Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

В менеджере пакетов Homebrew после аудита обнаружили 25 уязвимостей, которые могли позволить злоумышленникам выполнить вредоносный код и модифицировать сборки бинарников.

В теории эксплуатация этих брешей позволит атакующим контролировать поток CI/CD и вытащить секреты. Проблемы удалось выявить в ходе аудита кода, который провели специалисты Trail of Bits в августе 2023 года.

Ни одна из уязвимостей не получила статус критической, команда разработчиков Homebrew уже устранила 16 брешей и при этом работает над патчами ещё для трёх.

14 получили среднюю степень риска, две — низкую, семь стали просто информационными, а статус ещё двух не раскрывается.

Среди багов есть возможность изменения локального пути (path traversal), выход за пределы песочницы, недостаточные проверки, слабая криптография, возможность повышения прав и использование устаревшего кода.

«Большая поверхность API и CLI Homebrew открывает потенциальному злоумышленнику возможность для локального выполнения кода за пределами песочницы», — пишут специалисты Trail of Bits.

В отчёте (PDF) также упоминается, что у модели безопасности Homebrew нет чёткой документации, а пакеты могут использовать ряд способов для повышения своих прав.

Диспетчер задач Windows 11 научился вычислять пожирателей NPU

Microsoft расширила функциональность Диспетчера задач Windows 11 новыми инструментами для контроля ИИ-нагрузки. Теперь пользователи смогут увидеть не только общую активность нейропроцессора, но и конкретные приложения, которые занимают NPU и расходуют его память.

На страницах «Процессы», «Пользователи» и «Подробности» появились необязательные столбцы NPU и NPU Engine.

В разделе «Подробности» также можно включить показатели выделенной и общей памяти нейропроцессора. Это поможет выяснить, какое приложение действительно запускает локальный ИИ, а какое просто громко пишет об этом в рекламе.

Нейронные блоки, встроенные в GPU, теперь отображаются на странице «Производительность». Если программа использует специализированный ускоритель видеокарты, Диспетчер задач покажет GPU — Neural. Работа через NPU может обозначаться как NPU — Compute или NPU — Neural — название зависит от процессора и драйвера.

Новые метрики позволяют быстро заметить плохо оптимизированные приложения. Если программа активно жарит CPU, а NPU простаивает и отметка GPU — Neural отсутствует, значит, ИИ-задача, вероятно, выполняется программно. Результат предсказуем: ниже скорость, выше энергопотребление и перегревшийся ноутбук.

Дополнительно Microsoft добавила столбец Isolation. Он показывает, какие приложения запущены в изолированной среде AppContainer.

Все новые показатели скрыты по умолчанию. Включить их можно щелчком правой кнопки мыши по заголовкам таблицы. Изменения описаны в официальном обновлении Windows 11.

RSS: Новости на портале Anti-Malware.ru