FirstVDS Хостинг

У нас классные новости: теперь тариф «CPU.Турбо 2.0» запускается не только на базе AMD Ryzen 9 7950X, но и на флагманских процессорах AMD Ryzen 9 9950X с архитектурой Zen 5.

Кратко о VDS на базе новых AMD Ryzen 9 9950X:

• 16 ядер,
• частота до 5,7 ГГц,
• быстрые NVMe-накопители,
• водяное охлаждение.

Всё это делает тариф «CPU.Турбо 2.0» максимально подходящим для проектов с высокими требованиями к производительности, а также для работы с продуктами 1С-Битрикс.

firstvds.ru/hosting/bitrix

Мы переработали и обновили «Соглашение об уровне сервиса» и «Публичную договор-оферту».
Что изменилось:
1. Добавлено понятие «Минимального периода», на который может быть заказана услуга.
2. Уточнены условия о порядке расчётов и оплаты услуг.
3. По каждой оказываемой услуге уточнены условия:

• метод оплаты (авансовый, по факту потребления и т.д.);
• минимальный период, на который может быть заказана услуга;
• расчётный период;
• период приостановки услуги.

Изменения вступят в силу 21 ноября 2024 года, но вы уже можете ознакомиться с обновлёнными документами в разделе «Документы». Пожалуйста, сделайте это.
firstvds.ru/company/documents

Хэллоуин уже закончился, но Великий Древний не торопится погружаться в сон. Он похитил тыквы, летучих мышей и призраков, и теперь ему по вкусу пришлись наши промокоды!

Успейте заказать VDS со скидкой 25% по промокоду (на 1, 3, 6 или 12 месяцев), пока Ктулху не унёс его в чертоги Р’льеха. Забрать и активировать промокод можно до 13 ноября 2024 года.

Скидка 25% на заказ нового VDS

• Скидка действует только при заказе нового сервера в дата-центрах на территории Москвы в готовой конфигурации как «Старт», «Разгон», «Отрыв» и «Улёт», тарифов «CPU.Турбо 2.0», «Форсаж 4.0», «Атлант 3.0» и «Storage 2.0», а также нового сервера с NVMe-накопителями в дата-центре на территории Амстердама в готовой конфигурации как «Старт», «Разгон», «Отрыв» и «Улёт», а также тарифа «Форсаж 4.0».
• Промокод не распространяется на заказ VDS Прогрев, VDS-LXD-ARM и тарифы реселлеров.
• Оплата определенного периода автоматически не фиксирует стоимость услуг на этот период, фиксируется срок скидки.
• Использовать скидочный промокод можно для заказа любого количества новых серверов.
• Срок активации промокода — с 31.10.2024 10:00 по мск до 13.11.2024 23:59 по мск.
• Сервер со скидкой нужно оплатить до 13.11.2024 включительно.
• Скидка распространяется только на ресурсы: CPU, RAM, HDD, SSD или NVMe-накопители.
• При отказе от сервера по акции скидка не переносится на другие услуги.
• Предложение не действует одновременно с другими скидками на виртуальные серверы.
• Скидка не распространяется на дополнительные услуги: канал, защиту от DDoS-атак, адреса IPv4 и IPv6, автобэкапы, панель ISPmanager и другие дополнительные услуги.

Как активировать промокод

CTHULHUFHTAGN

firstvds.ru/#vds-tariffs

Если вам нужно настроить корпоративную почту на своём домене, то такая возможность есть в панели ispmanager.

В чём преимущества такой почты и как её создать — можно почитать в нашем блоге. Материал будет полезен не только тем, кто планирует создавать почту на своём домене с нуля, но и в случае, если у вас уже есть корпоративная почта на других сервисах, таких как «Яндекс 360» или Mail.ru, поскольку мы покажем, как перенести её на свой VDS.

И напоминаем, что сейчас проходит совместная акция с ispmanager: при аренде нового VDS на панель управления ispmanager 6 lite в первый месяц будет действовать скидка 100%. В акции участвуют все тарифные планы, кроме VDS ARM, Storage и серверов для Windows.
firstvds.ru/actions/ispmanager_lite_v_podarok

Специально для этого Хэллоуина провели не одну сотню оккультных обрядов по призыву скидок. И что-то однозначно получилось.

Уже завтра, 31 октября в 10:00 по мск, призовём в этот мир:

• Промокоды со скидкой 25% на заказ новых VDS.
• Сертификаты на баланс номиналом 150 рублей.

 
Количество сертификатов — 2000 штук. Чтобы не пропустить старт акции и успеть забрать 150 рублей на баланс, заводите будильники или включайте уведомления в нашем тг-канале.
t.me/TakeFirstNews

В октябре было столько дел, столько дел: попытаться смириться с нехваткой витамина D, повздыхать о наступающих холодах, поработать, ещё поработать и… опять поработать.



В промежутках между всеми делами октября мы читали Лавкрафта — по работе, конечно же! Ведь скоро Хэллоуин, но об этом расскажем отдельно ;) А пока посмотрите, что мы успели за этот месяц.

Статьи и инструкции
Как создать и настроить свой VPN на сервере
В современном цифровом мире защита информации стала критически важной. Пользователи сталкиваются с угрозами, кибератаками и утечками данных. В этом контексте VPN-сервисы играют ключевую роль в обеспечении безопасности и конфиденциальности личной информации.
В статье рассказываем, как создать и настроить свой VPN на сервере: что такое Xray и 3-XU, как подобрать домен для обеспечения конфиденциальности, как настроить панель 3X-UI и т. д.
Если тема для вас актуальна, то заходите в нашу Базу знаний — собрали все материалы в раздел «VPN».
firstvds.ru/technology/kak-sozdat-i-nastroit-svoy-vpn-na-servere
firstvds.ru/technology?&utm_term=all-active#vpn

Гайды по Bash
Bash — одна из наиболее популярных командных оболочек в операционных системах семейства *nix: Linux, Unix и других.
Мы решили добавить в Базу знаний целый раздел с гайдами по Bash. На данный момент готово уже 5 материалов, ещё пара выйдет в ближайшее время.
firstvds.ru/technology?&utm_term=all-active#gaydy_po_bash
Если пойдёте читать, то начинать советуем с этой статьи — в ней рассказываем, что такое Bash, об областях применения bash-скриптов и показываем, как написать и запустить простой bash-скрипт.
firstvds.ru/technology/bash-skripty-linux

Habr: самое интересное за октябрь
В дайджест попадают самые-самые статьи из нашего Хабра. Чтобы посмотреть все материалы, подписывайтесь на блог FirstVDS.

• Часы Уоррена: устройство, которое совершило революцию в электросетях
• Почему троичные вычисления лучше двоичных
• Почему не взлетели дискеты 3M?
• Подборка механических клавиатур: 5 беспроводных моделей для работы и творчества

Новости октября


Увеличение диска в VMmanager 6 без перезагрузки сервера
Чтобы наши пользователи могли оперативно решать проблему нехватки места и при этом не прерывались на перезагрузку сервера — мы добавили новую функцию. Теперь для виртуальных серверов в кластере с VMmanager 6 доступна опция увеличения дискового пространства без необходимости перезагрузки.
Чтобы увеличить диск, достаточно перейти в Личный кабинет, выбрать нужный сервер, нажать «Изменить» и указать необходимый объём. Подробнее рассказываем в инструкции.
firstvds.ru/technology/kak-uvelichit-razmer-diskovogo-prostranstva-na-virtualnom-servere-firstvds-s-os

Обновлённый рецепт для TeamSpeak
Из-за новостей о блокировке Discord мы обновили рецепт для TeamSpeak. Теперь он доступен для большинства других операционных систем: Alma Linux 8/9, Debian 11/12, Rocky Linux 8/9, Ubuntu 22.04/24.04, Oracle 8/9 и CentOS 9 Stream.
Выбрать рецепт можно при заказе VDS на сайте или при изменении настроек работающего сервера в Личном кабинете. Рецепт автоматически развернет на VDS нужное вам ПО, останется только скачать клиент с сайта TeamSpeak и приступить к работе.
Важный момент: установить TeamSpeak с помощью рецепта можно только на чистый сервер. Если на вашем сервере установлено какое-то ПО, например, панель ispmanager — воспользуйтесь нашей инструкцией по ручной установке сервера TeamSpeak.
firstvds.ru/technology/recipes/teamspeak

Топ новостей октября из мира безопасности

Октябрь начался с новостей, мимо которых не смогли пройти — об удалённых уязвимостях в CUPS, уязвимости в libnv во FreeBSD и в Netfilter в Linux.
firstvds.ru/blog/svezhee-iz-mira-bezopasnosti-uyazvimosti-v-cups-libnv-i-netfilter
Но это не всё. Месяц продолжился новостями, которые вызывали наш интерес не только со стороны «как защититься», но и со стороны — «это интересно!».

Вирус Perfctl эксплуатирует закрытые уязвимости и заражает тысячи Linux-серверов
Вирус Perfctl начал скрытно майнить криптовалюту в 2021 году. Он заразил уже тысячи Linux- серверов, используя более 20 тысяч ошибок конфигурации. Опасность заключается в сложно обнаруживаемых механизмах его работы и большом наборе действий, который он может выполнять. Так, например, он может эксплуатировать закрытую уязвимость Apache RocketMQ (CVE-2023-33246) с уровнем угрозы 10 из 10. Безопасники считают, что потенциально вирус может негативно повлиять на миллионы устройств.
Perfctl маскируется, работает в фоновом режиме и делает многое другое, чтобы избежать обнаружения пользователем. Он контролирует зараженные машины, изменяя имена файлов и используя уязвимость Gpac мультимедийного фреймворка. Для передачи информации на сервер атакующей стороны, Perfctl шифрует и удаляет все двоичные файлы. Он также создает сокет Unix и сохраняет каталоги с данными о процессах, журналах и местоположении копий. Признаки заражения включают всплески загрузки процессора и замедление работы системы. Чтобы предотвратить заражение, необходимо исправить уязвимость CVE-2023-33246 и проверить конфигурации на ошибки.
3dnews.ru/1112046/opasniy-virus-perfctl-zarazil-s-2021-goda-tisyachi-sistem-pod-linux-i-eshchyo-millioni-pod-ugrozoy

Уязвимость в pam_oath, дающая возможность получить права root в системе
В PAM-модуле pam_oath, который входит в состав пакета oath-toolkit, была обнаружена уязвимость (CVE-2024-47191), позволяющая обычным пользователям получить права root. Этот модуль функционирует с правами root и использует файл /etc/users.oath для хранения OATH-ключей, доступных исключительно для пользователя root. С версии 2.6.7 была добавлена возможность размещать файлы с ключами в домашних каталогах пользователей.
Проблема заключается в том, что pam_oath не сбрасывает привилегии при работе с файлами в пользовательских каталогах. После успешной аутентификации модуль создает lock-файл и новый файл с расширением ".new", но не проверяет существование уже имеющегося файла. Это создает возможность для злоумышленников создать символическую ссылку на важный системный файл, такой как /etc/shadow. В результате успешной аутентификации pam_oath может перезаписать этот файл новыми данными и изменить его владельца на пользователя, который создал ссылку.
Уязвимость была исправлена в версии 2.6.12 и затрагивает лишь конфигурации, где файлы размещены в домашних каталогах. Недавно также была обнаружена другая уязвимость (CVE-2024-9313) в PAM-модуле Authd, которая позволяет пользователям подменять свою идентичность, и она была устранена в версии Authd 0.3.5.
www.opennet.ru/opennews/art.shtml?num=61987

Уязвимость в CUPS может быть использована для усиления трафика при DDoS-атаках
Специалисты Akamai обнаружили уязвимость в компоненте cups-browsed. Она позволяет злоумышленникам усиливать трафик во время DDoS-атак. При отправке запросов на открытый порт 631 злоумышленники способны увеличить объем трафика до 600 раз. В интернете зафиксировано более 198 тысяч уязвимых устройств.
В отличие от остальных подходов, в данном случае не требуется подделка адресов. Процесс cups-browsed загружает PPD-файлы с внешних серверов по неавторизованным запросам, что дает возможность добавлять данные и увеличивать IPP URI до 989 байт.
На 62% из исследованных систем cups-browsed отправлял минимум 10 запросов на целевую систему в ответ на один UDP-запрос, что в среднем приводит к увеличению трафика в 600 раз. Также была зафиксирована рекордная DDoS-атака, достигшая 3.8 терабит в секунду, организованная с использованием скомпрометированных маршрутизаторов и других устройств.

Критическая уязвимость в WordPress-плагине Jetpack угрожает 27 млн сайтов
Разработчики плагина Jetpack выпустили патч для критической уязвимости, позволяющей вошедшим пользователям получать доступ к формам, отправленным другими посетителями. Уязвимость затрагивает все версии Jetpack начиная с 3.9.9, выпущенной в 2016 году.
Automattic подготовила исправления для множества версий Jetpack, включая 13.9.1 и более ранние. Рекомендуется проверить и обновить плагины на сайтах.
Разработчики утверждают, что нет доказательств использования уязвимости, но советуют установить исправления как можно скорее. Технические детали не раскрываются, чтобы пользователи успели обновиться.
www.opennet.ru/opennews/art.shtml?num=62008

Международная академия связи предлагает запретить SpeedTest в РФ
Международная академия связи выдвинула инициативу о запрете использования сервиса SpeedTest от компании Ookla операторами в России. Причиной этого являются опасения по поводу возможной передачи данных в иностранные спецслужбы и увеличения вероятности кибератак. Госдума и ФСБ поддержали эту инициативу. Если данный софт будет удален из сетевых инфраструктур, конечные пользователи лишатся возможности точно измерять скорость интернет-доступа. На его место можно рассмотреть использование как отечественных, так и зарубежных альтернативных сервисов.
xakep.ru/2024/10/16/jetpack-bug/

В прошлом письме мы рассказывали о том, что вы можете с помощью нашего рецепта легко и быстро установить сервер TeamSpeak как альтернативу Discord. Еще вчера рецепт был доступен только для Ubuntu 20.04, но с сегодняшнего дня ситуация изменилась.

Мы обновили рецепт для TeamSpeak, и теперь его можно использовать для большинства других операционных систем:

• Alma Linux 8/9,
• Debian 11/12,
• Rocky Linux 8/9,
• Ubuntu 22.04/24.04,
• Oracle 8/9,
• CentOS 9 Stream.

О том, как начать работу с TeamSpeak после установки рецепта, смотрите в нашей инструкции.
firstvds.ru/technology/recipes/teamspeak

8 октября стало известно, что РКН заблокировал популярный сервис Discord за нарушение требований законодательства. И пользователям в срочном порядке приходится искать ему замену.

Мы предлагаем вам готовое решение для голосовой связи — сервер TeamSpeak. Программа работает по протоколу VoIP, имеет ограничение до 32 пользователей на один сервер для бесплатной версии. Можно общаться как голосом, так и текстовыми сообщениями.

Преимущества TeamSpeak:

• качественная голосовая связь,
• конфиденциальность (по словам разработчиков, программа не собирает данные пользователей),
• функция шифрования на базе AES.

В большинстве случаев TeamSpeak используют для координации действий участников. Чаще всего его применяют для голосового общения в онлайн-играх. Однако также он подходит для оперативной коммуникации в удаленной работе, учёбе и других ситуациях, когда нужно быстро взаимодействовать онлайн.

Чтобы автоматически развернуть TeamSpeak на новом или уже действующем виртуальном сервере, воспользуйтесь рецептом с одноименным названием — при выборе конфигурации на нашем сайте или при изменении настроек в Личном кабинете.

firstvds.ru/#vds-tariffs

Добавили возможность подключить защиту от DDoS для VDS с локацией в Амстердаме — в дата-центре euNetworks, Нидерланды.

Заказать услугу можно как при покупке нового VDS, так и для действующего сервера в Личном кабинете.

Обратите внимание: защита от DDoS недоступна одновременно с автоматическим резервным копированием, можно выбрать только что-то одно.

firstvds.ru/#vds-tariffs

«У вас есть Сплюш? Меняю на Драматяша!» — примерно вот так прошли все 12 дней празднования Дня программиста в нашем телеграме.

Кошачье безумие било все рекорды по общению в тг-чате: за первый день мы получили больше 9000 сообщений, и 90% из них были о котиках и мемах с ними!



Но сейчас уже все вернулось на круги своя — котики продолжают радовать всех вокруг, Хакермен практически признал, что был неправ, а в чате снова стало спокойно.

Статьи и инструкции


А вы точно программист? Статья без котиков, но с ответами
В этом году мы решили отпраздновать День программистов масштабно: запустили акцию с растущей скидкой, добавили рецепт GitLab и, конечно, подготовили увлекательную игру.

По сюжету Хакермен решил спасти человечество от прокрастинации, удалив из интернета все-все мемы с котиками. Наши пользователи могли их спасти, меняясь карточками и решая непростые загадки.

Если вы всё пропустили или, наоборот, участвовали и до сих пор не понимаете, как надо было правильно расположить перфокарту — заходите в нашу статью. В ней можно погрузиться в игровую атмосферу и посмотреть все загадки с решениями. firstvds.ru/blog/vy-tochno-programmist-statya-bez-kotikov-no-s-otvetami



День программиста: вспоминаем историю праздника и интересные факты о профессии
И опять про День программиста :) К концу 2024 года в мире ожидается 28,7 млн программистов — это чуть больше, чем население Австралии. Лидером по количеству этих специалистов является Китай: там их почти в два раза больше, чем в США, и в восемь раз больше, чем в России.

Ко Дню программиста мы решили написать статью с интересными фактами о данной профессии. Когда отмечают День программиста, какая история у праздника, как сейчас обстоят дела с этой профессией в России — все это в нашей статье. firstvds.ru/blog/den-programmista

Начало работы с GitLab после автоматической установки из рецепта
Одним из подарков ко Дню программиста было добавление рецепта GitLab. Хоть акция и закончилась, рецепт доступен для установки.

GitLab — это веб-платформа для управления проектами и репозиториями программного кода, работа которой основана на популярной системе контроля версий Git. Подробнее про установку рецепта рассказываем в инструкции. firstvds.ru/technology/gitlab_ce

Habr: самое интересное за сентябрь

• Не дай мозгу себя обмануть: 5 когнитивных искажений, распространённых в IT
• DSS-43: единственная антенна, которая поддерживает связь с Вояджером-2
• Забытая история китайских клавиатур
• Ваш цифровой след: Погружение в форензику Windows

Стань автором FirstVDS
Ищем технических писателей для блога на Хабре
firstvds.ru/blog/ischem-avtorov-dlya-bloga-firstvds-na-habr-i-vc

Новости, точнее новость сентября
Проблемы с доступностью сервисов со стороны Ростелекома
9 сентября от наших пользователей стали поступать жалобы на недоступность некоторых сервисов со стороны провайдера Ростелеком. Блокировка Ростелеком затронула различные протоколы VPN и другие сервисы, которые используют протокол UDP. Также поступали жалобы на недоступность DNS-серверов.
На наше обращение в ЦМУ ССОП (подразделение РКН, отвечающее за мониторинг и управление российским сегментом сети «Интернет») был получен ответ, что блокировок наших сервисов с их стороны нет, а также рекомендации обратиться к интернет-провайдеру.

• Через день после выхода новости проблемы уже перестали фиксироваться.

Топ-4 новостей сентября из мира безопасности
Уязвимости месяца
Начало сентября выдалось относительно спокойным, и мы даже успели расслабиться. Но не тут-то было. Изменилось всё после новости про проблемы с регистрацией в Google, которая то ли есть, то ли нет. Следом пошли уязвимости. И пусть достойных внимания в этот раз было не так много, но почти все с высоким уровнем угрозы. В общем, больше томить ожиданием не будем, рассказываем.

Google больше не регистрирует аккаунты российских пользователей, но это не точно
У пользователей наблюдаются проблемы с регистрацией аккаунтов Google с использованием номеров телефонов из России. При попытке зарегистрироваться пользователи получают сообщение: «Этот номер нельзя использовать для подтверждения».
Как сообщается, проблема возникает не всегда, и некоторым все-таки удается пройти регистрацию, поэтому причины пока остаются неясными. Возможно, это связано с техническим сбоем на серверах компании или завершением контракта с сервисом, отвечающим за отправку SMS. Некоторые эксперты предпринимают попытки связать данную ситуацию с новыми санкциями США, которые вступили в силу 12 сентября, однако явной связи между этими событиями не наблюдается.
UPD: 26 сентября Минцифры подтвердили, что Google ограничил создание новых аккаунтов для россиян.
3dnews.ru/1110681/rossiyanam-stali-otkazivat-v-registratsii-googleakkaunta

Уязвимость в Ruby-SAML позволяет обходить аутентификацию в GitLab
Критическая уязвимость(CVE-2024-45409) присутствует в механизме SAML-аутентификации. Она затрагивает библиотеки ruby-saml и omniauth-saml и отмечена самым высоким уровнем угрозы — 10 из 10.
Ключевая проблема заключается в некорректной обработке селекторов XPath, что вызывает ошибочную проверку подписей в XML-ответах от SAML-сервера. Атакующий, не имея аутентификации, может создать фальшивый SAML-ответ с использованием атаки XSW (XML Signature Wrapping). Суть этой атаки состоит в том, что, обладая корректно подписанным сообщением, злоумышленник может вставить ложное сообщение в связанный XML-документ с тем же идентификатором. При этом идентификатор будет считаться действительным, что даст возможность злоумышленнику получить доступ к системе от имени любого пользователя.
В сентябре для трех версий GitLab (17.3.3, 17.2.6 и 17.1.8) выпущены обновления, устраняющие эту уязвимость.
www.opennet.ru/opennews/art.shtml?num=61893

В Acronis Backup нашли серьезную уязвимость
В сентябре 2024 года была обнаружена серьёзная уязвимость CVE-2024-8767 с уровнем угрозы оценкой 9.9 по CVSS. Уязвимость найдена в плагинах Acronis Backup, работающих на Linux-серверах с cPanel, WHM, Plesk и DirectAdmin. С ее помощью злоумышленники получают избыточные права и, как следствие, — возможность удаленного доступа к конфиденциальной информации, изменению данных и выполнению несанкционированных действий. Уязвимость затрагивает следующие версии плагинов: до 619 (cPanel), 555 (Plesk) и 147 (DirectAdmin).
Рекомендация тут одна: как можно быстрее обновить свои системы.
www.linux.org.ru/news/security/17736711

Уязвимости в PCP и Nix создают риск повышения привилегий в системе
В системе PCP (Performance Co-Pilot) выявлено две уязвимости. Первая (CVE-2024-45770) затрагивает утилиту pmpost, которая может запускаться с повышенными привилегиями, что дает возможность выполнять код с правами root при наличии доступа к учётной записи PCP и изменении символической ссылки на файл "/var/log/pcp/NOTICES". Вторая уязвимость (CVE-2024-45769) относится к фоновому процессу pcmd и вызывает обращения к памяти за пределами буфера. Однако опасность её снижена, так как приём сетевых запросов в pcmd по умолчанию отключен. Обе проблемы были исправлены в версии PCP 6.3.1.
Дополнительно, в пакетном менеджере Nix (CVE-2024-45593) обнаружена уязвимость, позволяющая записывать данные в несанкционированные области файловой системы при распаковке файлов NAR. Данная проблема была устранена в версии 2.24.6.
К тому же, была выявлена критическая уязвимость в дистрибутивах GNU/Linux, позволяющая осуществлять удалённое выполнение кода без предварительной аутентификации. Уведомления для разработчиков запланированы на 30 сентября, а публикация информации — на 6 октября. Canonical и Red Hat оценили уязвимости как критические (9.9 из 10).
www.opennet.ru/opennews/art.shtml?num=61919