©
P-Reliz.ru - агрегатор пресс-релизов

Чат-бот, не ругайся! Хакеры атакуют фреймворк Rasa

В популярном фреймворке для создания диалоговых приложений на базе искусственного интеллекта — Rasa, выявлена критическая уязвимость с обозначением CVE-2024-49375. Оценённая по шкале CVSS в 9,1 балла, она предоставляет злоумышленникам возможность удалённого выполнения кода (RCE) через загрузку вредоносных моделей. Руководитель лаборатории исследований кибербезопасности компании «Газинформсервис» Вадим Матвиенко подчёркивает необходимость разработки эффективной стратегии по выявлению и устранению уязвимостей; в этом поможет инструмент GSOC.

Rasa — это широко используемый фреймворк для создания текстовых и голосовых диалоговых приложений на основе искусственного интеллекта. Загруженный более чем 25 миллионов раз, он является ключевым инструментом для внедрения машинного обучения в текстовые и голосовые интерфейсы.

В рекомендациях по безопасности Rasa отмечают, что обнаруженная уязвимость затрагивает как Rasa Pro, так и Rasa Open Source, и связана с HTTP API, активируемым с помощью флага — enable-api. Злоумышленник, способный удалённо загрузить вредоносную модель в экземпляр Rasa, может получить возможность удалённого выполнения кода.

 «Атаки на цепочку поставок остаются одной из ТОП-5 угроз. Эксплуатация уязвимостей в фреймворке Rasa может привести к тому, что злоумышленник может загрузить вредоносную модель для обучения. И тогда чат-бот вместо "Добро пожаловать" будет цитировать оскорбительное или запрещённое законодательством высказывание», — комментирует Вадим Матвиенко.

Rasa уже выпустила исправления для решения этой критической проблемы. Пользователям настоятельно рекомендуется обновиться до следующих версий. Чтобы полностью устранить уязвимость CVE-2024-49375, пользователи также должны переобучить свои модели с использованием исправленной версии.

«В больших компаниях с множеством ИТ-активов сложно следить за всем уязвимым ПО. Поэтому необходимо выстраивать и поддерживать процесс управления уязвимостями, с чем отлично справляются эксперты из GSOC, центра мониторинга и реагирования компании "Газинформсервис"», — добавляет киберэксперт.

ООО «Газинформсервис» — отечественный разработчик программных и программно-аппаратных средств обеспечения информационной безопасности и комплексной инженерно-технической охраны. Компания специализируется на создании систем обеспечения информационной безопасности объектов и ИБ-систем для корпораций энергетической и транспортной отраслей, органов государственной власти, промышленных предприятий, а также учреждений финансового сектора и телекоммуникационных компаний.

P-Reliz.ru - аггрегатор пресс-релизов

Другие пресс-релизы ООО "Газинформсервис"


Киберэксперт Едемская: цепочка мелких уязвимостей может разрушить систему безопасности

Исследователь безопасности обнаружил критическую уязвимость в веб-приложении, которая позволила ему, имея учётную запись обычного пользователя, получить полный контроль над административной панелью. Эксплойт был основан на комбинации нескольких ошибок: отсутствии подтверждения email, слабом контроле доступа к административным функциям и возможности редактирования чужих профилей без повторной аутентификации.


Мошенники нацелились на школьников: новая схема обмана с допуском к ЕГЭ и ОГЭ

Телефонные мошенники разработали новую схему обмана, нацеленную на детей, сдающих ЕГЭ и ОГЭ. Злоумышленники сообщают школьникам о якобы непройденной регистрации на образовательном сервисе и угрожают недопуском к экзаменам. Под предлогом решения проблемы они отправляют фишинговые ссылки, переходя по которым дети теряют деньги. Об этом сообщил ТАСС старший оперуполномоченный УБК МВД России Илья Елясов.


Как новые штрафы КоАП и блокировки каналов в Telegram повлияли на рынок утечек в 2025 году

С сегодняшнего дня вступает в силу действие поправок в КоАП РФ об оборотных штрафах вследствие повторно допущенной утечки персональных данных из организации. В то же время Роскомнадзор опубликовал статистику российских инцидентов с утечками: в ведомстве зафиксировали 30 утечек данных. Общий объём скомпрометированных данных составил 38 млн строк.


Зачем создавать рекомендательные системы, которые «понимают» пользователей

Современные рекомендательные системы часто отстают от динамично меняющихся предпочтений пользователей. На «ТелеМультиМедиа Форуме 2025» Ирина Меженева, ведущий инженер-аналитик лаборатории топологического анализа данных и искусственного интеллекта аналитического центра кибербезопасности компании «Газинформсервис», рассказала об инновационном подходе к созданию рекомендательных систем, способных «понимать» пользователей и предсказывать их интересы.


НеSOCрушимая безопасность: «Газинформсервис» рассказал о достижениях GSOC и новых инструментах кибербезопасности

23 мая на пресс-конференции в рамках международного киберфестиваля Positive Hack Days 2025 (PHDays 2025) компания «Газинформсервис» представила новую разработку в сфере кибербезопасности и рассказала об успехах своего центра мониторинга и реагирования GSOC, запущенного ровно год назад на этом же мероприятии. Николай Нашивочников, технический директор компании, остановился на ключевых достижениях GSOC и анонсировал новый продукт.


$650 за баг: уязвимость в аутентификации дорого стоила компании

Эхтешам Уль Хак, аналитик по кибербезопасности из Пакистана, обнаружил уязвимость в веб-приложении, позволяющую обойти аутентификацию на основе одноразовых паролей (OTP), и заработал на этом $650. Михаил Спицын, киберэксперт лаборатории стратегического развития продуктов кибербезопасности компании «Газинформсервис», подчёркивает, что этот случай демонстрирует необходимость комплексной защиты, особенно при использовании OTP.


Киберэксперт о возвращении Windows: новые вызовы кибербезопасности

В российском корпоративном секторе после новости о возвращении операционной системы Windows ряд организаций принимает решение вернуться к привычной платформе. Как заключает киберэксперт, менеджер продукта «Блокхост-Сеть 4» компании «Газинформсервис» Константин Хитрово, это создаёт новые вызовы для обеспечения информационной безопасности.