В OpenSSH нашли возможность удалённого выполнения кода

В OpenSSH нашли возможность удалённого выполнения кода

В OpenSSH нашли возможность удалённого выполнения кода

В отдельных версиях OpenSSH нашли новую уязвимость, которая в случае эксплуатации может привести к удалённому выполнению кода. Это уже вторая брешь, раскрытая в наборе программ для шифрования сеансов за полторы недели.

Напомним, в начале месяца мы сообщали об уязвимости «RegreSSHion» — CVE-2024-6387, затрагивающей серверный компонент OpenSSH.

Новая брешь, получившая идентификатор CVE-2024-6409 и 7.0 баллов по шкале CVSS, отличается от RegreSSHion. Проблема связана с выполнением кода в дочернем процессе privsep.

Как отмечают специалисты, баг существует из-за так называемого «состояния гонки» в механизме обработки сигналов. Брешь затрагивает исключительно версии 8.7p1 и 8.8p1, которые поставляются в Red Hat Enterprise Linux 9.

На CVE-2024-6409 указал исследователь Александр Песляк, известный под псевдонимом Solar Designer. Интересно, что специалист вышел на уязвимость после анализа RegreSSHion.

«Основное отличие новой бреши от CVE-2024-6387 — наличие состояния гонки и возможность удалённого выполнения кода в дочернем процессе privsep, который работает с пониженными правами», — объясняет Песляк.

«Таким образом, можно сделать вывод, что риски эксплуатации существенно снижаются. Однако киберпреступники всё равно могут предпочесть эксплуатацию CVE-2024-6387 в определённых условиях».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Проект российской ОС на базе AOSP вновь прорабатывается

Министр цифрового развития, связи и массовых коммуникаций Максут Шадаев заявил, что российский аналог Android станет одной из двух операционных систем, на которых будут работать планшеты для учителей и врачей.

Еще одной операционной системой для планшетов, которыми будут оснащать сотрудников сферы образования и здравоохранения, станет «Аврора».

Как анонсировал глава Минцифры, состав консорциума и подробности станут известны к весне 2025 года.

«Что касается операционной системы, пока у нас подход такой нелинейный, пока он гибридный. Мы предполагаем, что на этих планшетах будут работать две операционные системы: "Аврора" — для выполнения производственных задач, то есть, условно, учителям вести электронные журналы, дневники, работать с электронным контентом — на "Авроре", как защищенной операционной системе; и вторая - мы сейчас разрабатываем на базе AOSP свой аналог Android, который будет у нас второй системой, который будет уже, условно, системой для жизни, который не потребует адаптации большого количества мобильных приложений», — заявил Максут Шадаев.

Всего в рамках проекта «Экономика данных» предусматривается выделение 650 тысяч устройств для оснащения учителей и медицинских работников (прежде всего сотрудников скорой помощи). Данный проект, как особо отметил Максут Шадаев, позволит развернуть массовое производство отечественных планшетов:

«Пока у нас с ноутбуками более-менее, серверы у нас очень хороши, системы хранения данных. Но пока российских планшетов массово нет. Мы считаем, что одна из задач этого проекта — создать массовое производство».

Однако, как сообщил «Коммерсантъ», в мае 2024 года распался альянс VK, Сбера и Яндекса по созданию российской ОС на базе AOSP. Каждая из компаний решила сосредоточиться на своем варианте, причем Яндекс, по данным источников «Коммерсанта», сделала ставку на ОС для телевизоров, а не мобильных устройств. VK сообщил, что и вовсе не имеет планов на создание собственной операционной системы.

Из числа уже выпущенных российских мобильных операционных систем большая часть базируется на Linux и очень ограниченно совместимы с Android. На AOSP базируется две системы: kvadraOS от Yadro и РедОС М. Но kvadraOS, по данным источника в компании, не предполагается выпускать на открытый рынок в ближайшей перспективе. РедОС М же представляет собой фактически две ОС — AOSP и Linux.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru