Уязвимость библиотеки Rust грозит удалением системных файлов и папок

Уязвимость библиотеки Rust грозит удалением системных файлов и папок

Уязвимость библиотеки Rust грозит удалением системных файлов и папок

Кураторы проекта обновили стандартную библиотеку языка Rust, устранив уязвимость, позволяющую злоумышленнику удалить системные файлы или каталог по своему выбору.

Согласно информационному бюллетеню, уязвимость CVE-2022-21658, оцененная в 7,3 балла по CVSS, связана с возможностью атаки TOCTOU (Time-of-Check Time-of-Use) во время выполнения функции std::fs::remove_dir_all. Из-за некорректной реализации обработки симлинков возникает состояние гонки между проверкой этого условия и использованием результатов — стиранием данных.

Как оказалось, вместо блокировки перехода по символическим ссылкам функция remove_dir_all() вначале проверяет, является ли целевой объект таким указателем. При положительном результате файл удаляется, в противном случае происходит запуск рекурсивного удаления содержимого каталога; таким образом, эта операция выполняется с небольшой задержкой.

В итоге злоумышленник с минимальными правами в системе может отыскать в ней подходящее привилегированное приложение, создать папку временных файлов и в нужный момент заменить ее симлинком. Успех атаки в данном случае зависит от точности выбора времени подмены; в случае успеха эксплойт отрабатывает за несколько секунд.

Уязвимости подвержены все выпуски Rust с 1.0.0 по 1.58.0. Патч включен в состав обновления 1.58.1, вышедшего на прошлой неделе, и доступен для ряда кастомных средств программирования. Примечательно, что установка заплатки не способна решить проблему в ОС REDOX и macOS версий ниже 10.10 (Yosemite).

Суд признал банкротом российскую дочку Microsoft

Арбитражный суд Москвы признал банкротом российскую дочку Microsoft — ООО «Майкрософт Рус» — и открыл конкурсное производство. Это финальная стадия процедуры банкротства, которая фактически означает распродажу активов для расчётов с кредиторами.

Процесс начался ещё в сентябре 2025 года, тогда компания сама подала заявление о банкротстве.

Как сообщал её представитель в суде, на тот момент неисполненные обязательства превышали 1,5 млрд рублей. Конкурсным управляющим назначен Андрей Соломонов из ассоциации «Достояние».

Причины ситуации довольно ожидаемы. После 2022 года Microsoft приостановила продажи продуктов и услуг в России. При этом «Майкрософт Рус» какое-то время продолжала оказывать техническую поддержку.

Но со временем клиентов практически не осталось: к 2025 году у компании был всего один заказчик, который тоже прекратил сотрудничество. В итоге бизнес перестал приносить доход, и компания сама запустила процедуру банкротства.

Интересно, что ещё по отчётности за 2024 год в Microsoft подчёркивали: вопрос о ликвидации российской дочки не рассматривается. Однако на практике компания фактически уже не вела полноценной деятельности.

Общая картина по Microsoft в России тоже выглядит сдержанно. По данным ФНС, выручка четырёх российских дочек корпорации в 2025 году снизилась почти на треть — на 29,5%, до 117,3 млн рублей. Для сравнения: годом ранее она составляла 166,5 млн рублей.

Больше всего дохода в 2025 году принесла структура «Майкрософт пейментс рус» — около 70,4 млн рублей. При этом в апреле 2025 года компания привлекла займ на 300 млн рублей у ирландской «дочки» Microsoft Global Finance ULC под 2,5% годовых.

Таким образом, история «Майкрософт Рус» подошла к логическому завершению: после сворачивания бизнеса и ухода ключевых клиентов компания не смогла продолжать работу и перешла в стадию банкротства.

RSS: Новости на портале Anti-Malware.ru