 |
Киберэксперт Полунин предупреждает: хакеры могут получить полный контроль над системой
Обнаружена критическая уязвимость в широко используемой библиотеке libxml2, которая обрабатывает XML-данные в миллионах приложений и систем. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин рекомендует использовать специализированные средства анализа безопасности и поведенческого анализа, такие как Ankey ASAP, чтобы выявить потенциальные уязвимости и аномалии в работе систем.
Уязвимость, классифицированная как CVE-2024-40896 (CVSS 9.1) и получившая критическую оценку серьёзности 9,1, позволяет злоумышленникам использовать атаки типа XXE (XML External Entities) для компрометации систем и кражи данных. Киберпреступники могут использовать уязвимость для выполнения вредоносного кода. Помимо кражи данных, это может дать злоумышленникам полный контроль над системой и спровоцировать отказ в обслуживании (DoS), исчерпав системные ресурсы.
«Уязвимости класса XXE довольно редки и касаются программных продуктов, где используется XML. XML-процессор принимает какие-то данные в определённом формате и выдаёт результат. Проблемы начинаются, когда данные формируют таким образом, что заставляют XML-процессор сделать что-то, о чём не подумали разработчики, — прочитать системный файл, выполнить команду или даже повесить систему из-за бесконечного цикла операций. В этот раз уязвимость обнаружилась в крайне популярном libxml2, библиотеке, которая как раз и реализует работу в XML. При этом вы как разработчик можете и не знать, что эта библиотека используется в вашем продукте, если подключили её вместе с другими необходимыми для старта работы библиотеками. Даже при хорошо выстроенном процессе разработки программного обеспечения выявить такую уязвимость сложно. Однако есть продукты вроде Ankey ASAP, которые помогают выявить проблемы с ПО, даже если уязвимость ещё не опубликована. В ход идёт поведенческая аналитика и подобные механизмы. Для XML, безусловно, есть и альтернативы, но те тоже не лишены своих проблем», — отметил Сергей Полунин.
Контактное лицо: Татьяна Манько
Компания: ООО "Газинформсервис"
Добавлен: 17:05, 28.12.2024
Количество просмотров: 183
Страна: Россия
| SIMETRA разработала транспортную модель Ульяновска, Simetra, 17:26, 12.07.2025, Россия76 |  |
| Группа компаний SIMETRA выполнила проект в области транспортного планирования и разработала транспортную модель города Ульяновска. Цифровая модель обеспечит эффективность при принятии решений, связанных с инфраструктурными проектами, а также необходимую гибкость при управлении дорожным движением в городе. |
| TYMY, ИТ-компания TYMY запустила сервис Public API для взаимодействия финтеха и банков-партнеров платформы, 17:09, 12.07.2025, Россия65 |
| Технология Public API от TYMY предусматривает взаимодействие сервисов с крупными банками-партнерами SaaS-платформы TYMY по API. Сервис начал работу в июне 2025 года. |
| Триллионы для малого и среднего бизнеса, ГК "Юнайт", 16:59, 12.07.2025, Россия66 |
| Потенциал докапитализации российского малого и среднего бизнеса за счет нематериальных активов (НМА) оценивается экспертами в 20–30 триллионов рублей. Это сопоставимо с капитализацией крупнейших госкорпораций и открывает перед МСП новые горизонты для роста и привлечения инвестиций. |
| Стартап ВИШ: Измеритель снега — не имеющий аналогов в России, ФГАОУ ВО Российский университет транспорта, Высшая инженерная школа, 16:49, 12.07.2025, Россия48 |
| Студенты Высшей инженерной школы образовательной программы «Системы мобильной связи и сетевые технологии на транспорте» разработали прототип уникального устройства, позволяющего автоматически измерять уровень снежного покрова при подготовке горнолыжных трасс. Аналогов этой технологии на российском рынке не существует. |
| БПЛА с интеллектом: студент ВИШ разработал алгоритм автономной навигации, Высшая инженерная школа Российского университета транспорта, 23:32, 08.07.2025, Россия333 |
| Студент Высшей инженерной школы (ВИШ) образовательной программы «IT-сервисы и технологии обработки данных на транспорте» разработал алгоритм, основанный на машинном обучении (ML) и технологиях искусственного интеллекта (ИИ), который позволяет беспилотному летательному аппарату (БПЛА) автономно перемещаться по заданным маршрутам, избегая препятствия и адаптируя свой маршрут в режиме реального времени. |
|
|
