Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

По имеющимся сообщениям, уязвимость, затрагивающая фреймворк для разработки Apache Struts 2, была использована для атаки на бюро кредитных историй Equifax, что привело к получению доступа злоумышленников к данным клиентов.

По заявлениям Equifax, хакеры имели доступ к системам в период с середины мая по конец июля. Инцидент затронул примерно 143 миллиона жителей США. Скомпрометированная информация включает имена, номера социального страхования, даты рождения, адреса и, в некоторых случаях, номера водительских удостоверений.

Согласно формулировке Equifax, «преступники использовали уязвимость веб-приложений для получения доступа к определенным файлам». Однако фирма, специализирующаяся на финансовых услугах, Baird заявила, что проблемным программным обеспечением является Apache Struts, фреймворк, используемый многими ведущими организациями для создания веб-приложений.

«Насколько мы понимаем ситуацию, причиной компрометации данных послужила ошибка в Apache Struts» - говорится в отчете Baird.

Некоторые эксперты сделали вывод, что речь идет об уязвимости, известной под идентификатором CVE-2017-9805, это брешь удаленного выполнения кода, которая возникает, когда плагин REST используется с обработчиком XStream. Однако этот недостаток был устранен 5 сентября с выпуском Struts 2.5.13.

В настоящее время эта уязвимость используется в реальных атаках. По словам комитета по управлению проектом Apache Struts, неясно, какая уязвимость Struts, если таковая имеется, была использована в компрометации Equifax.

Среди исследователей также есть мнение, что в атаке на Equifax более вероятно использовалась уязвимость Apache Struts, известная как CVE-2017-5638. Эта брешь используется киберпреступниками с марта.

«Сценарий использования обеих этих уязвимостей похож - злоумышленник отправляет конкретный HTTP-запрос, содержащий специальный синтаксис. Приложение, получив этот запрос, неправильно его обработает, что приведет к выполнению команд операционной системы» - говорит эксперт Contrast Security, Джефф Уильямс (Jeff Williams).

Правительство ужесточило требования к ПАК для генеративного ИИ

Правительство утвердило новые требования к программно-аппаратным комплексам генеративного искусственного интеллекта для включения их в льготный реестр. Согласно документу, разработчики таких решений должны располагать центром обработки данных мощностью не менее 10 МВт, а также системой хранения данных совокупным объёмом не менее 1 эксабайта.

Документ оказался в распоряжении «Коммерсанта». В нём также зафиксированы требования к вычислительным ресурсам и сетевой инфраструктуре.

В частности, комплексы должны использовать процессоры с матричными умножителями либо их аналоги с производительностью не ниже 8,75 PFLOP FP4, а также быть оснащены сетевыми адаптерами пропускной способностью от 400 Гбит/с с поддержкой технологии удалённого доступа к памяти (RDMA).

Как пояснили изданию в аппарате первого вице-премьера Дмитрия Григоренко, основной целью документа стало формирование самой категории программно-аппаратных комплексов для генеративного ИИ. При этом, по словам представителей правительства, задача «отсечь» часть участников рынка изначально не ставилась.

«Эксабайтное хранилище и сетевые подключения на 400 Гбит/с — это уровень крупных технологических компаний. Из-за новых требований рынок столкнётся с ростом затрат на инфраструктуру на 40–70%», — прокомментировал нововведения основатель WMT AI Игорь Никитин.

По оценке независимого эксперта Алексея Лерона, такие требования приведут к концентрации рынка в руках ограниченного числа игроков. В результате это может вызвать рост цен и сокращение предложения для заказчиков в сегменте B2B.

Источник «Коммерсанта» на рынке также отмечает, что наличие собственных вычислительных мощностей само по себе не гарантирует качество конечного продукта. По его словам, ключевую роль играет программное обеспечение, а требование о собственном ЦОД фактически превращается в дополнительный барьер для разработчиков.

Многие эксперты, опрошенные изданием, сходятся во мнении, что новые правила приведут к вытеснению нишевых игроков с рынка. В итоге в реестре могут остаться лишь 2–3 компании, способные инвестировать в строительство мощных ЦОД. Кроме того, документ усложнит создание альянсов между разработчиками оборудования и ПО и существенно сократит число новых стартапов в сфере генеративного ИИ.

RSS: Новости на портале Anti-Malware.ru