Обзор уязвимостей за прошедшую неделю (24-30 октября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Google, Chrome, OpenSSL, VMware, iOS, iPhone, Samsung, Windows, Cisco.
В Google призвали пользователей срочно обновить браузер Chrome из-за выявленной ранее и уже исправленной критической уязвимости. Эксперты указывают, что ошибка действительно является очень серьезной.
Разработчики проекта OpenSSL заявили в выпущенном анонсе, что новая версия 3.0.7 позволит устранить критическую уязвимость. Это всего вторая критическая ошибка в OpenSSL за последние годы. Также уточняется, что новый баг не затрагивает OpenSSL 3.0 и более старые версии.
Разработчики VMware представили патч для устранения критической уязвимости в гибридной облачной платформе VMware Cloud Foundation. Ошибка была выявлена в OpenSource-библиотеке XStream, которая используется Cloud Foundation, и получила 9,8 баллов из 10 возможных по системе оценки уязвимостей CVSS.
В iOS 16.1 устранена уязвимость нулевого дня, которая позволяла злоумышленникам взламывать пользовательские iPhone. Киберпреступники могли запускать любой код с привилегиями ядра через приложение.
Специалисты SSD Secure Disclosure заявили об уязвимости, которая была недавно исправлена в приложении Galaxy Store для устройств Samsung. Связанная с XSS ошибка позволяла хакерам к удаленно выполнять команды на уязвимых устройствах, загружать и устанавливать сторонние приложения.
Эксперты компании Varonis предупредили, что злоумышленники могут использовать две уязвимости журнала событий в Windows, чтобы вызвать сбой приложения журнала событий и состояние отказа в обслуживании (DoS).
На прошедшей неделе корпорация Google объявила о выпуске стабильной версии Chrome 107 с исправлениями для 14 уязвимостей, в том числе для серьезных ошибок, о которых сообщили внешние исследователи. «Белым хакерам» было выплачено 50 тыс. долларов за их обнаружение.
Компания Cisco подтвердила наличие двух уязвимостей, которые затрагивают один из её VPN-продуктов. Ранее Агентство США по кибербезопасности и безопасности инфраструктуры (CISA) на прошлой неделе добавило две уязвимости, затрагивающие решение Cisco AnyConnect, в свой каталог известных эксплуатируемых уязвимостей.
