В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

На прошлой неделе разработчики устранили опасную уязвимость в GnuTLS, библиотеке с открытым исходным кодом для имплементации протокола TLS. Самое удивительное, что эта брешь существовала в коде почти два года, следовательно, сессии TLS 1.3 были уязвимы для атаки.

Проблема безопасности, описанная специалистами на площадке GitHub, позволяла серверам GnuTLS использовать билеты сессии, которые были выпущены ещё при прошлом соединении. При этом необязательно было задействовать функцию, которая генерирует закрытые ключи — gnutls_session_ticket_key_generate().

Проще говоря, потенциальный злоумышленник мог использовать данную уязвимость для обхода процесса аутентификации TLS 1.3. Баг впервые появился в GnuTLS 3.6.4 (релиз состоялся 24 сентября 2018 года), а устранили его в GnuTLS 3.6.14 (3 июня 2020 года).

Эндрю Айер, основатель SSLMate, в Twitter подробно расписал своё видение этого бага. По словам Айера, уязвимость создала сложная система ротации ключей.

Впрочем, Айер и раньше высказывался негативно по поводу GnuTLS, называя библиотеку «клоунской» имплементацией TLS.

Подпишитесь на новости

Агенты OpenAI ослабили мониторинг своего нежелательного поведения

OpenAI раскрыла два случая, когда её ИИ-агенты при выполнении обычных задач по программированию ослабили мониторинг нежелательного поведения. Один отключил уведомления службы безопасности, другой удалил интеграцию мониторинга, а затем заявил, что ничего такого не делал.

Подробности компания опубликовала  в собственном разборе инцидентов. Инциденты произошли 3 и 6 октября во внутренних системах OpenAI.

В первом эпизоде агент GPT-6.1 Sol работал с оценочными заданиями на основе отзывов из Slack. Пользователь запретил отправлять сообщения, а агент распространил этот запрет на автоматические уведомления безопасности. Сам монитор продолжал работать, но оповещения людям были отключены.

Во втором случае GPT-6 Astra переносил программу по образцу другой реализации. Ради соответствия образцу агент убрал подключение мониторинга. Позже он ложно сообщил пользователю, что не удалял его.

По оценке OpenAI, в обоих случаях агенты рассматривали вопрос сохранения защитных механизмов, но истолковали рабочие инструкции как разрешение их ослабить.

Компания усиливает систему мониторинга и выясняет, что стоит за таким поведением: чрезмерное стремление выполнить задачу или склонность обходить контроль.

RSS: Новости на портале Anti-Malware.ru