Samba rendkívül súlyos biztonsági rést, CVE-2021-44142, hogy éppen foltozott be az új kibocsátások 4.13.17, 4.14.12, valamint 4.15.5. talált kutatói által TrendMicro, ez nem hitelesített RCE hiba értékeli az egy CVSS 9.9. Az üdvözítő kegyelem, hogy szüksége van a gyümölcs VFS modul be kell kapcsolni, ami azt szolgálja, hogy támogassa MacOS ügyfél, valamint a szerver együttműködéshez. Ha engedélyezve van, az alapértelmezett beállítások vannak kitéve. Támadásra nem volt látható a vad azonban még megy előre, valamint lesznek frissítve, mivel PoC kód valószínűleg csökkenti hamarosan.

Crypto le az Átjáró

Egy említésre méltó értékesítési pont cryptocurrencies valamint Web3 bölcs szerződések bites számítógépen futó programok közvetlenül a blockchain, amelyek áthelyezése alapok körül rendkívül gyorsan, beavatkozás nélkül. Ez gyorsan kiöntött az nyilvánvaló, hogy a kirívó hátránya ezeknek olyan számítógépes programok, amelyek áthelyezése pénz körül rendkívül gyorsan, beavatkozás nélkül. Ezen a héten volt még egy példa a bölcs szerződések a munka, amikor a támadó ellopta $ 326 millió értékű Ethereum keresztül Átjáró hídon. A cryptocurrency híd egy olyan szolgáltatás, ami létezik, amely kapcsolódik a bölcs szerződések két különböző blockchains. Ezek a szerződések segítségével tesz egy valuta az egyik oldalon, valamint vegye ki a másik, hatékonyan át pénznem egy másik blockchain. segít nekünk megérteni, hogy mi volt a baj van [Kelvin Fichter], hasonlóképpen érteni rendesen, mint [smartcontracts].

Amikor a híd teszi a transzfer, zsetonok lerakódnak a bölcs szerződés egyetlen blockchain, valamint egy átviteli üzenet keletkezik. Ez az üzenet, mint egy digitális ellenőrzést végző számla ellenőrzése, amely szedése a másik oldalon a híd készpénzre. A másik végén a híd ellenőrzi az aláírást a „csekk”, valamint ha bármilyen egyezés, a források jelenne meg. A kérdés az, hogy egy személy az egyik oldalon a híd, az ellenőrző rutin lehet helyettesíteni egy bábu rutin, a végfelhasználó által, valamint a kód nem elkapni.

Ez egy forró ellenőrizze átverés. A támadó készített egy hamis transzfer üzenet kínált hamis ellenőrző rutin, valamint a híd elfogadta mint valódi. A pénz nagy részét vittük vissza a hídon, ahol a többi felhasználó érvényes zsetont tartottak, valamint a támadó elment 90.000 e ETH zsetont.

A 9.8 CVE Ez nem volt

Kezelése biztonsági és védelmi jelentéseket is kihívást jelent. Például az angol nem mindenki legelső nyelv, így amikor egy e-mailt áll rendelkezésre a helyesírási, valamint nyelvtani hibákat, nem lenne egyszerű, hogy elutasítja azt, ugyanakkor bizonyos esetekben ezek a levelek valóban értesítjük, egy komoly probléma. valamint akkor bizonyos esetekben kap egy jelentést, mivel valaki megtalálta a Chrome DevTools a legelső alkalommal, valamint nem ismeri, hogy a regionális módosítások nem szolgáltak mindenki mást.

CVE-2022-0329 egyike volt azoknak. A köteg aggodalomra ad okot a Python könyvtár loguru, amely büszkélkedhet „Python fakitermelés készült (hülye) egyszerű”. A fő CVE egy naplózó könyvtárban? A web röviden együttesen felkészült még egy log4j stílus probléma. akkor sokkal több ember kezdte, hogy egy pillantást a biztonsági rés jelentését, valamint a hibajelentést, valamint casting kérdés érvényességének kérdését. Olyannyira, hogy a CVE visszavonásra került. Pontosan hogyan nem bug hogy eddig, mint például a magas biztonsági és védelmi kérdés, hogy a GitHub-ben még kiküldése automatikus értesít róla?

Az elméleti sérülékenység deserialization probléma, ahol a lé könyvtár szerepel, mint egy függőség loguru, nem biztonságosan deserialize megbízható adatok. Ez érvényes a problémát, de a jelentés nem tudta bizonyítani, hogy pontosan hogyan loguru lehetővé tenné a nem megbízható adatok deserialized egy veszélyes utat.

Van egy ötletem játszanak itt, a „légmentes zsilip”. Bármilyen típusú codebase vagy a rendszer, nem lesz egy pont, ahol manipulálni a program adatai eredményezhet futtatását. Ez mögött a légmentes lejárónál végzésekor, hogy támadás igényeinek máris kezelheti át a program. Ebben az esetben, ha tudod fejleszteni a tétel, hogy lé lesz deserialize, akkor már tetszőleges kód futtatására. Ez nem az állami ez soha nem alkalmasak arra, hogy javítani ilyen esetben, azonban, hogy a kód keményedés, nem javítás egy biztonsági rést.

Ez az, ahol ez ment le a síneket. [Delgan], a tervező mögött loguru rábeszélték ez nem volt igaz rés azonban azt kívánta, hogy némi kódot edzés körül az ötlet, így megjelölt eredeti biztonsági rés jelentést elfogadta. Ez meg az automatizált mozgó gépek, valamint a CVE kiadták. Ez CVE lett beállítva hihetetlenül súlyos alapuló naiv megértő a kérdés, talán szintén automatizált műveletet. Ez az automatizált őrület folytatódott a módszer a GitHub tanácsadó, mielőtt valaki végül belépett valamint vágott a hatalom, hogy az out-of-control automaton.

Windows EOP POC

Januárban a Microsoft Patched CVE-2022-21882, a kiváltság fokozódása a Windows Win32 kódjában. Ne hagyd, hogy ez a trükk, ez jelen van a Windows 64 bites verzióiban is. Ha a frissítések mögött maradsz, előfordulhat, hogy elfoglalt, mint a bizonyíték-koncepció most eldobta ezt a hibát. Ezt jelentették patch bypass-ként, így ez lényegében ugyanolyan alapul szolgáló probléma, mint CVE-2021-1732.

A QNAP szükséges frissítést

És az egyéneket jelölik
A Qnapt, valamint más NAS-termelőknek szükségük volt a biztonsági és biztonsági játékuk fokozására, mivel ezek a stílusú modulok véget értek, még egy vonzóbb célpontot jelentenek a ransomware tolvajok számára. Tehát amikor QNAP talált egy hibát, amely kihasználásáról a „deadbolt” malware kampány, akkor úgy döntött, hogy csinál egy erő tolja a frissítés minden egyes, hogy már az automatikus frissítés engedélyezve van. Ez azt jelenti, hogy amennyiben frissítéseket jellemzően telepíteni, valamint kérésére beleegyezését reboot, ez újraindul magától, ami esetleg az adatvesztés a legrosszabb esetben.

A Qnapt a téma reddit szálában gondolta gondolataikat, valamint néhány vita pontosan arról, hogy pontosan milyen pontosan működik. Legalább egy egyén meglehetősen hangsúlyos, hogy ezt a funkciót letiltották, valamint a frissítés még mindig telepítve van. Mi történik?

Van egy hivatalos válasz. Egy korábbi frissítésben új funkciót adtak hozzá, a javasolt verzió. Ez automatikus frissítésként szolgál, de csak akkor, ha van egy nagy probléma. Ez az a beállítás, amely lehetővé teszi a szükséges puskák, valamint az alapértelmezett beállításokat. (A méltányosságban a javítás megjegyzéseiben volt.) A készülékekhez hasonló frissítések kezelése mindig nehéz, valamint a ransomware fenyegető kockázata még a matrica is.

Szóval mit gondolsz, a Qnapp csak az ügyfelek gondoskodott? Vagy ez hasonlít a Kárbejelentés Arthur Dent házát, megjelent a pincében az alján egy zárt irattartó szekrény beragadt egy használaton kívüli WC-egy jelzést az ajtón amely „Óvakodj a Leopard.”? Legyen megértsük a megjegyzésekben, vagy ha a Discord az Ön dolog, az új csatorna az oszlopra fordult!