В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

Критическую уязвимость обнаружили в пакете Python llama_cpp_python. Злоумышленники могут использовать эту брешь для выполнения произвольного кода в системе, поставив под угрозу данные и операции.

Популярный пакет llama_cpp_python, загруженный более чем 3 миллиона раз, позволяет разработчикам интегрировать модели искусственного интеллекта с Python.

Баг отслеживается как CVE-2024-34359 (9,7 баллов по шкале CVSS). Компания Checkmarx, занимающаяся безопасностью цепочки поставок программного обеспечения, назвала уязвимость Llama Drama.

Брешь, которую устранили в версии 0.2.72, обнаружил исследователь Патрик Пенг (retr0reg).

Неправильное использование шаблонизатора Jinja2 в пакете llama_cpp_python позволяет внедрять шаблоны на стороне сервера, что приводит к удаленному выполнению кода с помощью специально созданной полезной нагрузки.

Исследователи подчеркивают: необходимо соблюдать правила безопасности на протяжении всего жизненного цикла систем искусственного интеллекта и их компонентов, чтобы уязвимости не возникали.  

Разработка последовала за обнаружением уязвимости высокой степени риска в JavaScript-библиотеке Mozilla PDF.js (CVE-2024-4367), которая могла привести к выполнению произвольного кода.

В сообщении Mozilla говорится, что при обработке шрифтов в PDF.js отсутствовала проверка типа, которая позволяла выполнять произвольный JavaScript в контексте PDF.js.

С помощью уязвимости злоумышленники выполняли скрипт, как только в браузере Firefox открывался PDF-документ, содержащий вредонос. 

Баг был устранён компанией в Firefox 126, Firefox ESR 115.11 и Thunderbird 115.11, выпущенных на прошлой неделе, а также в модуле npm pdfjs-dist версии 4.2.67, выпущенном 29 апреля 2024 года.

Как пояснил специалист Томас Ринсма, большинство библиотек-оболочек, таких как react-pdf, тоже выпустили исправленные версии. Специалисты рекомендуют библиотекам, которые включат PDF.js, рекурсивно проверить папку node_modules на наличие файлов с именем pdf.js, чтобы избежать проблем.

Иск к Роскомнадзору из-за звонков в WhatsApp и Telegram отклонён

Московский суд отказался рассматривать коллективный иск пользователей WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) и Telegram к Роскомнадзору и Минцифры. Решение вынес судья Таганского районного суда Москвы.

Как сообщили в пресс-службе суда, основанием для отказа стало то, что один из инициаторов иска — калужский активист Константин Ларионов — не смог доказать, что он «уполномочен представлять интересы владельцев Telegram и WhatsApp».

Проще говоря, суд счёл, что у него нет формальных оснований подавать такой иск от имени пользователей мессенджеров.

Сам иск был подан 23 декабря. Ларионов и несколько десятков соистцов требовали признать незаконными ограничения на голосовые и видеозвонки в Telegram и WhatsApp, введённые Роскомнадзором. По их мнению, эти меры нарушают конституционные права граждан — в том числе право на получение информации и тайну связи.

Напомним, Роскомнадзор начал блокировать звонки в двух популярных мессенджерах в августе, объяснив это борьбой с телефонным мошенничеством. И Telegram, и WhatsApp тогда публично раскритиковали такое решение.

Истцы, в свою очередь, ссылались на данные Банка России, согласно которым основные мошеннические схемы по-прежнему используют обычные телефонные звонки и СМС, а не мессенджеры.

Сам Ларионов называл ограничения «политически мотивированными» и подчёркивал, что среди соистцов — «обычные россияне, уставшие от невозможности пользоваться звонками в привычных приложениях».

Несмотря на отказ суда, Ларионов сдаваться не собирается. По его словам, он и другие участники процесса намерены обжаловать решение и продолжить добиваться рассмотрения иска.

«Сидеть и ничего не делать? Точно нет», — заявил он.

Судебная история, судя по всему, на этом не заканчивается.

Напомним, депутаты считают блокировку WhatsApp в России вопросом времени.

RSS: Новости на портале Anti-Malware.ru