ИБ-специалисты обнаружили и устранили критическую уязвимость библиотеки libssh
Новости
Баг позволял авторизоваться на сервере без ввода данных пользователя и находился в версиях 0.6 библиотеки libssh с 2014 года.
496 открытий498 показов
Питер Винтер-Смит (Peter Winter-Smith) из NCC Group обнаружил уязвимость библиотеки libssh, с помощью которой можно обойти авторизацию на сервер. Брешь обнаружили в версиях 0.6 и выше. Проблему решили выпуском обновлений 0.8.4 и 0.7.6 16 октября 2018 года.
Смешная уязвимость
Специалисты Bleeping Computer назвали уязвимость до невозможности смешной. Атакующему достаточно отправить серверу сообщение SSH2_MSG_USERAUTH_SUCCESS, вместо ожидаемого SSH2_MSG_USERAUTH_REQUEST. В этом случае не требуется вводить какие-либо данные.
Серверы под угрозой
Амит Серпер (Amit Serper) из Cybereason проверил подверженные угрозе компьютеры при помощи Shodan. По его словам, примерно на 3 тысячах компьютеров используется libssh. При этом на некоторых установлены старые версии библиотеки, и они уязвимы для старых багов.
GitHub рассказала об использовании модифицированной версии libssh, ввиду чего угроза ей не страшна.
Несмотря на быстрое устранение уязвимости в библиотеке libssh, разработчики компаний оперативно закрывают не все бреши. В сентябре 2018 года специалисты Trend Micro Zero Day Initiative рассказали об уязвимости в составе СУБД Microsoft Jet Database Engine. Она затрагивала все актуальные версии ОС Windows. Проблему решили за счёт неофициального патча, а затем, в рамках «вторника обновлений», выпустили и официальный. Но специалисты Acros Security утверждают, что его эффективность не слишком высока.
496 открытий498 показов
Код свободный — используйте кто хотите? Лицензии опенсорсных зависимостей в проприетарной разработке
Узнайте, как правильно использовать опенсорсные зависимости в проприетарной разработке, избегая лицензионных рисков. Понимание различий между пермиссивными и копилефтными лицензиями поможет сохранить юридическую безопасность вашего проекта.
Ученые нашли уязвимости в беспроводных системах переключения передач велосипедов, участвующих в гонках, таких как Тур де Франс. Хакеры могут управлять передачами на расстоянии или отключать системы, что угрожает безопасности гонщиков и честности соревнований.
ЦЕРН и Фермилаб переходят на AlmaLinux для управления Большим адронным коллайдером после завершения поддержки Scientific Linux. Новый выбор обеспечивает долгосрочную стабильность, улучшенную безопасность и поддержку до 2032 года для ключевых научных проектов
Apple расширила программу Apple Security Bounty, предлагая до $1 млн за обнаружение критических уязвимостей в системе Private Cloud Compute (PCC). Новые инструменты и открытый исходный код позволяют исследователям безопасно анализировать и находить уязвимости, улучшая безопасность технологии