Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: wpa_supplicant, Intel iNet Wireless Daemon (IWD), WordPress, Apple, iOS, macOS, tvOS, Safari, Cisco, Unity Connection, Microsoft, Windows Kerberos, Hyper-V, Terrapin, ConnectWise ScreenConnect, LockBit, США, Великобритания, Минцифры РФ.
Эксперты по кибербезопасности заявили о выявлении двух уязвимостей обхода аутентификации в софте для Wi-Fi с открытым исходным кодом, что актуально для компьютеров и гаджетов, работающих на операционных системах Android, Linux и ChromeOS. Уязвимости с идентификаторами CVE-2023-52160 и CVE-2023-52161 были обнаружены после оценки безопасности wpa_supplicant и Intel iNet Wireless Daemon (IWD).
Специалисты предупредили о критической уязвимости (SQL-инъекция) в распространенном плагине для WordPress, насчитывающем более 200 тыс. скачиваний. Ошибка может эксплуатироваться для извлечения конфиденциальной информации.
Корпорация Apple представила патчи для первой в 2024 году 0-day уязвимости, которую хакеры уже использовали в кибератаках. Ошибка затрагивает iPhone, Mac и Apple TV. Она получила идентификатор CVE-2024-23222 и была исправлена в iOS, macOS, tvOS и Safari.
Разработчики Cisco представили патчи для исправления критической уязвимости в Unity Connection. Ошибка имеет идентификатор CVE-2024-20272 (7,3 балла по CVSS) и может эксплуатироваться удаленно, без аутентификации, для выгрузки произвольных файлов, выполнения команд и повышения привилегий до уровня root.
Корпорация Microsoft выпустила патчи, которые устранили 49 уязвимостей в продуктах компании, 12 из которых представляли собой ошибки удаленного выполнения кода (RCE). В феврале только две уязвимости были классифицированы как критические: обход защиты Windows Kerberos и RCE в Hyper-V.
Эксперты подсчитали, что почти 11 млн SSH-серверов в глобальной сети уязвимы перед атаками Terrapin, которые позволяют хакерам манипулировать данными во время хендшейка, в результате нарушая целостность канала SSH при эксплуатации некоторых популярных режимов шифрования.
Хакеры начали эксплуатировать две уязвимости софта для удалённого доступа ConnectWise ScreenConnect для развёртывания программы-вымогателя LockBit. Это говорит о том, что ресурсы хакерской группировки продолжают работать, хотя бы и частично, несмотря на все усилия правоохранительных органов США и Великобритании.
За три месяца 2-го этапа программы «Баг баунти» было выявлено 62 уязвимости в системе электронного правительства, большинство из которых — некритичные. Об этом сообщили в Минцифры РФ.
Оригинал публикации на сайте CISOCLUB: "Обзор уязвимостей за прошедшую неделю (21-27 февраля)".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Twitter | Rutube | Telegram | Дзен | YouTube.
