«История с новой уязвимостью в Chrome — это классический пример атаки типа "отказ в обслуживании" (DoS) через истощение ресурсов. Всё дело в том, что сайт злоумышленника с помощью простого скрипта может заставить браузер бесконечно обновлять заголовок вкладки. Звучит безобидно? Но на деле браузер пытается обработать миллионы команд в секунду, что в итоге приводит к полному исчерпанию оперативной памяти. Проще говоря, зашли на вредоносный сайт — и через полминуты ваш компьютер уже может зависнуть», — отметил Иван Рябов, ведущий инженер компании "Газинформсервис".

«Что действительно вызывает вопросы, так это отсутствие исправления после публикации данных об уязвимости. Исследователи пошли на крайние меры и выложили в открытый доступ PoC (Proof of Concept, доказательство концепции) — инструмент Brash. Это был вынужденный шаг, чтобы привлечь внимание к проблеме и ускорить выпуск патча».

В ходе реализации одного из проектов наша компания столкнулась с задачей, когда в рамках интеграции с СУБД Jatoba потребовалось реализовать большое количество вариантов использования полнотекстового поиска. Хотя на базе ядра Jatoba (PostgreSQL) и можно решать большой пласт задач поиска по тексту с помощью функций tsvector и tsquery, некоторые требования заказчика выходили за рамки его возможностей.

Всех приветствую!

Ещё год назад я играл в CTF и работал как SOC-аналитик L1, а сегодня в компании «Газинформсервис» занимаюсь тестированием веб-ресурсов. В свободное время багханчу, и больше слов о моих успехах скажет статистика в профиле амбассадора Standoff. На Standoff Talks я выступил с докладом об эффективном поиске уязвимостей и хочу поделиться этим опытом здесь.

«В данном контексте рекомендации от центра мониторинга GSOC строятся на разностороннем подходе. С одной стороны — усиление контроля над цепочкой поставок ПО и расширениями, что особенно важно, но тяжело в организации-разработчике, так как ИБ не должна мешать работе бизнеса. С другой — активный мониторинг поведения конечных устройств», — подчёркивает Андрей Жданухин, руководитель группы аналитики L1 GSOC компании «Газинформсервис».

«GSOC обеспечивает наблюдение за аномалиями в различных ОС, в том числе Windows. Это может быть неожиданная активация .sol-файлов или сетевые обращения к неизвестным C2-адресам. При выявлении подозрительной активности GSOC инициирует изоляцию устройства и расследование инцидента, что позволяет предотвратить массовое заражение через разработческую инфраструктуру», — добавляет он.

«Мы наблюдаем увеличение не только объемов, но и появление новых серьезных конкурентов на рынке отечественного программного обеспечения, что говорит о здоровом развитии отрасли. Что касается прогнозов на ближайшие пару лет, то ожидаем продолжения этой тенденции. Однако, чтобы удержать лидерские позиции, вендорам придется строго соблюдать высокие стандарты качества и надежности. Аналогичная ситуация характерна и для рынка отечественного оборудования, который также показывает активный рост, подпитываемый государственными и корпоративными заказами», — уверен собеседник CNews.

Критическими являются следующие три уязвимости:

⏺BDU:2025-13288. Ошибка в компоненте WebGL Texture Handler браузера и почтового клиента относится к типу классического переполнения буфера (запись за границами буфера – CWE-787). Уязвимости этого класса позволяют с помощью специально подготовленных данных нарушить работу динамической памяти и вызвать исполнение постороннего кода. Критичность ошибки оценивается на 9,8 баллов (из 10 возможных);

⏺BDU:2025-13289. Уязвимость в функции MediaTrackGraphImpl::GetInstance, которая позволяет использовать указатель после освобождения (CWE-416). Ошибка такого класса даёт нарушителю, действующему удаленно, возможностью с помощью манипулирования структурами данных выполнить произвольный код. Уровень опасности уязвимости также оценён в 9,8;

⏺BDU:2025-13290. Эта уязвимость не очень популярного для критических типа – раскрытие информации (CWE-200). Обычно они становятся очень опасными вплоть до уровня 9.8, как в данном случае, когда позволяют получить доступ к паролям пользователей. В описании ФСТЭК указано только, что нарушитель, действующий удалённо, может с ее помощью раскрыть защищаемую информацию.

«Firefox в России не доминирует — на рабочем столе у большинства сейчас Chrome и отечественные сборки, — отметил Михаил Спицын, инженер-аналитик лаборатории стратегического развития компании «Газинформсервис». — Тем не менее у него есть стабильная ниша — ведомственные инсталляции и разработчики, организации в которых Firefox эксплуатируется очень долго. В крупных инфраструктурах Firefox встречается реже, но там, где он есть, его использование осознанное — именно поэтому каждая критическая уязвимость в нём воспринимается как угроза для конкретных процессов».