· | 20.12.2024 | В мультимедийном фреймворке GStreamer выявлено 29 уязвимостей (110 +19) |
В мультимедийном фреймворке GStreamer, используемом в GNOME, выявлено 29 уязвимостей. Восемь уязвимостей приводят к записи данных за пределы буфера, а одна (CVE-2024-47540) к перезаписи указателя на функцию. Указанные уязвимости могут потенциально использоваться злоумышленниками для организации выполнения кода при обработке некорректно оформленных мультимедийных данных в форматах MKV, MP4, Ogg, Vorbis и Opus, а также субтитров в формате SSA. Остальные уязвимости приводят к разыменованию нулевого указателя или чтению из области памяти за границей буфера, т.е. могут использоваться для инициирования аварийного завершения...
| ||
· | 18.12.2024 | Опубликован BoN, метод обхода фильтров больших языковых моделей (102 +39) |
Выявлен новый метод атаки, позволяющий обойти механизмы противодействия генерации опасного контента, применяемые в AI-сервисах на основе больших языковых моделей. Метод, который получил кодовое имя BoN (Best-of-N), при тестировании на 10 тысячах запросов позволил обойти ограничения модели GPT-4o в 89% случаев, модели Claude 3.5 Sonnet - в 78%, а Gemini Pro - в 50%. Инструментарий для проведения атаки опубликован под лицензией MIT...
| ||
· | 17.12.2024 | Уязвимость в Apache Struts, позволяющая выполнить код на сервере (26 +9) |
В web-фреймворке Apache Struts, применяемом для создания web-приложений на языке Java с использованием парадигмы МVС (Model-View-Controller), выявлена уязвимость (CVE-2024-53677). Уязвимость даёт возможность внешнему злоумышленнику записать файл в произвольное место файловой системы на сервере через отправку специально оформленного HTTP-запроса. Проблема затрагивает выпуски с 2.0.0 по 2.3.37, c 2.5.0 по 2.5.33 и с 6.0.0 по 6.3.0.2, и проявляется в приложениях, использующих компонент FileUploadInterceptor для загрузки файлов на сервер...
| ||
· | 13.12.2024 | Атака BadRAM, позволяющая обойти механизм аттестации SEV-SNP в CPU AMD (63 +10) |
Группа исследователей из Лёвенского, Любекского и Бирмингемского университетов разработала метод атаки BadRAM (CVE-2024-21944), позволяющий обойти механизм подтверждения подлинности и скомпрометировать окружения, защищённые с использованием расширения SEV-SNP в процессорах AMD. Для совершения атаки злоумышленник, за редким исключением, должен получить физический доступ к модулям памяти, а также выполнить код на уровне нулевого кольца защиты (ring0) в системе, выполняющей защищённые гостевые окружения...
| ||
· | 08.12.2024 | Уязвимости, позволяющие подменить образы и выполнить код на ASU-серверах проекта OpenWrt (37 +16) |
В развиваемом проектом OpenWrt инструментарии ASU (Attended SysUpgrade) выявлены критические уязвимости (CVE-2024-54143), позволяющие скомпрометировать сборочные артефакты, распространяемые через сервис sysupgrade.openwrt.org или сторонние ASU-серверы, и добиться установки модифицированных злоумышленником образов прошивок на системы...
| ||
· | 07.12.2024 | Ошибка в обработчике GitHub Actions привела к публикации вредоносных релизов Ultralytics (29 +16 ↻) |
Злоумышленники смогли выполнить код с правами обработчика GitHub Actions в репозитории Python-библиотеки Ultralytics, применяемой для решения задач компьютерного зрения, таких как определение объектов на изображениях и сегментирование изображений. После получения доступа к репозиторию атакующие опубликовали в каталоге PyPI несколько новых релизов Ultralytics, включающих вредоносные изменения для майнинга криптовалют. За последний месяц библиотека Ultralytics была загружена из каталога PyPI более 6.4 млн раз...
| ||
· | 04.12.2024 | Атакующие внедрили вредоносный код в web3.js, официальный JavaScript-клиент для криптовалюты Solana (91 +18) |
Выявлен факт подстановки вредоносного кода в библиотеку @solana/web3.js, насчитывающую в репозитории NPM 400-500 тысяч загрузок в неделю. Вредоносные изменения были включены в состав выпусков web3.js 1.95.6 и 1.95.7, и сводились к интеграции кода для отправки на внешний сервер закрытых ключей. Целостность проекта восстановлена в выпуске 1.95.8. Разбор причин инцидента пока не завершён, но по предварительным данным вредоносные релизы были размещены через компрометацию учётной записи сопровождающего, используя методы социального инжиниринга и фишинга...
| ||
· | 30.11.2024 | Выявлен UEFI-буткит Bootkitty, подставляющий вредоносный код в загружаемое ядро Linux (113 +34) |
Исследователи из компании ESET выявили новый буткит "Bootkitty", устанавливаемый после взлома системы вместо загрузчика GRUB и применяемый для подстановки в ядро Linux вредоносных компонентов, которые затем позволяют атакующему скрыто контролировать систему и выполнять в ней свои действия. Утверждается, что это первый UEFI-буткит, нацеленный на поражение систем Linux...
| ||
· | 30.11.2024 | Обнаружено вредоносное ПО, использующее игровой движок Godot как платформу для запуска (60 +20) |
Компания Checkpoint сообщила о выявлении вредоносного ПО GodLoader, написанного на языке GDScript и использующего открытый игровой движок Godot для своего выполнения (движок Godot применяется как платформа для запуска). Написание кода на GDScript позволило распространять вредоносные программы среди любителей компьютерных игр под видом модов к играм и игровых ресурсов в формате pck, обрабатываемых движком Godot. Использование GDScript также дало возможность не зависеть от операционной системы, которая установлена у пользователя (Windows, macOS, Linux, Android и iOS)...
| ||
· | 28.11.2024 | Уязвимость в tuned, позволяющая выполнить код с правами root (33 +14) |
В развиваемом компанией Red Hat фоновом процессе tuned, выполняющем автоматическую оптимизацию настроек оборудования и ядра в зависимости от текущей нагрузки, выявлена уязвимость (CVE-2024-52336), позволяющая локальному непривилегированному пользователю выполнить любые команды с правами root...
| ||
· | 19.11.2024 | Уязвимости в утилите needrestart, позволяющие получить root-доступ в Ubuntu Server (51 +21) |
Компания Qualys выявила три уязвимости в утилите needrestart, предназначенной для перезапуска фоновых процессов после обновления разделяемых библиотек, используемых данными процессами. Начиная с Ubuntu 21.04 утилита needrestart включена в состав базового окружения Ubuntu Server, в котором запускается с правами root в конце каждой транзакции пакетного менеджера APT, сканирует запущенные процессы и перезапускает те из них, что связаны с файлами, изменившимися после обновления пакетов. Выявленные уязвимости позволяют локальному непривилегированному пользователю получить права root в Ubuntu Server в конфигурации по умолчанию...
| ||
· | 15.11.2024 | Уязвимость в PostgreSQL, позволяющая выполнить код с правами рабочего процесса (19 +18 ↻) |
Сформированы корректирующие обновления для всех поддерживаемых веток PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17 и 12.21, в которых исправлены 35 ошибок и устранены 3 уязвимости - одна опасная и две неопасных. Также объявлено о прекращении поддержки ветки PostgreSQL 12, обновления для которой больше формироваться не будут...
| ||
· | 12.11.2024 | Проект TrapC развивает Си-подобный язык, безопасно работающий с памятью (133 +36) |
Стартап Trasec развивает язык программирования TrapC, представляющий собой диалект языка Си, обеспечивающий безопасную работу с памятью. Для блокирования ошибок при работе с памятью, таких как выход за границы выделенного буфера и обращение к уже освобождённой памяти, в TrapC применяется фундаментально иной способ работы с указателями и специальный механизм перехвата ошибок на основе обработчиков исключений (trap). Исходный код компилятора для TrapC планируют открыть в 2025 году...
| ||
· | 02.11.2024 | Google использовал большую языковую модель для выявления уязвимости в SQLite (134 +17) |
Исследователи из подразделений Google Project Zero и Google DeepMind опубликовали отчёт о развитии AI-системы Big Sleep, построенной на базе большой языковой модели Gemini 1.5 Pro и предназначенной для определения уязвимостей в исходном коде. Достижением проекта стало выявление с использованием Big Sleep первой пригодной для эксплуатации и ранее неизвестной уязвимости в существующем проекте. Уязвимость выявлена в результате проверки AI-системой кодовой базы СУБД SQLite и приводит к переполнению за нижнюю границу буфера в стеке (buffer underflow). Проблема обнаружена в недавно принятом коде и устранена до его попадания в финальный релиз SQLite 3.47.0...
| ||
· | 25.10.2024 | На соревнованиях Pwn2Own продемонстрированы взломы NAS, принтеров, умных колонок и IP-камер (44 +14) |
Подведены итоги четырёх дней соревнований Pwn2Own Ireland 2024, на которых были продемонстрированы 38 успешных атак с использованием ранее неизвестных уязвимостей (0-day) в мобильных устройствах, принтерах, умных колонках, системах хранения и IP-камерах. При проведении атак использовались самые свежие прошивки и операционные системы со всеми доступными обновлениями и в конфигурации по умолчанию. Суммарный размер выплаченных вознаграждений составил 993,625 долларов США...
| ||
<< Предыдущая страница (позже) | ||
Следующая страница (раньше) >> |
Закладки на сайте Проследить за страницей |
Created 1996-2025 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |