Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

В менеджере пакетов Homebrew после аудита обнаружили 25 уязвимостей, которые могли позволить злоумышленникам выполнить вредоносный код и модифицировать сборки бинарников.

В теории эксплуатация этих брешей позволит атакующим контролировать поток CI/CD и вытащить секреты. Проблемы удалось выявить в ходе аудита кода, который провели специалисты Trail of Bits в августе 2023 года.

Ни одна из уязвимостей не получила статус критической, команда разработчиков Homebrew уже устранила 16 брешей и при этом работает над патчами ещё для трёх.

14 получили среднюю степень риска, две — низкую, семь стали просто информационными, а статус ещё двух не раскрывается.

Среди багов есть возможность изменения локального пути (path traversal), выход за пределы песочницы, недостаточные проверки, слабая криптография, возможность повышения прав и использование устаревшего кода.

«Большая поверхность API и CLI Homebrew открывает потенциальному злоумышленнику возможность для локального выполнения кода за пределами песочницы», — пишут специалисты Trail of Bits.

В отчёте (PDF) также упоминается, что у модели безопасности Homebrew нет чёткой документации, а пакеты могут использовать ряд способов для повышения своих прав.

Ни камеры, ни ИИ, ни слежки: DuckDuckGo выпустила свои очки

Пока Apple решает, разрешить ли будущим умным очкам снимать фото и видео, DuckDuckGo представила собственную альтернативу. В ней нет камеры, микрофона, искусственного интеллекта и вообще какой-либо электроники. Настоящий технологический прорыв — обычные солнцезащитные очки.

Модель DuckDuckGo Paso Robles создана совместно с брендом Knockaround и продаётся под лозунгом «Normal F***ing Sunglasses».

Это матовые чёрные очки с глянцевым логотипом DuckDuckGo, которые умеют ровно одно: защищать глаза от солнца. Зато делают это без отправки данных в облако.

Компания щедро перечисляет преимущества новинки: бесконечное время автономной работы, гарантированное отсутствие уведомлений и бесшовный офлайн-режим. Зарядный кабель, обновление прошивки и подписка на расширенные функции тоже не понадобятся.

 

Конечно, DuckDuckGo не пытается перевернуть рынок носимой электроники. Выпуск очков — сатирическая PR-кампания и очередной выпад в сторону компаний, которые пытаются встроить камеры, микрофоны и ИИ буквально во всё, что можно надеть на голову.

Однако шутка вполне материальна: DuckDuckGo Paso Robles действительно существуют и продаются. Никаких скрытых функций у них нет, по крайней мере, пока производитель не догадался предложить солнцезащиту по подписке.

RSS: Новости на портале Anti-Malware.ru