Дыры в библиотеке ncurses позволяли выполнить код в Linux и macOS

Дыры в библиотеке ncurses позволяли выполнить код в Linux и macOS

Дыры в библиотеке ncurses позволяли выполнить код в Linux и macOS

В библиотеке ncurses (new curses) обнаружили ряд уязвимостей, связанных с повреждением памяти. Злоумышленники могут использовать эти бреши для запуска вредоносного кода в системах Linux и macOS.

Проблемы выявили исследователи из команды Microsoft Threat Intelligence. В отчёте специалисты описывают проблему так:

«Атакующие могут связать эти уязвимости, чтобы повысить привилегии или запустить код в целевой системе. Для этого используется техника отравления переменной окружения».

Бреши получили общий идентификатор CVE-2023-29491 и 7,8 бала по шкале CVSS. Благодаря совместной работе Microsoft и Apple дыры удалось пропатчить в апреле 2023 года.

По словам экспертов, аудит кода и фаззинг помог выявить, что ncurses ищет определённые переменные окружения — например, TERMINFO. Как выяснилось, эти переменные можно «отравить» (poisoning), а также связать между собой обнаруженные баги для повышения прав в системе.

По классификации среди уязвимостей можно найти и возможность утечки информации из стека, и несоответствие используемых типов данных строки, и переполнение буфера, и DoS.

Подпишитесь на новости

Интимные дипфейки выходят из даркнета в открытый интернет

Для шантажа больше не обязательно красть настоящие интимные снимки. Злоумышленникам может хватить обычной фотографии из соцсети: остальное дорисует нейросеть. Эксперты предупреждают, что площадки с интимными дипфейками всё активнее работают в открытом интернете, поскольку там больше аудитория и проще зарабатывать.

По данным экспертов, опрошенных «Известиями», владельцы таких ресурсов получают деньги от рекламы, подписок и платных заказов.

Пользователи же могут применять подделки для травли, мести и дискредитации. Готовые сервисы снижают порог входа: специальные технические навыки уже не обязательны.

В материале приводятся результаты исследования, авторы которого выявили 88 публично доступных сайтов с сексуализированными ИИ-изображениями, созданными без согласия людей. Из них 38 полностью посвящены такому контенту.

Блокировки не успевают за распространением. Как объясняет эксперт R-Vision Александр Винокуров, площадки меняют домены и инфраструктуру, а копии материалов продолжают расходиться. Удалить один адрес — ещё не значит убрать подделку из Сети.

Главная опасность — последствия для человека, чьё лицо использовали. Даже выдуманное изображение может стать инструментом шантажа, разрушить отношения и нанести психологическую травму. Аргумент «я ничего такого не снимал» от самой попытки травли не защищает.

Эксперт Solar AURA Александр Вураско считает, что бороться нужно и с распространением, и с монетизацией: быстро рассматривать жалобы, выявлять повторные загрузки и реагировать на подтверждённые нарушения.

RSS: Новости на портале Anti-Malware.ru