Тексты, надиктованные пользователями Mountain Lion, собственность Apple

Тексты, надиктованные пользователями Mountain Lion, собственность Apple

 Apple выпустила новую операционную систему Mountain Lion. Однако компания предлагает весьма специфические условия использования новой функции конвертации надиктовываемой голосом информации в текст. Согласно этим условиям Apple получает право записывать надиктованную информацию и хранить у себя полученные файлы.

По данным компании Sophos, это обусловлено тем, что надиктованная информация записывается и пересылается на сервера Apple и уже там конвертируется в текст. Иными словами конвертация речи в текст происходит не в локальной системе, а в облачной среде Apple. Данный факт вызывает некоторое удивление. Учитывая тот факт, что каждый отдельный пользователь имеет строго индивидуальные особенности голоса, казалось бы, более целесообразно производить конвертацию в рамках локальной системы.

По мнению специалистов Sophos, подобные нововведения несут в себе и более серьёзную потенциальную угрозу. Вместе с файлами, содержащими надиктованную информацию, Apple также получает и личную информацию пользователя, например, имя и ник, а также может получить имена и ники людей, чьи контакты содержатся в адресной книге пользователя. Хотя Apple и утверждает, что получаемые файлы деперсонилизируются, т.е. не «привязываются» к персональным данным пользователя. К тому же Apple утверждает, что пользователь в любой момент может отключить функцию конвертации надиктовываемой голосом информации в текст. В этом случае компания обязуется удалить полученные личные данные пользователя, а также последние файлы с надиктованной информацией. При этом, Apple оставляет за собой право хранить деперсонилизированные файлы с надиктованной информацией, полученные ранее, в течение некоторого периода времени. Однако в Sophos сомневаются, что возможно деперсонифицировать файлы, которые могут содержать личную информацию пользователя (например, персональные данные, сведения о родственниках, работодателях и т.д.). К тому же период времени, в течение которого Apple имеет право хранить полученную информацию, до сих пор чётко не определён.

 

VLC можно атаковать через обычную PNG-картинку и вредоносный сервер

В медиаплеере VLC обнаружили две уязвимости, позволяющие выйти за границы выделенной памяти. Проблемы затрагивают версии с 3.0.0 по 3.0.23, а для запуска одной из атак достаточно открыть специально подготовленную PNG-картинку.

Наиболее опасная брешь, CVE-2026-56711, получила 8,6 балла по шкале CVSS 4.0.

Ошибка связана с целочисленным переполнением при расчёте размера буфера для изображения. Атакующий может указать в PNG аномально большие ширину и высоту, из-за чего VLC выделит слишком маленький участок памяти, а затем начнёт записывать данные за его пределами.

Уязвимость срабатывает при непосредственном открытии вредоносной картинки или её загрузке из плейлиста. Никаких редких настроек и шаманства с плагинами не требуется.

Вторая проблема, CVE-2026-73324, получила 6,9 балла. Она находится в модуле RealRTSP. Злоумышленник может заставить VLC подключиться к подконтрольному серверу и передать строку ответа длиннее 4096 байт. Из-за отсутствующего нулевого символа программа продолжит читать память за пределами буфера.

В результате сервер потенциально может получить данные, оказавшиеся рядом в памяти клиента. Модуль RealRTSP включён в официальные сборки VideoLAN, хотя некоторые дистрибутивы могут поставлять VLC без него.

Пока разработчики не выпустили пропатченные сборки, пользователям рекомендуют не открывать изображения и плейлисты из сомнительных источников и избегать незнакомых RealRTSP-ссылок.

RSS: Новости на портале Anti-Malware.ru