В сенате США одобрили законопроект об электронной слежке

В сенате США одобрили законопроект об электронной слежке

В сенате США одобрили законопроект об электронной слежке

Комитет сената США по разведке одобрил ключевой законопроект об электронной слежке со стороны спецслужб, хотя окончательные результаты голосования по законопроекту неясны.

Как свидетельствуют результаты голосования, 12 сенаторов комитета проголосовали за сенатскую версию законопроекта, трое были против.

В законопроект, известный как "Пункт 702", были внесены изменения после того, как экс-сотрудник ЦРУ и АНБ Эдвард Сноуден подробно описал программы, неизвестные до этого широкой публике, пишет ria.ru.

Срок действия нынешней версии законопроекта истекает в конце 2017 года. Сенаторы предлагают продлить его с некоторыми изменениями до 2025 года. В законопроект внесена поправка, что ФБР для поиска в базе данных перехваченных звонков потребуется ордер секретного суда по делам слежки за иностранцами. Кроме того, если кто-либо в ФБР использует информацию не по назначению, эту информацию уже нельзя будет использовать в качестве доказательства в суде или для других целей.

При этом единства в конгрессе по данному вопросу по-прежнему нет. В сенате есть сторонники как смягчения, так и ужесточения законопроекта. Так, 14 противников нынешнего закона предложили альтернативный законопроект. Они требуют, чтобы спецслужбы получали ордер суда до того, как осуществят поиск в базе данных о звонках, а не после.

В палате представителей также звучат голоса за более серьезные ограничения за слежкой. Администрация Дональда Трампа выступает за неограниченное продление закона в нынешней форме. Правозащитники опасаются, что нынешняя версия законопроекта позволяет спецслужбам получать информацию не только об иностранцах, но и о гражданах США.

Спор касается в основном тех случаев, когда при слежке за иностранцами спецслужбы перехватывают и звонки иностранцев американцам, причем делают это без ордера суда. Противники закона заявляют, что это нарушает гражданские права американцев, поскольку Конституция США требует ордера на любой обыск.

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru