В инструменте АНБ Ghidra найдена RCE-уязвимость

В инструменте АНБ Ghidra найдена RCE-уязвимость

В инструменте АНБ Ghidra найдена RCE-уязвимость

Исследователи в области безопасности предупреждают, что недавно опубликованный АНБ инструмент для обратного инжиниринга, получивший название Ghidra, содержит уязвимость, которая позволяет удаленно выполнить код.

Сама уязвимость представляет сбой известную проблему внешних сущностей XML (XML external entity, XXE). Согласно сообщению на GitHub, злоумышленник может использовать ее, заставив жертву открыть специально созданный вредоносный проект.

Алгоритм эксплуатации в этом случае выглядит так:

  • Злоумышленник создает проект и закрывает его.
  • Затем помещает XXE-пейлоад в любой из файлов XML, расположенных в директории проекта.
  • Как только проект открывается пользователем, вредоносная нагрузка выполняется.

По словам эксперта под псевдонимом «sghctoma», обнаружившего этот баг, атаковать пользователя можно и с помощью файлов .gar.

Наличие бреши в Ghidra прокомментировали и специалисты компании Tencent Security:

«Основываясь на нашем прошлом исследовании, можно сделать вывод, что атакующий может использовать особенности Java, а также уязвимости в протоколе NTLM в системах Windows. Грамотное использование этих инструментов позволит удаленно выполнить код».

В начале марта мы писали, что Агентство национальной безопасности (АНБ) США выпустило бесплатный кроссплатформенный инструмент под названием Ghidra, предназначенный для обратного инжиниринга. АНБ планирует в ближайшее время опубликовать исходный код Ghidra на GitHub.

В Госдуму внесли второй пакет мер против телефонного мошенничества

Правительство внесло в Госдуму второй пакет законопроектов, направленных на противодействие телефонному и дистанционному мошенничеству. Он включает около 20 различных мер. Руководство нижней палаты пообещало рассмотреть инициативу в приоритетном порядке. Подготовка второго антимошеннического пакета началась в марте 2025 года — практически сразу после внесения в Госдуму первого.

Как указано в пояснительной записке, цель инициативы — «комплексное совершенствование мер противодействия преступлениям, совершаемым с использованием информационно-коммуникационных технологий».

Пакет законопроектов был внесен в Госдуму в пятницу вечером.

Среди мер, вошедших во второй пакет, первый вице-премьер Дмитрий Григоренко особо выделил следующие инициативы:

  • Введение самозапрета на входящие вызовы из-за рубежа.
  • Обязательная маркировка операторами связи звонков с иностранных номеров.
  • Ограничения на работу виртуальных АТС: их размещение только на территории России и обязательное использование Единой системы аутентификации и идентификации абонентов.
  • Внедрение системы учета IP-адресов.
  • Обязанность операторов связи передавать выявленные номера мошенников в государственную информационную систему «Антифрод».
  • Ограничение количества виртуальных сим-карт — не более 10 на одного абонента.
  • Ограничение количества банковских карт — до 20 на одного человека и не более 5 в одном банке.
  • Введение детских сим-карт с ограниченным набором сервисов.
  • Упрощение процедуры внесудебной блокировки фишинговых ресурсов (в настоящее время таким правом наделен только Банк России).
  • Изменение порядка восстановления доступа к порталу «Госуслуги»: воспользоваться можно будет только доверенными способами — через биометрическую идентификацию, мессенджер Max или при личном обращении в МФЦ.

Как заявил председатель Госдумы Вячеслав Володин 27 декабря, законопроект будет рассмотрен нижней палатой в приоритетном порядке. Его обсуждение запланировано на 12 января — первую пленарную сессию после новогодних каникул.

RSS: Новости на портале Anti-Malware.ru