Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate исправила уязвимость в прошивке Seagate Personal Cloud Home Media Storage, использующейся в NAS-продукте компании. Брешь затрагивает веб-приложение Media Server и позволяет пользователям взаимодействовать с данными, хранящимися на устройстве, через сетевое соединение.

Интерфейс Media Server работает поверх приложения Django (Python), исследователь Йорик Костер обнаружил, что если злоумышленник сделает злонамеренные запросы к двум файлам (getLogs и uploadTelemetry), он может заставить приложение выполнить произвольные команды на целевом устройстве.

Недостаток получил классификацию «инъекции неавторизованной команды», он позволяет атакующим запускать команды на базовой прошивке устройства из интерфейса веб-управления. Господин Костер создал код, подтверждающий концепцию (proof-of-concept), который, эксплуатируя данную брешь, разрешает удаленный SSH-доступ на NAS-устройство Seagate, а затем позволяет изменить его пароль root.

Но есть один нюанс. Доступ к этому интерфейсу возможен только из локальной сети, следовательно, единственный способ использовать этот недостаток — заставить пользователя посетить зловредный URL-адрес в той же сети (LAN) с помощью устройства NAS.

Это можно осуществить с помощью, например, фишинга. Также злоумышленники могут вставлять код эксплойта в рекламные объявления. Когда владелец NAS обращается к сайту со злонамеренным объявлением, скрытый код объявления взаимодействует с уязвимым NAS-устройством.

Костер проинформировал Seagate об уязвимости компанию, занимающуюся безопасностью Beyond Security.

«Seagate была проинформирована об этой уязвимости 16 октября. Однако, даже признав факт получения информации об уязвимости, компания отказалась обозначить временные рамки исправления данной бреши», — пишет Beyond Security.

Однако вскоре Костер заявил, что Seagate удалось устранить вышеозначенную проблему.

«Могу подтвердить, что на моем NAS-устройстве проблема решена», — отчитался Костер, показав журнал изменений Seagate Personal Cloud для версии 4.3.18.0.

Нейросети и ДНК: ИИ-лидеры просят закрыть лазейку для биооружия

В ИИ-индустрии произошло почти невероятное событие. Главы OpenAI, Anthropic, Google DeepMind и Microsoft AI выступили единым фронтом и попросили Конгресс США срочно ужесточить правила продажи синтетической ДНК и РНК.

3 июня Сэм Альтман, Дарио Амодеи, Демис Хассабис и Мустафа Сулейман подписали открытое письмо, в котором призвали обязать компании, занимающиеся синтезом генетического материала, проверять не только сами заказы, но и их заказчиков.

Причина проста: ИИ становится слишком хорошим помощником. Авторы письма опасаются, что современные языковые модели постепенно снижают порог входа в область биотехнологий.

Если раньше потенциальному злоумышленнику требовались серьёзные знания в биологии, то теперь часть информации может подсказать нейросеть: где искать нужные гены, как формулировать запросы и каким образом обходить существующие механизмы проверки.

Впрочем, паники в письме нет. Подписанты отдельно подчёркивают, что современные ИИ-модели пока не способны самостоятельно разработать полноценный патоген с нуля. Для этого всё ещё нужны профессиональные знания и практические навыки.

Но проблема, по их мнению, в другом: защитные барьеры постепенно размываются, а значит, лучше закрывать уязвимости заранее, чем ждать первого громкого инцидента.

Особенно тревожит экспертов рынок синтетической ДНК. Сегодня заказать нужную генетическую последовательность можно сравнительно быстро и недорого. А если ИИ поможет подобрать или замаскировать опасный заказ, существующие системы контроля могут не справиться.

В качестве примера авторы приводят исследование Microsoft, опубликованное в прошлом году. Тогда ИИ-системы для проектирования белков смогли сгенерировать потенциально опасные последовательности, которые прошли мимо фильтров поставщиков. Формально это были новые белки, но по структуре они напоминали уже известные опасные образцы.

Из этого подписанты делают вывод: проверять нужно не только клиентов биотехнологических компаний, но и сами ИИ-системы. Иными словами, фильтры безопасности придётся строить сразу на нескольких уровнях.

Любопытно, что главным событием здесь многие считают даже не содержание письма, а список подписантов. Когда Альтман и Амодеи оказываются под одним документом, значит, вопрос действительно считают серьёзным.

RSS: Новости на портале Anti-Malware.ru