В API Drupal устранили обход прав доступа и возможность перезаписи данных

В API Drupal устранили обход прав доступа и возможность перезаписи данных

В API Drupal устранили обход прав доступа и возможность перезаписи данных

Разработчики CMS-системы Drupal выпустили обновления в ветках 9.2 и 9.3, чтобы устранить две уязвимости. Одна из них позволяет обойти контроль доступа к редакциям сущностей, другая — изменить критичные либо конфиденциальные данные. Степень опасности угрозы в обоих случаях оценена как умеренная.

Проблема обхода ограничений на доступ, согласно бюллетеню, возникла из-за неполной интеграции Entity API с существующими разрешениями. В результате пользователи с типовым доступом на редактирование контент-сущностей получили возможность выборочно модифицировать данные в базах нодов и медиаконтента.

Данная уязвимость присутствует только в Drupal 9.3.х и актуальна для сайтов, на которых управление состояниями осуществляется через редакции Drupal. Пользователям рекомендуется установить обновление 9.3.12.

Причиной появления возможности внести нежелательные изменения через Form API является неадекватная проверка ввода. Уязвимость проявляется при обработке некоторых сторонних или кастомных форм в модуле ядра (стандартные формы Drupal она не затрагивает).

Эксплойт позволяет внести недопустимые значения в поля формы или перезаписать данные, которые могут оказаться критически важными. Патчи включены в состав сборок 9.3.12 и 9.2.18, бэкпорта для продуктов с истекшим сроком поддержки не предвидится. В Drupal 7 эта дыра отсутствует.

Copilot научится искать пожирателей памяти в Windows 11, первым найдёт себя

Microsoft тестирует для Windows 11 новую функцию Copilot под названием PC Insights. Суть будет в следующем: пользователь спрашивает, что происходит с компьютером, а ИИ смотрит на загрузку процессора, оперативной памяти, видеокарты, состояние накопителей и подключенных устройств.

Copilot сможет отвечать на вопросы вроде: «Сколько у меня свободного места?», «Потянет ли компьютер игру на 100 Гбайт?», «Какая у меня видеокарта?», «Работает ли антивирус?» и «Почему система тормозит?».

Для этого он получит доступ к системным данным Windows, включая сведения о CPU, RAM, GPU, BIOS, батарее, Wi-Fi, Bluetooth, USB-устройствах, принтерах и веб-камерах.

 

В Microsoft уверяют, что функция будет добровольной. Перед доступом к данным Copilot должен запросить разрешение. Можно выбрать режим «спрашивать каждый раз» или разрешить постоянный доступ.

При этом исправлять проблемы ИИ пока не сможет — только читать показатели и объяснять, что пошло не так. Личные файлы и системные сведения, по версии Microsoft, не будут использоваться для обучения моделей. А вот запросы и ответы могут пойти на улучшение Copilot (в зависимости от настроек).

Главная ирония в другом. Copilot собираются использовать для поиска пожирателей ресурсов, но он сам оказался весьма прожорливым. После запуска приложение может занимать около 800 Мбайт, а иногда и почти 1 Гбайт оперативной памяти, даже когда ничего не делает.

 

Причина — очередная перестройка сервиса. Copilot снова превратили в веб-приложение и упаковали вместе с отдельной копией Microsoft Edge. В диспетчере задач он теперь даже может отображаться как браузер.

RSS: Новости на портале Anti-Malware.ru