Что ж, даже ИИ иногда пасует перед требованиями бизнеса ¯⧹_(ツ)_⧸¯

2/2 - Удалённая уязвимость в серверных UEFI-прошивках, эксплуатируемая через отправку ICMP-пакета. Проблема интересная, однако куда интереснее то, что это уже третья новость, в которой информацию об уязвимости (прямо или косвенно) раскрывают до выпуска фиксов, и вторая, в которой эта информация раскрывается фиксом. - Удалённо эксплуатируемая уязвимость в TCP-стеке ядра Linux. В сетевом стеке use-after-free, однако в новости почему-то делают упор на софт, написанный на Go, за что накидываем лучи ненависти составителю новости. Также там обнаружили еще пачку уязвимостей в сетевом стеке, которые можно эксплуатировать удаленно, поэтому обновите ядрышко по возможности. - Атакующие смогли внедрить вредоносный код в официальное дополнение Claude Code к VS Code. Вредонос был опубликован только в репозитории Open-VSX, официальный макрософагский магазин говорит, что у них ничего такого не было, однако все равно выпустили и в нем версию 2.1.314 с исправлением. - Детали возможной атаки на GNU Savannah, позволявшей скомпрометировать репозитории Bash и Coreutils. Тут уже whitehat-исследование, ничего по-настоящему скомпрометировано не было. - Эксплуатируемая через SMS уязвимость в Android, приводящая к зацикленной перезагрузке. Тут некорректная работа с буфером под заголовки сообщений. Исправление выпущено для Android 14-17, однако старые телефоны в опасности - непонятно, будет ли исправление выпущено для них, учитывая, что производители частенько забивают большой болт на это все спустя пару лет. - Релизы дистров и ОСей: OpenWrt 25.12.6, OpenBSD 8.0, SteamOS 3.9, Альфа-версия CusDeb OS (Linux с пользовательским окружением из ReactOS), Ubuntu Touch 24.04-2.2, GhostBSD 26.2, Sculpt OS 26.10. Этот дайджест можно прочитать/обсудить в: - Новостной группе ru.comp.coweram.digests на NNTP-сервере news.oldproto.ru. - Max. - Matrix.

Доброго времени суток! Представляю вашему вниманию дайджест около-айтишных новостей за прошедшие 2 недели (20 октября - 2 ноября). Прошедшие 2 недели оказались очень богаты на вские уязвимости и атаки. 1/2 - В конфигурационных файлах curl случайно реализована полнота по Тьюрингу. В принципе это на самом деле уязвимость, так как специально оформленные наборы конфигурационных файлов могут вызвать переполнение стека, однако как уязвимость это не рассматривается, и начиная с версии curl 8.17 пилить какие-нибудь машины Минского на конфигах уже не получится - ограничили вложенность 5-ю уровнями. - Проект GNOME внедрил новый процесс принятия решений на основе RFC. Вот бы такое, да на этапе разработки GNOME 3 сделали, тогда бы оный не появился в текущем виде. Вести с полей IT-конфронтаций (атаки, уязвимости и подобное): - Ошибка при генерации ключей удостоверяющего центра eMudhra позволяла получить TLS-сертификаты для любых сайтов. Индусы сгенерили плохие ключики, которые можно было подобрать, при помощи спецмодуля (индусского?). Они опубликовали заявление на эту тему. На следующий день после выявления проблемы они заявили, что выходят из бизнеса по выдаче сертификатов. - Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт. Я надеюсь, что вы уже обновились, потому что проблема вызвана ошибками в работе с памятью в обработчике multipart/form-data, причем загружать файл или данные через форму необязательно. Также опубликовали отчет о проблемах при исправлении этой уязвимости, в которой описана ситуация, почему обновления пришлось выпускать экстренно - потому что один и пользователей опубликовал релиз своего дистрибутива с фиксом, по которому можно было понять суть уязвимости. - И еще одна уязвимость в PHP, связанная с upload_progress. Ждем фиксов. - Критическая уязвимость в декодировщике Brotli, затрагивающая Node.JS, Bun, браузеры, HTTP-клиенты и другие проекты. Классическая запись за пределы буфера из-за некорректной обработки ошибок. Саму либу с эталонной реализацией уже поправили, обновитесь, если используете. Я на работе это делал, кстати, в пятницу ночером 😅. - Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab. Регэкспы и переполнение целочисленной переменной. В Gitlab уже пофикшено, однако попытки эксплуатации уже зафиксированы. - Атака на AI-агенты через размещение файла AGENTS.md в каталоге с загрузками. Злоумышленники всеми возможными ухищрениями заставляют вас скачать вредоносный AGENTS.md и ждут, пока ваш агент пройдется по загрузкам и выполнит плохие действия. Не забывайте давать минимально возможные права агентам и не гонять их по директориям, куда файлы могут попасть абсолютно рандомно. - Уязвимости в Rust-библиотеках zip-rs и librsvg. В первой можно скрыть в архивах вредоносные файлы, а у второй классика - use-after-free. - 10 уязвимостей в ядре Linux и 5 во FreeBSD, позволяющие получить права root в системе. Причем 5 из линуксовых были раскрыты до фиксов. Чем-то напоминает историю с PHP. - Взлом сервера с модами, дополнениями и ресурсами для игрового движка Luanti. Сейчас оное отключено, а целостность пакетов контента, загруженные с 22 по 26 октября, не гарантируется. Фиксы попиливают, ждем востановления работы сервиса.