Обзор уязвимостей за прошедшую неделю (16-22 октября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Microsoft, Apple, Google, Threat Analysis Group, ETH Zurich, Intel, Xeon, AMD, ScarCruft, National Cyber Security Center, AhnLab, Jetpack, Positive Technologies, Roundcube Webmail, CrowdStrike.
Госструктуры, государственные компании и критически важные объекты инфраструктуры будут подвергаться значительным штрафам, если не устранят уязвимости, выявленные в ходе проверок информационной безопасности их систем. Внесение соответствующих изменений в Кодекс об административных правонарушениях предусматривается новым законопроектом «О деятельности по поиску уязвимостей и оценке защищённости объектов информационной инфраструктуры РФ».
Microsoft заявила, что недавно исправленная уязвимость CVE-2024-44133 в macOS может применяться для атак с использованием рекламного ПО. Данный баг позволяет обходить механизм Transparency, Consent, and Control (TCC), что открывает доступ к личным данным пользователей. Уязвимость была устранена Apple в обновлении macOS Sequoia 15 в сентябре этого года.
Эксперты Google Threat Analysis Group (TAG) выявили уязвимость нулевого дня в мобильных процессорах компании Samsung. Сообщается, что эта уязвимость уже была задействована в цепочке эксплоитов для выполнения произвольного кода.
Специалисты из Швейцарской высшей технической школы Цюриха (ETH Zurich) обнаружили, что современные процессоры Intel, включая Xeon, а также более старые модели AMD, используемые в Linux-системах, подвержены новым спекулятивным атакам, которые способны обходить существующие механизмы защиты от уязвимости Spectre.
В мае этого года северокорейская хакерская группа ScarCruft совершила крупную атаку, эксплуатируя уязвимость нулевого дня в Internet Explorer. В результате заражённые машины подверглись установке вредоносного ПО RokRAT с целью кражи данных, как сообщили Национальный центр кибербезопасности Южной Кореи (NCSC) и AhnLab (ASEC).
В Kubernetes была исправлена серьёзная уязвимость, которая позволяла злоумышленникам получить несанкционированный SSH-доступ к виртуальной машине, использующей образ, созданный через Kubernetes Image Builder.
Разработчики плагина Jetpack выпустили патч для устранения критической уязвимости, через которую авторизованные пользователи могли получать доступ к формам, заполненным другими посетителями сайта. Уязвимость осложнялась тем, что этот плагин установлен на 27 миллионах сайтов.
В сентябре 2024 года специалисты Positive Technologies выявили вредоносное письмо, адресованное неназванной государственной организации в одной из стран СНГ. Атакующие пытались эксплуатировать уязвимость CVE-2024-37383, ранее найденную в почтовом клиенте Roundcube Webmail экспертами CrowdStrike, с целью компрометации системы.
