👩‍💻 Red Hat начинает сокращение рабочих мест

В настоящее время в головном офисе Red Hat трудоустроено 2200 сотрудников и ещё 19000 работает в отделениях по всему миру. Точное число сокращаемых рабочих мест не уточняется, известно только то, что увольнения будут проведены в несколько этапов и не затронут сотрудников, вовлечённых в создание продуктов и прямые продажи клиентам.

Cокращению персонала способствуют негативные прогнозы относительно предстоящей прибыли. Например, в последнем квартале доход Rad Hat вырос на 8%, что воспринимается как замедление роста, так как с 2019 года компания демонстрировала рост в среднем на уровне 15%.

Дополнительно можно отметить, что в начале года корпорация IBM, которая владеет Red Hat, анонсировала увольнение 3900 сотрудников, но затем появились сведения об увеличении числа увольнений до 5000. С учётом, что за несколько месяцев до этого в IBM было нанято 7000 новых работников, некоторые аналитики объясняют увольнения избавлением от избыточного персонала, нанятого из-за нехватки рабочей силы в момент роста экономической активности после пандемии.

sl довольно крутая команда 😎

67% публичных серверов Apache Superset используют ключ доступа из примера настроек

На 2124 из 3176 изученных публичных серверов с Apache Superset выявлено использование типового ключа шифрования, указанного по умолчанию в примере файла конфигурации. Данный ключ используется в Python-библиотеке Flask для генерации сессионных Cookie, что позволяет знающему ключ атакующему сформировать фиктивные параметры сеанса, подключиться к web-интерфейсу Apache Superset и загрузить данные из привязанных БД или организовать выполнение кода с правами Apache Superset.

Интересно, что изначально исследователи сообщили разработчикам о проблеме ещё в 2021 году, после чего в выпуске Apache Superset 1.4.1, сформированном в январе 2022 года, значение параметра SECRET_KEY было заменено на строку "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET", в код была добавлена проверка, при наличии данного значения выводящая в лог предупреждение.

В феврале этого года исследователи решили повторить сканирование уязвимых систем и столкнулись с тем, что на предупреждение мало кто обращает внимание и 67% серверов Apache Superset по-прежнему продолжают применять ключи из примеров конфигурации, шаблонов развёртывания или документации. При этом среди организаций, использующих ключи по умолчанию, оказались некоторые крупные компании, университеты и госучреждения.

➡️ Указание рабочего ключа в примере конфигурации теперь воспринято как уязвимость (CVE-2023-27524), которая устранена в выпуске Apache Superset 2.1 через вывод ошибки, блокирующей запуск платформы при использовании указанного в примере ключа (учитывается только ключ, указанный в примере конфигурации актуальной версии, старые типовые ключи и ключи из шаблонов и документации не блокируются). Для проверки наличия уязвимости по сети предложен специальный скрипт.

👩‍💻 Опубликовано седьмое корректирующее обновление дистрибутива Debian 11, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 92 обновления с устранением проблем со стабильностью и 102 обновления с устранением уязвимостей.

Из изменений в Debian 11.7 можно отметить обновление до свежих стабильных версий пакетов clamav, dpdk, flatpak, galera-3, intel-microcode, mariadb-10.5, nvidia-modprobe, postfix, postgresql-13, shim. Удалены пакеты bind-dyndb-ldap (не работает с новыми выпусками bind9), python-matrix-nio (имеет проблемы с безопасностью и не поддерживает актуальные версии серверов matrix), weechat-matrix, matrix-mirage и pantalaimon (зависят от удалённого python-matrix-nio).

Опубликовано седьмое корректирующее обновление дистрибутива Debian 11, в которое включены накопившиеся обновления пакетов и устранены недоработки в инсталляторе. Выпуск включает 92 обновления с устранением проблем со стабильностью и 102 обновления с устранением уязвимостей.

Из изменений в Debian 11.7 можно отметить обновление до свежих стабильных версий пакетов clamav, dpdk, flatpak, galera-3, intel-microcode, mariadb-10.5, nvidia-modprobe, postfix, postgresql-13, shim. Удалены пакеты bind-dyndb-ldap (не работает с новыми выпусками bind9), python-matrix-nio (имеет проблемы с безопасностью и не поддерживает актуальные версии серверов matrix), weechat-matrix, matrix-mirage и pantalaimon (зависят от удалённого python-matrix-nio).