В модуле песочницы vm2 нашли критический баг, позволяющий выполнить код

В модуле песочницы vm2 нашли критический баг, позволяющий выполнить код

В модуле песочницы vm2 нашли критический баг, позволяющий выполнить код

Разработчики vm2, модуля JavaScript-песочницы, выпустили патч, устраняющий критическую уязвимость. С помощью этой бреши атакующие могут выбраться за пределы песочницы и выполнить шелл-код.

Проблема затрагивает все версии vm2, включая 3.9.14. О баге 6 апреля сообщил исследователь Южной Кореи, а в прошедшую пятницу разработчики уже подготовили патч с выходом версии 3.9.15.

«Условный злоумышленник может обойти защитный периметр песочницы и получить возможность выполнить код на хосте», — объясняют девелоперы.

Уязвимость получила идентификатор CVE-2023-29017 и 9,8 балла по шкале CVSS. Корень проблемы кроется в некорректном способе обработки ошибок, возникающих в асинхронных функциях.

Сама библиотека vm2 пользуется популярностью у тех, кому надо запускать подозрительный код в защищенной среде. Модуль насчитывает почти четыре миллиона загрузок еженедельно. Известно также, что vm2 используется в 721 пакете.

Специалисты KAIST подготовили сразу два варианта демонстрационного эксплойта для CVE-2023-29017.

В «Облаке КИИ» РТК-ЦОД появились новые функции управления и защиты

РТК-ЦОД обновил программную основу своего «Облака КИИ» — защищённой облачной платформы для размещения объектов критической информационной инфраструктуры. Речь идёт о решениях экосистемы «Базис»: Basis Dynamix, Basis Virtual Security.

Обновление затронуло тот самый инфраструктурный слой, на котором держится облако для чувствительных и регулируемых систем.

После апдейта заказчикам стали доступны более гибкое управление объёмом хранилища, перемещение виртуальных машин между узлами для балансировки нагрузки, а также новые функции межсетевого экрана и управления его политиками.

Эти возможности соответствуют тому, что ранее заявлялось для релиза Basis Dynamix, где «Базис» добавил десятки доработок для управления динамической ИТ-инфраструктурой.

Само «Облако КИИ» РТК-ЦОД запустил ещё в октябре 2024 года. Компания позиционирует его как первое в России мультитенантное защищённое облако, построенное на отечественных программных и аппаратных решениях. Платформа изначально создавалась под размещение систем, для которых важны и импортонезависимость, и соответствие требованиям регуляторов.

Ключевой момент здесь не только в самой виртуализации, но и в требованиях по защите. Ранее РТК-ЦОД сообщал, что «Облако КИИ» аттестовано по требованиям приказа ФСТЭК № 239 и может использоваться для размещения объектов КИИ до второй категории значимости включительно, а также для систем с жёсткими требованиями по защите персональных данных и государственных ИС.

Нынешнее обновление — не просто «техническая профилактика», а скорее плановая доработка платформы, которая должна сделать работу с защищённой инфраструктурой более удобной и управляемой. Особенно для тех заказчиков, которым нужно не просто облако, а облако, вписанное в российскую нормативную и ИБ-реальность.

RSS: Новости на портале Anti-Malware.ru