linux

NX bit (No-eXecute bit) — аппаратный флаг в записях таблиц страниц процессора, который запрещает выполнение инструкций из определённых областей памяти. DEP (Data Execution Prevention) — системная политика Windows, использующая этот флаг для защиты от запуска кода из данных. Вместе они образуют...

Когда VPN-соединение поднимается на Linux-десктопе, за кулисами работает NetworkManager: он добавляет маршруты через туннельный интерфейс, перенастраивает DNS-резолвер и следит за тем, чтобы трафик шёл именно туда, куда ожидает пользователь. Понимание этой механики помогает диагностировать...

Зачем нужен LVM вместо обычных разделов Обычный раздел диска имеет фиксированный размер, заданный при разметке. Чтобы его изменить, нужно переразмечать диск, а часто — останавливать сервисы и перезагружать систему. LVM (Logical Volume Manager) добавляет уровень абстракции между физическим...

Краткое описание В подсистеме NVMe-oF target ядра Linux обнаружена критическая уязвимость, связанная с нарушением синхронизации при освобождении очереди запросов. Ошибка позволяет фоновой задаче обращаться к памяти, которая уже освобождена или переиспользуется, что создает риск повреждения...

Почему systemd timers выигрывают у cron Cron выполняет задачу по расписанию и забывает о ней. Если сервер был выключен в момент срабатывания — запуск потерян, и вы об этом не узнаете. Логи нужно собирать отдельно, зависимости между задачами приходится эмулировать скриптами, а диагностика...

Краткое описание В драйвере NTFS3 ядра Linux обнаружена критическая уязвимость, позволяющая злоумышленнику выполнить код с привилегиями ядра через специально сформированный образ файловой системы. Статья описывает механизм переполнения, условия эксплуатации и способы проверки исправления...

Краткое описание В стеке IPv6 ядра Linux обнаружена ошибка out-of-bounds write в функции xfrm6_input_addr(). Дефект возникает при обработке пакетов IPsec в транспортном режиме, если цепочка безопасности (secpath) уже заполнена до предела. Из-за некорректной проверки глубины атакующий может...

Краткое описание В подсистеме аудита ядра Linux обнаружена ошибка управления ссылками, приводящая к освобождению памяти, на которую всё ещё ссылаются активные правила. Ошибка срабатывает при автоматическом удалении правил, комбинирующих отслеживание каталогов и исполняемых файлов. Статья...

Что такое системный вызов и зачем он нужен Процесс в Linux работает в пользовательском режиме (Ring 3 на x86-64) и не имеет прямого доступа к аппаратным ресурсам: дискам, сети, памяти других процессов, таймерам. Единственный легитимный способ попросить ядро выполнить привилегированную операцию...

Краткое описание В подсистеме debug console драйвера xHCI ядра Linux обнаружена ошибка use-after-free. Сбой возникает при выгрузке модуля, если регистрация tty-драйвера ранее завершилась ошибкой. Глобальный указатель на драйвер не обнуляется после освобождения памяти, что приводит к обращению...

Краткое описание Уязвимость в компоненте Transactions Platform браузера Chromium позволяет удалённому атакующему выполнить произвольный код вне песочницы через специально сформированную HTML-страницу. В Debian пакет chromium в релизах bookworm, trixie и sid уже содержит исправление, тогда как в...

ELF (Executable and Linking Format) — бинарный формат, который ядро Linux использует для исполняемых файлов, разделяемых объектов, релоцируемых объектных файлов и core-дампов. Файл начинается с фиксированного заголовка, за которым следуют две таблицы: program header table описывает сегменты для...

Zer0Kernel — сообщество, сфокусированное на двух пересекающихся областях: разработке операционных систем и исследовании механизмов защиты на уровне ядра. Ниже — практический обзор того, что входит в эту область, какие инструменты используются и как выстроить рабочий процесс с нуля. Что входит в...

Стандартный WireGuard блокируется системами DPI по характерному паттерну handshake: фиксированный размер инициализационного пакета, предсказуемая структура заголовка, отсутствие мусорного трафика. AmneziaWG — форк WireGuard, который модифицирует протокол на уровне пакетов, сохраняя совместимость...

Что решает split tunneling Полный туннель направляет весь трафик машины через VPN-интерфейс. Это безопасно, но создаёт проблемы: локальные сервисы становятся недоступны, скорость падает из-за лишнего шифрования для трафика, который в защите не нуждается, а некоторые приложения (банковские...

Краткое описание SPIP до версии 4.4.21 содержит критическую уязвимость, позволяющую удалённым атакующим без аутентификации выполнять произвольный код. В Debian пакет spip в ветках trixie, sid и forky уже обновлён, однако в bullseye проблема остаётся открытой. Статья разбирает механику инъекции...

Secure Boot — механизм UEFI, который блокирует выполнение любого кода на этапе загрузки, если его подпись не подтверждена доверенным ключом. В Linux цепочка доверия проходит через несколько звеньев: прошивка проверяет shim, shim проверяет GRUB, GRUB проверяет ядро, а ядро проверяет каждый...

Когда сервис переходит в состояние failed, systemd фиксирует причину и сохраняет её в журнале. Задача администратора — правильно прочитать эти данные. Ниже — последовательность действий от первого взгляда на статус до извлечения конкретной ошибки из логов. Что означает состояние failed Сервис...

Введение В операционной системе Linux, как и в любой другой, понимание того, какие порты открыты и какие процессы слушают их, имеет ключевое значение для обеспечения безопасности и эффективного управления сетевыми сервисами. Открытые порты могут быть источником уязвимостей, особенно если они...

Введение ASLR (Address Space Layout Randomization) — механизм рандомизации расположения элементов в адресном пространстве процесса, применяемый в операционных системах для повышения безопасности. Его основная цель — сделать предсказуемым положение ключевых структур памяти, таких как стек, куча...