В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

Критическую уязвимость обнаружили в пакете Python llama_cpp_python. Злоумышленники могут использовать эту брешь для выполнения произвольного кода в системе, поставив под угрозу данные и операции.

Популярный пакет llama_cpp_python, загруженный более чем 3 миллиона раз, позволяет разработчикам интегрировать модели искусственного интеллекта с Python.

Баг отслеживается как CVE-2024-34359 (9,7 баллов по шкале CVSS). Компания Checkmarx, занимающаяся безопасностью цепочки поставок программного обеспечения, назвала уязвимость Llama Drama.

Брешь, которую устранили в версии 0.2.72, обнаружил исследователь Патрик Пенг (retr0reg).

Неправильное использование шаблонизатора Jinja2 в пакете llama_cpp_python позволяет внедрять шаблоны на стороне сервера, что приводит к удаленному выполнению кода с помощью специально созданной полезной нагрузки.

Исследователи подчеркивают: необходимо соблюдать правила безопасности на протяжении всего жизненного цикла систем искусственного интеллекта и их компонентов, чтобы уязвимости не возникали.  

Разработка последовала за обнаружением уязвимости высокой степени риска в JavaScript-библиотеке Mozilla PDF.js (CVE-2024-4367), которая могла привести к выполнению произвольного кода.

В сообщении Mozilla говорится, что при обработке шрифтов в PDF.js отсутствовала проверка типа, которая позволяла выполнять произвольный JavaScript в контексте PDF.js.

С помощью уязвимости злоумышленники выполняли скрипт, как только в браузере Firefox открывался PDF-документ, содержащий вредонос. 

Баг был устранён компанией в Firefox 126, Firefox ESR 115.11 и Thunderbird 115.11, выпущенных на прошлой неделе, а также в модуле npm pdfjs-dist версии 4.2.67, выпущенном 29 апреля 2024 года.

Как пояснил специалист Томас Ринсма, большинство библиотек-оболочек, таких как react-pdf, тоже выпустили исправленные версии. Специалисты рекомендуют библиотекам, которые включат PDF.js, рекурсивно проверить папку node_modules на наличие файлов с именем pdf.js, чтобы избежать проблем.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru