Обзор уязвимостей за прошедшую неделю (3-9 октября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Госуслуги, WhatsApp, vm2, Android, Fortinet, VMware, CISA, ФБР, АНБ, Cisco.
Минцифры РФ заинтересовано в привлечении белых хакеров к поиску уязвимостей на портале «Госуслуги». Соответствующую программу Bug Bounty ведомство хочет реализовать в ближайшее время.
Создатель «ВКонтакте» Павел Дуров призвал пользователей удалить со своих устройств WhatsApp из-за множества неисправляемых уязвимостей мессенджера. Он предупредил, что злоумышленники вполне могут получить доступ к конфиденциальной информации пользователей.
В библиотеке песочницы vm2 обнаружена критическая уязвимость удаленного выполнения кода. Она может позволить удаленному киберпреступнику выйти из песочницы и выполнить произвольный код на хосте.
Разработчики Android выпустили крупное обновление, в рамках которого будет исправлено примерно 50 уязвимостей, включая критическую ошибку в компоненте Framework, которая может привести к локальному повышению привилегий без необходимости дополнительных привилегий на выполнение.
Компания Fortinet в частном порядке проинформировала некоторых своих клиентов о критической уязвимости, которую можно использовать удаленно и которая представляет значительный риск. Фирма не выпускала общедоступных рекомендаций, но в email-письмах, разосланных клиентам, сообщила, что ее продукты FortiOS и FortiProxy подвержены критической уязвимости обхода аутентификации в интерфейсе администратора. Проблема отслеживается как CVE-2022-40684.
Компания VMware сообщила об исправлении уязвимости выполнения кода в vCenter Server. Утилита централизованного управления vCenter Server используется для управления виртуальными машинами и хостами ESXi, а также их зависимыми компонентами.
Агентство кибербезопасности и безопасности инфраструктуры (CISA), Федеральное бюро расследований (ФБР) и Агентство национальной безопасности (АНБ) опубликовали список основных уязвимостей, которые «китайские кибершпионы» используют в своих атаках с 2020 года.
Компания Cisco объявила об исправлении потенциально серьезных уязвимостей в некоторых своих сетевых и коммуникационных продуктах, включая Enterprise NFV, Expressway и TelePresence.
