Библиотека GnuTLS уязвима перед опасной атакой

Библиотека GnuTLS уязвима перед опасной атакой

Пользователи Linux, только недавно столкнувшиеся с нашумевшим багом Heatrbleed, вновь получили проблемы с серьезными уязвимостями в программном обеспечении. На сей раз проблемы коснулись GnuTLS: баг здесь позволяет атаковать целевые серверы через уязвимую криптографическую библиотеку. На данный момент сами разработчики указанной библиотеки уже устранили уязвимость, однако не все поставщики фирменных Linux-дистрибутивов сделали тоже самое.

Впервые о баге в GNUtls стало известно 28 мая, вскоре после этого инженер Red Hat Никос Маврогианнопулос выпустил исправление CVE-2014-366 для бага. Как говорят специалисты, сейчас пользователи большинства Linux-дистрибутивов все еще под ударом. Ситуация усугубляется тем, что как-то заблокировать исполнение бага или отключить уязвимую библиотеку нельзя, пишет cybersecurity.ru.

В Red Hat говорят, что новый баг напоминает баг, который был обнаружен в GNUtls три месяца назад. Тогда в системе были найдены опасные операций зачистки операторов Goto, которые позволяли хакерам внедрять самостоятельно подписанные сертификаты и атаковать целевые серверы.

Согласно описанию в баг-трекере Red Hat, новый баг проявляется, когда GnuTLS начинает обрабатывать пакеты с ID на установку соединения от удаленной машины. Если сервер был скомпрометирован хакерами, то он может получить переполнение буфера обмена или же если клиент подделывает пакеты, устанавливающие соединение, то последний может передать сверхдлинные пакеты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Начался суд над руководителями Департамента цифрового развития Росгвардии

Московский гарнизонный суд приступил к рассмотрению уголовного дела в отношении бывшего руководителя департамента цифрового развития и защиты информации Росгвардии Михаила Варенцова и начальника Главного центра информационных технологий по инженерно-техническому обеспечению Николая Чепкасова.

Николай Чепкасов был задержан 20 марта, а Михаил Варенцов — более чем месяц спустя. Изначально им вменялось мошенничество в особо крупном размере, однако подробности тогда не раскрывались.

Как сообщает «Коммерсантъ», в ходе первого судебного заседания квалификация обвинения была изменена. Теперь Варенцову и Чепкасову инкриминируют пункты «в», «г», «е» ч. 3 ст. 286 УК РФ — превышение должностных полномочий, совершённое группой лиц, из корыстных побуждений и повлекшее тяжкие последствия.

Изменилась и мера пресечения. Первоначально оба фигуранта находились под стражей, однако позднее Варенцова перевели под запрет определённых действий в связи с необходимостью лечения, а Чепкасова — под домашний арест.

По версии следствия, обвиняемые подписали акты приёмки программного обеспечения, которое не соответствовало требованиям государственных контрактов. Речь идёт о нескольких соглашениях с НИИ «Восход» на создание систем для федеральной платформы контроля оборота оружия и управления охранными услугами (ФПКО СПО ГИС). Кроме того, в их компетенции находилось оснащение подразделений Росгвардии профильным оборудованием.

«Приёмка была произведена на основании формальной проверки в эмуляторе, не подтверждающей способность ФПКО реально функционировать в операционной среде заказчика», — приводит издание слова представителя обвинения.

Следующее заседание по делу назначено на 8 декабря.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru