Уязвимость Squirrel Engine ставит под удар миллионы поклонников CS:GO

Уязвимость Squirrel Engine ставит под удар миллионы поклонников CS:GO

Уязвимость Squirrel Engine ставит под удар миллионы поклонников CS:GO

Проверка качества кода рамочного движка Squirrel Engine выявила уязвимость, грозящую побегом из песочницы (VM) и захватом контроля над сервером. Проблема уже решена, но стабильная версия с патчем пока не вышла.

Скриптовый язык программирования Squirrel широко используется в видеоиграх и облачных сервисах для кастомизации и разработки плагинов. Так, фреймворк Squirrel Engine позволяет многомиллионной аудитории Portal 2 и Counter-Strike: Global Offensive создавать свои моды и карты и расшаривать их в сообществе. Сценарии Squirrel в ходу также на IoT-платформах (Electric Imp Cloud) и в распределенной обработке данных (Enduro/X).

Уязвимость CVE-2021-41556 в статической библиотеке Squirrel Engine обнаружили аудиторы из швейцарской компании SonarSource. Согласно описанию, первопричиной в данном случае является ошибка чтения за пределами выделенного буфера, которая возникает при исполнении недоверенного кода.

Проблема позволяет выйти за пределы виртуальной машины Squirrel и получить доступ к компьютеру, на котором она установлена. Злоумышленник может, к примеру, внедрить вредоносный Squirrel-скрипт в карту для CS:GO и выложить ее через Steam Workshop в общее пользование. Эксплойт отработает, когда кто-нибудь скачает зараженный предмет, и обеспечит автору атаки полный контроль над чужим сервером.

Наличие уязвимости подтверждено для Squirrel веток 2.x и 3.x (последняя официальная версия, 3.1, вышла в 2016 году). Авторы проекта Squirrel Engine внесли соответствующие изменения в исходный код на GitHub, но в стабильной ветке они пока не появились. Тем, кто полагается на такие скрипты, рекомендуется перекомпилировать свой продукт, используя опубликованные исправления.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Крупные ИТ-компании обяжут помогать профильным вузам

Крупные ИТ-компании с 1 июня 2026 года могут обязать заключать соглашения с профильными вузами о финансовой поддержке и иных формах содействия в подготовке кадров. Это станет новым обязательным условием аккредитации, которая обеспечивает компаниям ряд льгот: от налоговых послаблений до поддержки сотрудников, включая льготную ипотеку и отсрочку от призыва.

Как сообщают «Ведомости», инициативу озвучил заместитель министра цифрового развития, связи и массовых коммуникаций Сергей Кучушев на форуме «Цифровые решения».

Ранее о необходимости подобного механизма говорил первый вице-премьер Дмитрий Григоренко. Он предлагал направлять на поддержку образования 5% средств, которые компании экономят благодаря мерам государственной поддержки, в первую очередь — нулевой ставке НДС.

Министр цифрового развития Максут Шадаев сообщал о подготовке подобного требования ещё в августе 2024 года. А в феврале 2025 года Минцифры дополнило перечень условий для аккредитованных ИТ-компаний пунктом об участии в разработке образовательных программ для вузов и колледжей, включая учебные курсы и стажировки.

Как отметили «Ведомостям» представители таких вузов, как ИТМО, МИФИ и МГТУ им. Н. Э. Баумана, сотрудничество с ИТ-компаниями уже сейчас активно развивается именно в этих форматах. Специалисты из отрасли проводят занятия, а компании финансируют оснащение лабораторий оборудованием и программным обеспечением.

По словам Сергея Кучушева, требование будет закреплено в правительственном постановлении, которое сейчас находится в разработке. Для подтверждения аккредитации ИТ-компании должны будут предоставлять соглашения с вузами и ссузами. Подробный порядок взаимодействия утвердят не позднее чем через три месяца после выхода документа.

В пресс-службе Минцифры уточнили, что нововведение коснётся только крупных аккредитованных ИТ-компаний с выручкой более 1 млрд рублей в год и численностью сотрудников не менее 100 человек.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru