Критическая PHP-уязвимость позволяет удалённо выполнить код на QNAP NAS

Критическая PHP-уязвимость позволяет удалённо выполнить код на QNAP NAS

Критическая PHP-уязвимость позволяет удалённо выполнить код на QNAP NAS

Тайваньский производитель сетевых хранилищ (NAS) QNAP на этой неделе предупредил пользователей о критической уязвимости PHP, которую можно использовать для удалённого выполнения кода. Разработчики в настоящее время готовят патч.

Согласно официальному уведомлению вендора, трёхлетняя брешь затрагивает PHP версий  7.1.x (до 7.1.33), 7.2.x (до 7.2.24) и 7.3.x (до 7.3.11). Проблема кроется в некорректной конфигурации nginx.

Уязвимость получила идентификатор CVE-2019-11043 и 9,8 балла из 10 по шкале CVSS. Для успешной эксплуатации должны быть запущены Nginx и php-fpm в следующих версиях операционной системы QNAP:

  • QTS 5.0.x и более поздние версии.
  • QTS 4.5.x и более поздние.
  • QuTS hero h5.0.x и более поздние.
  • QuTS hero h4.5.x и более поздние.
  • QuTScloud c5.0.x и более поздние.

«В QTS, QuTS hero и QuTScloud нет установленного nginx по умолчанию, так что в изначальном состоянии QNAP NAS не затронуты упомянутой уязвимостью», — подчёркивает QNAP.

Напомним, что пользователям QNAP NAS докучает программа-вымогатель DeadBolt, счёт жертвам которой в конце января уже пошёл на тысячи. Операторы шифровальщика, к слову, предлагали QNAP выкупить мастер-ключ за 50 BTC.

Подпишитесь на новости

Google Play Store готовит отдельный раздел для приложений, созданных ИИ

Google, похоже, решила превратить вайб-кодинг из развлечения для энтузиастов в полноценный конвейер Android-приложений. В коде Play Store обнаружили новый раздел Your creations, где пользователи смогут находить проекты, созданные с помощью Google AI Studio.

Следы функции появились в версии Google Play 53.2.23-34. Новый пункт размещён на экране Manage apps & device и ведёт к персональной коллекции ИИ-приложений. Пока кнопка Try it now просто открывает мобильную версию AI Studio в браузере.

О находке сообщает Android Authority, изучившая код приложения. Авторы предполагают, что позднее ссылка может вести в Gemini: Google ранее отказалась от отдельного мобильного клиента AI Studio и решила встроить его инструменты создания приложений прямо в своего ИИ-ассистента.

 

 

Сейчас разработанный в AI Studio проект можно выгрузить и установить вручную либо отправить в Google Play через Play Console. Второй путь требует регистрации разработчика, тестирования и прохождения стандартной процедуры публикации. Your creations может стать промежуточным вариантом — аккуратным каталогом личных экспериментов.

Интерфейс также упоминает возможность поделиться со всеми. Вот здесь начинается самое интересное: пока непонятно, смогут ли другие пользователи устанавливать такие приложения и придётся ли ИИ-самоделкам проходить обычную проверку Play Store.

Если Google действительно упростит публичное распространение, компании придётся разобраться с разрешениями, вредоносным кодом, копированием чужих проектов и авторами, которые понятия не имеют, что именно сгенерировала нейросеть.

Функция пока не запущена, а Google её официально не анонсировала. APK-разбор показывает лишь экспериментальный интерфейс, который может измениться или исчезнуть.

RSS: Новости на портале Anti-Malware.ru