Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Организация Apache Software Foundation устранила критическую уязвимость, которая затрагивает все версии Apache Struts 2. Первыми баг обнаружили исследователи Semmle, он вызван неполной проверкой ненадежных пользовательских данных в базовой структуре Struts.

Поскольку недостаток безопасности, получивший идентификатор CVE-2018-11776, содержится в ядре Struts, у злоумышленников есть несколько векторов для атаки.

Если для параметра alwaysSelectFullNamespace в конфигурации Struts установлено значение true, то, вероятнее всего, сборка уязвима для таких атак.

Параметр принимает такое значение автоматически при использовании плагина Struts Convention.

Уязвимость обнаружил член команды безопасности Semmle Ман Юэ Мо.

«Эта уязвимость связана с языком Struts OGNL, с которым очень хорошо знакомы киберпреступники. Они уже использовали его в прошлом»,— отмечает Мо.

Поскольку брешь затрагивает все версии Apache Struts 2, компания рекомендуется немедленно обновить свои сборки. Использующие Struts 2.3 должны обновиться до 2.3.35, а те, кто пользуется Struts 2.5, — до версии 2.5.17.

Подпишитесь на новости

Opera добавила локальный ИИ: запросы обрабатываются на вашем компьютере

Нейросети в браузере необязательно кормить данными через чужой сервер. Opera представила раннюю версию поддержки WebAI — предложенного веб-стандарта, который позволяет сайтам и расширениям использовать ИИ-модели на компьютере пользователя. Первой площадкой стал Opera One, позднее возможности появятся в Opera GX и Neon.

О запуске и принципах работы компания рассказала в официальном анонсе.

WebAI рассчитан на разные модели, включая Gemma от Google. На совместимых яблочных компьютерах поддерживается и локальная фундаментальная модель Apple. Привязки к единственному поставщику не предполагается.

Есть генерация текста, классификация контента и анализ связей между фрагментами информации. Разработчики смогут добавлять такие функции без собственной серверной ИИ-инфраструктуры и оплаты каждого облачного запроса. Пользователю для локального выполнения не нужна подписка на внешний ИИ-сервис.

Функция включается добровольно. Вычисления происходят на устройстве, поэтому обрабатываемые локальной моделью данные не требуется отправлять облачному провайдеру.

Расплата за независимость от облака очевидная — нагрузка на компьютер. Скорость зависит от железа.

RSS: Новости на портале Anti-Malware.ru