Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Компания Zyxel выпустила обновления прошивки для межсетевых экранов, чтобы пользователи могли устранить две уязвимости. Одна из них позволяет локально повысить привилегии до root, однако в атаках ее можно использовать лишь при наличии возможности удаленного исполнения кода.

Согласно бюллетеню вендора, уязвимость повышения привилегий, получившая идентификатор CVE-2022-30526, была выявлена в CLI-интерфейсе некоторых файрволов. С ее помощью пользователь с минимальными правами в системе может перезаписать файл crontab, используемый планировщиком Cron, и выполнить некоторые системные команды на уровне root.

Проблему обнаружил исследователь из Rapid7; по его словам, находка бесполезна, если ее не связать с RCE-уязвимостью вроде CVE-2022-30525, эксплойт которой позволяет получить шелл-доступ к системе. К счастью, Zyxel закрыла эту лазейку еще в конце апреля, и многие пользователи, по данным ИБ-компании, уже применили патч.

Вторая, менее опасная уязвимость (CVE-2022-2030) возникла из-за неадекватной санации URL в интерфейсе стандарта GLI и классифицируется как выход за пределы рабочего каталога, возможный после аутентификации. Как выяснил The Daily Swig, подробности по уговору с Zyxel будут опубликованы в середине следующего месяца.

Патчи предназначены для серийных файрволов USG Flex, ATP, VPN и комплексов USG/ZyWall. Пользователям рекомендуется обновить прошивки для оптимизации защиты.

Минцифры готовится стать главным по искусственному интеллекту в России

Минцифры планируют официально наделить полномочиями по развитию и регулированию искусственного интеллекта в России. Ведомство будет анализировать большие фундаментальные модели, разрабатывать меры поддержки отрасли и помогать чиновникам внедрять нейросети в государственное управление.

Соответствующий проект постановления опубликован для общественного обсуждения.

Документ вносит изменения в положение о Минцифры, действующее с 2008 года. Если проект примут, министерство займётся анализом развития больших фундаментальных моделей и подготовкой предложений по совершенствованию правил их создания, внедрения и использования.

Отдельным направлением станет стимулирование российских ИИ-разработок. Какие именно меры поддержки предложит ведомство, пока не уточняется. Зато круг ответственности уже выглядит внушительно: от наблюдения за развитием моделей до формирования условий, в которых они должны расти, работать и желательно не устраивать регулятору сюрпризов.

Минцифры также будет оказывать методическую поддержку федеральным, региональным и муниципальным органам. Проще говоря, ведомство должно объяснять госструктурам, куда встраивать ИИ, как его применять и каким образом добиться от технологии реальной эффективности.

Изменения связаны с законом «О поддержке развития технологий искусственного интеллекта в РФ», основные положения которого вступили в силу 1 сентября 2026 года. Сам закон предусматривает наличие уполномоченного федерального органа в сфере ИИ, но напрямую его не называет. Теперь правительство собирается закрепить эту роль за Минцифры.

Как отмечают опрошенные ComNews юристы, проект практически дословно переносит предусмотренные законом полномочия в положение о министерстве.

RSS: Новости на портале Anti-Malware.ru