Дыра в пакетном менеджере Composer позволяла атаковать цепочки поставок

Дыра в пакетном менеджере Composer позволяла атаковать цепочки поставок

Дыра в пакетном менеджере Composer позволяла атаковать цепочки поставок

Разработчики Composer, пакетного менеджера для PHP, выпустили обновление, устраняющее критическую уязвимость. В случае эксплуатации эта брешь позволяет атакующим выполнить произвольные команды и «пробэкдорить» каждый PHP-пакет. Другими словами, открывался вектор для атак на цепочки поставок.

Критическая дыра получила идентификатор CVE-2021-29472, о ней на прошлой неделе сообщили специалисты компании SonarSource. К чести разработчиков стоит отметить, что срочный патч вышел менее чем за 12 часов.

«Мы устранили уязвимость в HgDriver/HgDownloader, допускающую внедрение команд, а также усилили защиту других драйверов и загрузчиков VCS», — пишут представители Composer в заметках об обновлении.

По словам экспертов SonarSource, причина бреши кроется в способе обработки URL, по которым загружается исходный код пакетов. Для демонстрации эксплуатации уязвимости исследователи создали URL вредоносного репозитория Mercurial.

«Уязвимость в настолько важном компоненте имеет крайне серьёзное значение, поскольку он ежемесячно обслуживает более 100 млн запросов метаданных пакетов. Полученный в результате атаки доступ злоумышленники могут использоваться для кражи учётных данных разработчиков», — отметили в SonarSource.

После запуска 5G мобильный интернет в России ускорился на 15-30%

После запуска 5G мобильный интернет в России ускорился в среднем на 15-30% по сравнению с LTE. Не гигабитная телепортация, которую рисовали в презентациях, но сайты и видео уже должны загружаться бодрее, следует из данных операторов и экспертов. «Мегафон» оценил средний прирост скорости в 18-20%, а «Билайн» зафиксировал ускорение до 30%.

По данным сервиса «Мегабитус», основанным на сотнях тысяч пользовательских замеров, средний показатель вырос примерно на 15%. Эксперты «Телеком биржи» говорят примерно о 20%, отмечают «Ведомости».

Отдельные результаты выглядят заметно веселее. В Екатеринбурге Т2 разогнал 5G до 644 Мбит/с, а другие операторы показали от 360 Мбит/с. В некоторых локациях новая сеть уже оказывается быстрее LTE в четыре-пять раз.

Почему тогда общий прирост гораздо скромнее? Пока российский 5G работает в режиме Non-Standalone и использует частоты и инфраструктуру LTE. Это нормальный первый этап: операторам не приходится сразу строить полностью новую сеть, но и максимальные возможности технологии остаются на потом. Полноценный standalone 5G, по оценкам экспертов, обеспечивает в среднем на 62% более высокую скорость загрузки.

Коммерческие сети пятого поколения заработали 11 сентября в 16 городах с потенциальным охватом около 10 млн человек. Покрытие пока точечное, поэтому скорость зависит от расстояния до базовой станции, её нагрузки и того, успел ли пользователь вообще попасть в зону 5G.

Следующий большой рывок ожидается с 2027 года, когда операторы начнут запускать гигабитные сети в диапазоне 4,63-4,99 ГГц на российских базовых станциях. Владельцам Android доступ обещают открыть в ближайшее время. Пользователям iPhone остаётся ждать решения Apple, Минцифры уже ведёт переговоры.

RSS: Новости на портале Anti-Malware.ru