OpenNews.opennet.ru: Проблемы безопасности
  • Массовый дефейс дискуссионных групп в Reddit
    Неизвестные злоумышленники устроили массовый вандализм в Reddit, в результате которого было изменено оформление около 150 групп, общая аудитория которых оценивается в несколько миллионов участников. Фон и элементы оформления атакованных групп были заменены на картинки с агитацией за Дональда Трампа.

  • Уязвимость в чипах Qualcomm и MediaTek, позволяющая перехватить часть трафика WPA2
    Исследователи из компании Eset выявили новый вариант (CVE-2020-3702) уязвимости Kr00k, применимый к беспроводным чипам Qualcomm и MediaTek. Как и первый вариант, которому были подвержены чипы Cypress и Broadcom, новая уязвимость позволяет дешифровать перехваченный Wi-Fi трафик, защищённый с использованием протокола WPA2.

  • Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок
    В WordPress-плагине wpDiscuz, который установлен на более чем 80 тысячах сайтов, выявлена опасная уязвимость, позволяющая без аутентификации загрузить любой файл на сервер. В том числе можно загрузить PHP-файлы и добиться выполнения своего кода на сервере. Проблеме подвержены версии с 7.0.0 по 7.0.4 включительно. Уязвимость устранена в выпуске 7.0.5.

  • Уязвимости в X.Org Server и libX11
    В X.Org Server и libX11 выявлены две уязвимости.

  • Уязвимость в KDE Ark, позволяющая перезаписать файлы при открытии архива
    В развиваемом проектом KDE менеджере архивов Ark выявлена уязвимость (CVE-2020-16116), позволяющая при открытии в приложении специально оформленного архива перезаписать файлы вне каталога, указанного для раскрытия архива. Проблема в том числе проявляется при раскрытии архивов в файловом менеджере Dolphin (пункт Extract в контекстном меню), который использует функциональность Ark для работы с архивами. Уязвимость напоминает давно известную проблему Zip Slip.

  • Chrome-дополнение с миллионной аудиторией уличено в подстановке рекламы в результаты поиска Google
    В Chrome-дополнении Screenshot & Screen Capture Elite, насчитывающем более миллиона установок и предназначенном для создания скриншотов web-страниц, выявлена вредоносная активность. Пользователи дополнения, применяющие блокировщик UBlock Origin, обратили внимание, что у них продолжает показываться реклама, несмотря на явное присутствие правил для её блокирования.

  • В Perl-пакете Module-AutoLoad выявлен вредоносный код
    В распространяемом через каталог CPAN Perl-пакете Module-AutoLoad, предназначенном для автоматической загрузки CPAN-модулей на лету, выявлен вредоносный код. Вредоносная вставка была найдена в коде теста 05_rcx.t, который поставляется с 2011 года.

  • В ходе атаки Meow удалено около 4000 общедоступных БД Elasticsearch и MongoDB
    Продолжает набирать обороты атака "Meow", в ходе которой неизвестные злоумышленники уничтожают данные в публично доступных незащищённых установках Elasticsearch и MongoDB. Единичные случаи очистки (в сумме около 3% от всех жертв) также зафиксированы для незащищённых БД на основе Apache Cassandra, CouchDB, Redis, Hadoop и Apache ZooKeeper. Атака производится через бота, перебирающего типовые сетевые порты СУБД. Изучение атаки на подставной honeypot-сервер показало, что подключение бота осуществляется через ProtonVPN. Если 22 июля было зафиксировано около 1000 удалённых БД, то 23 июля число поражённых систем возросло примерно до 2500, а вчера превысило отметку 3800, но снизилось сегодня до 3750.

  • Обновление Python 3.8.5 с устранением уязвимостей
    Опубликовано корректирующее обновление языка программирования Python 3.8.5, в котором устранено несколько уязвимостей.

  • BadPower - атака на адаптеры быстрой зарядки, способная вызвать возгорание устройства
    Исследователи безопасности из китайской компании Tencent представили (интервью) новый класс атак BadPower, нацеленный на поражение зарядных устройств для смартфонов и ноутбуков, поддерживающих протокол быстрой зарядки. Атака позволяет инициировать передачу зарядным устройством чрезмерной мощности, на которую не рассчитано оборудование, что может привести к выходу из строя, расплавлению частей или даже возгоранию устройства.