·	18.02.2024	Проблемы, приводящие к обходу аутентификации Wi-Fi в IWD и wpa_supplicant (23 +14)
	В открытых пакетах IWD (Intel inet Wireless Daemon) и wpa_supplicant, используемых для организации подключения клиентских Linux-систем к беспроводной сети, выявлены уязвимости, приводящие к обходу механизмов аутентификации:... (23 +14) обсуждение | весь текст
·	16.02.2024	Уязвимости в Node.js и libuv (33 +15)
	Доступны корректирующие выпуски JavaScript-платформы Node.js 21.6.2, 20.11.1, 18.19.1, в которых исправлено 8 уязвимостей, из которых 4 присвоен высокий уровень опасности:... (33 +15) обсуждение | весь текст
·	14.02.2024	Сценарий атаки на обработчик не установленных приложений в Ubuntu (92 +29)
	Исследователи из компании Aqua Security обратили внимание на возможность совершения атаки на пользователей дистрибутива Ubuntu, используя особенности реализации обработчика "command-not-found", выдающего подсказку в случае попытки запуска отсутствующей в системе программы. Проблема в том, что при оценке запускаемых команд, которые отсутствуют в системе, "command-not-found" использует при выборе рекомендации не только пакеты из штатных репозиториев, но snap-пакеты из каталога snapcraft.io... (92 +29) обсуждение | весь текст
·	14.02.2024	В nginx 1.25.4 и Angie 1.4.1 устранены уязвимости, связанные с HTTP/3 (21 +6 ↻)
	Сформирован выпуск основной ветки nginx 1.25.4, в рамках которой продолжается развитие новых возможностей. В параллельно поддерживаемой стабильной ветке 1.24.x вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В дальнейшем на базе основной ветки 1.25.x будет сформирована стабильная ветка 1.26. Код проекта написан на языке Си и распространяется под лицензией BSD... (21 +6 ↻) обсуждение | весь текст
·	14.02.2024	Уязвимости KeyTrap и NSEC3, затрагивающие большинство реализаций DNSSEC (47 +17)
	В различных реализациях протокола DNSSEC выявлены две уязвимости, затрагивающие DNS-резолверы BIND, PowerDNS, dnsmasq, Knot Resolver и Unbound. Уязвимости позволяют добиться отказа в обслуживании DNS-резолверов, выполняющих валидацию при помощи DNSSEC, из-за возникновения высокой нагрузки на CPU, мешающей обработке других запросов. Для совершения атаки достаточно отправить на DNS-резолвер, использующий DNSSEC, запрос, приводящий к обращению к специально оформленной DNS-зоне на сервере злоумышленника... (47 +17) обсуждение | весь текст
·	08.02.2024	Обновление Suricata 7.0.3 и 6.0.16 с устранением критических уязвимостей (28 +9)
	Организация OISF (Open Information Security Foundation) опубликовала корректирующие выпуски системы обнаружения и предотвращения сетевых вторжений Suricata 7.0.3 и 6.0.16, в которых устранены пять уязвимостей, трём из которых (CVE-2024-23839, CVE-2024-23836, CVE-2024-23837) присвоен критический уровень опасности. Описание уязвимостей пока не раскрывается, тем не менее критический уровень обычно присваивается при возможности удалённого выполнения кода атакующего. Всем пользователям Suricata рекомендуется срочно обновить свои системы... (28 +9) обсуждение | весь текст
·	03.02.2024	Уязвимость в runc, позволяющая выбраться из контейнеров Docker и Kubernetes (202 +20)
	В инструментарии для запуска изолированных контейнеров runc, применяемом в Docker и Kubernetes, найдена уязвимость CVE-2024-21626, позволяющая получить доступ к файловой системе хост-окружения из изолированного контейнера. В ходе атаки злоумышленник может перезаписать некоторые исполняемые файлы в хост-окружения и таким образом добиться выполнения своего кода вне контейнера. Уязвимость устранена в выпуске runc 1.1.12. В runtime LXC, crun и youki, альтернативных runc, проблема не проявляется... (202 +20) обсуждение | весь текст
·	02.02.2024	В публичном коде найден GitHub-токен от внутренних репозиториев Мерседес (108 +21)
	В ходе проведённого компанией RedHunt Labs сканирования утечек конфиденциальных данных в репозиториях GitHub была выявлена публикация в публичном репозитории API-токена, позволяющего получить неограниченный доступ к внутренним репозиториям компании Mercedes-Benz, размещённым на внутреннем сервере на базе платформы Github Enterprise Server. Предполагается, что токен был случайно опубликован одним из сотрудников Mercedes-Benz среди кода, размещённого в публичном репозитории на GitHub... (108 +21) обсуждение | весь текст
·	02.02.2024	Компания Cloudflare раскрыла сведения о взломе одного из своих серверов (46 +21)
	Компания Cloudflare, предоставляющая сеть доставки контента, обслуживающую примерно 20% интернет-трафика, опубликовала отчёт о взломе одного из серверов в своей инфраструктуре, на котором функционировал внутренний wiki-сайт на базе платформы Atlassian Confluence, система отслеживания ошибок Atlassian Jira и система управления кодом Bitbucket. Разбор показал, что атакующий смог получить доступ к серверу, воспользовавшись токенами, полученными в результате октябрьского взлома компании Okta, приведшего к утечке токенов доступа... (46 +21) обсуждение | весь текст
·	31.01.2024	Уязвимость в glibc, позволяющая получить root-доступ в системе (145 +21)
	Компания Qualys выявила опасную уязвимость (CVE-2023-6246) в стандартной Си-библиотеке Glibc, позволяющую через манипуляции с запуском SUID-приложений добиться выполнения своего кода с повышенными привилегиями. Исследователи смогли разработать рабочий эксплоит, позволяющий получить права root через манипуляцию с аргументами командной строки при запуске утилиты su... (145 +21) обсуждение | весь текст
·	30.01.2024	Результаты второго аудита безопасности разработок проекта Tor (53 +28)
	Разработчики анонимной сети Tor опубликовали результаты второго аудита, который был проведён компанией Radically Open Security с апреля по август 2023 года (до этого с ноября 2022 года по апрель 2023 года компанией Cure53 проводился первый аудит). Проверка затронула код для обеспечения работы выходных узлов, браузер Tor Browser, компоненты инфраструктуры (сбор метрик, SWBS, API Onionoo) и утилиты для тестирования. Основной задачей повторной проверки была оценка изменений, внесённых для повышения скорости и надёжности сети Tor, таких как добавленный в выпуске Tor 0.4.8 протокол разделения трафика Conflux и методы защиты Onion-сервисов от DoS-атак на основе доказательства выполнения работы... (53 +28) обсуждение | весь текст
·	30.01.2024	Уязвимости в реализации JPEG XL из состава FFmpeg (102 +21)
	Раскрыты сведения о двух уязвимостях в поставляемом в пакете FFmpeg декодировщике формата JPEG XL, которые могут привести к выполнению кода злоумышленника при обработке в FFmpeg специально оформленных изображений. Проблемы были устранены в выпуске FFmpeg 6.1, но так как поддержка JPEG XL включена начиная с ветки 6.1, уязвимость затрагивает только системы, использующие экспериментальные сборки FFmpeg 6.1 или переносящие из них изменения... (102 +21) обсуждение | весь текст
·	29.01.2024	Уязвимость в IPv6-стеке ядра Linux, допускающая удалённое выполнение кода (296 +19)
	Раскрыта информация об уязвимости (CVE-2023-6200) в сетевом стеке ядра Linux, которая при определённых обстоятельствах позволяет злоумышленнику из локальной сети добиться выполнения своего кода через отправку специально оформленного пакета ICMPv6 с сообщением RA (Router Advertisement), предназначенным для анонсирования информации о маршрутизаторе... (296 +19) обсуждение | весь текст
·	26.01.2024	Удалённая уязвимость в прослойке Shim, позволяющая обойти UEFI Secure Boot (114 +8)
	В прослойке Shim, применяемой в большинстве Linux-дистрибутивов для верифицированной загрузки в режиме UEFI Secure Boot, выявлена уязвимость (CVE-2023-40547), которая может привести к удалённому выполнению кода и обходу механизма верифицированной загрузки UEFI Secure Boot. Атакующий, контролирующий HTTP-сервер, к которому обращается Shim, может вернуть специально оформленный ответ, приводящий к контролируемой записи в область за границу буфера для организации выполнения кода на раннем этапе загрузки... (114 +8) обсуждение | весь текст
·	26.01.2024	Итоги соревнования Pwn2Own Automotive, посвящённого взлому автомобильных систем (86 +18)
	Подведены итоги трёх дней соревнований Pwn2Own Automotive, проходивших на конференции Automotive World в Токио. На соревнованиях были продемонстрированы 49 ранее неизвестных уязвимостей (0-day) в автомобильных информационно-развлекательных платформах, операционных системах и устройствах зарядки электромобилей. При проведении атак использовались самые свежие прошивки и операционные системы со всеми доступными обновлениями и в конфигурации по умолчанию... (86 +18) обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>