Hírek

október 28. szerda 2 hír

1. Biztonság 17:26 Több mint 200 böngészőhibát javít a Chrome 156 és a Firefox 159 Négy kritikus hibát is megszüntet a Chrome új kiadása, a Firefox pedig 167 sebezhetőségre hoz javítást. A Chrome 156 és a Firefox 159 használóinak mielőbbi frissítést javasol a beszámoló. Az egyik legsúlyosabb Chrome-hiba rosszindulatú HTML-oldalon keresztül tehet lehetővé kódfuttatást. 2 perc olvasás
2. Figyelmeztetés Biztonság 15:58 Bejelentkezés nélküli kódfuttatást javít a GitLab, már újabb kiadásra kell frissíteni Egy különlegesen összeállított CI/CD-beállítás bizonyos feltételek mellett bejelentkezés nélkül is kódfuttatást tehetett lehetővé a GitLab szerverén. Az október 12-i javítás óta újabb kritikus hibához is megjelentek a biztonsági kiadások, ezért a saját üzemeltetésű példányoknál már ezeket érdemes választani. Egy korábbi, adatolvasást lehetővé tevő GitLab-sebezhetőséget a CISA szerint ténylegesen kihasználnak. 3 perc olvasás

október 27. kedd 2 hír

1. Biztonság 20:23 Már kártékony kódot futtattak a PHP php2shell hibáin keresztül A támadási kísérletek után már sikeres kódfuttatást is dokumentáltak a PHP php2shell néven emlegetett sebezhetőségein keresztül. A CISA felvette a hibákat az ismerten kihasznált sebezhetőségek katalógusába, egy kutató pedig 35 elindított shellt rögzített a megfigyelt rendszereken. 2 perc olvasás
2. Mobil 06:55 Célzott támadáshoz használt hibát javít az Apple az iPhone XS és XR készülékeken Egy rosszindulatúan összeállított fájl feldolgozása is kódfuttatáshoz vezethet az Apple most javított hibája miatt. A vállalathoz érkezett jelentés szerint a sérülékenységet rendkívül kifinomult, célzott támadásban használhatták fel. Az iOS 18.7.11 és az iPadOS 18.7.11 az iPhone XS, XS Max, XR és a 7. generációs iPad készülékekhez érhető el. 1 perc olvasás

október 25. vasárnap 1 hír

1. Figyelmeztetés Biztonság 13:34 Bejelentkezés nélkül engedhet kódfuttatást a két PHP2Shell-hiba Jelszó és felhasználói kattintás nélkül is átvehető lehet egy javítatlan, PHP-t futtató webszerver irányítása. Az Amazon beszámolója szerint már a javítások megjelenése előtt visszaéltek a PHP2Shell néven összefogott hibákkal. A PHP fejlesztői azonnali frissítést sürgetnek; a PAN-OS és a Panorama minden verziója is érintett. 2 perc olvasás

október 24. szombat 3 hír

1. Biztonság 11:52 Bejelentkezés nélkül engedhet kódfuttatást egy kritikus GitLab-hiba A GitLab 7.0-s kiadásáig, 2014 közepéig nyúlik vissza az a sebezhetőség, amely bizonyos feltételek mellett bejelentkezés nélkül engedhet idegen kódot futtatni a szerveren. A Community és Enterprise kiadásokat érintő hibához már elérhetők a javítások; a gyártó a saját üzemeltetésű példányok mielőbbi frissítését kéri. 1 perc olvasás
2. Figyelmeztetés Biztonság 08:17 Milliós nagyságrendben próbálkoznak a PHP2Shell hibáival, javítás már van A Cowrai elemzése a Mirai kártevő egyik változatához kapcsolta a PHP2Shell elleni próbálkozásokat, de sikeres éles kihasználást az október 23-i beszámolók még nem igazoltak. A két kritikus PHP-hiba bejelentkezés nélkül is lehetővé tehet távoli kódfuttatást, ezért az érintett weboldalak és tárhelyek üzemeltetőinek mielőbb telepíteniük kell a már elérhető javításokat. 3 perc olvasás
3. Figyelmeztetés Biztonság 08:02 Már kihasználják a Nextcloud beépített CODE szerverének kritikus hibáját Távoli kódfuttatást tesz lehetővé egy már kihasznált hiba a Nextcloudhoz kapcsolódó Collabora Online beépített CODE szerverében. A CISA október 23-án vette fel a kihasznált sebezhetőségek listájára; az amerikai szövetségi szervek javítási határideje október 26. 1 perc olvasás

október 23. péntek 1 hír

1. Biztonság 09:18 Javítatlan Linux-kernelhibák részleteit küldte nyilvános listára a ZDI Két, távoli kódfuttatást lehetővé tevő, 9,0-s súlyosságú Linux-kernelhiba részletei is nyilvánosságra kerültek, mielőtt elkészült volna a javításuk. A Trend Micro Zero Day Initiative feltehetően tévedésből a nyilvános fejlesztői levelezőlistára küldte a biztonsági jelentéseket a privát lista helyett. 2 perc olvasás

október 22. csütörtök 3 hír

1. Figyelmeztetés Biztonság 20:37 Két kritikus hibát javított a PHP, az Amazon már korábban támadási kísérletet észlelt Az Amazon szerint már október 17-én megpróbálták kihasználni a PHP2Shell hibáit, még a javítások és a részletek nyilvánosságra hozatala előtt. A Hadrian már széles körű kihasználásról számolt be. A PHP-magot érintő két kritikus rés hitelesítés nélkül távoli kódfuttatást tehet lehetővé; a javított kiadások október 21. óta elérhetők. 2 perc olvasás
2. Biztonság 18:58 Távoli kódfuttatást tehet lehetővé a BIND 9 most javított hibája Az internet felől is kihasználható hibát javítottak a BIND 9 DNS-szerverben: megfelelően előkészített kérésekkel támadói kód futhat a kiszolgálón. Kerülőmegoldás a fejlesztők közlése szerint nincs, ezért érdemes mielőbb frissíteni. A sérülékenység aktív kihasználásáról egyelőre nincs tudomásuk. 2 perc olvasás
3. Biztonság 17:46 Minden támogatott ágán távoli kódfuttatást lehetővé tevő hibát javít a Node.js 10 hibát javít a Node.js október 21-i biztonsági kiadása, köztük egy veszélyes Brotli-dekódolási sérülékenységet. A projekt szerint ez távoli kódfuttatást is lehetővé tehet, de a nyilvános teszt normál kiadáson ezt nem igazolta. 1 perc olvasás