Специалисты назвали главные киберугрозы квантового мира

Специалисты назвали главные киберугрозы квантового мира

Специалисты назвали главные киберугрозы квантового мира

Специалисты Positive Technologies рассмотрели основные киберугрозы квантовых технологий, которые гарантированно буду использоваться злоумышленниками. Кража данных, уязвимости софта и атаки на квантовый интернет — вот основные риски, по мнению экспертов.

Свои опасения исследователи из Positive Technologies и «Российского квантового центра» представили в отчёте «Безопасность квантовых технологий в сфере IT».

В результате получился список из пяти угроз: первые четыре относятся к угрозам для квантовых компьютеров, а последняя — для квантовых коммуникаций:

  1. Угрозы на физическом уровне, связанные с нестабильностью и чувствительностью кубитов (квантовых битов). По оценкам экспертов, злоумышленники могут провести атаку типа «отказ в обслуживании» (DoS), например нагревая квантовый компьютер и создавая помехи для искажения данных. На данный момент проведение атак возможно в связи с тем, что оборудование отличается высокой чувствительностью к внешней среде и вмешательство злоумышленника может стать причиной его некорректного функционирования.
  2. Кража конфиденциальной информации. Эксперты прогнозируют, что украденные результаты квантовых вычислений будут высоко цениться у злоумышленников, поскольку сами системы и вычисления, созданные на их основе, стоят очень дорого.
  3. Уязвимости в программном обеспечении, предназначенном для квантовых вычислений, также будут представлять серьезную угрозу. Так, в решениях, используемых для реализации квантовых схем, они уже зафиксированы. Например, в cuQuantum, продукте NVIDIA, были обнаружены две уязвимости высокого уровня опасности — CVE-2018-20225 и CVE-2023-36632, а в библиотеке Quantum Development Kit для Visual Studio Code — CVE-2021-27082, также имеющая высокий уровень опасности. В будущем эксплуатация уязвимостей квантового ПО может привести к утечке конфиденциальной информации, захвату аппаратных ресурсов и выводу оборудования из строя.
  4. Угроза облачным вычислениям. Развитие облачного формата ресурсов квантовых технологий, вероятно, побудит злоумышленников активно искать уязвимости в решениях вендоров, а также проводить атаки на IT-компании, поставляющие облачные продукты. К типичным киберугрозам этой сферы относятся некорректная конфигурация облачных сервисов и уязвимости в них, небезопасное хранение и обработка данных со стороны поставщика услуг, а также атаки типа «отказ в обслуживании». Перечисленное представляет опасность и для инфраструктур QCaaS (quantum computing as a service).
  5. Атаки на квантовый интернет. Цели атак в условиях квантового интернета схожи с атаками на классические сети — это кража информации, нарушение целостности или доступности квантовых узлов или квантовых сетей, а также захват квантового соединения или вычислительных ресурсов.

Напомним, в марте мы рассказывали, какими должны быть стандарты постквантовой криптографии, исходя из подходов NIST.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

TARmageddon в Rust-библиотеке async-tar грозит удалённым выполнением кода

Исследователи в области кибербезопасности раскрыли детали серьёзной уязвимости в популярной библиотеке async-tar для языка Rust и её форках, включая tokio-tar. Брешь получила идентификатор CVE-2025-62518 и 8,1 балла по CVSS — это высокий уровень опасности. Эксперты назвали дыру TARmageddon.

По данным компании Edera, которая обнаружила баг в августе 2025 года, уязвимость может привести к удалённому выполнению кода (RCE), если злоумышленнику удастся перезаписать важные файлы — например, конфигурации или компоненты системы сборки.

Async-tar и её производные библиотеки используются в таких проектах, как testcontainers и wasmCloud. Ошибка связана с тем, как библиотека обрабатывает TAR-архивы с расширенными заголовками PAX и ustar. Из-за неправильного определения границ файлов библиотека может «спутать» данные и воспринять часть содержимого архива как новые файлы.

В итоге атакующий может «встроить» во вложенный TAR дополнительные файлы и заставить библиотеку при распаковке перезаписать легитимные данные — что при определённых условиях позволяет выполнить произвольный код.

Особенно тревожно то, что одна из уязвимых библиотек, tokio-tar, фактически больше не поддерживается. Последнее обновление вышло ещё в июле 2023 года, но она по-прежнему активно скачивается через crates.io.

Патча для неё нет, поэтому пользователям советуют перейти на astral-tokio-tar, где в версии 0.5.6 ошибка уже исправлена.

Как объяснил разработчик Astral Уильям Вудрафф, баг связан с тем, как библиотека интерпретирует размеры файлов. В заголовке ustar размер может быть указан как ноль, тогда как расширенный PAX-заголовок содержит правильное значение. В результате библиотека «пропускает» настоящий файл и начинает читать внутренний архив как новый слой.

Это позволяет злоумышленнику спрятать внутри TAR-файла ещё один TAR, который при распаковке перезапишет нужные файлы. Например, подменить pyproject.toml в Python-пакете на вредоносный и изменить процесс сборки.

Edera отметила, что даже безопасные языки вроде Rust не защищают от логических ошибок.

«Rust действительно снижает риск уязвимостей вроде переполнений буфера, но полностью исключить логические баги невозможно. В данном случае проблема именно в логике обработки данных», — заявили исследователи.

Эксперты советуют разработчикам внимательно проверять используемые библиотеки, обновлять зависимости и не полагаться исключительно на язык как гарантию безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru