Обзор уязвимостей за прошедшую неделю (13-19 февраля)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: PHP 8, SQLite, WinZip, 7Z, ФСТЭК России, PT SWARM, Алексей Писаренко, Алексей Соловьёв, Олег Сурнин, Passwork, SonicWall, Palo Alto Networks, PAN-OS, DataDog, whoAMI, Amazon Machine Image, Amazon Web Services.
Число выявленных уязвимостей в ПО в 2024 году стабильно держалось на уровне 2 тыс. ежемесячно, и эта динамика сохранилась в январе 2025 года. В сравнении с 2023 годом, показатель вырос на 30%.
Опасная уязвимость, затрагивающая различные версии PHP 8, представляет угрозу для сайтов и веб-приложений, поскольку позволяет осуществить SQL-инъекцию и получить доступ к базе данных. Проблема актуальна для версий PHP 8.0.x до 8.0.27, 8.1.x до 8.1.15 и 8.2.x до 8.2.2. Ошибка обнаружена в работе функции PDO::quote() при взаимодействии с SQLite.
В архиваторе WinZip выявлена критическая брешь, дающая возможность удалённого выполнения произвольного кода на устройстве. Уязвимость зарегистрирована под идентификатором CVE-2025-1240 и связана с обработкой файлов формата 7Z.
ФСТЭК России сообщила о серьёзных угрозах для IT-инфраструктуры критически важных объектов. По данным ведомства, 47% таких организаций сталкиваются с критическими проблемами безопасности. При проверке государственных систем зафиксировано более 1,2 тыс. уязвимостей, значительная часть которых обладает высоким или критическим уровнем риска.
Алексей Писаренко, Алексей Соловьёв и Олег Сурнин, специалисты PT SWARM, выявили и помогли устранить шесть уязвимостей в менеджере паролей Passwork. Их эксплуатация могла привести к потере доступа к хранимым данным.
По данным экспертов, хакеры уже начали атаковать уязвимость обхода аутентификации, выявленную в брандмауэрах SonicWall. Это стало возможным после публикации proof-of-concept эксплоита для данной проблемы.
На прошлой неделе в PAN-OS от Palo Alto Networks была закрыта уязвимость CVE-2025-0108, которая позволяла обходить механизм аутентификации. Теперь специалисты предупреждают, что злоумышленники уже используют этот эксплойт в атаках.
Исследователи DataDog рассказали о методе атаки name confusion под названием whoAMI. С её помощью злоумышленники могли получить доступ к аккаунту Amazon Web Services, загружая образы Amazon Machine Image (AMI) с определёнными именами.
