A VMware cég biztonsági frissítéseket adott ki, hogy orvosolja azokat a nulladik napi (zero-day) sebezhetőségeket, amelyeket egymásba fűzve felhasználva kód végrehajtása érhető el azokon a Workstation és Fusion rendszereken, amelyeket nem frissítettek a legújabb javításokkal. A két hiba része volt a Pwn2Own Vancouver 2023 rendezvényen bemutatott sérülékenységi láncnak, amelyet a STAR Labs csapata biztonsági kutatói mutattak be egy hónapja a hackerverseny második napján.
A KeePass egy igen népszerű nyílt forráskódú jelszókezelő program, ami helyi telepítésű, azaz a titkosított jelszó adatbázist nem a felhőben, hanem a felhasználó eszközén tárolja. A szoftver elsősorban Windows-os számítógépek számára készült, azonban létezik MacOS-re és Linuxra, valamint okostelefonokra portolt változata is. (Egy segédletben bővebben is megismerheti, hogy a jelszókezelőknek milyen típusai vannak.)
A kritikus hiba végül inkább csak magas besorolásúvá szelídült, de így is mindenki, aki OpenSSL-t 3.0.0-3.0.6 közötti verziókat használ valamilyen formában, frissítse az OpenSSL szoftverkönyvtárat a 2022. november elsejétől elérhető verziókra – így két CVE javítását is megkapja.
Az OpenSSL projekt csapata szeretné előre bejelenteni az OpenSSL 3.0.7-es verzióját. Az OpenSSL 3.0.7 egy biztonsági hibajavító kiadás, amely a legmagasabb, kritikus (CRITICAL) súlyosságú probléma át orvosol majd.
Az Európai Bizottság Informatikai Főigazgatóságának (DIGIT – Directorate-General for Informatics) felügyelete alatt indították be a FOSSA (Free and Open Source Software Auditing) projektet, és ennek keretében két széles körben használt programra, az Apache HTTP Server Core-ra és KeePass jelszókezelőre hirdetett hibakereső programot. A kísérlet első szakasza, amire egymillió eurós jutalmazási keretet biztosított az EU, sikeres volt, így 2017-re megduplázták az összeget.
Nem csak libwebp, hanem a libvpx is... Napvilágot látott egy új CVE-2023-5217 azonosítójú sérülékenység is, amely egy rosszindulatú, a támadó által ellenőrzött VP8 médiafolyam speciális kezelése a tartalomfeldolgozásban puffer túlcsorduláshoz vezethet. Tudomásunk van arról, hogy ezt a problémát más termékekben is kihasználják.Tudomásunk van arról, hogy ezt a problémát más termékekkel szemben már aktívan ki is használják a támadok – így itt is a mielőbbi frissítés javasolt…
Napvilágot látott egy új sérülékenység, amely egy rosszindulatú WebP-kép megnyitásának hatására puffer túlcsorduláshoz vezethet a tartalomfeldolgozásban. Tudomásunk van arról, hogy ezt a problémát más termékekkel szemben már aktívan ki is használják a támadok – így a mielőbbi frissítés javasolt…
A Notepad++ 8.5.7-es verziója több puffer túlcsordulásos nulladik nap javításával jelent meg, amelyek közül az egyik potenciálisan kódfuttatáshoz vezethet, ha a felhasználókat speciálisan kialakított fájlok megnyitására veszik rá a rosszindulatú támadók.
Egy kritikus súlyosságú „Super Admin” jogosultság emelési hiba veszélyezteti azt a 900 000 darab MikroTik RouterOS routert, amelyek a MikroTik RouterOS hosszú távú verziójának a 6.49.8 verziónál régebbi verzióját használja. Ez a hiba lehetővé teszi a támadók számára, hogy teljes ellenőrzést szerezzenek az említett eszközök felett, és észrevétlenek maradjanak. A távoli és hitelesített támadók kihasználhatják ezt a sebezhetőséget annak érdekében, hogy root-hozzáférést szerezzenek a routeren.
Az alábbi hibákra derült fény a szokásos keddi hibajavító napon, amelyk közül több súlyos, és azonnal javítandó, és a kárenyhítést is érdemes elvégezni. Az első a Microsoft Outlook jogosultságemelkedési hibát javított, amely lehetővé teszi, hogy speciálisan megalkotott e-mailek kényszerítsék a célpont eszközét arra, hogy csatlakozzon egy távoli URL-címhez, és átadja a Windows-fiók Net-NTLMv2 hash-ját. A hiba már akkor aktiválódik, mielőtt a levél megjelenne a előnézeti ablakban. A másik sebezhetőség aktív támadás alatt áll, bár ez sokkal kevésbé izgalmas. A sebezhetőség lehetővé teszi, hogy a támadók olyan fájlokat hozzanak létre, amelyek kikerülik a Mark of the Web (MOTW) védelmi mechanizmusait. A HTTP protokoll verem távoli kód végrehajtási sebezhetősége is elég súlyos, CVSS 9,8-as besorolású, és lehetővé teszi a távoli, hitelesítetlen támadók számára, hogy felhasználói interakció nélkül rendszer szintű kódot hajtsanak végre. Ez a kombináció lehetővé teszi a kódfertőzési láncolat gyors terjedését. Az Internet Control Message Protocol (ICMP) távoli kódvégrehajtási sebezhetősége, amely a jelenleg támogatott összes Windows rendszert érinti. Ugyanúgy összes Windows rendszert érinti egy távoli eljáráshívás (RPC) távoli kód végrehajtási sebezhetősége is. Illetve a támadók SYSTEM jogosultságot szerezhetnek egy megfelelően előkészített XPS fájlt kinyomtatva is.
Az X.Org Server projekt csapata bejelentette a CVE-2023-0494 (ZDI-CAN-19596) hiba javítását, amely a X.Org Server DeepCopyPointerClasses use-after-free hibát javítja. Ezzel a problémával helyi jogosultságszint emelést érhez el a rosszindulatú felhasználó az X szervert futtató rendszereken, valamint távoli kódvégrehajtást ssh X továbbító munkamenetek esetén. A javítás már elérhető, célszerű mihamarabb telepíteni.
A Paypal tájékoztatása szerint közel 35 000 ügyfél érintett egy tavaly decemberi adatszivárgás incidensben. A cég álláspontja szerint a támadók ún. credential stuffing módszert alkalmaztak, azaz korábban kiszivárgott felhasználónév/jelszó párosokkal léptek be az áldozatok fiókjaiba. Ez a módszer a több szolgáltatásnál alkalmazott jelszavakkal él vissza ─ ezért is lényeges, hogy minden általunk használt webhelyen és alkalmazásban egyedi jelszavakat használjunk.
Európai és amerikai kórházak elleni elosztott szolgáltatás megtagadással járó támadásokhoz (DDoS) nyújt segítséget a Passion névre keresztelt oroszbarát hacktivisták által üzemeltetett DDoS-as-a-Service (DDoSaaS) platform.
A Microsoft tulajdonában lévő leányvállalat hétfőn hozta nyilvánosságra, hogy ismeretlen elkövetők sikeresen hozzáfértek a GitHub Mac asztali verziójához és az Atom alkalmazások egyes verzióihoz tartozó titkosított kód aláíró tanúsítványokhoz.
Német repterek, államigazgatási és pénzügyi szervezetek weboldali ellen indított túlterheléses (DDoS) támadást a Killnet orosz hackercsoport elosztott – jelezte a német Szövetségi Információbiztonsági Hatóság (BSI) múlt hét csütörtökön.