В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

Разработчики десктопной Ubuntu выпустили обновления с новым пакетом gdm3, устраняющим опасную уязвимость в оконном менеджере GNOME. В связке с одним из двух багов службы AccountsService, тоже пропатченными, она позволяет выполнить любой код в системе с правами root. Эксплуатация новых уязвимостей возможна лишь при наличии физического доступа к устройству и действующего аккаунта.

Программа GNOME реализует функции управления окнами на экране компьютера и в числе прочего отвечает за вывод экрана входа в систему. Согласно бюллетеню, причиной появления уязвимости CVE-2020-16125 в GDM является неправильный запуск программы начальной настройки (gnome-initial-setup) в том случае, когда демон службы AccountsService недоступен через DBus.

Оконный менеджер может инициировать старт начальной настройки, если не обнаружит в системе ни одной учетной записи. Данные о наличии таковых он запрашивает, обращаясь к accounts-daemon. Если этот процесс не отвечает, GDM сочтет, что учетные записи отсутствуют, и запустит утилиту gnome-initial-setup, через которую можно зарегистрировать новый аккаунт с привилегиями суперпользователя.

Уязвимость устранена в GNOME 3.28.3, 3.36.2 и 3.38.2. Соответствующие обновления уже доступны для Ubuntu версий 20.10, 20.04 и 18.04.

Как оказалось, проблемой CVE-2020-16125 можно воспользоваться, принудительно завершив процесс accounts-daemon. В этом демоне, работающем с правами root, обнаружены два бага, позволяющие это сделать без особого труда.

 

Уязвимость CVE-2020-16126 возникла из-за неправильного сброса привилегий (атрибута ruid) при обработке некоторых вызовов DBus; ошибка CVE-2020-16127 проявляется при обработке пользовательских файлов .pam_environment. Эксплуатация в обоих случаях позволяет вызвать сбой или зависание accounts-daemon, приводящие к отказу в обслуживании (DoS).

Названные проблемы затрагивают Ubuntu 20.10, 20.04, 18.04, 16.04 и 14.04 (наличие CVE-2020-16127 подтверждено только в Ubuntu 20.04 LTS и Ubuntu 20.10) и уже устранены.

В WhatsApp появится приватный режим для разговоров с ИИ

Meta (признана экстремисткой и запрещена в России) добавит в WhatsApp возможность запускать приватные разговоры с чат-ботом Meta AI. Компания обещает, что такие сессии не будут сохраняться, а сообщения исчезнут после закрытия чата.

Новый режим можно будет включить через отдельную иконку в личном чате с Meta AI. Позже он появится и в самостоятельном приложении Meta AI. Развёртывание функции в WhatsApp и Meta AI App займёт несколько месяцев.

В Meta объясняют, что пользователи всё чаще обращаются к ИИ с личными вопросами — от финансов и здоровья до советов по сложным перепискам с друзьями или коллегами. Поэтому компания хочет дать возможность задавать такие вопросы более приватно.

Инкогнито-сессия будет завершаться, если пользователь закроет чат, заблокирует телефон или выйдет из приложения. После этого Meta AI потеряет контекст разговора и не сможет продолжить беседу с учётом предыдущих сообщений.

Для работы таких чатов Meta использует инфраструктуру private processing. Корпорация рассказывала о ней в прошлом году: она нужна для запуска ИИ-функций в WhatsApp без нарушения сквозного шифрования. На этой архитектуре уже работают, например, ИИ-сводки сообщений.

По словам Meta, новый режим использует модель Muse Spark, представленную в прошлом месяце. Ранее для некоторых ИИ-функций в WhatsApp применялись более компактные модели.

Компания также готовит ещё одну функцию — Side Chat. Она позволит обращаться к Meta AI прямо внутри обычных переписок, но так, чтобы другие участники чата не видели запрос и ответ. Сейчас для общения с ИИ в групповом или личном чате нужно явно упоминать ассистента, и ответ видят все участники.

Meta выходит с приватными ИИ-чатами на рынок, где похожие режимы уже есть у ChatGPT и Claude. Кроме того, свои приватные чат-боты развивают DuckDuckGo и Proton.

Тема приватности ИИ-переписок становится всё важнее: пользователи всё чаще обсуждают с чат-ботами чувствительные темы, а юристы уже предупреждают, что такие диалоги в отдельных случаях могут всплывать в судебных разбирательствах.

RSS: Новости на портале Anti-Malware.ru