Благодаря дайджесту мы заметили, что пролетел ещё один месяц. Уже одиннадцатый в этом году. После этой новости резко запахло мандаринами и сразу захотелось произнести волшебное «господа, а давайте уже после январских».
Но ещё рано растекаться в предпраздничном блаженстве. Впереди важный забег — целый месяц доделывания дел и закрытия хвостов.
Что-то мы начали уже в ноябре, об этом и рассказываем в дайджесте.
Статьи и инструкции
Запрет на использование и рекламу VPN: миф или реальность?
В интернете периодически появляются статьи, утверждающие, что использование и реклама VPN-сервисов запрещены. Причина кроется в некоторых изменениях законодательства, касающихся VPN.
Мы обратились к нашим юристам, чтобы разобраться в этом вопросе. Возможно, не всё так однозначно, и использование этих сервисов остаётся законным, следовательно, нет причин для волнения?
Что такое VPN, какие изменения произошли в законах, кого они касаются, и действительно ли запрещены реклама и использование VPN-сервисов, читайте в нашей новой статье.
firstvds.ru/blog/zapret-na-ispolzovanie-i-reklamu-vpn-mif-ili-realnost
Установка ПО в ispmanager
При установке панели ispmanager пользователю сразу доступен некий базовый набор ПО — стандартная сборка «из коробки», функциональности которой может не хватить для решения задач конкретного проекта. Поэтому в панели предусмотрена возможность установки альтернативного или дополнительного ПО.
В статье на примере VDS с Ubuntu 22 мы рассмотрим, какие варианты изменения базового набора доступны в панели версии 6 в редакциях Lite, Host и Pro. Материал будет полезен и тем, кто использует другую ОС, так как отличия небольшие и не влияют на логику работы с ПО.
firstvds.ru/technology/ustanovka-po-v-ispmanager
Habr: самое интересное за ноябрь
Когда дело касается выпуска материалов в блог на Хабре, нашим авторам неведомы никакие преграды. Кажется, даже в новогоднюю ночь они одной рукой будут держать бокал с шампанским бенгальский огонь, а второй — писать статьи. Такие вот увлечённые люди.
Но до этого ещё целый месяц, пока можно посмотреть, какие статьи были самыми рейтинговыми в ноябре. Остальные тоже можно почитать, хоть в дайджест они и не попали.
habr.com/ru/companies/first/articles/
Новости ноября
Тариф «CPU.Турбо 2.0» теперь и на AMD Ryzen 9 9950X
Теперь тариф «CPU.Турбо 2.0 запускается не только на базе AMD Ryzen 9 7950X, но и на флагманских процессорах AMD Ryzen 9 9950X с архитектурой Zen 5.
Кратко о VDS на базе новых AMD Ryzen 9 9950X:
- 16 ядер,
- частота до 5,7 ГГц,
- быстрые NVMe-накопители,
- водяное охлаждение.
Тариф «CPU.Турбо 2.0» отлично подходит для проектов с высокими требованиями к производительности, а также для работы с продуктами 1С-Битрикс.
Кибер Бэкап: новые условия предоставления услуги
С 1 декабря 2024 года изменятся условия остановки и удаления услуги «Кибер Бэкап».
Списание за «Кибер Бэкап» будет всё так же производиться 1 числа месяца за предыдущий месяц использования услуги. Если на 1 число баланс счёта уйдёт в минус, то пользователю поступит уведомление о том, что через 7 календарных дней услуга будет приостановлена.
Если по истечении периода приостановки баланс счёта так и не будет пополнен, то услуга удалится вместе со всеми данными. После удаления восстановить данные будет уже нельзя.
Пожалуйста, учитывайте это при планировании расходов и пополнении баланса.
Новости от проекта CLO: подключение хранилища S3 как виртуального диска в ОС Windows
Теперь на проекте CLO хранилище S3 можно подключить в ОС Windows как виртуальный диск. Работа с файлами в таком хранилище не будет отличаться от работы с обычным логическим диском.
Виртуальный диск можно использовать для синхронизации данных между двумя компьютерами, для облачного бэкапа файлов и для других задач, где требуется сетевое хранение информации.
clo.ru/help/setup-guides/s3-disk-windows
Топ новостей ноября из мира безопасности
Ну и раз месяц подходит к концу, пора рассказать о том, какие новые критические уязвимости были обнаружены, какие патчи выпущены, а главное — какие последствия могут быть, если вовремя не принять меры и не обновиться. Хотя в свете последних событий, как оказалось, не все обновления могут быть полезны, особенно, если они автоматические.
Опасная уязвимость нулевого дня в ОС Windows исправлена сторонним разработчиком
Уязвимость затрагивает учётные данные NTLM, используемые для сетевой аутентификации.
В январе 2024 года Microsoft устранила связанный с этой проблемой недостаток CVE-2024-21320, однако эксперт по кибербезопасности из Akamai обнаружил, что патч можно обойти, если отправить пользователю файл темы Windows и убедить провести над ним некоторые действия. Всё это может привести к утечке данных даже без открытия файла.
Как следствие, регистрация новой уязвимости CVE-2024-38030 (была устранена в июле). Далее специалисты Acros Security проанализировали ситуацию и выявили ещё одну опасную уязвимость, касающуюся всех актуальных версий Windows, включая 24H2. Чтобы злоумышленник мог ей воспользоваться, пользователю требуется выполнить определённые действия, например, переместить файл темы или посетить вредоносный сайт, откуда файл может скачаться автоматически.
Специалисты Acros Security уведомили Microsoft и выпустили собственный микропатч, устраняющий проблему. Представители Microsoft пообещали принять необходимые меры для защиты пользователей.
3dnews.ru/1113310/v-windows-ntlm-obnarugena-uyazvimost-nulevogo-dnya-kotoruyu-zakril-storonniy-razrabotchik
Автообновление Windows Server может привести к серьезным проблемам
Неожиданное автоматическое обновление с Windows Server 2022 до версии 2025 может привести к значительным проблемам для компаний и системных администраторов. В начале ноября на платформе Reddit пользователи оставляли сообщения о том, что их серверы обновились без возможности возврата к предыдущей версии.
Хотя такая миграция может показаться положительной на первый взгляд, для IT-отделов это создает множество сложностей, так как обновленную ОС следует тщательно проверять на совместимость с уже установленным ПО. Один из системных администраторов, известный под ником Fatboy40, утверждает, что все его серверы были обновлены до Windows Server 2025, для использования которой требуется новая лицензия.
Согласно свежим данным от Heimdal, существует вероятность ошибки на стороне Microsoft. Обновление с идентификатором KB5044284 связано с Windows 11, а не с Server 2025. Более того, переход на новую версию не имеет официальной поддержки, и администраторы не могут вернуться к предыдущей версии ОС без применения сторонних инструментов для восстановления данных из резервных копий.
servernews.ru/1113795/
Уязвимость в плагине WordPress угрожает миллионам сайтов
В плагине Really Simple Security (ранее Really Simple SSL) для WordPress обнаружен критический баг, которая угрожает безопасности 4 млн сайтов, предоставляя злоумышленникам возможность полностью компрометировать систему. Эксперты компании Defiant обозначили уязвимость как одну из наиболее значительных за 12 лет своей работы.
Уязвимость (CVE-2024-10924) с баллом 9,8 по шкале CVSS позволяет обойти процесс аутентификации из-за неправильной обработки пользовательских данных и уязвимости в REST API. Проблема затрагивает версии плагина от 9.0.0 до 9.1.1.1, включая бесплатные и платные версии, такие как Pro и Pro Multisite.
Разработчики были оповещены о данной угрозе 6 ноября, и в последующие дни, 12 и 14 ноября, были выпущены патчи. В связи с рисками команда WordPress.org приняла меры для принудительного обновления плагина до безопасной версии 9.1.2. Администраторам сайтов настоятельно рекомендуется проверить наличие обновлений, так как около 3,5 миллиона сайтов могут оставаться под угрозой атаки.
xakep.ru/2024/11/18/really-simple-security-auth-bypass/
Уязвимость в needrestart позволяет получить root-права в Ubuntu Server
В утилите needrestart, которая применяется в Ubuntu начиная с версии 21.04 и существует свыше 10 лет, были обнаружены пять уязвимостей (CVE-2024-48990, CVE-2024-48991, CVE-2024-48992, CVE-2024-10224 и CVE-2024-11003). Они позволяют злоумышленникам получить права root без участия пользователя.
Уязвимости сохранялись с версии 0.8, выпущенной в апреле 2014 года, и были устранены лишь на этой неделе в новой версии 3.8. Каждая из уязвимостей позволяет запускать произвольный код с правами root при наличии предварительного локального доступа. Эти атаки могут происходить через манипуляцию переменными среды (такими как PYTHONPATH и RUBYLIB), использование состояния гонки или чрезмерно щадящую обработку имен файлов в используемых библиотеках.
Исследователи подчеркивают повышенный риск эксплуатации этих недостатков в системах, где needrestart широко применяется. Рекомендуется обновить утилиту до версии 3.8 или новее, а также изменить настройки в файле needrestart.conf, отключив функцию сканирования интерпретаторов, чтобы избежать возможных угроз.
xakep.ru/2024/11/21/needrestart-lpe/
