Разные новости

18.09.2020 18:11

Реализация контроллера домена в Samba оказалась подвержена уязвимости ZeroLogin

Разработчики проекта Samba предупредили пользователей, что недавно выявленная в Windows уязвимость ZeroLogin (CVE-2020-1472) проявляется и в реализации контроллера домена на базе Samba. Уязвимость вызвана недоработками в протоколе MS-NRPC и криптоалгоритме AES-CFB8, и при успешной эксплуатации позволяет злоумышленнику получить права администратора в контроллере домена.

16.09.2020 20:44

Уязвимость в ftpd из FreeBSD, позволявшая получить root-доступ при использовании ftpchroot

Проблема вызвана сочетанием ошибки в реализации механизма изоляции пользователя при помощи вызова chroot (при сбоях в процессе смены uid или выполнения chroot и chdir выдавалась нефатальная ошибка, не обрывающая сеанс) и предоставлением аутентифицированному пользователю FTP прав, достаточных для обхода ограничения корневого пути в файловой системе. Уязвимость не проявляется при доступе к FTP-серверу в анонимном режиме или при полноценном входе пользователя без ftpchroot. Проблема устранена в обновлениях 12.1-RELEASE-p10, 11.4-RELEASE-p4 и 11.3-RELEASE-p14.

12.09.2020 02:09

Huawei будет использовать собственную ОС Harmony для смартфонов

На конференции HDC 2020 компания объявила о расширении планов, касающихся операционной системы Harmony, анонсированной в прошлом году. Помимо изначально заявленных портативных устройств и продуктов интернета вещей (IoT), таких как дисплеи, носимые устройства, умные колонки и инфо-системы автомобилей, разрабатываемая ОС также будет применяться и на смартфонах.

Тестирование SDK для разработки мобильных приложений для Harmony начнётся в конце 2020 года, а первые смартфоны на базе новой ОС планируется выпустить в октябре 2021 года. Отмечается, что новая ОС уже готова для IoT-устройств с объёмом оперативной памяти от 128KB до 128MB, в апреле 2021 года начнётся продвижение варианта для устройств с объёмом памяти от 128MB до 4GB, а в октябре для устройств, с ОЗУ больше 4GB.

12.09.2020 02:03

Устройства с Bluetooth 4.0 и 5.0 оказались подверженными взлому, и это нельзя исправить

В процессе сопряжения генерируются долгосрочные ключи, которые могут быть перезаписаны в случаях, когда соединение требует более высокий уровень безопасности. Эта особенность и используется для реализации BLUR-атак. Помимо того, что злоумышленник может получить полный доступ к приложениям на атакуемом устройстве, существует также возможность незаметной прослушки смартфона жертвы.

Отмечается, что полностью исключить возможность BLUR-атак не представляется возможным, поскольку проблема существует на уровне протокола, а не в программном обеспечении конкретных устройств. В качестве меры, частично помогающей защитить устройства от взлома, Bluetooth SIG рекомендует OEM-производителям ввести ограничения на получение ключей Cross-Transport, которое по умолчанию прописано в базовых спецификациях Bluetooth 5.1 и более поздних версий.

11.09.2020 08:18

Уязвимость в TLS, допускающая определение ключа для соединений на базе шифров DH

Раскрыты сведения о новой уязвимости (CVE-2020-1968) в протоколе TLS, получившей кодовое имя Raccoon и позволяющей при редком стечении обстоятельств определить предварительный первичный ключ (pre-master), который можно использовать для расшифровки TLS-соединений, в том числе HTTPS, при перехвате транзитного трафика (MITM). Отмечается, что атака очень сложна для практической реализации и больше носит теоретический характер. Для проведения атаки требуется специфичная конфигурация TLS-сервера и возможность очень точного замера времени обработки операций сервером.

10.09.2020 17:51

Huawei готова заменить Android на Harmony OS в своих смартфонах

По словам Юй Чэндонга (Yu Chengdong), генерального директора потребительского бизнеса Huawei, китайский техногигант готов к худшим сценариям развития событий. Он заявил, что Harmony OS уже способна предложить 70-80 процентов функциональности Android. Huawei полностью готова начать разворачивание своей операционной системы на фирменных смартфонах, в случае запрета использовать Android. Сообщается, что работа над Harmony OS практически завершена, а её экосистема готова на равных конкурировать с решением Google.

10.09.2020 17:46

Большая заплатка: Microsoft устранила 129 уязвимостей в 15 продуктах

Корпорация Microsoft начала распространение сентябрьского пакета обновлений безопасности в рамках программы Patch Tuesday. Нынешний патч устраняет 129 уязвимостей в 15 продуктах компании, начиная с операционной системы Windows и заканчивая платформой разработки веб-приложений ASP.NET.

Стоит отметить, что 32 из 129 исправленных уязвимостей связаны с удалённым выполнением кода, т.е. их эксплуатация открывает возможность для проведения дистанционных атак. Из 32 связанных с удалённым выполнением кода уязвимостей 20 был присвоен статус критических, т.е. они наиболее опасны в соответствии с используемой в Microsoft системой классификации.

10.09.2020 17:44

Western Digital считает скорость вращения жёстких дисков по-своему — обороты зависят от маркетинга

Это напоминает ситуацию, когда Western Digital не раскрывала должным образом использование сомнительной технологии Shingled Magnetic Recording (SMR) в своих накопителях для NAS. Новая проблема заключается в том, что Western Digital называет диски с частотой оборотов шпинделя 7200 в минуту (RPM) «классом 5400 RPM», а собственная прошивка дисков сообщает показатель 5400 RPM через интерфейс SMART.

Именно увеличение шума и мощности заставило многих пользователей задуматься о реальной скорости работы шпинделя в дисках Western Digital с заявленными характеристиками 5400 RPM. Они приобрели диски, которые, как они ожидали, будут медленно вращаться, но получили шумные накопители с повышенным тепловыделением.

06.09.2020 01:18

Выпуск VirtualBox 6.1.14

Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 6.1.14, в котором отмечено 10 исправлений.

01.09.2020 18:23

Уязвимость в инфраструктуре Tesla позволяла получить контроль над любым автомобилем

Раскрыты сведения о проблемах в организации защиты в сети компании Tesla, позволивших полностью скомпрометировать инфраструктуру, осуществляющую взаимодействие с автомобилями потребителей. В том числе, выявленные проблемы давали возможность получить доступ к серверу, отвечающему за поддержание канала связи с автомобилями и отправку команд, передаваемых через мобильное приложение.

В итоге, атакующий сумел через инфраструктуру Tesla получить root-доступ к информационной системе любого автомобиля или удалённо передать на автомобиль управляющие команды. В том числе была продемонстрирована возможность отправки на автомобиль таких команд, как запуск двигателя и разблокировка дверей. Для получения доступа требовалось лишь знание VIN-номера автомобиля жертвы.

На странице отображаются 10 самых свежих новостей, предыдущие доступны в формате RSS.