Дайджест Jet CSIRT [27.03-29.03.2021]

27.03.2021

Киберпреступники взломали официальный Git-репозиторий PHP

 

Злоумышленники взломали репозиторий и под видом разработчиков PHP добавили вредоносный код, который представляет собой бэкдор с возможностью выполнения удаленного кода. Вредоносное изменение было произведено в результате взлома сервера git.php.net и было замаскированное под исправление типографических ошибок.


В NPM-пакете node-netmask обнаружена критическая уязвимость

 

Обнаруженная уязвимость связана с проблемой в обработке IP-адресов смешанного формата. При возможности повлиять на ввод IP-адреса данная проблема позволяет злоумышленнику произвести атаки типа LFI, SSRF и RFI.


Исследователи обнаружили более 30 вредоносных контейнеров на Docker Hub

 

Злоумышленники распространяют вредоносные контейнеры с целью добычи криптовалюты XMR, GRIN и Aronium. Суммарно за 2 года контейнеры были загружены пользователями более 20 миллионов раз.


Опубликован традиционный Threat Roundup от Cisco Talos

 

Команда Cisco Talos опубликовала очередной Threat Roundup по наиболее актуальным угрозам ИБ за период с 19 по 26 марта.

JC.jpg


Изменения в Положение о сертификации СрЗИ

 

ФСТЭК России представила для общественного обсуждения проект ведомственного приказа «О внесении изменений в Положение о системе сертификации средств защиты информации, утверждённое приказом Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. № 55.


Правила использования информационной системы РКН

 

Роскомнадзор представил для общественного обсуждения проект ведомственного приказа «Об утверждении Правил использования информационной системы Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций». Указанный проект направлен на реализацию части 7 статьи 10.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и для обеспечения получения оператором согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения.


Минцифры подготовил проект о внесении изменений в требования к порядку работы с ГИС

Минцифры собирается увеличить сроки согласования технических заданий на создание государственных информационных систем и моделей угроз безопасности информации с 10 до 20 рабочих дней.

Проект соответствующего постановления Правительства РФ «О внесении изменений в требования к порядку создания, развития, ‎ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего ‎хранения содержащейся в их базах данных информации» опубликован на портале проектов нормативных правовых актов.