В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

Вышедший на прошлой неделе релиз OpenSSH 9.2 содержит патч для уязвимости double-free, привнесенной с изменением кода в июле прошлого года. Эксплойт маловероятен, однако пользователей призывают обновить продукт, так как опасную ошибку можно вызвать на сервере в дефолтной конфигурации (sshd).

Согласно бюллетеню Qualys, проблема CVE-2023-25136 проявляется при попытке подключения по SSH (при выполнении процесса preauth). Ошибка освобождения блока памяти options.kex_algorithms возникает дважды — при выполнении функций do_ssh2_kex() и do_authentication2().

Эксплуатация сложна в исполнении: современные средства распределения памяти обеспечивают защиту от double-free и ее надо как-то обойти. Более того, уязвимый процесс preauth выполняется с низкими привилегиями и обычно в песочнице.

Уязвимости подвержен только выпуск OpenSSH 9.1, более ранним версиям она не страшна. Затронутым пользователям настоятельно рекомендуют перейти на сборку 9.2.

В новом выпуске устранены еще две проблемы в безопасности:

  • возможность пропуска проверки при использовании опции PermitRemoteOpen;
  • возможность модификации файлов known_hosts в ответах DNS-сервера (эксплойт маловероятен).

Наталья Касперская призвала регулировать сливы данных в ChatGPT

Пока сотрудники российских компаний массово загружают документы в ChatGPT и другие ИИ-сервисы, государству пора задуматься о регулировании этой сферы. Такое мнение высказала президент группы компаний InfoWatch и председатель правления ассоциации «Отечественный софт» Наталья Касперская.

Отвечая на вопрос ТАСС о необходимости государственного вмешательства, она была предельно лаконична: «Однозначно».

По мнению Касперской, искусственный интеллект сегодня является одной из самых опасных технологий, созданных человеком за последние десятилетия.

«После ядерной бомбы. Но о рисках никто не говорит», — заявила она.

Повод для беспокойства у представителей отрасли действительно есть. Согласно исследованию компании «Солар», опубликованному в начале года, за 2025 год сотрудники российских организаций передали в публичные ИИ-сервисы в 30 раз больше конфиденциальной информации, чем годом ранее.

Причём речь идёт не о безобидных запросах вроде. В числе данных, которые пользователи отправляли нейросетям, оказались презентации компаний, стратегические документы, аналитические таблицы и даже фрагменты программного кода.

Проблему уже давно называют теневым ИИ по аналогии с теневыми ИТ-сервисами. Формально компания может запрещать использование внешних нейросетей, но сотрудники продолжают пользоваться ими для работы, просто делают это самостоятельно и без контроля со стороны работодателя.

Любопытно, что даже внутри ИБ-сообщества пока нет единого ответа на вопрос, как именно бороться с такими утечками. Ранее глава «Лаборатории Касперского» Евгений Касперский признавал, что универсального решения пока не существует. При этом он напоминал, что за разглашение коммерческой информации в России уже предусмотрена уголовная ответственность.

RSS: Новости на портале Anti-Malware.ru