Компания отчиталась об исправлении дыры в безопасности, но пользователи до сих пор не получили патч — а тем временем исследователи нашли способ взломать Linux паролем из 257 букв «А».
Microsoft снова в своем репертуаре. Месяц назад компания раскрыла уязвимость CVE-2026-83844 в Windows 11, которая позволяла злоумышленникам удаленно подключаться к системе и выполнять код от имени администратора. И нет, речь не о каком-то экзотическом софте — дыру нашли в самом неожиданном месте, в графическом редакторе MS Paint. Казалось бы, что может пойти не так? Но именно Paint стал точкой входа для атаки.
В официальном отчете Microsoft заявила, что проблема решена: редактор обновили до версии 11.2609.401.0. Вот только есть нюанс — в Microsoft Store до сих пор лежит старая сборка, а новая не приходит даже через Центр обновления Windows. То есть патч существует, но до пользователей он просто не доезжает. Классика жанра.
Уязвимость в Paint: детали
Суть проблемы — выход за границы буфера при обработке специально сформированного изображения. Злоумышленник мог отправить жертве файл, который при открытии в Paint запускал вредоносный код. Причем для атаки не требовалось никаких привилегий или действий пользователя, кроме открытия картинки. Правда, Microsoft оценила сложность эксплуатации как высокую, так что паниковать раньше времени не стоит. Но сам факт того, что компания не может доставить собственный патч, выглядит удручающе.
Если вы хотите проверить версию Paint на своей машине, откройте PowerShell и выполните команду Get-AppxPackage -Name Microsoft. Paint. Если у вас сборка ниже 11.2609.401.0, то вы все еще в зоне риска. И да, статус «Обновление доступно» в Microsoft Store тут не помощник — он часто показывает устаревшую информацию.
Linux и пароль из 257 букв «А»
Пока Microsoft разбирается со своим Paint, исследователи безопасности нашли куда более занятную проблему в мире Linux. Уязвимость, получившая название sshole (да, именно так, с пошленьким подтекстом), позволяет получить root-права в системе, просто введя пароль из 257 одинаковых символов. Например, 257 букв «А» подряд. Звучит как шутка, но это реальная дыра в безопасности.
Проблема кроется во взаимодействии OpenSSH и библиотеки musl, которая используется в Alpine, OpenWrt, Buildroot и множестве Docker-образов. Дело в том, что функция crypt() в musl для хешей SHA-512 возвращает символ «*», если длина пароля превышает 256 байт. А этот же символ в /etc/shadow означает, что для учетной записи парольная аутентификация заблокирована. В итоге, если в системе есть пользователь с заблокированным паролем (например, root, который входит только по SSH-ключам), атакующий может подключиться к нему, отправив строку от 257 до 1024 символов.
Разработчики OpenSSH уже выпустили экстренное обновление 10.6p2, а патчи доступны в Alpine и OpenWrt. Но если вы используете Docker-образы на базе Alpine — проверьте их немедленно. Особенно опасна ситуация с образами для AWS и Azure, где у пользователя alpine по умолчанию стоит символ «*» в поле пароля, а сам пользователь имеет права на выполнение команд через doas без ввода пароля. Фактически это готовый доступ к root.
«Приложения смерти» на Android
И напоследок — еще одна порция кибер-кошмаров. На днях мы писали про «SMS-убийцы», которые могли окирпичить старые смартфоны на Android. Теперь эксперты из Bitdefender нашли троян, замаскированный под банковское приложение, который отправляет телефон жертвы в бесконечный цикл перезагрузок. Причем сам троян тут ни при чем — проблема в поведении Android при распаковке зашифрованных файлов. Операционная система не может корректно обработать два поля внутри ZIP-записи и просто отваливается.
Специалисты сообщили о проблеме Google еще в августе, но компания до сих пор не выпустила исправление. Баг воспроизводится даже на Google Pixel 10 с последней версией Android 17. Так что пока Microsoft не может пропатчить Paint, а Google — починить Android, остается только один совет: не скачивайте приложения из непроверенных источников и, пожалуй, пореже запускайте MS Paint. Береженого бог бережет.