В популярном софте для создания печатных плат найдены 10-балльные дыры

В популярном софте для создания печатных плат найдены 10-балльные дыры

В популярном софте для создания печатных плат найдены 10-балльные дыры

Исследователи из Cisco Talos выявили семь уязвимостей в программе Gerbv, предназначенной для разработки и массового производства печатных плат. Шесть проблем признаны критическими, четыре из них получили по 10 баллов из 10 возможных по шкале CVSS.

Приложение Gerbv с открытым исходным кодом позволяет просматривать, печатать и отображать файлы в форматах, которые обычно используют САПР ПП, — Gerber RS-274X (для фотоплоттера), Excellon (для сверлильного станка), CSV pick and place (для автоматической установки компонентов). Конвертируя такие файлы в PNG, PS, SVG, PDF, разработчик имеет возможность по изображению в браузере удостовериться, что переданная производителю конструкция верна.

Программа для просмотра файлов Gerbv изначально была заточена под Linux, но доступна также в Windows-версии. С сервиса SourceForge ее скачали более 1 млн раз.

Все найденные экспертами уязвимости возникли из-за некорректной реализации функции, используемой для открытия файлов производственных форматов. Эксплойт во всех случаях осуществляется с помощью специально созданного файла и не требует высоких привилегий или взаимодействия с пользователем.

Уязвимости 

  • CVE-2021-40391 (запись за границами буфера), 
  • CVE-2021-40393 (запись за границами буфера), 
  • CVE-2021-40394 (целочисленное переполнение) и 
  • CVE-2021-40401 (использование освобожденной памяти) 

позволяют выполнить в системе сторонний код. Все они оценены в 10 баллов CVSS.

Две критические ошибки чтения за границами буфера (CVE-2021-40400 и CVE-2021-40402, по 9,3 балла) грозят раскрытием конфиденциальной информации, как и проблема CVE-2021-40403 умеренной опасности.

Уязвимостям подвержены Gerbv сборки 2.7.0, форки 2.7.1 и 2.8.0, а также вариант кода согласно коммиту b5f1eacd. По данным Cisco Talos, на настоящий момент залатаны только четыре из найденных дыр: CVE-2021-40393, CVE-2021-40394, CVE-2021-40401 и CVE-2021-40403.

Мошенники атакуют пользователей взрослых чатов

В последнее время резко растёт число случаев шантажа пользователей онлайн-чатов для взрослых, где принято обмениваться интимными изображениями. Суммы выкупа в таких схемах доходят до семизначных значений. Злоумышленники проникают в закрытые чаты, получают доступ к личным фото и угрожают опубликовать их в открытом интернете, если не получат деньги.

О новой тенденции в онлайн-криминале сообщают «Известия». По некоторым данным, максимальный размер выкупа может достигать миллиона рублей.

«Анонимность в мессенджерах во многом иллюзорна. Многие ошибочно считают, что, сменив имя и настройки приватности в том же Telegram, они останутся «безликими», но это не так, — рассказал один из источников газеты. — С помощью запрещённых ботов злоумышленники без труда устанавливают ID пользователя, а в утёкших базах могут найти и номер телефона, привязанный к аккаунту.

После установления личности методами OSINT несложно определить круг общения человека, его близких родственников и друзей — люди сами активно делятся этой информацией в соцсетях и на различных платформах. Даже если на фото скрыто лицо девушки, своё тело она узнает без труда, а её спутник жизни сделает соответствующие выводы».

Как отметил сексолог Алексей Вилков, побочной чертой девиаций, связанных с демонстрацией интимных изображений близких, является выраженный страх разоблачения. Именно на этом и играют злоумышленники.

Существуют и другие формы шантажа. Часто вымогательству предшествует мимолётное виртуальное знакомство в популярных сервисах для свиданий. Затем общение, сопровождаемое обменом фотографиями, переносится в мессенджеры. Позднее переписку и изображения оттуда используют для давления на жертву.

Нередко угрозы подкрепляются демонстрацией интимных изображений, созданных с помощью нейросетевых сервисов. До недавнего времени такую возможность предоставлял чат-бот Grok, что в итоге привело к его запрету в ряде стран. Полученные материалы зачастую публиковались в открытом доступе, в том числе на платной основе.

Кроме того, так называемые «раздевающие» сервисы используют и для обработки фотографий, полученных из облачных хранилищ. Особенно тревожной тенденцией стало виртуальное раздевание детей и подростков.

«Всё чаще злоумышленники вынуждают детей участвовать в видеосъёмках с использованием различных манипуляций, а затем угрожают вечным позором перед сверстниками и семьёй, — рассказал источник издания. — Этот инструмент давления преступники используют для достижения самых разных целей. Ребёнка могут заставить стать курьером или фактически «подписать» на тяжкое преступление. Интим-компромат — один из самых сильных рычагов воздействия, известны случаи подростковых суицидов из-за подобного контента, оказавшегося в чужих руках».

Ещё одной заметной тенденцией стали фальшивые сайты для взрослых, зачастую представляющие собой клоны популярных платформ. Через них злоумышленники собирают как персональные и платёжные данные моделей, вводимые при регистрации, так и сам контент.

При этом аферисты тщательно собирают информацию о потенциальных жертвах. Данные получают не только из открытых источников, но и из утёкших баз. Выкуп, как правило, требуют в криптовалюте и нередко — неоднократно. Дополнительную сложность для расследования создаёт тот факт, что преступники часто действуют из других юрисдикций.

RSS: Новости на портале Anti-Malware.ru