ЛК заставила бежать с поля боя еще одного патентного тролля

ЛК заставила бежать с поля боя еще одного патентного тролля

«Лаборатория Касперского» второй раз подряд одержала безоговорочную победу над патентным троллем и стала единственной компанией из группы ответчиков, не согласившейся платить за урегулирование претензии и лицензии на патенты, в ненарушении которых твердо уверена.

После 1,5 лет судебного противостояния американская компания Lodsys, требовавшая от «Лаборатории Касперского» компенсацию в 25 миллионов долларов за нарушение прав на свои патенты, отозвала иск без права предъявления повторной претензии. Примечательно, что почти все другие IT-компании, а их в этом судебном процессе участвовало более 50, согласились пойти на уступки и удовлетворить патентные претензии компании-тролля.

Иск Lodsys против «Лаборатории Касперского» был направлен в суд штата Техас  в мае прошлого года: в рамках объединенного иска Lodsys обвиняла 55 производителей программного обеспечения в нарушении прав на свои патенты. В общей сложности по этому вопросу Lodsys подала иски на 119 компаний, некоторые судебные дела все еще в процессе. Претензии к «Лаборатории Касперского» имели отношение к двум патентам, описывающим, в том числе, технологии покупки и продления коммерческой лицензии, улучшение продуктов за счет реализации технологии обратной связи с разработчиком. Таким образом, иск затрагивал технологию In-Product-Purchasing, а также американский веб-сайт поддержки пользователей продуктов «Лаборатории Касперского».

Специалисты по защите интеллектуальной собственности «Лаборатории Касперского» проанализировали патенты, в нарушении прав на которые обвиняла компания Lodsys, а также огромное количество документов, которые тролль подготовил для суда, и пришли к заключению, что запатентованные в 1992 году системы и методы никак не могут нарушаться продуктами и сервисами компании. «Лаборатория Касперского» предоставила в суд все аргументы в поддержку своей позиции. Однако до финального разбирательства в суде дело не дошло, поскольку накануне слушаний с участием присяжных Lodsys, проанализировав все «за» и «против», отозвала свой иск без возможности еще раз подать подобный иск в адрес «Лаборатории Касперского» в будущем.      

«Патентные тролли – колоссальный тормоз развития бизнеса в США, особенно для IT-компаний. Миллионы долларов, которые могли быть потрачены на развитие, уходят на оплату необоснованных претензий. Наша победа доказывает, что с негодяями можно и нужно бороться.  Хочется верить, что наши достижения в борьбе с патентными троллями вдохновят и других разработчиков», – рассказывает Евгений Касперский, генеральный директор «Лаборатории Касперского».

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru