В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

В пакете Python для PDF.js, используемой в Firefox, нашли уязвимость

Критическую уязвимость обнаружили в пакете Python llama_cpp_python. Злоумышленники могут использовать эту брешь для выполнения произвольного кода в системе, поставив под угрозу данные и операции.

Популярный пакет llama_cpp_python, загруженный более чем 3 миллиона раз, позволяет разработчикам интегрировать модели искусственного интеллекта с Python.

Баг отслеживается как CVE-2024-34359 (9,7 баллов по шкале CVSS). Компания Checkmarx, занимающаяся безопасностью цепочки поставок программного обеспечения, назвала уязвимость Llama Drama.

Брешь, которую устранили в версии 0.2.72, обнаружил исследователь Патрик Пенг (retr0reg).

Неправильное использование шаблонизатора Jinja2 в пакете llama_cpp_python позволяет внедрять шаблоны на стороне сервера, что приводит к удаленному выполнению кода с помощью специально созданной полезной нагрузки.

Исследователи подчеркивают: необходимо соблюдать правила безопасности на протяжении всего жизненного цикла систем искусственного интеллекта и их компонентов, чтобы уязвимости не возникали.  

Разработка последовала за обнаружением уязвимости высокой степени риска в JavaScript-библиотеке Mozilla PDF.js (CVE-2024-4367), которая могла привести к выполнению произвольного кода.

В сообщении Mozilla говорится, что при обработке шрифтов в PDF.js отсутствовала проверка типа, которая позволяла выполнять произвольный JavaScript в контексте PDF.js.

С помощью уязвимости злоумышленники выполняли скрипт, как только в браузере Firefox открывался PDF-документ, содержащий вредонос. 

Баг был устранён компанией в Firefox 126, Firefox ESR 115.11 и Thunderbird 115.11, выпущенных на прошлой неделе, а также в модуле npm pdfjs-dist версии 4.2.67, выпущенном 29 апреля 2024 года.

Как пояснил специалист Томас Ринсма, большинство библиотек-оболочек, таких как react-pdf, тоже выпустили исправленные версии. Специалисты рекомендуют библиотекам, которые включат PDF.js, рекурсивно проверить папку node_modules на наличие файлов с именем pdf.js, чтобы избежать проблем.

Хакеры удвоили натиск на криптосервисы: за полгода похищено $1,3 млрд

Криптовалютный рынок идёт в массы, а киберпреступники идут следом, причём заметно быстрее. В первой половине 2026 года крупные международные криптосервисы пережили 211 атак, подсчитали эксперты компании «Шард». Это в 2,5 раза больше, чем годом ранее.

Общий ущерб, по данным «Коммерсанта», достиг $1,3 млрд против почти $2,1 млрд за аналогичный период 2025 года.

Снижение выглядит обнадёживающе только до момента, пока не вспомнить: в прошлогоднюю статистику вошёл гигантский взлом Bybit с потерями более $1,4 млрд.

Особенно больно бьют атаки на инфраструктуру. По данным TRM Labs, на них пришлось лишь около 15% криптоинцидентов, но сразу 76% всех украденных средств.

Если злоумышленники добираются до приватных ключей, внутренних систем или учётных записей сотрудников, касса обычно выносится быстро и основательно. ИИ дополнительно удешевляет разведку и помогает быстрее собирать сведения о потенциальной жертве.

Не обошлось без российского следа. В апреле киберпреступники атаковали зарегистрированную в Киргизии биржу Grinex, где активно торговали рублёвым стейблкойном A7A5. С 54 кошельков вывели $14 млн.

Для России проблема становится особенно актуальной после вступления в силу закона «О цифровых валютах и цифровых правах»: участники рынка начали строить инфраструктуру для легальной торговли криптовалютами.

Эксперты советуют сразу закладывать сегментацию сети, изоляцию критических компонентов, МФА, защиту API и конечных устройств, регулярный поиск уязвимостей и холодное хранение активов.

Но одной техники недостаточно. Рынку нужны строгие требования ЦБ, планы восстановления после атак и законодательство, объясняющее, кто и как компенсирует инвестору украденные активы. Пока судебных прецедентов мало, а нормативные документы ещё готовятся.

RSS: Новости на портале Anti-Malware.ru