Обзор уязвимостей за прошедшую неделю (9-15 октября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Oracle E-Business Suite, Renault Megane, Toyota Corolla, BMW X2, Cisco Secure Firewall ASA, Cisco Secure Firewall Threat Defense, sudo, Flowise, Discord, Zendesk.
Обнаружение критической уязвимости CVE-2025-61884 в Oracle E-Business Suite вновь привлекло внимание российских компаний к рискам, связанным с использованием программных продуктов мировых производителей. Угроза затрагивает корпоративные системы и требует оперативной реакции со стороны ИТ-служб.
Организация Usenix провела масштабное исследование Bluetooth-модулей в современных автомобилях, выявив 128 уязвимостей с помощью инструментария BlueToolkit. В списке наиболее уязвимых моделей оказались Renault Megane 2021, Toyota Corolla и BMW X2. Проблемы затрагивают безопасность соединения и потенциально позволяют злоумышленникам вмешиваться в работу бортовых систем.
Компания Apple сообщила о расширении своей программы вознаграждения за найденные баги. Максимальная выплата за критическую уязвимость теперь составляет до 2 млн долларов. Программа охватывает в том числе zero-click уязвимости, которые могут использоваться для удалённого выполнения кода без участия пользователя. Нововведения нацелены на привлечение большего числа исследователей.
Совместная команда Google Threat Intelligence Group (GTIG) и Mandiant задокументировала крупную атаку, приписываемую вымогательской группировке Clop. Для проникновения использовалась ранее неизвестная уязвимость в платформе Oracle E-Business Suite, которая позволила хакерам получить доступ к массивам конфиденциальной информации.
Эксперты Positive Technologies выделили три новые уязвимости, попавшие в категорию значимых. Проблемы зафиксированы в веб-сервере управления VPN в Cisco Secure Firewall ASA и Cisco Secure Firewall Threat Defense, а также в инструменте sudo, используемом в Linux и Unix-системах для выполнения команд от имени других пользователей.
Разработчики Flowise оперативно выпустили обновление, устраняющее критическую уязвимость CVE-2025-61913. Продукт с открытым исходным кодом широко применяется для создания ИИ-агентов и используется в различных средах разработки, что делает устранение угрозы особенно важным.
Исследовательская лаборатория SquareX Labs опубликовала доклад о потенциальных киберугрозах, связанных с внедрением искусственного интеллекта в браузеры. Анализ показал, что интеграция ИИ-функциональности способна привести к появлению новых векторов атак, выходящих за рамки традиционной защиты.
Компания Discord сообщила об инциденте, связанном с кражей 1,6 ТБ данных. По заявлению хакеров, в результате взлома платформы поддержки на базе Zendesk, использовавшейся компанией, они получили доступ к информации 5,5 млн пользователей. Инцидент расследуется, а сотрудники компании оценивают масштабы утечки и последствия.
