От ошибки до катастрофы: преувеличение опасности в мире CVE
🤔 Фёдор Индутный, автор платформы Io.js (форк Node.js) и член технического комитета по разработке Node.js, высказал опасения относительно назначения CVE-идентификаторов для ложных отчетов об уязвимостях, не соответствующих реальной угрозе.
🛠 Присвоение идентификаторов происходит без адекватной проверки, в результате чего проекты сталкиваются с незаслуженной критикой и нагрузкой.
📉 В недавнем случае с библиотекой node-ip ложное присвоение CVE-идентификатора привело к уменьшению её популярности и к увеличению количества обращений к разработчикам, создав дополнительные трудности для команды.
#CVE #NodeJS #Уязвимости @SecLabNews
#CVE #NodeJS #Уязвимости @SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
SecurityLab.ru
Фёдор Индутный: ложные CVE разрушают open-source проекты
Разработчик Node.js раскритиковал систему присвоения CVE-идентификаторов.
👍15🌚5❤4🤣3😁1💯1🤷1😡1
Библиотека fast-glob используется более чем в 5 тысячах публичных проектов и более чем в тридцати системах Министерства обороны США. Её загружают свыше 79 миллионов раз в неделю, а с учётом закрытых систем число зависимых решений может быть гораздо выше.
Единственным автором оказался российский программист Денис Малиночкин, сотрудник «Яндекса», который разрабатывает проект уже более семи лет. Американская компания Hunted Labs подчеркнула, что никаких связей разработчика с хакерскими группировками не выявлено.
Хотя у библиотеки нет зарегистрированных уязвимостей, эксперты указывают на теоретические риски из-за широкого доступа к файловым системам. Сам Малиночкин подтвердил авторство и подчеркнул, что утилита работает исключительно локально без сетевых функций.
#OpenSource #CyberSecurity #NodeJS
@SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
SecurityLab.ru
79 миллионов загрузок в неделю от одного российского разработчика. Cотрудник «Яндекса» стал невольным поставщиком ПО для Минобороны…
Пентагон доверил критическую инфраструктуру программисту из России.
🔥92💯64
Forwarded from 0day Alert
В Google Brotli нашли критическую уязвимость с оценкой 9,2 балла. Эксплойт уже готов
Исследователи подтвердили уязвимость CVE-2026-111497 в алгоритме сжатия данных Google Brotli. Ошибка позволяет без авторизации выполнить произвольный код на сервере. Под угрозой облачная инфраструктура и приложения на Node.js, Python, Bun, Envoy и Istio.
Причина в ошибке переполнения буфера. Для атаки достаточно направить вредоносный поток данных приложению, которое автоматически декодирует входящие запросы или ответы сторонних серверов. Злоумышленник переписывает память процесса и запускает собственный код внутри бэкенда.
Разработчики выпустили исправленные версии платформ и обновили саму библиотеку Brotli до 1.2.1. До установки патчей лучше запретить приложениям распаковывать недоверенные данные. Инфраструктуру стоит проверить сканером Brotli Checker, поскольку системные пакеты обновляют не все встроенные в приложения копии кода.
#Google #Brotli #RCE #NodeJS
@ZerodayAlert
Исследователи подтвердили уязвимость CVE-2026-111497 в алгоритме сжатия данных Google Brotli. Ошибка позволяет без авторизации выполнить произвольный код на сервере. Под угрозой облачная инфраструктура и приложения на Node.js, Python, Bun, Envoy и Istio.
Причина в ошибке переполнения буфера. Для атаки достаточно направить вредоносный поток данных приложению, которое автоматически декодирует входящие запросы или ответы сторонних серверов. Злоумышленник переписывает память процесса и запускает собственный код внутри бэкенда.
Разработчики выпустили исправленные версии платформ и обновили саму библиотеку Brotli до 1.2.1. До установки патчей лучше запретить приложениям распаковывать недоверенные данные. Инфраструктуру стоит проверить сканером Brotli Checker, поскольку системные пакеты обновляют не все встроенные в приложения копии кода.
#Google #Brotli #RCE #NodeJS
@ZerodayAlert
👀29