Source

Proton travaille actuellement sur un client Proton Drive officiel pour Linux, basé sur le nouveau SDK conçu pour améliorer les performances globales du Drive.

Le post Proton prépare un client Proton Drive natif pour Linux a été publié sur IT-Connect.

Quand on est habitué à Linux et qu'on se retrouve avec un Mac, même si c'est une base unix, c'est déroutant. Heureusement, Apple est de plus en plus ouvert au monde du libre et vient de publier la version 1.0 de Container , avec dedans des "container machines" qui ressemblent furieusement à WSL. Et ça nous permet comme ça d'avoir le meilleur des deux mondes : un macOS pour le quotidien, et un vrai Linux pour vos folles bidouilles.

Vous vous souvenez forcément de mon article où je vous présentais Apple Container , cet outil écrit en Swift qui fait tourner des conteneurs Linux dans des petites machines virtuelles. Et bien un an plus tard, le projet passe en 1.0, pile pour la WWDC, et la grosse nouveauté c'est donc ce mode "machine".

Le CLI container en action, sobre comme un terminal qui bosse ( Source )

Il s'agit d'un environnement qui vous permet de faire tourner de vraies distributions Linux comme Ubuntu, Debian ou Alpine, et pas juste un conteneur modelé sur une application. La machine lance le système d'init de l'image, donc un systemctl start postgresql fonctionnera comme sur un vrai serveur.

Et à la reconnexion, à partir du même terminal ou d'un autre, l'état de la machine n'est pas perdu. Surtout, elle mappe automatiquement votre utilisateur et votre répertoire home. Votre repo vit ainsi dans le $HOME de macOS, du coup vous éditez avec votre IDE côté Mac et vous compilez côté Linux, sans étape de copie entre les 2.

Pour la prise en main, entrez les commandes suivantes en prenant soin de remplacer alpine par la distrib de votre choix :

container machine create alpine:latest --name dev
container machine run -n dev whoami # votre user, pas root
container machine run -n dev # shell interactif

Ensuite, pour aller plus loin, vous pouvez le faire via un terminal en choisissant l'image que vous voulez ou concevoir votre propre image : n'importe quelle image Linux avec un /sbin/init fait l'affaire.

Après vous l'aurez compris parce que vous êtes les plus malins, il vous faut un Mac Apple silicon, et si ça se lance encore sur macOS 15, c'est avec des limitations et sans filet car les mainteneurs ne s'occupent actuellement que des bugs reproductibles sur macOS 26. Et migrer toute votre stack dev dessus aujourd'hui, c'est ce que je ne vous recommande pas sachant que c'est tout frais...

Mais ainsi, grâce à ces machines, plus besoin de choisir entre un Mac et une distribution Linux. Après est-ce que ça enterre OrbStack et Colima ? Pas tout de suite je pense, car ces outils tournent depuis des années sur des Mac Intel et des macOS pas tout neufs, alors que là, Apple exige sa puce maison.

Ah et côté x86, container fait aussi tourner des images amd64 via Rosetta, alors c'est le bonheur ! Et si le sujet vous branche, j'avais aussi causé de Mocker , un clone Docker natif pour Mac, et de WSL côté Windows si pour vous Mac c'est pas encore un projet ^^.

Bref, l'installeur signé est sur la page des releases , vous faites un petit container system start, et hop hop hop, à vous le kif du Linux sur votre petit Mac !

Source

Source

Oliver Sieber, un chercheur de chez Exodus Intelligence, vient de publier l'exploit complet d'une faille qui tient dans un seul caractère. C'est la CVE-2026-23111, planquée dans nf_tables, c'est à dire au bout du noyau Linux qui filtre les paquets réseau. Un bug discret donc, qui transforme un compte tout pourri, sans le moindre privilège, en compte root sur la machine... et qui vous fait sortir d'un conteneur au passage.

Le scénario, vous le connaissez si vous traînez ici depuis un moment. Un utilisateur qui dispose d'un compte sans droit particulier sur une machine Linux (y compris parce qu'il a exploité une autre faille avant, dans une appli web par exemple) lance l'exploit, et se retrouve avec les pleins pouvoirs. Pas de vecteur distant, rien à cliquer : c'est l'arme qu'on dégaine une fois le pied dans la porte. Que ce soit un shell avec des droits limités, un conteneur compromis, un compte de service... tout y passe et hop, root sur l'hôte !

Le bug lui-même, c'est ce qu'on appelle un use-after-free, c'est à dire que le noyau réutilise un bout de mémoire qu'il a déjà libéré, et forcément ça part en vrille. Exodus a titré son analyse complète "Off By !", un clin d'œil au classique off-by-one des développeurs, sauf qu'ici le coupable c'est un test inversé. Un caractère de trop, une condition qui dit l'inverse de ce qu'elle devrait, et voilà. Et le correctif, lui, tient en une seule ligne.

Le fameux caractère : le ! qui inversait le test dans nft_map_catchall_activate(). Le correctif le retire, et c'est tout (commit 8fdb05de).

La faille a d'ailleurs été reproduite deux fois, par deux équipes qui ne se sont pas concertées. Exodus l'a validé sur Debian Bookworm, Debian Trixie, Ubuntu 22.04 et 24.04. FuzzingLabs avait sorti sa propre version dès avril, par un chemin complètement différent, et l'avait fait tourner sur RHEL 10 juste avant le Pwn2Own de Berlin. Bref, ça marche, c'est bien documenté, et c'est public.

Mais le pire, c'est le calendrier de tout ce merdier puisque le patch a été mis à dispo le 5 février. Ensuite, y'a eu l'exploit de FuzzingLabs publié le 16 avril, suivi d'un write-up détaillé d'Exodus le 8 juin. Autrement dit, ça fait des mois que le correctif existe et des semaines que le code d'exploitation traîne dans la nature.

La seule chose qui vous sépare donc d'un compte root offert à n'importe qui, c'est d'avoir mis à jour ou pas.

Et cette faille s'ajoute à une sacrée série de failles root-local sur Linux ce printemps. Y'a eu Copy Fail , y'a eu Dirty Frag et sa variante Fragnesia ... à chaque fois le même refrain, un compte sans droit qui finit root sur une install standard. C'est devenu presque routinier, et Synacktiv pointe une raison plutôt pertinente en nous expliquant que c'est à cause (ou grâce ^^) aux outils d'IA qui décortiquent les patchs pour en sortir un exploit rapidos, qui marche direct avant même que la correction soit déployée partout.

Du coup, qu'est-ce que vous devez faire ?

Hé bien le plus simple d'abord, c'est de mettre à jour le noyau et vous rebootez. Ubuntu a corrigé 22.04, 24.04 et 25.10, Debian a patché Bookworm et Trixie (avec un backport en 6.1 pour Bullseye), et Red Hat, SUSE et Amazon Linux ont suivi. Comme la version corrigée exacte dépend de votre distrib, jetez donc un œil à l'advisory qui correspond à la vôtre.

Si vous gérez une machine où tournent des utilisateurs ou des workloads pas franchement de confiance, vous pouvez également couper le chemin d'attaque sans attendre le patch. La faille a besoin des user namespaces non privilégiés, un mécanisme qui laisse un process lambda se bricoler son propre bac à sable avec des droits root à l'intérieur.

Et nf_tables comme ces namespaces, sur la plupart des desktops et pas mal de serveurs, c'est actif par défaut, donc oui, sans le patch vous êtes probablement exposé.

Pour les désactiver, le plus universel c'est user.max_user_namespaces=0 : un sysctl -w user.max_user_namespaces=0 pour tout de suite, et la même ligne dans un fichier genre /etc/sysctl.d/99-userns.conf pour que ça tienne au reboot.

Ça marche sur toutes les distros mais c'est radical, ça coupe tous les user namespaces, même ceux de root. Sur Debian et les vieilles Ubuntu, t'as plus fin avec kernel.unprivileged_userns_clone=0 qui ne vise que les non-privilégiés. Et sur Ubuntu 24.04, bonne nouvelle, c'est déjà restreint par défaut via AppArmor. Attention quand même, ça peut casser des trucs qui s'appuient dessus, genre le bac à sable de Chrome ou Flatpak.

À faire en connaissance de cause, donc.

La parade en vrai : une fois les user namespaces non privilégiés coupés, un compte lambda qui tente d'en créer un (le prérequis de l'exploit) se fait jeter sur un "No space left on device".

Après la bonne nouvelle, c'est que d'après les chercheurs, aucune exploitation dans la nature pour cette faille précise n'a été constaté à ce jour. Après comme sa cousine Copy Fail, elle, a déjà atterri au catalogue des failles activement exploitées de la CISA, ne traînez pas trop. Bref, comme d'hab padpanik, vous mettez à jour, vous rebootez, et on n'en parle plus.

Source

Source

Microsoft annonce Coreutils pour Windows, un nouvel ensemble d’outils en ligne de commande inspirés de Linux. Il est disponible via WinGet et GitHub.

Cet article Coreutils, Windows accueille enfin les commandes Linux a été publié en premier par GinjFo.

Source

Source

Rsync : une mise à jour perturbe les sauvegardes incrémentales, révélant des commits co-écrits avec l'IA Claude d'Anthropic. Qu'en est-il ?

Le post Coup de sang sur GitHub autour de Rsync et de l’utilisation de l’IA Claude a été publié sur IT-Connect.

Des apps de todo qui se réclament de la mouvance GTD , y'en a des centaines ! Mais des apps qui appliquent vraiment la méthode de David Allen de bout en bout, et qui en plus sont libres, locales, et qui tournent sur tous les OS, y'en a beaucoup moins.

Le développeur Dongdongbh en a sorti une nommée Mindwtr (prononcez "mind water", l'esprit clair comme l'eau... ^^), et je pense que ça va vous intéresser.

Alors comme d'hab, pour ceux qui débarquent (et ils sont légion, lol), l'idée de GTD c'est que votre cerveau est fait pour avoir des idées, mais pas fait pour les stocker. Donc le concept c'est de vider tout ce qui vous trotte dans la tête, de le trier, de l'organiser, et comme ça, vous saurez ensuite en permanence par quoi attaquer vos journées de ministre.

Capturer, clarifier, organiser, réviser, agir, ça se passe en 5 étapes, que Mindwtr suit à la lettre. Une tâche se note en moins de 2 secondes via un raccourci clavier ou l'icône système, même en pleine réunion. Ensuite une "inbox" vous permet de faire le tri (avec un coup de main d'une IA si vous voulez), puis tout s'organise en projets et contextes, une revue hebdo garde le système vivant, et enfin une vue Focus vous sort juste les prochaines actions selon l'endroit où vous êtes.

Et ça fonctionne sous Linux en Flatpak, AUR, dépôt APT et même RPM, Windows via Microsoft Store, Winget, Chocolatey ou Scoop, macOS sur l'App Store et Homebrew, iOS, Android sur le Play Store, F-Droid et IzzyOnDroid, plus une PWA web quand vous ne pouvez rien installer...

J'ai rarement vu un mec seul ratisser autant de surface niveau compatibilité.

Mais LE truc qui compte vraiment, c'est que tout reste chez vous.

C'est local-first, sans compte obligatoire et pour synchroniser tout ce bazar entre vos machines vous y branchez ce que vous voulez : WebDAV, votre propre serveur, un simple fichier, Dropbox ou iCloud. Petit piège honnête quand même, la sync Dropbox n'existe que sur les builds non-libres et iCloud uniquement sur les appareils Apple. Et sur la version 100% libre de Flathub ou F-Droid, vous synchronisez en WebDAV, par fichier local ou via votre propre serveur.

Rien de bloquant, mais autant le savoir avant de migrer dessus.

Pour les bidouilleurs, vous allez voir, je vais vous parler maintenant de la partie que je préfère.

Car Mindwtr expose une API REST (sur 127.0.0.1, port 3456, avec token), une CLI pour ajouter, lister et compléter vos tâches depuis le terminal, et un serveur MCP.

Traduction : Vous balancez tout le bordel que vous avez dans la tête via un prompt (que vous pouvez dicter dans la joie grâce à VoxDrop ) à un agent type Claude Code et hop, vos tâches atterrissent dans l'inbox sans que vous touchiez la souris.

L'IA intégrée tourne ensuite en BYOK (Bring Your Own Key), donc c'est à vous d'amener votre clé API, compatible OpenAI, Gemini, Claude ou un modèle local , comme ça vous gardez la main sur le modèle ET sur la facture.

Pour migrer, sachez également que l'app avale vos exports Todoist, OmniFocus, le format DGT GTD et vos vaults Obsidian , et elle ressort tout en JSON si vous voulez ensuite migrer dans l'autre sens.

Bref, si vous voulez appliquer GTD au sérieux sans louer votre cerveau à Todoist ou TickTick, ça vaut le coup d'œil. Le code est sur github.com/dongdongbh/Mindwtr .

Merci Jean pour l'info !

La Linux Foundation a annoncé son intention de lancer la Tokenomics Foundation, une nouvelle fondation dédiée à l'établissement de normes ouvertes pour l'économie de l'infrastructure IA.

La Linux Foundation a annoncé son intention de lancer la Tokenomics Foundation, une nouvelle fondation dédiée à l'établissement de normes ouvertes pour l'économie de l'infrastructure IA.

À sa conférence Build 2026, le 2 juin, l'éditeur a lancé Coreutils for Windows, un paquet qui amène directement dans Windows les commandes de base bien connues des utilisateurs de Linux.

On parle des classiques du terminal, ls pour lister des fichiers, cp pour copier, mv pour déplacer, grep pour chercher du texte, ou encore cat, find et rm. Au total, près de 75 petites commandes que tout bidouilleur tape machinalement sans même y penser.

Au passage, une petite précision historique s'impose (et merci à MG pour le rappel) : si on les appelle par habitude des « commandes Linux », ces classiques sont en réalité bien plus vieux que ça. ls, cp, cat et compagnie viennent d'Unix, le système né au tout début des années 70 dans les labos de Bell, soit une bonne vingtaine d'années avant que Linux ne débarque en 1991. On les retrouve d'ailleurs dans à peu près toutes les versions d'Unix, de Solaris aux BSD jusqu'à macOS, et Linux n'a fait qu'hériter de ce patrimoine. Donc « commandes Unix » serait techniquement plus juste, mais bon, on se comprend.

Le but affiché est simple. Les développeurs jonglent en permanence entre Windows, macOS et Linux, et s'agacent quand une commande qui marche d'un côté refuse obstinément de fonctionner de l'autre. L'idée, ici, c'est de pouvoir réutiliser les mêmes commandes et les mêmes scripts partout, sans rien réécrire.

Le plus intéressant, c'est ce qu'il y a sous le capot. Et là, surprise. Coreutils for Windows ne réinvente rien, puisqu'il s'appuie sur uutils, un projet communautaire qui réécrit les fameux coreutils de GNU en Rust, un langage réputé pour éviter toute une famille de bugs mémoire.

Autrement dit, Microsoft reprend un travail open source mené par la communauté, l'empaquette proprement et le maintient sous son nom. Le tout s'installe en une seule ligne via WinGet, le gestionnaire de paquets maison de Windows, avec un simple winget install Microsoft.Coreutils.

Côté technique, l'astuce est plutôt élégante. Plutôt que de livrer un exécutable par commande, Microsoft fournit un unique programme, coreutils.exe, et crée à l'installation une série de raccourcis (ls.exe, cp.exe, grep.exe et les autres) qui pointent tous vers lui. Selon le nom que vous tapez, ce programme sait quelle casquette enfiler. Malin.

Tout n'a pas fait le voyage, cela dit. Des commandes comme chmod, chown ou kill restent sur le carreau, faute d'équivalent propre sous Windows, qui ne gère pas les permissions de fichiers à la manière d'Unix.

Ce n'est d'ailleurs pas un geste isolé. Depuis des années, Microsoft a glissé un vrai noyau Linux dans Windows avec WSL, ouvert le code de pans entiers de ses outils et multiplié les passerelles avec l'écosystème open source. Coreutils for Windows s'inscrit dans cette continuité, et confirme que l'éditeur a définitivement enterré la hache de guerre.

Reste que pour quiconque vit dans un terminal et passe ses journées entre WSL, la couche Linux intégrée à Windows, et l'invite de commandes classique, c'est un vrai confort au quotidien. Et voir Microsoft s'appuyer ouvertement sur du logiciel libre écrit en Rust, on n'aurait pas forcément parié là-dessus il y a dix ans.

Bref, le Microsoft qui détestait Linux est bel et bien mort, et c'est tant mieux pour ceux qui codent les deux pieds dans le terminal.

Source : Bleeping Computer

Si vous avez un Zenbook récent avec cet écran miniature encastré dans le couvercle, vous étiez jusqu'ici coincé sous Windows pour l'allumer. Un développeur vient de débloquer la situation.

Olivier Magnier a fait fonctionner le ZenVision d'ASUS sous Linux, en rétro-concevant de A à Z le protocole de communication que le constructeur n'avait jamais documenté publiquement.

Le ZenVision, pour situer, c'est un petit écran OLED monochrome de 3,5 pouces logé dans la coque supérieure de certains Zenbook, dont l'édition Space. Il affiche l'heure, la date, le niveau de batterie, des animations maison ou un message que vous y collez vous-même.

La définition est minuscule. 256 pixels sur 64, de quoi montrer un logo, une horloge ou un QR code, mais certainement pas une vidéo.

Le souci, c'est que tout passait par MyASUS, l'application du constructeur qui n'existe que sous Windows. Sur Linux, l'écran restait éteint alors que le matériel, lui, était bel et bien présent dans la machine.

Pour contourner ça, Magnier a ouvert le logiciel officiel d'ASUS dans Ghidra, un outil de rétro-ingénierie qui décompile un programme pour comprendre son fonctionnement interne, puis il a observé précisément quelles commandes l'application envoyait à l'écran via le port USB.

En clair, il a écouté la conversation entre l'ordinateur et la dalle pour en reconstituer le langage. Une fois ce protocole compris et documenté, le plus dur était fait.

Du coup, il a écrit un pilote (le bout de logiciel qui fait le lien entre le système et le matériel) en Python, publié sous licence MIT , donc librement réutilisable et modifiable par qui veut. À côté, il propose ZenVision-Studio , une application pour charger ses propres animations et même des applets en direct, ces mini-programmes qui affichent des informations animées.

Et comme tout tourne en espace utilisateur, l'adoption devient bien plus simple : pas besoin de toucher au noyau Linux ni de recompiler quoi que ce soit, ça fonctionne par-dessus le système comme un programme classique.

C'est typiquement le genre de bidouille qui rend Linux vivable sur du matériel pensé pour Windows, et qui fait souvent pencher la balance entre garder un double démarrage et basculer pour de bon.

Bref, un gadget purement cosmétique, mais récupéré proprement et offert à tout le monde en open source. C'est chouette.

Source : Phoronix

Un développeur a réussi à contrôler un ordinateur sous Linux sans clavier, sans souris et sans écran, uniquement en tapant du morse sur un bouton et en lisant les réponses clignotées par une petite diode lumineuse.

La machine, c'est la LuckFox Lyra, un ordinateur monocarte vendu autour de 15 dollars, avec 128 Mo de mémoire et un gabarit grand comme une clé USB un peu épaisse, qui fait pourtant tourner un vrai système Linux complet.

L'idée de départ tenait en une contrainte que s'est imposée Gabriel Broussard Korr, son créateur, à savoir piloter cette carte sans jamais y brancher le moindre périphérique, ni clavier, ni dalle, ni rien.

Ce qui a tout déclenché, c'est sa simplicité matérielle. La carte n'a qu'un bouton, celui de démarrage, et une diode pilotable par logiciel. De quoi faire entrer et sortir de l'information, sans rien ajouter.

Côté saisie, vous tapotez vos commandes en morse sur l'unique bouton. Une pression brève pour un point, une pression longue pour un trait, et un script traduit tout ça en commandes pour le shell, l'invite en ligne de commande de Linux.

Pour les réponses, la diode reprend la main. Elle vous renvoie le résultat en clignotant, toujours en morse. Un dialogue complet avec la machine qui passe par une seule LED, dans les deux sens.

Le tout tient dans un script baptisé Morstdio , écrit pour rester compatible avec à peu près n'importe quel système de la famille Unix. Rien de plus.

Sauf que le morse classique ne suffisait pas. L'alphabet d'origine gère les lettres et les chiffres, pas tous les symboles dont un terminal a besoin, comme les barres obliques ou les parenthèses. Korr a donc inventé son "morse pour programmeurs", avec des traits très longs pour marquer les espaces et trois durées différentes à distinguer afin d'éviter toute ambiguïté.

Il a même soigné le confort d'usage, ce qui est franchement inattendu vu le concept. On retrouve des commandes inspirées de l'éditeur de texte vim, une pour exécuter une ligne, une autre pour effacer la saisie, et un re-clignotement qui vous laisse relire ce que vous venez d'entrer avant de valider.

Le plus dingue arrive à la fin. Il a fait tourner llama.cpp, le logiciel qui exécute un modèle d'IA en local, avec un petit modèle Qwen directement sur la carte. Il obtient ce qu'il présente comme le plus petit chatbot autonome du monde, capable de vous répondre en morse à la diode, au rythme d'environ un mot par minute.

Autant dire qu'à cette vitesse, échanger trois phrases avec l'engin relève déjà de l'exploit de patience.

Bref, c'est totalement inutile, et c'est génial.

Source : Hackaday

Neuf failles de sécurité viennent d'être corrigées d'un coup sur le serveur X.Org, le vieux logiciel qui dessine les fenêtres, gère la souris et le clavier sur une grande partie des machines Linux. Et le plus marquant, c'est qui les a trouvées.

Huit des neuf ont été repérées par une intelligence artificielle. Plus précisément par TrendAI, l'outil maison du programme de chasse aux bugs de l'éditeur de sécurité Trend Micro, la Zero Day Initiative, qui rémunère depuis des années la découverte de failles. La neuvième, elle, a été dénichée à l'ancienne par Peter Hutterer, un développeur de Red Hat qui travaille sur la gestion clavier et souris de X.Org depuis bien longtemps.

Dans le lot, on retrouve surtout deux familles de problèmes bien connues. Des dépassements de mémoire tampon d'abord, où le programme écrit plus de données que prévu dans une case mémoire et le surplus déborde sur le code voisin. Et des "use-after-free" ensuite.

Ce dernier type est vicieux : le logiciel continue d'utiliser un bout de mémoire qu'il a pourtant déjà rendu au système, ce qui permet à un attaquant de glisser son propre code à la place. Trois des neuf failles tombent dans cette catégorie, planquées dans le composant qui synchronise l'affichage.

Le reste touche un peu partout : la gestion du clavier, les alias de polices, la couche graphique 3D, l'économiseur d'écran et le sous-système qui parle directement à la carte graphique, autant de morceaux qu'un programme malveillant déjà présent sur la machine pourrait détourner pour s'octroyer plus de droits que prévu ou aller lire de la mémoire qui ne le regarde pas.

Les correctifs sont déjà là. X.Org a sorti du coup les versions 21.1.23 du serveur et 24.1.12 de XWayland, la passerelle qui fait tourner les vieilles applications X.Org sur les bureaux Wayland modernes. Si vous êtes sur Linux, la mise à jour s'impose.

Côté historique, ça fait plus de dix ans que la sécurité de X.Org traîne une sale réputation. Un chercheur avait résumé l'affaire d'une formule restée célèbre : c'est pire que ça en a l'air. Le code est vieux, tentaculaire, et personne n'a vraiment envie de le réécrire.

Ce qui change cette fois, c'est la méthode. Lâcher une IA sur une base de code aussi ancienne, c'est un peu comme passer un détecteur de métaux sur une plage que personne n'a jamais ratissée : elle remonte des objets que plus personne n'avait le courage d'aller chercher à la main. Et X.Org n'est pas un cas isolé, le noyau Linux voit lui aussi défiler les failles à bon rythme.

Bref, si les IA se mettent à éplucher tout le vieux code de l'open-source, on n'a pas fini d'en voir passer cet été. Tant mieux qu'elles soient dans notre camp.

Source : Phoronix