США выпустили новую национальную стратегию кибербезопасности

США выпустили новую национальную стратегию кибербезопасности

США выпустили новую национальную стратегию кибербезопасности

Министерство внутренней безопасности США во вторник представило новую национальную стратегию кибербезопасности. Стратегия кибербезопасности опубликована на фоне опасений по поводу проведения выборов в Конгресс США в середине 2018 года и многочисленных громких взломов американских компаний.

В 35-страничном отчете, просмотренном Reuters до его публичного выпуска, говорится о том, что США сталкиваются с угрозами со стороны растущего числа сложных таргетированных атак в киберпространстве. Мотивация злоумышленников включает в себя шпионаж, политические и идеологические интересы и финансовую выгоду. Сегодня государства продолжают представлять значительную киберугрозу, однако все чаще появляются негосударственные субъекты с возможностями, соответствующими возможностям государств.

В отчете отмечается, что к 2020 году ожидается подключение более 20 миллиардов устройств к Интернету. Это повлечет за собой рост рисков информационной безопасности, связанных с растущим числом и разнообразием таких устройств.

В связи с этим правительство должно думать уже не только о защите конкретных активов. Все чаще оно будет сталкиваться с системными рисками, которые влияют на всех, начиная от технологических компаний до домовладельцев.

В отчете также отмечается, что вторжение 2015 года в федеральное агентство привело к компрометации кадрового учета более 4 миллионов федеральных служащих и в целом затронуло почти 22 миллиона человек.

 

" />
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Уязвимость в Axios: риск SSRF и утечки учеток для миллионов юзеров

Опубликована PoC-атака на уязвимость, выявленную прошлым летом в HTTP-клиенте Axios. Эксплойт грозит подменой запросов на стороне сервера (SSRF) и кражей конфиденциальных данных; патч вышел в составе сборки 1.8.2.

Ввиду большой популярности Axios (до 250 млн загрузок в месяц) проблема CVE-2025-27152 предоставляет широкие возможности для злоупотреблений.

Уязвимость проявляется при обработке абсолютных URL в пользовательском вводе. Даже в тех случаях, когда в настройках выставлен baseURL, Axios проигнорирует это и отправит запрос, используя полный адрес ресурса.

В результате возникла угроза обхода защиты и несанкционированного доступа к ресурсам. В случае атаки подобный недочет позволяет через SSRF обращаться к другим внутренним хостам в целевой сети, а также спровоцировать утечку учеток и API-ключей, вставляемых в заголовки запросов.

Уязвимости подвержены экземпляры Axios сборок 1.7.9 и ниже, вне зависимости от того, как они работают — на стороне сервера или клиента. Пользователям настоятельно рекомендуется обновить JavaScript-библиотеку до версии 1.8.2 или выше; риск эксплойта можно снизить вводом проверки пути поиска ресурса и запрета на использование абсолютных URL в запросах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru