Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript уязвимы к атакам ReDoS

Веб-приложения и серверы на JavaScript затрагивает опасная форма уязвимости, которая может привести к успешной атаке вида ReDoS (regular expression denial of service). Злоумышленник может проэксплуатировать уязвимость, посылая большие и сложные фрагменты текста на инпут веб-сервера или приложения на основе JavaScript.

Если серверный компонент или библиотека приложения специально не предназначены для обработки различных исключительных ситуаций, действия атакующего могут привести к блокировке всего приложения или сервера за считанные минуты.

Известно, что у различных языков программирования и технологий веб-серверов есть схожие проблемы с операциями сопоставления шаблонов, что подвергает их опасности атаки ReDoS. Однако в случае с JavaScript все усугубляется из-за однопоточной модели реализации большинства серверов JavaScript, где каждый запрос обрабатывает тот же поток.

Если злоумышленник проведет атаку ReDoS, она «положит» весь сервер, а не только одну конкретную операцию. Интересно, что впервые подобные схемы ReDoS-атак были описаны еще в далеком 2012 году.

Проведенный в прошлом году исследования показали, что 5 % всех уязвимостей, обнаруженных в библиотеках и приложениях Node.js, были связаны с ReDoS.

Сейчас же эксперты считают, что атаки ReDoS набирают популярность, так эти уязвимости игнорировались на протяжении долгого времени. Кристиан-Александру Стайцу и Майкл Прадель из Дармштадтского технического университета в Германии сообщили об обнаружении 25 ранее неизвестных уязвимостей в популярных модулях Node.js.

Эксперты опубликовали список этих модулей и брешей в них:

Исследователи полагают, что злоумышленник может создать специальные эксплойты для атаки сайтов с помощью любой из этих 25 библиотек.

Эксперты проверили 2 846 популярных сайта, из которых 339 (12 %) оказались уязвимы хотя бы перед одной ReDoS-уязвимостью.

Стайцу и Прадель опубликовали POC-код, доказывающий наличие проблемы, на GitHub.

Рынок резервного копирования в России разогнался до 10,6 млрд рублей

Российский рынок средств резервного копирования второй год подряд растёт быстрее всего сегмента инфраструктурного ПО. В 2025 году его объём достиг 10,6 млрд рублей, прибавив 18,5% против 16% у рынка в целом, следует из исследования Strategy Partners.

Доля отечественных решений в резервном копировании выросла с 19% в 2021 году до 70% в 2025-м.

Аналитики ожидают, что к 2030 году она достигнет 92%, а сам сегмент увеличится более чем вдвое — до 24 млрд рублей. Среднегодовой темп роста прогнозируется на уровне 17%.

Для сравнения: весь российский рынок инфраструктурного ПО в 2025 году оценили в 158 млрд рублей. За год он вырос на 16%, а доля российских разработчиков достигла 68% против 8% четырьмя годами ранее. При базовом сценарии объём рынка превысит 300 млрд рублей к 2030 году.

В сегменте резервного копирования ведущую позицию, по оценке Strategy Partners, сохраняет «Киберпротект» с продуктом «Кибер Бэкап». Среди других заметных российских решений аналитики выделяют RuBackup от «Группы Астра». Сам «Киберпротект» оценивает рынок выше — примерно в 12 млрд рублей, а собственную долю на нём в 56%.

Конкуренция тем временем переезжает от списка функций к совместимости. Заказчикам нужны системы, которые дружат с российскими платформами виртуализации, СУБД, Kubernetes, хранилищами и мониторингом, а не просто гордо складывают копии в отдельный угол.

Растёт и рынок программно-аппаратных комплексов: Strategy Partners прогнозирует увеличение со 116 млрд рублей в 2025 году до 249 млрд рублей к 2030-му.

RSS: Новости на портале Anti-Malware.ru