30-oktabr, 20:05Tecnoblog

Cursor Claude Code kengaytmasining firibgarligini aniqladi va olib tashladi, u 5 minggacha foydalanuvchiga taʼsir qilgan edi

Oʻz nomidagi kod muharriri ishlab chiquvchisi boʻlgan Cursor Anthropic tomonidan taqdim etilgan Claude Code kengaytmasining oʻzgartirilgan versiyasini aniqlab va olib tashladi. Bu kengaytma besh minggacha foydalanuvchiga taʼsir qilish potentsialiga ega edi. Ushbu zararli paket kompyuter maʼlumotlarini yigʻish va mashinaga masofaviy kirishni taʼminlash uchun SSH orqali orqa eshik (backdoor) oʻrnatish maqsadiga ega edi.

Anthropic.claude-code 2.1.313 deb aniqlangan buzilgan versiya Braziliya vaqtida 29-oktabr kuni soat 06:27 dan 17:35 gacha platformaning kengaytmalar bozori (marketplace) da mavjud boʻlgan. Voqeani bilib olgandan soʻng, Elon Muskga tegishli SpaceX ulushiga ega boʻlgan kompaniya kengaytmani olib tashladi va bozorni vaqtincha toʻxtatdi.

Kompaniyaga koʻra, boshqa paketlarda manipulyatsiya qilinganligi haqida dalillar topilmadi. Cursor bozorni qayta qurishdan soʻng uni qayta faollashtirdi. Ushbu xato tufayli taʼsirlangan foydalanuvchilar platforma orqali bevosita bogʻlanishi kerak.

Cursor tomonidan berilgan ogohlantirishda zararli versiya Anthropic tomonidan yaratilmagan, balki Claude Code paketi sifatida taqiyingan va uni oʻrnatgan qurilmaning maʼlumotlarini buzishga qodir kodni oʻz ichiga olganligi tushuntirilgan. Oʻrnatilgandan soʻng, dastur foydalanuvchi va kompyuter nomi, operatsion tizim, protsessor arxitekturasi, ish kataloglari, Git elektron pochta manzili va IP manzili kabi sezgir maʼlumotlarni yigʻishni boshlagan.

Keyinchalik, kengaytma singdiruvchi tomonidan nazorat qilinadigan svc-telemetry deb nomlangan SSH kalitini kiritishga harakat qildi, bu kelajakda foydalanilishi mumkin boʻlgan kirish nuqtasini yaratishni maqsad qildi. Shu kalitdan foydalanib, zararli dastur tashqi serverga teskari tunnellashni oʻrnatishga harakat qildi, bu hujumchi mashinaga masofaviy kirish imkoniyatiga ega boʻlishini taʼminlaydi.

Bu kirishni qayta yuklashlardan keyin ham saqlab qolishni taʼminlash uchun kod Windows va macOSʼda barqarorlik mexanizmlarini joriy etdi. Ushbu tartiblar taxminan 60 soniya oraligʻida ulanishni tiklashga urinish uchun sozlangandi. Bundan tashqari, yigʻilgan maʼlumotlarning bir qismi va server bilan ulanish holati hujumchi tomonidan boshqariladigan infratuzilmaga uzatildi.

Biroq, masofaviy kirishga urinish aksariyat kompyuterlarda muvaffaqiyatga erishmadi. Platforma kodning kamchiliklarga ega ekanligini va SSH xizmatini faollashtirish uchun yuqori ruxsatlar talab qilinishini maʼlum qildi. Shunday qilib, xavf faqat Cursorga administrator yoki root ruxsatlari berilgan uskunalar uchun sezilarli darajada katta edi. Bunday vaziyatlarda ham kompaniya buzilgan versiyani oʻrnatgan har qanday shaxs tizimni toʻliq tekshirishni tavsiya etadi. Bu tavsiya Anthropic.claude-code kengaytmasini 2.1.313 versiyasiga mavjud boʻlgan davrda oʻrnatgan yoki yangilaganlar uchun amal qiladi. Uskunani tekshirish usuli – bu zararli dastur tomonidan SSH sozlamalariga qoʻshilgan svc-telemetry kalitini qidirishdir.

Oʻxshash hikoyalar

CBFC da katta maʼlumotlar sizib chiqdi: 500 dan ortiq filmlarning ssenariylari va shartnomalari oshkor qilindi

Batafsil

www.aajtak.in25-oktabr, 09:07

CBFC da katta maʼlumotlar sizib chiqdi: 500 dan ortiq filmlarning ssenariylari va shartnomalari oshkor qilindi

Kino sanoati bilan bogʻliq katta maʼlumotlar sizib chiqishi aniqlandi. Xabarlarga koʻra, Film sertifikatlashtirish boʻyicha Markaziy kengash (CBFC) onlayn portalidan 500 dan ortiq filmlarga oid hujjatlar sizib chiqqan. Oʻgʻirlangan materiallar orasida filmlar ssenariylari, sertifikatlashtirish bilan bogʻliq yozuvlar hamda shartnomalar tilga olingan.

Bu hodisa CBFC tomonidan filmlarga sertifikat berish jarayoni uchun ishlatiladigan e-Cinepramaan CBFC portali orqali sodir boʻldi. Baʼzi hujjatlarga bu portalda kirish amalga oshirilgani va ular Internet Archive ga yuklanganligi maʼlum boʻldi. Biroq, hozircha maʼlumotlar qanday sizib chiqqani va qancha hajmdagi maʼlumot shikastlanganligi noaniq.

Ssenariylar va shartnomalar ham jamoatchilik uchun oshkor boʻldi

Sizib chiqish nafaqat filmlar ssenariylariga, balki boshqa muhim hujjatlarga ham taʼsir qildi. Bular CBFC buyruqlari va filmlar bilan bogʻliq biznes kelishuvlari hisoblanadi. Baʼzi hujjatlarda distribyutorlik bitimlari va litsenziya toʻlovlari haqidagi maʼlumotlar mavjudligi qayd etilgan.

Bunday maʼlumotlar kino ijodkorlari va distribyutorlar uchun juda muhim boʻlgani sababli, ularning ommaviy eʼlon qilinishi biznes muzokaralari va bitimlarga salbiy taʼsir koʻrsatishi mumkin. Taʼkidlash kerakki, bu faqat bogʻliq hujjatlarning sizib chiqishi haqida, filmlarning oʻzi butunlay eʼlon qilingani haqida emas.

CBFC tekshiruvni boshladi

Mavjud maʼlumotlarga koʻra, CBFC ushbu ish boʻyicha tekshiruvni boshlagan va xavfsizlik auditini oʻtkazmoqda. Shu bilan birga, Internet Archive tegishli akkauntlarni oʻchirish va kiberjinoyatlarga qarshi kurash organlariga shikoyat qilish niyatini bildirgan. Shuningdek, Hindiston kiberxavfsizlik agentligi CERT-In ga maʼlumot taqdim etilgan.

Hali kim javobgar ekanligi va notoʻgʻri maʼlumot qanchalik keng qoʻllanilgani nomaʼlum. Biroq, bu holat davlat onlayn portallarida maxfiy hujjatlarni saqlash ishonchliligi masalasini yana bir bor koʻtarib chiqdi.

PHP, eMudhra va sunʼiy intellektga asoslangan dasturiy taʼminotdagi halokatli zaifliklar aniqlandi

Batafsil

www.aajtak.in22-oktabr, 15:03

PHP, eMudhra va sunʼiy intellektga asoslangan dasturiy taʼminotdagi halokatli zaifliklar aniqlandi

Soʻnggi bir kun ichida kiberxavfsizlik sohasida sezilarli hodisalar koʻpaydi. Turli sohalarda jiddiy xavfsizlik muammolari aniqlandi — veb-saytlar uchun dasturiy taʼminotdan va raqamli sertifikatlardan tortib sunʼiy intellekt vositalari va bulut platformalarigacha. Aniqlangan kamchiliklar orasida hujumchilarga serverda oʻz kodini bajarish imkonini beradigan zaifliklar hamda dasturiy taʼminot yangilanishlariga zararli kodni joylashtirish holatlari mavjud edi.

Eng shov-shuvli voqealardan biri Hindiston kompaniyasi eMudhra ning raqamli sertifikatlari bilan bogʻliq boʻlib, bu kiberxavfsizlik sohasidagi jahon jamiyatining diqqatini jalb qildi.

Bunday koʻp muammolar bir vaqtning oʻzida paydo boʻlishining sabablari haqida savol tugʻiladi. Avvalroq AI sohasidagi yetakchilar kuchli AI modellarining dasturiy taʼminotdagi kamchiliklarni insonlardan ancha tez topa olishi mumkinligini ogohlantirgan. Jamoatchilik AI tomonidan zaifliklarni aniqlash tezligi ularni bartaraf etish tezligidan oshsa, butun dunyo foydalanuvchilarining xavfsizligi va maxfiyligi xavf ostida qolishi mumkinligidan qoʻrqadi.

Bu hodisalar internet xavfsizligi faqat bitta kompaniya yoki veb-saytdan kelib chiqmasligini yana bir bor namoyish etdi. Internetga ishonch brauzerlar, serverlar, DASTURIY TAʼMINOT yangilanishlari va raqamli sertifikatlar kabi koʻplab komponentlarning oʻzaro taʼsiri bilan saqlanadi. Ushbu elementlardan birida buzilish boshqa xizmatlar va kompaniyalarga taʼsir qilishi mumkin. Hozircha katta yoʻqotishlar haqida maʼlumot berilmagan boʻlsa-da, vaziyatni yanada baholash talab etiladi.

Eng muhim voqea dasturlash tili PHP da ikkita halokatli zaiflik aniqlanishi boʻldi. PHP veb-saytlar va veb-ilovalarni yaratish uchun keng qoʻllaniladi va koʻplab serverlar shu platformada ishlaydi. Hindiston kiberxavfsizlik agentligi CERT-In ushbu zaifliklar haqida 21-oktabr kuni ogohlantirish berib, ularga CVE-2026-109618 va CVE-2026-109619 identifikatorlarini berdi.

Ushbu zaifliklardan foydalanib, hujumchilar avtorizatsiya qilish shartmasdan baʼzi zaif serverlarda oʻz kodini bajara olgan. Bu server ustidan nazoratni olish va uning ustida ishlayotgan xizmatlarga taʼsir qilish xavfini keltirib chiqardi. PHP jamoasi bu kamchiliklarni tuzatish uchun yangi xavfsizlik yangilanishlarini chiqardi: PHP 8.5 uchun 8.5.12, PHP 8.4 uchun 8.4.27, PHP 8.3 uchun 8.3.36 va PHP 8.2 uchun 8.2.35. Zarar koʻrgan saytlar va server foydalanuvchilari tegishli yangilanishlarni zudlik bilan oʻrnatishlari tavsiya etildi.

Xatarlar haqida maʼlumot eʼlon qilingandan soʻng, hujumchilar faoliyati sezilarli darajada oshdi. Reutersning 22-oktabrgi hisobotiga koʻra, Cloudflare zaifliklar haqidagi maʼlumot ommaga oshgandan soʻng, PHP ga hujum qilish urinishlarining keskin koʻtarilishini qayd etdi. Agar avval bunday urinishlar minglab miqdorda boʻlsa, oshkor qilingandan soʻng ular millionlarga yetdi. Turli mamlakatlardagi koʻplab davlat xizmatlari va kompaniyalar tizimlarini tezda tekshirishni va xavfsizlik yangilanishlarini qoʻllashni boshladilar.

Biroq, tizimga hujum qilish urinishi va maʼlumotlarning muvaffaqiyatli oʻgʻirlanishi ikki xil jarayon. Dastlabki hisobotlar ushbu hodisa bilan bogʻliq hech qanday keng koʻlamli muvaffaqiyatli hujumlarning mavjudligini tasdiqlamadi.

PHP zaifliklari tarixi sunʼiy intellekt bilan bogʻliq jihatni ham oʻz ichiga oladi. OpenAI maʼlumotlariga koʻra, eng muhim zaifliklardan biri kompaniya 'Patch the Planet' tashabbusi doirasida GPT-5.6 Sol yordamida aniqlangan. Mustaqil ravishda, Wiz kompaniyasi ham bu ikkala zaiflikni mustaqil aniqlagan va xabar berdi. Shundan soʻng, PHP jamoasi va boshqa xavfsizlik kompaniyalari ularni tuzatish ustida birgalikda ishledi.

Bu holat sunʼiy intellekt faqat kontent yaratish yoki savollarga javob berish uchun emas, balki dasturiy taʼminotdagi yashirin zaifliklarni topish uchun ham qoʻllanilishi mumkinligini namoyish etadi. Bunday texnologiyalar xavfsizlik jamoalariga kamchiliklarni tezroq aniqlash va yechimlarni ishlab chiqishga yordam berishi mumkin. Biroq, teskari tomoni ham mavjud: agar hujumchilar ham zaifliklarni izlash, hujumlar tayyorlash va zaif tizimlarni aniqlash uchun shunga oʻxshash usullardan foydalanishni boshlasa, kompaniyalarning reaksiya vaqti qisqaradi. Shu sababli, AI yordamida kiberxavfsizlikni mustahkamlashga umid qilinishiga qaramay, hujumlar yanada tezlashishi mumkinligi haqidagi xavotir ortib bormoqda.

Shu bilan birga, Hindiston kompaniyasi eMudhra ning raqamli sertifikatlari bilan bogʻliq muammo yuzaga keldi. Ushbu kompaniya internetda xavfsiz ulanishni taʼminlash uchun ishlatiladigan raqamli sertifikatlarni chiqaradi. Bunday sertifikatlar brauzerlarga veb-sayt ishonchli ekanligini aniqlashga yordam beradi va xavfsiz ulanish toʻgʻri resursga yoʻnaltirilganligini kafolatlaydi.

CERT-In maʼlumotlariga koʻra, eMudhra ning sakkizta vositachilik sertifikati oʻz xususiy kriptografik kalitlari noxavfsiz usulda shakllantirilganligi sababli zaiflikka ega edi. Ushbu kalitlar...