Сотни тысяч VPN-порталов SonicWall уязвимы к удаленному исполнению кода

Сотни тысяч VPN-порталов SonicWall уязвимы к удаленному исполнению кода

Сотни тысяч VPN-порталов SonicWall уязвимы к удаленному исполнению кода

В программно-аппаратном комплексе SonicWall для обеспечения сетевой безопасности (NSA) обнаружена опасная, легко эксплуатируемая уязвимость. Используя ее, удаленный злоумышленник может вызвать на устройстве состояние отказа в обслуживании (DoS) и даже выполнить произвольный код. Соответствующий патч уже выпущен, и пользователям настоятельно рекомендуется его применить.

Баг CVE-2020-5135 классифицируется как переполнение буфера стека. Он содержится в одном из компонентов SonicOS — операционной системы, под управлением которой работают все NSA-устройства SonicWall. Последние обычно используются в организациях как фаерволы и VPN-порталы.

Уязвимый компонент отвечает за обработку кастомных протоколов передачи данных. Его использует доступная из интернета служба HTTP/HTTPS. Эксплуатацию можно осуществить, отправив на устройство особый HTTP-запрос, который эффективно выведет веб-приложение из строя. Авторизации атака не требует, так как уязвимость проявляется до запуска процедуры аутентификации.

Новую дыру одновременно обнаружили исследователи из Tripwire и Positive Technologies. По их словам, ее также потенциально можно использовать для выполнения вредоносного кода. По этой причине степень опасности уязвимости была оценена в 9,4 балла из 10 возможных по шкале CVSS. Попыток активной эксплуатации пока не замечено, но они не за горами, так как информация уже обнародована.

Согласно бюллетеню SonicWall, проблема актуальна для следующих продуктов:

  • SonicOS 6.5.4.7-79n и ниже;
  • SonicOS 6.5.1.11-4n и ниже;
  • SonicOS 6.0.5.3-93o и ниже;
  • SonicOSv 6.5.4.4-44v-21-794 и ниже;
  • SonicOS 7.0.0.0-1.

Обновления уже доступны, их следует установить в кратчайшие сроки.

Поиск по Shodan, проведенный в Tripwire на момент обнаружения уязвимости, показал, что в интернете присутствуют 795 357 потенциально уязвимых хостов. Эксперты Positive Technologies чуть позже получили более скромный, но все равно тревожный результат — около 460 000. Если нет возможности быстро применить патч, VPN-портал лучше отключить от интернета, пока ситуация не будет исправлена.

Торвальдс охладил хайп: Rust и ИИ не спасут Linux от плохого кода

Линус Торвальдс снова разложил всё по полкам и без лишнего поклонения модным технологиям. На Open Source Summit India 2026 создатель Linux рассказал, что ядро развивается без блокбастерных релизов: не резкие скачки, а спокойное постоянное улучшение. Такой подход он предпочитает с тех пор, как появился Git.

По словам Торвальдса, ИИ начал находить интересные баги, и это заметно напрягает сообщество.

Проблема не только в реальных уязвимостях, но и в мусоре: LLM могут генерировать отчёты, которые выглядят правдоподобно, но оказываются галлюцинациями. Людям потом приходится тратить время, чтобы доказать, что ошибки на самом деле не существует.

Торвальдс признал, что сам почти не пишет код и теперь скорее руководит разработкой, чем программирует. Его работа — понимать общий смысл изменений, разбирать пулл-реквесты и следить, чтобы в ядро не прилетало что попало в последний момент. Технические баги, говорит он, чинить проще, чем человеческие конфликты.

Отдельно досталось Rust. Торвальдс считает язык интересным, но не верит, что он захватит мир. По его словам, Rust помогает избежать части простых ошибок, характерных для C, но не спасает от плохой логики. Если программист написал неправильный код, язык за него думать не начнёт. А в смешанных C/Rust-проектах гарантии Rust работают только там, где код действительно остаётся внутри Rust-модулей.

ИИ Торвальдс тоже не списывает со счетов. Он использует LLM для собственных небольших проектов и прототипов, но для исправлений уровня ядра Linux, по его мнению, такие инструменты пока недостаточно надёжны. Если ИИ нашёл баг, мало просто закинуть отчёт разработчикам, нужен человек, который проверит проблему, предложит патч и доведёт обсуждение до результата.

RSS: Новости на портале Anti-Malware.ru