 |
Киберэксперт Полунин предупреждает: хакеры могут получить полный контроль над системой
Обнаружена критическая уязвимость в широко используемой библиотеке libxml2, которая обрабатывает XML-данные в миллионах приложений и систем. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин рекомендует использовать специализированные средства анализа безопасности и поведенческого анализа, такие как Ankey ASAP, чтобы выявить потенциальные уязвимости и аномалии в работе систем.
Уязвимость, классифицированная как CVE-2024-40896 (CVSS 9.1) и получившая критическую оценку серьёзности 9,1, позволяет злоумышленникам использовать атаки типа XXE (XML External Entities) для компрометации систем и кражи данных. Киберпреступники могут использовать уязвимость для выполнения вредоносного кода. Помимо кражи данных, это может дать злоумышленникам полный контроль над системой и спровоцировать отказ в обслуживании (DoS), исчерпав системные ресурсы.
«Уязвимости класса XXE довольно редки и касаются программных продуктов, где используется XML. XML-процессор принимает какие-то данные в определённом формате и выдаёт результат. Проблемы начинаются, когда данные формируют таким образом, что заставляют XML-процессор сделать что-то, о чём не подумали разработчики, — прочитать системный файл, выполнить команду или даже повесить систему из-за бесконечного цикла операций. В этот раз уязвимость обнаружилась в крайне популярном libxml2, библиотеке, которая как раз и реализует работу в XML. При этом вы как разработчик можете и не знать, что эта библиотека используется в вашем продукте, если подключили её вместе с другими необходимыми для старта работы библиотеками. Даже при хорошо выстроенном процессе разработки программного обеспечения выявить такую уязвимость сложно. Однако есть продукты вроде Ankey ASAP, которые помогают выявить проблемы с ПО, даже если уязвимость ещё не опубликована. В ход идёт поведенческая аналитика и подобные механизмы. Для XML, безусловно, есть и альтернативы, но те тоже не лишены своих проблем», — отметил Сергей Полунин.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 17:05, 28.12.2024
Количество просмотров: 158
Страна: Россия
| В России появился альянс разработчиков в сфере мониторинга, VolgaBlob, 01:14, 25.03.2025, Россия133 |  |
| Инициаторами создания профессионального сообщества выступили российские вендоры «Монк Диджитал Лаб», VolgaBlob (разработчик продукта Smart Monitor), GMonit, НТЦ Веллинк, «Метрологические системы» и «Лаборатория Числитель». |
| КриптоАРМ совместим с «АльтерОС 2025», ALMI Partner, 01:06, 25.03.2025, Россия125 |  |
| Компания «Цифровые технологии» совместно со специалистами «АЛМИ Партнер» успешно завершили тестирование программ для электронной подписи и шифрования КриптоАРМ и КриптоАРМ ГОСТ в среде отечественной операционной системы «АльтерОС 2025». |
| АО «НБИ» вошло в рейтинг крупнейших участников рынка заказной разработки ПО, Акционерное общество "Национальное бюро информатизации", 12:38, 22.03.2025, Россия253 |  |
| АО «НБИ» вошло в рейтинг крупнейших участников рынка заказной разработки программного обеспечения в России, согласно данным интернет-портала и аналитического агентства TAdviser. Это признание подчеркивает наш высокий профессионализм и значительный вклад в развитие отечественной ИТ-индустрии. |
| Мария Маркова, Linx: эпоха недоверия к облакам в России подходит к концу, Linx, 12:30, 22.03.2025, Россия83 |  |
| В России завершается эпоха недоверия к облакам, крупные компании и даже госорганизации активно идут в облака, используя гибридные решения. Об этом заявила Мария Маркова, коммерческий директор Linx, провайдера облачных решений и услуг ЦОД, в ходе пленарного заседания крупнейшего облачного форума Cloud and Connectivity, состоявшегося 18 марта. |
| Обновление SRM-системы «БФТ.Закупки»: маршрутизация, делегирование и согласование, БФТ-Холдинг, 12:30, 22.03.2025, Россия73 |  |
| БФТ-Холдинг расширил функциональные возможности комплексной информационной системы организации процесса закупок «БФТ.Закупки». Обновления направлены на оптимизацию процессов маршрутизации, замещения и согласования документов, что позволит пользователям значительно повысить эффективность закупочной деятельности. |
| CODDY становится партнером юбилейной акции компании "Победа", CODDY, 12:28, 22.03.2025, Россия59 |
| В 2025 году магазин честных цен "Победа" празднует свое 10-летие и с 27 февраля по 16 апреля запускает масштабную юбилейную акцию с впечатляющими призами для участников. Школа программирования CODDY с гордостью объявляет о партнерстве в этой инициативе. |
|
|
