20% популярных Docker-контейнеров уязвимы к взлому

Главный инженер Kenna Security Джерри Гамблин (Jerry Gamblin) обнаружил, что в 20% популярных Docker-контейнеров присутствует учетная запись суперпользователя, которая не защищена паролем. Поводом для исследования послужили сведения о критической уязвимости CVE-2019-5021, которой оказались подвержены образы Alpine Linux. Дистрибутив этой ОС на протяжении трех лет распространялся через каталог Docker Hub. Аналогичную проблему при проверке 1000 самых популярных…

Больше

Уязвимость Slack позволяла красть данные из списка загрузок

Исследователь Дэвид Уэллс (David Wells) из Tenable обнаружил в Slack 3.3.7 уязвимость, которая позволяла получить доступ к скачанным на устройство файлам. Проблема затронула десктопное приложение для Windows. Эксперт сообщил разработчикам о найденном баге, и они уже исправили его в новой версии 3.4.0. Проблема была связана с тем, как приложение обрабатывало внутренние ссылки вида slack://… Атакующий мог создать специальный адрес, который не отличается…

Больше

В плагине WP Live Chat Support обнаружили уязвимость

Аналитики компании Sucuri нашли в WordPress-плагине WP Live Chat Support опасный баг. Уязвимость позволяет неавторизованному злоумышленнику провести XSS-атаку и внедрить вредоносный код на все страницы сайта, которые используют расширение. После получения информации о недостатке разработчики исправили его в очередном релизе своего продукта. Проблема была связана с некорректным применением запроса admin_init. Как выяснили исследователи, создатели WP Live Chat Support использовали этот хук для вызова…

Больше

Google начала отслеживать 0Day-уязвимости, активно эксплуатируемые злоумышленниками

Команда Google Project Zero запустила проект под названием 0Day ‘In the Wild’, который позволит отслеживать уязвимости, эксплуатация которых началась до того, как о них стало известно общественности или производителям. По сути, речь идет о списке, включающем уязвимости нулевого дня. В настоящее время в нем насчитывается более сотни багов, эксплуатируемых в…

Больше

В WhatsApp обнаружена уязвимость нулевого дня

Разработчики WhatsApp призывают пользователей срочно обновить приложение, чтобы защититься от обнаруженной в нем уязвимости исполнения кода. Баг уже нашел применение в кибератаках — злоумышленники использовали его для слежки за правозащитниками и журналистами в нескольких странах мира. Одним из первых проблемы со своим iPhone обнаружил адвокат из Великобритании, пожалевший остаться анонимным. Он заподозрил компрометацию устройства после того, как ему поступило несколько странных…

Больше

В процессорах Intel обнаружен новый класс уязвимостей

Совместная группа ученых и ИБ-экспертов выявила новый класс уязвимостей в процессорах Intel, которые по аналогии с Meltdown, Spectre и Foreshadow позволяют извлечь данные, обрабатываемые внутри чипов. Как и в предыдущих случаях, новые атаки базируются на Microarchitectural Data Sampling (MDS) и используют преимущества механизма спекулятивного исполнения, реализованного в процессорах Intel для…

Больше

Баг в ПО роутеров Linksys может стать причиной утечки данных

Прошивка более чем 25 тыс. роутеров Linksys содержит уязвимость, позволяющую неавторизованному злоумышленнику получить доступ к конфиденциальным данным об устройствах целевой сети. К такому выводу пришли специалисты портала Bad Packets, опубликовавшие описание бреши. Производитель коммуникационного оборудования рассмотрел обращение ИБ-аналитиков, однако отказался признать наличие проблемы в системном ПО маршрутизаторов. Как заявили исследователи, киберпреступник может обратиться к общедоступному внешнему IP…

Больше

Разработчики NVIDIA исправили баги в драйверах видеокарт

Компания NVIDIA выпустила обновления безопасности для  программного обеспечения своих графических систем. Апдейты закрывают уязвимости, которые могли стать причиной отказа в обслуживании, эскалации привилегий, выполнения стороннего кода, а также раскрытия персональных данных. Баги были найдены в Windows-версии продукта GPU Display Driver и затрагивают различные его релизы, начиная со сборки R390. Наибольшую угрозу безопасности представляет брешь CVE‑2019‑5675, получившая рейтинг 7,7 балла…

Больше

Свежий эксплойт Oracle WebLogic набирает популярность

Эксперты Unit 42 предупредили о растущем количестве атак на серверы Oracle WebLogic. Преступники эксплуатируют уязвимость CVE-2019-2725 и перехватывают контроль над атакованными системами. Впервые об этой бреши заговорили в конце апреля, когда вирусные аналитики зафиксировали многочисленные случаи сканирования серверов Oracle WebLogic. Как выяснилось, один из программных пакетов в составе этого решения неправильно обрабатывает SOAP-запросы с определенными XML- и <class>-тегами. Это приводит к некорректной десериализации данных,…

Больше

Уязвимость в предустановленной утилите ставит под угрозу взлома компьютеры Dell

В утилите Dell SupportAssist, служащей для отладки, диагностики и автоматического обновления драйверов, обнаружена опасная уязвимость (CVE-2019-3719), позволяющая удаленно выполнить код с привилегиями администратора на компьютерах и лэптопах Dell. По оценкам экспертов, проблема затрагивает значительное количество устройств, поскольку инструмент Dell SupportAssist предустановлен на всех ПК и ноутбуках Dell, поставляемых с ОС…

Больше