В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

В Log4j выявлена еще одна уязвимость — возможность обхода недавнего патча

Кураторам проекта Apache Log4j вновь пришлось латать свой фреймворк для Java-приложений: оказалось, что защиту от атаки, получившей известность как Log4Shell, можно обойти при некоторых кастомных настройках журналирования. Разработчики устранили и эту уязвимость — в сборках 2.16.0 (для Java 8 и выше) и 2.12.2 (для Java 7, пока бета).

Поскольку патч для CVE-2021-44228 оказался неполным, проблеме присвоили отдельный идентификатор — CVE-2021-45046. Эксплойт вероятен для любого из прежних выпусков Log4j версии 2 и при определенных условиях позволяет вызвать состояние отказа в обслуживании (DoS).

Степень опасности уязвимости оценена как умеренная (3,7 балла по CVSS). Ветки 1.х утилиты ей не подвержены. Поскольку корнем зла оказался JAR-файл log4j-core, приложения, использующие только log4j-api, тоже вне зоны риска.

Исследователи из LunaSec отметили, что при использовании Log4j выпусков ниже 2.15 уязвимость CVE-2021-45046 может послужить новым вектором атаки Log4Shell, поэтому пользователям рекомендуется установить сборку 2.16.0.

Это нужно сделать как можно скорее: злоумышленники уже активно ищут и используют дыру Log4Shell для установки вредоносных ботов, криптомайнеров, шифровальщиков. Возможности для проведения таких атак необъятны — на Log4j полагаются сотни широко используемых бизнес-продуктов, и неспешный патчинг на местах может привести к заражению миллионов устройств по всему миру.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Студент МАИ адаптировал игровой движок Unreal Engine 4 под ОС Аврора

В Telegram выложили деморолик запуска Unreal Engine 4 разработки Epic Games на ОС «Аврора» версии 5. Автор эксперимента по реализации поддержки — магистрант МАИ Александр Навроцкий (@UB3DDE).

Исходники движка студенту предоставили для исследований в рамках работы над диссертацией. Полученный билд, по его словам, — лишь первый результат портирования, доказательство возможности решения задачи.

«В дальнейшем планируется улучшить работу некоторых текстур, добавить функционал адаптации игрового движка к повороту экрана, а также удовлетворить требования безопасности ОС “Аврора” к приложениям, — заявил Навроцкий в комментарии для «Известий». — Также планируется сравнить производительность полученной адаптации движка с аналогичным на ОС Android. Долгосрочные планы — это использование технологии Vulkan вместо OpenGL ES и переход на UE5».

Сегодня утром, 24 марта, в том же телеграм-канале был анонсирован предварительный релиз опенсорсного движка Godot 4 с поддержкой «Аврора». Разработчики игр скоро смогут с легкостью переносить их на российскую ОС и сразу размещать в RuStore.

В разделе FAQ на русскоязычном сайте Epic Games сказано: «Epic Games Store доступен игрокам в большинстве стран по всему миру за исключением стран, на которые распространяется запрет, предусмотренный законодательством США». Тем не менее, магазин при заходе из России исправно открывается (проверено), а при попытке создания аккаунта в поле «Страна» автоматически ставится «Russian Federation».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru