Google выпустила Chrome 115 и выплатила $60 000 за дыры в V8

Google выпустила Chrome 115 и выплатила $60 000 за дыры в V8

Google выпустила Chrome 115 и выплатила $60 000 за дыры в V8

Вчера Google представила обновление Chrome 115, в котором разработчики устранили 17 уязвимостей, об 11 из которых сообщили сторонние исследователи в области кибербезопасности.

Среди пропатченных багов есть три бреши высокой степени риска. Проблемы несоответствия используемых типов данных затрагивают WebAssembly- и JavaScript-движок V8.

Сообщившие о трех опасных уязвимостях эксперты получили от Google 60 тысяч долларов в рамках программы по поиску багов (Bug Bounty). В частности, 43 тыс. получил исследователь с ником «Jerry», который выявил две из трех упомянутых уязвимостей: CVE-2023-4068 и CVE-2023-4070.

На последнюю из этих дыр (CVE-2023-4069) указал специалист из GitHub Security Lab, что принесло ему 21 тыс. долларов.

В обновлении есть заплатки и для других шести уязвимостей высокой степени риска. Наиболее опасная — CVE-2023-4071, возможность переполнения буфера в компоненте Visuals.

Далее идет возможность чтения и записи за пределами границ в WebGL (CVE-2023-4072), а после нее — доступ к памяти за пределами границ в ANGLE (CVE-2023-4073).

В Google отметили, что сторонние исследователи получили по программе Bug Bounty в общей сложности уже 123 000 долларов. Последняя сборка браузера Chrome имеет номера 115.0.5790.170 (для macOS и Linux) и 115.0.5790.170/.171 (для Windows).

Суверенный ИИ вне очереди: в России обсуждают приоритет для GigaChat

Российские компании и госорганы могут обязать выбирать суверенные ИИ-модели в ряде сфер, даже если те дороже национальных, но не более чем в полтора раза. Переплатить до 50% за происхождение нейросети? Именно такой вариант сейчас обсуждается.

О соответствующем проекте постановления правительства сообщает «Коммерсантъ».

Суверенной предлагается считать модель, полностью разработанную российским юрлицом и работающую исключительно на инфраструктуре в РФ.

По данным издания, сейчас этим критериям соответствует только GigaChat от Сбера. Национальным моделям разрешено использовать открытые разработки (в эту категорию отнесена «Алиса AI» Яндекса).

Перечень потенциальных сфер применения широкий: от подготовки законов, госпрограмм и нацпроектов до налогов, таможни, бюджета, критической информационной инфраструктуры, образования, здравоохранения и Госуслуг.

Но бежать закупать GigaChat пока рано. Минцифры подчёркивает: список сводный, отражает разные предложения и ещё не сформирован окончательно. «Ъ» связывает инициативу со Сбером, однако банк заявляет, что документ собирает идеи участников обсуждения и не является его собственным предложением.

Конкуренты энтузиазма не разделяют. Яндекс выступает за единые правила и самостоятельный выбор моделей под задачи. В MWS AI предупреждают: после ограничения списка допустимых решений заказчики могут остаться без подходящего варианта по качеству и цене.

Есть вопросы и к самой арифметике. Эксперты напоминают, что стоимость токенов — лишь часть расходов: внедрение, проверка ответов и исправление ошибок могут обойтись куда дороже. Техдиректор GenAI-направления Just AI Антон Сипачев видит риск монополизации: главным выгодополучателем становится одна компания.

RSS: Новости на портале Anti-Malware.ru