Новая дыра в OpenSSH позволяет выполнить код в Linux с правами root

Новая дыра в OpenSSH позволяет выполнить код в Linux с правами root

Новая дыра в OpenSSH позволяет выполнить код в Linux с правами root

Разработчики OpenSSH выпустили обновление, устраняющее критическую уязвимость, с помощью которой злоумышленники могут удалённо выполнить несанкционированный код в glibc-системах Linux с правами root.

Брешь, получившая идентификатор CVE-2024-6387, затрагивает серверный компонент OpenSSH — sshd (мониторит подключения от любых клиентских приложений).

«Эта уязвимость, представляющая собой “состояние гонки“ (race condition) в sshd, позволяет неаутентифицированному злоумышленнику удалённо выполнить код с правами root в glibc-системах Linux», — пишет Бхарат Джоги, старший директор отдела исследования угроз Qualys.

«Проблема затрагивает sshd в дефолтной конфигурации».

По оценкам исследователей, как минимум 14 миллионов установок OpenSSH, открытых в Сеть, находятся в зоне риска. В уведомлении OpenSSH приводится следующая информация:

«Успешную эксплуатацию бреши продемонстрировали на 32-битных системах Linux/glibc. В условиях тестирования потребовалось 6-8 часов непрерывного соединения».

Проблема затрагивает версии с 8.5p1 по 9.7p1, однако специалисты отмечают, что CVE-2024-6387 не влияет на системы OpenBSD, поскольку последние содержат защитный механизм, блокирующий эксплуатацию.

Фигурант взлома Bitfinex досрочно освобождён, благодарит Трампа

Илья Лихтенштейн — один из фигурантов громкого взлома криптобиржи Bitfinex — вышел на свободу раньше срока и уже успел публично поблагодарить за это Дональда Трампа. Об этом он сообщил в посте на платформе X, заявив, что освобождение стало возможным «благодаря First Step Act», закону о тюремной реформе, принятому во время первого президентского срока Трампа.

«Я по-прежнему намерен быть полезным в сфере кибербезопасности, насколько смогу, — написал Лихтенштейн. — Сторонникам спасибо за поддержку. Хейтерам — с нетерпением жду возможности доказать, что вы ошибаетесь».

Лихтенштейн и его жена Хезер Морган были арестованы в 2022 году. Тогда Министерство юстиции США сообщило о конфискации 3,6 млрд долларов в биткоинах, украденных при взломе Bitfinex — одном из крупнейших инцидентов в истории крипторынка.

Пара быстро стала медийной сенсацией и позже попала в документальный сериал Netflix «Biggest Heist Ever».

В итоге Лихтенштейн признал вину по делу об отмывании денег и получил пять лет тюрьмы. Теперь же, судя по всему, срок был урезан. При этом прямую роль администрации Трампа в освобождении официально не подтверждают.

Представитель властей пояснил CNBC, что Лихтенштейн «отбыл значительную часть наказания и в настоящее время находится под домашним арестом — в соответствии с законом и правилами Бюро тюрем».

История одного из самых известных криптохакеров последних лет, похоже, выходит на новый этап — с заявлениями о «позитивном вкладе в кибербезопасность» и желанием переписать собственную репутацию. Удастся ли — покажет время.

RSS: Новости на портале Anti-Malware.ru