Алексей Соловьев, Николай Арчаков и Владимир Власов обнаружили 13 уязвимостей на стороне сервера в Chamilo LMS — популярной платформе для управления обучением с открытым исходным кодом.
💡 На платформе зарегистрировано около 40 млн аккаунтов. Chamilo LMS используют университеты, школы и компании для дистанционного и корпоративного обучения.
Выявленные недостатки безопасности создавали риски как для частных пользователей (утечка персональных данных), так и для организаций — вплоть до получения атакующими контроля над сервером с последующим продвижением по сети.
👾 Были обнаружены уязвимости различных классов на стороне сервера:
• Deserialization of untrusted data — позволяет внедрять данные, полученные из ненадежного источника, в структуру или объект, что при определенных условиях может привести к выполнению произвольного кода, нарушениям работы приложения или логики его работы.
• SQL injection — позволяет получить несанкционированный доступ к базам данных и манипулировать данными.
• OS command injection — позволяет выполнять произвольные команды на сервере.
• Blind SSRF — позволяет заставить сервер выполнять запросы к другим системам от своего имени.
Две самые опасные из выявленных уязвимостей относятся к классу SQL injection: их эксплуатация могла бы позволить неавторизованному пользователю выполнять запросы к базе данных и несанкционированно получать информацию. Потенциально атакующий мог бы получить доступ к панели администратора, а затем выполнить произвольный код в системе, используя одну из уязвимостей класса Deserialization of untrusted data или OS command injection.
Список всех обнаруженных уязвимостей:
PT-2025-35787 / BDU:2025-06901 (оценка по CVSS — 8,5)
PT-2025-35788 / BDU:2025-06902 (оценка по CVSS — 8,5)
PT-2025-35789 / BDU:2025-06903 (оценка по CVSS — 9,4)
PT-2025-35790 / BDU:2025-06904 (оценка по CVSS — 9,4)
PT-2025-35791 / BDU:2025-06905 (оценка по CVSS — 9,4)
PT-2025-37308 / BDU:2025-06906 (оценка по CVSS — 8,7)
PT-2025-37309 / BDU:2025-06907 (оценка по CVSS — 8,7)
PT-2025-37310 / BDU:2025-06908 (оценка по CVSS — 8,7)
PT-2025-37375 / BDU:2025-06909 (оценка по CVSS — 8,7)
PT-2025-37376 / BDU:2025-06910 (оценка по CVSS — 8,7)
PT-2025-37377 / BDU:2025-06911 (оценка по CVSS — 9,0)
PT-2025-37378 / BDU:2025-06912 (оценка по CVSS — 7,8)
PT-2025-39654 / BDU:2025-11697 (оценка по CVSS — 8,0)
Для устранения недостатков рекомендуется в кратчайшие сроки обновить Chamilo LMS до версии 1.11.32 или до самой последней, доступной на данный момент. Для версий 1.11.x–1.11.28 следует воспользоваться рекомендациями по устранению уязвимостей.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
❤🔥13👏10👍7❤1🔥1
🫣 Какие слепые зоны есть у антивирусов
В цикле статей эксперты антивирусной лаборатории PT Expert Security Center уже рассказывали: из чего состоят антивирусы, какие технологии лежат «под капотом», как проходит их разработка и тестирование.
В финальном материале они разбирают, что остается за пределами возможностей традиционных антивирусов — слепые зоны, которые требуют дополнительных мер защиты.
Как и любая технология, современные антивирусы имеют свои ограничения и уязвимости. Их можно разделить на шесть категорий:
1️⃣ Технические ограничения, среди которых возможность отключения или удаления защиты, рост сигнатурных баз и скорость их обновления.
2️⃣ Проблемы логики обнаружения — задержка реакции, ложные срабатывания и пропуск реальных угроз.
3️⃣ Злонамеренное использование — хакеры могут эксплуатировать уязвимости антивируса для атак или обхода защиты.
4️⃣ Отказ в обслуживании — опытные злоумышленники умеют временно «усыпить» защиту или полностью ее отключить (например, атакуя лицензионный механизм).
5️⃣ Обход обнаружения — использование трансформаций кода и других методов маскировки вредоносов.
6️⃣ Затруднение анализа — обфускация и другие техники, которые сохраняют работоспособность программы, но делают код трудночитаемым.
Подробнее о каждом из этих недостатков, а также о том, какие меры безопасности помогают закрыть эти слабые места и повысить уровень защиты, читайте на Anti-Malware.ru
#PositiveЭксперты
@Positive_Technologies
В цикле статей эксперты антивирусной лаборатории PT Expert Security Center уже рассказывали: из чего состоят антивирусы, какие технологии лежат «под капотом», как проходит их разработка и тестирование.
В финальном материале они разбирают, что остается за пределами возможностей традиционных антивирусов — слепые зоны, которые требуют дополнительных мер защиты.
Как и любая технология, современные антивирусы имеют свои ограничения и уязвимости. Их можно разделить на шесть категорий:
1️⃣ Технические ограничения, среди которых возможность отключения или удаления защиты, рост сигнатурных баз и скорость их обновления.
2️⃣ Проблемы логики обнаружения — задержка реакции, ложные срабатывания и пропуск реальных угроз.
3️⃣ Злонамеренное использование — хакеры могут эксплуатировать уязвимости антивируса для атак или обхода защиты.
4️⃣ Отказ в обслуживании — опытные злоумышленники умеют временно «усыпить» защиту или полностью ее отключить (например, атакуя лицензионный механизм).
5️⃣ Обход обнаружения — использование трансформаций кода и других методов маскировки вредоносов.
6️⃣ Затруднение анализа — обфускация и другие техники, которые сохраняют работоспособность программы, но делают код трудночитаемым.
Подробнее о каждом из этих недостатков, а также о том, какие меры безопасности помогают закрыть эти слабые места и повысить уровень защиты, читайте на Anti-Malware.ru
#PositiveЭксперты
@Positive_Technologies
👍18❤5🤯3👏2🤔2
Forwarded from Positive Security Day
This media is not supported in your browser
VIEW IN TELEGRAM
🌟 Positive Premiere
Как сделать защиту конечных устройств по настоящему полной? Уже 8 октября на Positive Security Day мы раскроем ответ.
Сергей Лебедев, руководитель департамента разработки средств защиты рабочих станций и серверов, вместе с командой представит:
🔹 Концепцию Endpoint Security.
🔹 Раннюю версию нового продукта с антивирусной защитой.
Не пропустите премьеру — зарегистрируйтесь на онлайн-трансляцию заранее.
Больше анонсов 👉 @PositiveSecurityDay
Как сделать защиту конечных устройств по настоящему полной? Уже 8 октября на Positive Security Day мы раскроем ответ.
Сергей Лебедев, руководитель департамента разработки средств защиты рабочих станций и серверов, вместе с командой представит:
🔹 Концепцию Endpoint Security.
🔹 Раннюю версию нового продукта с антивирусной защитой.
Не пропустите премьеру — зарегистрируйтесь на онлайн-трансляцию заранее.
Больше анонсов 👉 @PositiveSecurityDay
🔥18❤🔥8👏6👍1
🧱 Как заранее позаботиться о том, чтобы злоумышленники не превратили ваш iPhone в бесполезный «кирпич»?
В предыдущих постах мы рассказывали, почему это может случиться и как действовать, если вы уже вошли в чужой iCloud, после чего ваш телефон заблокировали и требуют выкуп.
В этом поговорим о превентивных мерах и своеобразной страховке от мошенников. Что проверить, если вы покупаете б/у iPhone? Как обеспечить безопасность данных? Можно ли проверить, знакомый вам пишет или за его личностью прячется киберпреступник?
Ответили на эти и другие вопросы на наших новых карточках и в статье на Хабре.
#PositiveЭксперты
@Positive_Technologies
В предыдущих постах мы рассказывали, почему это может случиться и как действовать, если вы уже вошли в чужой iCloud, после чего ваш телефон заблокировали и требуют выкуп.
В этом поговорим о превентивных мерах и своеобразной страховке от мошенников. Что проверить, если вы покупаете б/у iPhone? Как обеспечить безопасность данных? Можно ли проверить, знакомый вам пишет или за его личностью прячется киберпреступник?
Ответили на эти и другие вопросы на наших новых карточках и в статье на Хабре.
#PositiveЭксперты
@Positive_Technologies
🔥9👏6❤3👌3
Forwarded from Positive Security Day
This media is not supported in your browser
VIEW IN TELEGRAM
🤟 Positive Launch
На Positive Security Day мы запустим PT Data Security — продукт, который обеспечит видимость и защиту ваших данных, независимо от формата и места хранения.
О том, как изменилась платформа с первого показа на прошлом PSD, уже 8 октября вместе с командой расскажет Виктор Рыжков, руководитель направления развития бизнеса по защите данных, Positive Technologies.
Отдельная сессия пройдет в 16:00, регистрируйтесь, чтобы не пропустить 🌟
Больше анонсов 👉 @PositiveSecurityDay
На Positive Security Day мы запустим PT Data Security — продукт, который обеспечит видимость и защиту ваших данных, независимо от формата и места хранения.
О том, как изменилась платформа с первого показа на прошлом PSD, уже 8 октября вместе с командой расскажет Виктор Рыжков, руководитель направления развития бизнеса по защите данных, Positive Technologies.
Отдельная сессия пройдет в 16:00, регистрируйтесь, чтобы не пропустить 🌟
Больше анонсов 👉 @PositiveSecurityDay
👏17❤14👍8
Forwarded from Positive Security Day
This media is not supported in your browser
VIEW IN TELEGRAM
⭐️ Positive Update
Как продукт для автоматического пентеста PT Dephaze «поломал» инфраструктуры заказчиков на пилотах — и помог им стать сильнее?
Уже 8 октября на Positive Security Day Ярослав Бабин, директор по продуктам для симуляции атак, расскажет о том, как за год изменился PT Dephaze, куда он будет развиваться и как его уже используют российские компании.
Хотите узнать, как контролируемый взлом помогает повысить защиту?👽
Регистрируйтесь на онлайн-трансляцию, чтобы не пропустить!
Больше анонсов 👉 @PositiveSecurityDay
Как продукт для автоматического пентеста PT Dephaze «поломал» инфраструктуры заказчиков на пилотах — и помог им стать сильнее?
Уже 8 октября на Positive Security Day Ярослав Бабин, директор по продуктам для симуляции атак, расскажет о том, как за год изменился PT Dephaze, куда он будет развиваться и как его уже используют российские компании.
Хотите узнать, как контролируемый взлом помогает повысить защиту?
Регистрируйтесь на онлайн-трансляцию, чтобы не пропустить!
Больше анонсов 👉 @PositiveSecurityDay
Please open Telegram to view this post
VIEW IN TELEGRAM
❤13🔥7👍5
This media is not supported in your browser
VIEW IN TELEGRAM
Positive Security Day 2025 начался! ⭐️
Подключайтесь онлайн, чтобы первыми узнать о наших новинках, ключевых направлениях развития продуктового портфеля, а также о приоритетах и подходах, которые определяют наше движение вперед.
👀 Смотреть трансляцию можно на сайте конференции.
@Positive_Technologies
Подключайтесь онлайн, чтобы первыми узнать о наших новинках, ключевых направлениях развития продуктового портфеля, а также о приоритетах и подходах, которые определяют наше движение вперед.
👀 Смотреть трансляцию можно на сайте конференции.
@Positive_Technologies
👍27❤🔥11👏6❤3
Media is too big
VIEW IN TELEGRAM
MaxPatrol EPP — наше новое средство защиты от массовых атак, в основе которого лежит антивирусная технология 👾
Альфа-версию решения мы анонсировали сегодня на Positive Security Day вместе с концепцией защиты конечных устройств MaxPatrol Endpoint Security. Подробности — в выступлении Сергея Лебедева, руководителя департамента разработки средств защиты рабочих станций и серверов, Positive Technologies.
Быстрое развитие антивирусных технологий в наших продуктах стало возможным благодаря покупке доли в белорусском вендоре «ВИРУСБЛОКАДА» в феврале этого года. Тогда же мы объявили, что презентация ранней версии нашего собственного антивирусного решения состоится осенью.
🤜 Сказали — сделали. Потому что можем.
Расширив свой продуктовый портфель, мы готовы обеспечивать всестороннюю защиту российского и международного бизнеса как от массовых, так и от целевых атак — с помощью EPP и EDR-системы соответственно.
#MaxPatrolEPP
#MaxPatrolEDR
@Positive_Technologies
Альфа-версию решения мы анонсировали сегодня на Positive Security Day вместе с концепцией защиты конечных устройств MaxPatrol Endpoint Security. Подробности — в выступлении Сергея Лебедева, руководителя департамента разработки средств защиты рабочих станций и серверов, Positive Technologies.
Быстрое развитие антивирусных технологий в наших продуктах стало возможным благодаря покупке доли в белорусском вендоре «ВИРУСБЛОКАДА» в феврале этого года. Тогда же мы объявили, что презентация ранней версии нашего собственного антивирусного решения состоится осенью.
Расширив свой продуктовый портфель, мы готовы обеспечивать всестороннюю защиту российского и международного бизнеса как от массовых, так и от целевых атак — с помощью EPP и EDR-системы соответственно.
#MaxPatrolEPP
#MaxPatrolEDR
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥19❤11😁9👍4👏3
Media is too big
VIEW IN TELEGRAM
🗄 Данные — новая нефть
А защитить их поможет PT Data Security — наш новый продукт, коммерческая версия которого была запущена вчера на Positive Security Day.
До официального выхода на рынок мы представили бета-версию PT Data Security, готовую к первым пилотным проектам. Сейчас продукт проходит предварительное тестирование в нескольких крупных компаниях.
PT Data Security — первое и пока единственное в России решение класса data security platform.
О том, какой путь продукт прошел с момента анонса на прошлом Positive Security Day, — смотрите в видео с выступления Виктора Рыжкова, руководителя развития бизнеса по защите данных, Positive Technologies.
А заявку на пилот вы можете оставить прямо сейчас на нашем сайте🗂
#PTDataSecurity
@Positive_Technologies
А защитить их поможет PT Data Security — наш новый продукт, коммерческая версия которого была запущена вчера на Positive Security Day.
До официального выхода на рынок мы представили бета-версию PT Data Security, готовую к первым пилотным проектам. Сейчас продукт проходит предварительное тестирование в нескольких крупных компаниях.
PT Data Security — первое и пока единственное в России решение класса data security platform.
Приведем пример, как оно работает:
Представьте, что выbig bossгенеральный директор. В вашей компании накапливается все больше данных: о клиентах, партнерах, сотрудниках, стратегические документы, финансовые детали деятельности. Это важный актив для любой компании.
Со временем становится все сложнее понять, где именно эти данные хранятся и кто ими пользуется — информации становится слишком много. Часть документов лежит в разных системах: CRM, 1С, внутренних хранилищах, на файловых серверах. В результате управлять этим активом и контролировать риски становится все труднее.
PT Data Security помогает увидеть полную картину: где находятся ваши данные, к каким типам они относятся, что из них критично, кто имеет к ним доступ и как именно ими пользуется прямо сейчас.
Это повышает прозрачность, позволяет быстро выявлять слабые места в инфраструктуре данных, ускоряет реагирование на потенциальные угрозы и снижает вероятность утечек.
О том, какой путь продукт прошел с момента анонса на прошлом Positive Security Day, — смотрите в видео с выступления Виктора Рыжкова, руководителя развития бизнеса по защите данных, Positive Technologies.
А заявку на пилот вы можете оставить прямо сейчас на нашем сайте
#PTDataSecurity
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥29😱18👍12❤5👏5
Forwarded from Максимов | ЗАПИСКИ
Media is too big
VIEW IN TELEGRAM
ТризТех — рождение новой российской IT-компании
Уверен, она станет легендарной.
Денис Кораблев — человек, создавший вместе с командой продукт и технологии, которые легли в основу компании. Рассказ о том, как выйти в лидеры рынка за три года с нуля. Завораживающая история про уникальный путь.
Поздравляю Дениса, команду и Позитив с этим важным шагом. Удачи, ребята!
Уверен, она станет легендарной.
Денис Кораблев — человек, создавший вместе с командой продукт и технологии, которые легли в основу компании. Рассказ о том, как выйти в лидеры рынка за три года с нуля. Завораживающая история про уникальный путь.
Поздравляю Дениса, команду и Позитив с этим важным шагом. Удачи, ребята!
❤🔥25🔥15❤7🤨7👏6🤔3😁1
Forwarded from IT's positive investing
Что изменится, когда Positive Technologies добавит НДС к цене лицензии продуктов
В последние дни появилось много мнений о том, как возможная отмена льгот по НДС может сказаться на IT-компаниях, в том числе на Positive Technologies. Разберемся простыми словами.
Что такое НДС 🤔
НДС — это налог на добавленную стоимость, который взимается при продаже товаров и услуг. Формально НДС перечисляет в бюджет продавец, но фактически его оплачивает конечный потребитель. Для компании НДС может быть входящим и исходящим.
Входящий НДС — это налог, который компания уплачивает своим поставщикам при покупке товаров или услуг.
Исходящий НДС — это налог, который компания начисляет клиентам при продаже своей продукции.
При расчете налога к уплате компания может зачесть входящий НДС, уменьшая сумму исходящего, которая должна быть перечислена в бюджет.
Этот пример показывает, как работает механизм зачета НДС: налог платится только с добавленной стоимости, а не с общей суммы продаж.
Что это значит для Positive Technologies
Почти все наши клиенты работают по общей системе налогообложения и платят НДС. Это значит, что они смогут зачесть входящий НДС от Positive Technologies и уменьшить налог к уплате. В итоге для нас и для клиентов финансовый результат не изменится.
Исключение составляют банки и государственные учреждения. Банки сейчас освобождены от НДС, поэтому не могут зачесть входящий НДС. Однако вместе с отменой льгот для IT-компаний предлагается вернуть банкам обязанность по уплате НДС — тогда они тоже смогут использовать зачет.
Госучреждения, не имеющие облагаемой выручки, составляют незначительную долю наших клиентов, поэтому их влияние на финансовый результат будет минимальным.
#POSI
В последние дни появилось много мнений о том, как возможная отмена льгот по НДС может сказаться на IT-компаниях, в том числе на Positive Technologies. Разберемся простыми словами.
Что такое НДС 🤔
НДС — это налог на добавленную стоимость, который взимается при продаже товаров и услуг. Формально НДС перечисляет в бюджет продавец, но фактически его оплачивает конечный потребитель. Для компании НДС может быть входящим и исходящим.
Входящий НДС — это налог, который компания уплачивает своим поставщикам при покупке товаров или услуг.
Исходящий НДС — это налог, который компания начисляет клиентам при продаже своей продукции.
При расчете налога к уплате компания может зачесть входящий НДС, уменьшая сумму исходящего, которая должна быть перечислена в бюджет.
Пример
1. Positive Technologies продает клиенту продукт за 100 млн рублей + 22 млн рублей НДС.
2. Клиент оплачивает 122 млн рублей, из которых 22 млн рублей — входящий НДС клиента.
3. Затем клиент продает свою продукцию за 300 млн рублей + 66 млн рублей НДС — это будет исходящий НДС клиента.
4. Из этой суммы он должен заплатить в бюджет 66 млн, но может вычесть 22 млн входящего НДС, уплаченного Positive Technologies.
→ К уплате в бюджет останется 44 млн рублей.
Этот пример показывает, как работает механизм зачета НДС: налог платится только с добавленной стоимости, а не с общей суммы продаж.
Что это значит для Positive Technologies
Почти все наши клиенты работают по общей системе налогообложения и платят НДС. Это значит, что они смогут зачесть входящий НДС от Positive Technologies и уменьшить налог к уплате. В итоге для нас и для клиентов финансовый результат не изменится.
Исключение составляют банки и государственные учреждения. Банки сейчас освобождены от НДС, поэтому не могут зачесть входящий НДС. Однако вместе с отменой льгот для IT-компаний предлагается вернуть банкам обязанность по уплате НДС — тогда они тоже смогут использовать зачет.
Госучреждения, не имеющие облагаемой выручки, составляют незначительную долю наших клиентов, поэтому их влияние на финансовый результат будет минимальным.
#POSI
😱28❤19👏16🔥10🤔3🐳2😁1
