Фонд Linux Foundation объявил о привлечении грантов на сумму 12,5 миллионов долларов США от таких компаний, как OpenAI, Anthropic, AWS, GitHub, Google и Microsoft, для инвестиций в укрепление безопасности экосистемы программного обеспечения с открытым исходным кодом.
( читать дальше... )
>>> Пресс-релиз
В применяемом во многих дистрибутивах Linux патче gssapi.patch, добавляющем в OpenSSH поддержку обмена ключей на базе GSSAPI, выявлена уязвимость, приводящая к повреждению памяти и обходу механизма разделения привилегий. Уязвимость может быть эксплуатирована удалённо. В настоящее время наличие уязвимости подтверждено в Debian и Ubuntu. Уязвимость проявляется при включении в настройках опции «GSSAPIKeyExchange yes» (по умолчанию выключена).
( читать дальше... )
Уязвимость в пакете GNU InetUtils затронула все версии с 1.9.3 по 2.7 включительно.
Казалось бы, telnet давно ушел в прошлое вместе с модемами и dial-up, но именно он внезапно стал источником серьезной уязвимости. В GNU InetUtils обнаружен баг, который позволяет удаленно войти в систему под root без пароля, просто отправив специально сформированное значение переменной окружения.
Проблема затрагивает telnetd сервер, входящий в состав GNU InetUtils. Он передает программе login значение переменной USER, полученной от клиента, без какой-либо проверки. Этим можно воспользоваться, если клиент отправит строку «-f root» в качестве USER и подключится с параметром telnet -a или –login. В результате login воспринимает это как служебный флаг, пропускает стандартную процедуру аутентификации и автоматически авторизует пользователя как root.
Уязвимость получила идентификатор CVE-2026-24061 и оценку по CVSS: 9.8. Под угрозой находятся все версии GNU InetUtils, начиная с 1.9.3 и заканчивая 2.7 включительно. Баг присутствует в проекте почти 11 лет, с мая 2015 года, но был выявлен только сейчас. По сути, это классический пример уязвимости старой школы, где опасная строка без фильтрации передается системной утилите с привилегиями root.
( читать дальше... )
>>> GNU InetUtils Security Advisory: remote authentication by-pass in telnetd
Проект Node.js меняет программу вознаграждений за найденные ошибки после того, как разработчики столкнулись с потоком отчетов, созданных с помощью искусственного интеллекта, которые трудно оценить.
Теперь для отправки отчетов об уязвимостях HackerOne в проект Node.js требуется показатель Signal 1.0 или выше.
( читать дальше... )
Signal — это метрика репутации в HackerOne, которая отражает качество прошлых отчетов исследователя. Высокий Signal указывает на историю валидных и значимых находок. Это требование помогает расставлять приоритеты в пользу отчетов от экспертов с доказанным опытом и снижает нагрузку по разбору некорректных заявок.
>>> Источник
Проект curl прекратил программу вознаграждения за найденные ошибки после того, как разработчики столкнулись с потоком отчетов, созданных с помощью искусственного интеллекта, которые трудно оценить.
На прошлой неделе Даниэль Стенберг, руководитель проекта, разместил на GitHub запись, сообщающую о завершении программы к концу января 2026 года. Он ранее выражал недовольство по поводу баг-репортов от ИИ в начале 2024 года и подумал о закрытии программы уже в середине 2025 года. Хотя он признал, что ИИ может помочь в поиске ошибок, основной проблемой стали многочисленные «бесполезные» отчеты.
В своем сообщении Стенберг отметил, что прекращение программы вознаграждения должно уменьшить поток некачественных отчетов и облегчить работу команды безопасности curl.
Стенберг также выразил надежду, что разработчики будут продолжать отправлять настоящие отчеты о безопасности, даже если финансового вознаграждения не будет.
>>> Источник
Алан Поуп (Alan Pope), бывший менеджер по инжинирингу и взаимодействию с сообществом в компании Canonical, обратил внимание на новую волну атак на пользователей каталога приложений Snap Store. Вместо регистрации новых учётных записей, злоумышленники начали выкупать просроченные домены, фигурирующие в email зарегистрированных разработчиков snap-пакетов. После перекупки домена злоумышленники перенаправляют почтовый трафик на свой сервер и получив контроль над email, инициируют процесс восстановления забытого пароля для доступа к учётной записи.
( читать дальше... )
Новый шифровальщик 01flip, написанный на Rust, всё чаще начал появляться в атаках на организации в Азиатско-Тихоокеанском регионе. По данным подразделения Unit 42 компании Palo Alto Networks, активность пока затронула ограниченное число целей, но включает структуры, связанные с критической инфраструктурой в Юго-Восточной Азии.
( читать дальше... )
>>> Подробности
Новый малоизвестный Linux-бекдор GhostPenguin вышел из тени благодаря автоматизированной охоте на угрозы, в которой Trend Research использовала ИИ для анализа тысяч недетектируемых образцов с VirusTotal. Специалисты обнаружили ранее не документированное вредоносное ПО, скрывавшееся более четырёх месяцев без единого срабатывания антивирусов, и детально разобрали его устройство, коммуникации и архитектуру. По сути, GhostPenguin — это многопоточный C++-имплант, который обеспечивает удалённый интерактивный shell, практически полный контроль над файловой системой и надёжный обмен данными через RC5-шифрованный канал по UDP на порту 53.
( читать дальше... )
>>> AI-Automated Threat Hunting Brings GhostPenguin Out of the Shadows
Разработчики языка Rust предупредили о выявлении в репозитории crates.io пакетов finch-rust, sha-rust, evm-units и uniswap-utils, содержащих вредоносный код (про последние два отдельная новость на ЛОРе была опубликована ранее).
( читать дальше... )
>>> Источник
Платформа для совместной разработки GitLab сообщила об устранении критической уязвимости, получившей идентификатор CVE-2025-6454. Проблема затронула серверные инсталляции Community и Enterprise Edition и позволяла выполнять запросы к внутренним ресурсам через специально сформированные заголовки веб-хуков.
( читать дальше... )
>>> Подробности
Ведущий блога Anagogistis, обнаружил серьёзные уязвимости в Linux-клиентах PureVPN, которые подрывают базовые гарантии анонимности и защиты трафика. Проблемы затрагивают как графическую версию (2.10.0), так и консольную (2.0.1). Обе были протестированы на Ubuntu 24.04.3 LTS.
Главная брешь связана с тем, что при переподключении к Wi-Fi или выходе системы из спящего режима реальный IPv6-адрес пользователя становится видимым. В консольном клиенте с активированной функцией Internet Kill Switch сервис автоматически сообщает о восстановлении соединения, но в это время система получает маршруты IPv6 через Router Advertisements, и пакеты начинают уходить в обход VPN-туннеля. Так как политика ip6tables по умолчанию остаётся в состоянии ACCEPT, трафик свободно покидает компьютер напрямую.
GUI-клиент добавляет ещё больше риска. При разрыве соединения он корректно блокирует IPv4 и выводит уведомление о потере сессии, но при этом IPv6-трафик продолжает передаваться без ограничений до тех пор, пока пользователь вручную не нажмёт кнопку Reconnect. Таким образом, остаётся значительный временной промежуток, когда данные уходят в открытый интернет.
Не менее опасен и способ, которым клиент работает с настройками брандмауэра.
( читать дальше... )
>>> Подробности
Спустя семь лет разработки представлена версия LKRG 1.0.0. LKRG (Linux Kernel Runtime Guard) — модуль ядра Linux, предназначенный для проверки целостности ядра во время его работы и для обнаружения попыток использования уязвимостей.
( читать дальше... )
На конференции DEF CON 33 представлен метод атаки на браузерные дополнения, подставляющие свои элементы интерфейса в просматриваемую страницу. Применение атаки к дополнениям с менеджерами паролей может привести к утечке хранимой в менеджерах паролей информации, такой как параметры аутентификации, параметры кредитных карт, персональные данные и одноразовые пароли для двухфакторной аутентификации. Проблема затрагивает все протестированные менеджеры паролей, включая 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass и Keeper.
( читать дальше... )
По информации команды Nextron Systems, в течение года вредоносный модуль под названием Plague оставался незаметным для средств защиты Linux-систем, несмотря на его активное распространение и глубокую интеграцию в критическую часть системы — стек аутентификации. Обнаружить его удалось лишь благодаря анализу артефактов, загруженных на VirusTotal в конце июля 2024 года. Ни один из них до сих пор не распознан антивирусами как угроза, что указывает на крайне высокий уровень маскировки и осторожности разработчиков.
( читать дальше... )
>>> Подробности
| следующие → |