Digital Security помогла SAP закрыть две опасные уязвимости в интеграционной шине SAP

Digital Security помогла SAP закрыть две опасные уязвимости

Компания SAP выпустила ежемесячный набор обновлений безопасности за июнь 2012 года. Данный набор обновлений закрывает множество уязвимостей в продуктах SAP. В данном обновлении две уязвимости были исправлены при содействии сотрудников исследовательской лаборатории Digital Security – Александра Полякова, Дмитрия Частухина, Алексея Тюрина и Александра Миноженко. На данный момент уязвимости успешно закрыты компанией SAP.

Уязвимости затронули две популярных платформы для интеграции бизнес-систем предприятия, а именно SAP Portal и SAP PI (Process Integration), которые обычно используются для интеграции бизнес-приложений. Так, основная цель использования SAP NetWeaver PI – обеспечить необходимое качественное взаимодействие различных информационных систем в неоднородном ландшафте: как приложений SAP, так и систем сторонних производителей, как внутри компании, так и при взаимодействии с партнерами и контрагентами. Такие системы, как Portal и PI, зачастую доступны для интернет-пользователей или находятся на границе корпоративной сети с защищённым сегментом, что несёт дополнительную опасность.

Обе обнаруженные уязвимости позволяют получить доступ к критичной для бизнеса информации, хранящейся в операционной системе, где установлены приложения. В случае с SAP Portal для эксплуатации уязвимости необходима пользовательская учётная запись в системе. В случае же с SAP PI уязвимость эксплуатируется анонимно и позволяет получить доступ к критичным данным, а также совершать атаки на системы, интегрированные с SAP PI.

Детали исправленных уязвимостей:

  • Уязвимость неавторизованного доступа к ОС и интегрированным приложениям в SAP PI Обновление доступно в SAP Note 1707494. Критичность по CVSS – 8.5 (AV:N/AC:L/AU:N/C:P/I:N/A:C)
  • Уязвимость неавторизованного чтения файлов в SAP Portal. Обновление доступно в SAP Note 1705800. Критичность по CVSS – 4.9 (AV:N/AC:H/AU:S/C:C/I:N/A:N)

Компания SAP традиционно объявила благодарность исследователям из Digital Security за обнаруженные уязвимости и помощь в их закрытии на своём портале.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Первый иск к OpenAI: родители винят ChatGPT в трагедии подростка

В США подан первый иск против OpenAI, качающийся суицида несовершеннолетнего. Родители 16-летнего Адама Рейна утверждают, что их сын на протяжении нескольких месяцев обсуждал с ChatGPT свои планы покончить с собой, а затем свёл счёты с жизнью.

Обычно потребительские чат-боты с ИИ оснащены защитными механизмами: если пользователь говорит о намерении причинить себе вред, система должна предлагать помощь или контакты горячих линий.

В случае Адама как пишет The New York Times, это действительно происходило — однако подростку удалось обойти защиту, объяснив, что информация о методах суицида нужна ему для «фиктивного рассказа».

OpenAI в блоге признала уязвимость подхода: модели лучше справляются с короткими диалогами, а в длинных переписках часть «обучения на безопасности» постепенно теряет эффективность. Компания утверждает, что продолжает совершенствовать свои продукты, чтобы надёжнее реагировать на чувствительные темы.

Проблема, впрочем, не ограничивается одной корпорацией. Подобный иск подан и против Character.AI, а случаи, когда ИИ-чат-боты оказывались вовлечены в трагедии или вызывали у пользователей иллюзии и навязчивые идеи, фиксировались и раньше.

История Адама стала первым судебным прецедентом против OpenAI и, вероятно, откроет новую главу дискуссии о том, где проходит граница ответственности разработчиков ИИ за последствия общения их систем с людьми.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru