FirstVDS Хостинг

Продолжаем отмечать два праздника: День хостера & День котиков!

По секрету сообщаем вам, что в нашем офисе работают котики-хостеры — профессионалы своего дела! Лапками настраивают, хвостиком мониторят, а мурлыканьем заряжают серверы на максимальную производительность.

Праздничная акция продлится до 12 марта. Успейте забрать сервер со скидкой 25%, пока котики не уснули на клавиатуре.

Скидка действует на любой срок заказа сервера (1, 3, 6 или 12 месяцев). Подробные условия акции.

Скопируйте промокод на скидку 25%>>

HOSTDAY

firstvds.ru

Национальная премия «ЦОДы.РФ 2024/2025»: открытое голосование началось!

В этот раз FirstVDS номинирован на «Золотое перо года»: весь объём статей, новостей, инструкций — достижение нашего уютного контент-направления, которым мы очень гордимся!

FirstDEDIC в этом году претендует на «Хостер года». Ребята регулярно пополняют парк железа новыми процессорами и GPU, модернизируют инфраструктуру и являются самым крупным оператором, использующим системы жидкостного охлаждения.

Первый этап голосования на сайте «ЦОДы.РФ» уже стартовал, и мы будем рады вашей поддержке!
Наши номинанты:

• ???? Алёна Морозова — «Золотое перо года».
• ???? Евгений Остапенко — «Хостер года».

Проголосовать можно сразу за обоих кандидатов. Если вы уже принимали участие в голосовании в прошлом, то сразу переходите на сайт премии. А если вы будете голосовать впервые — необходимо предварительно пройти регистрацию, для упрощения процесса составили подробную инструкцию.

firstvds.ru/rdca24-25

Завтра – весна, а сегодня мы запускаем акцию в честь двух замяучательных праздников — Дня хостера и Дня котиков, которые официально отмурчаются 1 марта, но мы решили начать празднование уже сейчас!

Вот что мы подготовили для вас:

• Промяукот со скидкой 25% на заказ новых VDS — скидка сработает на любой срок заказа VDS (1, 3, 6 или 12 месяцев).
• Сертификоты на пополнение баланса номиналом 150 рублей для наших постоянных клиентов. Количество сертификотов ограничено. С условиями можно ознакомиться тут.
• Акция продлится до 12 марта, так что и котиков успеете нагладить, и сервер со скидкой оплатить! Мяу!

P.S. Этот текст был отредактирован котиком
firstvds.ru/actions/host-vs-kitten-day

Если вы ждёте весны также сильно, как и мы, есть хорошие новости. Март не за горами! А это значит, что пришла пора подводить итоги февраля и рассказывать о том, как прошел этот месяц.



В этот раз собрали свежие статьи и инструкции, интересные и важные обновления, которые вы могли пропустить. И добавили лёгкий и приятный анонс — возможно, он поднимет вам настроение в разгар рабочих будней.

Статьи и инструкции
Как установить Docker на Ubuntu
Docker — открытая платформа для разработки, доставки и запуска приложений в контейнерах. Контейнеризация позволяет объединять приложение со всеми его зависимостями в единый автономный модуль, что обеспечивает одинаковую работу в любой среде: от разработки до тестирования и эксплуатации.
В статье рассказываем, как установить Docker на Ubuntu и начать работать с контейнерами. Вы узнаете, сколько ресурсов требуется для работы, разберетесь с основными командами и вместе с нами пройдете основные шаги по запуску контейнеров и загрузке образов.
firstvds.ru/technology/kak-ustanovit-docker-na-ubuntu

Habr: самое интересное за февраль
Что общего у квантового чипа от Microsoft и трансатлантического кабеля? Верный ответ — технологии, меняющие мир. В нашу подборку вошли статьи на самую разную тематику, но все они рассказывают о том, как наука, инженерия и творчество помогают расширять границы возможного.

• 3D для каждого: DIY-текстуры
• Microsoft представила квантовый чип Majorana 1 с топологическими кубитами
• Магия полупроводниковых диодов: начало
• От мечты к реальности: история трансатлантических кабелей

Новости февраля
Скоро! Старт акции на День хостера… и котиков


Всеми силами приближаем весну — время обновления и свежих стартов! Тем более, что первый день марта — наш профессиональный праздник, День хостера, и одновременно День кошек. Совпадение? Не думаем. Наши пушистые коллеги заслуживают особого внимания, ведь столько нам помогают.
Поэтому завтра, не дожидаясь официальной даты, начнём праздновать и раздавать подарки:

• Промокод со скидкой 25% на заказ новых VDS для всех желающих.
• И сертификаты на пополнение баланса номиналом 150 рублей для тех, кто с нами больше года.

Количество сертификатов ограничено.
Акция продлится до 12 марта 2025. Следите за новостями в нашем телеграм-канале, чтобы не пропустить начало праздника.
t.me/TakeFirstNews

Обновили условия сотрудничества для внештатных авторов

Бывает душа просит творчества, а куда направить этот порыв — неясно. Особенно если хочется, чтобы не просто так, а с пользой для себя и для дела. Выход есть!
В феврале мы обновили условия для наших внештатных авторов — повысили размер гонораров и добавили кое-что интересное для пишущих в блог на Хабре.
Так, например, можно получить повышенный гонорар за статьи, которые попадают в одну из специальных тематик (действуют постоянно) или тему месяца. В марте стартует новая тема — DIY или Сделай Сам. И будет действовать до начала апреля.
firstvds.ru/blog/vremya-pisat-stati-ischem-avtorov-dlya-blogov-i-bz

Топ новостей из мира безопасности
Февраль не особо баловал нас новостями из мира безопасности первые пару недель. Но потом ситуация изменилась. И хотя речь пойдет о критических уязвимостях, которые затрагивают многих, мы настроены оптимистично. Почти для всех из них уже выпущены обновления с исправлениями.

Школьник запустил Linux внутри PDF-файла
Старшеклассник Аллен Динг, ранее запускавший Doom в PDF, представил новый проект — LinuxPDF, встроенную в PDF операционную систему Linux. Проект использует JavaScript и работает в браузерах на базе Chromium (Chrome, Edge, Opera). Исходный код доступен на GitHub. LinuxPDF работает на эмуляторе RISC-V через TinyEMU. Управление осуществляется через виртуальную клавиатуру. Несмотря на то, что PDF создан для текста и изображений, поддержка JavaScript позволила реализовать такой необычный проект.
Производительность низкая: загрузка ядра занимает около минуты из-за отсутствия JIT-компиляции в движке V8 Chromium. По умолчанию система 32-битная, но можно создать 64-битную версию, которая будет работать ещё медленнее.
Проект демонстрирует нестандартное использование JavaScript, расширяя возможности PDF.
3dnews.ru/1118227/starsheklassnik-zapustil-linux-vnutri-pdffayla

Исправлена уязвимость в PostgreSQL, задействованная при атаке на BeyondTrust
Для всех поддерживаемых версий PostgreSQL (17.3, 16.7, 15.11, 14.16, 13.19) выпущены обновления, устраняющие более 70 ошибок, включая уязвимость CVE-2025-1094. Эта уязвимость была использована в атаке на BeyondTrust и Министерство финансов США в декабре 2024 года. Проблема связана с библиотекой libpq, которая предоставляет API для взаимодействия с СУБД PostgreSQL.
Уязвимость позволяет злоумышленникам внедрять произвольный SQL-код через функции экранирования спецсимволов (PQescapeLiteral, PQescapeIdentifier, PQescapeString, PQescapeStringConn). В BeyondTrust уязвимость эксплуатировалась через утилиту psql, где некорректные Unicode-символы в UTF-8 обходили экранирование кавычек.
В результате атаки злоумышленники получили доступ к API для удалённой поддержки клиентов BeyondTrust. Как следствие, они смогли загрузить конфиденциальные данные и получить доступ к рабочим станциям.
Дополнение: Исправление в libpq вызвало регрессию — функция PQescapeIdentifier перестала учитывать поле с размером. Внеплановое обновление для устранения этой проблемы запланировано на 20 февраля.
www.opennet.ru/opennews/art.shtml?num=62722

В OpenSSH устранены уязвимости, угрожающие безопасным соединениям
Разработчики OpenSSH выпустили обновление 9.9p2, устраняющее две критические уязвимости, которые могли привести к атакам типа «человек посередине» (MiTM) и отказам в обслуживании (DoS). Обе проблемы были обнаружены специалистами компании Qualys.
Первая уязвимость, CVE-2025-26465, существует с 2014 года и затрагивает клиенты с включенной опцией VerifyHostKeyDNS. Она позволяет злоумышленникам перехватывать SSH-соединения, обходя проверку ключей сервера. Атака возможна даже при нехватке памяти на стороне клиента, что вынуждает его принять поддельный ключ. Хотя опция по умолчанию отключена, она была активна в FreeBSD с 2013 по 2023 год.
Вторая уязвимость, CVE-2025-26466, появилась в OpenSSH 9.5p1 (август 2023 года) и связана с утечкой памяти при обработке пакетов SSH2_MSG_PING. Атакующие могут отправлять множество небольших пакетов, что приводит к перегрузке памяти и процессора, вызывая сбои в работе системы.
Разработчики настоятельно рекомендуют пользователям обновиться до версии 9.9p2 и отключить VerifyHostKeyDNS, если её использование не является необходимым. Также для защиты от DoS-атак предлагается настроить ограничения с помощью директив LoginGraceTime, MaxStartups и PerSourcePenalties.
www.opennet.ru/opennews/art.shtml?num=62742

Уязвимости в процессорах AMD позволяют запускать код в режиме SMM
Компания AMD устранила 6 уязвимостей в процессорах EPYC и Ryzen. Наиболее опасные (CVE-2023-31342, CVE-2023-31343, CVE-2023-31345) позволяют выполнять код в режиме SMM (System Management Mode), который имеет приоритет выше гипервизора и нулевого кольца защиты. Если кратко, то это дает доступ ко всей системной памяти и контроль над ОС. Проблема связана с недостаточной проверкой входных данных в обработчике SMM, что дает возможность атакующему с привилегиями изменять содержимое SMRAM. Детали эксплуатации уязвимостей пока не раскрываются.
Другие исправленные уязвимости:

• CVE-2023-31352 – ошибка в AMD SEV (применяется для защиты VM), позволяющая администратору хост-системы читать незашифрованную память гостевой системы.
• CVE-2023-20582 – обход проверок RMP в SEV-SNP, что может нарушить целостность памяти виртуальных машин.
• CVE-2023-20581 – ошибка в IOMMU, позволяющая обойти проверку RMP и повлиять на память гостевой системы.

Уязвимости затрагивают процессоры AMD EPYC 3-го и 4-го поколений, Ryzen Embedded серий R1000, R2000, 5000, 7000, V2000, V3000, а также десктопные Ryzen 3000-8000 и Athlon 3000.
www.opennet.ru/opennews/art.shtml?num=62734

Уязвимость в OpenH264 приводит к выполнению произвольного кода при обработке видео
В открытой реализации видеокодека H.264, OpenH264, найдена уязвимость (CVE-2025-27091). Она возникает в режимах SVC (Scalable Video Coding) и AVC (Advanced Video Coding) из-за состояния гонки, которое приводит к выходу за границы выделенного буфера памяти. Проблема устранена в версии OpenH264 2.6.0. Информацию о доступности обновлений можно отслеживать на страницах популярных дистрибутивов: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
OpenH264 разрабатывается и поддерживается компанией Cisco. Эта библиотека позволяет использовать технологии сжатия H.264 в сторонних приложениях без лицензионных ограничений и выплат, так как Cisco имеет лицензию от MPEG-LA. Однако право на использование запатентованных технологий распространяется только на сборки, предоставляемые Cisco, например, загруженные с их официального сайта. Это позволяет таким проектам, как Firefox, openSUSE и Fedora, легально использовать кодек H.264. Дистрибутивы включают пакет-обёртку, а Firefox — плагин, который автоматически загружает готовую сборку OpenH264 с сайта ciscobinary.openh264.org.
www.opennet.ru/opennews/art.shtml?num=62775

Обнаружены критические уязвимости в загрузчике GRUB2
21 февраля 2025 года специалисты по безопасности сообщили о 21 уязвимости в популярном загрузчике GRUB2. Эти проблемы могут быть использованы для обхода защиты UEFI Secure Boot путём переполнения буфера. На данный момент исправления доступны только в виде патчей.
Статус устранения проблем можно проверить на страницах ведущих дистрибутивов: Debian, Ubuntu, SUSE, RHEL, Fedora. Обновление GRUB2 требует не только установки новых версий пакетов, но и создания пересоздания подписей, а также обновления связанных компонентов — ядра, инсталляторов, прошивок fwupd и прослойки shim.
Список выявленных проблем включает:

• несанкционированную запись за пределы буфера при обработке изображений в формате JPEG,
• целочисленные переполнения при работе с mo-файлами и различными файловыми системами (BFS, UFS, HFS и др.),
• уязвимости при сетевой загрузке и обработке клавиатурного ввода,
• возможность выполнения кода через неправильно обработанные модули,
• обход режима Lockdown и извлечение данных памяти.

Для защиты от атак используется механизм SBAT (Secure Boot Advanced Targeting), разработанный совместно с Microsoft. Этот подход позволяет блокировать конкретные версии уязвимых компонентов без отзыва сертификатов подписантов. Это значительно упрощает процесс обновления по сравнению с традиционным использованием списка отозванных сертификатов dbx.
Проблемы затрагивают цепочку доверия Secure Boot, позволяя потенциальному злоумышленнику внедрять произвольный код после проверки shim, но до запуска ОС. Для полноценной защиты требуется комплексное обновление всех связанных компонентов загрузочной цепочки.
www.opennet.ru/opennews/art.shtml?num=62771

Работаете в сфере IT и чувствуете в себе творческий потенциал? Пробуйте свои силы в писательском деле и получайте за каждую статью хороший гонорар. Можете ограничиться одним или несколькими материалами, а можете стать нашим постоянным автором — выбирать вам.

У вас есть готовая статья и вы считаете, что она подойдет для одного или наших блогов? Отправьте нам — если это действительно так, сможете получить от 10 до 17 тысяч рублей за материал. А может, и больше!

Кого ищем

• IT-специалистов разных направлений: системное администрирование, разработка, DevOps, тестирование и другие.
• Авторов, которые уверенно владеют терминологией, умеют понятно объяснять сложные вещи и писать структурированные тексты.
• Тех, кто готов делиться опытом и знаниями, создавая полезные материалы для разных аудиторий читателей.

Какие материалы принимаем

• Авторские и уникальные (не менее 75% по оценке text.ru).
• Актуальные и проработанные материалы с пользой для читателей. Если в статье есть практическая часть — каждый шаг необходимо проверить.
• Нейтральные по стилю — в статье не должно быть резких высказываний, обсуждений политики, религии или жесткой критики в адрес кого бы то ни было.
• Тематика и объём статьи должны соответствовать выбранной площадке.
• Как работаем
• Вы присылаете статью или предлагаете тему. Наш редактор проверяет текст на соответствие редполитике, помогает улучшить структуру и раскрыть важные детали. Дизайнер готовит иллюстрации для вашей статьи. А затем материал публикуется на выбранной площадке.

Преимущества сотрудничества с нами

• Гибкий график: вы сами решаете, когда и сколько писать.
• Поддержка редактора: поможем улучшить текст и сделать его более интересным.
• Возможность стать постоянным автором: если вам понравится писать для нас, мы готовы к долгосрочному сотрудничеству.
• Своевременные выплаты — в течение недели после публикации.

А еще мы подготовили приятные бонусы для авторов блога на Хабре :)

• Бонус 1. Публикация под вашим именем. Если вы активно ведёте Хабр, сможете публиковать статьи в нашем блоге из-под своего аккаунта.
• Бонус 2. Если ваша статья попадёт в одну из тематик ниже, вы получите повышенный гонорар за статью.

Как оплачиваем
Предлагаем прозрачную систему оплаты, которая зависит от площадки и качества материала. Оплата сдельная. Проводится на основании публичной оферты.

Но если кратко, то в среднем вы можете получить:

• от 8-10 до 15 тысяч рублей за статью для базы знаний, корпоративного блога (зависит от объема статьи) и vc.ru (чем выше рейтинг, тем лучше),
• от 12 до 17 тысяч рублей за статью для блога на Хабре (зависит от рейтинга), а при попадании в специальную тематику — до 22 тысяч рублей.

А что дальше?
Вы можете ограничиться одной или несколькими статьями или продолжить сотрудничество в качестве внештатного автора на постоянной основе. Работаем по договору и сотрудничаем как с физическими лицами, так с самозанятыми или ИП.

Как стать автором FirstVDS
Нажмите кнопку Откликнуться и заполните форму. Или напишите нам на почту content@firstvds.ru с темой «Хочу стать вашим автором», обязательно указав, для какой площадки (или площадок) вы хотите писать.
В письме расскажите немного о себе: как вас зовут, на чём вы специализируетесь, есть ли у вас опыт написания статей. Если есть примеры работ — прикрепите их. Мы свяжемся с вами в течение 3 рабочих дней.

Вот и подошел к концу самый короткий рабочий месяц этого года. В следующий раз почти такое же удовольствие нас ждёт не раньше мая. Надеемся, что вы успели набраться сил и хорошенько отдохнуть в первой половине января, а затем энергично и плодотворно провести его вторую половину.



Далее рассказываем, чем нам запомнились рабочие будни, и делимся самыми интересными новостями, материалами и, конечно же, планами на будущее.

Статьи и инструкции
Условные операторы в bash в двух частях
В базу знаний добавили две новые статьи, посвящённые условным операторам. Эти операторы, наряду с циклами, входят в число управляющих конструкций. Они позволяют контролировать выполнение команд в bash-скриптах, делая код более гибким и функциональным.

В первой части статьи вы узнаете, как работать с условными конструкциями для проверки истинности [ … ] и [[ … ]]. А во второй части разбираем условные операторы if и case, а также логические операторы && (И) и || (ИЛИ).
firstvds.ru/technology?&utm_term=all-active#gaydy_po_bash

Habr: самое интересное за январь
Праздники праздниками, а статьи должны выходить по расписанию. Так считают наши авторы и редакторы, и мы с ними согласны. Ведь если бы не это, то не бывать этой подборке с лучшими статьями января.

• Роберт Бартини: советский авангардист, изменивший мир авиации
• Учёные нашли оптимальный способ обхода графа
• Неонки: высокое напряжение, тлеющий разряд и немного практической магии
• История лампы: как Лодыгин, Яблочков и Эдисон стали прародителями вычислительного элемента ЭВМ

Новости января

Бесплатный месяц ispmanager 6 lite при заказе VDS
За праздники можно забыть обо всем на свете. Поэтому напоминаем: у нас продолжает действовать совместная акция с партнёрами из ispmanager!
При аренде нового сервера на панель управления ispmanager 6 lite в первый месяц будет действовать скидка 100%. Просто закажите сервер, а панель добавится в корзину автоматически.
В акции участвуют почти все тарифы — как готовые, так и гибкие конфигурации. За исключением VDS ARM, VDS Storage и серверов для Windows.
firstvds.ru/actions/ispmanager_lite_v_podarok


Время писать статьи! Скоро — обновление условий сотрудничества с авторами
Если вы работаете в сфере IT и чувствуете в себе творческий потенциал, то в любой момент можете попробовать силы в писательском деле — стать нашим внештатным автором и получать за статьи хороший гонорар.
Для тех, кто только подумывает об этом, и, конечно же, для тех, кто уже пишет для нас — в начале февраля грядут приятные изменения. Совсем скоро обновим условия сотрудничества. Следите за новостями на сайте.


Приз нашел своего победителя!
Ну никак не отпускают нас деньрожденческие флешбеки. А оно и к лучшему — больше радостных поводов в жизни :)
Напомним, в декабре мы с размахом отметили День рождения FirstVDS, провели приключенческий квест и разыграли крутые подарки — главным призом было исполнение желания на 500 тысяч рублей. И победителем в акции стал Максим — наш клиент с 2015 года, который загадал фотоаппарат. И вот, наконец, приз у победителя.

Поздравляем Максима с исполнением мечты и желаем ему отличных снимков. А для вас мы подготовили подробную статью, в которой раскрыли полное прохождение игры, с решением загадок, поиском пасхалок и интересными фактами о самой игре и не только.
firstvds.ru/blog/priklyuchencheskiy-kvest-na-den-rozhdeniya-firstvds

Топ новостей января из мира безопасности

Пожалуй, самой масштабной новостью января, за которой все наблюдали с чрезвычайным интересом, а наши пользователи ещё и обсуждали в чате, стали глобальные сбои в работе интернета и проблемы со связью у мобильных операторов. Можно было бы и закончить на этом, но какой месяц обходится без новых уязвимостей?
Снова в центре внимания — уязвимости в популярных инструментах и не только. В этот раз под удар попали OpenVPN, Rsync, WordPress … и процессоры AMD. Но есть и хорошие новости — компания Oracle выпустила масштабное обновление для своих продуктов, для большинства уязвимостей апдейты также доступны.
О проблемах с инструментами рассказали здесь, об AMD и Oracle можно узнать тут.
firstvds.ru/blog/kriticheskie-uyazvimosti-yanvarya-v-openvpn-rsync-i-wordpress-riski-i-obnovleniya
firstvds.ru/blog/novosti-bezopasnosti-uyazvimosti-v-processorakh-amd-i-obnovleniya-oracle

Надеемся, что вы провели новогодние выходные ярко и незабываемо!
Ловите послепраздничный чек-лист на полтора рабочих и два полноценных выходных дня:

• Составить план на 2025 (если вы всё ещё не).
• Разобрать ёлку (но это необязательно).
• Арендовать сервер со скидкой 20%.

Успевайте активировать промокод HAPPYNEWSNAKE до 13 января. Скидка по промокоду сработает на любой срок заказа VDS при единовременной оплате за этот период (1, 3, 6 или 12 месяцев). Подробные условия акции.
firstvds.ru/actions/new-year-2025

Что это у вас на носу? Ах, да… Новогодняя гирлянда.
А у нас продолжается акция, и, если вдруг посреди праздничной суеты вам понадобится новый VDS, то его можно заказать со скидкой 20%!

Просто добавьте необходимый сервер в корзину и примените промокод HAPPYNEWSNAKE. Скидка по промокоду сработает на любой срок заказа сервера при единовременной оплате за этот период (1, 3, 6 или 12 месяцев)

firstvds.ru/actions/new-year-2025

Ну как ваше предновогоднее настроение? Надеемся, что вы уже доделали все срочные задачи, а несрочные со всей ответственностью переложили на следующий год. Давайте честно: за 5 дней до Нового года уже поздно рваться в бой. Единственный верный подход — это удобное кресло, чашка горячего чая и подготовленный ответ «Давайте уже после праздников».



Если вы всё же хотите делать вид, что работаете — откройте наш дайджест. Это отличная возможность вспомнить, как пролетел декабрь, и одновременно занять себя чем-то абсолютно нерабочим на целых полчаса! Праздники — это же не только про подарки, но и про умение прокрастинировать :)
 
Чтобы прокрастинация продлилась ещё чуточку дольше, приготовили для вас небольшой квест: разбросали по дайджесту в письме части сертификата. Первые 25 читателей, которые смогут найти и собрать сертификат, получат по 50 рублей на баланс. Удачи!

Статьи и инструкции
Как создать ключ для авторизации по SSH и добавить его на сервер?
Обновлённая статья про использование SSH-ключей для идентификации клиента при подключении к серверу по SSH-протоколу. Этот метод можно использовать вместо аутентификации по паролю.
В статье рассказываем про создание SSH-ключей в Linux и Windows, про OpenSSH, PuTTY и отключение аутентификации по паролю.
firstvds.ru/technology/kak-sozdat-klyuch-dlya-avtorizacii-po-ssh-i-dobavit-ego-na-server

Habr: самое интересное за декабрь
Финальная в этом году подборка статей из нашего Хабра. Самые интересные попали сюда, а остальные можно посмотреть в блоге.

• Домашние эксперименты с радиолампами. В двух частях с теорией и практикой
• Невероятная история первого транзисторного радиоприемника TR-1
• Странные числа странной вселенной
• Start Me Up: Как Windows 95 завоевала сердца пользователей

Новости декабря
На ваш счёт зачислено 365 счастливых дней! А также скидка 20% на новые VDS и 150 ₽ на пополнение баланса

В Новый год с подарками от FirstVDS
Новый год приносит с собой особую ностальгию по детству, когда праздник был наполнен волшебством и ожиданием чуда. Мы окунулись в приятные воспоминания и подготовили для вас праздничную акцию.

Охладили игристое, почистили мандарины и упаковали подарки к празднику. Забирайте промокод со скидкой 20% на заказ новых VDS для всех. Акция продлится до 13 января. Хо-хо-хо! С наступающим!
firstvds.ru/actions/new-year-2025



FirstVDS 22: как мы отметили день рождения!
День рождения провели, подарки на стриме вручили, выдохнули. Так прошла наша первая половина декабря.
Спасибо всем, кто пришёл на наш праздник и принял в нём активное участие. Вы разгадывали головоломки, искали пасхалки и путешествовали сквозь эпохи к порталу желаний. Обо всех победителях, которым достались сертификаты на пополнение баланса, наш классный мерч и, самое главное, исполнение заветного желания на 500 тысяч рублей.
firstvds.ru/blog/itogi-akcii-v-chest-22-letiya-firstvds

Топ новостей декабря из мира безопасности
Декабрь — месяц насыщенный, в том числе и сфере безопасности. Знаем точно, так как следили за тем, что там происходило. Начало декабря удивило отставкой гендиректора Intel и новым примером Linux-буткита, подробнее об этом рассказали здесь. Что же касается конца месяца, тот тут отличился WordPress и уязвимости в двух популярных плагинах — если интересно, что да как, загляните в эту новость. А пока желаем вам спокойных праздников, если вы понимаете, о чем мы :)

Уязвимость в tuned позволяет выполнять код с правами root
В системном процессе tuned от Red Hat выявлена уязвимость (CVE-2024-52336), которая позволяет локальному пользователю, не проходя авторизацию, запускать команды от имени root. Основная проблема кроется в DBus-методе «com.redhat.tuned.instance_create», который позволяет передавать скрипты «script_pre» и «script_post». В связи с настройками Polkit любой локальный пользователь может без аутентификации отправлять запросы к этому методу и, как следствие, запускать указанные скрипты с привилегиями root. Кроме того, имеется менее критичная уязвимость (CVE-2024-52337), вызванная тем, что имя экземпляра плагина не очищается перед записью в лог, что может быть использовано для внедрения вредоносных данных.
Эти уязвимости наблюдаются начиная с версии tuned 2.23 (выпущена в начале июня 2024 года) и были исправлены в версии 2.24.1. Уязвимости устранены в дистрибутивах RHEL 9, Fedora 40, Arch Linux и Gentoo. В стабильных сборках Ubuntu, Debian и SUSE/openSUSE отсутствуют, поскольку там используются более ранние версии tuned (<2.23).
www.opennet.ru/opennews/art.shtml?num=62307

Гендиректор Intel Пэт Гелсингер уходит в отставку
Корпорация Intel неожиданно сообщила о том, что генеральный директор Пэт Гелсингер уходит со своего поста — это произошло 1 декабря, и он также вышел из состава совета директоров. До назначения нового гендиректора его обязанности будут исполнять Дэвид Цинснер и Мишель Джонстон Холтхаус, а временным председателем совета стал Фрэнк Йери.
Изменения в руководстве сигнализируют о необходимости трансформации бизнеса Intel в условиях растущей конкуренции, особенно со стороны компании NVIDIA. В августе Intel сообщила о значительном падении финансовых показателей и планирует увольнение более 15% сотрудников для реализации программы экономии в 10 миллиардов долларов. Рыночная капитализация Intel снизилась более чем на 50% с 2021 года, а акции упали на 52% с начала текущего года, хотя после объявления об уходе Гелсингера они выросли на 5%.
servernews.ru/1114844/

Linux-буткит Bootkitty использует уязвимость LogoFAIL для атак на системы с уязвимой прошивкой
Не так давно исследователи из ESET сообщили об этой угрозе, уточнив, что Bootkitty функционирует лишь с определенными версиями Ubuntu и, скорее всего, представляет собой пример концепции (proof-of-concept).
Уязвимость LogoFAIL была выявлена компанией Binarly в конце 2023 года и дает возможность обходить защиту Secure Boot, внедряя вредоносные изображения в прошивку. Bootkitty внедряет шелл-код в BMP-файлы, позволяя атакующим захватывать устройства, на которых не установлены патчи для устранения этой уязвимости. Наиболее уязвимыми к атакам оказались устройства Lenovo с прошивкой Insyde, поскольку они используют специфические имена переменных. Исследователи также выделили несколько моделей Lenovo, которые до сих пор остаются под угрозой.
После публикации отчета Binarly специалисты ESET выяснили, что разработкой буткита занимались южнокорейские студенты в рамках программы Best of the Best, целью которой является повышение осведомленности о киберугрозах. Несмотря на это, Bootkitty продолжает оставаться первым UEFI-буткитом для Linux и все еще является примером концепции, как и заявлялось ранее.
xakep.ru/2024/12/03/bootkitty-logofail/

Уязвимость в плагине WPForms
В плагине WPForms, который используется более чем на 6 миллионах сайтов WordPress, была обнаружена уязвимость с идентификатором CVE-2024-11205. Эта проблема позволяет пользователям возвращать средства через Stripe или отменять подписки. И хотя уязвимость не является критической, она все же может представлять угрозу, так как даже аутентифицированные пользователи с правами уровня subscriber могут инициировать атаки. Проблема обусловлена некорректным применением функции, предназначенной для проверки источника AJAX-запросов.
Уязвимость затрагивает версии WPForms от 1.8.4 до 1.9.2.1. Разработчики выпустили исправление в версии 1.9.2.2, но около 3 миллионов сайтов по-прежнему функционируют на уязвимых версиях. Компания Wordfence настоятельно рекомендует администраторам обновить плагин до безопасной версии или временно его отключить.
xakep.ru/2024/12/11/wpforms-bug/

Уязвимость в плагине Hunk Companion может использоваться для установки других уязвимых плагинов WordPress
Злоумышленники активно использует уязвимость в плагине Hunk Companion для WordPress, которая дает возможность устанавливать другие уязвимые плагины. Уязвимость с идентификатором CVE-2024-11972 (9,8 по CVSS) затрагивает все версии до 1.9.0. Плагин Hunk Companion насчитывает более 10 тысяч активных установок, однако лишь 12% пользователей обновили его, что ставит под угрозу около 9000 сайтов.
Специалисты WPScan предупреждают, что это уязвимость может привести к удаленному выполнению кода (RCE), SQL-инъекциям и созданию бэкдоров. Проблема была выявлена на одном из зараженных сайтов, где хакеры использовали уязвимость для установки плагина WP Query Console и RCE-уязвимости для запуска вредоносного кода.
Данная уязвимость является обходом исправления для похожей проблемы CVE-2024-9707. Кроме того, RCE-уязвимость в WP Query Console (CVE-2024-50498) все еще не устранена.
Ошибки в скрипте hunk-companion/import/app/app.php позволяют неаутентифицированным запросам миновать проверки прав на установку. Пользователям Hunk Companion настоятельно рекомендуется немедленно обновиться до версии 1.9.0.
xakep.ru/2024/12/13/hunk-companion-attacks/

Стилер Lumma внедряется через поддельные CAPTCHA
Эксперты Guardio Labs сообщили о новой кампании по распространению стилера Lumma, где злоумышленники используют фальшивые CAPTCHA. Они маскируются под легитимные предложения, побуждая пользователей выполнять команды PowerShell.
Эта инициатива называется DeceptionAds и использовалась в рекламе через сеть Monetag, где ежедневно отображается более миллиона объявлений на 3000 разных сайтов. За этой деятельностью, скорее всего, стоит хакерская группировка Vane Viper, которая применяет законные методы рекламы для обмана пользователей.
При нажатии на такое объявление срабатывает обфусцированный код, который проверяет, является ли пользователь настоящим человеком, а затем перенаправляет его на страницу с фальшивой CAPTCHA, маскируясь через сервис BeMob. На этой странице содержится JavaScript, который тайно копирует вредоносную PowerShell-команду в буфер обмена и предлагает жертве выполнить её с помощью Windows Run. В результате на устройство пользователя устанавливается стилер Lumma, который способен похищать файлы cookie, пароли и данные банковских карт.
Несмотря на то что 200 аккаунтов, связанных со злоумышленниками, были удалены, кампания снова активировалась с использованием другой рекламной сети.
xakep.ru/2024/12/17/fake-lumma-captcha/

C 1 февраля 2025 года стоимость всех архивных тарифных планов с виртуализациями FreeBSD Jail и Linux OpenVZ будет увеличена на 100%.

Изменения связаны с необходимостью оптимизации поддержки и технического обслуживания устаревших систем.

Операционные системы родительских серверов сняты с поддержки разработчиками и не получают регулярных обновлений безопасности, что делает уязвимыми для компрометации виртуальные машины, размещённые на них. Это может привести к утечкам или потере данных.

Рекомендуем клиентам перенести свои проекты на актуальные тарифные планы.

Если необходима помощь с переносом проекта на новый сервер — наша техническая поддержка всегда на связи и готова помочь.