Exploiting an Envoy heap vulnerability
https://blog.envoyproxy.io/exploiting-an-envoy-heap-vulnerability-96173d41792

One Eye aims to provide simple yet effective observability for your Kubernetes clusters.

One Eye Release 0.3.0
https://banzaicloud.com/blog/one-eye-updates/

Решил посмотреть IP собеседника. Штатная функция тележеньки.

Anatomy of a Linux DNS Lookup – Part I
https://zwischenzugs.com/2018/06/08/anatomy-of-a-linux-dns-lookup-part-i/

Anatomy of a Linux DNS Lookup – Part II
https://zwischenzugs.com/2018/06/18/anatomy-of-a-linux-dns-lookup-part-ii/

Anatomy of a Linux DNS Lookup – Part III
https://zwischenzugs.com/2018/07/06/anatomy-of-a-linux-dns-lookup-part-iii/

Anatomy of a Linux DNS Lookup – Part IV
https://zwischenzugs.com/2018/08/06/anatomy-of-a-linux-dns-lookup-part-iv/

Anatomy of a Linux DNS Lookup – Part V – Two Debug Nightmares
https://zwischenzugs.com/2018/09/13/anatomy-of-a-linux-dns-lookup-part-v-two-debug-nightmares/

We had not properly configured the access policy for one of our AWS S3 buckets. One of Twilio’s S3 buckets is used to serve public content from the domain twiliocdn.com. We host copies of our client-side JavaScript SDKs for Programmable Chat, Programmable Video, Twilio Client, and Twilio TaskRouter on that domain, but only v1.20 of the TaskRouter SDK was impacted by this issue.

Incident Report: TaskRouter JS SDK Security Incident - July 19, 2020
https://www.twilio.com/blog/incident-report-taskrouter-js-sdk-july-2020

⭕️ CVE-2020-10713 GRUB2 - BootHole

В GNU GRUB2 обнаружили неприятную уязвимость.

Затрагивает SecureBoot.
Уязвимы почти все дистры Linux, куча других embedded операционок и решений вроде Xen.

Уязвимость как из учебника, переполнение кучи при чтении слишком длинного параметра из grub.cfg.

Проверку на длину конечно же добавили, и на такой случай вызвали макрос fatal_error, и как оказалось fatal_error громко ругается, но не останавливает исполнение кода (а все надеялись), отсюда контроль над памятью.

И это всё за пределами контекста операционной системы, никаких ASLR, DEP и nx mitigation нет, зато есть полный контроль над загрузкой оси.

Так как GRUB отвечает за bootload, привилегии при эксплуатации наивысшие, простор для буткитов.

Репорт подтолкнул поаудитить код GRUB, и оказалось, что там еще ряд неприятных багов.

👉 https://eclypsium.com/2020/07/29/theres-a-hole-in-the-boot/

Measuring Cloud Network Performance with PerfKit Benchmarker. A Google Cloud Technical White Paper. January 2020.

+
PerfKit Benchmarker is an open effort to define a canonical set of benchmarks to measure and compare cloud offerings.
https://github.com/GoogleCloudPlatform/PerfKitBenchmarker

Основы Ansible, без которых ваши плейбуки — комок слипшихся макарон, часть 2
https://habr.com/en/post/509938/

Основы Ansible, без которых ваши плейбуки — комок слипшихся макарон, часть 3
https://habr.com/en/post/512036/

Ремоут-акселератор Pioneer проводит хакатон, предлагая перепридумать терминал (в качестве вдохновения можно советуют добавить RubyDoc, интегрировать GPT-3 и всё в таком ключе). Идея амбициозная на границе с безумием, но любопытная. Формат такой что за 48 часов предлагают сделать прототип и 5 лучших команд команд получат доступ к их программе (участвовать не обязательно).

Совет Админов Профунктора™️ посовещался и, приняв во внимание тот факт, что весной мы довольно весело похакатонили, решил что, быть может, настало время вновь расчехлить механические клавиатуры.

Что мы предлагаем: для желающих поучаствовать и имеющих идеи о том, как сделать терминал лучше — залететь в чат. Если что-то конструктивное будет вырисовываться организовать команду и поучаствовать. Just for fun and glory, так сказать.

Flipper Zero очень удачно запустился на kickstater. За несколько часов превысив то, что хотели собрать за месяц. Earlybird по 99$ были раскуплены за несколько минут. Но прикупить ещё можно

https://www.kickstarter.com/projects/flipper-devices/flipper-zero-tamagochi-for-hackers/

US$ 218,883
pledged of US$ 60,000 goal

Искренне рад за Пашу и его проект.

Пост про запуск kickstater'а на Хабре
https://habr.com/ru/post/513074/

US$ 323,708
pledged of US$ 60,000 goal

Bluetooth module will allow you to interact with Flipper using your smartphone, as well as transfer interfaces like UART and SPI to your computer wirelessly. $300k and we are on the job.

Движение к NFC продолжается.

ну окей)

Это канал Андрея и он приложил все свои руки к Flipper'у.

Специалисты ИБ-компании Rapid7 спустя пару месяцев использовали свой web-инструмент Project Sonar, чтобы обнаружить все общедоступные серверы Exchange в интернете. И результаты оказались весьма печальными.

Им удалось установить, что по меньшей мере 357 629 (82,5%) из 433 464 серверов Exchange по-прежнему открыты для атак, эксплуатирующих уязвимость CVE-2020-0688.

Свыше 350 000 серверов Microsoft Exchange уязвимы перед CVE-2020-0688
https://habr.com/ru/company/cloud4y/blog/512952/

Лям за два дня. Пацаны ваще ребята.

Infrastructure to Code: Terraformer

Terraformer is a great tool for reverse-terraforming. It’s an easy-extendible framework that allows us to rapidly add new resources and providers. The maintainer and community are actively working on this project.

https://medium.com/faun/terraformer-5036241f90cc

Scylla as backend for Jaeger

https://grafana.com/blog/2020/07/30/how-to-maximize-span-ingestion-while-limiting-writes-per-second-to-a-scylla-backend-with-jaeger-tracing/

#scylladb #jaeger #grafana #tracing

Как мы в Dropbox перешли с Nginx на Envoy
https://habr.com/ru/company/southbridge/blog/513504/

Пора признаться, что мы запустили в режиме раннего тестирования holistic.dev - инструмент для автоматического поиска проблем в SQL-запросах и архитектуре баз данных!

Что это такое?
Holistic.dev - это статический анализатор в виде SaaS. Скорее всего вы уже используете статические анализаторы в классических языках программирования. Но для SQL таких инструментов нет.
Мы нашли способ извлечения знаний о структуре связей между данными во всем вашем проекте на основе схемы базы данных и наборе SQL-запросов. Эти знания позволяют нам автоматически следить за согласованностью существующих связей и предоставлять инструменты для автоматического поиска проблем.


Кому это нужно?
Всем, кто думает о производительности и архитектуре своей базы данных. Обычно, больше всего это заботит DBA :) Но DBA есть не во всех компаниях, и довольно часто вопросами производительности приходится заниматься разработчикам.

Если для работы с базой из приложения вы используете ORM, то, как правило, вы узнаете о всех проблемах, когда все уже стало совсем плохо на продакшене под нагрузкой.
Чтобы узнавать о проблемах заранее, можно автоматически отправлять все запросы, которые попадают в базу на анализ и получать отчеты о возможных проблемах еще до того, как вы с ними столкнётесь.

Если вам повезло и вы пишите на чистом SQL, то, во-первых, вы можете отправлять запросы на анализ не дожидаясь проблем в продакшене еще на этапе разработки и/или в CI, а во-вторых, кроме проблем с производительностью запросов вам так же пригодятся подсказки по улучшению архитектуры базы и упрощению запросов. Это позитивно влияет на скорость онбординга новых сотрудников, повышение общего уровня SQL-разработчков, и уменьшение time-to-market.


Что умеет наш инструмент?
Умеет анализировать схему базы данных и запросы. НЕ ТРЕБУЕТ ПРЯМОГО ПОДКЛЮЧЕНИЯ К БАЗЕ И НЕ ИМЕЕТ ДОСТУПА К ДАННЫМ!
Работает только на исходных текстах запросов, которые пользователь присылает самостоятельно.

Расскажет о том, что можно улучшить в схеме базы данных (DDL) и в каждом из запросов (DML). На данный момент реализовано 70 правил, которые включают, например, рекомендации из Don't Do This. Умеет находить колонки в условиях в WHERE, которые не встречаются в индексах.

Знает какие типы у полей будут в результате выполнения и могут ли там появиться NULL-значения, даже если эти поля являются результатом вычислений или сложных JOIN.
Знает, сколько строк вернет запрос (!!!) :) Нет, конечно не в точных цифрах, а в категориях none, one, one or none, many or none.
Для тех, кто пишет на чистом SQL, это поможет сравнить типы и ожидаемое количество строк в приложении с типами результатов выполнения запросов без тестов, код ревью и дебага :)

На данный момент поддерживается синтаксис Postgresql до 13 версии включительно.
Понимает схемы, таблицы, вьюхи, все core функции и операторы, пользовательские функции и операторы, знает про много разных расширений (extension).

В пару простых операций можно автоматизировать экспорт запросов непосредственно из боевой базы, и получать извещения о найденых проблемах при их появлении.
Это возможно сделать как на on-premise установках, так и в managed базах (AWS RDS, Yandex.Cloud, Digital Ocean и тд). В ближайшее время мы подготовим FaaS для основных cloud-провайдеров.


Чего наш инструмент не умеет?
Т.к. мы не имеем доступ к вашей базе, мы ничего не знаем о ее настройке, не можем выполнить EXPLAIN или помочь с настройкой репликации.
Мы не касаемся ничего, что относится к операционной деятельности. Для анализа метрик базы уже существует много инструментов, и они довольно неплохи.

На данный момент мы не диагностируем ошибки, которые могут возникнуть в рантайме. Если в запросе используется несуществующая таблица, то система просто не сможет вывести типы, но ничего не скажет про отсутствующую таблицу. Репорты по ошибкам рантайма будут добавлены в недалеком будущем.