Найдена уязвимость удаленного выполнения кода в CouchDB

Найдена уязвимость удаленного выполнения кода в CouchDB

Найдена уязвимость удаленного выполнения кода в CouchDB

В CouchDB была обнаружена уязвимость, вызванная несоответствием между собственным парсером JSON и JSON-парсером Javascript, используемым во время проверки документа. Поскольку базы данных CouchDB открыты для доступа через интернет, эта брешь может поспособствовать эскалации привилегий и удаленному выполнению кода на большом количестве установок.

CouchDB написана на языке Erlang, но позволяет указывать сценарии проверки документов в Javascript. Эти сценарии автоматически оцениваются при создании или обновлении документа. CouchDB управляет учетными записями пользователей через специальную базу данных — _users.

Когда вы создаете или изменяете пользователя в базе данных CouchDB, сервер проверяет изменение с помощью функции Javascript validate_doc_update, чтобы удостовериться, что это не попытка сделать себя администратором, например.

«Проблема в том, что существует расхождение между JSON-парсером Javascript (используемым в скриптах проверки) и тем, что используется внутри CouchDB, называемым jiffy», — пишет эксперт, обнаруживший брешь.

Далее специалист привод куски кода для демонстрации этой разницы:

Erlang:

> jiffy:decode("{\"foo\":\"bar\", \"foo\":\"baz\"}"). 
{[{<<"foo">>,<<"bar">>},{<<"foo">>,<<"baz">>}]}

Javascript:

> JSON.parse("{\"foo\":\"bar\", \"foo\": \"baz\"}")
{foo: "baz"}

Для данного ключа парсер Erlang сохранит оба значения, а вот Javascript-парсер сохранит только последнее, что позволит обойти все соответствующие проверки ввода и создать пользователя с правами администратора.

Исследователь указывает на то, что использовать несколько парсеров для обработки одних и тех же данных не очень правильно. Он предлагает сделать все возможное, чтобы не было никаких функциональных различий между парсерами, если есть необходимость использовать несколько.

МойОфис начал массовые сокращения на фоне финансовых трудностей

У разработчика офисного ПО «МойОфис» начались массовые сокращения. О предстоящем увольнении сотрудников будут уведомлять по электронной почте в течение ближайших двух недель. При этом в компании обещают соблюсти требования трудового законодательства, а часть специалистов готовы рассматривать на вакансии основного владельца бизнеса — «Лаборатории Касперского».

О ситуации сообщил CNews, сославшись на внутреннее письмо гендиректора компании Вячеслава Закоржевского, которое, как утверждается, было разослано сотрудникам 23 марта 2026 года.

Судя по содержанию письма, в 2025 году «МойОфис» столкнулся с серьёзными финансовыми трудностями. Несмотря на предпринятые усилия, объём ключевых направлений бизнеса сократился, а текущая модель работы, как следует из документа, требует серьёзной перестройки, чтобы компания смогла сохранить устойчивость.

Дополнительный резонанс ситуации добавили слова одного из акционеров, Дмитрия Комиссарова. По его словам, решение о сокращениях принимала «Лаборатория Касперского», которая владеет контрольной долей в компании. При этом, как утверждает Комиссаров, миноритарных акционеров не уведомили ни о результатах 2025 года, ни о планируемой реструктуризации, ни о планах на 2026-й.

Напомним, ранее «Лаборатория Касперского» прокомментировала слухи о возможной продаже разработчика офисного ПО «МойОфис» и дала понять: никакой сделки на горизонте сейчас нет.

Финансовая картина у компании и правда остаётся тяжёлой. По итогам 2024 года «МойОфис» показал чистый убыток в 1,2 млрд рублей. Для сравнения: в 2023 году убыток был ещё выше — 5 млрд рублей. Отчётность за 2025 год пока не опубликована.

И это особенно заметно на фоне общего состояния рынка. Российский рынок программного обеспечения, наоборот, продолжает расти: по итогам 2025 года его объём, по приведённым данным, достиг 808 млрд рублей, прибавив 21% год к году. Росту помогли уход иностранных вендоров, активное импортозамещение и налоговые льготы для отрасли.

В самой компании подчёркивают, что речь идёт именно о реструктуризации. После неё, как заявили представители «МоегоОфиса», будут трансформированы отдельные внутренние функции и подразделения. При этом разработчик продолжает работать в обычном режиме и выполнять обязательства перед клиентами и партнёрами.

RSS: Новости на портале Anti-Malware.ru