В GRUB2 устранили два десятка уязвимостей

В GRUB2 устранили два десятка уязвимостей

В GRUB2 устранили два десятка уязвимостей

Опубликованы детали уязвимостей, недавно пропатченных в рамках работы над повышением безопасности кода GRUB2. Суммарно в загрузчике выявлена и решена 21 проблема, многие грозят обходом UEFI Secure Boot.

Почти все закрытые уязвимости связаны с ошибками по памяти (переполнение буфера, отсутствие проверки выделения памяти, целочисленное переполнение, use-after-free и т. п.). Уровень угрозы почти во всех случаях признан умеренным.

Наиболее опасна уязвимость CVE-2025-0624, вызванная возможностью записи за границами буфера при выполнении функции grub_net_search_config_file(). Специалисты NIST NVD оценили ее в 7,6 балла по шкале CVSS.

Все новые патчи доступны в Git-репозитории GRUB2. Устранение уязвимостей в Linux-дистрибутивах дополнительно потребует обновления цифровых подписей, инсталляторов, пакетов с ядром ОС, прошивки fwupd, предзагрузчика shim. Правда, эксплойт можно заблокировать и без отзыва сертификатов — с помощью механизма SBAT (Secure Boot Advanced Targeting).

Заметим, уязвимости в GRUB2 зачастую опасны тем, что эксплойт позволяет обойти Secure Boot и выполнить вредоносный код до загрузки ОС. В случае успеха автор атаки сможет подменять и модифицировать компоненты ОС, а также преодолеть защиту Lockdown.

Переписки с DeepSeek попали в поисковую выдачу Google

Переписки пользователей с китайским ИИ-сервисом DeepSeek, включая русскоязычные, обнаружились в выдаче Google. Чтобы заглянуть в чужие разговоры с нейросетью, достаточно специального поискового запроса.

Речь идёт о страницах Shared Conversations — диалогах, которыми сами пользователи поделились по публичным ссылкам.

На таких страницах видны все вопросы и ответы, а также названия загруженных документов, убедился корреспондент ТАСС. Скачать сами файлы, в том числе через код страницы, журналистам не удалось.

В MWS AI считают, что новой утечки здесь нет. По словам представителей компании, ещё год назад поисковики проиндексировали тысячи публичных диалогов с чат-ботами. Сообщений о взломе DeepSeek или получении доступа к закрытой истории переписок тоже не появлялось.

Вероятнее всего, в поисковую выдачу попали старые либо намеренно опубликованные страницы. Получить через них доступ к аккаунту владельца или его закрытым чатам нельзя. Иными словами, DeepSeek не распахнул двери в личные кабинеты — пользователи сами оставили некоторые разговоры у входа, а Google аккуратно добавил их в каталог.

В «Яндексе» тем временем заверили, что ссылки на диалоги с «Алисой AI» закрыты от индексации. Они создаются только по инициативе пользователя, действуют 14 дней и могут быть отозваны. Прикреплённые файлы получателю не передаются, а продолжение чужого диалога остаётся приватным.

История в очередной раз напоминает: кнопка «Поделиться» в ИИ-чате — это не декоративный элемент. Если разговор получил публичную ссылку, лучше исходить из того, что однажды его найдёт не только адресат, но и любопытный поисковик.

RSS: Новости на портале Anti-Malware.ru