SAP устранила критические уязвимости в Business Intelligence и NetWeaver

SAP устранила критические уязвимости в Business Intelligence и NetWeaver

SAP устранила критические уязвимости в Business Intelligence и NetWeaver

Мартовский набор обновлений для продуктов SAP SE суммарно закрывает 19 уязвимостей. Пять проблем разработчик оценил как критические, админам рекомендуется установить соответствующие патчи в кратчайшие сроки.

Согласно сообщению SAP (PDF), прежде всего следует закрыть опасные дыры в компонентах платформы бизнес-аналитики BusinessObjects Business Intelligence (BI) и серверах веб-приложений NetWeaver AS.

В этих продуктах выявлены следующие критические уязвимости:

  • CVE-2023-25616 (9,9 балла CVSS) — возможность инъекции кода в веб-интерфейсе CMC платформы BI (версии 420 и 430) грозит несанкционированным доступом к ресурсам, требующим высоких привилегий;
  • CVE-2023-23857 (9,8 балла CVSS) — неадекватный контроль доступа к Java-стеку NetWeaver AS версии 7.50 (отсутствие аутентификации) позволяет читать и изменять конфиденциальную информацию, а также вызвать в системе состояние отказа в обслуживании (DoS);
  • CVE-2023-27269 (9,6 балла) — возможность выхода за пределы рабочего каталога в ABAP-стеке NetWeaver AS ряда версий позволяет перезаписать любой системный файл без прав администратора;
  • CVE-2023-27500 (9,6 балла) — обход каталога в программе SAPRSBRO грозит порчей важных системных файлов на сервере NetWeaver AS ABAP;
  • CVE-2023-25617 (9,0 балла) — возможность удаленного выполнения произвольных команд в Unix, выявленная в Adaptive Job Server платформы BI (версии 420 и 430): эксплойт возможен при активном исполнении объектов программ, требует аутентификации и наличия прав планирования.

Производитель систем управления ресурсами предприятий также пропатчил четыре уязвимости высокой степени опасности и десять умеренно опасных, в том числе в NetWeaver AS.

Ошибки разработчиков SAP, составляющие угрозу безопасности, всегда вызывают интерес у злоумышленников: продукты вендора обычно установлены в крупных организациях, и их можно использовать как точку входа в системы, представляющие большую ценность. В прошлом году SAP SE ушла с российского рынка, и теперь ее решения, видимо, будут заменяться отечественными аналогами.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Reddit без спросу обкатали психологическое воздействие с помощью ИИ

Модераторы подфорума Change My View («Измени мое мнение», CMV) в Reddit направили жалобу в Цюрихский университет: группа исследователей тайно провела эксперимент с ИИ, в котором невольно приняло участие все сообщество.

ИИ-модель два месяца вбрасывала провокационные комментарии в ветку; ученые таким образом проверяли ее умение убеждать. По окончании эксперимента они соблаговолили поставить модераторов в известность и сознались в нарушении правил CMV (там запрещено использовать боты и ИИ).

Для публикации реплик исследователи создали ряд вымышленных персонажей — жертв насилия, консультантов-психологов, противников сектантства и протестных движений. Некоторые фейковые аккаунты админы Reddit выловили и забанили за нарушение пользовательского соглашения.

Сами исследователи, по их словам, комментарии не постили, только вручную проверяли каждую реплику ИИ на предмет потенциально вредного контента. Для персонализации реплик другая ИИ-модель собирала в Reddit пользовательские данные, такие как пол, возраст, этническая принадлежность, местоположение, политические взгляды.

Согласия «подопытных кроликов» при этом никто не спрашивал — для чистоты эксперимента.

Получив разъяснительное письмо, модераторы CMV направили в университет официальную жалобу, предложив публично извиниться за неэтичное поведение исследователей и отказаться от публикации результатов эксперимента.

В ответ на претензии представитель вуза заявил, что научному руководителю ИИ-проекта объявлен выговор. Также будут приняты меры, чтобы подобного не повторилось, но отменять публикацию никто не собирается: результаты проделанной работы важны для науки, а вред от эксперимента минимален.

И претензии, и реакция учебного заведения были опубликованы в CMV. Пользователи до сих пор комментируют этот пост, высказывая свое возмущение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru