В системе ИТ-мониторинга Nagios XI устранены уязвимости, выявленные экспертом Positive Technologies. Разработчики системы мониторинга ИТ-инфраструктуры Nagios XI поблагодарили старшего специалиста Positive Technologies Алексея Соловьева з

Фундаментальная уязвимость Новый метод DoS-атаки под названием Continuation flood на HTTP/2 был обнаружен Бар

рая, старая сказка На протяжении 11 лет в наборе util-linux, одном из компонентов Linux, скрывалась уязвимость, которая позволяет злоумышленнику, не обладающему какими-либо системными привилеги

ся для построения распределенных систем управления (РСУ) на предприятиях и предназначены для автоматизации крупных производств непрерывного цикла. ABB является лидером мирового рынка РСУ с долей 20%. Уязвимости CVE-2023-0425 и CVE-2023-0426 (доступ из России — через VPN) получили одинаковую оценку 8,6 по шкале CVSS v3.1, которая означает высокий уровень опасности. Специалисты отдела анализа

я, используемый в приложениях, которые предназначаются для обработки данных. «В Kubernetes выявлена уязвимость, благодаря которой пользователь, обладающий возможностью создавать поды и постоянн

ти, более известную как Common Vulnerabilities and Exposures, более известную как CVE. В ней каждая уязвимость получает уникальный идентификационный номер формата «CVE-год-номер», описание и ря

и вмешаться в технологический процесс. Об этом CNews сообщили представители Positive Technologies. Уязвимость была обнаружена в преобразователях NPort W2150a и W2250a. Эти устройства позволяют

ателей в сеть злоумышленников, имитируя легитимную, к которой пользователь недавно подключался. Эта уязвимость может представлять даже большую проблему, поскольку данный пакет по умолчанию отве

ие 12 часов. В топ эксперты собрали уязвимости, которые активно эксплуатировались в прошлом месяце. Уязвимость, связанная с удаленным выполнением кода, в FortiOS и FortiProxy CVE-2024-21762 (CV

irectory (AD). В открытом проекте FreeIPA по итогам динамического анализа web-приложения обнаружена уязвимость CVE-2024-1481. В результате специально созданного HTTP-запроса она позволяет неавт

нцентрировались на поиске слабых мест в веб-приложениях и набирают «фактуру» для реализации новых атак на российские компании. Подобное наблюдалось в 2022 г.: в первом полугодии хакеры активно искали уязвимости в веб-приложениях, а во втором реализовывали сложные целевые кибератаки с использованием этих «находок». Блокировка IP-адресов по черным спискам — еще один тип событий ИБ, который ча

ности внешнего ИТ-периметра Solar CPT (Continuous Penetration Testing). Сервис выявляет критические уязвимости и недостатки меняющегося внешнего ИТ-периметра, которыми могут воспользоваться хак

ю уязвимостей, которые уже широко используются злоумышленниками и для которых имеются общедоступные эксплойты. Для защиты периметра эксперты советуют применять межсетевые экраны уровня приложен

Исследователи «Лаборатории Касперского» обнаружили в детском интерактивном роботе уязвимости, которые потенциально могли позволить злоумышленникам использовать камеру в игрушке для общения с ребёнком без ведома родителей. Эксперты компании уведомили производителя, и к настоя

ОNE Bug Bounty или Standoff 365 Bug Bounty. Ознакомиться и согласиться с условиями программы. Найти уязвимость. Отправить информацию об уязвимости через платформу. Дождаться подтверждения уязви

правляющих данные уязвимости, утверждают в компании, но и на «темной стороне» даркнета не появились эксплойты для эксплуатации уязвимостей, однако Zero-day уже близок. На данный момент готовых

ла Хакеры, работающие на спецслужбы различных государств, активно эксплуатируют сравнительно свежие уязвимости в VPN-устройствах Ivanti Connect Secure (ICS). Выявлены уже пять семейств вредонос

чем за 12 часов», — сказал Александр Леонов, ведущий эксперт лаборатории PT Expert Security Center. Уязвимость, связанная с удаленным выполнением кода (Remote Code Execution) в Atlassian Conflu

тями нулевого дня. Как только вендор узнает о таком недостатке, становится крайне важно своевременно выпустить исправление, поскольку задержки позволяют злоумышленникам все чаще эксплуатировать такие уязвимости в своих атаках. Число обнаруженных уязвимостей постоянно растет: в 2023 г. их количество (28902) превысило показатели предыдущих двух лет на 42% и 14% соответственно. Кроме этого, ка

ами» — постоянная программа «Яндекса» по поиску уязвимостей. Любой желающий может попробовать найти уязвимость в продуктах компании, сообщить о ней и получить награду. Такой подход позволяет по

тронутыми критической уязвимостью, открывающую возможность для повышения привилегий до уровня root. Уязвимость непосредственно выявлена в GNU C Library (glibc), фундаментальном компоненте крупн

Пользователи облачной платформы Mos.Hub теперь могут проверить свой код на уязвимости статическим анализатором кода. Такая возможность появилась благодаря интеграции Mos.Hub с городской платформой безопасной разработки. Об этом CNews сообщили представители Департамент

Китае (42%), России (26%), Польше (7%), Тайване (4%), Германии (2%), Бразилии (2%), Индонезии (2%). Уязвимость относится к типу OS Command Injection (CWE-78) и позволяет внедрять команды операц

х размеров, вплоть до крупнейших корпораций. Фото: DC Studio / Фотобанк Freepik В Jenkins появилась уязвимость, позволяющая запустить произвольный код. Патчи безопасности уже выпущены Тем серье

о компаний в России может быть атаковано с помощью старых уязвимостей, к которым уже есть публичные эксплойты. Проблема заключается в старых версиях программного обеспечения (ПО), которые не за

е в бюллетене VMware появилось сообщение о том, что компании известны об успешной эксплуатации этой уязвимости. Подробностей вендор приводить не стал. Зато это сделала фирма Mandiant, которая з

ой компании. Мы также рекомендуем пользователям настраивать двухфакторную аутентификацию. Поскольку уязвимость дает злоумышленнику возможность отправлять запрос на сброс пароля на случайную эле

В процессорах семейства Intel, выпущенных за последние восемь лет, найдена уязвимость Downfall, позволяющая злоумышленникам похищать персональные данные пользователей, в том числе банковские, ключи шифрования и нарушать конфиденциальность. В числе жертв оказались физи

До уровня root Корпорация Cisco исправила критическую уязвимость в своем программном комплексе Unity Connection, которая в теории позволяла злоумыш

Уязвимости в постквантовом шифровании «Многочисленные уязвимости в механизме инкапсуляции ключей шифрования для постквантового шифрования Kyber могут приводить к тому, что ключи оказывается возможным извлечь», - утверждается в публикации издания B

Шило и мыло Попытка исправить критическую уязвимость в ERP-системе Apache OfBiz привела к появлению другой, также критической. Ранее в

и важную в реализации кампании «Операция Триангуляция». Речь идёт об уязвимости CVE-2023-38606. Это уязвимость в чипе (системе на кристалле), с помощью которой атакующие обходили аппаратную защ

огоквартирных жилых домах) с возможностью дистанционного управления нагрузкой». Первая обнаруженная уязвимость относится к критическому уровню опасности, а две другие — к высокому. Уязвимост

, плеерах iPod, плашетах iPad, ТВ-приставках Apple TV и даже в умных часах Apple Watch. Более того, эксплойты, обнаруженные «Касперским», были специально разработаны для работы и на этих устрой

Точка входа для агента Старая уязвимость, затрагивающая Microsoft Office, теперь используется киберзлоумышленниками для рас

2.5.0 - Struts 2.5.32 и Struts 6.0.0 - Struts 6.3.0.1. Фото: Nudelson Fernandes / фотобанк Unsplash Эксплойты для Struts 2 уже в сети Соответственно, исправления под индексом 2.5.33 и/или 6.3.0

(9,6 баллов по шкале CVSS). Этот «баг» допускает запуск произвольного кода в OpenNDS. Есть еще одна уязвимость, эксплуатация которой также позволит запустить произвольный код: CVE-2023-38316, н

нодательства. За полтора года работы Standoff 365 Bug Bounty багхантерам было выплачено около 60 млн руб. Размер вознаграждения варьируется от 9 тыс. до 2,4 млн руб. в зависимости от уровня опасности уязвимости. При этом максимальные выплаты сопоставимы с вознаграждениями на мировых площадках за аналогичные уязвимости. Всего за этот период было принято около 1,5 тыс. отчетов, в том ч

ру к смартфону Исследователь ИБ-компании Skysafe Марк Ньюлин (Mark Newlin) выявил новую критическую уязвимость в протоколах соединения Bluetooth, которая может быть использована для захвата кон

ную библиотеку ускорения 2D-графики Skia, которую браузер использует для отрисовки веб-страниц. Эта уязвимость означает, что злоумышленник с помощью специально подготовленного файла может обойт