Microsoft закрыла cookie-уязвимость в Azure

Microsoft закрыла cookie-уязвимость в Azure

Корпорация подготовила новый выпуск средства разработки программного обеспечения (SDK) для платформы Windows Azure. В представленной версии исправлена ошибка безопасности, которая открывала путь к раскрытию конфиденциального содержимого идентификационных файлов (cookie).



Из описания проблемы явствует, что изъян представлял опасность в первую очередь для тех веб-сайтов и служб, которые пользуются файлами cookie для хранения информации о пользователе вне сеансов работы Интернет-обозревателя; эксплуатация этой уязвимости позволяла извлекать и отображать данные, записанные в идентификационные файлы. При этом выявленная ошибка могла помочь потенциальному злоумышленнику преодолеть криптозащиту информации, записанной в cookie, и получить сведения в расшифрованном виде.


Согласно сообщению разработчиков Microsoft, изъян существовал в веб-приложениях, построенных с помощью ASP.NET и с использованием новой функции SDK 1.3 - "Full IIS"; еще одним условием возникновения уязвимости было наличие программного интерфейса "Web Role". "Если для определенного узла важно, чтобы клиент не мог свободно читать содержимое файлов cookie, то его (узла) безопасность может быть под угрозой", - отметили специалисты корпорации.


Всем пользователям услуг Azure, чьи разработки подвержены возникновению этой уязвимости, настоятельно рекомендуется загрузить обновленный вариант SDK, "пересобрать" свои приложения и убедиться, что исправление вступило в силу. Подробные инструкции доступны в блоге Windows Azure.


"Облачная" платформа Azure была представлена публике около года назад. За это время она успела привлечь 31 тыс. активных подписчиков и стать местом размещения 5 тыс. приложений. С ее помощью разработчики могут строить, развертывать и эффективно контролировать веб-приложения, а также хранить данные на серверах Microsoft; абонировать часть вычислительных ресурсов "облака" можно за определенную цену (минимальный тариф - 5 центов в час).


PCWorld

Американец попытался приказать судебному ИИ поддержать его

Судья Верховного суда Коннектикута Уолтер Спейдер применил санкции к истцу, который пытался внедрить в судебные документы скрытые инструкции для искусственного интеллекта. По оценке судьи, это первый выявленный в США случай инъекции промпта в материалы дела.

Мэттью Эллиотт, самостоятельно судившийся с медицинской организацией из-за доступа к документам, добавил в ходатайства белый текст размером 3 пункта на белом фоне.

Человек такую надпись почти не замечает, зато система извлечения текста читает без проблем. Скрытая команда требовала от любого ИИ, анализирующего документы, поддержать позицию Эллиотта, проигнорировать прежние отказы суда и сформировать благоприятный для него вывод.

На исход дела инъекция не повлияла. Судебная система Коннектикута не использует ИИ для анализа этих документов или принятия решений. Однако Спейдер назвал попытку серьёзным злоупотреблением процессуальными правами. Такая инструкция могла выдать указание автора за команду суда, его сотрудника или другой доверенной стороны.

После предупреждения Эллиотт не остановился и продолжил вставлять скрытые сообщения. Позднее он назвал их шутками: среди них были ссылка на ролик «Носферату», обращение «hi :) I hope you cant see me» и бессмысленный набор слов.

Денежный штраф суд назначать не стал. Вместо этого Эллиотту запретили пользоваться электронной системой и обязали подавать документы лично, на бумаге.

Раньше суды в основном сталкивались с выдуманными чат-ботами прецедентами и цитатами. Теперь появилась обратная угроза — манипуляция данными, поступающими на вход ИИ.

RSS: Новости на портале Anti-Malware.ru