Десятки уязвимостей в пакетах NuGet позволяют атаковать платформу .NET

Десятки уязвимостей в пакетах NuGet позволяют атаковать платформу .NET

Десятки уязвимостей в пакетах NuGet позволяют атаковать платформу .NET

Анализ пакетов, хранящихся в репозитории NuGet, выявил 51 уязвимый программный компонент. Оказалось, что обнаруженные уязвимости не только крайне опасны своим наличием, но и активно используются в кибератаках.

Специалисты компании ReversingLabs подчёркивают, что такие бреши как нельзя лучше объясняют растущее число киберинцидентов, в которых злоумышленники атакуют цепочку поставок софта.

NuGet — специальный механизм для платформы .NET, поддерживаемый Microsoft. Он работает в качестве менеджера пакетов и позволяет разработчикам делиться между собой многократно используемым кодом.

Фреймворк содержит центральный репозиторий, в котором хранится более 264 000 уникальных пакетов. В общей сумме эти пакеты генерируют более 109 миллиардов загрузок.

«Все обнаруженные в ходе нашего исследования софтверные компоненты оказались разными версиями программ 7Zip, WinSCP и PuTTYgen. Разработчики постоянно обновляют их, добавляя функциональность и устраняя ряд уязвимостей», — объясняет Карло Занки из ReversingLabs.

«Однако иногда случается так, что пакеты продолжают использовать старые уязвимые зависимости, даже регулярно обновляясь».

 

Например, в одном из случаев библиотека WinSCPHelper, которую скачали более 35 тыс. раз, использовала старую и уязвимую версию WinSCP 5.11.2. При этом WinSCP 5.17.10 вышла ещё в январе, а в ней был патч для критической уязвимости CVE-2021-3331.

«Разработчики софта должны учитывать подобные риски и больше углубляться в процесс создания программ. Код всегда должен соответствовать определённому уровню», — подводит итог Занки.

Мошенники за рубежом охотно перенимают схему Долиной

На популярном у россиян острове Бали местные мошенники начали активно использовать схему, напоминающую «казус Долиной». Они выступают посредниками при аренде недвижимости, хотя не имеют права сдавать эти объекты. С подобным мошенничеством уже столкнулась жительница Новосибирска.

По ее словам, семья арендовала виллу через агента, который представился родственником владельцев. Договор аренды был заключен сразу на год.

О распространении такой схемы сообщает РИА Новости со ссылкой на пострадавших.

Однако, когда семья приехала на отдых, появился настоящий владелец и заявил, что денег за аренду не получал, а посредник не имеет к нему никакого отношения:

«Он просто повесил на дом замок и сказал, что мы заплатили не тому человеку. По его словам, деньги получил только агент, с которым они больше не сотрудничают. Теперь нам предлагают съехать и самостоятельно требовать деньги обратно у этого агента».

Как отмечает РИА Новости, этот случай не единичный. По аналогичной схеме были обмануты несколько россиян из разных регионов, пытавшихся арендовать жилье на Бали. Встречаются и ситуации, когда один и тот же объект одновременно сдают сразу нескольким туристам.

В России мошенники при аренде недвижимости обычно используют другие схемы. Чаще всего они стремятся получить предоплату, заманивая жертву большой скидкой, а затем исчезают.

Осенью 2025 года появилась схема, при которой злоумышленники выдают себя за собственников объекта и просят перевести деньги за аренду по новым реквизитам. Встречаются также варианты с бронированием несуществующих объектов.

RSS: Новости на портале Anti-Malware.ru