9,9 из 10 и финансовый шпионаж в SAP. Корпоративная ERP-система стала мишенью для хакеров по всему миру

8 сентября. / Securitylab.ru /. Уязвимость позволяет злоумышленникам с минимальными правами полностью захватить систему.

В SAP S/4HANA выявлена критическая уязвимость CVE-2025-42957 , которая получила оценку 9,9 по шкале CVSS. Ошибка позволяет пользователю с минимальными правами выполнить внедрение кода и фактически полностью захватить систему. Обнаружила её команда SecurityBridge Threat Research Labs, которая также подтвердила факты эксплуатации в реальных атаках.

Уязвимость затрагивает все версии S/4HANA, включая Private Cloud и On-Premise. Для успешного взлома злоумышленнику достаточно доступа к учётной записи с низкими привилегиями, после чего он получает возможность выполнять команды на уровне операционной системы, создавать суперпользователей SAP с полномочиями SAP_ALL, изменять данные в базе и бизнес-процессы, а также похищать хэши паролей. Таким образом, атака может привести к краже данных, финансовым махинациям, шпионажу или установке вымогательского ПО.

SAP выпустила исправления 12 августа 2025 года в рамках ежемесячного «Patch Day». Для устранения уязвимости необходимо установить обновления из заметки № 3627998, а при использовании SLT/DMIS также из № 3633838. Эксперты настоятельно рекомендуют обновиться немедленно, поскольку открытость ABAP-кода облегчает злоумышленникам создание эксплойтов на основе опубликованного патча.

Администраторам SAP советуют не только установить обновления, но и ограничить использование RFC с помощью SAP UCON, пересмотреть доступ к объекту авторизации S_DMIS, следить за подозрительными вызовами RFC и появлением новых администраторов, а также убедиться в наличии сегментации сети, резервных копий и специализированного мониторинга.

SecurityBridge отмечает, что уже фиксируются попытки эксплуатации уязвимости, поэтому оставшиеся без патча системы находятся под реальной угрозой.

Опять NPM ньюсмейкер
https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised

Kernel-hack-drill and a new approach to exploiting CVE-2024-50264 in the Linux kernel

Alexander Popov published an article about exploiting a race condition in AF_VSOCK subsystem, the bug that received a Pwnie Award 2025.

Despite the bug collision with other researchers, Alexander found a new exploitation method for this bug by relying on his pet project kernel-hack-drill.

Новые угрозы AI - атака на браузеры

Прогресс не остановить. AI проникает в разные сферы нашей жизни и объективно улучшает ее.
При этом, как это всегда и бывает, новые технологии приносят и риски. Которые важно вовремя определить и защититься от них.

Один из таких рисков буквально на днях был обнаружен командой браузера Brave
Суть в том, что AI помощники сейчас активно внедряются в браузеры, получая возможность автономно взаимодействовать с веб-сайтами от имени пользователей. А с этим появляются и новые риски.

Если лень читать дальше, то главная рекомендация: Разделяйте цифровую активность по разным браузерам. Используйте один браузер для поиска информации и развлечений, другие — для финансовых операций, криптокошельков, почты и конфиденциальных данных. Это базовый принцип цифровой гигиены в эпоху AI-агентов.

Исследование уязвимости Perplexity Comet
Команда Brave провела анализ безопасности агентных браузеров и обнаружила критическую уязвимость в Perplexity Comet. Результаты вскрыли глубокие проблемы архитектуры браузеров c AI интеграцией.

Основа проблемы - AI-браузер не различает пользовательские команды и контент веб-страниц при обработке запросов на резюмирование.

Вот сценарий атаки, который они разыграли:
1. Злоумышленник размещает скрытые инструкции на веб-странице (белый текст, HTML-комментарии, spoiler-теги в соцсетях)
2. Пользователь запрашивает резюме страницы через AI-помощника
3. AI обрабатывает вредоносные инструкции как команды пользователя
4. Выполняются несанкционированные действия: кража паролей, доступ к почте, перехват OTP-кодов

👉Вот тут 2-х минутное видео, как они симулировали такую атаку с помощью AI 👈

В proof-of-concept атаке через Reddit-комментарий исследователи заставили Comet:
• Извлечь email пользователя с account.perplexity.ai
• Получить OTP-код через поддельный домен perplexity.ai.
• Прочитать OTP из Gmail пользователя
• Передать украденные данные злоумышленнику
Атака выполнилась автоматически после нажатия кнопки "Резюмировать страницу".

Последствия для веб-безопасности
Традиционные механизмы защиты неэффективны:
• Same-Origin Policy — обходится
• CORS — не работает
• Стандартные веб-уязвимости — неприменимы
AI-агент действует с полными привилегиями пользователя во всех сессиях, получая доступ к банковским аккаунтам, корпоративным системам, личной почте.

В общем цифровая гигиена как никогда становится критична
И с каждым днем все больше!🤔

#ai

Группа разработчиков во главе с одним из создателей RSS Экартом Вальтером представила открытый стандарт лицензирования контента Really Simple Licensing (RSL), который позволит издателям возможность определять условия оплаты за сбор ботами данных для обучения ИИ.

#ИскИн #законодательство #данные

Благодарим сюда:
https://www.tg-me.com/boost/DOFH_ru

Библиотека libxml2 осталась без сопровождающего https://opennet.ru/63886/

А чочо, в JEDEC всем по*** на Rowhammer?
https://security.googleblog.com/2025/09/supporting-rowhammer-research-to.html

Google прям как Сбер, ничего кроме рейтлимит счетчика не придумал: https://www.jedec.org/news/pressreleases/jedec-updates-jesd79-5c-ddr5-sdram-standard-elevating-performance-and-security

Phoenix (CVE-2025-6202):
https://www.opennet.ru/opennews/art.shtml?num=63891

Глава Nvidia Дженсен Хуанг вновь заявил, что сантехники, электрики, строители и другие квалифицированные рабочие уже в ближайшее время станут главными и самыми высокооплачиваемыми специалистами на рынке труда, тогда как множество других профессий будет неумолимо вытесняться искусственным интеллектом.

В первую очередь кризис ударит именно по IT-сектору.

Учимся работать руками
r/#singularity

Все, пацаны, расходимся и звоним в ПТУ

41-ФЗ мессенджер
https://www.perplexity.ai/search/41-fz-messendzher-JADPCOaGS6W.uQofExq54g

а также бизнесы, обрабатывающие персональные данные россиян

Ну то есть все.

#ненуачо #Битрикс24 #Облако #Enterprise

Компания ByteDance представила своё решение для выполнения нескольких ядер Linux https://opennet.ru/63931/

Три тысячи кубитов!

Именно столько удалось собрать физикам в непрерывно работающую когерентную систему. Для этого они реализовали архитектуру с конвейерной подачей атомов. Ученым удалось поддерживать работу системы более двух часов

#Физика | *5.6

Чуть более полугода назад у нас с Валерой был стрим про высказывание CEO Anthropic, мол, через 6 месяцев модели будут писать 90% кода. На стриме, как мне кажется, я очень хорошо описал некоторые из важных оговорок при оценке подобного рода высказываний:
— есть разница «могут» и «делают»
— это может быть применимо к определённым языкам программирования, а не всем
— часть подходов к разработке придётся пересмотреть, чтобы было проще интегрировать ИИ-инструменты
— это может быть применимо к свежим проектам, а не 15+ годичной давности
— это может быть применимо к проектам до определённого размера, а не кодовой базе всего Фейсбука, например

Сами Anthropic сейчас говорят, что Claude Code написан их же моделями на 90%. Но большинство подобных заявлений исходит от разработчиков моделей / продавцов ИИ-инструментов, поэтому многие (не я) их отметают.

Aider, АИ-ассистент для программирования с открытым исходным кодом, который я как раз упоминал на стриме, от релиза к релизу то и дело перешагивает планки 75-80% — уже солидный показатель.

И вот наткнулся на блог Armin Ronacher, создателя Flask, Jinja, Click и других крупных популярных проектов. Цитаты из поста (но рекомендую прочитать оригинал целиком):

— Что касается инфраструктурного компонента, который я начал разрабатывать в своей новой компании, то, пожалуй, больше 90% моего кода написано с помощью ИИ. Я не хочу вас убеждать — просто поделюсь тем, что узнал. Отчасти потому, что я подошел к этому проекту иначе, чем в своих первых экспериментах.

— Сервис написан на Go с небольшим количеством зависимостей. Сейчас в нём около 40 000 строк, включая Go, YAML, Pulumi и несколько специальных SDK-прослоек.

— Я установил высокую планку, особенно в плане надёжности работы. Я уже работал с подобными системами и знал, чего хочу.

— Я уделяю пристальное внимание основам архитектуры системы, структуре кода и взаимодействию с базами данных. Я невероятно самоуверен. Поэтому есть вещи, которые я не позволяю ИИ делать. Я начинал проект традиционным способом: проектирование системы, схема, архитектура. На этом этапе я не позволяю ИИ писать с нуля, а просто включаю его в свой цикл рассуждений. Это помогает мне видеть типовые ошибки, даже если я не доверяю LLM.

— Для кода, сгенерированного и поддерживаемого ИИ, я теперь получаю стек, который выглядит примерно так, как мне часто хотелось, но было слишком сложно сделать вручную.

— Не могу не подчеркнуть, насколько плохим может быть код агентов, если не быть осторожным. Хотя они понимают архитектуру системы и то, как что-то построить, они не могут смотреть на всю картину целиком. Вам постоянно нужно вносить правильную информацию в контекст.

— Легко создавать системы, которые кажутся правильными, но при использовании ведут себя неправильно. Вот пример: я попросил его создать ограничитель лимитов. Он «работал», но не имел джиттера и использовал неудачные решения по хранению данных. Легко исправить, если знаешь ограничители лимитов, но опасно, если не знаешь.

— Для меня это дошло до того, что я уже не представляю, как можно работать по-другому. Да, я, вероятно, смог бы обойтись без ИИ. Но я бы построил другую систему, потому что мне пришлось бы идти на другие компромиссы. Такой подход открывает возможности, которые я обычно пропускаю или откладываю.

— Исследование + разработка вместо «исследование, а разработка потом»: на некоторые вещи, на понимание которых у меня ушел бы день или два, теперь уходит 10–15 минут.

— Пишет ли ИИ 90% кода? Не знаю. Знаю только, что для меня в этом проекте ответ уже точно «да». В то же время, для меня ИИ не владеет кодом. Я всё равно проверяю каждую строчку, формирую архитектуру и несу ответственность за то, как всё это работает.

===

(обратите внимание, что ни о каком вайб-кодинге речи не идёт: только вдумчивая работа, где, как мне кажется, по сравнению с обычным процессом мозги приходится напрягать даже больше — пока LLM работает, ты думаешь)