Давно не обновляли libxml2? Ваши учетки уже украли из-за XXE-уязвимости

Давно не обновляли libxml2? Ваши учетки уже украли из-за XXE-уязвимости

Давно не обновляли libxml2? Ваши учетки уже украли из-за XXE-уязвимости

В уходящем году в популярной библиотеке libxml2 обнаружили и закрыли уязвимость XXE (возможность XML-инъекции), которая позволяет скомпрометировать систему и получить доступ к конфиденциальным данным.

Свободно распространяемая библиотека для парсинга XML-документов широко используется в качестве компонента веб-приложений и систем обработки данных. По этой причине патчинг libxml2 на местах — процесс долгий и трудоемкий.

Уязвимость CVE-2024-40896 возникла из-за неадекватности защиты от XXE-атак — некорректного ограничения ссылок на внешние сущности XML. Из-за этого возникла угроза раскрытия внешних сущностей в ходе работы парсера SAX.

Успешный эксплойт открывает доступ к содержимому системных файлов, включая /etc/passwd, что грозит кражей учетных данных пользователей. Атаки XXE также позволяют спровоцировать отказ в обслуживании (DoS) и выполнить вредоносный код с целью захвата контроля над системой.

Данную проблему американское агентство по кибербезопасности (CISA) оценило в 9,1 балла по шкале CVSS (как критическую), российский НКЦКИ — в 8,6 балла (как высокой опасности).

Пользователям и разработчикам настоятельно рекомендуется обновить libxml2 до версий 2.11.9, 2.12.9, 2.13.3 или выше, сисадминам — проверить подопечные системы на наличие уязвимых программ, полагающихся на эту библиотеку.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры РФ хочет повысить требования к ПАКам, работающим с ИИ

Миннцифры России сформулировало новые требования к программно-аппаратным комплексам, предназначенным для работы с ИИ. Продукты, соответствующие этим нормам, смогут претендовать на внесение в реестр отечественного софта.

Разработанный в министерстве проект постановления правительства бы направлен на согласование в Минпромторг, а также производителям ПАКов — для обсуждения.

Комментируя новую инициативу для «Ведомостей», представитель Минцифры пояснил: специальные требования подготовлены с учетом нужд отрасли и направлены на поддержку российских разработчиков и вендоров технически сложных решений в сфере ИИ.

Согласно проекту постановления, производители ИИ-комплексов должны иметь собственные дата-центры в России мощностью не менее 10 МВт и обеспечивать производительность не ниже 100 петафлопс в формате FP4, оптимальном для работы с большими языковыми моделями.

В состав оборудования должны входить сетевые адаптеры на 800 Гбит/с или выше с поддержкой прямого доступа к ресурсам через RDMA. Требования к программному обеспечению: хранение не менее 1 эксабайта данных, возможность обучения моделей на 1000 GPU.

Дополнительных льгот для производителей таких ПАКов документ не предусматривает, однако, попав в реестр Минцифры (существующий, новый создаваться не будет), они смогут рассчитывать на господдержку и преференции при госзакупках.

Смогут ли участники рынка дотянуть до высокой планки, выставленной Минцифры, — большой вопрос. Такие под силу разве что крупным исследовательским центрам и таким игрокам, как «Яндекс» и «Сбер».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru