Apple обновила iTunes, устранив уязвимости в SQLite, Expat

Apple обновила iTunes, устранив уязвимости в SQLite, Expat

Apple обновила iTunes, устранив уязвимости в SQLite, Expat

На прошлой неделе Apple обновила iTunes для Windows и Mac, в результате было устранено более десяти уязвимостей, затрагивающих библиотеки Expat и SQLite.

ITunes 12.6 для Windows и OS X исправляет семь брешей в кросс-платформенной библиотеке SQLite и десять уязвимостей в библиотеке XML Expat. ITunes 12.6 обновляет SQLite до версии 3.15.2, выпущенной в конце ноября 2016 года, и Expat до версии 2.2.0, выпущенной в июне 2016 года.

Идентификаторы CVE, упомянутые в сообщениях Apple, показывают, что компания не обновляла эти компоненты в течение нескольких лет.

Например, CVE-2013-7443 в SQLite была исправлена в феврале 2014 года, CVE-2015-3414 устранена в апреле 2015 года, а CVE-2016-6153 в мае 2016 года. Большинство недостатков, устраненных в iTunes, можно использовать для атак, приводящих к отказу в обслуживании (DoS), но некоторые из них могут также быть причиной выполнения произвольного кода и повышения привилегий.

В случае с Expat, в сообщении Apple упоминаются некоторые бреши, которые были исправлены в марте 2012 года с выходом Expat 2.1.0. Уязвимости в Expat также могут использоваться в основном для DoS-атак, но в некоторых случаях и для выполнения произвольного кода.

Стоит отметить, что большинство обновлений iTunes, выпущенных в прошлом году, исправили уязвимости, влияющие на механизм браузера WebKit. В одном из обновлений Windows, выпущенном в июле, были исправлены недостатки библиотек libxml2 и libxslt.

На взлом робота нужно не больше часа

Большинство коммерческих роботов сегодня содержит значительное число уязвимостей. Как предупреждают китайские эксперты, получение полного контроля над такими устройствами может занять не более часа, а некоторые модели удаётся взломать всего за считаные минуты.

Как рассказал китайскому изданию «Ицай» сотрудник исследовательской и сервисной компании Darknavy Сяо Сюанган, уровень безопасности в современной робототехнике остаётся крайне низким. По его словам, на получение контроля над робособакой Deep Robotics Lite у него ушло менее часа.

Его коллега, эксперт Darknavy Цюй Шипей, продемонстрировал журналистам ещё более наглядный пример — взлом системы управления гуманоидного робота Unitree Robotics занял у него чуть больше одной минуты.

По словам Сяо Сюангана, атака на робота обычно состоит из двух этапов. Сначала злоумышленник получает удалённый доступ к устройству, а затем обходит штатные системы управления и получает прямой контроль над приводами. В таком сценарии робот теоретически может быть использован для агрессивных и потенциально опасных действий.

Инженер-робототехник Линь Ипэй считает, что уязвимости на текущем этапе развития робототехники во многом неизбежны. Многие производители сознательно оставляют доступ к низкоуровневым функциям и возможность удалённого входа — это упрощает отладку и обновление программного обеспечения. По мере взросления технологий такие механизмы обычно закрываются, как это ранее произошло в автомобильной индустрии.

При этом, как отмечает издание, инциденты с роботами, вышедшими из-под контроля, уже фиксировались на практике. В одном случае сотрудник робототехнической компании получил травму из-за некорректных действий робота. В другом — на выставке в Пекине робособака врезалась в группу детей.

По данным журналистов, значительная часть компаний, работающих в сфере робототехники, вовсе не имеет специализированных подразделений информационной безопасности. Среди крупных производителей собственная ИБ-служба есть лишь у Unitree Robotics.

RSS: Новости на портале Anti-Malware.ru