sårbarhed

Apple har udgivet sikkerhedsopdateringer, der retter to 0-dagssårbarheder, der pt udnyttes i angreb for at kompromittere iPhones, Macs og iPads.

Det rapporterede Bleeping Computer påskelørdag.

Apple skriver i sin advisory, at selskabet er bekendt med en rapport om, at sårbarhederne kan være blevet blevet aktivt udnyttet.

Ukendte trusselsaktører udnytter lige nu en nyligt rettet sårbarhed et særligt plugin til Wordpress, der hedder Elementor Pro. Det skriver The Hacker News m.fl.

Trusselaktører er begyndt at udnytte en kritisk sårbarhed i en IBM file-exchange applikation i angreb, der installerer ransomware på servere.

Det skriver Arstechnica på baggrund af en blogpost fra sikkerhedsfirmaet Rapid7. Heri fremgår det, at detaljer om sårbarheden og en proof-of-concept har været tilgængelig siden februar, og der har været rapporter om 'adskillige' udnyttelser.

Hvis du anvender Netgears Orbi mesh trådløse system til at din wifi-forbindelse i private, er der grund til at læse med her. Det skriver ArsTechnica-mediet i en artikel og tilføjer: Truslen er alvorlig nok til at det berettiger til en manuel kontrol så hurtigt som muligt.

Drupal har udsendt en advisory til håndtering af en access bypass-sårbarhed, som påvirker en række versioner af Drupal. Dette fremgår af Drupals hjemmeside, som også er refereret af CISA.

Den anses for at være ’moderat kritisk’ og handler om at et evt. vellykket cross site scriptingangreb kan skabe indblik i en phpinfo-side. Informationerne her kan i givet fald anvendes til at eskalere angrebet, skriver Drupal i sin advisory.  

Cisco har onsdag udsendt patches til en alvorlig SQL-injektionssårbarhed i Unified Communications Manager (CM) og Unified Communications Manager Session Management Edition (CM SME).

Det skriver Security Week.

Sårbarheden har id’et CVE-2023-20010 og en score på 8.1. Fejlen gør det muligt for en ekstern, godkendt angriber at starte et SQL-injektionsangreb på et sårbart system. Det kan ske, fordi brugerinput er uretmæssigt valideret i platformens webbaserede administrationsgrænseflade.

Der er opdaget en sårbarhed i Spotifys open source-projekt, Backstage. Det skriver Infosecurity Magazine.

Projektet har egentligt benævnelsen Cloud Native Computing Foundation (CNCF) og er Spotifys byggeplatform eller sandkassemiljø, hvor forskellig typer kode kan testes. Det er et researchteam fra Oxeye, som har formået at udnytte en sandkasseudslip fra en virtuel maskine (VM) via et tredjepartsbibliotek ved navn vm2.

VMware har offentliggjort og rettet tre kritiske fejl i Workspace ONE Assist til Windows. Det skriver The Register og Bleeping Computer. Alle tre fejl har fået en høj score på 9,8 på CVSS-skalaen. Årsagen til den høje score er, at en angriber kan udnytte fejlene til at få administrator adgang. Det kan ske gennem angreb med lav kompleksitet, der ikke kræver brugerinteraktion.

Google har udsendt sikkerhedsopdatering til Chrome webbrowseren. Det skriver en række medier. Opdateringen håndterer en 0-dagssårbarhed, der allerede nu er kendt som værende under udnyttelse.

Der er tale om en alvorlig sårbarhed i Type Confusion i V8. Med opdateringen har Chrome nummer 107.0.5304.87 til Mac og Linux og 107.0.5304.87/.88 til Windows.

VMware har udsendt sikkerhedsopdateringer til VMware Cloud Foundation. Det advarer CISA på baggrund af en advisory fra VMware. I forlængelse af sårbarhederne er der ifølge Bleeping Computer blevet offentliggjort en exploit-kode, hvilket øger sandsynligheden for udnyttelse betragteligt.

Der er tale om to sårbarheder med hver deres CVE-nummer, hhv. CVE-2021-39144 og CVE-2022-31678.