OpenNET

Компания Google развивает сборочную систему Soong, призванную заменить собой старые сценарии сборки платформы Android, основанные на использовании утилиты make. Soong предлагает использовать простые декларативные описания правил сборки модулей, задаваемые в файлах с расширением ".bp" (blueprints). Формат файлов близок к JSON и по возможности повторяет синтаксис и семантику сборочных файлов Bazel. Код написан на языке Go и распространяется под лицензией Apache 2.0.

Сборочные файлы Soong не поддерживают условных операторов и выражений для ветвления, а только описывают структуру проекта, применяемые при сборке модули и зависимости. Подлежащие сборке файлы описываются при помощи масок и группируются в пакеты, каждый из который представляет собой коллекцию файлов с указанием связанных с ними зависимостей. Возможно определение переменных, которые строго типизированы (тип переменных выбирается динамически при первом присвоении, а для свойств статически в зависимости от типа модуля). Сложные элементы сборочной логики вынесены в обработчики, написанные на языке Go.

Soong переплетается с более общим проектом Blueprint, в рамках которого развивается не привязанная к Android мета-система сборки. Парадигма данного типа сборки заключается в том, что на основе файлов с декларативными описаниями модулей, формируются сборочные сценарии Ninja (замена make), описывающие команды, которые необходимо выполнить для сборки, и зависимости. Вместо применения сложных правил или предметно ориентированного языка для определения логики сборки, в Blueprint применяются специфичные для собираемых проектов обработчики на языке Go (Soong является по сути набором подобных обработчиков для Android).

Подобный подход позволяет для больших и разнородных проектов, таких как Android, реализовать сложные элементы сборочной логики в коде на высокоуровневом языке программирования, при этом сохраняется возможность при помощи простого декларативного синтаксиса вносить в модули изменения, связанные с организацией сборки и структурой проекта. Например, в Soong выбор флагов компилятора производится обработчиком llvm.go, а применение специфичных для аппаратных архитектур настроек производится обработчиком art.go, но привязка файлов с кодом осуществляется в файле ".bp".

cc_library {

...

srcs: ["generic.cpp"],

arch: {

arm: {

srcs: ["arm.cpp"],

},

x86: {

srcs: ["x86.cpp"],

},

},

}

Организация Open Invention Network (OIN), занимающаяся защитой экосистемы Linux от патентных претензий, примет участие в защите проекта GNOME от атаки патентного тролля Rothschild Patent Imaging LLC. На проходящей в эти дни конференции Open Source Summit Europe директор OIN заявил, что организация уже собрала команду юристов, которые займутся поиском фактов более раннего использования описанных в патенте технологий (Prior art), что поможет добиться признания патента недействительным.

OIN не может воспользоваться для защиты GNOME сформированным для защиты Linux патентным пулом, так как Rothschild Patent Imaging LLС лишь владеет интеллектуальной собственностью, но не ведёт разработку и производственную деятельность, т.е. ей невозможно предъявить ответный иск, связанный с нарушением условий использования патентов в каких-либо продуктах. Rothschild Patent Imaging LLC является классическим патентным троллем, живущим в основном за счёт исков к мелким стартапам и компаниям, которые не имеют ресурсов для длительного судебного разбирательства и которым проще оплатить отступные. За последние 6 лет компания Rothschild Patent Imaging LLС подала 714 подобных исков.

По словам директора OIN, вначале организация сосредоточила своё внимание на создании условий, защищающих Linux от враждебного поведения компаний, ведущих производственную деятельность. Так как отрытые проекты стали более востребованными во всех сферах, подобных компаний становится всё меньше и меньше. Поэтому теперь OIN может уделить внимание и рискам, возникающим в результате активности непрактикующих компаний, а именно патентых троллей, живущих только за счёт исков и отчислений. В ближайшее время организация OIN также намерена объявить о новом партнёрстве с двумя крупными компаниями, имеющими опыт противостояния несостоятельным патентам и признания подобных патентов недействительными.

Напомним, что GNOME Foundation вменяется нарушение патента 9,936,086 в менеджере фотографий Shotwell. Патент датирован 2008 годом и описывает технику беспроводного соединения устройства захвата изображений (телефон, web-камера) с получающим изображение устройством (компьютер) и последующей выборочной передачей изображений с фильтрацией по дате, местоположению и другим параметрам. По мнению истца, для нарушения патента достаточно наличия функции импорта с камеры, возможности группировки изображений по определённым признакам и отправки изображений на внешние сайты (например, в социальную сеть или фотосервис).

Истец предложил отозвать иск в обмен на покупку лицензии на использование патента, но GNOME не согласился на сделку и решил бороться до конца, так как уступка поставила бы под угрозу другие открытые проекты, которые потенциально могут стать жертвами указанного патентного тролля. Для финансирования защиты GNOME был создан фонд "GNOME Patent Troll Defense Fund", который уже собрал 109 тысяч долларов из необходимых 125 тысяч.

Компания Intel опубликовала новую версию гипервизора Cloud Hypervisor 0.3. Гипервизор построен на основе компонентов совместного проекта Rust-VMM, в котором кроме Intel также участвуют компании Alibaba, Amazon, Google и Red Hat. Rust-VMM написан на языке Rust и позволяет создавать специфичные для определённых задач гипервизоры. Cloud Hypervisor является одним из таких гипервизоров, который предоставляет высокоуровневый монитор виртуальных машин (VMM), работающий поверх KVM и оптимизированный для решения задач, свойственных для облачных систем. Код проекта доступен под лицензией Apache 2.0.

Cloud Hypervisor cфокусирован на запуске современных дистрибутивов Linux с использованием паравиртуализированных устройств на базе virtio. Из ключевых задач упоминается: высокая отзывчивость, низкое потребление памяти, высокая производительность, упрощение настройки и сокращение возможных векторов для атак.

Поддержка эмуляции сведена к минимуму и ставка делается на паравиртуализацию. В настоящее время поддерживаются только системы x86_64, но в планах имеется и поддержка AArch64. Из гостевых систем пока поддерживается только 64-разрядные сборки Linux. Настройка CPU, памяти, PCI и NVDIMM производится на этапе сборки. Предусмотрена возможность миграции виртуальных машин между серверами.

В новой версии:

Продолжена работа по выносу паравиртуализированного ввода/вывода в отдельные процессы. Для взаимодействие с блочными устройствами добавлена возможность использования бэкендов vhost-user-blk. Изменение позволяет подключать к Cloud Hypervisor блочные устройства на базе модуля vhost-user, такие как SPDK, в качестве бэкендов для паравиртуализированных хранилищ;

Появившаяся в прошлом выпуске поддержка выноса сетевых операций в бэкенды vhost-user-net, расширена новым бэкендом на базе виртуального сетевого драйвера TAP. Бэкенд написан на языке Rust и теперь используется в Cloud Hypervisor в качестве основной паравиртуализированной сетевой архитектуры;

Для повышения эффективности и защищённости коммуникаций между хост-окружением и гостевой системой предложена гибридная реализация сокетов с адресацией AF_VSOCK (виртуальные сетевые сокеты), работающая через virtio. Реализация основана на наработках проекта Firecracker, развиваемого компанией Amazon. VSOCK позволяет использовать штатный POSIX Sockets API для взаимодействия между приложениями на стороне гостевой системы и хоста, что позволяет легко адаптировать для такого взаимодействия обычные сетевые программы и реализовать взаимодействие нескольких клиентских программ с одним серверным приложением;

Обеспечена начальная поддержка управляющего API, использующего протокол HTTP. В будущем данный API позволит инициировать выполнение асинхронных операций над гостевыми системами, таких как горячее подключение ресурсов и миграция окружений;

Добавлен слой с реализацией транспорта на базе virtio MMIO (Memory mapped virtio), который может быть использован для создания минималистичных гостевых систем, не требующих эмуляции шины PCI;

В рамках инициативы по расширению поддержки запуска вложенных гостевых систем в Cloud Hypervisor добавлена возможность проброса паравиртуализированных устройств IOMMU через virtio, позволяющего повысить защищённость вложенного и прямого проброса устройств.

Обеспечена поддержка Ubuntu 19.10;

Добавлена возможность запуска гостевых систем с более чем 64 ГБ ОЗУ.

Дополнительно можно отметить новый выпуск смежно развиваемого монитора виртуальных машин Firecracker, также написанного на Rust, базирующегося на Rust-VMM и работающего поверх KVM. Firecracker является ответвлением от проекта CrosVM, используемого компанией Google для запуска приложений Linux и Android в ChromеOS. Разработка Firecracker ведётся в подразделении Amazon Web Services с целью повышения производительности и эффективности работы платформ AWS Lambda и AWS Fargate.

Платформа рассчитана на запуск виртуальных машин с минимальными накладными расходами и предоставляет средства для создания и управления изолированными окружениями и сервисами, построенными с использованием бессерверной модели разработки (функция как услуга). Firecracker предлагает легковесные виртуальные машины, именуемые microVM, для полноценной изоляции которых применяются технологии аппаратной виртуализации, но при этом обеспечивается производительность и гибкость на уровне обычных контейнеров. Например, при использовании Firecracker время с момента запуска microVM до начала выполнения приложения не превышает 125мс, что позволяет запускать новые виртуальные машины с интенсивностью до 150 окружений в секунду.

В новом выпуске Firecracker добавлен режим работы без запуска обработчика API ("--no-api"), ограничивающий окружение только жёстко заданными в файле конфигурации настройками. Статическая конфигурация задаётся через опцию "--config-file" и определяется в формате JSON. Из опций командной строки также добавлена поддержка разделителя "--", указанные после которого флаги передаются по цепочке без обработки.

Развивающая Firecracker компания Amazon также объявила об оказании спонсорской поддержки разработчиков языка программирования Rust. Отмечается, что Rust всё чаще используется в проектах компании и разработки на нём уже внедрены в таких службах, как Lambda, EC2 и S3. Amazon предоставил проекту Rust инфраструктуру для хранения выпусков и сборок в S3, запуска регрессивных тестов в EC2 и поддержания сайта docs.rs с документацией для всех пакетов из репозитория crates.io.

Amazon также представил программу AWS Promotional Credit, в рамках которого открытые проекты могут получить бесплатный доступ к сервисам AWS, которые можно использовать для хранения ресурсов, сборки, непрерывной интеграции и тестирования. Из уже одобренных для участия в программе проектов кроме Rust отмечены AdoptOpenJDK, Maven Central, Kubernetes, Prometheus, Envoy и Julia. Заявки принимаются от любых открытых проектов, поставляемых под лицензиями, одобренными OSI.

Опубликованы сведения о 10 уязвимостях в гипервизоре Xen, из которых пять (CVE-2019-17341, CVE-2019-17342, CVE-2019-17340, CVE-2019-17346, CVE-2019-17343) потенциально позволяют выйти за пределы текущего гостевого окружения и повысить свои привилегии, одна уязвимость (CVE-2019-17347) даёт возможность непривилегированному процессу получить контроль над процессами других пользователей в той же гостевой системе, оставшиеся четыре (CVE-2019-17344, CVE-2019-17345, CVE-2019-17348, CVE-2019-17351) уязвимости позволяют вызвать отказ в обслуживании (крах хост-окружения). Проблемы устранены в выпусках Xen 4.12.1, 4.11.2 и 4.10.4.

CVE-2019-17341 - возможность из подконтрольной атакующему гостевой системы получить доступ на уровне гипервизора. Проблема проявляется только на системах x86 и может быть совершена из гостевых систем, работающих в режиме паравиртуализации (PV), при пробросе в работающую гостевую систему нового PCI-устройства. В гостевых системах, работающих в режимах HVM и PVH, уязвимость не проявляется;

CVE-2019-17340 - утечка памяти, потенциально позволяющая повысить свои привилегии или получить доступ к данным других гостевых систем. Проблема проявляется только на хостах с более чем 16 Тб ОЗУ в 64-разрядных системах и 168 Гб в 32-разрядных. Уязвимость может быть эксплуатирована только из гостевых систем в режиме PV (в режимах HVM и PVH при работе через libxl уязвимость не проявляется);

CVE-2019-17346 - уязвимость при использовании PCID (Process Context Identifiers) для повышения производительности защиты от атак Meltdown позволяет получить доступ к данным других гостевых систем и потенциально повысить свои привилегии. Уязвимость может быть эксплуатирована только из гостевых систем в режиме PV на системах x86 (проблема не проявляется в режимах HVM и PVH, а также в конфигурациях, в которых нет гостевых систем со включенным PCID (PCID активируется по умолчанию));

CVE-2019-17342 - проблема в реализации гипервызова XENMEM_exchange позволяет повысить свои привилегии в окружениях с только одной гостевой системой. Уязвимость может быть эксплуатирована только из гостевых систем в режиме PV (в режимах HVM и PVH уязвимость не проявляется);

CVE-2019-17343 - некорректный маппинг в IOMMU даёт возможность при наличии доступа из гостевой системы к физическому устройству использовать DMA для изменения собственной таблицы страниц памяти и получения доступа на уровне хоста. Уязвимость проявляется только в гостевых системах в режиме PV при наличии прав для проброса PCI-устройств.

Доступны корректирующие релизы PHP 7.3.11, 7.1.33 и 7.2.24, в которых устранена критическая уязвимость (CVE-2019-11043) в расширении PHP-FPM (менеджер процессов FastCGI), позволяющая удалённо выполнить свой код в системе. Для атаки на серверы, использующие для запуска PHP-скриптов PHP-FPM в связке с Nginx, уже публично доступен рабочий эксплоит.

Атака возможна в конфигурациях nginx, в которых проброс в PHP-FPM осуществляется c разделением частей URL при помощи "fastcgi_split_path_info" и определением переменной окружения PATH_INFO, но без предварительной проверки существования файла директивой "try_files $fastcgi_script_name" или конструкцией "if (!-f $document_root$fastcgi_script_name)". Проблема в том числе проявляется в настройках, предлагаемых для платформы NextCloud. Например, уязвимы конфигурации с конструкциями вида:

location ~ [^/]\.php(/|$) {

fastcgi_split_path_info ^(.+?\.php)(/.*)$;

fastcgi_param PATH_INFO $fastcgi_path_info;

fastcgi_pass php:9000;

}

Проследить за устранением проблемы в дистрибутивах можно на данных страницах: Debian, RHEL, Ubuntu, SUSE/openSUSE, FreeBSD, Arch, Fedora. В качестве обходного метода защиты после строки "fastcgi_split_path_info" можно добавить проверку существования запрошенного PHP-файла:

try_files $fastcgi_script_name =404;

Проблема вызвана ошибкой при манипуляции с указателями в файле sapi/fpm/fpm/fpm_main.c. При присвоении указателя предполагается, что значение переменной окружения PATH_INFO обязательно содержит префикс, совпадающий с путём к PHP-скрипту. Если в директиве fastcgi_split_path_info указано разделение пути к скрипту с использованием регулярного выражения, чувствительного к передаче символа перевода строки (например, во многих примерах предлагается использовать "^(.+?\.php)(/.*)$"), то атакующий может добиться записи в переменную окружения PATH_INFO пустого значения. В этом случае далее по ходу выполнения осуществляется запись в path_info[0] нуля и вызов FCGI_PUTENV.

Запросив определённым образом оформленный URL атакующий может добиться смещения указателя path_info на первый байт структуры "_fcgi_data_seg", а запись нуля в этот байт приведёт к перемещению указателя "char* pos" на ранее идущую область памяти. Вызываемый следом FCGI_PUTENV перезапишет данные в этой памяти значением, которое может контролировать атакующий. В указанной памяти в том числе хранятся значения других переменных FastCGI и записав свои данные атакующий может создать фиктивную переменную PHP_VALUE и добиться выполнения своего кода.

Доступен релиз Node.js 13.0, платформы для выполнения сетевых приложений на языке JavaScript. Одновременно завершена стабилизация прошлой ветки Node.js 12.x, которая переведена в категорию выпусков с длительным сроком поддержки, обновления для которых выпускаются в течение 4 лет. Поддержка прошлой LTS-ветки Node.js 10.0 продлится до апреля 2021 года, а позапрошлой LTS-ветки 8.0 до января 2020 года.

Основные улучшения:

Движок V8 обновлён до версии 7.8, в которой задействованы новые методы оптимизации производительности, улучшена деструктуризация объектов, уменьшено потребление памяти и сокращено время подготовки к выполнению WebAssembly;

По умолчанию включена полная поддержка интернационализации и Unicode на базе библиотек ICU (International Components for Unicode), позволяющая разработчикам писать код, поддерживающий работу с разными языками и локалями. Модуль full-icu теперь установлен по умолчанию;

Стабилизирован API Workers Threads, позволяющий создавать многопоточные циклы обработки событий (event loop). Реализация основана на модуле worker_threads, позволяющем запускать JavaScript-код в несколько параллельных потоков. Стабильная поддержка API Workers Threads также бэкепортирована в LTS-ветку Node.js 12.x;

Повышены требования к платформам. Для сборки теперь требуется как минимум macOS 10.11 (требуется Xcode 10), AIX 7.2, Ubuntu 16.04, Debian 9, EL 7, Alpine 3.8, Windows 7/2008;

Улучшена поддержка Python 3. При наличии в системе Python 2 и Python 3, по-прежнему используется Python 2, но добавлена возможность сборки при наличии в системе только Python 3;

Удалена старая реализация HTTP-парсера ("--http-parser=legacy"). Удалены или переведены в разряд устаревших вызовы и свойства FSWatcher.prototype.start(), ChildProcess._channel, метод open() в объектах ReadStream и WriteStream, request.connection, response.connection, module.createRequireFromPath();

Следом вышло обновление 13.0.1, в котором по горячим следам устранено несколько ошибок. В том числе решена проблема с выводом в npm 6.12.0 предупреждения об использовании неподдерживаемой версии.

Напомним, что платформа Node.js может быть использована как для серверного сопровождения работы Web-приложений, так и для создания обычных клиентских и серверных сетевых программ. Для расширения функциональности приложений для Node.js подготовлена большая коллекция модулей, в которой можно найти модули с реализацией серверов и клиентов HTTP, SMTP, XMPP, DNS, FTP, IMAP, POP3, модули для интеграции с различными web-фреймворками, обработчики WebSocket и Ajax, коннекторы к СУБД (MySQL, PostgreSQL, SQLite, MongoDB), шаблонизаторы, CSS-движки, реализации криптоалгоритмов и систем авторизации (OAuth), XML-парсеры.

Для обеспечения обработки большого числа параллельных запросов Node.js задействует асинхронную модель запуска кода, основанную на обработке событий в неблокирующем режиме и определении callback-обработчиков. В качестве способов мультиплексирования соединений поддерживаются такие методы, как epoll, kqueue, /dev/poll и select. Для мультиплексирования соединений используется библиотека libuv, которая является надстройкой над libev в системах Unix и над IOCP в Windows. Для создания пула потоков (thread pool) задействована библиотека libeio, для выполнения DNS-запросов в неблокирующем режиме интегрирован c-ares. Все системные вызовы, вызывающие блокирование, выполняются внутри пула потоков и затем, как и обработчики сигналов, передают результат своей работы обратно через неименованный канал (pipe). Выполнение JavaScript-кода обеспечивается через задействование разработанного компанией Google движка V8 (дополнительно Microsoft развивает вариант Node.js с движком Chakra-Core).

По своей сути Node.js похож на фреймворки Perl AnyEvent, Ruby Event Machine, Python Twisted и реализацию событий в Tcl, но цикл обработки событий (event loop) в Node.js скрыт от разработчика и напоминает обработку событий в web-приложении, работающем в браузере. При написании приложений для node.js необходимо учитывать специфику событийно-ориентированного программирования, например, вместо выполнения "var result = db.query("select..");" с ожиданием завершения работы и последующей обработкой результатов, в Node.js использует принцип асинхронного выполнения, т.е. код трансформируется в "db.query("select..", function (result) {обработка результата});", при котором управление мгновенно перейдёт к дальнейшему коду, а результат запроса будет обработан по мере поступления данных.

Проект UBports, который взял в свои руки разработку мобильной платформы Ubuntu Touch, после того как от неё отстранилась компания Canonical, опубликовал обновление прошивки OTA-11 (over-the-air) для всех официально поддерживаемых смартфонов и планшетов, которые были укомплектованы прошивкой на базе Ubuntu. Обновление сформировано для смартфонов OnePlus One, Fairphone 2, Nexus 4, Nexus 5, Nexus 7 2013, Meizu MX4/PRO 5, Bq Aquaris E5/E4.5/M10. Проектом также развивается экспериментальный порт рабочего стола Unity 8, доступный в сборках для Ubuntu 16.04 и 18.04.

Выпуск сформирован на основе Ubuntu 16.04 (сборка OTA-3 была основана на Ubuntu 15.04, а начиная с OTA-4 осуществлён переход на Ubuntu 16.04). Как и в прошлом выпуске при подготовке OTA-11 основное внимание было уделено исправлению ошибок и повышению стабильности. В следующем обновлении обещают перевести прошивку на новые выпуски Mir и оболочки Unity 8. Тестирование сборки с Mir 1.1, qtcontacts-sqlite (из Sailfish) и нового Unity 8 производится в отдельной экспериментальной ветке "edge". Переход на новый Unity 8 приведёт к прекращению поддержки умных областей (Scope) и интеграции нового интерфейса запуска приложений App Launcher. В дальнейшем также ожидается появление полнофункциональной поддержки окружения для запуска Android-приложений, основанного на наработках проекта Anbox.

Основные изменения:

В экранную клавиатуру добавлены расширенные функции редактирования текста, позволяющие перемещаться по введённому тексту, отменять изменения (undo/redo), выделять блоки текста и помещать или извлекать текст из буфера обмена. Для вызова расширенного режима необходимо нажать и удерживать пробел на экранной клавиатуре (в будущем планируется упростить включение расширенного режима). В экранную клавиатуру также добавлена опциональная поддержка раскладки Dvorak и налажено использование одного словаря корректировки ошибок с разными раскладками;

Во встроенном браузере Morph, построенном на базе движка Chromium и QtWebEngine, реализована модель привязки настроек к отдельным доменам. Благодаря данному улучшению удалось реализовать в браузере такие возможности как сохранение выбранного уровня масштабирования для сайтов, выборочного управления доступом к данным о местоположении на уровне сайтов (для переопределния общих настроек "Always allow" или "Always deny"), запуск внешних приложений через обработчики URL (например, при клике на ссылки "tel://" можно вызывать интерфейс осуществления звонка), поддержание чёрного или белого списка запрещённых или только разрешённых ресурсов;

Клиент и сервер push-уведомлений избавлены от привязки к учётной записи пользователя в Ubuntu One. Для получения push-уведомлений теперь достаточно лишь поддержки в приложениях данного сервиса;

Улучшена поддержка устройств, поставляемых с Android 7.1. В том числе добавлены дополнительные обработчики звука, которые необходимы для при осуществлении звонков;

На смартфонах Nexus 5 решены проблемы с зависанием Wi-Fi и Bluetooth, приводящим к излишней нагрузке на CPU и быстрому разряду аккумулятора;

Решены проблемы с получением, отображением и обработкой MMS-сообщений.

Дополнительно, рассказано о состоянии портирования UBports для сматрфона Librem 5. Уже подготовлен простой экспериментальный образ на базе прототипа Librem 5 devkit. Возможности прошивки пока сильно ограничены (например, нет поддержки телефонии, передачи данных по мобильной сети и сообщений). Некоторые из проблем, например, невозможность перехода в спящий режим без Android-драйверов до окончания адаптации Unity System Compositor для поддержки Wayland через Mir, не специфичны для Librem 5, и также решаются для Pinephone и Raspberry Pi. Возобновить работу над портом для Librem 5 планируется после получения финального устройства, которое компания Purism обещала отправить в начале 2020 года.