68691
SecurityLab — ваш надежный проводник в мире кибербезопасности, технологий и науки. РКН: https://vk.cc/cFXCkO Наши каналы: https://t.me/addlist/G_0tnwZJOrA3MzEy Голосуйте за канал: https://t.me/SecLabNews?boost
❓Ваш хостинг ещё не в реестре? Госдума уже проголосовала за штраф до 1 млн
Госдума приняла в первом чтении законопроект, устанавливающий штрафы до 1 млн рублей за нарушение требований к деятельности провайдеров хостинга. Инициатива была внесена группой депутатов и сенаторов во главе с Антоном Горелкиным и направлена на дополнение Кодекса об административных правонарушениях.
За работу без включения в реестр провайдеров хостинга граждан ждут штрафы от 50 до 100 тыс. рублей, индивидуальных предпринимателей — от 200 до 500 тыс. рублей. Юридические лица могут быть оштрафованы на сумму от 600 тыс. до 1 млн рублей за аналогичные нарушения.
С февраля прошлого года в России действует закон, обязывающий хостинг-провайдеров уведомлять Роскомнадзор о своей деятельности и подтверждать возможность безопасного хранения данных. Однако на рынке до сих пор остаются компании, которые игнорируют эти требования и считают, что закон их не касается.
#госдума #хостинг #регулирование
@SecLabNews
Июль приносит новые знания! Приглашаем на митап CyberCamp* — разберем работу с внешними цифровыми угрозами ⚡️
18 июля в 13:30 мск оставим в стороне классический TI* и поговорим про другие стороны киберразведки.
В программе:
⏩OSINT* активов компаний: как работают популярные инструменты
⏩Фишинг в 2025: как выжить, если злоумышленник уже давно пользуется AI*
⏩Применение обработки естественного языка в OSINT
⏩Поднимаем завесу: как происходит настоящий Intelligence* в даркнете
⏩Взлом через подрядчика: взгляд киберразведки
⏩«Я тебя по IP* вычислю!» — разбираем кейсы реальных атак и ищем их организаторов
⏩Ты — цель. Построение персонализированной модели угроз
Участвовать можно в двух форматах:
▶️ смотреть доклады онлайн
▶️ практиковаться в киберучениях (заявки принимаются до 15 июля)
Регистрация уже на сайте!🖱
*CyberCamp — Сайберкэмп
*TI — Киберразведка
*OSINT — Разведка по открытым источникам
*AI — Искусственный интеллект
*Intelligence — Разведка
*IP — Сетевой протокол
🧠ИИ прочитал вас по сохранёнкам
Закрытие Pocket стало поводом для нетривиального эксперимента: инженер и бывший офицер ВВС решил скормить ИИ свой архив из 878 сохранённых статей за 7 лет — и получил в ответ точнейший личностный портрет. Без анкет, логов и метаданных — только URL, заголовки и время сохранения.
С помощью утилиты xsv и модели o3 он выяснил, что алгоритм способен вычислить не только возраст, доход и количество детей, но и уровень тревожности в ноябре, тягу к самодельным E-Ink-устройствам и циклы профессионального выгорания. Причём точность оказалась выше, чем у многих опросников: срез по ролям, привычкам и целям напоминал психологический паспорт.
Эксперимент напомнил: даже «песочница для ссылок» выдаёт нас с головой. Данные о чтении — это не просто интересы, это карты мышления. И чем глубже их анализируют ИИ-модели, тем острее вопрос: кто на самом деле знает нас лучше — мы или алгоритмы?
#личныеданные #ИИ #самоанализ
@SecLabNews
Каким будет SOC будущего?
В новой статье для Positive Research Алексей Лукацкий, бизнес-консультант по ИБ Positive Technologies, рассказывает, как философия работы SOC уже меняется от круглосуточного наблюдения к интеллектуальному управлению инцидентами.
🔴 Автономные SOC — новый виток развития технологий
🔴 SIEM-решения — стареющее ядро SOC
🔴 Виртуальные сотрудники: встроенные ИИ-аналитики
#PositiveResearch
🛡Белых хакеров снова загнали в тень
Госдума отклонила законопроект о легализации этичного хакинга в России. Профильный комитет по госстроительству признал инициативу сырой и рискованной для критической инфраструктуры.
Корень проблемы — в системных противоречиях. Депутаты требуют комплексных изменений в уголовном праве, которых до сих пор нет. Особую тревогу вызывает передача данных об уязвимостях зарубежным разработчикам из недружественных юрисдикций — прямая угроза нацбезопасности.
Отрасль остается в правовом вакууме. Проект обещают вернуть. Но пока что — белым хакерам всё так же нельзя.
#инфобез #bugbounty #госдума
@SecLabNews
Остаётся ли в тайне ваш диалог с ИИ?
Большие языковые модели умеют многое — от помощи в аналитике до написания кода. Но за удобством скрываются риски: утечки данных, нарушение комплаенса, потеря интеллектуальной собственности.
🔐 На вебинаре 9 июля расскажем:
— Что происходит с вашими данными в ChatGPT, Claude, Perplexity, Gigachat и других.
— Как отличаются политики конфиденциальности вендоров.
— Что можно, а что нельзя отдавать внешним LLM.
— Как настроить корпоративные правила безопасного использования ИИ.
— Как защитить свои данные от попадания в обучающие датасеты.
🎯В финале — готовый шаблон политики + чеклист для компаний.
И всё это — на реальных кейсах.
👉 Присоединяйтесь: разберём, как использовать LLM с пользой и без риска.
0️⃣Обнаружена эксплуатация новой 0day уязвимости в серверах Exchange
🔓 Кибергруппировка NightEagle эксплуатирует ранее неизвестную 0day уязвимость в Microsoft Exchange для получения machineKey сервера. С помощью этого ключа хакеры проводят удалённую десериализацию и устанавливают вредоносное ПО на серверы любой совместимой версии Exchange.
🎯 Группа целенаправленно атакует ведущие китайские компании в сфере высоких технологий, производства чипов, квантовых разработок и искусственного интеллекта. Для подбора нужной версии Exchange злоумышленники последовательно перепробовали все популярные версии на рынке, демонстрируя высокий уровень подготовки.
💻 Хакеры используют уникальный вредонос, работающий исключительно в памяти и остающийся невидимым для систем защиты. Все атаки происходят строго с 21:00 до 6:00 по пекинскому времени, что указывает на вероятное происхождение группы из Северной Америки.
#0day #exchange #кибератаки #китай
@ZerodayAlert
🔑Гейминг под контроль: кто и как будет рулить отраслью?
Российским разработчикам игр дали домашнее задание: к следующему совещанию представить предложения по стратегии всей индустрии. Один из ключевых пунктов — выбор госоргана, который будет отвечать за гейминг. Ранее АПРИОРИ уже предлагала свою версию стратегии: господдержка — только тем, кто работает на NAU Engine и предустанавливает VK-магазины. Вернутся ли к этим условиям — пока вопрос.
Ещё одна идея на столе — пускать в Россию только те зарубежные игры, что работают через российских издателей. Локализация? Безусловно. Но индустрия опасается, что зеркальные шаги не заставят себя ждать.
Всё идёт к созданию «дорожной карты» — то ли маршрута к росту, то ли кольцевой с односторонним движением.
#видеоигры #регулирование #локализация
@SecLabNews
🆕 Еженедельный обзор киберновостей SecurityLab
Эта неделя отметилась серьёзными прорывами хакеров: от компрометации Call of Duty через Game Pass до критической уязвимости в sudo, которая дает злоумышленникам root-доступ к системам. Одновременно с этим мир стал свидетелем революционных научных открытий — от пересмотра закона Ома до создания искусственного "сердца звезды" на Земле — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.
🌎В мире
Канада официально отказывается от камер Hikvision из соображений национальной безопасности.
Хакеры превратили популярную игру Call of Duty в поле для атак, взломав тысячи ПК через уязвимость в Game Pass.
За четыре месяца китайские хакеры с помощью трёх CVE и одного руткита обчистили крупнейшие системы половины Европы.
Армия из тысяч поддельных сайтов Apple атакует покупателей по всему миру.
Более ста американских компаний годами платили зарплату северокорейским шпионам, не подозревая об их истинной принадлежности.
🎯 В России
Роскомнадзор подвёл итоги: за полгода произошло 35 утечек данных, затронувших 39 миллионов записей.
Госдума готовит суровые меры: за передачу SIM-карты другому лицу теперь можно получить до трёх лет лишения свободы.
Иностранные мессенджеры и соцсети рискуют исчезнуть с российских экранов, если не выполнят требования властей.
Минцифры строит цифровую систему борьбы с мошенниками: теперь ваш голос станет частью большой игры против аферистов.
Россия ужесточает требования к микрочипам: чтобы стать "своим", придётся отдать 5 миллиардов рублей и 2 года на сертификацию.
👾 Цифровой апокалипсис
Критическая уязвимость в sudo предоставляет любому пользователю root-доступ к системе.
Google обнаружил активно эксплуатируемую уязвимость нулевого дня в Chrome — обновите браузер прямо сейчас.
Исследователи раскрыли, как Google годами создавал защиту, а хакеры взломали её всего за 16 часов.
Обнаружено 352 Android-приложения, которые воруют деньги пользователей прямо сейчас.
Эксперты предупреждают: если вы расплачивались телефоном за кофе, хакеры уже могут знать ваш PIN и номер карты.
⭐️Новости науки и технологий
Учёные создали искусственное "сердце звезды" на Земле: температура достигла 150 миллионов градусов и продержалась 43 секунды.
Физики совершили революцию в материаловедении: эпоха кремния подходит к концу, на смену приходит управляемая материя.
Столетний закон Ома оказался неточным: учёные объяснили, почему привычная формула тока не работает в асимметричных материалах.
Квантовая физика преподнесла очередной сюрприз: учёные доказали, что частицы могут двигаться без энергии.
В России успешно протестировали 50-кубитный квантовый компьютер, который уже решает практические задачи.
Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.
@SecLabNews
🧠В 13 лет — багхантер Microsoft
Что заставило корпорацию с триллионной капитализацией переписать условия Bug Bounty? 13-летний Dylan, который научился ломать Teams во время карантина.
Девять месяцев тайного изучения уязвимостей — и критическая дыра в Authenticator Broker. MSRC отмахнулась от школьника, но он не сдался. Аргументированный разбор заставил экспертов признать ошибку и расширить программу.
Виолончель, математические олимпиады, плавание — и параллельно третье место среди лучших хакеров мира. Двадцать отчетов об уязвимостях за одни каникулы доказывают: талант не ждет совершеннолетия.
#bugbounty #teams #msrc
@SecLabNews
🛑 Маршруты молчат, пакеты теряются
4 июля зафиксирован масштабный сбой в сетях МТС и МГТС. Одновременно обрушились мобильный интернет и проводной доступ, что указывает на сбой уровня магистральной маршрутизации или точек агрегации трафика.
По данным Downdetector и Сбой .РФ, затронуты регионы с независимыми маршрутами: Москва, Краснодарский край, Чувашия и другие. Вероятная причина — нарушение работы BGP-анонсов или проблемы с кросс-доменным управлением.
На стороне клиента — полное отсутствие IP-сессий, нестабильный DNS и невозможность установления TLS-соединений. Пока операторы не публикуют трассировку сбоев и не раскрывают глубину аварии.
#mts #сбой #интернет @SecLabnews
⚡️Экстремисты устроили в мессенджере охоту на головы
Федералы поймали 24-летнего Ноа Лэмба за руку — парень оказался одним из кураторов Terrorgram Collective, экстремистской ячейки, которая ведёт через мессенджер настоящую охоту на головы. В "меню" попали федеральные служащие, топ-менеджеры и активисты — сортировали по цвету кожи, вере и ориентации.
Через основной канал участники получали готовые инструкции по взрывчатке, свежие адреса жертв и координаты энергообъектов для диверсий. Метод оказался рабочим: ножевые атаки в турецких мечетях, планы подрыва электросетей в Нью-Джерси, стрельба в Словакии. Цифровая платформа стала синхронизатором для международной сети радикалов.
Арест Лэмба показывает, что терпение у властей закончилось. Байден объявил Terrorgram террористической организацией, теперь участникам грозит 85 лет тюрьмы. Telegram окажется под ещё большим прессингом: либо ужесточает модерацию до предела, либо готовится к новым судебным искам и блокировкам в ключевых юрисдикциях.
#террогрэм #модерация #экстремизм
@SecLabNews
🔥CICADA8 запускает Dependency Firewall — платформу нового поколения для контроля безопасности компонентов разработки
8 июля в 12:00 — презентация решения нового поколения контроля безопасности компонентов и зависимостей. Не анализатор, а настоящий фаерволл: проверка CVE, лицензий, секретов, сборка SBOM и отчёты — всё до того, как код попадает в инфраструктуру.
Если вы отвечаете за безопасность разработки — must see*
🔗 Зарегистрироваться на трансляцию
*обязательно к просмотру
🇷🇺 Срок за SIM-карту: что теперь под запретом в Рунете
Передал номер другому — сел. Зарегистрировал аккаунт на чужой номер — тоже срок. Проект поправок к УК уже поддержан, и формулировки не оставляют вариантов: ответственность будет реальной.
Вводится новая статья — 274.4. Под запретом передача абонентских номеров третьим лицам, если это сделано ради выгоды или для преступления. Штраф — до 700 тысяч. Лишение свободы — до 3 лет. Даже если просто участвовал — всё равно получишь до 2 лет.
Но и это не всё. Статья 274.5 касается уже самой авторизации в интернете. Передал кому-то код, дал доступ для входа — это уже уголовка. Максимум — те же 3 года.
Что это: борьба с фродом или новая цифровая реальность? В любом случае — теперь за SIM-карту отвечаешь как за паспорт.
#связь #уголовка #инфобез
@SecLabNews
Standoff Hackbase присоединился к экспертной работе в рамках Pentest Award
Номинация «Пробив инфраструктуры» на Pentest Award в 2025 году будет оцениваться при участии технических экспертов из Standoff Hackbase — полигона для тренировки навыков наступательной ИБ.
Категория посвящена поиску уязвимостей в сетевых сервисах, устройствах и IoT. В фокусе — глубина анализа, оригинальность технических решений и успешная эксплуатация вне веб-контекста.
🛠 Всего в премии 9 номинаций. Участие бесплатное, кейсов можно подать несколько.
🗓 Приём заявок — до 16 июля.
🏁 Финал — 1 августа в Москве.
🔗 Подробности: award.awillix.ru
#pentestaward
🔐 Центробанк закручивает гайки: криптография КС1, ГОСТ, биометрия и 3 часа на отчёт
Банк России меняет правила игры на рынке платежей — и речь не только о банках. Новая редакция указания №821-П требует криптографии уровня не ниже КС1, усиленной ЭП и полной отчётности об инцидентах за 3 часа. Под удар попадают и те, кто раньше жил «на грани» — филиалы иностранных банков, платежные агенты и платформы, работавшие без формальных ИБ-обязательств.
Технически ключевой акцент — верификация и защита биометрии: только российская криптография, цифровые отпечатки вместо образов, обязательная синхронизация времени через ГЛОНАСС с точностью до 3 секунд. Также вводится обязанность обеспечивать целостность электронных сообщений и событийных журналов.
Для среднего банка это вложения в десятки миллионов, а оценка соответствия — от миллиона рублей. Но отказать себе в защите уже не получится: ЦБ фиксирует рост инцидентов из-за подрядчиков и требует от всех участников платежного оборота единых стандартов. Тарифы, скорее всего, не вырастут — а вот маржа сожмётся.
#ЦБ #криптография #финансы @SecLabNews
⚡️Крипта ≠ зарплата: даже частично — нельзя
Российским компаниям по-прежнему запрещено платить сотрудникам в криптовалюте — даже частично. Минтруд напомнил: зарплата по закону возможна только в рублях. Но бизнес не унимается — особенно те, кто работает с релокантами. После запуска режима трансграничных криптоплатежей в 2024-м многие решили: окно возможностей приоткрыто.
Формально цифровые активы не признаны платёжным средством. А значит, криптозарплата — не экономия, а риск: от налоговых до уголовных. Законопроект уже на подходе — штрафы до миллиона и конфискация средств.
Рынок зовёт к гибкости, регулятор — к дисциплине. И пока компромисс только один: цифровой рубль. Но в биткоин вы его не обменяете.
#зарплата #криптовалюта #штрафы
@SecLabNews
🤖Ты играешь — они получают доступ: как TapTrap обходит защиту Android
Исследователи из TU Wien и Университета Байройта показали, что на Android можно обойти любые системные разрешения... не спрашивая ничего. Метод TapTrap маскирует вредоносные действия под анимации интерфейса, так что пользователь уверен: он нажимает на элемент в игре. А на деле — передаёт доступ злоумышленникам.
Фишка в прозрачной активности с кастомной анимацией: на экране вроде бы ничего нет, но касание уже передано другому приложению. Без наложений, без разрешений. Всё штатно, через startActivity(). Даже Android 16 на Pixel 8a не спасает.
76% приложений из Play Store потенциально уязвимы. Почти никто не учитывает, что анимации — это тоже вектор атаки. Google пообещал закрыть дыру, GrapheneOS уже готовит патч. А пока? Даже «непрошеное» касание может быть критичным.
#Android #TapTrap #MobileSecurity
@SecLabNews
🇷🇺 Персональные данные — только на отечественном
Минцифре, ФСБ и ФСТЭК поручено до декабря 2025 года подготовить поправки, по которым обрабатывать и хранить персональные данные можно будет только на российском софте. Включая СУБД. Крайний срок перехода — 1 сентября 2027 года. Под ударом — миллионы систем, от федеральных регистров до бухгалтерий в регионах.
Требование касается всех: от «Сбера» и Минтруда до микроклиник и ТСЖ. Вопрос не только в замене СУБД — придётся переделывать прикладные системы, процессы, интеграции. Особенно там, где Oracle и MS SQL — часть критичных IT-ландшафтов. На кону — совместимость, SLA, устойчивость к нагрузкам.
Вендоры уже предлагают open source с локальной поддержкой, а рынок ждёт реестр сертифицированных сборок. Но если подходы к категорированию операторов и техтребования не будут прозрачными, это обернётся хаосом. Переход возможен — но при условии технической зрелости, не лозунгов.
#импортозамещение #персональныеданные #СУБД
@SecLabNews
🧨 $920 против банковской инфраструктуры
📥 Как продать страну за цену смартфона? Сотрудник компании C&M, ответственной за каналы между банками и Центробанком Бразилии, слил свои корпоративные учётки за... $920. Потом ещё немного поработал на команду — через Notion. В итоге: 140 миллионов долларов — не у ЦБ, не у банков, а на анонимных криптокошельках.
🔍 Технически — типичный провал архитектуры доверия. Нет, не софт подвёл — человеческий фактор. Но фактор этот почему-то получил доступ к критически важной инфраструктуре без адекватного контроля действий. Где лимиты? Где алерты? Где сегментация? Если «корпоративная учётка» одного клерка способна перевести сотни миллионов — это не инсайдер, это архитектурная недальновидность.
🚨 Пока одни гонятся за Zero-Day, другие покупают сотрудников. Пока уязвимость "в голове" остаётся главным вектором, архитектурный «хребет» систем должен предусматривать минимум доверия и максимум ограничений. C&M говорит: "это не баг, это инсайдер". А мы скажем: "если инсайдер может сломать систему — значит, система уже была сломана".
#инсайдеры #банк #социальнаяинженерия #кража
@CyberStrikeNews
🎭 Шесть нажатий Ctrl+C против всей системы защиты Linux
Механизмы шифрования, пароли на загрузчик и Secure Boot внезапно оказались бесполезны. Исследователь из ERNW Александр Мох показал, как с одним USB-накопителем и терпением можно получить контроль над системой — даже если она «максимально защищена». Виной тому — отладочная консоль, которая активируется при сбоях дешифровки root-раздела.
Ключевая проблема в том, что Secure Boot проверяет только ядро и модули, но не initramfs. Злоумышленник может вызвать шелл (например, на Ubuntu 25.04 — через ESC и шесть Ctrl+C), подключить внешний носитель с утилитами, изменить initramfs и внедрить вредоносные скрипты, которые выполнятся при следующей загрузке. Подписанные компоненты при этом остаются нетронутыми — система не видит подмены.
Решение — отключить отладочную оболочку через параметры ядра (panic=0, rd.shell=0), настроить пароль на сам процесс загрузки и зашифровать boot-раздел с помощью LUKS. Пока дистрибутивы не перейдут к единой подписанной сборке ядра и initramfs, уязвимость будет сохраняться.
#Linux #SecureBoot #initramfs @SecLabNews
📇 bitchat: офлайн-мессенджер, который не глушится
Когда сотовая сеть падает по аварии или приказу, коммуникация рушится первой. Разработчик jackjackbits предлагает иной маршрут: смартфоны образуют ячеистую цепь и сами передают сообщения, обходясь без вышек и провайдеров.
Связь держится на Bluetooth LE до 30 м, а каскад узлов увеличивает радиус. Бинарный протокол, адаптивное сжатие LZ4 и порог TTL = 7 ограничивают эфирную «болтовню». Ключи X25519 + AES-256-GCM шифруют, Ed25519 подписывает, фильтры Блума отсекают дубликаты, случайные идентификаторы и задержки скрывают метаданные.
Результат — автономный канал, устойчивый к обесточенным вышкам и DPI. Планируемые модули Wi-Fi Direct, LoRa и мосты Nostr расширят охват от квартиры до километров, не жертвуя шифрованием. Администраторам трафика придётся искать рычаги контроля уже вне привычной инфраструктуры.
#Bluetooth #локальнаяСеть #инфобез
@SecLabNews
👨🔬Мумбаи против Кремниевой долины — 4:0
История Сохама Пареха — лишь вершина айсберга. Программист из Мумбаи работал в четырёх стартапах, пока твит фаундера не запустил волну разоблачений. Выяснилось: армия таких "многостаночников" процветает в тени.
Пока компании гонятся за техническими навыками на собеседованиях, сабреддит r/overemployed растёт как на дрожжах. Там делятся советами, как совмещать несколько должностей и не попасться. Парех довёл себя до хронического недосыпания ради нескольких зарплат.
Индустрия создала монстра собственными руками. Игнорируя надёжность и командную работу ради быстрого найма, получили поколение корпоративных кочевников. Теперь каждый идеальный удалённый кандидат под подозрением — а что, если он уже кодит для ваших конкурентов?
#инсайдеры #удаленка #корпбез
@SecLabNews
💯 Когда сеть исчезает — остаёшься только ты и страх.
Когда пропадает интернет, сначала ты раздражаешься. Потом — нервничаешь. А потом приходит настоящий страх. Ведь мы уже не просто «сидим в интернете» — мы живём в нём. И внезапное отключение может лишить нас не только развлечений, но и навигации, связи, знаний, работы.
Что будет, если из-за сбоя, политического указа или атаки исчезнет Сеть — не на час, а на сутки или неделю? Не смогут работать онлайн-банки, навигаторы, облачные документы. Ты даже не сможешь посмотреть, где ближайшая аптека. И вот тогда начнётся настоящее выживание.
Но его можно избежать. Оффлайн-карты, локальные мессенджеры, радиосвязь, автономные энциклопедии — всё это уже существует. Главное — знать, как подготовиться заранее. Мы собрали для вас полный гид по цифровому автономному выживанию. Да, без шуток.
#интернет, #оффлайн, #безопасность @SecLabnews
💥 Сезон кода — этим летом в Казани!
Хватит писать код под лампами офисного потолка. 12 июля встречаемся на свежем воздухе: группа Т-Технологии проводит масштабный ИТ-фест в экстрим-парке «Урам».
💡 Для кого: разработчики (frontend + backend), аналитики, QA, архитекторы, продакты и просто фанаты технологий.
🏞 Где: Казань, экстрим-парк «Урам»
📅 Когда: 12 июля
Что в программе:
— Три секции про код, мышление и практику (спойлер: будет полезно и тем, кто пишет, и тем, кто придумывает);
— Реальные кейсы от команды Т-Банка;
— Инженерные зоны, карьерные консультации, нетворкинг без галстуков;
— Баланс-борды, самокаты, граффити и DJ-сет с видом на мост «Миллениум».
Чтобы попасть на Сезон кода, зарегистрируйтесь на сайте и сделайте пожертвование от 1000 ₽ в один из трёх фондов.
После регистрации вы получите письмо с ссылкой на сайт фонда — важно указать ту же почту, что и при регистрации!
👉Зарегистрироваться
Увидимся в Казани — будет жарко!
Реклама. АО "ТБанк", ИНН 7710140679, лицензия ЦБ РФ № 2673 от 24.03.2015 г. Erid: 2W5zFG99SLG
🕷«Sudo rm -rf /» — теперь и без пароля
На системах Linux обнаружена опасная уязвимость в sudo, связанная с обработкой chroot. Ошибка позволяет локальному пользователю получить root-доступ, обойдя все ограничения, включая SELinux и AppArmor — за счёт подмены nsswitch.conf в изолированной директории.
Ключевая проблема — отсутствие должной валидации при работе в chroot-среде. Вместо использования глобальных конфигураций, sudo обрабатывает подменённые локальные файлы, в том числе с указанием произвольных библиотек для разрешения имён. Загрузка таких библиотек происходит с привилегиями root.
Несмотря на выпуск патча (1.9.17p1), в продакшене остаются миллионы систем с уязвимыми версиями. Особенно тревожно то, что даже свежие образы Ubuntu на популярных хостингах содержат уязвимую сборку. Без обновления защита невозможна.
#уязвимость, #sudo, #эксплуатация
@SecLabnews
📡 Российский квант: 50 кубитов, кудиты и задачи
Россия выходит на передний край квантовых вычислений: в ФИАН создан и протестирован 50-кубитный компьютер на ионах иттербия. Кубиты удерживаются и управляются лазерами в условиях близких к абсолютному нулю — и уже решают практические задачи, от алгоритма Гровера до симуляции молекул.
Ключевая особенность — кукварты: ионы, способные находиться в четырёх состояниях. Это даёт прирост по объёму данных, но требует точнейшего контроля. Учёные разработали методы защиты от декогеренции, фильтрации шумов и стабилизации лазеров — и всё это уже работает.
Теперь ФИАН развивает то, до чего у многих руки ещё не дошли: масштабирование куквартов, отказоустойчивость, автоматизация. Следующая цель — серийный квантовый компьютер. А значит, время научных слайдов заканчивается — и начинается промышленный счётчик.
@SciTechQuantumAI
👏Huawei бросает в бой Cangjie против Java и Swift
Китайский гигант с 30 июля выпускает в открытый доступ язык программирования Cangjie — прямой вызов американской монополии. За первые недели тестирования подано 10 тысяч заявок, Meituan и JD.com уже разрабатывают на нём промышленные решения.
Cangjie создан как универсальный инструмент с нативной поддержкой ИИ, работающий не только в HarmonyOS, но и в Android с iOS. Это делает его троянским конём в экосистемах Google и Apple — разработчики получают альтернативу Java и Swift от игрока, которого Запад пытается изолировать.
Санкции 2019 года обернулись катастрофой для технологической гегемонии США. Вместо ослабления Huawei получила стимул создать независимую экосистему, которая теперь угрожает доминированию американских языков программирования на мировом рынке.
#ИБ #ТехВойна #Санкции
@SecLabNews
🚨 Бакинская восьмёрка: арест по паспорту
Восемь россиян с IT-бэкграундом получили четыре месяца ареста в Баку. Среди них — бывшие сотрудники VK, «Яндекса», стартапер и даже преподаватель детской компьютерной академии. Формальные обвинения стандартны: кибермошенничество и наркоторговля.
А теперь вопрос в лоб: если ты ИБ-специалист и завтра окажешься в аналогичной ситуации — что найдут в твоем телефоне? VPN-логи? Переписки про уязвимости? Исходники пентестов? Каждый инструмент превращается в улику, каждый навык — в отягчающее обстоятельство.
А дальше интересней: обычному программисту светят «киберпреступления», а специалисту по безопасности — уже «связи со спецслужбами», как журналистам «Спутника».
#кибербезопасность #айти #международноеправо
@SecLabNews
🧱От 14 до 83: кому Минцифры вручает айтишные медали
Минцифры рапортует: за первый месяц нац-платформа раздала 14,6 тыс. сертификатов 5 тыс. добровольцев — от школьника 14 лет до пенсионера 83. Масштаб впечатляет, но важнее: на рынке появился единый, формально признанный «термометр» компетенций, способный заменить длинные списки в резюме.
Бесплатные тесты на Госуслугах или hh.ru. Сейчас — 12 теорий и 5 языков, лидируют Linux, API и Python; на подходе C++, Go, статистика и машинное обучение — всего 21 направление. После успешной сдачи цифровой значок хранится год в личном кабинете.
Если инициатива приживётся, отделы подбора получат объективную метрику, а соискатели — шанс выделиться без «корочек». В перспективе рынок очистится от «бумажных» спецов, а разработчиков подстегнут держать навыки в тонусе.
ИТсертификация #Госуслуги #ИТкадры
@SecLabNews