GitHub har gjort funktion til rapportering af sårbarheder i open source-depoter tilgængelig for alle projektejere.
Det skriver Help Net Security på baggrund af en advisory fra GitHub.
Funktionen har hidtil kun været tilgængelig i en betafunktion – men trods det, har ’vedligeholdere’ fra mere end 30.000 organisationer alligevel aktiveret privat sårbarhedsrapportering på mere end 180.000 depoter siden november 2022. Det har affødt mere end 1000 meddelelser fra sikkerhedsresearchere.
Producenten af netværksudstyr Zyxel har udgivet patches til en kritisk sikkerhedsfejl i sine firewall-enheder. Fejlen er kritisk, da den kan udnyttes til at opnå fjernafvikling af kode på berørte systemer. Dvs. en remote code execution-sårbarhed.
VMware har udgivet sikkerhedsopdatering bl.a. til håndtering af to 0-dagssårbarheder. Det skriver Bleeping Computer og Security Affairs på baggrund af en advisory fra VMware. Sårbarhederne har id’erne CVE-2023-20869 og CVE-2023-20870 og en CVSS-score på hhv. 9, 3 og 7,1.
CVE-2023-20869 er en ’stack buffer overflow'-sårbarhed og kan udnyttes af en lokal angriber til at afvikle kode, da den virtuelle maskines VMX-proces kører på hosten.
QNAP har anbefalet sine kunder at opdatere deres Linux-drevne netværkstilsluttede lagringsenheder (NAS) for at adressere en alvorlig Sudo-privilegieeskaleringssårbarhed. Det skriver Security Affairs og Bleeping Computer på baggrund af en advisory fra QNAP.
Der er tale om en sårbarhed med id’et CVE-2023-22809 og en score på 7,8 på CVSS-skalaen.
Der er opdaget flere sårbarheder i Fortinet-produkter, hvoraf den mest alvorlige kan medføre afvikling af tilfældig kode. Det skriver The Hacker News på baggrund af en advisory af Fortnets PSIRT-team.
Sårbarheden har id’et CVE-2023-25610 og en CVSS -score på 9,3.
Sårbarheden påvirker FortiOS og FortiProxy, som gør det muligt for en uautoriseret angriber at afvikle kode under den opsatte 'service-account' eller DoS-angreb (DoS) på GUI'en af sårbare enheder ved hjælp af specialfremstillede anmodninger.
Google har udsendt marts måneds sikkerhedsopdateringer til Android. Opdateringerne retter en række sårbarheder, hvoriblandt der er to kritiske sårbarheder, der påvirker Android Systems version 11, 12 og 13.
Det skriver Bleeping Computer og Security Week.
De to kritiske fejl kan føre fjernafvikling af kode med sig ved udnyttelse. De findes i systemkomponenten og kræver ikke brugerinteraktion for at kunne udnyttes.
Cisco har rettet DoS- og CSRF-sårbarheder i switchene i Application Policy Infrastructure Controller (APIC) og Nexus 9000-serien.
Det fremgår af en artikel i Security Week på baggrund af advisories fra Cisco onsdag i sidste uge, hvor Cisco informerede sine kunder om patches til to alvorlige sårbarheder, der påvirker komponenter i dets Application Centric Infrastructure (ACI).
SolarWinds har publicereret en række advisories om sårbarheder, der forventes rettet inden udgangen af februar. Det skriver Security Week.
Fem af de annoncerede syv sårbarheder kan medføre afvikling af kommandoer. Fire af disse har en CVSS-score på 8,8. Sårbarhederne har id’erne CVE-2023-23836, CVE-2022-47503, CVE-2022-47504 og CVE-2022-47507 og vil ifølge SolarWinds kunne give en remote angriber med Orion admin-niveau kontoadgang til SolarWinds webkonsol mulighed for at afvikle vilkårlige kommandoer.
