В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

Критическую уязвимость обнаружили в пакете Python llama_cpp_python. Злоумышленники могут использовать эту брешь для выполнения произвольного кода в системе, поставив под угрозу данные и операции.

Популярный пакет llama_cpp_python, загруженный более чем 3 миллиона раз, позволяет разработчикам интегрировать модели искусственного интеллекта с Python.

Баг отслеживается как CVE-2024-34359 (9,7 баллов по шкале CVSS). Компания Checkmarx, занимающаяся безопасностью цепочки поставок программного обеспечения, назвала уязвимость Llama Drama.

Брешь, которую устранили в версии 0.2.72, обнаружил исследователь Патрик Пенг (retr0reg).

Неправильное использование шаблонизатора Jinja2 в пакете llama_cpp_python позволяет внедрять шаблоны на стороне сервера, что приводит к удаленному выполнению кода с помощью специально созданной полезной нагрузки.

Исследователи подчеркивают: необходимо соблюдать правила безопасности на протяжении всего жизненного цикла систем искусственного интеллекта и их компонентов, чтобы уязвимости не возникали.  

Разработка последовала за обнаружением уязвимости высокой степени риска в JavaScript-библиотеке Mozilla PDF.js (CVE-2024-4367), которая могла привести к выполнению произвольного кода.

В сообщении Mozilla говорится, что при обработке шрифтов в PDF.js отсутствовала проверка типа, которая позволяла выполнять произвольный JavaScript в контексте PDF.js.

С помощью уязвимости злоумышленники выполняли скрипт, как только в браузере Firefox открывался PDF-документ, содержащий вредонос. 

Баг был устранён компанией в Firefox 126, Firefox ESR 115.11 и Thunderbird 115.11, выпущенных на прошлой неделе, а также в модуле npm pdfjs-dist версии 4.2.67, выпущенном 29 апреля 2024 года.

Как пояснил специалист Томас Ринсма, большинство библиотек-оболочек, таких как react-pdf, тоже выпустили исправленные версии. Специалисты рекомендуют библиотекам, которые включат PDF.js, рекурсивно проверить папку node_modules на наличие файлов с именем pdf.js, чтобы избежать проблем.

Глава Ростелекома: Telegram умирает, а стационарный телефон нужен каждому

Президент «Ростелекома» Михаил Осеевский выступил с довольно жёсткими заявлениями о ситуации на рынке связи. По его словам, в России резко вырос интерес к установке стационарных телефонов, а трафик зарубежных мессенджеров заметно просел: WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России), как он выразился, «умер», а Telegram — «умирает прямо сейчас».

На этом фоне, по словам Осеевского, мессенджер MAX, наоборот, показывает быстрый рост. Об этих его оценках сообщали СМИ в контексте продолжающихся ограничений и проблем со связью в России.

Отдельно Осеевский сделал показательный вывод: стационарный телефон, по его мнению, должен быть в каждом доме. Он назвал его «гарантированным способом связи» и даже сравнил с огнетушителем — вещью, которая может долго не понадобиться, но в нужный момент оказывается очень кстати.

На фоне регулярных проблем с мобильным интернетом и перебоев в работе цифровых сервисов такая риторика выглядит уже не как ностальгия, а как вполне практический совет.

Контекст у этих слов вполне понятный. В последние месяцы в России усилились ограничения и сбои, затрагивающие привычные каналы связи. На этом фоне власти и крупные игроки всё чаще говорят о переходе пользователей на альтернативные решения, включая MAX.

Одновременно в публичной повестке всё заметнее звучит мысль о том, что старая проводная связь внезапно снова становится актуальной — просто потому, что она менее зависима от перегруженных или ограничиваемых мобильных сетей.

При этом важно понимать: слова Осеевского — это именно оценка текущей динамики, а не официальный отчёт с раскрытыми цифрами. Сам он, судя по пересказам, говорил о росте запросов на установку домашнего телефона, но конкретные показатели не приводил.

RSS: Новости на портале Anti-Malware.ru