[Verse 1] Apache Thrift, библиотека на плюсах Читает данные — но рухнет в пух и прах Когда входящий пакет врёт про свой размер Она читает дальше — вот провальный пример Выход за границу памяти — CVE Двадцать двадцать шесть дефис пятьдесят восемь шесть шесть два в цене CVSS девять точка один — почти предел До версии ноль двадцать четыре — обнови раздел [Chorus] Дыры в коде режут как ножи Читает память — там, где нет межи Thrift не проверяет — ты проверь Обнови сегодня, не сейчас — теперь Девять баллов — это не игра Заплатка нужна была ещё вчера [Verse 2] JFrog Artifactory хранит артефакты всех Но в логике запросов спрятан слабый грех При определённых условиях внутри Злодей поднимает права — смотри Аутентификация ломается в щель CVE шестьдесят шесть ноль один четыре — через цель CVSS восемь точка восемь — высокий класс Привилегии сверх положенного — вот их сказ [Chorus] Дыры в коде режут как ножи Читает память — там, где нет межи Thrift не проверяет — ты проверь Обнови сегодня, не сейчас — теперь Девять баллов — это не игра Заплатка нужна была ещё вчера [Verse 3] Apache Traffic Server — трафик гонит вал Но плагин регулярок стек переполнял От восьмого до девятого релиза — баг живёт Подстановка в шаблонах целое сломает, стек сожжёт И Cripts-фреймворк — там тоже беды ждут Запись мимо буфера, путь обходят тут Используют освобождённое — вот три беды CVE пятьдесят восемь один семь семь — без воды [Verse 4] Патч — не просто строчка в changelog'е ночью Он закрывает брешь, написанную впрочем Командой разработчиков в спешке давних лет Сегодня эта спешка оставляет след Безопасность — не галочка в отчёте раз в квартал Это культура кода, что никто не проспал Проверяй на входе — каждый байт, размер, путь Иначе в продакшене кто-то сломит суть [Bridge] Они все Apache — совпадение? Едва ли Открытый код под лупой — атакующие знали Десятка ноль — через десять один три задет Cripts А regex_remap — ещё шире охват и риск Общий знаменатель: вход без проверки принят Размер, путь или шаблон — граница сдвинута, раздвинута [Chorus] Дыры в коде режут как ножи Читает память — там, где нет межи Thrift не проверяет — ты проверь Обнови сегодня, не сейчас — теперь Девять баллов — это не игра Заплатка нужна была ещё вчера [Outro] Третье августа — запомни этот день Четыре CVE — и каждая как тень Обнови, залатай, не жди вторых вестей Проверка входных данных — броня для всех систем [Chorus] Дыры в коде режут как ножи Читает память — там, где нет межи Thrift не проверяет — ты проверь Обнови сегодня, не сейчас — теперь Девять баллов — это не игра Заплатка нужна была ещё вчера
← Критические уязвимости (2 из 3) — 3 августа 2026 г. | Кибербезопасность — 3 августа 2026 г. →