Ingen af de 35 sårbarheder, som Google har rettet med version 62 af Chrome, har fået firmaets højeste risikovurdering. Otte har fået den næsthøjeste.
Den alvorligste sårbarhed findes i behandlingen af MHTML, den næstalvorligste i Skia.
Endvidere indfører Google med denne udgave af browseren øgede advarsler, når man besøger websteder uden kryptering. Hvis brugeren indtaster data, vises siden som "Ikke sikker". Bruger man inkognito-funktionen, vises sidens om "Ikke sikker", uanset om man indtaster data.
Lenovo Service Framework er en Android-applikation, der bruges af en række apps på enheder fra Lenovo. Applikationen formidler beskeder fra Lenovo-servere til apps.
Sikkerhedsforsker Imre Rad har fundet fire sikkerhedshuller i Lenovo Service Framework. De giver angribere mulighed for at afvikle skadelige programmer på enheden.
Lenovo har udsendt opdateringer til alle firmaets tablet-computere, samt til VIBE- og ZUK-smartphones og Moto M (XT1663) og Moto E3 (XT1706).
Fejlene er rettet i Lenovo Service Framework v4.8.0.2403.
Årets sidste kvartalsvise sikkerhedsopdatering fra Oracle lukker 252 sikkerhedshuller. 155 af dem findes i Oracle Applications.
De alvorligste findes i Oracle Hospitality Reporting and Analytics, hvor to sårbarheder har fået en CVSS-score (Common Vulnerability Scoring System) på de maksimale 10. Samme score har en sårbarhed i Siebel Apps – Field Service fået.
Opdateringen lukker 22 sikkerhedshuller i Java SE. 20 af dem kan udnyttes over netværk af en angriber uden autentifikation. Den alvorligste har en CVSS-score på 9,6.
Sikkerhedsforskere fra Kaspersky opdagede i sidste uge et angreb, der udnyttede en hidtil ukendt sårbarhed i Adobe Flash Player. De alarmerede Adobe, der nu har udsendt en sikkerhedsopdatering.
Opdateringen lukker kun det ene hul. Det har fået Adobes højeste risikovurdering, idet angribere kan udnytte det til at afvikle skadelig programkode.
Angrebet kom fra en gruppe, som Kaspersky kalder BlackOasis. Den har udnyttet huller i Flash Player siden maj 2016.
Apple-analytiker Rene Ritchie skriver, at Apple har lukket sikkerhedshullet KRACK (Key Reinstallation Attacks) i kommende versioner af iOS, watchOS, tvOS og macOS.
Rettelserne findes i betaversioner, som softwareudviklere har adgang til. De vil senere blive udsendt generelt.
IOS er ikke så sårbar over for KRACK på grund af den måde, WPA2 er implementeret på.
Microsoft udsendte i forbindelse med oktober måneds sikkerhedsopdateringer rettelser, der skulle mindske risikoen for at blive berørt af en sårbarhed i TPM (Trusted Platform Module). Sikkerhedsforskere har nu oplyst, at den pågældende sårbarhed findes i krypteringsfunktioner i TPM-chipsæt fra Infineon.
Sårbarheden lader en angriber beregne den private nøgle, der hører til en offentlig nøgle.
Selvom man anvender nøgler med 1.024 eller 2.048 bitlængde, er de sårbare.
Nærmere detaljer vil blive offentliggjort om et par uger.
KRACK (Key Reinstallation Attacks) er en sårbarhed, der giver angribere mulighed for at aflytte data fra trådløse netværk, selvom de er krypterede.
Sårbarheden findes i WPA2-standarden (Wi-Fi Protected Access), som stort set alle trådløse netværksenheder understøtter. Fejlen ligger i udvekslingen af data, når en trådløs enhed forbinder sig til et adgangspunkt. Det sker i et såkaldt 4-way handshake.
Version 52.4 af mail-programmet Thunderbird lukker ni sikkerhedshuller. Kun et af dem har fået Mozillas højeste risikovurdering. Det består af en samling fejl i håndteringen af arbejdslageret.
Fem af de øvrige sårbarheder har fået den næsthøjeste risikovurdering.
Anbefaling
Genstart Thunderbird for at aktivere opdateringen.
I stedet for makroer kan angribere anvende DDE (Dynamic Data Exchange) til at afvikle programkode i Microsoft Word. Det har sikkerhedsforskere fra Sensepost opdaget.
Metoden går ud på at oprette et Word-dokument med et indlejret felt. I koden til feltet skriver angriberen den kommando, der skal afvikles.
Hvis et potentielt offer forsøger at åbne Word-dokumentet, afføder det to advarsler. Den første siger, at dokumentet har links til data, der kan komme fra andre filer.
Den anden advarsel beder brugeren bekræfte, at vedkommende ønsker at køre kommandoen.
