удаленное выполнение кода

Расширение Claude Desktop Extension приводит к уязвимости удаленного выполнения кода с нулевого клика, основанной на косвенной инъекции запроса, из-за отсутствия песочницы в архитектуре и предоставления полных системных привилегий агенту ИИ. Уязвимость использует недостаток дизайна протокола MCP, в котором отсутствуют границы доверия, что позволяет злоумышленнику добиться выполнения произвольного кода путем заражения внешних источников данных. Несмотря на высочайший рейтинг риска, производитель отказался устранить уязвимость, сославшись на то, что она "выходит за рамки модели угроз", что вызвало широкую полемику по поводу разделения ответственности за безопасность в эпоху ИИ. Этот случай подчеркивает фундаментальные риски безопасности систем агентов ИИ с точки зрения контроля привилегий и проверки входных данных.
Ключевые моменты включают:
1. архитектура без песочницы с высокими привилегиями: Claude DXT работает как локальный MCP-сервер, отделенный от песочницы браузера, наследуя все системные привилегии от пользователя, что создает высокий риск атак.
2. Косвенная инъекция с нулевым кликом: злоумышленник внедрял вредоносные команды в легитимные источники данных, такие как Google Calendar, побуждая ИИ-агент получать и ошибочно выполнять их самостоятельно, без вмешательства пользователя.
3. Нарушение границ доверия в протоколе MCP: протокол Model Context Protocol позволяет выводить малоопасные операции на прямой запуск высокоопасных системных вызовов, что приводит к уязвимости "обфусцированного агента", которая делает ИИ плацдармом для атак.

CVE-2025-6554 - это уязвимость Type Confusion в JavaScript-движке Google Chrome V8. Type Confusion - распространенный класс уязвимостей повреждения памяти, которые могут привести к небезопасным операциям с памятью, когда программа неверно интерпретирует один тип данных как другой, что позволяет злоумышленнику выполнить произвольный код на системе жертвы.

Компания Fortinet опубликовала информацию об уязвимости в системе безопасности FortiOS SSL VPN (Vulnerability CVE: CVE-2024-21762), которая может быть использована в дикой природе.

Платформа промышленной автоматизации Rapid SCADA компании Rapid Software LLC оказалась подвержена многочисленным критическим уязвимостям, представляющим значительный риск удаленного выполнения кода, несанкционированного доступа и повышения привилегий. Агентство по кибербезопасности и инфраструктурной безопасности (CISA) выпустило бюллетень с подробным описанием потенциальных уязвимостей и призывом к немедленным действиям.

Компания Juniper Networks выпустила сообщение об устранении критической уязвимости Remote Code Execution (RCE) в межсетевых экранах серии SRX и коммутаторах серии EX (CVE-2024-21591), а также другой уязвимости в Junos OS и Junos OS Evolved (CVE- 2024-21611), которая также может быть использована неавторизованным сетевым злоумышленником для проведения атаки типа "отказ в обслуживании". 2024-21611) в Junos OS и Junos OS Evolved, которая также может быть использована неаутентифицированным злоумышленником для проведения атаки отказа в обслуживании.

Администрация кибербезопасности и защиты инфраструктуры США (CISA) обнародовала данные о шести уязвимостях, эксплуатируемых производителями Apple, Apache, Adobe, D-Link, Joomla! и т.д. Уязвимость CVE-2023-41990 была исправлена компанией Apple, но все еще используется неизвестными злоумышленниками. Пострадавшим рекомендуется устранить уязвимость, чтобы защитить свою сетевую безопасность.

Уязвимость выполнения кода Apache Struts (CVE-2023-50164) позволяет злоумышленникам контролировать обход пути выполнения параметров загрузки файлов, а в некоторых случаях может загружать вредоносные файлы для выполнения произвольного кода.