Dear Tumbleweed users and hackers,

Week 33 was busy, but busy in a good way. We managed to clear almost all stagings out, except the ‘long lasting’ topics like GCC, and dbus-broker, which we carried for a few weeks already. Other than that, the queue has been emptied (At the time of writing, there are now 54 pending requests to Factory). Summer vacation helped us achieve this result. And the fact, that we produced 7 snapshots (one discarded) during the last week.

The six published snapshots (0809, 0810, 0811, 0812, 0813, and 0815) brought you those changes:

• GCC 13.3.1
• glibc 2.40
• KDE Frameworks 6.5.0
• Mozilla Firefox 129.0
• NetworkManager 1.48.8
• binutils 2.43
• cURL 8.9.1
• Linux kernel 6.10.4
• GO 1.22 has become the new default Go compiler version
• FFMPEG default has switched from version 6 to version 7

As mentioned, stagings are almost empty – the few things currently left are:

• Linux kernel 6.10.5
• dbus-broker: some progress was made last week; most QA tests are fine, there is just a race condition on shutdown (likely not new, but dbus-daemon might have waited longer to report it, by when the system had completely shut down and the error has been ‘swallowed’)
• GCC 14: phase 2: use gcc14 as the default compiler – great progress has been made and we believe we will be able to switch during Week 34

The August syslog-ng newsletter is now on-line:

• Version 4.8.0 of syslog-ng improves FreeBSD and MacOS support
• syslog-ng Prometheus exporter
• Experimental syslog-ng packages for Amazon Linux 2023

It is available at https://www.syslog-ng.com/community/b/blog/posts/the-syslog-ng-insider-2024-08-4-8-0-release-prometheus-amazon-linux

Hace ya casi tres años que presenté eXeLearning, un editor de recursos educativos e interactivos de código abierto que te permite llevar tu actividades a otro nivel a la vez que compartirlos sin ningún tipo de restricción en multitud de formatos. Lo cierto es que me interesa mucho esta aplicación y he empezado a aprender mucho sobre ella, y es mi deber pagarlo mediante promoción. Hoy os traigo cómo crear un mapa interativo con eXeLearning, un vídeo de Cedec_Intef .

Cómo crear un mapa interactivo con eXeLearning – Vídeo

Seguimos con eXeLearning, y en esta ocasión con un vídeo de Cedec_Intef, que no es más que el Centro Nacional de Desarrollo Curricular en Sistemas no Propietarios (Cedec), un organismo público español que promueve la transformación digital y metodológica de las aulas que pone a disposición de los docentes recursos educativos abiertos (REA) del Proyecto EDIA, elaborados por docentes en activo con la herramienta de software libre eXeLearning.

Pues bien, en el vídeo que os presento hoy se explica en varios pasos cómo crear un mapa con zonas activas donde el alumnadopodrás investigar sobre sus partes ya que se activarán textos, sonidos, imágenes, vídeos, etc.

¿Qué es EXeLearning?

Para los que no lo conozcan, eXeLearning es un editor de recursos educativos e interactivos de código abierto se caracteriza por:

• Permite crear contenidos educativos de una manera sencilla
• Descarga fácil y gratuita desde su web.
• Está disponible para todos los sistemas operativos.
• Nos pemite catalogar los contenidos y publicarlos en diferentes formatos:
  • Sitio web navegable y adaptable a diferentes dispositivos (responsive design).
  • Estándar educativo, para trabajar con Moodle y otros LMS.
  • Página HTML única para imprimir cómodamente tu trabajo.
  • ePub3 (libro electrónico), etc.
• Ofrece diferentes diseños a elegir desde el menú, además de la posibilidad de crear diseños propios.

Con eXelearnig se puede crear todo tipo de actividades entre las que destaco rellenar huecos, pregunta de elección múltiple, pregunta de selección múltiple, pregunta verdadero-falso, cuestionario SCORM o actividad desplegable.

Además, y este es uno de los principales usos que hago de esta aplicación, nos permte crear rúbricas de forma sencilla, así como incluir recursos realizados con otras aplicaciones. Por ejemplo, Jclic, Descartes, Scratch, Geogebra, Physlets…

La entrada Cómo crear un mapa interactivo con eXeLearning – Vídeo se publicó primero en KDE Blog.

xAI, a empresa de inteligência artificial de Elon Musk, anunciou ontem duas novas versões do seu chatbot Grok, denominadas Grok-2 e Grok-2 mini. Atualmente, esses modelos estão em fase beta na plataforma X, anteriormente conhecida como Twitter.

As atualizações incluem melhorias nas funcionalidades de chat, codificação e raciocínio. Além disso, esses modelos agora podem gerar imagens utilizando um modelo de IA chamado Flux 1, desenvolvido pela Black Forest Labs.

A xAI apresentou o Grok-2, destacando suas capacidades avançadas para usuários do X, incluindo bate-papo aprimorado, codificação e capacidades analíticas. O Grok-2 e sua versão menos avançada, o Grok-2 mini, estão disponíveis apenas para os assinantes Premium e Premium+ da plataforma.

Durante o evento de lançamento, foi mencionado que o Grok-2 integra informações em tempo real do X e utiliza avançada compreensão de texto e capacidades visuais para executar comandos complexos. Comparativamente, o Grok-2 mini foca em oferecer uma resposta mais rápida, embora com menos capacidades.

Desde a aquisição do X por Musk em 2022, a plataforma tem sido reticente em responder à imprensa, especialmente sobre questões futuras relacionadas ao Grok, deixando muitas perguntas sem resposta.

A xAI também planeja disponibilizar os modelos Grok-2 e Grok-2 mini para desenvolvedores através de uma API empresarial ainda este mês. A empresa anunciou recentemente uma rodada de financiamento que elevou sua avaliação, sublinhando o sucesso e a expansão contínua dos seus modelos de IA.

Sigue el verano y el Software Libre no deja degenerar noticias ni contenido. Es esta ocasión me alegra compartir con vosotros un vídeo Aleix Pol, presidente de KDE e.V, ex-presidente de KDE España y, me atrevo a decir, amigo personal que ha titulado «Marcando la diferencia» donde habla de cómo contribuir e impulsar su carrera en el Software Libre con la Comunidad KDE. Una hora de charla, en inglés, ideal para las largas tardes estivales y para ir calentando motores de cara al evento de septiembre: Akademy 2024 de Würzburg, Alemania.

Marcando la diferencia, vídeo de Aleix Pol

Hay muchas personas que me han marcado en este mundillo del Software Libre pero, como es normal, las primeras son las que generas un vínculo más particular.

Esto es lo que me pasó con Aleix Pol, Presidente de KDE e.V. y desarrollador principal de (entre otras muchas cosas) KDE Connect, Plasma, Discover y KAlgebra, que conocí personalmente en la Akademy-es 2010 de Bilbao, mi primer evento comunitario al que asistí.

Entre escucharle hablar de sus proyectos en las dos o tres charlas en las que fue ponente y en los numerosos encuentros en los pasillos y trayectos en transporte público se creó un vínculo y descubrí algunos de los huecos donde yo podría participar.

Descubrí a una persona joven muy comprometida con el Software Libre y el proyecto KDE, atributos que no le han abandonado a medida que sí que ha adquirido más peso en la Comunidad ya que, como ya he dicho, actualmente es el presidente de KDE e.V.

Es por ello que es altamente recomendable ver este vídeo que cumple varias funciones: describir la mutante Comunidad KDE, explicar algunos de los productos que genera a un precio bastante bajo (0 en euros), promocionar la próxima Akademy de Würzburg, Alemanía y, lo más importante, animar a todas las personas a unirse a una Comunidad que tiene una visión clara y ambiciosa:

«Un mundo en el que todos tengan control sobre su vida digital y disfruten de libertad y privacidad».

Vale, no me enrrollo más y os dejo el vídeo para que lo disfrutéis:

Finalizo el artículo recordando que el mes de septiembre tenéis a vuestro alcance el gran evento de la Comunidad KDE.

La entrada Marcando la diferencia, vídeo de Aleix Pol se publicó primero en KDE Blog.

We’ve introduced several new features in OBS designed to foster collaboration among OBS users. Customized labels for better organization, setting custom links for your bug tracker and markdown formatting for project/package descriptions. Those features are intended to give you more insight into your work, helping you stay focused on what matters most. These updates are part of the Foster Collaboration and Labels beta programs. You can find more information about the beta program here. Introduction...

Tras un parón debido al salto de Qt5/KF5 a Qt6/KF6 que realizó la Comunidad KDE el pasado 28 de febrero he decidido retomar esta sección aunque renonbrándola ya que en ella solo hablaré de Plasmoides para Plasma 6. De esta forma os presento un nuevo pero pequeño visor meteorológico llamado Small Weather con el que dotamos a nuestro escritorio de dicha funcionalidad.

Pequeño visor meteorológico, Small Weather – Plasmoides para Plasma 6 (5)

Como he comentado en otras ocasiones, de plasmoides tenemos de todo tipo funcionales, de configuración, de comportamiento, de decoración o, como no podía ser de otra forma, de información sobre nuestro sistema como puede ser el uso de disco duro, o de memoria RAM, la temperatura o la carga de uso de nuestras CPUs.

Así que espero que le deis la bienvenida a un plasmoide para plasma 6 escrito por un viejo conocido del blog ZayronXIO que recibe el nombre de Small Weather y que nos muestra de una forma sencilla las condiciones meteorológicas de nuestra zona.

En palabras de su creador:

Pequeño widget de escritorio con información sobre la temperatura actual, las condiciones meteorológicas y las temperaturas máxima y mínima del día.

inspirado en «Small Clean Weather» de zivallh en deviantart

Debo confesar que lo he instalado pero me ha dado un problema con el idioma, algo que creo que deben solucionar de base los desarrolladores de KDE.

Y como siempre digo, si os gusta el plasmoide podéis «pagarlo» de muchas formas en la página de KDE Store, que estoy seguro que el desarrollador lo agradecerá: puntúale positivamente, hazle un comentario en la página o realiza una donación. Ayudar al desarrollo del Software Libre también se hace simplemente dando las gracias, ayuda mucho más de lo que os podéis imaginar, recordad la campaña I love Free Software Day de la Free Software Foundation donde se nos recordaba esta forma tan sencilla de colaborar con el gran proyecto del Software Libre y que en el blog dedicamos un artículo.

Más información: KDE Store

¿Qué son los plasmoides?

Para los no iniciados en el blog, quizás la palabra plasmoide le suene un poco rara pero no es mas que el nombre que reciben los widgets para el escritorio Plasma de KDE.

En otras palabras, los plasmoides no son más que pequeñas aplicaciones que puestas sobre el escritorio o sobre una de las barras de tareas del mismo aumentan las funcionalidades del mismo o simplemente lo decoran.

La entrada Pequeño visor meteorológico, Small Weather – Plasmoides para Plasma 6 (5) se publicó primero en KDE Blog.

No futebol moderno, o equilíbrio entre o jogo interior e o jogo pelas alas é fundamental para superar os adversários e criar oportunidades de gol. Embora o jogo pelas alas tenha historicamente predominado como tática, a habilidade de uma equipe em desenvolver o jogo interior — movimentando a bola pelos espaços centrais entre as linhas defensivas do oponente tornou-se uma peça-chave para o sucesso ofensivo. Este post apresenta um método inovador para medir de forma objetiva o potencial de jogo interior de uma equipe, utilizando a homografia para mapear projeções em diferentes ângulos.

O Desafio de Avaliar o Jogo Interior

O jogo interior vai além de simplesmente conduzir a bola para o centro do campo. Ele envolve a criação e a exploração estratégica de espaços dentro do bloco defensivo adversário, permitindo que os jogadores de ataque recebam a bola em posições ameaçadoras. Avaliar essa habilidade é um desafio, dado a complexidade dos movimentos dos jogadores e a constante interação entre as linhas ofensivas e defensivas.

Metodologia: Integração de Hull Convexo e Diagramas de Voronoi

Este modelo é fundamentado em duas ferramentas de análise espacial: o Hull Convexo e os diagramas de Voronoi, ambos adaptados para capturar a dinâmica do futebol.

• Hull Convexo Modificado: Delimitando o Bloco Defensivo Adversário O Hull Convexo é uma técnica que define o perímetro do bloco defensivo do adversário, crucial para identificar os limites dentro dos quais uma equipe deve operar para criar jogo interior. Neste contexto, o Hull Convexo é ajustado para excluir o jogador atacante mais avançado, caso ele esteja claramente fora do bloco defensivo, concentrando-se no espaço real onde ocorre a interação tática.
• Diagramas de Voronoi Adaptados: Mapeando Espaços Estratégicos Os diagramas de Voronoi dividem o campo em áreas onde cada jogador tem a maior probabilidade de alcançar a bola primeiro. Para esta análise, as células de Voronoi são ajustadas levando em conta a velocidade e a aceleração de cada jogador, resultando em um modelo mais preciso do espaço útil que cada um pode cobrir. As áreas de Voronoi geradas por jogadores dentro do Hull Convexo do adversário indicam os espaços que podem ser explorados para o jogo interior.

Aplicação Prática: Analisando o Jogo Interior em Ação

Este modelo foi implementado em partidas reais, como mostrado no vídeo que acompanha o artigo, que analisa a posse de bola do Real Madrid contra o Athletic Club. Na análise, observamos os espaços criados pelos jogadores do Real Madrid dentro do bloco defensivo do Athletic, utilizando seus movimentos e habilidades para encontrar áreas livres e estabelecer zonas eficazes para a recepção da bola. A constante “dança” entre os jogadores ofensivos e defensivos, que ajustam suas posições em resposta aos movimentos adversários, é claramente ilustrada no vídeo, destacando como as oportunidades de jogo interior podem ser geradas por meio do controle inteligente do espaço.

Conclusões: A Chave para um Jogo Interior Eficaz

Este modelo de análise inovador oferece aos treinadores uma ferramenta poderosa para medir e aprimorar o jogo interior de suas equipes. Ao entender como criar e explorar espaços dentro do bloco defensivo adversário, as equipes podem aumentar sua capacidade de desorganizar a defesa oponente e criar oportunidades de gol. A chave está na combinação dinâmica de jogadores ofensivos que se movimentam de forma inteligente dentro do bloco defensivo e na análise contínua de como esses movimentos influenciam o espaço disponível.

Perspectivas Futuras: Caminhando para um Futebol mais Inteligente

Com a integração da inteligência artificial e do aprendizado de máquina, este modelo tem o potencial de evoluir ainda mais, possibilitando previsões em tempo real e otimização tática durante as partidas. O futebol está entrando em uma nova era de análise, na qual ciência e tecnologia desempenham um papel crucial na tomada de decisões estratégicas. Essa abordagem não só aprimora o desempenho da equipe, mas também adiciona uma nova dimensão à nossa compreensão do jogo.

Fonte do projeto: https://github.com/roboflow/sports

Vídeo demonstrativo:

Table of Contents

• Introduction
• Deepin File Manager D-Bus Service
• Deepin App Services (Config Manager)
• KDE6 Release Final Touches and Improvements
• Review of SUSE’s OpenSSH Downstream Patches
• Review of Croc Upstream Bugfixes
• Revisit of Backintime D-Bus Service
• KDE Plasma Kameleonhelper Service for RGB LED Controls
• OpenVPN Data Channel Offload (dco) Linux Kernel Module
• Emacs Games setuid/setgid Highscore Sharing Helper
• Summary and Outlook

Introduction

Our blog has been silent for a few months, since we did not make any major security findings during this time. Still our team has not been inactive. A lot of time is spent looking into programs where no notable security issues are found, or discussing with upstream developers about improvements in their software. This is the first edition of the SUSE security spotlight, a post that aims to give a quick overview of recent activities in the area of code reviews and the proactive security efforts in our team.

Deepin File Manager D-Bus Service

Deepin is a Linux desktop environment with a focus on support for the Chinese language. Many parts of Deepin have already been reviewed by us and have been accepted into openSUSE distributions, often after various security findings have been addressed. The review for Deepin’s file manager D-Bus service has been going on for years without bearing fruit, though.

The review is kind of a moving target, since upstream only partly fixes the issues we report, drops some of the problematic code, but also comes up with new code, that sometimes even contains new issues. The file manager service was initially missing any form of Polkit authentication, granting dangerous operations to any actors in the system. We decided not to request CVEs at the time, because there was no end of issues in the service and keeping track of all of them seemed like a waste of precious time for such a broken service. A party unknown to us did obtain CVE-2023-50700 for the missing Polkit authentication part in the meantime, though.

We revisited the service recently since the package maintainer told us that a new version with fixes was available. Sadly there are still too many issues left to accept the package into openSUSE.

Deepin App Services (Config Manager)

Another Deepin component that is waiting to be allowed into openSUSE is the Config Manager D-Bus service, which is part of a project called Deepin App Services. There is a review that has been in progress for a while now, and that we have revisited a couple of times. So far we found three different ways to achieve path traversal to trick the D-Bus service into processing untrusted files outside the intended system configuration directory.

Upstream fixed these issues one by one as we reported them, currently we are still waiting for cleanup in the packaging, otherwise we believe the service can soon be added to openSUSE Tumbleweed.

KDE6 Release Final Touches and Improvements

Since the large post we did about the KDE6 release, a couple of improvements have been achieved. The DrKonqi D-Bus component has been improved by upstream and the new release is by now included in openSUSE Tumbleweed as well. Also, after longer discussions and tests, upstream merged changes to KAuth that allow to pass open file descriptors to KAuth helpers. The necessary changes have been rather small in the end, and the change should allow to implement more robust KDE authentication helpers in the future.

Review of SUSE’s OpenSSH Downstream Patches

In the light of the discovery of the XZ library backdoor for OpenSSH, we decided to have a closer look into the shape of the integration of OpenSSH into our products. As part of this endeavor we did a detailed review of all the patches we currently apply to the upstream OpenSSH codebase.

Since OpenSSH is a sensitive, sometimes complex and also old component, quite a history of patches has piled up by now. The good news is that nothing truly problematic was found in the patches during the review. We will attempt to upstream as many of these patches as possible to avoid having to maintain them on our end, and to let all users of OpenSSH profit from the changes. This is a long-term effort though, that will take its time.

Review of Croc Upstream Bugfixes

Croc is a file sharing utility that allows arbitrary parties to exchange data “easily and securely”. In September 2023 we published a series of security issues that we identified in this utility. The cooperation with the upstream author proved somewhat difficult, until in May 2024 bugfixes arrived. Only with some delay have we been able to check up on the fixes. Most of them are addressed by now, except for two:

• although escape and control sequences in filenames are now detected and transmission is aborted, the problematic filenames are still output to the terminal. This remaining issue can be fixed easily, though.
• there have been some improvements to prevent received files to end up in dangerous home directory locations. Quite a number of problems remain, though. We suggested to our Croc package maintainer to add a sandbox wrapper script using container techniques, to make the package acceptable for openSUSE.

Revisit of Backintime D-Bus Service

Backintime is a backup software that ships a D-Bus helper service. We reviewed it quite a long time ago in 2017. D-Bus configuration paths recently changed in the package, which was an occasion to revisit the software and check that it is still sane. Nothing relevant changed in the D-Bus component though, so we went ahead with adapting our whitelistings for this service.

KDE Plasma Kameleonhelper Service for RGB LED Controls

Kameleonhelper is a KDE6 add-on D-Bus service that configures RGB LEDs (like on gaming keyboards) to match the KDE desktop’s color scheme. We performed a review of the service, since its addition to openSUSE was requested. The service basically only tunes some files in SYSFS for adjusting the RGB values of compatible devices. The single exposed D-Bus method is accessible to locally logged-in users without further authentication.

A typical danger in such services are path traversal attacks, i.e. that paths outside of the desired SYSFS location can be written to. There are no such problems found in this D-Bus service, luckily. There were a few quirks in the code, though, that have been addressed by a merge request by now.

OpenVPN Data Channel Offload (dco) Linux Kernel Module

An out-of-tree kernel module for OpenVPN has been added to openSUSE, which raised security concerns. The purpose of the kernel module is to accelerate OpenVPN network I/O and its encryption operations, by performing the tasks in kernel space.

The codebase of the module is of medium size. Only users with root permissions are allowed to use the socket APIs exposed by the kernel module. The local system security should not be weakened by this. Regarding the processing of network packets from remote parties, the code also looks sensible. The involved kernel frameworks provide a good base to prevent most bad things from happening. Although packet headers for IP, TCP and UDP are touched directly in some spots, the majority of the code is concerned with just opaque processing of the data for encryption/decryption and forwarding it between related parties. We could not identify any issues in the module’s code.

Emacs Games setuid/setgid Highscore Sharing Helper

Playing games in your favorite editor and sharing your highscore with other users on the system? If that brings back good old memories to you then this review is just for you. We have been asked to accept a setgid-games highscore helper program for the Emacs editor into the distribution. We always thought that using setuid binaries for sharing highscores was just an academic example from UNIX programming textbooks. But such a program actually exists, and it is already over 20 years old.

The source code for this program is rather naive and misses protection against many of the problematic aspects of setuid/setgid programs: sanitization of environment variables, sanitization of the process’s umask, no proper verification of input path arguments and other issues. Even if all these problems were fixed, the current program design does not offer any kind of protection against arbitrary manipulation of game scores, or against filling up the file system with insanely large highscore files.

We don’t believe that there are many users left on earth that actually want to share highscores on a multi-user system this way. We thus rejected the request to include this program with a setgid-games bit. Any users that want to use this feature can manually assign the required bit e.g. by using the openSUSE permissions settings.

Summary and Outlook

With this post we want to offer an insight into the every day business of the proactive SUSE product security team. Even when we don’t have any actual CVEs to report, we are constantly investing resources into open source security in various ways: by revisiting software we already reviewed in the past, by performing code reviews that yield no major problems, by having follow-up discussions with upstream about bugfixes or by rejecting components that aren’t considered healthy for the security stance of our products.

We are planning to make a series of blog posts of this kind in the future, to highlight some of our efforts, that otherwise would not be well visible. Note that this series focuses on the work of the proactive SUSE security team, while there is also the reactive SUSE security team, which is monitoring and managing CVEs and security issues in SUSE products, to make sure that SUSE customers and openSUSE users always get the latest security fixes, an area that warrants its own series of blog posts; actually we’re considering to provide something in this direction as well in the future.

Aunque el proyecto Podcast Linux está parado esto no significa que no tenga cabida en el blog y, mientras pueda, seguiré promocionándolo con la esperanza de que reviva, como cierto pájaro mitológico. Y he pensado hacerlo de una forma sencilla para mi y creo que benificiosa para todos, creando poco a poco un índice de todas sus emisiones, de forma que podamos encontrar en este blog una alternativa a su magnífica obra. Así que bienvenidos al decimocuarto audio de Podcast Linux «Especial Slimbook Katana» donde Juan se marca un excelente soliloquio hablando de un tema fundamental en informática: la seguridad en nuestros dispositivos libres.

Decimocuarto audio de Podcast Linux «Especial Slimbook Katana» – Podcast Linux #14

Como los lectores del blog sabrán hace un tiempo Podcast Linux cerró sus emisiones por motivos que solo incumben a su creador. Desde el blog no quiero dejar que su recuerdo se desvanezca así que seguiré publicitando sus audios ya que su calidad no debe caer en el olvido.

Hace un tiempo decidí empezar por el principio, mostrando su primer audio, el cual no promocioné en su día. Lo mismo ocurría con los siguientes, y, si las búsquedas no me engañan no fue hasta los episodios 19, 20, 21 y 22 cuando empecé a hacerlo. Ya me acerco a esos episodios…

De esta forma continuo con su decimocuarto audio de esta serie presentado en el blog, un programa bastante especial ya que junta a mi compañia favorita de hardware y a uno de las mejores voces del mundo del Softawa Libre: la de Juan.

Pero mejor leer las palabras de Juan:

Muy buenas Linuxeros. Bienvenidos a un episodio especial de Podcast Linux.
Mi nombre es Juan Febles y hoy quiero compartir contigo mis impresiones sobre el Slimbook Katana después de 2 semanas de uso.

Más información: Podcast Linux

Sigue a Podcast Linux

Aprovecho para animaros a seguir Podcast Linux en algunos de los canales de comunicación que tiene:

• Twitter: https://twitter.com/podcastlinux
• Mastodon: https://mastodon.social/@podcastlinux/
• Correo: podcastlinux@disroot.org
• Web: https://podcastlinux.com/
• Telegram: https://t.me/podcastlinux
• Telegram Juan Febles: https://t.me/juanfebles
• Youtube: https://www.youtube.com/PodcastLinux
• Feed Podcast Linux: https://podcastlinux.com/feed
• Feed Linux Express (Audios Telegram): https://podcastlinux.com/Linux-Express/feed

La entrada Decimocuarto audio de Podcast Linux «Especial Slimbook Katana» – Podcast Linux #14 se publicó primero en KDE Blog.