Исследователи раскрыли секрет бесплатной зарядки электромобилей на Pwn2Own

🔌 На соревновании Pwn2Own Automotive 2024 исследователи обнаружили серьезные уязвимости в зарядных устройствах для электромобилей. Особое внимание привлекла атака на Autel MaxiCharger, позволяющая получить полный контроль над устройством через Bluetooth.

💻 Хакеры выявили несколько критических уязвимостей, включая обход аутентификации и переполнение буфера. Эти баги позволяют злоумышленникам манипулировать работой зарядного устройства, потенциально получая бесплатную зарядку или даже нанося ущерб автомобилю.

🛡 Исследование подчеркнуло важность регулярного обновления прошивки зарядных устройств и усиления их безопасности. Хотя Autel оперативно выпустила патчи, эксперты предупреждают о необходимости постоянной проверки устройств на наличие уязвимостей.

#кибербезопасность #электромобили #взлом #уязвимости

@ZerodayAlert

Критическая шестерка: уязвимости, требующие немедленного внимания

💻 В августе 2024 года выявлены шесть критических уязвимостей, пять из которых затрагивают продукты Microsoft. Наиболее опасная уязвимость (CVE-2024-38077) в службе лицензирования удаленных рабочих столов Windows позволяет злоумышленникам получить полный контроль над системой, угрожая примерно 170 тысячам узлов.

🔓 Уязвимости в ядре Windows и других компонентах системы позволяют атакующим повысить привилегии до уровня SYSTEM. Это открывает возможности для дальнейших атак, включая внедрение вредоносных программ и кражу данных.

🌐 Критическая уязвимость (CVE-2024-28000) в плагине LiteSpeed Cache для WordPress угрожает более чем пяти миллионам сайтов. Она позволяет неаутентифицированным злоумышленникам получить права администратора, что может привести к полной компрометации сайта.

#кибербезопасность #уязвимости #Windows #WordPress

@ZerodayAlert

От чтения файлов до выполнения кода: критические баги в Kakadu

🔍 Команда Google CVR обнаружила серьезные уязвимости в библиотеке Kakadu, широко используемой для обработки файлов JPEG 2000. Эти ошибки позволяют злоумышленникам получить удаленный доступ к системе и выполнить произвольный код на сервере без доступа к исходному коду.

💻 Одна из уязвимостей позволяет читать произвольные файлы на сервере, включая критически важную информацию. Другая уязвимость связана с Heap Overflow, что может привести к записи данных в непредназначенные области памяти.

🛡 Исследователи разработали сложные техники для обхода стандартных методов защиты, таких как ASLR. Пользователям библиотеки Kakadu настоятельно рекомендуется обновиться до последней версии для защиты от возможных атак.

#Kakadu #JPEG2000 #уязвимости #кибербезопасность

@ZerodayAlert

Новая эра киберрисков: рекордные 28 000+ уязвимостей в 2024 году требуют пересмотра стратегий защиты

🚀 В 2024 году количество выявленных уязвимостей уже превысило 28 000, побив рекорд 2023 года. Этот рост связан с широким использованием открытого ПО и повышением осведомленности о киберугрозах.

🕒 Исследователи обнаружили проблему с задержкой публичного раскрытия информации о уязвимостях в open-source проектах. Период между обнаружением бреши и её официальным исправлением может достигать нескольких сотен дней, создавая «окно» для атак.

📊 Grafana стала самой эксплуатируемой платформой в 2023 году, сместив Log4Shell. Уязвимость в Grafana позволяет хакерам читать произвольные файлы из системы, что может привести к утечке конфиденциальных данных.

#кибербезопасность #уязвимости #хакеры #защита

@ZerodayAlert

Patch Tuesday октября: Microsoft блокирует пути для потенциальных кибератак

🛠 Microsoft выпустила октябрьский Patch Tuesday, устраняющий 118 уязвимостей в своих продуктах. Среди них три критические, 113 важных и две умеренных уязвимости, при этом две из них уже активно эксплуатируются злоумышленниками.

🚨 Уязвимости CVE-2024-43572 и CVE-2024-43573, связанные с удаленным выполнением кода и спуфингом, уже включены в каталог известных эксплуатируемых уязвимостей (KEV) CISA. Федеральным агентствам США предписано устранить их до 29 октября 2024 года.

💻 Наиболее опасной признана уязвимость CVE-2024-43468 с оценкой 9.8 по шкале CVSS, позволяющая удаленное выполнение кода в Microsoft Configuration Manager. Она дает атакующим возможность запускать произвольные команды на сервере через специально сформированные запросы.

#PatchTuesday #уязвимости #Microsoft #кибербезопасность

@ZerodayAlert

Пять критических уязвимостей в GitLab ставят под удар CI/CD процессы

🚨 GitLab выпустил обновления безопасности, закрывающие восемь уязвимостей, включая критическую CVE-2024-9164 с рейтингом 9.6 по CVSS. Эта уязвимость позволяет запускать пайплайны на неавторизованных ветках репозиториев, что может привести к компрометации кода.

🛠 Среди других опасных уязвимостей — возможность запуска пайплайнов от имени другого пользователя (CVE-2024-8970) и проведение SSRF-атак через Product Analytics Dashboard (CVE-2024-8977). Эти бреши открывают широкие возможности для злоумышленников по манипуляции CI/CD процессами.

📊 GitLab продолжает бороться с уязвимостями в системе пайплайнов, ранее устранив несколько критических проблем с оценкой 9.9 и 9.6 по CVSS. Пользователям настоятельно рекомендуется обновить свои версии GitLab для защиты от возможных атак.

#GitLab #уязвимости #CICD #кибербезопасность

@ZerodayAlert

Уязвимость в Ivanti CSA позволяет атакующему закрепиться в сети и устранить конкурентов

🕵️‍♂️ Исследователи FortiGuard Labs обнаружили атаку на облачный сервис Ivanti CSA с использованием трех уязвимостей. Одна из них, CVE-2024-8190, была известна ранее, а две другие оставались нераскрытыми до начала расследования.

🔓 Хакер получил доступ к системе 4 сентября 2024 года, используя уязвимости обхода путей и командной инъекции. Это позволило ему извлечь данные пользователей и запустить вредоносные команды для дальнейшего доступа к системам жертвы.

🛡 После получения привилегированного доступа злоумышленник установил веб-шеллы и, что удивительно, сам устранил использованные уязвимости. Это было сделано для предотвращения вмешательства других хакеров в захваченную систему.

#кибербезопасность #Ivanti #уязвимости #хакерскаяатака

@ZerodayAlert

Скорость эксплуатации уязвимостей бьет рекорды

🕐 Среднее время до первой эксплуатации уязвимости (TTE) в 2023 году сократилось до рекордных 5 дней. Этот показатель резко снизился с 63 дней в 2018 году, демонстрируя растущую скорость реакции хакеров на новые уязвимости.

📊 В 2023 году 70% атак использовали уязвимости нулевого дня (zero-day), по сравнению с 62% в 2021-2022 годах. Этот сдвиг указывает на растущую популярность zero-day атак и улучшение средств их обнаружения.

🎯 Список атакуемых компаний расширился на 17% по сравнению с 2021 годом, при этом доля атак на крупнейших вендоров (Microsoft, Apple, Google) снизилась до менее 40%. Это свидетельствует о диверсификации целей хакеров и усложнении ландшафта угроз.

#киберпреступность #кибербезопасность #уязвимости #данныевопасности

@ZerodayAlert

От изображений к взлому: Samsung устраняет критический баг в драйвере Exynos

🐞 Samsung выпустила патч для устранения уязвимости CVE-2024-44068 в драйвере m2m1shot_scaler0 устройств на базе Exynos. Ошибка позволяла злоумышленникам получить доступ к освобожденным участкам памяти и выполнить вредоносный код с системными привилегиями.

🛠 Уязвимость затронула устройства с процессорами Exynos 9820, 9825, 980, 990, 850 и W920, не обновленные до версии SMR-Oct-2024. Атака использует ошибку типа Use-After-Free (UAF), манипулируя драйвером через IOCTL-вызовы для проведения атак Kernel Space Mirroring Attack (KSMA).

🔐 Samsung пересмотрела управление объектными ссылками для страниц PFNMAP, чтобы предотвратить повторное использование освобожденной памяти. Пользователям настоятельно рекомендуется установить обновление безопасности SMR-Oct-2024 для защиты своих устройств.

#Samsung #Exynos #уязвимости #кибербезопасность

@ZerodayAlert

Белые хакеры нашли 114 уязвимостей в умных устройствах за 3 дня

💻 За три дня соревнований Pwn2Own 2024 белые хакеры обнаружили 114 уязвимостей нулевого дня в различных устройствах. Призовой фонд мероприятия уже достиг $874 875, и участники продолжают находить новые бреши в безопасности.

🏆 Команда Viettel Cyber Security лидирует в рейтинге после успешных атак на NAS QNAP и принтер Lexmark. Особенно впечатляющей стала атака команды PHP Hooligans/Midnight Blue, сумевших напечатать произвольные банкноты через уязвимости в маршрутизаторе и принтере.

⏰ На четвертый день соревнований осталось всего 15 попыток взлома и $125 000 призовых. Участники уже продемонстрировали множество техник атак, включая SQL-инъекции, обход аутентификации и эксплуатацию ошибок управления памятью.

#Pwn2Own #уязвимости #хакеры #безопасность

@ZerodayAlert

Найдены критические баги в Lunary, LocalAI и ChuanhuChatGPT

🤖 В ходе исследования Protect AI выявлено более 30 уязвимостей в открытых ИИ-моделях и инструментах машинного обучения. Особую опасность представляют критические баги в Lunary с оценкой CVSS 9.1, позволяющие получать несанкционированный доступ к данным и подменять авторизацию.

⚡️ ChuanhuChatGPT и LocalAI подвержены серьезным уязвимостям с возможностью выполнения произвольного кода. Через CVE-2024-5982 атакующие могут получить доступ к серверу, а CVE-2024-6983 позволяет внедрять вредоносный код через файлы конфигурации.

🛡 Найдены уязвимости и в инфраструктурных компонентах: Deep Java Library страдает от проблем с распаковкой файлов, а платформа NVIDIA NeMo получила патч для устранения бага CVE-2024-0129.

#уязвимости #ИИ #безопасность #исследование

@ZerodayAlert

Positive Technologies: найдены критические уязвимости в Windows и XWiki

👀 Эксперты Positive Technologies выявили четыре трендовые уязвимости, затрагивающие продукты Microsoft и платформу XWiki. Масштаб угрозы охватывает около миллиарда устройств Windows и более 21 000 потенциальных жертв среди пользователей XWiki.

🔓 Две уязвимости в ядре Windows (CVE-2024-35250 и CVE-2024-30090) позволяют получить максимальные привилегии SYSTEM через манипуляции с драйвером. Третья уязвимость в MSHTML (CVE-2024-43573) создает риск утечки конфиденциальной информации через фишинговые атаки.

🌐 Особую опасность представляет уязвимость в XWiki (CVE-2024-31982) с критическим уровнем CVSS 10.0. Эксплуатация этой уязвимости позволяет злоумышленникам выполнить произвольный код на сервере и получить полный контроль над системой.

#Windows #уязвимости #безопасность #злоумышленники

@ZerodayAlert