Curl lost ernstige HTTP/2-fout op; Plasma 6.8 kiest definitief voor Wayland

curl heeft de technische details gepubliceerd van de kwetsbaarheid waarvoor het eerder een release naar voren haalde: een specifieke HTTP/2-uploadketen kan een use-after-free tot remote code execution maken. Tegelijk verschijnt pg_vectorsearch als vroege PostgreSQL-extensie voor vectorzoektocht, terwijl Plasma 6.8 een nieuwe desktoprelease koppelt aan het uitfaseren van X11-sessies.

curl 8.23.0 dicht HTTP/2-upload-UAF met moeilijke maar serieuze RCE-route

Waar de einde-dagupdate van woensdag 7 oktober alleen de vervroegde curl-release kon melden, zijn nu de details van CVE-2026-92392 bekend. In curl 8.23.0 is een use-after-free opgelost in de combinatie van een upload via HTTP/2, een geresette stream en het opruimen van de multi-handle. Volgens curl kan een kwaadaardige server daarna gedownloade data op een eerder vrijgegeven handle-locatie krijgen en zo een gewijzigde function pointer aanroepen.

De exploitroute is nadrukkelijk niet generiek: het slachtoffer moet naar een aanvallersserver uploaden over HTTPS/HTTP/2, met onder meer een geldige certificaatketen. Ook noemt curl een upload rond 135 KB, een precieze allocatievolgorde en platformafhankelijk heapgedrag als voorwaarden; de payloadruimte is circa 23 bytes. Curl schat de kans op een succesvolle aanval daarom klein, maar classificeert de fout alsnog als HIGH.

Voor beheerders is de actie concreet: inventariseer vooral libcurl-toepassingen die uploads naar niet-volledig-vertrouwde endpoints kunnen doen en update naar 8.23.0 of een distributiebackport. De technische uitleg zegt niet dat elke HTTP/2-client op afstand overneembaar is. Wel maakt zij duidelijk waarom een crash bij een foutpad niet als onschuldig moet worden afgedaan wanneer de tegenpartij zowel het protocolverloop als responsebytes beïnvloedt.

curl: technische analyse en fix · Lobsters-discussie

pg_vectorsearch probeert HNSW te vervangen, maar begint nadrukkelijk als alpha

Timescale heeft pg_vectorsearch gepubliceerd, een PostgreSQL-extensie met de nieuwe PRISM-index voor approximate-nearest-neighborzoektocht. De index gebruikt een hiërarchische centroidboom, RaBitQ-quantisatie met foutgrenzen en SIMD-afstandsberekeningen. Volgens de makers moet dat bij gelijke recall sneller zoeken en indexeren dan pgvector-HNSW, met minder geheugen; dat zijn leveranciersbenchmarks, geen onafhankelijke vergelijking.

Interessant voor bestaande stacks is dat PRISM naast pgvector kan worden geïnstalleerd en bestaande vector- en halfvec-kolommen kan indexeren zonder tabel of queryoperatoren te herschrijven. De repository documenteert ook eigen vec32- en vec16-typen. De operationele grens is helder: de extensie vereist PostgreSQL 18+, is als alpha bedoeld voor tests en kan tussen prereleases een herbouw van extensie en index vereisen.

De HN-discussie wijst op nog twee praktische drempels: een deelnemer noemt een huidige bovengrens van 1.968 dimensies en het ontbreken op allowlists van beheerde Postgresdiensten. Dat zijn observaties uit de discussie en geen volledige compatibiliteitsmatrix van het project. Voor zelfbeheerde Postgres 18-omgevingen is dit desondanks een interessante A/B-test: vergelijk recall, indexbouw, filtergedrag, schrijflast en RAM op de eigen embeddings voordat een HNSW-index verdwijnt.

pg_vectorsearch: repository, architectuur en installatie · HN-discussie

Plasma 6.8 neemt afscheid van starten in X11

KDE heeft Plasma 6.8 uitgebracht. De opvallendste koerswijziging is dat Plasma niet langer een X11-sessie start; applicaties die X11 nodig hebben, moeten via de XWayland-compatibiliteitslaag blijven werken. KDE-applicaties zelf blijven volgens de aankondiging voorlopig wel X11 ondersteunen. Voor Linux-desktops is dit vooral een moment om eigen legacy-apps, remote-desktoptools en grafische drivers op de daadwerkelijke Wayland-route te testen.

De release bevat daarnaast praktische verbeteringen voor de ingebouwde remote-desktopserver: aanpassing aan trage netwerken en snel wisselende beelden, optionele exclusieve modus met een virtueel scherm en bidirectionele klembordsynchronisatie. Ook kan System Monitor zware taken aan geselecteerde CPU’s binden en toont het VRAM-belasting als percentage. Voor Nvidia noemt KDE triple buffering als standaard in KWin; HDR krijgt onder meer beter ICC-profielgedrag en HLG-ondersteuning.

Niet alles is al eindstation. Het nieuwe Union-themingsysteem bereikt een bètafase en kan nu ook Qt Widgets stylen, maar KDE zegt expliciet dat het nog niet standaard wordt. Plasma 6.8 is daarmee geen reden om zonder pilot iedere X11-afhankelijkheid weg te plannen, maar wel een concreet signaal dat Wayland op KDE de normale sessieroute is geworden.

KDE: Plasma 6.8-aankondiging en volledige highlights · Lobsters-discussie

Verder nog

• Factor 0.102 zet GTK4 standaard op 64-bit Linux: de concatenatieve programmeertaal krijgt daarnaast nieuwe 32- en 64-bit-RISC-V-poorten, DirectWrite-tekstweergave op Windows en uitgebreidere ARM64-SIMD- en FFI-ondersteuning. Let bij een upgrade op de concrete breuken: GTK4 is de Linux-64-bitdefault, SQLite gebruikt persistent WAL en diverse parser- en HTTP-paden zijn strikter. Release notes · Lobsters-discussie
• Lockdown en hibernation vragen om een echte herkomstgrens: Matthew Garrett werkt zijn technische uitleg bij waarom Linux Lockdown hibernate-resume blokkeert: root kan anders een zelfgemaakt image in swap schrijven waar de kernel later in hervat. De post verkent TPM-attestatie, PCR’s en TPM-NV-opslag, maar beschrijft een lastig ontwerp- en compatibiliteitsprobleem, geen kant-en-klare upstreamoplossing. Technische analyse · Lobsters-discussie