PostgreSQL is a capable and mature database, which comes in a major or minor version number (e.g. 16.0). Minor releases never change the internal storage, so the database always remains compatible with earlier and later minor releases. However major version releases do not have such a guarentee. We are running a single PostgreSQL database as a podman container and I recently (today) had the glorious task of migrating this database to the next major version. In this blog post I describe how we did this migration.

Vuelven las charlas y talleres a Linux Center València, el espacio creado por Slimbook para la divulgación del Software Libre . De esta forma me complace compartir una nueva charla-taller que se celebrará en sus instalaciones que lleva por título «Ciberseguridad en red» donde, a cargo de José Mor , se hablará sobre este aspecto ya fundamental de nuestro día a día.

Ciberseguridad en red en Linux Center València

Ya es un clásico del blog hablar de la compañía valenciana de ensamblaje de dispositivos compatibles 100% con el Software Libre conocida como Slimbook. Tras su primera charla en octubre que inició esta nueva temporada de eventos vuelven a promocionar el Software Libre mediante actividades comunitarias que realizan en su Linux Center.

De esta forma el próximo sábado 25 de noviembre vamos a poder disfrutar de una nueva charla-taller titulada «Ciberseguridad en red» a cargo de José Mor, miembro fundador de la organización Whihax, comunidad de tecnología y de seguridad de la información.

El índice del taller es el siguiente:

1. Introducción a la seguridad en red (PPT).
2. Enfoque doméstico vs empresarial (PPT).
3. Instalación y uso de PiHole con Slimbook Zero. (Taller)
4. Listas personalizadas, análisis de tráfico, otros tips. (Taller)

Como vemos un tema de candente actualidad y que define perfectamente la sociedad a la ques estamos abocados. Conocer todo lo que se pueda sobre este tema es crucial para ser un ciudadano responsable.

El curso es preencial, por tanto no se va a retransmitir por streaming pero se colgará un resumen del curso en nuestro canal de Youtube, varias semanas después del evento.

La información adicional que necesitas es esta:

Plazas Total: 20 (corre que suelen agotarse)

¿Curso Gratuito o de Pago?: GRATUITO gracias a SLIMBOOK y a José.

Duración del evento: 2h + Preguntas y respuestas

¿Podemos retransmitirlo via streaming?: No

Localización: Linux Center (Grupo Odín). Ronda de la Química s/n Edificio ABM L’Andana, 7ª planta Frente a Parque Técnológico 46980 Paterna, Valencia

Más información: Linux Center

¿Qué es Whihax?

Aprovecho para promocionar a la Ccomunidad a Whihax, entusiastas, desarrolladores y profesionales de la seguridad informática con la filosofía de reportar y/o conocer las vulnerabilidades existentes en los ámbitos de Internet, Hardware y Software que empleamos diariamente.

Más información: Whihax

La entrada Ciberseguridad en red en Linux Center València se publicó primero en KDE Blog.

This report is about the problematic use of fixed temporary paths in the hpps program from the hplip project. Hplip is a collection of utilities for HP printer and scanner devices.

There is currently no upstream fix available for this issue and this publication happens after 90 days of attempted coordinated disclosure, but upstream did not react to my report.

Update 2024-01-04: I have been informed that upstream release 3.23.12 published on 2023-11-30 silently fixes this issue. The fix is based on the patch that I suggested in this report.

This report is based on the latest upstream release 3.23.8 of hplip.

The Issue

The program /usr/lib/cups/filter/hpps uses a number of insecure fixed temporary files that can be found in prnt/hpps/hppsfilter.c:

prnt/hpps/hppsfilter.c:1027:        sprintf(booklet_filename, "/tmp/%s.ps","booklet");
prnt/hpps/hppsfilter.c:1028:        sprintf(temp_filename, "/tmp/%s.ps","temp");
prnt/hpps/hppsfilter.c:1029:        sprintf(Nup_filename, "/tmp/%s.ps","NUP");

These paths are only used if “booklet printing” is enabled. For testing, the logic can be forced by invoking the program similar to this:

$ export PPD=/usr/share/cups/model/manufacturer-PPDs/hplip-plugin/hp-laserjet_1020.ppd.gz
$ /usr/lib/cups/filter/hpps some-job some-user some-title 10 HPBookletFilter=10,fitplot,Duplex=DuplexTumble,number-up=1

The program will expect data to print on stdin this way. Just typing in some random data and pressing Ctrl-d will make it continue. There is a chance that it will crash, though, since error returns from parsing errors are largely not checked in this program.

The three paths are created and opened using fopen(), so no special open flags are in effect that would prevent following symlinks, also the O_EXCL flag is missing to prevent opening existing files. The resulting system calls look like this (for creation / opening for reading):

openat(AT_FDCWD, "/tmp/temp.ps", O_WRONLY|O_CREAT|O_TRUNC, 0666) = 3
openat(AT_FDCWD, "/tmp/temp.ps", O_RDONLY)

Furthermode there is a chmod() on the /tmp/temp.ps file:

hppsfilter.c:110 chmod(temp_filename, S_IRUSR | S_IWUSR | S_IRGRP | S_IROTH);

The data to print (from stdin) is written to this file, and the file is also made world readable explicitly via this chmod(). The issues with these paths are multifold:

• There is a local information leak, since the print job data will become visible to everybody in the system.
• There is violated data integrity, since other users can pre-create these files and manipulate e.g. the data to print.
• This may allow to create files in unexpected places, by placing symbolic links, if the Linux kernel’s symlink protection is not active.
• Similarly it may allow to grant world read privileges to arbitrary files by following symlinks during the chmod().
• It may allow further unspecified impact if crafted data is placed into /tmp/temp.ps which is processed by the complex PS_Booklet() function.

I did not research the impact of the issue further to see whether this could lead to local code execution in the context of the user that is invoking hpps.

Suggested Patch

To fix this issue all three fixed temporary paths need to be replaced by unpredictably named temporary files that are safely created. I authored a suggested patch that accomplishes this. This patch also drops the chmod(). The purpose of it is unclear, so it is possible that this breaks something, if other processes with different privileges need to access this file.

There is no patch or any other information available from upstream.

Affectedness

Since, to my knowledge, there is no public version control system for hplip, it is difficult to determine when this issue has been introduced. By taking some samples from older SUSE distributions I found the issue to be present at least since upstream release 3.19.12 from 2019-12-12.

CVE Assignment

Since HP is a CVE CNA, it is itself responsible for assigning a CVE. Since there is no reaction from upstream I don’t know if or when CVEs will be available.

Timeline

References

• hplip SourceForge Project page
• hplip release 3.23.8 which this review was based on
• private hplip Launchpad security issue detailing these issues
• suggested patch to fix the issue

The time has arrived for people to begin submitting talks for openSUSE Conference 2024.

This year’s conference theme is: Evaluating the Future: Where Are We Going?

The theme sets the stage for exploring the evolving landscape of technology and open-source innovation. We invite those people submitting a talk for this year’s conference to delve into talks that will inspire thought-provoking discussions, analyses and predictions about the future trajectory of open-source development, emerging technologies, the openSUSE project and more.

Until April 15, people can submit proposals for a talk or workshop to share insights and their expertise.

The conference is scheduled to take place June 27 to 29 in Nuremberg, Germany.

Presentations can be submitted for the following length of time:

• Lightning Talk (10 mins)
• Virtual Lightning Talk (10 mins)
• Short Talk (30 mins)
• Virtual Talk (30 mins)
• Long Talk (45 mins)
• Workshop (1 hour)

The following tracks are listed for the conference:

• Cloud and Containers
• Community
• Embedded Systems and Edge Computing
• New Technologies
• Open Source
• openSUSE

Speakers are encouraged to submit proposals that align with this year’s theme.

Topics under this theme might include:

• Futuristic Trends: Predictions and insights into upcoming technological trends shaping open-source landscapes.
• Ethical Tech: Discussions on the ethical implications of technological advancements and how open-source communities can navigate them.
• Innovation and Disruption: Exploring how innovation drives disruptions and reshapes industries within the open-source ecosystem.
• Sustainability and Accessibility: Evaluating how open-source technologies contribute to sustainable and accessible solutions for the future.
• Emerging Challenges: Addressing challenges and obstacles that might hinder the progress of open-source development in the coming years.
• Collaborative Futures: Assessing the role of collaboration and community-driven efforts in shaping the future of open-source projects.

Volunteers who would like to help the Program Committee and/or the Organizing Team can email ddemaio@opensuse.org or attend normally scheduled community meetings.

Conferences need sponsors to support community driven events to keep events free and open to new contributing members and companies can find sponsorship information on the project’s wiki page.

Hoy quiero comenzar una serie de artículos para comentar el estado final de la participación de KDE en Google Summer of Code 2023 (GSoC). Este año han sido varias las aplicaciones o procesos que han sido foco del trabajo por parte de los mentores y estudiantes. De esta forma, empecé este repaso con Merkuro, seguí con digiKam y hoy continuo con los avances de Krita fruto de la colaboración con el programa Google Summer of Code 2023, la fantástica aplicación para la creación de dibujos digitales.

Avances de Krita fruto de la colaboración con el programa Google Summer of Code 2023.webp

El equipo de KDE es uno de las Comunidades que siempre intentan colaborador con los proyectos centrados en el Software Libre que suele organizar cualquier compañía, y Google no es ninguna excepción

Como podemos leer en el anuncio del dot donde se comenta el final de este curso del 2023:

Este año, KDE ha tutelado con éxito siete proyectos en el Google Summer of Code (GSoC). GSoC es un programa en el que colaboradores nuevos en software libre y de código abierto dedican entre 175 y 350 horas durante 10 a 22 semanas a trabajar en un proyecto de código abierto. Este artículo presenta los proyectos y colaboradores de 2023 y sus logros.

Fruto de esta colaboración se han mejorado aplicaciones del ecosistema KDE al tiempo que proporciona experiencia, conocimiento y maestría a nuevos desarrolladores. Es el momento de reconocer este trabajo y promocionar este trabajo para ser consciente así de que el Software Libre va de personas que trabajan por un bien común.

Hoy quiero comentar el avance del programa KDE Eco, el proyecto para hacer más eficiente el consumo energético de nuestras aplicaciones, algo muy necesario y que aporta un plus de valor al ecosistema KDE. Ojalá pronto esto sea un requisito para las administraciones públicas (porque en las privadas prima generalemente otras cosas) en aras de reducir nuestra huella de carbono.

• Medición del consumo de energía mediante un laboratorio remoto: Karanjot Singh implementó el acceso remoto al laboratorio de medición de energía KDE Eco. Aunque el laboratorio se encuentra físicamente en las oficinas de KDAB en Berlín, con KEcoLab ahora es accesible para KDE y otros desarrolladores de Software Libre desde cualquier parte del mundo. Esto se logró mediante el establecimiento de la integración CI/CD backend y la automatización del proceso de medición de energía, incluyendo el suministro de un resumen de los resultados.

Más información: KDE News

¿Qué es GSoC?

Vía Somos Libres he encontrado esta magnífica descripción del programa GSoC:

Google Summer of Code (GSoC) es un evento organizado por Google, cuyo objetivo es hacer participar a varios estudiantes en el desarrollo de determinados proyectos Open Source elegidos por Google. Cada grupo debe cumplir con una lista de tareas específicas que deben realizar y elegidas por el representante del proyecto, también conocido como mentor.

Los objetivos del GSoC son:

• Crear y liberar código Open Source para el beneficio de todos.
• Inspirar a los jóvenes desarrolladores a participar en el desarrollo de aplicaciones Open Source.
• Ayudar a los proyectos Open Source a identificar a nuevos y posibles desarrolladores.
• Dar a los estudiantes la oportunidad de trabajar en algo relacionado a sus estudios. Dar a los estudiantes una mayor exposición a situaciones del mundo real de desarrollo de software.

En definitiva, una excelente iniciativa que beneficia a todo el mundo.

La entrada Avances de KDE Eco fruto de la colaboración con el programa Google Summer of Code 2023 se publicó primero en KDE Blog.

Vamos a ver qué significan en el cliente de correo para la terminal NeoMutt las distintas letras que indican información interesante sobre los correos

Sigo con la serie de artículos dedicados a NeoMutt, el cliente de correo para la terminal. Aprendiendo poco a poco y compartiendo eso que voy aprendiendo por si te sirve. Puedes ver los artículo publicados en este enlace:

• https://victorhckinthefreeworld.com/tag/neomutt/

En este caso, vamos a hacer un pequeño repaso a los indicadores o flags que en la bandeja de entrada muestra NeoMutt delante de cada correo y que nos proporciona información sobre el estado de los correos o sobre los correos recibidos.

Los indicadores a los que me refiero son los siguientes. Imaginemos que en nuestro NeoMutt tenemos algo similar a esto:

37   + 07-12-2022 Dionisio Leboz Co (8,2K) Notificación de pago recibido
38   + 29-11-2022 WordPress.com   ( 17K) Importante: cambios en los precios de tu dominio
39 r + 21-09-2022 Bram Moolenaar  (2,9K) Re: broken link in your webpage
40 r + 05-10-2022 Bram Moolenaar  (2,9K) └*>
41 rs+ 09-09-2022 Craig Maloney   (5,8K) Re: spanish trnaslation of Mediocre Programmer
42 rs+ 13-09-2022 Craig Maloney   (4,2K) └─>
43  s+ 29-09-2022 Craig Maloney   (3,6K)   └─>
44   + 28-09-2022 Joe Dow         (8,2K) Notificación
45 r T 21-09-2022 Dionisio Girca  (4,1K) Re: super cool message

Los indicadores o flags son las letras y símbolos antes del correo que nos ofrecen información interesante sobre los correos recibidos. Veamos qué es cada uno:

También se añaden unas marcas en función del receptor del correo:

Por tanto si delante de un correo vemos algo como rs+ podemos saber que es un correo al que hemos respondido, está firmado y venía dirigido exclusivamente a nosotros.

De manera individual podremos añadir o quitar algunas de esas indicaciones para un correo o grupo de correos marcados.

Así si nos ponemos encima de un correo y pulsamos las teclas w o W podremos añadir o quitar respectivamente algunas marcas: Colocar marca? (D/N/O/r/*/!)

Debo reconocer una cosa: no se me queda en la memoria el nombre del canal propio de vídeos de la Comunidad KDE. Lo cierto es que Kockatoo tube, nombre elegido para su canal de Peertube de KDE no es el más simple del mundo pero eso no significa que no debamos hacer un esfuerzo por familiarizarnos con él. Por mi parte he pensado que la forma de hacerlo será escribir mucho sobre él al tiempo que promociono algo más la pasada edición de Akademy-es de Málaga. De esta forma bienvenidos a la charla grabada de «Audiofilia en Linux» por Antonio Larrosa disponible en el Kockatoo tube en el canal de #akademyes 2023″.

Audiofilia en Linux con Antonio Larrosa en Kockatoo tube #akademyes 2023

Antes de empezar alguien se puede preguntar porqué no utilizar solo Youtube para compartir contenido multimedia. La respuesta es muy simple: para evitar que esta plataforma que pertecene a a Google tenga el control de todo contenido multimedia de la Comunidad KDE.

Para evitarlos se ha creado Kocaktoo tube, simplemente una alternativa libre de youtube, donde se cuelgan por defecto los vídeos de KDE pero no de forma exclusiva ya que si se puede se suben también a la plataforma con más usuarios (hay que pescar donde hay peces).

Como la gente asidua al blog sabrá, el pasado 9 y 10 de junio de 2023 la asociación KDE España celebró en Málaga su Akademy-es 2023 integrada en el evento marco Opensouthcode. Fruto de ella se realizaron una serie de charlas, las cuales fueron grabadas en su gran mayoría y subidas al Kocaktoo tube de KDE España. Aunque ya las he presentado en el blog creo que es positivo compartis con vosotros todas las que pueda.

De esta forma sigo esta serie con la charlas «Audiofilia en Linux» por Antonio Larrosa  en el Kockatoo Tube de KDE España. Espero que las disfrutéis.

Más información: Kockatoo Tube de KDE España

Canal de Peertube de KDE: Kockatoo Tube

Para los que no conozcan este servicio, os presento (y me sirve a mi para seguir conociéndolo más a fondo) PeerTube, desarrollado por Framasoft, es la alternativa gratuita y descentralizada a las plataformas de video, que le brinda más de 400000 vídeos publicados por 60000 usuarios y vistos más de 15 millones de veces.

Hace poco, la asociación GNU/Linux València anunció que empezaba a utilizar este servicio, poco tiempo después, anuncié que KDE España también empezaba a utilizar este servicio. Lo que no dije es que esta instancia de Peertube en realidad estaba siendo alojada en una mayor de la Comunidad KDE: Kockatoo.

De esta forma, en este instancia de KDE podemos encontrar todo tipo de vídeos, desde los de KDE España que ya he comentado hasta los vídeos de Niccolò Ve pasando por anuncios de lanzamiento como el último de Plasma 5.23, edición 25 aniversario.

La entrada Audiofilia en Linux con Antonio Larrosa en Kockatoo tube #akademyes 2023 se publicó primero en KDE Blog.

The openSUSE community began the process for openSUSE Board Elections 2023. The process is a celebration of community involvement and a cornerstone of our open-source spirit.

The elections are structured into three distinct phases, each playing a crucial role in selecting dedicated leaders to steer the project’s future.

Phase 0: Setting the Stage

Phase 0, which started Nov. 15, marks the initiation of the Board Election process. This period serves as the Call for Nominations and Applications for Board candidacy. Individuals interested in running for the openSUSE Board are urged to step forward, mindful of the significant two-year commitment required for the role. Candidates must be openSUSE members, and the Election Committee ensures a fair process by prohibiting committee officials from standing for election to avoid conflicts of interest. This process runs until Nov. 30.

Phase 1: Campaign and Awareness

Following the closure of the announcement process, Phase 1 starts on Dec. 1. This stage sparks the campaign period where candidates showcase their vision, plans, and aspirations for openSUSE. The community becomes the focal point of the campaigners.

Phase 2: Voting Time

Transitioning into Phase 2 on Dec. 15, the community takes center stage in influencing the project’s direction. Ballots open, allowing eligible members to cast their votes via a secure electronic system. Each vote is crucial and shapes the leadership that will guide openSUSE in the upcoming years. There are two seats available for this year’s board.

For any inquiries or clarifications, individuals can reach out to the committee at election-officials@opensuse.org.

By actively participating in the openSUSE Board Elections 2023, every member contributes to the shared vision of a stronger, more resilient open-source community.

The countdown has begun and we look forward to reading the announcements from the new candidates on the openSUSE Project mailing list.

Cada cierto tiempo me gusta hablar de Slimbook, la marca de dispositivos 100% compatibles con GNU/Linux por varias razones, entre las que destacan que soy usuario habitual de la marca y que tengo la convicción de que debemos promocionar las empresas que confían en el Sotware Libre. Es por ello que me complace compartir con vosotros que ha sido lanzado el nuevo Fedora Slimbook, dentro de su serie de ordenadores portátiles diseñados y configurados expresamente para proyectos libres,como es el caso de esta veterana distribución.

Nuevo Hero Slimbook, su nuevo portátil para gamers

Ya no es complicado encontrar ordenadores portátiles con la posibilidad de disfrutar de un sistema operativo libre. Gracias a compañías como Slimbook esto se ha convertido en un juego de niños, y no solo por la venta de dispositivos con distribuciones GNU/Linux por defecto sino porque te los afinan como solo los profesionales saben hacer para que funcionen a pleno renidmiento (y si no me creéis os remito a este artículo donde un producto puesto a punto por los chicos y chicas de Slimbook barría en las pruebas de rendimiento a ordenadores, en principio, más potentes).

De tal forma que el lanzamiento de un nuevo producto de esta empresa es motivo de alegría ya que demuestra dos que la empresa valenciana siempre está buscando «nuevos mercados» y que no se queda estancada en el pasado, intentando ofrecer las máximas opciones para el usuario.

En esta ocasión no hay nota de prensa, según podemos ver en su twitter están muy atareados con su nueva web, los descuentos para el Black Friday y preprarando las charlas para su Linux Center, así que me limito a poner la información que tengo con el tiempo que tengo del nuevo Slimbook Hero, la nueva joya de la corona gamer y para diseñadores multimedia:

• Procesador Intel 13th Gen i7-13620H
• Tarajeta gráfica Nvidia 40 Series GPU
• Pantalla de alta resolución WQHD 165Hz
• Chasis de alumnio y ABS
• Teclado RGB con teclas gamers destacadas
• Super RAM DDR5
• 2x M.2 SSD / M.2 NVME

Como vemos, la compañía valenciana no deja de ofrecer novedades, mejorar sus servicios y buscar nuevas formas de llegar a más gente, respetando siempre a la comunidad GNU/Linux.

Por cierto, y como suelo comentar en estos casos, esto tampoco es una entrada patrocinada. Mi relación con Slimbook es de cliente habitual, amistad e intereses mutuos (el dominio del mundo por parte de la filosofía GNU/Linux).

Más información: Slimbook

La entrada Nuevo Hero Slimbook, su nuevo portátil para gamers se publicó primero en KDE Blog.