2SDnjcoK9BL
Обнаружена критическая уязвимость в широко используемой библиотеке libxml2, которая обрабатывает XML-данные в миллионах приложений и систем. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин рекомендует использовать специализированные средства анализа безопасности и поведенческого анализа, такие как Ankey ASAP, чтобы выявить потенциальные уязвимости и аномалии в работе систем.
Уязвимость, классифицированная как CVE-2024-40896 (CVSS 9.1) и получившая критическую оценку серьёзности 9,1, позволяет злоумышленникам использовать атаки типа XXE (XML External Entities) для компрометации систем и кражи данных. Киберпреступники могут использовать уязвимость для выполнения вредоносного кода. Помимо кражи данных, это может дать злоумышленникам полный контроль над системой и спровоцировать отказ в обслуживании (DoS), исчерпав системные ресурсы.
«Уязвимости класса XXE довольно редки и касаются программных продуктов, где используется XML. XML-процессор принимает какие-то данные в определённом формате и выдаёт результат. Проблемы начинаются, когда данные формируют таким образом, что заставляют XML-процессор сделать что-то, о чём не подумали разработчики, — прочитать системный файл, выполнить команду или даже повесить систему из-за бесконечного цикла операций. В этот раз уязвимость обнаружилась в крайне популярном libxml2, библиотеке, которая как раз и реализует работу в XML. При этом вы как разработчик можете и не знать, что эта библиотека используется в вашем продукте, если подключили её вместе с другими необходимыми для старта работы библиотеками. Даже при хорошо выстроенном процессе разработки программного обеспечения выявить такую уязвимость сложно. Однако есть продукты вроде Ankey ASAP, которые помогают выявить проблемы с ПО, даже если уязвимость ещё не опубликована. В ход идёт поведенческая аналитика и подобные механизмы. Для XML, безусловно, есть и альтернативы, но те тоже не лишены своих проблем», — отметил Сергей Полунин.
Специалисты BI ZONE TDR сообщили, что критическую уязвимость React2Shell уже начали активно применять в реальных кибератаках.
В России заработал новый режим навигации в сервисе «Яндекс Карты», призванный решить проблему массовых сбоев GPS.
Google объявила о серии обновлений безопасности Android, направленных на борьбу с мобильным вредоносным ПО и серыми схемами распространения приложений.
Компания «Газинформсервис» по просьбе одного из московских банков провела поиск скрытых угроз в его инфраструктуре.
В России прекратил работу крупный технологический стартап, который позиционировался как отечественная альтернатива зарубежным цифровым платформам.
Исследователи по кибербезопасности сообщили о критической уязвимости в платформе Gogs, которая используется для хостинга Git-репозиториев.
UserGate, отечественный разработчик решений по информационной безопасности, открыл научно-исследовательскую лабораторию на базе МИРЭА — Российского технологического университета (РТУ МИРЭА).
Security Vision SOAR — комплексное решение для управления и автоматизации обработки инцидентов информационной безопасности на всех стадиях жизненного цикла согласно лучшим практикам по NIST/SANS: подготовка, выявление, анализ, сдерживание, устранение, восстановление, постинцидент.
Портал Cyber Media подготовил аналитический обзор рынка DLP (Data Loss Prevention) в России.
Исследователи выяснили, что современные системы искусственного интеллекта испытывают серьезные трудности при попытке обосновать свои выводы в логических задачах.
