Брешь в UPnP позволяет выкрасть данные и просканировать внутренние сети

Брешь в UPnP позволяет выкрасть данные и просканировать внутренние сети

Брешь в UPnP позволяет выкрасть данные и просканировать внутренние сети

Уязвимость в технологии Universal Plug and Play (UPnP), используемой миллиардами сетевых и IoT-устройств, позволяет не прошедшему аутентификацию удалённому атакующему извлекать данные и сканировать внутренние сети.

Напомним, что набор протоколов UPnP используется целым спектром устройств: персональные компьютеры, принтеры, мобильные устройства, маршрутизаторы, игровые консоли, точки доступа Wi-Fi и т. п.

Уязвимость получила идентификатор CVE-2020-12695 и имя «CallStranger». Обнаруживший проблему безопасности исследователь описывает её следующим образом:

«Брешь вызвана значением заголовка Callback в функции UPnP SUBSCRIBE. В результате открывается возможность для подделки запросов со стороны сервера (SSRF-атака). Проблема затрагивает миллионы открытых в Сеть устройств и миллиарды LAN-девайсов».

Подробные технические детали уязвимости можно найти в отчёте (PDF) специалистов. Как пишут эксперты, CallStranger позволяет обойти DLP-системы и другие устройства сетевой защиты.

Успешная эксплуатация этой уязвимости позволит злоумышленнику извлечь данные, просканировать внутренние порты и нацелить уязвимые устройства на DDoS-атаки.

Российский ИИ силён в науке, но застревает на пути к рынку

Россия стала третьей среди стран БРИКС и 20-й в мире по числу научных работ, представленных на десяти ведущих международных конференциях по машинному обучению и искусственному интеллекту. Результаты исследования опубликовал Наукометрический центр НИУ ВШЭ.

В 2020-2025 годах, по данным «Известий», российские организации представили 560 исследований, которые получили более 12,3 тыс. цитирований.

Средний показатель международной цитируемости составил 3,59 — выше, чем у Индии с её 3,10, несмотря на значительно меньший объём публикаций. Работ меньше, зато читают их заметно внимательнее.

Сильнее всего российская научная школа выглядит в математике машинного обучения, оптимизации и анализе формальных понятий. Заметные результаты также есть в компьютерном зрении и речевых технологиях.

Более 40% отечественных публикаций подготовлены при участии бизнеса. Среди компаний лидирует «Яндекс», среди университетов — НИУ ВШЭ и Сколтех, среди некоммерческих организаций — AIRI.

Но между хорошей статьёй и работающим продуктом всё ещё лежит довольно широкий технологический овраг. Развитию мешают дефицит вычислительных мощностей, ограниченный доступ к качественным данным и слабый перенос исследований в коммерческие решения. Отставание особенно заметно в обработке естественного языка, ИИ-агентах и инфраструктурных технологиях.

В Минцифры заявили, что намерены стимулировать спрос на отечественные ИИ-решения, развивать вычислительную инфраструктуру, совершенствовать регулирование и ускорять внедрение научных разработок.

RSS: Новости на портале Anti-Malware.ru