Хакеры могут получить полный контроль над серверами
Недавно были обнаружены уязвимости в утилите для синхронизации и передачи файлов в Linux и Unix-подобных операционных системах Rsync (CVE-2024-12084, CVE-2024-12085, CVE-2024-12086, CVE-2024-12087 и CVE-2024-12088). Они представляют серьёзную угрозу для безопасности серверов. Как отмечает Екатерина Едемская, инженер-аналитик компании «Газинформсервис», такое сочетание уязвимостей позволить злоумышленникам выполнить произвольный код и получить полный контроль над сервером — это может поставить под угрозу конфиденциальные и чувствительные данные организаций и пользователей.
«Переполнение буфера открывает возможность записи данных за пределы выделенной области памяти, что может быть использовано для внедрения вредоносного кода, в то время как утечка информации позволяет получить доступ к неинициализированной памяти, что может раскрыть чувствительные данные. В совокупности эти уязвимости дают атакующим возможность полностью контролировать сервер», — предупреждает Едемская.
Уязвимости утечки файлов (CVE-2024-12086), записи файлов в внешние директории (CVE-2024-12087) и обхода защиты безопасных ссылок (CVE-2024-12088) позволяют атакующим не только выполнять произвольный код, но и манипулировать файловой системой, извлекая или записывая данные в произвольные директории.
Хотя некоторые уязвимости имеют более низкий уровень риска по шкале CVSS, их комбинированное использование значительно повышает эффективность атаки. Эксперт рекомендует незамедлительно обновить Rsync до версии 3.4.0 и внедрить системы мониторинга, способные выявлять аномальную активность: «Помимо установки патчей, следует настроить системы мониторинга для обнаружения аномальной активности, что обеспечит быструю реакцию на возможные попытки эксплуатации уязвимостей. В этом контексте системы UEBA, такие как Ankey ASAP от компании "Газинформсервис", могут значительно усилить защиту, так как они используют машинное обучение и алгоритмы анализа поведения для выявления аномалий в действиях пользователей и сущностей. ASAP позволяет обнаруживать необычные паттерны поведения, которые не соответствуют обычным действиям, что может указывать на попытки эксплуатации уязвимостей. Это даёт возможность быстро реагировать на инциденты, снижая время между обнаружением атаки и её нейтрализацией».
2 октября в рамках межвузовского студенческого форума GIS DAYS (Global Information Security Days) состоится мастер-класс, призванный помочь всем желающим не просто найти работу, а построить по-настоящему успешную и востребованную карьеру в сфере информационной безопасности. Эксперт в области подбора и развития талантов в информационной безопасности, ведущий менеджер по персоналу компании «Газинформсервис» Юлия Богданова, расскажет, как молодым специалистам войти в одну из самых востребованных и быстрорастущих ИТ-сфер..
В 2025 году количество кибератак на автомобили увеличилось на 20% по сравнению с предыдущим годом, достигнув 328 случаев за первые восемь месяцев. Эксперты крупнейших в России IT- и ИБ-компаний рассказали о возросшем интересе киберпреступников к автопрому и предостерегли от киберрисков.
Телерадиоведущая и филолог Анна Дробот выступит с эксклюзивным мастер-классом по риторике и самопрезентации на Межвузовском студенческом ИБ/ИТ-форуме GIS STUDENT DAY 2025, который пройдёт 2 октября в Санкт-Петербурге. Её сессия станет важной частью HR-трека, посвящённого развитию гибких навыков (soft skills) в сфере информационной безопасности.
Эксперт команды VK Bug Bounty Алексей Лямкин выступит на Студенческом дне ИБ/ИТ-форума GIS DAYS* 2025. Мероприятие пройдёт 2 октября 2025 года на одной из самых популярных площадок Северной столицы — в «Севкабель Порт». Фокусом его доклада станет индустрия Bug Bounty — одно из самых трендовых и высокооплачиваемых направлений в сфере кибербезопасности.
1–2 октября в рамках форума GIS DAYS* 2025 компания «Газинформсервис» проведёт киберсоревнования на собственном киберполигоне в формате Red Team vs Blue Team. За призовой фонд будут бороться четыре «синие» и восемь «красных» команд. Призовой фонд — 5 000 000 рублей.
