В GRUB2 пропатчили уязвимости, грозящие обходом UEFI Secure Boot

В GRUB2 пропатчили уязвимости, грозящие обходом UEFI Secure Boot

В GRUB2 пропатчили уязвимости, грозящие обходом UEFI Secure Boot

Новый набор патчей для GRUB2 суммарно закрывает шесть уязвимостей, позволяющих обойти защиту UEFI Secure Boot. Пять проблем, устраненных в загрузчике, классифицируются как использование освобожденной памяти — use-after-free.

Уровень угрозы во всех случаях оценен как умеренный. Готовность исправлений для дистрибутивов Linux можно отслеживать по соответствующим записям в их трекерах.

Список уязвимостей, найденных и закрытых в GRUB2:

  • CVE-2025-61661 — запись за границами буфера при выполнении функции grub_usb_get_string(), а точнее, при обработке строк в кодировке UTF-8 и UTF-16, передаваемых при подключении USB-устройств;
  • CVE-2025-61662, CVE-2025-61663, CVE-2025-61664, CVE-2025-54770 — возможность use-after-free из-за отсутствия очистки обработчиков команд gettext, normal, normal_exit, net_set_vlan при выгрузке соответствующих модулей;
  • CVE-2025-54771 — возможность use-after-free из-за некорректного подсчета ссылок на структуры fs при выполнении grub_file_close().

Около года назад в GRUB2 устранили два десятка похожих уязвимостей. Почти все они были вызваны ошибками по памяти и позволяли обойти UEFI Secure Boot.

Каждый десятый россиянин использует ИИ для создания рабочих паролей

Как выяснили в «Лаборатория Касперского» и hh.ru, часть россиян уже доверяет нейросетям даже такую важную задачу, как создание паролей для рабочих аккаунтов. По данным совместного опроса, каждый десятый использует ИИ для генерации паролей к корпоративным сервисам.

Ещё 6% применяют нейросети для управления паролями или их хранения. Это уже выглядит рискованнее: если пользователь вводит в ИИ-сервис лишние данные, они потенциально могут оказаться вне контроля компании.

В целом большинство пользователей пока относятся к такой практике осторожно. Но есть и те, кто готов доверять ИИ даже в вопросах с высокой ценой ошибки.

Так, 11% опрошенных заявили, что могли бы поручить нейросети создание паролей для рабочих ресурсов с конфиденциальной информацией. Столько же признались, что в некоторых случаях доверяют ИИ в генерации паролей больше, чем себе.

Эксперты напоминают: сама идея создать сложную комбинацию с помощью технологии не плоха. Проблема начинается, когда человек в запросе указывает название компании, конкретный сервис или другие детали, которые лучше не светить во внешней системе. Кроме того, предложенный нейросетью пароль не стоит использовать в исходном виде.

В «Лаборатории Касперского» советуют безопаснее подходить к таким сценариям: не передавать ИИ конфиденциальные данные, просить несколько вариантов и затем собирать собственную комбинацию.

Для компаний более надёжным вариантом остаются корпоративные менеджеры паролей, где можно централизованно управлять учётными данными и контролировать правила безопасности.

RSS: Новости на портале Anti-Malware.ru