Представлен релиз HTTP-сервера Apache 2.4.65, в котором исправлена критическая ошибка в mod_rewrite из-за которой условия, заданные через выражение "RewriteCond", всегда возвращали значение "true", т.е. правила всегда срабатывали, независимо от проверяемых данных. Выражение "RewriteCond" является ключевым в mod_rewrite и применяется для проверки условий в большинстве ситуаций.

Энрико Вайгельт (Enrico Weigelt), руководитель проекта XLibre, после обсуждения с сообществом подготовил pull-запрос, интегрирующий в master-ветку X-сервера основные драйверы для X11. Причиной указывается рассинхронизация X-сервера и драйверов из-за меняющегося ABI, с которым взаимодействуют драйверы, а также желание сразу предоставлять все необходимые драйверы вместе с X-сервером без необходимости ручного поиска совместимых версий.

Опубликован выпуск библиотеки OpenAPV, предоставляющей эталонную реализацию видеокодека APV (Advanced Professional Video), предназначенного для профессиональной записи и обработки видео без потери качества. Код библиотеки написан на языке С и распространяется под лицензией BSD. Проект развивает организация Academy Software Foundation, учреждённая Академией кинематографических искусств (США) и организацией Linux Foundation с целью продвижение использования открытого ПО в процессе создания фильмов.

Зафиксирована фишинг-атака на сопровождающих javascript-библиотеки, в ходе которой от имени сервиса NPM было разослано сообщение, уведомляющее о необходимости подтвердить свой email. Проведённая атака позволила злоумышленникам.

После двух лет разработки организация OISF (Open Information Security Foundation) опубликовала релиз системы обнаружения и предотвращения сетевых вторжений Suricata 8.0, которая предоставляет средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Компания ByteDance представила шрифт TikTokSans, оптимизированный для отображения мобильный интерфейсов на экранах с высокой плотностью пикселей и создания субтитров к видео (шрифт уже применяется по умолчанию при отображении субтитров в видео, размещаемом в сервисе TikTok). TikTokSans также хорошо подходит для применения в Web и в интерфейсах пользователя. Исходные компоненты шрифта открыты под лицензией OFL 1.1 (Open Font License), позволяющей неограниченно модифицировать шрифт, использовать его в том числе для коммерческих целей, печати и на сайтах в Web.

Компания AMD раскрыла информацию новом классе микроархитектурных атак на свои процессоры - TSA (Transient Scheduler Attack). Атака позволяет злоумышленнику обойти механизмы изоляции CPU и определить данные, обрабатываемые в других контекстах, например, из пространства пользователя определить информацию, обрабатываемую на уровне ядра, или из гостевой системы узнать данные, используемые в другой гостевой системе.

Опубликованы корректирующие выпуски распределённой системы управления исходными текстами Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 и 2.50.1, в которых устранены уязвимости, позволяющие выполнить свой код на системе пользователя при выполнение операции клонирования репозитория, подконтрольного атакующему.

После 13 месяцев разработки представлен стабильный релиз протокола, механизма межпроцессного взаимодействия и библиотек Wayland 1.24. Ветка 1.24 обратно совместима на уровне API и ABI с выпусками 1.x и содержит в основном исправления ошибок и незначительные обновления протокола. Наработки проекта распространяются под лицензией MIT. Эталонный композитный сервер Weston, предоставляющий код и рабочие примеры для использования Wayland в десктоп-окружениях и встраиваемых решениях, развивается в рамках отдельного цикла разработки.

Некоммерческий удостоверяющий центр Let's Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, анонсировал начало предоставления бесплатных сертификатов для IP-адресов. В отличие от сертификатов для доменов срок действия сертификатов для IP-адресов составит не 30, а 6 дней. Реализуемая возможность позволит настроить защищённый шифрованный доступ к хостам не только при использовании доменных имён, но и при обращении напрямую по IP-адресу.

Опубликован второй кандидат в релизы инсталлятора следующего значительного релиза Debian 13 "Trixie". Релиз Debian 13 ожидается в середине июля. В настоящее время насчитывается 136 критических ошибок, блокирующих релиз, что соответствует уровню, наблюдаемому во время публикации прошлых релизов.

Команда, отвечающая за формирование релизов GNOME, одобрила включение в основной состав GNOME нового просмотрщика документов Papers. Начиная с выпуска GNOME 49, программа Papers будет поставляться вместо Evince под именем Document Viewer в качестве просмотрищика документов по умолчанию. Изменения, связанные с заменой Evince на Papers, приняты в репозиторий GNOME. В Ubuntu 25.04 приложение Papers уже поставляется вместо Evince.

В Bluetooth-устройствах, использующих SoC от компании Airoha Systems, выявлены уязвимости, позволяющие получить контроль над устройством через отправку специально оформленных данных по Bluetooth Classic или BLE (Bluetooth Low Energy). Атака может быть совершена без аутентификации и без предварительного сопряжения, при наличии устройства жертвы в зоне досягаемости сигнала Bluetooth (примерно 10 метров). Уязвимости затрагивают некоторые модели беспроводных наушников, колонок и микрофонов от Sony, Marshall, Beyerdynamic и менее известных компаний.

В пакете sudo, применяемом для организации выполнения команд от имени других пользователей, выявлена уязвимость (CVE-2025-32463), позволяющая любому непривилегированному пользователю выполнить код с правами root, даже если пользователь не упомянут в конфигурации sudoers. Проблеме подвержены дистрибутивы, использующие файл конфигурации /etc/nsswitch.conf, например, возможность эксплуатации уязвимости продемонстрирована в Ubuntu 24.04 и Fedora 41.

В Ubuntu решено перейти по умолчанию на поставку пакета intel-compute-runtime, собранного с флагом NEO_DISABLE_MITIGATIONS, отключающим защиту от атак класса Spectre. По оценке разработчиков Ubuntu наличие подобной защиты приводит к снижению производительности пакета примерно на 20%.

В пакетных менеджерах GNU Guix, Nix и Lix выявлены уязвимости (Nix, Guix, Lix), позволяющие выполнить код с правами пользователей, под которыми запускаются сборочные задания (например, nixbld* в Nix/Lix), что может использоваться для записи своих данных в сборочное окружение и внесения изменений в сборочный процесс. Проблемы присутствуют в фоновых процессах guix-daemon и nix-daemon, применяемых для организации доступа непривилегированных пользователей к сборочным операциям.

В платформе совместной разработки Gogs выявлена уязвимость, которой присвоен критический уровень опасности (10 из 10). Уязвимость позволяет непривилегированному пользователю Gogs изменить исходный код других пользователей сервиса, а также выполнить произвольные команды на сервере с правами пользователя, указанного через параметр RUN_USER в конфигурации Gogs. Уязвимость устранена в обновлении Gogs 0.13.3. Проблема является следствием неполного исправления уязвимости CVE-2024-39931, раскрытой в декабре. Уязвимость не затрагивает платформы Forgejo и Gitea, продолжающие развитие форка Gogs, созданного в 2016 году.

Ник Велнхофер (Nick Wellnhofer), сопровождающий библиотеку libxml2, объявил, что отныне будет трактовать уязвимости как обычные ошибки. Сообщения об уязвимостях не будут рассматриваться в приоритетном порядке, а станут исправляться по мере появления свободного времени. Информация о сути уязвимости будет размещаться в публичном доступе сразу, не дожидаясь формирования патча и распространения исправления в дистрибутивах и операционных сиcтемах. Ник также снял с себя полномочия сопровождающего библиотеку libxslt и высказал сомнения в том, что найдётся кто-то готовый взять на себя её поддержку.