В WinRAR устранили возможность выполнения вредоносного кода в Windows

В WinRAR устранили возможность выполнения вредоносного кода в Windows

В WinRAR устранили возможность выполнения вредоносного кода в Windows

В популярном архиваторе WinRAR нашли и устранили опасную уязвимость, с помощью которой злоумышленники могли выполнить команды на компьютере с Windows. Для эксплуатации жертва должна просто открыть архив.

Брешь, получившая идентификатор CVE-2023-40477, позволяет удалённым атакующим выполнить произвольный код в системе. Для этого им придётся подготовить и отправить пользователю специальный RAR-файл.

На проблему указал исследователь под ником «goodbyeselene» из команды Zero Day Initiative. 8 июня 2023 года специалист сообщил о баге представителям компании RARLAB, занимающейся разработкой архиватора.

«Баг возник из-за недостаточной валидации отправляемых пользователем данных. Это провоцирует доступ к памяти за пределами выделенного буфера», — говорится на сайте Zero Day Initiative по поводу уязвимости.

По шкале CVSS брешь получила 7,8 балла, но цифру существенно занизили из-за метода эксплуатации: надо заставить целевого пользователя открыть RAR-архив. Тем не менее это не должно вызвать у злоумышленников никаких затруднений, а учитывая огромную пользовательскую базу WinRAR, шанс за успешную атаку высок.

RARLAB в этом месяце выпустила версию архиватора под номером 6.23, в которой есть патч для CVE-2023-40477. Пользователям настоятельно рекомендуют установить обновление как можно скорее.

Напомним, в этом году Microsoft всё же решила добавить нативную поддержку архивов RAR, 7-Zip и GZ в Windows 11, поэтому необходимость в инструментах вроде WinRAR в скором времени может просто отпасть.

ChatGPT обвинили в поощрении суицида: против OpenAI подали новый иск

OpenAI столкнулась с новым громким иском. Семья 24-летней канадки Элис Карриер, погибшей во время психического кризиса летом прошлого года, обвинила компанию в том, что ChatGPT не просто не помог пользователю, а фактически подтолкнул её к самоубийству.

Иск подан в Верховный суд Сан-Франциско. Родственники утверждают, что во время многочасового общения ChatGPT поощрял Элис покончить с собой и демонстрировал опасную склонность соглашаться с её убеждениями вместо того, чтобы настойчиво направлять её к профессионалам.

Особенно спорным выглядит один из эпизодов, описанных в материалах дела. В какой-то момент ChatGPT всё же рекомендовал обратиться в кризисную службу поддержки. Однако девушка ответила, что такие службы либо вызывают полицию, либо просто бросают трубку. После этого чат-бот, по версии истцов, практически отказался от дальнейших попыток убедить её обратиться за помощью.

Адвокаты семьи считают, что причиной стала особенность модели GPT-4o — стремление поддерживать разговор и подстраиваться под пользователя. Согласно иску, чат-бот начал зеркалить позицию собеседницы и даже согласился с тем, что обращение на горячую линию может быть опасным.

Юристы называют это примером так называемой сикофантии — поведения ИИ, при котором система чрезмерно соглашается с пользователем вместо того, чтобы оспаривать опасные или ошибочные выводы.

В OpenAI ранее заявляли, что компания осознаёт ответственность за пользователей, находящихся в эмоционально тяжёлом состоянии, и постоянно улучшает механизмы выявления признаков психологического кризиса. После смерти Карриер компания также сообщала о работе над дополнительными мерами безопасности.

Однако представители семьи считают, что этих мер было недостаточно и они появились слишком поздно.

Дело стало очередным эпизодом в растущем списке судебных претензий к разработчикам генеративного ИИ. Всё чаще предметом споров становятся не ошибки в фактах и не нарушение авторских прав, а влияние чат-ботов на психологическое состояние людей.

RSS: Новости на портале Anti-Malware.ru