми" базовыми утилитами. Больше фрагментации богу фрагментации!
* Отчет о разработке KDE. Среди того, что войдет в Plasma 6.4.0: график копирования файлов (как в Windows), отключение иконок в трее для приложений (а не только для модулей KDE/Plasma), фикс резервирования места панели (теперь более одной панели могут располагаться на одной линии у края экрана), визуальные улучшения у множества эффектов.
* Релизы дистров и ОСей: FreeBSD 13.5, РОСА Мобайл 2.0, Debian 12.10, SystemRescue 12.0.

Часть 2 / 2

Уязвимости и бреши в безопасности:

* В чипах ESP32 выявлены недокументированные команды для управления контроллером Bluetooth. Недокументированные HCI команды позволяют манипулировать трафиком, причем делать это незаметно для хостовой системы. Разработчики считают это "скрытыми фичами", и многие новостные сайты также переименовались с "бэкдоров" на "скрытые фичи", однако это не отменяет того, что можно управлять трафиком Bluetooth и, наверняка, создать ботнет, причем владелец устройств ничего не заметит.
* Подмена зависимости в Python-библиотеке, насчитывающей 40 млн загрузок в месяц. Речь про python-json-logger, которая довольно популярна, из-за особенностей работы системы плагинов (и python в принципе) могла исполнять сторонний код. Был такой пакет msgspec-python313-pre, который у логгера был в опциональных зависимостях, и в декабре 2024 года авторы пакет с pypi удалили. А так как в pypi нет никакой защиты от повторной регистрации пакета, то выявивший проблему исследователь зарегистрировал такой пакет заново и продемонстрировал выполнение стороннего кода. Проблему устранили в python-json-logger версии 3.3.0 от 7 марта, так что обновитесь.
* Уязвимость во FreeType, позволяющая выполнить код при обработке шрифтов. Классика, переполнение буфера. Уязвимость старая, так как исправлена в FreeType 2.13.1 от июня 2023 года.
* Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab. Рубисты, обновляйтесь, там не только Gitlab затрагивается.
* Компрометация GitHub Actions-обработчика changed-files. Вредоносный код пишет в логи все ключи, логины, пароли и прочие секреты. Рекомендую срочно поменять все секреты, если вы пользуетесь этим действием.

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшую неделю (17 - 23 марта).

* Релиз графического редактора GIMP 3.0.0. Спустя 7 лет миграция на GTK3 наконец-то закончилась, на дворе во всю развивается GTK4, а в планах миграции на свежайшую версию тулкита пока тишина. Из приятного - нормальная работа на HiDPI экранах, базовая поддержка CMYK, улучшение работы с PSD файлами. Из неприятного - API плагинов изменился, поэтому все, что работало раньше, нуждается в переписывании.
* Представлен TinyKVM для виртуализации на уровне отдельных процессов. Интересная штука, которая запускает такую урезанную виртуалку для процесса. Собираюсь в ближайшее время попробовать. Однако учтите, что используется KVM, а следовательно, нормальная работа возможна только в Linux.
* Vulkan стал официальным графическим API платформы Android. Теперь пилить игори из одной кодовой базы для мобилок и десктопов должно стать проще. Ждем шагов от Apple?
* Релиз GNOME 48. Из интересного только поддержка тройной буферизации для плавности анимаций, а также модуль для отслеживания времени, проведенного за компьютером, с уведомлениями о перерывах.
* Браузер Chrome переведён на шрифтовой движок Skrifa, написанный на Rust. С версии 128 он был экспериментальным и включался только для определенных форматов шрифтов, теперь же вся отрисовка шрифтов на нем. Ждем ШГ на сайтах 🫠.
* Перегрузка ресурсов популярных проектов из-за скейпинга ИИ. Собственно, к этому все и шло, даже я на своих ресурсах заметил, что ИИшечки игнорируют robots.txt. Пока блокировкой не занимался, но использование CPU на моей gitea выросло уже процентов на 10 в среднем, так что начинаю задумываться.
* Для ОС Haiku началось портирование драйвера NVIDIA и опубликован порт GIMP 3.0. Последнее не так интересно, а вот первое дает возможность Haiku продвинуться как ОС общего назначения. Следим за развитием событий.
* Релизы дистров и ОСей: elementary OS 8.0.1, ReactOS 0.4.15.

Попробовал Sunshine с клиентом к нему Moonlight - это такое self-hosted "игровое облако", а более точно - стриминг с игровой пекарни с максимально низкими задержками (которые может обеспечить ваша сеть). Настраивается очень легко, работает адекватно (на 802.11ac смог довольно приятно поиграть в WoW на своем сервере и в Crab Champions), задержки действительно почти не ощущаются, хотя иногда местами совсем немного, но подлагивает стриминг изображения.

А вот соревновательные игори играть через это не рекомендую - там задержки у меня ощущаются очень сильно 🙂 CS2 сразу мимо.

А это у меня одного Яндекс.Музыка все?

Интерфейс сайта грузится, но не играет, официальная приложенька не грузится в принципе.

Вот зачем вы деплоитесь в воскресенье? :)

В комментах сказали, что виноват не деплой.

Ладно, виноват не воскресный деплой) Ждем фиксов.

P.S.: статуспага яндекса врет, получается? 🙂

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшую неделю (23 - 30 марта).

* Релиз ядра Linux 6.14. Из интересного: улучшения балансировки btrfs, некешируемый ввод-вывод (должно быть полезно с быстрыми NVME SSD), драйвер ntsync (должен хорошенько ускорить виндовые приложения, в частности, игори), возможность использовать SHA512 для подписи модулей ядра, включение поддержки arm64 в драйверах VirtualBox.
* Разработчики GRUB2 рассматривают возможность использования языка Rust. Судя по всему, в среднесрочной перспективе сишечка встанет в один ряд с ADA, Cobol и похожими языками, так как все больше проектов переходят на Rust.
* Уязвимости в ingress-nginx, позволяющие выполнить код и захватить управление кластерами Kubernetes. Речь про развиваемый самим кубером проект, а не от разработчиков F5. В общем, обновляйтесь, если пользуете.
* Обновление почтового сервера Exim 4.98.2 с устранением уязвимости. Собственно, опять проблема с работой с памятью. Может, и Exim пора переписать на Rust? 🫠
* Для KDE разрабатывают новый менеджер входа для замены SDDM. Если SDDM разрабатывался как универсальное решение, то новый Plasma Login Manager будет тесно интегрирован с KDE. При проектировании оного "золотым стандартом" назвали, как ни странно, GDM. Посмотрим, что из этого получится, ибо проект на стадии MVP и пока не готов к повсеместному использованию.
* Google переходит к разработке Android за закрытыми дверями с открытием кода после релизов. Скорее всего это решение выльется только в задержки релизов открытых прошивок типа LineageOS, которые будут подготавливаться уже после залития слепка кода в публичный репозиторий. Цель, конечно же, декларируется как "упрощение разработки и поддержки", однако посмотрим, во что это выльется.
* В ядро Linux добавлена поддержка работы в качестве хост-системы для Hyper-V. Изначально эта поддержка появилась аж в 2020 году для Azure Linux, однако она была оформлена в виде патчей, а теперь это прям в ядре. Кстати, эта новость еще раз показывает, что вендекапец близко, раз даже сама Microsoft использует Linux в своих проектах, где есть виртуализация 😅.
* Утечка пользовательской базы списка рассылки автора сервиса HaveIBeenPwned. Happens even with the best of us. Дежурное напоминание про постоянную проверку ссылок в письмах, а также адресов отправителей.
* GitHub вводит лимит в сто тысяч репозиториев для одной организации. Интересно, у кого-то уже есть близкое к этому количество репозиториев? Поделитесь в комментариях ссылками, если знаете.
* Очередной отчет о разработке KDE. Из интересного: реализация протокола fifo для Wayland (и сильное снижение нагрузки на GPU), поддержка xdg-портала Clipboard (будет нормальная работа с буфером обмена для изолированных приложений), возможность переключаться между окнами с помощью Meta+Tab (привет, мигранты с Apple).

* Релизы дистров и ОСей: Finnix 250 (Live-дистрибутив для системных администраторов), AerynOS 2025.03 (бывший Serpent OS), Zorin OS 17.3, Q4OS 5.8, Rescuezilla 2.6.

Всех с первым апреля! Не забывайте сегодня рассматривать все новости (особенно айтишные) критически 🙂

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшую неделю (31 марта - 6 апреля).

* Restic 0.18 с фиксом уязвимости для параноиков. Вкраце - из-за CDC (Content-Defined Chunking) была возможность выяснить наличие файла в зашифрованной резервной копии. Починили, поэтому если вы параноите (или храните бэкапы в совсем ненадежных хранилищах типа OneDrive) - рекомендую обновиться.
* Релиз Firefox 137 с поддержкой группировки вкладок. Практически калька с хромоногих, теперь и в лисе. Включается не сразу для всех, если у вас после обновления фичи нет - в about:config ставим browser.tabs.groups.enabled в true. Также из интересного - возможность в консоли разработчика подменить реальный ответ на данные из файла.
* Первые публичные версии Nelm, форка Helm для развёртывания приложений в Kubernetes. Выглядит (по заявлениям) интереснее Helm, уже кинул в рабочий чятик, посмотрим, что скажут.
* Опубликован Valkey 8.1, форк СУБД Redis от Amazon, Google, Oracle и Ericsson. Напомню, что Redis теперь под SSPL, которая заставляет вас открывать код вашего приложения, если вы просто используете Redis. В этой версии в основном оптимизации, но которые могут привести к ускорению работы с софтинкой до 20-30%.
* Релиз пакетного менеджера APT 3.0.0. Из интересного - переработан интерфейс пользователя (теперь все разноцветное и в принципе более явно разделено на блоки), apt-key совсем-совсем все.

* Релизы дистров и ОСей: CachyOS 250330, GoboLinux 017.01, Rockbox 4.0 (прошивка для аудиоплееров), Tails 6.14.

Итак, наблюдения за 2.5 дня:

1. Сегодня оно мне по открытой в соседней вкладке миграции сгенерила структуру гошную. Валидно, но не отсортировала поля, чтобы они компактно лежали в памяти, а не жрали лишние байты. Несущественно, fieldalignment -fix меня спас.
2. Я всего пару раз ручками писал мантру if err != nil {}, оно все генерило за меня.
3. Продолжая п.1 - структуру сгенерило, тип для enum в БД тоже прописало в структуре, а вот сам алиас не запилила автоматически, пришлось написать type AliasName, чтобы оно сгенерило и алиас, и все возможные значения в константы сразу за ним запихнуло.
4. По сигнатуре функции в пакете работы с БД (стороже), на основании контекста (открытых вкладок других файлов сторожа и миграции БД) сразу сгенерило функцию, причем именно в том стиле кода, в котором написано все остальное.
5. Генерация по запросу в чат с LLMкой в сайдбаре хорошо учитывает контекст - несколько файлов оно мне тупо сгенерило, что ориентировочно сэкономило мне 5 часов кодинга вручную.
6. С нуля генерирует логически верные, но структурированно неправильные файлы, пока ей не скормишь контекст (что ожидаемо в принципе). Например, оно мне всю приложуху засунуло в main.go, хотя там и пара сервисных структур, и работа с БД.

Выводы: пользовать можно, время экономит неплохо, пальцы устают теперь меньше при написании кода. Вот только я рекомендую LLMки использовать уже опытным разработчикам и строго для экономии времени, если вы джун - лучше ручками себя поднатаскайте сначала.

Доброго времени суток!

Представляю вам мини-дайджест около-айтишных новостей за прошедшую неделю (7 - 13 апреля).

* Альфа-выпуск пакетного менеджера RPM 6.0. Он будет в Fedora 43, из интересного - возможность собирать пакеты размером более 4 ГБ (привет, Gitlab OmniBus!), прекращение поддержки формата RPM3, автоматическая проверка и автоматическое создание подписей для пакетов, прекращение поддержки хешей MD5, SHA1 и DSA, а также поддержка обновления уже известных GPG ключей.
* Искажение авторства патчей Rust-обвязок к подсистеме DRM. Очередная драма в стане разработчиков ядра Linux. На этот раз разработчик Nouveau взял код rust-обвязок, который создавался в рамках проекта Asahi Linux для армовых макпуков, реструктуризировал, немного поправил код регистрации компонентов, и выдал код за свой, с указанием Co-Developed-By основного автора (Asahi Lina). В ответ Лина указала, что фактически новых фич нет и весь код ее, и ее нужно было указать основным разработчиком вместе с Данило Круммрихом (который разработчик nouveau). Он спросил в каких патчах и файлах это сделать, так как у него нет времени на срачи, а аргумент, что без его работы этих патчей в принципе не существовало, Лина признавать не хотела. В итоге последняя психанула и сказала, что ее код теперь лицензируется под CC-0 и, мол, "делайте с ним что хотите". Тем временем в тред пришел Дейв Эйрли (мейнтейнер подсистемы DRM) и сказал, что код авторства Лины будет соответствующим образом помечен, не пытаясь разыгрывать драмы. Однако, драма уже произошла 😅. Кстати, тут ходят слухи, что Лина и Гектор Мартин (еще один разработчик Asahi Linux) - это один и тот же человек.
* Очередной отчет о статусе разработки KDE. Из интересного - повышена производительность вывода при изменении яркости (наблюдались просадки FPS), фиксы падений KWin (аж 4 штуки), переработано окно управления хоткеями для приложений.

Эта неделя была богата на всякие уязвимости:

* Уязвимости в GNOME Help и GIMP, позволяющие выполнить код при открытии файлов. В просмотрщике файлов помощи GNOME есть возможность выполнить рандомный JS код, а в GIMP - выполнение кода при открытии файлов XWD (что-то типа устаревшего формата скриншотов) и FLI (анимашки от Autodesk). И если первое довольно критичное, то второе я, например, за все 17 лет с никсами вообще ниразу не пользовал, что не отменяет необходимости обновиться.
* Уязвимости в сетевом конфигураторе ConnMan и DNS-библиотеке c-ares. Все по классике - use-after-free и переполнение буфера. У первой софтины фикс ожидается, у c-ares - обновляемся на 1.34.5 и выше.
* CPU AMD Zen 5 подвержены уязвимости, допускающей изменение микрокода и обход изоляции SEV-SNP. От AMD фиксы есть, но для SEV требуется обновление BIOS, так что следите за апдейтами на сайте производителя материнки.
* Опубликованы результаты аудита безопасности кодовой базы PHP. Выявлено 27 проблем, из которых 2 - критические. Ждем фиксов и обновляемся.

* Релизы дистров и ОСей: FreeDOS 1.4, Proxmox VE 8.4.