В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

Кураторам проекта Apache Log4j вновь пришлось латать свой фреймворк для Java-приложений: оказалось, что защиту от атаки, получившей известность как Log4Shell, можно обойти при некоторых кастомных настройках журналирования. Разработчики устранили и эту уязвимость — в сборках 2.16.0 (для Java 8 и выше) и 2.12.2 (для Java 7, пока бета).

Поскольку патч для CVE-2021-44228 оказался неполным, проблеме присвоили отдельный идентификатор — CVE-2021-45046. Эксплойт вероятен для любого из прежних выпусков Log4j версии 2 и при определенных условиях позволяет вызвать состояние отказа в обслуживании (DoS).

Степень опасности уязвимости оценена как умеренная (3,7 балла по CVSS). Ветки 1.х утилиты ей не подвержены. Поскольку корнем зла оказался JAR-файл log4j-core, приложения, использующие только log4j-api, тоже вне зоны риска.

Исследователи из LunaSec отметили, что при использовании Log4j выпусков ниже 2.15 уязвимость CVE-2021-45046 может послужить новым вектором атаки Log4Shell, поэтому пользователям рекомендуется установить сборку 2.16.0.

Это нужно сделать как можно скорее: злоумышленники уже активно ищут и используют дыру Log4Shell для установки вредоносных ботов, криптомайнеров, шифровальщиков. Возможности для проведения таких атак необъятны — на Log4j полагаются сотни широко используемых бизнес-продуктов, и неспешный патчинг на местах может привести к заражению миллионов устройств по всему миру.

Подпишитесь на новости

В России наметили создание квантового компьютера на 300 кубитов к 2030 году

Российские разработчики нацелились на универсальный квантовый компьютер на 300 кубитов к 2030 году. Такая задача вошла в проект долгосрочного плана развития квантовых технологий, который рассмотрели в РАН. В нём также есть идея создания симуляторов, способных решать 140 задач.

Обсуждение и цели проекта описаны в сообщении Российской академии наук.

Документ охватывает вычисления, коммуникации и квантовые сенсоры. Отдельный проект — «Квантовый абрис»: территориально распределённая сеть вычислителей.

Установки предлагают синхронизировать по сверхточному времени и частоте и связать оптоволоконными линиями для параллельных вычислений.

Смысл программы — дойти до практических задач бизнеса и науки. «Росатом» собрал базу почти из 500 мировых примеров применения технологии. Среди перспективных направлений называют химию, материаловедение, медицину, транспорт, логистику и финансы.

Причём одних государственных денег для реализации замыслов, как отметили участники обсуждения, будет недостаточно: понадобятся частные инвестиции.

Теперь главный вопрос — какие полезные задачи получится решать. Красивая цифра в кубитах сама по себе лекарства не разрабатывает и логистику не оптимизирует.

RSS: Новости на портале Anti-Malware.ru