Крупнейший репозиторий PHP-пакетов Packagist был критически уязвим

Крупнейший репозиторий PHP-пакетов Packagist был критически уязвим

Крупнейший репозиторий PHP-пакетов Packagist был критически уязвим

Разработчики Packagist, крупнейшего репозитория в экосистеме PHP, устранили критическую уязвимость, которая затрагивала официальный сайт проекта. Эта брешь вполне могла позволить злоумышленнику получить контроль над сервисом.

О недостатке безопасности сообщил исследователь Макс Юстич. По его словам, поле ввода «Submit Package», используемое на главной странице для отправки новых пакетов PHP, позволяло атакующему запустить вредоносную команду в формате «$(MALICIOUS_COMMANDS)».

Основная причина этой проблема крылась в том, что сервис ожидал в этом поле URL-адрес, который бы вел на сервера Git, Perforce, Subversion или Mercurial. Таким образом, Packagist неправильно обрабатывал вводимые символы при проверке этого условного URL.

Это позволяло любому злоумышленнику дважды запустить вредоносную команду — первый раз, когда проверялся репозиторий Perforce, второй раз – когда проверялся репозиторий Subversion. Далее уже все зависело от уровня навыков атакующего, к примеру, он мог легко захватить базовый сервер Packagist.

Юстич уведомил в блоге, что в настоящее время уязвимость устранена.

Packagist является самым крупным хостом для хранения пакетов PHP. В июле 2018 года было зарегистрировано более 435 миллионов пакетов.

На данный момент сама команда Packagist никак не прокомментировала наличие бреши и выпуск патча для нее.

Нейросеть как цифровой костыль: учёные предупредили об ослаблении мышления

Активное использование искусственного интеллекта может постепенно ослаблять навыки, которые человек передаёт нейросети. К такому выводу пришли исследователи из университетов Ватерлоо, Торонто и Пердью. Впрочем, отправлять ChatGPT на костёр рано: проблема не в самом ИИ, а в привычке использовать его вместо собственной головы.

Учёные называют этот процесс когнитивной разгрузкой. Человек поручает внешнему инструменту запоминать информацию, искать решения и выстраивать рассуждения.

Результат появляется быстрее, но мозг получает меньше практики. Если так продолжается долго, самостоятельно выполнить знакомую задачу становится сложнее.

Показательный эксперимент провели почти с тысячей школьников, изучавших математику. Во время тренировок обычный помощник на базе GPT-4 улучшил их результаты на 48%.


Однако после отключения нейросети ученики написали проверочную работу на 17% хуже группы, которая занималась без ИИ. Другой вариант ИИ-репетитора работал иначе: не выдавал готовое решение, а подталкивал школьников к самостоятельному ответу. В этом случае заметного ухудшения результатов не обнаружили.


Похожий эффект исследователи наблюдали у врачей, применявших ИИ для поиска аденом во время колоноскопии. После возвращения к работе без алгоритма эффективность специалистов снизилась: показатель выявления образований упал с 28,4 до 22,4%.

Особенно опасной такая зависимость может стать в профессиях, где необходимо самостоятельно принимать сложные решения. Чем больше работы забирает алгоритм, тем реже человек тренирует собственные навыки.


Отказываться от нейросетей авторы не предлагают. Безопаснее использовать их для подсказок, объяснений, обратной связи и проверки собственных выводов.

RSS: Новости на портале Anti-Malware.ru