JavaScript-библиотека стала причиной XSS-дыры в Google Search

JavaScript-библиотека стала причиной XSS-дыры в Google Search

JavaScript-библиотека стала причиной XSS-дыры в Google Search

JavaScript-библиотека с открытым исходным кодом стала причиной уязвимости межсайтового скриптинга (XSS) в Google Search и, предположительно, других продуктах Google. Проблему обнаружил японский исследователь в области безопасности Масато Кинугава.

По словам эксперта, всему виной стало небольшое изменение в коде библиотеки, которое было зафиксировано несколько месяцев назад. В результате злоумышленники могли успешно использовать XSS-дыру для фишинговых атак.

Специалисты компании LiveOverflow изучили эту проблему безопасности, после чего заявили: уязвимость присутствует в библиотеке Closure. Как оказалось, Closure не может корректно отфильтровать ввод пользователя.

Closure представляет собой JavaScript-библиотеку, созданную Google специально для сложных и масштабируемых веб-приложений. Корпорация открыла исходный код библиотеки, хотя техногигант до сих пор использует ее в проектах Search, Gmail, Maps и Docs.

Проблема возникла в момент, когда кто-то решил удалить механизм фильтрования пользовательского ввода. Утверждается, что это было сделано из-за жалоб пользователя на проблемы с интерфейсом.

Брешь возникла 26 сентября 2018 года, а устранить проблему безопасности удалось только 22 февраля 2019 года. Пока неизвестно, кому досталось вознаграждение за обнаруженную уязвимость.

Эксперты LiveOverflow опубликовали видео, на котором демонстрируется наличие XSS в Google Search.

Правительство ужесточило требования к ПАК для генеративного ИИ

Правительство утвердило новые требования к программно-аппаратным комплексам генеративного искусственного интеллекта для включения их в льготный реестр. Согласно документу, разработчики таких решений должны располагать центром обработки данных мощностью не менее 10 МВт, а также системой хранения данных совокупным объёмом не менее 1 эксабайта.

Документ оказался в распоряжении «Коммерсанта». В нём также зафиксированы требования к вычислительным ресурсам и сетевой инфраструктуре.

В частности, комплексы должны использовать процессоры с матричными умножителями либо их аналоги с производительностью не ниже 8,75 PFLOP FP4, а также быть оснащены сетевыми адаптерами пропускной способностью от 400 Гбит/с с поддержкой технологии удалённого доступа к памяти (RDMA).

Как пояснили изданию в аппарате первого вице-премьера Дмитрия Григоренко, основной целью документа стало формирование самой категории программно-аппаратных комплексов для генеративного ИИ. При этом, по словам представителей правительства, задача «отсечь» часть участников рынка изначально не ставилась.

«Эксабайтное хранилище и сетевые подключения на 400 Гбит/с — это уровень крупных технологических компаний. Из-за новых требований рынок столкнётся с ростом затрат на инфраструктуру на 40–70%», — прокомментировал нововведения основатель WMT AI Игорь Никитин.

По оценке независимого эксперта Алексея Лерона, такие требования приведут к концентрации рынка в руках ограниченного числа игроков. В результате это может вызвать рост цен и сокращение предложения для заказчиков в сегменте B2B.

Источник «Коммерсанта» на рынке также отмечает, что наличие собственных вычислительных мощностей само по себе не гарантирует качество конечного продукта. По его словам, ключевую роль играет программное обеспечение, а требование о собственном ЦОД фактически превращается в дополнительный барьер для разработчиков.

Многие эксперты, опрошенные изданием, сходятся во мнении, что новые правила приведут к вытеснению нишевых игроков с рынка. В итоге в реестре могут остаться лишь 2–3 компании, способные инвестировать в строительство мощных ЦОД. Кроме того, документ усложнит создание альянсов между разработчиками оборудования и ПО и существенно сократит число новых стартапов в сфере генеративного ИИ.

RSS: Новости на портале Anti-Malware.ru