sårbarhed

Apache Foundation har adresseret en kritisk sårbarhed ved offentliggørelse af kildekode i HTTP-serveren.

Det skriver Security Affairs.

Rettelsen indgår i en håndtering af sårbarheder i Apache HTTP-serveren. Sårbarhederne omfatter denial-of-service (DoS), fjernafvikling af kode og uautoriseret adgang.

En af disse sårbarheder er en kritisk kildekodesårbarhed med id’et CVE-2024-39884.

Qualys Threat Research Unit har opdaget en remote code execution-sårbarhed ((RCE) i OpenSSHs server (sshd) i glibc-baserede Linux-systemer.

Dette fremgår af en blogpost fra Qualys.

Sårbarheden betegnes som kritisk og har fået id’et CVE-2024-6387.

Sårbarheden er en ”signal race condition” i OpenSSHs server (sshd), der gør det muligt for en uautoriseret angriber at fjernafvikle kode som ”root” på glibc-baserede Linux-systemer. Denne race-tilstand påvirker sshd i dens standardkonfiguration.

Fortra FileCatalyst Workflow er konstateret sårbart over for en SQL injection-sårbarhed, der kan gøre det muligt for eksterne, uautoriserede angribere at oprette administratorbrugere og manipulere data på applikationsdatabasen.

Det skriver Bleeping Computer.

Sårbarheden blev opdaget midt i maj af reserachere hos Tenable, men er først blevet offentliggjort i denne uge ifm. udgivelse af en rettelse. I denne omgang er udnyttelsen også blevet offentliggjort, hvorfor man må forvente angrebsforsøg i den kommende tid.

Apple har udgivet en firmwareopdatering, der adresserer en AirPods Bluetooth-sårbarhed.

Det skriver The Hacker News.

Sårbarheden har id’et CVE-2024-27867, og den gør det muligt for en angriber at få uautoriseret adgang til høretelefonerne. Den påvirker godkendelsesproblemet AirPods (2. generation og nyere), AirPods Pro (alle modeller), AirPods Max, Powerbeats Pro og Beats Fit Pro.

Sikkerhedsresearchere har frigivet en proof-of-concept (PoC) til en remote code execution- sårbarhed, der eksisterer i Fortinets løsning til sikkerhedsinformation og event management (SIEM). PoC-udnyttelsen gør det muligt at udføre kommandoer som root på Internet-vendte FortiSIEM-apparater.

Det skriver Security Affairs og Bleeping Computer.

Det Nationale Forskningscenter for Anvendt Cybersikkerhed (ATHENE) har opdaget en kritisk fejl i designet af DNSSEC, der som bekendt er sikkerhedsudvidelserne til DNS (Domain Name System).

Mere end 5000 GitLab-servere er sårbare over for nul-klik-kontoovertagelsesangreb, der udnytter en kritisk fejl. Det skriver Security Affairs.

Den kritiske sårbarhed har id’et CVE-2023-7028 og en CVSS-score på 10. Det er en kontoovertagelse via gendannelse af kodeord, som kan udnyttes til at kapre en konto uden interaktion. Konkret kan e-mails til nulstilling af adgangskode til brugerkonto leveres til en ubekræftet e-mail. Fejlen påvirker både Community og Enterprise Edition, men GitLab har for nylig udgivet sikkerhedsopdateringer.

Apple har håndteret årets første 0-dagssårbarhed, der påvirker iPhones, Macs og Apple TV'er.

Det skriver Security Affairs og en række andre medier.

Sårbarheden har id’et CVE-2024-23222 og et et type confusion-problem, der findes i WebKit. Udnyttelse kan ske, hvis en angriber narrer et offer til at besøge ondsindet udformet webindhold. Med dette kan trusselaktøren opnå mulighed for afvikling af vilkårlig kode.

Apple har rettet problemet i iOS 16.7.5 og nyere, iPadOS 16.7.5 og nyere og macOS Monterey 12.7.3 og nyere, Endvidere er det rettet i tvOS 17.3 og nyere.

VMware advarer nu sine kunder om, at en kritisk vCenter Server-sårbarhed, der blev rettet i oktober 2023, bliver udnyttet i naturen.

Der er tale om en sårbarhed – en såkaldt out of bounds write relateret til implementeringen af DCERPC-protokollen  – med id’et CVE-2023-34048 og en CVSS-score på 9,8. Den gør det muligt for en angriber, der har netværksadgang til vCenter Server, at eksternt udføre vilkårlig kode.

Der er fundet og rettet en 0-dagssårbarhed i Chrome-browseren, som pt. er under udnyttelse. Det skriver Security Week og Bleeping Computer.

Sårbarheden har id’et CVE-2024-0519 og beskrives som et ’out-of-bounds memory access’-problem i V8 JavaScript-motoren. Angribere kan udnytte sårbarheden til at få adgang til data ud over hukommelsesbufferen eller forårsage et nedbrud.

Det er den første 0-dagssårbarhed i år fra Chrome, hvor der sidste år blev fundet syv.