 |
Киберэксперт Полунин предупреждает: хакеры могут получить полный контроль над системой
Обнаружена критическая уязвимость в широко используемой библиотеке libxml2, которая обрабатывает XML-данные в миллионах приложений и систем. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин рекомендует использовать специализированные средства анализа безопасности и поведенческого анализа, такие как Ankey ASAP, чтобы выявить потенциальные уязвимости и аномалии в работе систем.
Уязвимость, классифицированная как CVE-2024-40896 (CVSS 9.1) и получившая критическую оценку серьёзности 9,1, позволяет злоумышленникам использовать атаки типа XXE (XML External Entities) для компрометации систем и кражи данных. Киберпреступники могут использовать уязвимость для выполнения вредоносного кода. Помимо кражи данных, это может дать злоумышленникам полный контроль над системой и спровоцировать отказ в обслуживании (DoS), исчерпав системные ресурсы.
«Уязвимости класса XXE довольно редки и касаются программных продуктов, где используется XML. XML-процессор принимает какие-то данные в определённом формате и выдаёт результат. Проблемы начинаются, когда данные формируют таким образом, что заставляют XML-процессор сделать что-то, о чём не подумали разработчики, — прочитать системный файл, выполнить команду или даже повесить систему из-за бесконечного цикла операций. В этот раз уязвимость обнаружилась в крайне популярном libxml2, библиотеке, которая как раз и реализует работу в XML. При этом вы как разработчик можете и не знать, что эта библиотека используется в вашем продукте, если подключили её вместе с другими необходимыми для старта работы библиотеками. Даже при хорошо выстроенном процессе разработки программного обеспечения выявить такую уязвимость сложно. Однако есть продукты вроде Ankey ASAP, которые помогают выявить проблемы с ПО, даже если уязвимость ещё не опубликована. В ход идёт поведенческая аналитика и подобные механизмы. Для XML, безусловно, есть и альтернативы, но те тоже не лишены своих проблем», — отметил Сергей Полунин.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 17:05, 28.12.2024
Количество просмотров: 282
Страна: Россия
| ТОМЕЗ представил дорожную и коммунальную технику международной делегации форума БРИКС, АО "ТОМЕЗ", 23:41, 06.11.2026, Россия156 |  |
| В рамках VIII Делового межрегионального форума БРИКС представители Индии, Бразилии, Никарагуа и ЮАР посетили Тосненский механический завод. Форум проходил в Санкт-Петербурге при поддержке МИД РФ и Правительства города. Визит делегации на предприятие был организован при участии АНО «Институт регионального и муниципального развития». |
| Издательство «Актион» проведет Единый цифровой экзамен — 2026, Актион, 23:41, 06.11.2026, Россия147 |
| 26 ноября 2026 года в 16:00 по мск пройдет ежегодный всероссийский Единый цифровой экзамен от Action Digital School. Бесплатный онлайн-экзамен поможет проверить уровень цифровых навыков, определить сильные стороны и понять, какие компетенции стоит развивать. |
| Группа «Борлас» получила сертификат «Совместимо! Система программ 1С:Предприятие», Группа "Борлас", 23:36, 06.11.2026, Россия142 |
| Компания «Эдит Про», входящая в Группу «Борлас» (fabricaONE.AI, акционер – ГК Softline), получила сертификат «Совместимо! Система программ 1С:Предприятие» на продукт «Эдит Про: Интеллектуальная система тестирования и обучения сотрудников, редакция 1.0». Решение разработано на платформе «1С:Предприятие 8.3» и предназначено для автоматизации обучения, тестирования и оценки знаний персонала. |
|
|
