Критическую брешь в Apache Commons Text сравнивают с Log4Shell

Критическую брешь в Apache Commons Text сравнивают с Log4Shell

Критическую брешь в Apache Commons Text сравнивают с Log4Shell

В библиотеке Apache Commons Text нашлась критическая уязвимость, которую специалисты уже сравнивают с печально известной Log4Shell. К счастью, новая брешь не имеет такого же охвата, как Log4Shell.

Apache Commons Text — Java-библиотека с открытым исходным кодом, созданная для работы со строками. Альваро Муньез из GitHub Security Lab обнаружил баг, связанный с обработкой ненадежных данных и приводящий к выполнению кода.

Проблеме присвоили идентификатор CVE-2022-42889, а разработчики Apache Commons уже подготовили соответствующий патч — с выходом версии 1.10.0.

Поскольку Apache Commons Text используется многими разработчиками и организациями, новую уязвимость поспешили окрестить ещё одной дырой уровня Log4Shell. Поэтому CVE-2022-42889 назвали Text4Shell (другое имя — Act4Shell).

Ряд экспертов не совсем согласен с этой характеристикой. Да, это опасная брешь, но она не дотягивает до уровня Log4Shell, подчеркивают исследователи. Например, команда Rapid7 проанализировала CVE-2022-42889 и пришла к выводу, что нельзя сопоставлять эти две уязвимости.

«Сама суть проблемы говорит нам о том, что в отличие от Log4Shell редко можно будет встретить приложение, использующее уязвимый компонент», — объясняют специалисты.

Проверив PoC-эксплойт на разных версиях JDK, эксперты Rapid7 выяснили, что он отработал как надо только в случае с версиями 9.0.4, 10.0.2 и 1.8.0_341. В Sophos отметили, что эксплуатация CVE-2022-42889 на уязвимых серверах требует определенных усилий.

Тем не менее организациям все равно рекомендуется установить обновления, поскольку демонстрационный эксплойт уже доступен в Сети. Sophos опубликовала ряд рекомендаций для компаний, которые могут быть затронуты Text4Shell.

Минюст: искусственный интеллект нельзя привлечь к уголовной ответственности

Если искусственный интеллект совершит преступление, на скамье подсудимых окажется не нейросеть. Такую позицию озвучил заместитель министра юстиции России Вадим Федоров на Петербургском международном юридическом форуме.

По словам замминистра, ИИ не может считаться субъектом преступления, поскольку не обладает сознанием, собственной волей и правосубъектностью.

Даже если система действует автономно, уголовную ответственность должны нести люди, которые стоят за её созданием и использованием.

Федоров отметил, что в зависимости от обстоятельств речь может идти о разработчиках моделей искусственного интеллекта, правообладателях программного обеспечения, операторах ИИ-систем, владельцах сервисов или конечных пользователях.

Именно поэтому, считает Минюст, необходимо чётко определить зоны ответственности всех участников цепочки. По словам замминистра, соответствующая правоприменительная практика уже начинает формироваться, а в России продолжается работа над отдельным законопроектом, посвящённым искусственному интеллекту.

Кроме того, в министерстве предлагают учитывать использование ИИ при квалификации отдельных преступлений. В частности, Вадим Федоров считает необходимым закрепить в законодательстве использование технологий синтеза голоса и создания реалистичных изображений человека как квалифицирующий признак для ряда составов преступлений.

Иными словами, если преступник использовал дипфейки или подделку голоса для обмана жертвы, это может стать обстоятельством, влияющим на квалификацию деяния и последующее наказание.

По мере того как искусственный интеллект используется в мошеннических схемах, вопрос ответственности за его применение становится одним из ключевых для будущего регулирования этой сферы.

RSS: Новости на портале Anti-Malware.ru