vulnerability

kami911 képe

A Terrapin támadás csökkentheti az OpenSSH kapcsolatok biztonságát

A Terrapin támadás képes csökkenteni az OpenSSH kapcsolatok biztonságát. Akadémiai kutatók egy új támadást fejlesztettek ki, melyet Terrapin néven publikáltak. A kapcsolat felépítésekor, a kézfogás során manipulálja a kódszámokat, hogy bizonyos széles körben használt titkosítási módok használata esetén feltörje az SSH-csatorna integritását.

kami911 képe

Ami megtörte a ZEN nyugalmát

Tavis Ormandy beszámolt az első nagy eredményükről az új CPU kutatási projektükkel kapcsolatban. Egy felszabadítás utáni használat (use-after-free) hibára bukkatak az AMD ZEN2 processzoraiban. Ez a kifejezés olyan programozási hiba típusra utal, amikor egy program egy már felszabadított memóriaterületre hivatkozik, ami súlyos biztonsági problémákat okozhat. Az AMD frissített mikrokódot adott ki az érintett ZEN2 alapú rendszerekhez a Zenbleed-nek nevezett sebezhetőséghez.

LinuxMintHungary képe

Sérülékenységet találtak a KeePass jelszókezelőben

A KeePass egy igen népszerű nyílt forráskódú jelszókezelő program, ami helyi telepítésű, azaz a titkosított jelszó adatbázist nem a felhőben, hanem a felhasználó eszközén tárolja. A szoftver elsősorban Windows-os számítógépek számára készült, azonban létezik MacOS-re és Linuxra, valamint okostelefonokra portolt változata is. (Egy segédletben bővebben is megismerheti, hogy a jelszókezelőknek milyen típusai vannak.)

kami911 képe

Két magas besorolású hiba miatt érdemes frissíteni az OpenSSL-t

A kritikus hiba végül inkább csak magas besorolásúvá szelídült, de így is mindenki, aki OpenSSL-t 3.0.0-3.0.6 közötti verziókat használ valamilyen formában, frissítse az OpenSSL szoftverkönyvtárat a 2022. november elsejétől elérhető verziókra – így két CVE javítását is megkapja.

Az OpenSSL projekt a hibákról így ír:

kami911 képe

Elsején vigyázó tekinteteiteket az OpenSSL-re vessétek

Az OpenSSL projekt csapata szeretné előre bejelenteni az OpenSSL 3.0.7-es verzióját. Az OpenSSL 3.0.7 egy biztonsági hibajavító kiadás, amely a legmagasabb, kritikus (CRITICAL) súlyosságú probléma át orvosol majd.

kimarite képe

Az új esztendőre: EU-s bug bounty program

Az Európai Bizottság Informatikai Főigazgatóságának (DIGIT – Directorate-General for Informatics) felügyelete alatt indították be a FOSSA (Free and Open Source Software Auditing) projektet, és ennek keretében két széles körben használt programra, az Apache HTTP Server Core-ra és KeePass jelszókezelőre hirdetett hibakereső programot. A kísérlet első szakasza, amire egymillió eurós jutalmazási keretet biztosított az EU, sikeres volt, így 2017-re megduplázták az összeget.

kami911 képe

cURL 8.11 megjelent hivatalos WebSockets támogatással

A cURL 8.11 legújabb verziója hivatalosan támogatja a WebSockets-t, ezáltal tovább bővítve a népszerű fájlátviteli és hálózati protokollokat támogató nyílt forráskódú eszközt. Az új kiadás emellett számos fejlesztést és hibajavítást is tartalmaz.

kami911 képe

Felnőtt korú biztonsági hiba

Az X.Org Serverben közel két évtizede jelenlévő biztonsági rést (CVE-2024-9632) fedeztek fel, amely lehetőséget ad helyi jogosultsági szint emelésre és távoli kódfuttatásra. Az érintett rendszerek felhasználói számára kritikus fontosságú a legújabb frissítések telepítése.

kami911 képe

Bug bounty programot indít az Arc böngésző

A The Browser Company bevezette az Arc Bug Bounty Programot abból a célból, hogy jutalmakkal ösztönözze a biztonsági kutatókat az Arc sérülékenységeinek jelentésére. Ez a fejlesztés válasz arra a kritikus távoli kódfuttatási hibára, ami a CVE-2024-45489 kódon nyomon követhető, és amely lehetővé tette a fenyegető szereplők számára, hogy nagyszabású támadásokat indítsanak a program felhasználói ellen.

kami911 képe

Biztonsági rések az elterjedt nyomtatási alrendszerben

Amint lehet, frissítsen! A CUPS (Common Unix Printing System) projekt új, súlyos biztonsági résekre hívta fel a figyelmet, amelyek távoli kódfuttatást (RCE - Remote Code Execution) tesznek lehetővé GNU + Linux rendszereken és számos Linux disztribúciót, köztük az Ubuntut és a Chrome OS-t is érinti. Ezek a sebezhetőségek lehetővé teszik, hogy támadók rosszindulatú IPP (Internet Printing Protocol) URL-eket juttassanak be, és nyomtatási műveletek során kártékony kódot futtassanak. A Canonical már kiadta a szükséges frissítéseket, amelyeket érdemes mielőbb telepíteni.

kami911 képe

A Cisco javított egy magas súlyosságú hibát az NX-OS szoftverében

A szoftver több biztonsági réssel is rendelkezett, ideértve a DHCPv6 relay agent-ben lévő magas súlyosságú hibát is. A Cisco által kiadott frissítés ezeket javítja.

A javításra került hibák közül a legsúlyosabb a c, amelynek kihasználásával a támadó denial-of-service (DoS) állapotot tud előidézni.

kami911 képe

A Microsoft nyilvánosságra hozott négy OpenVPN sérülékenységet

A Microsoft négy közepes súlyosságú sérülékenységet hozott nyilvánosságra a nyílt forráskódú OpenVPN szoftverben, amelyek távoli kódfuttatást (RCE – Remote Code Execution) és helyi jogosultság kiterjesztést (LPE- Local Privilege Escalation) eredményezhetnek.

kami911 képe

Kritikus Exim sérülékenység veszélyeztet 1,5 millió levelezőszervert

A Censys arra figyelmeztet, hogy 1.5 millió Exim mail transfer agent-et (MTA) nem patcheltek egy kritikus sérülékenységgel szemben, amely lehetővé teszi a támadók számára, hogy áthatoljanak a biztonsági szűrőkön.

kami911 képe

Veszélyezteti az ellátási láncokat a TeamCity sebezhetőség

A hackerek elkezdték kihasználni a TeamCity On-Premises kritikus súlyosságú hitelesítés megkerülési sebezhetőségét. A kihasználás tömeges, több száz új felhasználó jött létre a nyilvános weben elérhető, javítatlan TeamCity példányokon.

A CVE-2024-27198 kritikus sebezhetőség súlyossági pontszáma 9.8, és a TeamCity minden verzióját érinti a 2023.11.4 kiadásig.

kami911 képe

Négy súlyos hibát azonosítottak a GNU C könyvtárban, azaz a glibc-ben

Oldalak

Feliratkozás RSS - vulnerability csatornájára