Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

Уязвимость Apache Struts привела к взлому бюро кредитных историй Equifax

По имеющимся сообщениям, уязвимость, затрагивающая фреймворк для разработки Apache Struts 2, была использована для атаки на бюро кредитных историй Equifax, что привело к получению доступа злоумышленников к данным клиентов.

По заявлениям Equifax, хакеры имели доступ к системам в период с середины мая по конец июля. Инцидент затронул примерно 143 миллиона жителей США. Скомпрометированная информация включает имена, номера социального страхования, даты рождения, адреса и, в некоторых случаях, номера водительских удостоверений.

Согласно формулировке Equifax, «преступники использовали уязвимость веб-приложений для получения доступа к определенным файлам». Однако фирма, специализирующаяся на финансовых услугах, Baird заявила, что проблемным программным обеспечением является Apache Struts, фреймворк, используемый многими ведущими организациями для создания веб-приложений.

«Насколько мы понимаем ситуацию, причиной компрометации данных послужила ошибка в Apache Struts» - говорится в отчете Baird.

Некоторые эксперты сделали вывод, что речь идет об уязвимости, известной под идентификатором CVE-2017-9805, это брешь удаленного выполнения кода, которая возникает, когда плагин REST используется с обработчиком XStream. Однако этот недостаток был устранен 5 сентября с выпуском Struts 2.5.13.

В настоящее время эта уязвимость используется в реальных атаках. По словам комитета по управлению проектом Apache Struts, неясно, какая уязвимость Struts, если таковая имеется, была использована в компрометации Equifax.

Среди исследователей также есть мнение, что в атаке на Equifax более вероятно использовалась уязвимость Apache Struts, известная как CVE-2017-5638. Эта брешь используется киберпреступниками с марта.

«Сценарий использования обеих этих уязвимостей похож - злоумышленник отправляет конкретный HTTP-запрос, содержащий специальный синтаксис. Приложение, получив этот запрос, неправильно его обработает, что приведет к выполнению команд операционной системы» - говорит эксперт Contrast Security, Джефф Уильямс (Jeff Williams).

VK Tech запускает отдельное ИИ-направление для корпоративных клиентов

VK Tech выделяет отдельное направление, связанное с искусственным интеллектом для корпоративных заказчиков. Компания собирается развивать решения для внедрения ИИ в защищённой инфраструктуре организаций — от вычислительных мощностей и хранения данных до прикладных сервисов.

Как следует из сообщения компании, среди ключевых задач нового направления — создание корпоративной ИИ-платформы, а также усиление ИИ-функциональности в существующих продуктах VK Tech. Для этого планируется использовать и собственные разработки VK, включая языковую модель Diona.

Руководить ИИ-направлением будет Роман Стятюгин, который ранее возглавлял команду аналитических сервисов VK Predict.

В VK Tech отмечают, что корпоративный рынок ИИ постепенно уходит от стадии экспериментов. Если раньше компании чаще тестировали отдельные инструменты или точечные сценарии, то теперь всё чаще рассматривают ИИ как полноценную технологию для перестройки бизнес-процессов и повышения эффективности.

При этом один из главных вопросов для корпоративного сегмента — безопасность. Именно поэтому, как считают в компании, растёт спрос на внедрение ИИ не в публичной среде, а внутри защищённого контура организаций, где можно контролировать данные и доступ к ним.

По сути, VK Tech делает ставку на то, что бизнесу нужны не разрозненные ИИ-сервисы, а более цельная инфраструктура, которую можно встроить в существующие процессы компании и использовать в более предсказуемом режиме.

RSS: Новости на портале Anti-Malware.ru