Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: ChatGPT, OpenAI, Иоганн Рейбергер, Ivanti Endpoint Manager, Ivanti Cloud Services Appliance, Binarly, UEFI, Secure Boot, D-Link, Versa Networks, Versa Director, GitLab, Chrome, V8.
В ChatGPT выявлена уязвимость, которая позволяет злоумышленникам вносить ложную информацию о пользователе в долгосрочную память чат-бота посредством вредоносных запросов, что может привести к утечке персональных данных. Несмотря на серьезность открытия, которое сделал эксперт по кибербезопасности Иоганн Рейбергер, компания OpenAI первоначально посчитала его угрозой низкого уровня и быстро завершила расследование.
Обнаружен PoC-эксплоит для опасной уязвимости удаленного выполнения кода (CVE-2024-29847) в Ivanti Endpoint Manager. Компания также предупредила, что другая уязвимость в Ivanti Cloud Services Appliance (CSA) уже подвергается атакам.
Специалисты Binarly заявили, что проблема PKfail, ранее выявленная в цепочке поставок UEFI, оказалась более серьезной, чем предполагалось. Около 8,5% всех образов прошивки содержат тестовые криптографические ключи, которые стали публично известны или были скомпрометированы из-за утечки данных. Это делает многие устройства с Secure Boot потенциально уязвимыми и скомпрометированными.
Компания D-Link устранила критические уязвимости в трех моделях своих беспроводных маршрутизаторов. Эти уязвимости позволяли злоумышленникам удаленно выполнить произвольный код или получить доступ к устройствам с использованием заранее установленных учетных данных.
Versa Networks выпустила патчи для уязвимости в своей платформе Versa Director, указав, что существует PoC-код для данной проблемы. Уязвимость CVE-2024-45229 (оценка CVSS 6,6) связана с REST API в Versa Director, который используется для управления и оркестрации, и может привести к утечке токенов аутентификации.
Компания Ivanti подтвердила вторую уязвимость в CSA, используемую в атаках. Помимо CVE-2024-8190, эксплуатируется другая уязвимость в этом продукте — CVE-2024-8963.
Платформа GitLab устранила критическую уязвимость обхода аутентификации, CVE-2024-45409 (оценка CVSS 10/10), которая затрагивает экземпляры GitLab CE/EE, настроенные на использование SAML-аутентификации.
Новая версия Chrome 129 включает исправления для серьезных уязвимостей в движке V8. Самой опасной из них является ошибка путаницы типов в движке JavaScript V8, обозначенная как CVE-2024-8904, о чем сообщил интернет-гигант.
Оригинал публикации на сайте CISOCLUB: "Обзор уязвимостей за прошедшую неделю (19-25 сентября)".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.
