Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Windows Smart App Control, SmartScreen, Mark of the Web, MotW, ERP Apache OFBiz, Грацский технологический университет, SLUBStick, Infoblox, Eclypsium, Sitting Ducks, Acronis, Acronis Cyber Infrastructure, ACI, WhatsApp, Microsoft, Google, Android.
В системах Windows Smart App Control и SmartScreen была выявлена критическая уязвимость, которую хакеры эксплуатируют с 2018 года. Данная уязвимость позволяет злоумышленникам запускать вредоносные программы на устройствах без активации предупреждений, обычно возникающих при открытии файлов с меткой «Mark of the Web» (MotW).
В системе управления ресурсами предприятия (ERP) Apache OFBiz с открытым исходным кодом была обнаружена новая уязвимость нулевого дня, позволяющая удаленно выполнять код без предварительной аутентификации. Это предоставляет злоумышленникам возможность удаленно выполнять код на уязвимых системах.
Исследователи из Грацского технологического университета сообщили о новой технике атаки на ядро Linux под названием SLUBStick, которая увеличивает опасность уязвимостей, связанных с хипом.
Компании Infoblox и Eclypsium предупреждают о DNS-атаке Sitting Ducks, ежедневно угрожающей более миллиону доменов. По данным экспертов, злоумышленники уже захватили 35 000 доменов, так как Sitting Ducks позволяет завладеть доменом без доступа к учетной записи его владельца у DNS-провайдера или регистратора.
Разработчики Acronis сообщили о недавно устраненной критической уязвимости в Acronis Cyber Infrastructure (ACI), которая уже использовалась злоумышленниками.
Исследователь обнаружил уязвимость в последней версии WhatsApp для Windows, позволяющую отправлять вложения на Python и PHP, которые выполняются без предупреждения при открытии пользователем.
В понедельник компания Microsoft объявила, что за последний год выплатила около 16,6 миллионов долларов США в рамках своих программ вознаграждения за обнаруженные уязвимости. В период с 2020 по 2023 год Microsoft ежегодно выплачивала около 13 миллионов долларов США через свои программы вознаграждений за обнаружение ошибок. Однако за последний год, с 1 июля 2023 года по 30 июня 2024 года, эта сумма увеличилась до 16,6 миллионов долларов США.
Google выпустила обновления безопасности для Android в августе 2024 года. В список входит уязвимость нулевого дня CVE-2024-36971, которая использовалась в целевых атаках. Она представляет собой серьезную проблему в ядре, позволяющую удаленно выполнять код с необходимыми системными привилегиями.
Оригинал публикации на сайте CISOCLUB: "Обзор уязвимостей за прошедшую неделю (1-7 августа)".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.
