OpenNews.opennet.ru: Проблемы безопасности
  • Злоумышленники добавили вредоносный код в скрипт установки хостинг-панели VestaCP
    В установочном скрипте панели управления хостингом VestaCP выявлен код, выполняющий отправку параметров аутентификации для доступа к системе пользователя. В частности, в штатную систему отправки телеметрии, которая в ответ на внешний запрос осуществляет вывод названия дистрибутива, добавлены дополнительные параметры, выдающие пароль администратора и IP текущего хоста.

  • Обновление Java SE, MySQL, VirtualBox и других продуктов Oracle с устранением уязвимостей
    Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В октябрьском обновлении в сумме устранена 301 уязвимость.

  • В продуктах Juniper исправлены 22 уязвимости
    В операционной системе Junos, основанной на FreeBSD и используемой в различных сетевых устройствах компании Juniper, устранено 22 уязвимости. Большинство проблем позволяют удалённо инициировать отказ в обслуживании, вызвав крах как отдельных сервисов (RPD - Routing Protocols Daemon, flowd, jdhcpd, L2ALD, dcd, J-Web, telnetd ), так и ядра системы.

  • В Ghostscript выявлены две новые критические уязвимости
    Исследователями безопасности из группы Zero, созданной компанией Google для предотвращения атак, совершаемых с использованием ранее неизвестных уязвимостей, продолжено выявление критических уязвимостей в Ghostscript, позволяющих обойти ограничения sandbox-изоляции, применяемой при запуске в режиме "-dSAFER". Выявленные уязвимости позволяют организовать выполнение в системе произвольного кода при обработке в Ghostscript специально оформленных документов. Исправления пока доступны только в виде патчей (1.

  • Опубликованы результаты аудита системы обновления Firefox
    Компания Mozilla раскрыла результаты независимого аудита безопасности инфраструктуры, используемой для доставки обновлений к Firefox. В ходе аудита были проверены сервер отдачи обновлений, клиентские компоненты для применения обновлений и используемые проектом методы доставки. Аудит включал как изучение кода на наличие возможных уязвимостей, так и анализ надёжности протокола и стойкости применяемых криптоалгоритмов.

  • Bloomberg раскрыл источник сведений о шпионском чипе в платах Supermicro
    В ответ на категорическое отрицание компаниями Apple, Amazon и Supermicro информации о шпионском чипе в серверных материнских платах Supermicro, издание Bloomberg раскрыло источник сведений (изначально заявлялось о получении информации из 23 источников). Данные о шпионском чипе были переданы Йосси Эплбаумом (Yossi Appleboum), ранее служившим в Разведывательном корпусе израильской армии, а ныне занимающим пост директора компании Sepio System, специализирующейся на компьютерной безопасности.

  • DoS-уязвимость в Net-SNMP
    В пакете Net-SNMP, реализующем протоколы SNMP v1, SNMP v2c и SNMP v3, выявлены две уязвимости (CVE-2018-18066, CVE-2018-18065), позволяющие инициировать отказ в обслуживании через отправку специально оформленного запроса без прохождения аутентификации. Для эксплуатации уязвимостей достаточно знать строку с community (обычно "public").

  • Новые уязвимости в маршрутизаторах MikroTik и TP-Link
    В операционной системе RouterOS, применяемой в маршрутизаторах MikroTik, выявлено несколько уязвимостей. Самая опасная из проблем потенциально позволяет получить полный доступ к системе, при наличии аутентифицированного доступа. Проблемы устранены в обновлениях прошивки RouterOS 6.40.9, 6.42.7 и 6.43.

  • 83% изученных беспроводных маршрутизаторов содержат неисправленные уязвимости
    Американский институт потребительских исследований опубликовал результаты анализа (PDF) безопасности беспроводных маршрутизаторов, в ходе которого были изучены 186 различных моделей устройств, представленных на рынке США. В проверке участвовали различные модели домашних и офисных беспроводных маршрутизаторов TP-Link, D-Link, ASUS, AVM, Belkin, Cerio, NetGear, Sierra, HPE, Linksys, TRENDnet, Ubiquiti, Yamaha и Zyxel.

  • В Git устранена уязвимость, которая может привести к выполнению кода атакующего
    Доступны внеплановые обновления Git 2.14.5, 2.15.3, 2.16.5, 2.17.2, 2.18.1 и 2.19.1, в которых устранена уязвимость (CVE-2018-17456), позволяющая атакующему выполнить свой код через подстановку специально оформленного файла .gitmodules в составе проекта, клонируемого с рекурсивным включением субмодулей (проблема проявляется только при выполнении операции "git clone --recurse-submodules").