Обзор уязвимостей за прошедшую неделю (5-11 февраля)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: SmarterTools, SmarterMail, Ghostscript, OpenSC, CGIF, n8n, React Native, APT28, Microsoft Office, Chat & Ask AI, OpenClaw, ClawdBot, Moltbot, MongoDB.
SmarterTools сообщила о компрометации собственной инфраструктуры после атаки через критическую уязвимость в корпоративном программном обеспечении. Точкой входа стала устаревшая виртуальная машина без актуальных обновлений, что позволило злоумышленникам закрепиться в сети и получить контроль примерно над 30 серверами. Уязвимость использовалась для бокового перемещения и расширения доступа внутри среды.
Anthropic объявила, что языковая модель Claude Opus 4.6 в ходе анализа кода выявила более 500 серьёзных уязвимостей нулевого дня в опенсорсных проектах. Уязвимости обнаружены в популярных библиотеках и инструментах, среди них Ghostscript, OpenSC и CGIF, при этом часть проблем связана с обработкой входных данных и управлением памятью.
В системе автоматизации рабочих процессов n8n выявлена критическая уязвимость, позволявшая удалённо выполнять произвольные команды на сервере. Брешь затрагивала механизм песочницы JavaScript, который должен ограничивать выполнение выражений в сценариях, но на практике допускал обход изоляции и прямой доступ к системе.
Злоумышленники начали массово эксплуатировать критическую уязвимость в Metro-сервере React Native, применяя её для распространения вредоносных программ под Windows и Linux среди разработчиков. Уязвимость использовалась через стандартные инструменты разработки и позволяла внедрять вредоносный код в рабочие окружения.
Группировка APT28 приступила к атакам всего через 3 дня после выхода внепланового обновления безопасности для Microsoft Office. Критическая уязвимость быстро была взята в оборот и применялась против организаций на территории Украины и ряда европейских стран.
Разработчики ИИ-сервиса Chat & Ask AI допустили серьёзную утечку данных из-за уязвимости в системе хранения сообщений. В открытом доступе оказались сотни миллионов личных диалогов пользователей, где содержались вопросы о самоубийстве, просьбы о составлении прощальных записок, обсуждения наркотиков и приёмы обхода защиты приложений.
В проекте OpenClaw, ранее известном под названиями ClawdBot и Moltbot, исследователи выявили новую цепочку уязвимостей. Комбинация эксплоитов позволяла выполнить произвольный код на устройстве жертвы после одного клика по вредоносной странице, что делало атаку максимально простой и масштабируемой.
Автоматизированные вымогательские кампании продолжают нацеливаться на незащищённые инстансы MongoDB. Уязвимости в конфигурации баз данных используются для удаления или шифрования информации, после чего владельцам систем предлагают выплатить небольшой выкуп за восстановление доступа.
