Samsung не смогла получить оперативную память от одного из своих подразделений из за бума ИИ

Компания Samsung столкнулась с необычной ситуацией внутри собственной структуры. Подразделение Samsung MX (Mobile eXperience), которое отвечает за смартфоны Galaxy, стремилось заключить долгосрочный контракт на поставку оперативной памяти, чтобы зафиксировать объёмы и цены. Однако подразделение Samsung DS (Device Solutions), которое отвечает за полупроводники, включая память, HBM и DRAM, отказалось от долгосрочной сделки и согласовало только ежеквартальные поставки.

Подразделение DS отказалось от долгосрочного контракта с MX, чтобы сосредоточить мощности на более прибыльных чипах для ИИ. В результате MX вынуждено согласовывать поставки памяти ежеквартально, что создаёт постоянную необходимость уточнять объёмы и цены. Одновременно высокий спрос на чипы для ИИ и рост стоимости мобильных процессоров оказывают давление на себестоимость будущих смартфонов.

По мнению экспертов, в Samsung производственные мощности памяти сосредоточены на чипах для ИИ, из‑за чего для смартфонов остаётся меньше ресурсов, что отражает глобальную тенденцию отрасли.

#ИИ #чипы #полупроводники #технологии

Источник: https://eyes.etecs.ru/r/1baa98

А тем временем в React и Next.js появились CVE c CVSS 10.0:
- CVE-2025-55182
- CVE-2025-66478 (на cve.org отмечена как REJECTED, duplicate of CVE-2025-55182)

Пошло довольно кучно: уязвимость затрагивает 19.0.0, 19.1.0, 19.1.1 и 19.2.0, а также фреймворки, использующие эти пакеты, включая Next.js 15.x и 16.x, использующие App Router.

Фиксы есть в версиях:
React: 19.0.1, 19.1.2, 19.2.1
Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

PoC пока не появился, но думаю, что можно ждать уже в ближайшее время.

—
React Blog: Critical Security Vulnerability in React Server Components
Vercel: Summary of CVE-2025-55182
Github GitHub Advisory Database: Next.js is vulnerable to RCE in React flight protocol

А вот и первый PoC.

А кто-то уже начал PoC продавать.

Ну приплыли, NextJS от 14.3, NextJS 15 - все версии, Next.js 16 - все версии, remote code execution через Server Side Components.
https://nextjs.org/blog/CVE-2025-66478

У Vercel, кстати, биполярка.

Смотрите как сначала воду льют:
The vulnerable RSC protocol allowed untrusted inputs to influence server-side execution behavior. Under specific conditions, an attacker could craft requests that trigger unintended server execution paths.

Уязвимый протокол RSC позволял недоверенным входным данным влиять на поведение серверного выполнения кода. При определённых условиях злоумышленник мог создавать запросы, которые вызывают непредусмотренные пути выполнения на сервере.

Но следом - честнее:
Это может привести к удалённому выполнению кода в незащищённых окружениях.

Подробностей - нет.

Ну что ж, пойдемте обновляться (боже дай сил тем, кто изменил код так, что автоапдейт не пройдет).

There is no configuration option to disable the vulnerable code path.

ИИ стёр пользователю все данные с диска.

Пользователь Reddit с ником Deep-Hyena492 рассказал, что IDE Google Antigravity стерла все содержимое его диска D:\, когда он просил почистить кэш проекта. Сделав свое дело, нейросеть вежливо извинилась и ушла отдыхать, заявив, что достигла квоты модели. С нетерпением "ждем", когда Windows и прочие операционные системы от больших корпораций станут агентскими благодаря десяткам, сотням и тысячам встроенных ИИ-моделей.

ФСТЭК взялся за Exim: регулятор рассказал, как обезопасить почтовый сервер

8 декабря. / SecPost /. Опубликованы новые рекомендации ФСТЭК — они касаются усиления безопасности серверов на базе open-source почтового агента Exim. За последние семь лет ФСТЭК нашел 43 уязвимости, связанные с Exim — при этом, он остается очень популярным сервисом в России, подробнее в материале SecPost.

Федеральная служба по техническому и экспортному контролю РФ (ФСТЭК) опубликовала рекомендации по повышению защищённости популярного open-source почтового агента Exim. В документе, опубликованном на сайте ФСТЭК, приводится детальное описание настройки механизмов SPF, DKIM и DMARC на серверах — таким образом можно увеличить защищённость сервера от атак, связанных с подменой отправителя.

ФСТЭК кратко обозначил причины, по которым пошёл на публикацию рекомендаций. Как пишет регулятор, рекомендации были подготовлены «по результатам анализа сведений об угрозах безопасности информации, проводимого специалистами ФСТЭК России в условиях сложившейся обстановки».

Рекомендации предназначены для того, чтобы увеличить безопасность серверов на Exim от атак, связанных с подменой отправителя — спуфинговых и фишинговых атак.

CUDA de Grâce

Talk (slides) by Valentina Palmiotti and Samuel Lovejoy about exploiting a race condition that leads to a double-free in the NVIDIA GPU driver to escape a container created with NVIDIA Container Toolkit.

Лучший экран ошибки на сайтах

Так будет с каждым криворуким

Админы мемных пабликов не так просты, как некоторым кажется ))

МИКРОСЕРВИСЫ ЭТО СКАМ

DHH тут написал твит, которым я не могу не поделиться.

DHH - автор веб-фреймворка Ruby on Rails, известный автогонщик, CTO и совладелец 37signals. Твит перевел Кирилл Мокевнин из Хекслета, а я честно скопировал, потому что красть наворованное — почётно :)

Микросервисы — это самый успешный обман доверия в индустрии разработки. Они убеждают небольшие команды, что те «мыслят масштабно», одновременно систематически разрушая их способность двигаться вообще хоть как-то. Они тешат амбиции, превращая неуверенность в оружие: если вы не запускаете созвездие сервисов, вы вообще настоящая компания? И неважно, что эта архитектура была придумана для борьбы с организационной дисфункцией планетарного масштаба. Теперь её прописывают командам, которые всё ещё сидят в одном Slack-канале и за одним столом на ланче.

Небольшие команды держатся на общем контексте. Это их сверхсила. Все могут рассуждать от начала до конца. Все могут менять всё. Микросервисы испаряют это преимущество при первом же контакте. Они заменяют общее понимание распределённым невежеством. Никто больше не владеет системой целиком. Каждый владеет лишь осколком. Система перестаёт быть тем, что команда понимает и контролирует, и превращается в нечто, что просто происходит с командой. Это не усложнение. Это отказ от ответственности.
А потом начинается операционный фарс. Каждый сервис требует собственный pipeline, секреты, алерты, метрики, дашборды, права доступа, бэкапы и целый набор ритуалов умиротворения. Вы больше не «деплоите» — вы синхронизируете флот. Один баг теперь требует вскрытия нескольких сервисов. Выпуск фичи превращается в упражнение по координации через искусственные границы, которые вы сами же и придумали без всякой причины. Вы не упростили систему. Вы разнесли её и назвали обломки «архитектурой».

Микросервисы также консервируют некомпетентность. Вас заставляют определять API ещё до того, как вы понимаете собственный бизнес. Догадки становятся контрактами. Плохие идеи — постоянными зависимостями. Каждая ранняя ошибка метастазирует по сети. В монолите ошибочное мышление исправляется рефакторингом. В микросервисах ошибочное мышление становится инфраструктурой. Вы не просто сожалеете — вы хостите это, версионируете и мониторите.

Утверждение, что монолиты не масштабируются, — одна из самых глупых сказок современной инженерной мифологии. Не масштабируется хаос. Не масштабируется процессная показуха. Не масштабируется игра в Netflix, когда вы на самом деле делаете обычный CRUD. Монолиты масштабируются прекрасно, когда у команды есть дисциплина, тесты и умеренность. Но умеренность не в моде, а скучные вещи не делают хорошие доклады на конференциях.

Микросервисы для маленьких команд — это не техническая ошибка, а философская. Это громкое заявление о том, что команда не доверяет себе понять собственную систему. Это замена ответственности протоколами, а инерции — прослойками. Вы не получаете «защиту на будущее». Вы получаете перманентный тормоз. И к тому моменту, когда вы наконец доростёте до масштаба, который хоть как-то оправдывает этот цирк, ваша скорость, ясность и продуктовая интуиция уже будут потеряны.

Apache Tika flaw (CVE-2025-66516) — CVSS 10.0.
*
Сплошные десятки под новый год

Шел декабрь 2025 года. Четверть 21 века. А СберТВ все ещё не умели в WPA3 аутентификацию 🫠.
#Сбер #СберДевайсы #SberDevices

Horizon3 обнаружила серию уязвимостей в платформе с открытым исходным кодом FreePBX для частных телефонных станций (PBX), включая критическую ошибку, которая при определенных конфигурациях может привести к обходу аутентификации.

В числе найденных проблем, о которых исследователи уведомили сопровождающих проект еще 15 сентября:

- CVE-2025-61675 (CVSS: 8.6): включает уязвимости, позволяющие осуществлять аутентифицированные SQL-инъекции, затрагивающие четыре уникальные конечные точки (базовая станция, модель, микропрограмма и пользовательское расширение) и 11 уязвимых параметров, обеспечивающих доступ на чтение и запись к базовой базе данных SQL.

- CVE-2025-61678 (CVSS: 8.6): уязвимость, позволяющая использовать конечную точку загрузки прошивки для загрузки веб-оболочки PHP после получения действительного PHPSESSID и выполнения произвольных команд для утечки содержимого конфиденциальных файлов (например, "/etc/passwd»).

- CVE-2025-66039 (CVSS: 9.3): уязвимость обхода аутентификации, возникающая, когда параметр AUTHTYPE установлен на «веб-сервер», что позволяет злоумышленнику войти в панель управления администратора через поддельный заголовок авторизации.

Стоит отметить, что в конфигурации FreePBX по умолчанию обход аутентификации невозможен, поскольку параметр «Тип авторизации» отображается только тогда, когда в разделе «подробные настройки» для трех следующих параметров установлено значение «да».

Однако, как только будет выполнено необходимое условие, злоумышленник сможет отправлять специально сформированные HTTP-запросы, чтобы обойти аутентификацию и внедрить вредоносного пользователя в таблицу базы данных ampusers.

Фактически это позволит добиться что-то похожее на CVE-2025-57819, другую уязвимость в FreePBX, которая, как стало известно в сентябре этого года, активно использовалась злоумышленниками.

Как отмечают исследователи Horizon3, все эти уязвимости достаточно легко эксплуатируются и позволяют как авторизованным, так и неавторизованным удаленным злоумышленникам выполнять удаленный код на уязвимых экземплярах FreePBX.

Проблемы были устранены в версиях: CVE-2025-61675 и CVE-2025-61678 - в версиях 16.0.92 и 17.0.6 (исправлено 14 октября) и CVE-2025-66039 - в версиях 16.0.44 и 17.0.23 (исправлено 9 декабря).

Кроме того, возможность выбора поставщика аутентификации теперь удалена из расширенных настроек и требует от пользователей установки его вручную через командную строку с помощью fwconsole.

В качестве временных мер FreePBX рекомендует пользователям установить для параметра «тип авторизации» значение «usermanager», для параметра «переопределить параметры только для чтения» значение «нет», применить новую конфигурацию и перезагрузить систему.

В случае, если параметр AUTHTYPE веб-сервера был включен по ошибке, то пользователям следует тщательно проанализировать свою систему на предмет признаков потенциального взлома.

«Ред ОС 8» сертифицирована ФСТЭК России.

📌 Компания #РедСофт сообщила, что их операционная система прошла сертификационные испытания ФСТЭК России, подтвердив высокий уровень безопасности.

«Ред ОС 8» соответствует требованиям к операционным системам общего назначения, средствам виртуализации и контейнеризации 4 класса защиты. Система может применяться в организациях с повышенными требованиями к информационной безопасности, в том числе на объектах критической информационной инфраструктуры до I категории значимости включительно.

Данная редакция «Ред ОС 8» предлагает пользователям графическое окружение KDE, ядро Linux 6.12, обновленные средства виртуализации, контейнеризации и оркестрации, а также поддержку архитектуры ARM.

Назначен новый руководитель Mozilla Corporation, делающий ставку на AI в Firefox https://opennet.ru/64433/

Пропал дом