Operation Triangulation: Fünf Lücken bis zur iPhone-Überwachung
oct0xor, kucher1n und bzvr_ rekonstruieren eine mehrstufige iOS-Zero-Click-Kette, die vier Zero-Days und eine undokumentierte Hardwarefunktion verband.
Vollständigen Beitrag lesenBlog 2023
43 Beiträge
Projekte, Linux, Netzwerke, Systeme, Fundstücke und Internetstandards aus 2023.
Von Black Basta verschlüsselte Dateien wiederherstellen
Tobias Mueller analysiert den Black-Basta-Verschlüsseler und nutzt eine fehlerhafte Wiederverwendung des Schlüsselstroms, um Dateien per Known-Plaintext-Angriff wiederherzustellen.
Vollständigen Beitrag lesenUS-Wasserwerke durch Standardpasswort 1111 kompromittiert
Ende 2023 drangen Angreifer, die US-Behörden dem Iran zuordneten, in mindestens elf Einrichtungen in den USA ein, darunter sechs örtliche Wasserversorger, eine Apotheke, ein Schwimmbad und eine Brauerei. Einige der betroffenen Steuerungen von Unitronics hingen offen im Internet und waren mit dem Standardpasswort 1111 geschützt. Anne Neuberger, stellvertretende Sicherheitsberaterin im Weißen Haus, betonte, dass die Behebung solcher Grundfehler kein Geld kostet.
Vollständigen Beitrag lesenBluetooth-Keystroke-Injection plattformübergreifend
Marc Newlin erklärt, wie fehlerhafte Bluetooth-HID-Zustände plattformübergreifend unauthentifizierte Tastatureingaben ermöglichen.
Vollständigen Beitrag lesenMixtral und Mixture-of-Experts
Mixtral aktiviert pro Token nur einen Teil seiner Experten und verbindet hohe Modellkapazität mit begrenzter Rechenarbeit. Der Beitrag erläutert Architektur, Nutzung und offene Verfügbarkeit.
Vollständigen Beitrag lesenLinux-Kernel gefahrlos mit QEMU und GDB untersuchen
HaD stellt ein Skript vor, das Kernelquellen lädt, konfiguriert, baut und als Debian-Abbild unter QEMU debugbar startet.
Vollständigen Beitrag lesenWie der Linux-Scheduler mit vielen Kernen umgeht
HaD prüft die Behauptung einer Acht-Kern-Grenze und erklärt Zeitscheiben, Scheduler-Domänen sowie Skalierungsannahmen differenziert.
Vollständigen Beitrag lesen4,5 Milliarden Jahre Erdgeschichte in einer Stunde
KG skaliert die gesamte Erdgeschichte auf einen Film, in dem jede Sekunde ungefähr eine Million Jahre biologischer und geologischer Veränderung zeigt.
Vollständigen Beitrag lesenEine authentische Linux-Installation wie in den Neunzigern
Action Retro installiert Red Hat 5.2 auf einem zeitgenössischen Pentium-Rechner und erlebt Medien, Treiber sowie Einrichtung ohne moderne Hilfen.
Vollständigen Beitrag lesenGo, Container und der Linux-Scheduler
River Phillips zeigt, wie nicht erkannte Container-CPU-Limits Go-Garbage-Collection und Anwendungslatenz verschlechtern.
Vollständigen Beitrag lesenRoBERTa, Llama 2 und Mistral mit LoRA vergleichen
Der Beitrag vergleicht drei Modellfamilien bei der Klassifikation von Katastrophen-Tweets mit LoRA. Er zeigt, dass ein größeres generatives Modell nicht automatisch die beste oder wirtschaftlichste Klassifikationslösung ist.
Vollständigen Beitrag lesenGradio vollständig im Browser ausführen
Gradio-Lite führt Python und Gradio über WebAssembly direkt im Browser aus. Kleine ML-Demos benötigen dadurch keinen eigenen Backend-Server und verarbeiten Daten lokal.
Vollständigen Beitrag lesenKritische Confluence-Lücke wurde vor dem Patch ausgenutzt
Atlassian veröffentlichte Anfang Oktober 2023 ein Update für eine kritische Lücke in Confluence mit der Höchstbewertung CVSS 10. Laut Microsoft nutzten chinesische Angreifer sie bereits seit Mitte September aus. Felix von Leitner spottete über Atlassians Seite zum Schwachstellenmanagement, die Lücken als unvermeidlichen Teil der Softwareentwicklung darstellt und vor allem auf Scans und ein Bug-Bounty-Programm setzt.
Vollständigen Beitrag lesenWenn DevOps zum Engpass wird
Matteo Bianchi beschreibt in „2023 DevOps is terrible“, wie DevOps vom Kulturansatz zu einer überlasteten Rolle wurde, die mit Tickets für Kubernetes, Netzwerk, Rechte und Cloud-Konten zugeschüttet wird. Als Ausweg sieht der Text Platform Engineering: eine interne Entwicklerplattform, über die Teams Bausteine selbst nutzen können. Das provokante Fazit lautet, DevOps sei gar nicht schrecklich, sondern entwickle sich weiter.
Vollständigen Beitrag lesenEine alte Webhosting-Verwaltung nach fast zwei Jahrzehnten abschalten
Manuel Schmitt verabschiedet den fast zwei Jahrzehnte eingesetzten Administrationsserver admserv und hält alte Port-81-Lesezeichen kompatibel.
Vollständigen Beitrag lesenQuantisierungsverfahren in Transformers im Überblick
Der Beitrag vergleicht integrierte Verfahren wie bitsandbytes, GPTQ und AWQ entlang von Speicher, Hardware und Einsatzweg. Er hilft, Quantisierung als Abwägung statt als einzelne Schaltfläche zu verstehen.
Vollständigen Beitrag lesenLinux-Netzwerkparameter mit Kontext
Leandro Moreira ordnet Linux-Netzwerkparameter ihren Positionen im Empfangs-, Queueing- und TCP-Pfad zu.
Vollständigen Beitrag lesenSicherheitslücken: Patches schützen Firewalls und Switches von Cisco
Cisco schloss im August 2023 mehrere Lücken in Firewalls und Switches. Hoch eingestuft waren eine SNMP-Lücke in Firepower 4100 und 9300, über die authentifizierte Angreifer Neustarts auslösen konnten, eine IS-IS-Lücke in Nexus 3000 und 9000 ohne Authentifizierung sowie eine DoS-Lücke in NX-OS. Weitere mittlere Lücken betrafen unter anderem den Application Policy Infrastructure Controller.
Vollständigen Beitrag lesenLLMs mit AutoGPTQ leichter machen
Die AutoGPTQ-Integration quantisiert bereits trainierte Sprachmodelle auf wenige Bits und bindet sie direkt in Transformers ein. So sinkt der Speicherbedarf für lokale Inferenz erheblich.
Vollständigen Beitrag lesenLinux v0.01 von innen gelesen
Seiya Nuta liest Linux 0.01 quellnah und erklärt Bootablauf, Speicherverwaltung, Prozesse und Systemaufrufe.
Vollständigen Beitrag lesenDruck-Management-Lösung: Sicherheitslücken gefährden Papercut-Server
PaperCut schloss im August 2023 zwei hoch eingestufte Lücken in seiner Druckmanagement-Software. Über CVE-2023-3486 konnten Angreifer ohne Anmeldung Dateien hochladen und die Festplatte füllen, über CVE-2023-39143 Dateien einsehen und verändern, laut Horizon3 bis hin zur Codeausführung. Die Windows-Lücke setzte die Funktion External Device Integration voraus, die bei PaperCut NG Commercial und MF standardmäßig aktiv war.
Vollständigen Beitrag lesenComeback des Routerzwangs? Streit über Netzabschlusspunkt bei Glasfaser
2023 stritten Netzbetreiber und Verbraucherschützer darüber, ob die seit 2016 geltende Routerfreiheit auch bei Glasfaseranschlüssen im GPON-Verfahren gilt. Die Verbände Anga, Buglas, Breko, VKU und VATM beantragten bei der Bundesnetzagentur, den Netzabschluss hinter das Glasfasermodem (ONT) des Betreibers zu legen. Kunden könnten dann keinen eigenen Glasfaserrouter direkt an der Anschlussdose betreiben.
Vollständigen Beitrag lesenEin tatsächlich im Wasser gekühlter PC
DIY Perks nahm den Begriff Wasserkühlung 2023 wörtlich und versenkte einen vollständig gekapselten PC in einem Teich mit 17 Grad kaltem Wasser. Die Wärme gelangt direkt an das umgebende Wasser, das als riesiger, stets kühler Wärmespeicher dient. Verbaut waren unter anderem eine RTX 4090, SSDs vom Typ Crucial T700 und Wasserkühlungsteile von EK.
Vollständigen Beitrag lesenPasskey erhält einen berührungsempfindlichen Auslöser
Johannes ersetzt den bisherigen Taster seines Passkey-Projekts durch eine Touchfläche und plant ein endgültiges Gehäuse.
Vollständigen Beitrag lesenDas offene Ökosystem für Textgenerierung
Der Überblick ordnet offene Sprachmodelle, Trainingsbibliotheken, Inferenzserver und Evaluierungswerkzeuge rund um den Hub ein. Er macht deutlich, dass offene LLMs eine Kette kompatibler Komponenten benötigen.
Vollständigen Beitrag lesenLima: Linux-VMs auf dem Mac
Julia Evans beschreibt Lima als unkomplizierten Weg zu einer integrierten Linux-VM auf macOS.
Vollständigen Beitrag lesenRFC 9420: Messaging Layer Security
RFC 9420 definiert MLS für effiziente Ende-zu-Ende-Verschlüsselung in dynamischen Gruppen.
Vollständigen Beitrag lesenLinux 293.000-mal booten
Richard W. M. Jones findet eine seltene Linux-Bootregression durch automatisierte Wiederholung und statistisches Git-Bisecting.
Vollständigen Beitrag lesenMehr als 50.000 Hub-Datensätze mit DuckDB analysieren
Der Beitrag nutzt Parquet-Metadaten und DuckDB, um viele Hub-Datensätze direkt per SQL auszuwerten. Große Datenbestände müssen dafür nicht vollständig lokal geladen werden.
Vollständigen Beitrag lesenSafetensors nach unabhängiger Sicherheitsprüfung
Trail of Bits prüfte Safetensors als Format zum Speichern von Tensoren ohne ausführbaren Deserialisierungscode. Die Ergebnisse stärkten den Wechsel weg von riskanten Pickle-basierten Gewichtsdateien.
Vollständigen Beitrag lesenDistrobox: Andere Distributionen im Terminal
Distrobox integriert Container anderer Linux-Distributionen eng in die bestehende Desktop- und Terminalumgebung.
Vollständigen Beitrag lesenHomeserver bei Leerlauf schlafen legen
Daniel Gross kombiniert Idle-Erkennung, Unicast-Wake-on-LAN und einen ARP-Stellvertreter für einen schlafenden Homeserver.
Vollständigen Beitrag lesenLLaMA mit RLHF trainieren
StackLLaMA führt Supervised Fine-Tuning, Belohnungsmodell und PPO als vollständige RLHF-Pipeline zusammen. Der Leitfaden zeigt, wie PEFT und Quantisierung die Hardwareanforderungen senken.
Vollständigen Beitrag lesenFederated Learning mit Flower
Der Beitrag trainiert Transformers über Flower, ohne Rohdaten der Teilnehmer zentral zusammenzuführen. Nur lokale Modellaktualisierungen werden koordiniert und aggregiert.
Vollständigen Beitrag lesenDer Weg zu Vulkan auf Asahi Linux
Asahi Lina erklärt die neue Apple-GPU-UAPI, explizite Synchronisation und Rust-Erweiterungen auf dem Weg zu Vulkan.
Vollständigen Beitrag lesenAlpine Linux als schlanker Router
Thomas Liske, Leiter des Network Operation Center der IBH IT-Service GmbH, zeigte bei den Chemnitzer Linux-Tagen 2023, warum sich Alpine Linux hervorragend für Router eignet. Bei Alpine denkt man meist an Container-Images, doch IBH betreibt damit Router von der einfachen Stateful Firewall bis zum BGP-Router in der Default-Free Zone. Der Vortrag beschrieb die Migration von proprietären Routern, die gewählten Softwarekomponenten und die daraus entstandene Unterstützung von Open-Source-Projekten.
Vollständigen Beitrag lesenLinux 6.2 bringt Mainline-Support für Apple M1
Der Bericht ordnet Linux 6.2 als wichtigen Mainline-Schritt für Apple-M1-Systeme und langfristig wartbaren Support ein.
Vollständigen Beitrag lesenParameter-effizientes Fine-Tuning mit PEFT
PEFT bündelt LoRA und verwandte Verfahren, die nur einen kleinen Teil zusätzlicher Parameter trainieren. Große Basismodelle werden dadurch auf begrenzter Hardware anpassbar.
Vollständigen Beitrag lesenSicherere C-Arrays im Linux-Kernel
Kees Cook beschreibt die Umstellung falscher flexibler C-Arrays auf eindeutige Strukturen mit überprüfbaren Grenzen.
Vollständigen Beitrag lesenStable Diffusion effizient mit LoRA anpassen
LoRA trainiert kleine Zusatzmatrizen statt sämtlicher Gewichte eines Diffusionsmodells. Das senkt Speicherbedarf und erzeugt kompakte Adapter, die sich getrennt verteilen lassen.
Vollständigen Beitrag lesenCisco warnt vor Sicherheitslücken, die es nicht patchen wird
Cisco warnte im Januar 2023 vor kritischen Lücken in den Small-Business-Routern RV016, RV042, RV042G und RV082, kündigte aber an, keine Updates mehr zu liefern. Über manipulierte HTTP-Anfragen an die Weboberfläche ließ sich die Authentifizierung umgehen und Root-Zugriff erlangen (CVE-2023-20025). Da die Geräte ihr Lebensende erreicht hatten, verwies Cisco nur auf das Sperren der Ports 443 und 60443, obwohl bereits Proof-of-Concept-Code existierte.
Vollständigen Beitrag lesenSicherheitslücke in SugarCRM-Servern wird aktiv ausgenutzt
Angreifer nutzten Anfang 2023 eine kritische Lücke in SugarCRM (CVE-2023-22952), um Server zu übernehmen und Schadsoftware zu installieren. Über den Pfad /index.php/ ließ sich die Authentifizierung umgehen, danach lud ein POST-Request eine PNG-Datei mit PHP-Code hoch, die bei späterem Abruf ausgeführt wurde. Censys fand bis zum 11. Januar 354 kompromittierte Server, knapp zwölf Prozent aller 3059 erreichbaren Instanzen.
Vollständigen Beitrag lesenLinux-Entwickler fragen nach Fokus für Touchpad-Support
Seit April 2020 finanzierten Linux-Nutzer per Spendenkampagne von Gitclear bessere Touchpad-Gesten unter Linux, umgesetzt von Povilas Kanapickas. Anfang 2023 waren die Kernziele erreicht: Gesten funktionierten in vielen Wayland- und X-Servern, XWayland sowie in GTK und Qt. Das Team fragte die Community per Umfrage, ob es an der Unterstützung in einzelnen Anwendungen weiterarbeiten solle.
Vollständigen Beitrag lesen