HPE устранила критическую 0-day, выявленную в декабре 2020 года

HPE устранила критическую 0-day, выявленную в декабре 2020 года

Американская компания Hewlett Packard Enterprise (HPE) выпустила обновление, призванное устранить критическую уязвимость нулевого дня (0-day) в софте HPE Systems Insight Manager (SIM). Брешь позволяет злоумышленникам выполнить код удалённо, причём о существовании дыры было известно ещё в декабре прошлого года.

HPE SIM представляет собой систему для удалённой автоматизации и управления серверами HPE, хранилищами и сетевыми продуктами.

RCE-уязвимость в HPE SIM, получившая идентификатор CVE-2020-7200, затрагивает последние версии программы — 7.6.x. Под угрозой в случае эксплуатации этой бреши находятся только пользователи операционной системы Windows.

Сама HPE присвоила багу 9.8 баллов из 10, что возводит дыру в категорию критических. Потенциальный злоумышленник без каких-либо привилегий может задействовать баг в атаке, для чего даже не потребуется взаимодействие с пользователем.

В сущности, CVE-2020-7200 существует из-за недостаточной валидации пользовательских данных, которая приводит к десериализации ненадёжных сведений. В результате атакующий сможет выполнить вредоносный код на серверах, где запущен софт SIM.

HPE также рассказала о временном способе борьбы с эксплуатацией CVE-2020-7200: он подойдёт для тех, кто не может оперативно установить вышедшие патчи. Так, администраторам рекомендуют отключить функции «Federated Search» и «Federated CMS Configuration» — это должно нивелировать вектор атаки.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Борьба с AdBlock: YouTube встраивает рекламу в видео на стороне сервера

Согласно последним сообщениям, YouTube теперь встраивает рекламу непосредственно в видеопоток, чтобы затруднить её блокировку. Так сервис продолжает бороться с AdBlock и его аналогами.

На новый подход видеохостинга обратили внимание разработчики SponsorBlock, стороннего расширения для браузера.

По словам девелоперов, нововведения YouTube ломают функциональность SponsorBlock (следующим апдейтом обещают всё исправить), но при этом затрагивают и другие блокировщики рекламы.

 

Ранее YouTube внедрял рекламу на стороне клиента. За её вывод отвечали скрипты JavaScript и видеоплеер, но при этом видеопоток и рекламные объявления разделялись.

Плеер настроен таким образом, чтобы в определённых временных точках ролик ставился на паузу, а вместо видео пользователю отображалась реклама.

AdBlock и схожий софт режет рекламу, блокируя код JavaScript, предназначенный для её вывода. Но при новом подходе YouTube реклама на стороне сервера интегрирует объявления прямиком в видео. Таким образом, пользователь получает непрерывный поток с уже встроенной туда рекламой.

Теперь разработчики AdBlock и аналогов должны использовать более сложные алгоритмы детектирования рекламы, задействовать анализ метаданных и новые паттерны, чтобы выявить внезапные изменения в аудио- и видеопотоке.

Напомним, в мае YouTube пытался прокручивать видео до конца для пользователей AdBlock Plus.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru