OpenNews.opennet.ru: Проблемы безопасности
  • JavaScript-приложения криптовалют, использующие SecureRandom(), могли генерировать уязвимые ключи
    Раскрыты сведения о серьёзных проблемах с качеством генерации ключей криптовалют через браузерные web-интерфейсы или старые приложения, написанные на JavaScript, в которых для получения случайных чисел использовался класс SecureRandom() из библиотеки jsbn. Недостаточный размер энтропии приводил к созданию предсказуемых ключей и делал реальным подбор закрытого ключа по открытому.

  • Опасные уязвимости в утилитах beep и patch
    Раскрыты детали критической уязвимости в утилите beep. Изначально проблема была представлена в начале апреля в шуточной форме под именем Holey Beep и была воспринята многими как первоапрельская шутка с сатирой на современные тенденции продвижения информации об уязвимостях. Для Holey Beep был создан отдельный сайт, подготовлен видеоклип, упомянута возможность исправления антивирусами и необходимость обновления браузера. Описание было изложено очень поверхностно в общих словах.

  • Критическая уязвимость и массовые взломы хостинг-панели VestaCP
    В web-панели управления хостингом VestaCP, распространяемой под лицензией GPLv3, выявлена критическая уязвимость, позволяющая неаутентифицированному злоумышленнику получить доступ с правами root. Уязвимость устранена в выпуске 0.9.8-20. Всем пользователям VestaCP рекомендуется срочно установить обновление.

  • Инцидент в сервисе непрерывной интеграции Travis CI
    Разработчики сервиса непрерывной интеграции Travis CI раскрыли сведения об инциденте с повреждением инфраструктуры проекта 13 марта, в результате которого случайно была инициирована операция удаления всех таблиц из СУБД. В течение 30 минут после удаления сервис оставался доступен с повреждёнными данными, после чего был отключен на пять с половиной часов для проведения восстановления.

  • Критическая уязвимость в коммутаторах Cisco
    Компания Cisco предупредила об устранении критической уязвимости (CVE-2018-0171) в коммутаторах с поддержкой технологии SMI (Smart Install), которая позволяет удалённо получить полный контроль над устройством без прохождения аутентификации. Сообщается, что уже зафиксировано применение уязвимости для атак на крупных провайдеров и элементы критической инфраструктуры некоторых стран, поэтому администраторам рекомендуется срочно установить обновление или отключить в настройках технологию SMI, предназначенную для автоматизации начальной настройки и загрузки прошивки для новых коммутаторов.

  • Уязвимость в медицинском приборе для мониторинга мозговой активности
    Исследователи безопасности из компании Cisco обратили внимание на наличие уязвимостей в программном обеспечении медицинских приборов на базе платформы Natus NeuroWorks, включая.

  • Анализ безопасности мобильных приложений для управления IoT-устройствами
    Компания Pradeo Security изучило 100 типовых мобильных приложений для управления IoT-устройствами, такими как системы домашней автоматизации, термостаты, электрические жалюзи, механизмы дистанционного управления, умные лампочки и т.п. Ситуация с безопасностью подобных приложений оказалась плачевной.

  • 20% VPN раскрывают внутренний IP-адрес пользователя через WebRTC
    Опубликован отчёт с результатами проверки 110 VPN-провайдеров, которая показала, что 22 из них (20%) имеют проблему с утечкой конечного IP-адреса, который используется пользователем до подключения к VPN или к прокси. Для проверки утечки IP через VPN подготовлена специальная тестовая страница (код с методом определения можно найти на GitHub).

  • Критическая уязвимость в Drupal
    В системе управления контентом Drupal выявлена критическая уязвимость (CVE-2018-7600), которую можно использовать для удалённого выполнения кода на сервере через отправку специально оформленного запроса без аутентификации. Проблема достаточно проста в эксплуатации и затрагивает ветки Drupal 8, 7 и 6. Всем пользователям рекомендуется срочно установить обновления Drupal 8.5.1, 7.58, 8.3.9, 8.4.6 или использовать патч.

  • BranchScope - новая атака на механизм спекулятивного выполнения косвенных переходов в CPU
    Группа исследователей из американских учебных заведений, среди которых Дмитрий Евтюшкин и Дмитрий Пономарёв, разработали новый метод атаки на процессоры, поддерживающие спекулятивное выполнение инструкций. Метод получил название BranchScope и представляет собой вариант атаки по сторонним каналам, восстанавливающий из процессорного кэша остаточные данные, сохранённые в результате активности блока предсказания переходов.