Вредоносный репозиторий Git может позволить удаленно выполнить код

Вредоносный репозиторий Git может позволить удаленно выполнить код

Разработчики Git выпустили патч, исправляющий опасную уязвимость в коде этой распределенной системы управлениям версиями. Вышедшее обновление Git 2.17.1 исправляет бреши, получившие идентификаторы CVE-2018-11233 и CVE-2018-11235.

Из этих двух уязвимостей самой опасной считается CVE-2018-11235, так как она может позволить злоумышленнику создать вредоносный репозиторий Git, содержащий специально сконструированный подмодуль.

Таким образом, каждый раз, когда пользователь клонирует этот репозиторий, злоумышленник может выполнить код в системе. Это происходит из того, как клиенты Git обрабатывают вредоносный подмодуль.

Патч Git 2.17.1 должен исправить эту проблему.

Однако устранение данного бага происходит еще и на уровне серверного компонента Git. Патч на стороне сервера позволяет распознавать репозитории, содержащие вредоносные подмодули, и блокировать их загрузку пользователями.

Такие сервисы, как GitHub и Visual Studio Team (Microsoft) уже применили свежий патч.

«Самая большая часть работы была проделана по части детектирования вредоносных подмодулей. А сам патч, по сути, довольно тривиален», — сказал Джефф Кинг, сотрудник GitHub. — «Я написал патчи для самой Git, остальные же работали над libgit2, JGit и VSTS».

Брешь CVE-2018-11235 обнаружил эксперт Этьен Сталманс, который сообщил о ней через программу поиска багов, организованную GitHub.

Эдвард Томсон, работающий над Visual Studio Team Services, предоставил дополнительные инструкции, которые помогут понять, запускают ли пользователи уязвимые клиенты Git.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Минцифры предлагает разрешить бизнесу использовать обезличенные ПДн

Министерство цифрового развития, связи и массовых коммуникаций подготовило новые поправки к закону «О персональных данных», согласно которым предпринимателям будет разрешено собирать и передавать третьим лицам обезличенные персональные данные россиян. Одновременно предлагается ужесточить режим обработки обезличенных ПДн с целью защиты прав их владельцев, однако контролировать соблюдение новых требований, по мнению экспертов, будет трудно.

Эти предложения были сформулированы в ходе доработки законопроекта «О внесении изменений в ФЗ “О персональных данных”». Этот документ, уточняющий порядок получения разрешения на использование персональных данных, а также закрепляющий право Роскомнадзора контролировать методы обезличивания ПДн, был внесен на рассмотрение в Госдуму в июле прошлого года и принят в первом чтении в середине февраля.

В новой редакции поправки разрешают интернет-провайдерам, ритейлерам, поставщикам CRM (систем управления отношениями с клиентами) свободно обрабатывать обезличенные данные граждан и вводят ряд ограничений для таких операторов. Так, при обработке обезличенных ПДн будет запрещено использовать «иную информацию, действия и методы, которые помогут определить принадлежность персональных данных конкретному субъекту».

Также вводится запрет на передачу третьим лицам — к примеру, рекламодателям — дополнительной информации, помогающей идентифицировать владельца ПДн. Деобезличивание данных допускается лишь в тех случаях, когда жизнь и здоровье их владельца находятся под угрозой.

«Законопроект позволит повысить эффективность системы защиты прав субъектов персональных данных – наших граждан, а также даст возможность бизнесу использовать данные, полученные в результате обезличивания,— заявил врио директора департамента информационной безопасности Минцифры Дмитрий Реуцкий. — При этом права россиян на безопасную обработку и сохранение их персональных данных будут соблюдены».

Комментируя новые поправки для РБК, специалисты выразили опасение, что свободный оборот обезличенных ПДн создаст дополнительные риски в отношении конфиденциальности граждан. Контролировать такую деятельность очень трудно, к тому же непонятно, каким образом третьи стороны будут запрашивать согласие владельца ПДн на обработку при получении уже обезличенных данных.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru