6. Взлом GNU Savannah: хакеры могли зашить бэкдор в Bash
Группа Hacktron получила RCE на бэкенде GNU Savannah через email-адрес. Оттуда они могли пушить код от имени мейнтейнера Bash. К счастью, это были белые хакеры, но уязвимость реальна.
#supplychain
2. Samsung распродал все HBM-мощности 2027 года
По заголовку, Samsung продал 100% мощностей HBM на 2027 год, ожидается рост цен на HBM на 200% в следующем году и двузначный рост цен на DRAM. Детали не раскрыты.
10. Trail of Bits: почти никто из пакетных менеджеров не проверяет целостность загрузок
Trail of Bits прогнала 25 пакетных менеджеров через смоделированный взломанный репозиторий. Только Go и vcpkg проверяли хэши по умолчанию, подписи по умолчанию — только Go, а часть систем не проверяет целостность даже при lockfile.
10. В Австралии арестованы двое участников группы TeamPCP
Задержаны 21- и 23-летний жители Западной Австралии по обвинению в создании вредоносного open-source ПО и организации крупнейшей серии supply-chain атак. Группа известна червём Shai-Hulud и атакой на LiteLLM, затронувшей 2 500 организаций.
5. Администрация Трампа против китайской RAM в устройствах Apple
WSJ пишет, что американская администрация заявила: она не поддерживает использование Apple китайской оперативной памяти. Какие чипы, для каких продуктов и какие меры последуют, не раскрыто.
11. NYT и WSJ пишут о кризисе с памятью у Apple в Китае
Детали не раскрыты. Заголовок указывает на дефицит чипов памяти, затрагивающий цепочку поставок Apple в Китае, освещённый NYT и WSJ.
3. XZ backdoor: вышла книга Half a Second
В LWN пишут, что Адриан Мастронарди выпустил книгу Half a Second — подробный разбор попытки внедрения бэкдора в xz в 2024 году. Книга бесплатная, но под некоммерческой CC-лицензией без производных; то есть читать можно, пересказывать — уже нет, классика жанра.