США обвиняют Китай в кибератаках на Министерство по делам ветеранов

США обвиняют Китай в кибератаках на Министерство по делам ветеранов

 Бывший глава отдела ИБ Министерства по делам ветеранов США Джерри Дэвис (Jerry Davis) обвиняет Китай в кибератаках на информационные системы министерства. В своем выступлении в конгрессе США Дэвис заявил, что информационные системы Министерства по делам ветеранов США подвергались, как минимум, 8 кибератакам со стороны различных иностранных организаций. 

По словам Джерри Дэвиса, 6 из 8 кибератак проводились китайскими военными. По данным Associated Press, впервые эти атаки были зафиксированы в марте 2010 года, и якобы не прекращаются и по сей день.

Известно, что в базе данных Министерства по делам ветеранов США содержатся личные данные около 20 миллионов человек. Примечательно, что все данные хранятся в незашифрованном виде.

Джерри Дэвис утверждает, что хакеры успешно проникли в информационные системы ведомства, похитив интересующие их данные. Однако для каких целей это было сделано остается не ясным. По словам Дэвиса, в руках злоумышленников, кроме всего прочего, оказались номера социального страхования, даты рождения, содержащиеся в базе данных.

В свою очередь, представители Министерства по делам ветеранов США утверждают, что информация, хранящаяся в базе данных министерства, представляет интерес не только для спецслужб иностранных государств, но и для киберпреступников, которые атакуют информационные системы ведомства, пытаясь заполучить доступ к финансовым данным ветеранов и сотрудников министерства.

30-летняя уязвимость в libpng поставила под удар миллионы приложений

Анонсирован выпуск libpng 1.6.55 с патчем для опасной уязвимости, которая была привнесена в код еще на стадии реализации проекта, то есть более 28 лет назад. Пользователям и разработчикам советуют как можно скорее произвести обновление.

Уязвимость-долгожитель в библиотеке для работы с растровой графикой в формате PNG классифицируется как переполнение буфера в куче, зарегистрирована под идентификатором CVE-2026-25646 и получила 8,3 балла по шкале CVSS.

Причиной появления проблемы является некорректная реализация API-функции png_set_dither(), имя которой было со временем изменено на png_set_quantize(). Этот механизм используется при чтении PNG-изображений для уменьшения количества цветов в соответствии с возможностями дисплея.

Переполнение буфера возникает при вызове png_set_quantize() без гистограммы и с палитрой, в два раза превышающей максимум для дисплея пользователя. Функция в результате уходит в бесконечный цикл, и происходит чтение за границей буфера.

Эту ошибку можно использовать с целью вызова состояния отказа в обслуживании (DoS). Теоретически CVE-2026-25646 также позволяет получить закрытую информацию или выполнить вредоносный код, если злоумышленнику удастся внести изменения в структуру памяти до вызова png_set_quantize().

Уязвимости подвержены все версии libpng, с 0.90 beta (а возможно, и с 0.88) до 1.6.54. Ввиду широкого использования библиотеки пользователям настоятельно рекомендуется перейти на сборку 1.6.55 от 10 февраля 2026 года.

RSS: Новости на портале Anti-Malware.ru