Великобритания упраздняет действие идентификационных карт

Великобритания упраздняет действие идентификационных карт

...

Правительство Великобритании объявило о закрытии программы по идентификационным картам, которые должны были стать удостоверением личности для граждан страны по причине того, что система безопасности персональных данных не совершенна.

Согласно заявлению министра внутренних дел Великобритании Дэмиана Грина, идентификационные карты более не будут восприниматься как удостоверение личности. Кроме того, планируется уничтожить базу данных, созданную для хранения персональной информации.

Напомним, что закон о создании национальной идентификационной карты в Великобритании был принят в 2005 году после третьей победы Тони Блэра на выборах, который выступил в поддержку этого проекта.

Однако, несмотря на то, что данная схема вводилась как «мера для борьбы с терроризмом»  против нее активно выступали как различные группы по защите персональной информации, так и коммерческие организации. Кроме того, противников законопроекта поддержал комиссар по информационной безопасности Ричард Томас, предложив внести в законопроект жесткие меры по обеспечению безопасности персональных данных.

Но, по всей видимости, его рекомендации не были учтены, что повлекло за собой огромное количество инцидентов, в числе которых была крупная утечка персональных данных из Королевской налоговой и таможенной службы (HMRC).

В результате правительством принято решение о ликвидации схемы, а налогоплательщикам это обойдется в £400,000. Однако, как подчеркнул министр, наряду с этими затратами, страна сэкономит 80 миллионов фунтов стерлингов.

Уязвимость переполнения глобального буфера в zlib грозит DoS и даже RCE

В широко используемой библиотеке zlib выявлена критическая уязвимость, позволяющая через порчу памяти вызвать сбой программы (DoS). Ее также потенциально можно использовать для удаленного выполнения стороннего кода в системе.

Пока не решенной проблеме, классифицируемой как переполнение буфера в глобальной памяти, присвоен идентификатор CVE-2026-22184. Поскольку эксплойт тривиален, степень опасности уязвимости была оценена в 9,3 балла по шкале CVSS.

Катастрофическая ошибка возникает при запуске утилиты untgz, а точнее, при выполнении функции TGZfname(), отвечающей за обработку имен архивных файлов, вводимых через консоль.

Как оказалось, уязвимый код не проверяет длину ввода перед копированием. Когда она превышает 1024 байт, происходит запись за границей буфера, что приводит к нарушению целостности памяти.

Проблему усугубляет тот факт, что untgz отрабатывает до парсинга и валидации архива. Эксплойт в данном случае не требует создания вредоносного файла со сложной структурой, достаточно лишь передать длинное имя в качестве аргумента командной строки.

Уязвимости подвержены все сборки zlib до 1.3.1.2 включительно. В качестве временной меры защиты админам и разработчикам рекомендуется ограничить использование untgz либо вовсе удалить соответствующий пакет до появления пропатченной версии.

RSS: Новости на портале Anti-Malware.ru