OpenNews.opennet.ru: Проблемы безопасности
  • Предупреждение о задействовании UPnP/SSDP в качестве усилителя DDoS-атак
    Компания Cloudflare предупредила об увеличении интенсивности применения протокола SSDP (Simple Service Discovery Protocol), используемого в системах с поддержкой UPnP, в качестве усилителя трафика при проведении DDoS-атак. Cloudflare обращает внимание на практику оставления доступа к 1900 UDP-порту, который позволяет при обработке некоторых запросов, формировать ответы, по размеру многократно превышающие запрос, чем пользуются организаторы DDoS-атак.

  • Уязвимость в Node.js, которая может привести к отказу в обслуживании
    Разработчики серверной JavaScript-платформы Node.js предупредили о намерении выпустить 11-12 июля корректирующие выпуски для веток 4.x, 6.x, 7.x и 8.x, в которых будет устранена уязвимость, позволяющая удалённо вызвать отказ в обслуживании. Уязвимости присвоен высокий уровень опасности. Пользователям рекомендовано заранее запланировать обновление и установить корректирующие выпуски сразу после их появления. Детали об уязвимости не приводятся.

  • Уязвимость в systemd-resolved
    В systemd-resolved, поставляемом в составе systemd кэширующем DNS-резолвере, выявлена уязвимость (CVE-2017-9445), которая потенциально может привести к выполнению кода при обработке специально оформленного ответа от DNS-сервера, подконтрольного злоумышленнику. Проблема вызвана ошибкой в расчёте размера памяти для обработки запроса, которая может привести к тому, что TCP-ответ не уместится в выделенный буфер.

  • Более половины npm-пакетов могли быть скомпрометированы из-за ненадёжных паролей доступа
    Никита Сковорода, входящий в управляющий технический комитет проекта Node.js, опубликовал результаты анализа надёжности паролей для доступа к учётным записям в репозитории NPM. Результат оказался более чем печальным - в ходе проверки удалось получить доступ к 12% аккаунтов (13% пакетов) из-за использования в них предсказуемых и тривиальных паролей, таких как "123456". Среди подобных учётных записей есть и популярные модули, которые находятся в зависимостях у других пакетов. С учётом загрузки других модулей по цепочке зависимостей, компрометация ненадёжных учётных записей может поразить в сумме до 52% от всех модулей в NPM.

  • Уязвимость во Flatpak, позволяющая повысить привилегии в системе
    В системе Flatpak, предоставляющей средства для создания самодостаточных пакетов, которые не привязаны к конкретным дистрибутивам Linux и выполняются в специальном изолированном контейнере, выявлена опасная уязвимость (CVE-2017-9780), позволяющая повысить свои привилегии в системе. Проблема устранена в выпуске Flatpak 0.8.7 и 0.9.6, а также в пакетах для Debian. Уязвимость пока остаётся неисправленной в репозиториях Fedora и Ubuntu.

  • Обновление Drupal 8.3.4 и 7.56 с устранением критической уязвимости
    В корректирующих выпусках системы управления контентом Drupal 8.3.4 и 7.56 устранены три уязвимости. Одной из проблем (CVE-2017-6920) присвоен наивысший уровень опасности - ошибка в обработчике сериализации объектов в парсере PECL YAML может привести к удалённому выполнению кода на стороне сервера.

  • Серия критических уязвимостей в гипервизоре Xen
    В гипервизоре Xen выявлено 10 уязвимостей, из которых пять (XSA-224, XSA-222, XSA-219, XSA-218, XSA-217) потенциально позволяют выйти за пределы текущего гостевого окружения, две (XSA-225, XSA-223) дают возможность инициировать крах гипервизора из гостевой системы, а три уязвимости (XSA-221, XSA-220, XSA-216) могут привести к утечке содержимого памяти из адресного пространства других окружений или хост-системы.

  • Уязвимость в OpenVPN, которая может привести к выполнению кода на сервере
    Гвидо Вренкен (Guido Vranken), известный разработкой нескольких атак против различных реализаций SSL/TLS, опубликовал результаты fuzzing-тестирования кодовой базы пакета для создания виртуальных частных сетей OpenVPN, в результате которого им было выявлено 4 опасные уязвимости и две неопасные. Одна из уязвимостей потенциально может привести к выполнению кода на сервере.

  • Более 150 Linux-cерверов хостинг-оператора Nayana оказались поражены вредоносным шифровальщиком
    Компания Trend Micro.

  • 15% пользователей потребительских интернет-устройств не меняют пароль по умолчанию
    Исследование защищённости доступных в online потребительских интернет-устройств, проведённое компанией Positive Technologies на основе сканирования сети, показало, что 15% пользователей не меняют заданные производителем пароли удалённого доступа к устройствам, таким как беспроводные маршрутизаторы, TV-приставки, устройства IP-телефонии, принтеры и web-камеры. Кроме того, для входа на 10% устройств применялось пять популярных типовых паролей: support/support, admin/admin, admin/0000, user/user и root/12345, что во многом объясняет успешное продвижение сетевых червей, использующих для распространения только подборку самых популярных учётных записей.