Microsoft исправили уязвимость нулевого дня, эксплуатируемую хакерами

Microsoft исправили уязвимость нулевого дня, эксплуатируемую хакерами

Microsoft исправили уязвимость нулевого дня, эксплуатируемую хакерами

Во вторник Microsoft выпустили 14 бюллетеней безопасности, исправляющие многие серьезные бреши в безопасности Windows. В их числе есть уязвимость, которую активно эксплуатируют хакеры из России.

Брешь, о которой идет речь затрагивала ядро Windows и была исправлена патчем MS16-135. Она помогала хакерам добиться повышения привилегий на зараженной системе и обойти песочницу браузера.

Эта уязвимость отслеживается под идентификатором CVE-2016-7255 и Google сообщила о ней Microsoft 21 октября. После того, как Microsoft не смогли выпустить патч в требуемый срок, Google раскрыла подробности уязвимости, чем вызвала негодование со стороны самой Microsoft.

Проблема затрагивает версии Windows начиная с Vista и заканчивая юбилейным обновлением Windows 10 Anniversary Update. Следует упомянуть, что эту брешь хакеры использовали в связке с уязвимостью в Flash Player, которую Adobe исправили 26 октября.

Однако это не единственная уязвимость нулевого дня, исправленная Microsoft во вторник. Еще один бюллетень MS16-132 устраняет несколько проблем, связанных с Windows Media Foundation, Windows Animation Manager и шрифтами OpenType. Среди них уязвимость, приводящая к возможности удаленного выполнения кода (CVE-2016-7256).

Microsoft сообщили, что для эксплуатации этой уязвимости пользователя потребуется заманить на вредоносный веб-сайт или заставить открыть специально созданный документ.

Патч MS16-129 закрывает уязвимости в браузере (CVE-2016-7199 и CVE-2016-7209). Они пока не использовались в реальных атаках, однако эксплоиты для них лежат в открытом доступе.

Минцифры создаст полигон для тестирования систем с ИИ на безопасность

Минцифры планирует создать киберполигон для тестирования систем с искусственным интеллектом (ИИ) на безопасность. В первую очередь речь идёт о решениях, предназначенных для применения на объектах критической инфраструктуры, а также о системах с функцией принятия решений.

О том, что министерство ведёт работу над созданием такого полигона, сообщил РБК со ссылкой на несколько источников.

Площадка будет использоваться для тестирования ИИ-систем, которые в дальнейшем должны пройти сертификацию ФСТЭК и ФСБ России. Это предусмотрено правительственным законопроектом «О применении систем искусственного интеллекта органами, входящими в единую систему публичной власти, и внесении изменений в отдельные законодательные акты».

Документ вводит четыре уровня критичности ИИ-систем:

  • минимальный — влияние на безопасность отсутствует или минимально;
  • ограниченный;
  • высокий — относится к системам, используемым на объектах критической информационной инфраструктуры;
  • критический — системы, способные угрожать жизни и здоровью людей или безопасности государства, а также автономные комплексы, принимающие самостоятельные решения.

Определять уровень критичности будет Национальный центр искусственного интеллекта в сфере госуправления при правительстве. Эта же структура займётся ведением реестра сертифицированных ИИ-систем.

Конкретные требования к сертификации планируется закрепить в отдельных нормативных документах, которые пока находятся в разработке. На текущем этапе единственным обязательным условием является включение программного обеспечения в реестр Минцифры.

По данным «Российской газеты», распространять новые требования на коммерческие ИИ-решения не планируется. При этом в аппарате первого вице-премьера Дмитрия Григоренко пояснили, что ключевая цель законопроекта — снизить риски применения ИИ в сферах с высокой ценой ошибки, включая здравоохранение, судопроизводство, общественную безопасность и образование.

RSS: Новости на портале Anti-Malware.ru