Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Node.js Systeminformation, Сергей Полунин, Газинформсервис, Security Operations Center, SOC, СберТех, GitVerse, AI-ассистент, Positive Technologies, Adobe, ColdFusion, Sophos, Sophos Firewall, Skoda, Apache Struts 2, Cleo, LexiCom, VLTransfer, Harmony, Clop.
В популярной библиотеке Node.js Systeminformation выявлена серьёзная уязвимость, позволяющая удалённое выполнение кода (RCE), что ставит под угрозу безопасность приложений, её использующих. Эксперт компании «Газинформсервис» Сергей Полунин советует организациям пересмотреть подходы к кибербезопасности и внедрить решения, такие как Security Operations Center (SOC), для оперативного обнаружения и устранения угроз.
Российская компания СберТех, разработчик программного обеспечения, приглашает специалистов по безопасности проверить GitVerse — платформу для управления исходным кодом с интегрированным AI-ассистентом. Исследователям, обнаружившим уязвимости, будет выплачено вознаграждение.
На пресс-конференции, посвящённой итогам 2024 года, представители Positive Technologies обсудили ключевые уязвимости года и поделились прогнозами на будущее. По их словам, в 2025 году число обнаруженных недостатков в российском ПО продолжит расти, тогда как взлом аппаратных систем станет сложнее.
Компания Adobe сообщила о наличии proof-of-concept эксплойта для недавно выявленной уязвимости в ColdFusion (CVE-2024-53961) и оперативно выпустила обновления для её устранения.
Sophos исправила три уязвимости в своём продукте Sophos Firewall, которые позволяли злоумышленникам выполнять SQL-инъекции, удалённый код, а также получать привилегированный SSH-доступ без авторизации.
Исследователи нашли уязвимости в мультимедийных системах некоторых моделей автомобилей Skoda. Эти недостатки открывали злоумышленникам доступ к отслеживанию перемещений автомобилей в режиме реального времени.
Недавно исправленный критический баг в Apache Struts 2 (CVE-2024-53677) уже активно эксплуатируется хакерами с использованием публичных proof-of-concept эксплойтов.
Разработчики Cleo устранили уязвимость нулевого дня в LexiCom, VLTransfer и Harmony, которой активно пользовалась группировка Clop. Эта уязвимость была под прицелом массовых атак вымогателей, что побудило компанию оперативно выпустить патчи.
Оригинал публикации на сайте CISOCLUB: "Обзор уязвимостей за прошедшую неделю (19-25 декабря)".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.