Ростелеком всерьез взялся за сервисы управления данными

Ростелеком всерьез взялся за сервисы управления данными

Ростелеком всерьез взялся за сервисы управления данными

Ростелеком” выводит направление, разрабатывающее сервисы управления данными, в отдельный бизнес. Подобные разработки от ушедших из России SAP и Oracle используют консалтинговые компании. Компанию “Тдата” создали в конце года, ее возглавил один из топ-менеджеров оператора.

О выведение нового бизнеса в отдельную ветку пишет “Ъ”. По данным ЕГРЮЛ, структура “Ростелекома” ООО РТК ИТ в ноябре 2022 года учредила компанию “Тдата”. Ее возглавил директор по продажам блока по управлению данными “Ростелекома” Станислав Лазуков.

Работа по обособлению бизнеса ведется совместно с одним из партнеров “Ростелекома”, какого именно — пока неизвестно. В самом “Ростелекоме” от комментариев отказались.

Оператор разрабатывал технологические сервисы по управлению данными с 2017 года, в июне 2021 года он начал предлагать их сторонним заказчикам под брендом “Платформа управления данными”.

В состав платформы входят системы управления основными данными (MDM), построения хранилищ данных и т. д.

“Ростелеком” предлагает их и как облачный сервис, и для установки на серверах заказчика. На мировом рынке подобные инструменты разрабатывают SAP и Oracle, а маркетинговые, аналитические и консалтинговые фирмы (Accenture, NielsenIQ и т. д.) внедряют их у заказчиков вместе со своей методологией.

Все упомянутые зарубежные компании покинули российский рынок после 24 февраля. В октябре “Ростелеком” объявил, что Axenix (российская структура до апреля 2022 года, входившая в международную сеть Accenture) будет разрабатывать на “Платформе управления данными” все свои ИТ-продукты для бизнеса. Один из компонентов платформы “Ростелекома” использует принадлежащий ему оператор Tele2.

Продукты для управления данными развиваются десятилетиями, в первую очередь для крупных предприятий, говорит директор управления реализации сервисов Softline Александр Пилипчук. По его словам, миграция с одной платформы на другую — “дело нетривиальное”, так как они тесно интегрированы с корпоративными информационными системами.

“Компании строили бизнес на этих решениях и эволюционировали вместе с ними”, — объясняет Пилипчук.

Создание отдельной компании под «Платформу управления данными» выглядит логичным, потому что “принимать решения в масштабе "большого" "Ростелекома" неоперативно”, добавляет глава совета директоров “Базальт СПО” Алексей Смирнов.

Вторая компания, по его словам, обычно привлекается ради экспертизы: “Если же речь идет о якорном заказчике, то вендор при готовности внедрить свое решение сможет рассчитывать и на господдержку”.

Обособление бизнеса может повысить интерес к разработке со стороны не принадлежащих “Ростелекому” операторов, полагает гендиректор TelecomDaily Денис Кусков. По его словам, структура может стать единой точкой входа как для внешних заказчиков, так и для внутренних нужд компании.

Добавим, в конце года “Ростелеком” сообщил о полном переходе на поставки российских серверов. Компания тысячами закупает Yadro и "Аквариус", заявил тогда глава корпорации Михаил Осеевский. Серверы используют в ЦОДах и для частных инвесторов.

Подпишитесь на новости

Один клик администратора может отдать WordPress-сайт злоумышленнику

В ядре WordPress обнаружили цепочку уязвимостей Click2Shell, которая позволяет удалённо выполнить PHP-код на сервере без учётной записи атакующего. Для захвата сайта достаточно, чтобы авторизованный администратор открыл специально подготовленную ссылку.

Проблему нашёл исследователь pwn.ai Паулос Йибело. Согласно техническому отчёту, WordPress по-разному обрабатывал один и тот же параметр ссылки предпросмотра темы.

API каталога очищал значение и находил легитимную тему, а JavaScript в браузере администратора вставлял исходную строку в jQuery-селектор без должного экранирования.

В результате подготовленный URL заставлял интерфейс WordPress самостоятельно нажать кнопку установки. Администратор при этом не выбирал ни «Установить», ни «Активировать», а тема оставалась неактивной и внешне сайт продолжал работать как обычно.

Для полноценного RCE исследователи добавили второй компонент — уязвимую тему Mobile Repair Zone 2.5.4 из официального каталога. Во время предпросмотра WordPress загружал её PHP-код, после чего небезопасный AJAX-обработчик позволял скачать и выполнить произвольный плагин.

Дальше атакующий мог читать wp-config.php, красть ключи и данные БД, менять файлы, создавать администраторов и внедрять скрипты. Атака не является полностью автоматической: ссылку должен открыть вошедший в систему администратор.

Роли Author и Editor нужных полномочий не имеют. Доставить URL можно через целевой фишинг или уже существующую XSS-уязвимость.

WordPress закрыл дыру в версии 7.1.1 и выпустил патчи для поддерживаемых старых веток. Поскольку подробности и PoC уже опубликованы, откладывать обновление нельзя. Временной страховкой может стать DISALLOW_FILE_MODS, запрещающий установку тем и плагинов, но нормальное лекарство всё то же — патч.

RSS: Новости на портале Anti-Malware.ru