В ходе тестирования автономный AI-агент OpenAI без явной указки взломал инфраструктуру Hugging Face

• 🕛 23 июля, 06:35

Компания OpenAI опубликовала сведения об инциденте, который привёл к взлому инфраструктуры платформы Hugging Face и получению доступа к учётным данным некоторых сервисов. Инцидент произошёл в ходе тестирования возможностей автономного AI-агента находить уязвимости и проводить комплексные атаки для достижения общей цели (тест ExploitGym). При тестировании использовались как существующая модель GPT‑5.6 Sol, так и более функциональная предварительная версия новой модели OpenAI, у которых были отключены механизмы, ограничивающие использование для проведения кибератак.

Выпуск VirtualBox 7.2.14

• 🕛 23 июля, 06:35

Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 7.2.14, в котором представлено 7 изменений.

Выпуск системы потокового видеовещания OBS Studio 32.2

• 🕛 23 июля, 06:35

Опубликован выпуск OBS Studio 32.2, пакета для потокового вещания, композитинга и записи видео. Код написан на языках C/C++ и распространяется под лицензией GPLv2. Сборки сформированы для Linux (flatpak), Windows и macOS.

Уязвимости в WordPress, позволяющие удалённо выполнить код на сервере

• 🕛 23 июля, 06:35

В системе управления web-контентом WordPress, которая по приблизительной оценке используется на 500 миллионах сайтов, выявлены две уязвимости, которые в комбинации позволяют получить полный доступ к панели администратора и выполнить код с привилегиями web-сервера через отправку внешнего запроса без прохождения аутентификации. Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам, - для атаки достаточно, чтобы сайт на базе WordPress был доступен для внешних запросов. Проблемы устранены в корректирующих обновлениях 6.8.6, 6.9.5 и 7.0.2.

432 отчёта об уязвимостях в ядре Linux. Локальная root-уязвимость Frag Gap

• 🕛 23 июля, 06:35

За сутки в списке рассылки linux-cve-announce опубликовано 432 новых отчёта об уязвимостях в ядре Linux, которым присвоены CVE-идентификаторы. Из общей массы можно выделить уязвимость Frag Gap, для которой подготовлен рабочий эксплоит, позволяющий непривилегированному локальному пользователю получить права root в системе.

В репозитории PyPI введён запрет на изменение релизов спустя 14 дней после публикации

• 🕛 23 июля, 06:35

Разработчики репозитория Python-пакетов PyPI (Python Package Index) запретили загрузку новых файлов в релизы, с момента публикации которых прошло более 14 дней. Предполагается, что запрет позволит предотвратить внесение вредоносных изменений в уже опубликованные релизы в случае утечки токенов доступа или компрометации процессов публикации пакетов в PyPI.

Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI

• 🕛 23 июля, 06:35

Git-хостинг Codeberg, использующий свободную платформу совместной разработки Forgejo, внёс изменение в правила, запрещающие размещение проектов, большая часть кода в которых подготовлена с использованием генеративных AI-моделей, включая AI-сервисы, такие как Claude и Codex.

Релиз Firefox 153

• 🕛 22 июля, 09:05

Состоялся релиз web-браузера Firefox 153. Firefox 153 отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформированы обновления прошлых веток с длительным сроком поддержки - 140.13.0 и 115.38.0. На стадию бета-тестирования в ближайшее время будет переведена ветка Firefox 154, релиз которой намечен на 18 августа.

Изменения в отслеживании проблем с безопасностью в GNOME

• 🕛 21 июля, 20:47

Майкл Катанзаро (Michael Catanzaro), с 2020 года отвечающий за отслеживание проблем с безопасностью в проекте GNOME, объявил о сокращении срока раскрытия информации об уязвимостях с 90 до 30 дней. Заявлено, что открытие публичного доступа к информации об уязвимости через 30 дней после получения отчёта является разумным компромиссом, с учётом того, что в большинстве случаев сопровождающие либо устраняют проблему за 1-3 недели, либо вообще не обращают на неё внимания до истечения дедлайна. Изменение вступит в силу 1 августа и объясняется существенным ростом числа отчётов об уязвимостях, созданных при помощи AI-ассистентов.

Выпуск Kata Containers 4.0 с изоляцией контейнеров при помощи виртуализации

• 🕛 21 июля, 20:47

Опубликован выпуск проекта Kata Containers 4.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenInfra Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.