После обнаружения первой уязвимости в библиотеке Apache Log4j (CVE-2021-44228, более известна как Log4Shell) команда Google Open Source Insights провела обследование всех пакетов Java в центральном репозитории Maven с целью «определения масштаба проблемы в экосистеме JVM с открытым исходным кодом». По оценкам исследователей, могут пройти годы, прежде чем уязвимость будет полностью устранена в экосистеме Java.

Специализирующаяся на вопросах кибербезопасности компания Elastic Security обнаружила массовую атаку вредоносного ПО, в которой используется сертификат подписи и другие методы, позволяющие ему оставаться незамеченным для антивирусов.

В этом месяце исследователи в сфере информационной безопасности обнаружили опасную уязвимость Java (Log4Shell), эксплуатация которой позволяет злоумышленникам получить контроль над устройством жертвы. Проблемная библиотека Log4j используется для ведения логов и распространяется вместе с Apache Logging Project, а значит, потенциально уязвимыми являются миллионы устройств по всему миру. Теперь же стало известно, какие программные продукты Intel, NVIDIA и Microsoft затрагивает проблема.

Участники проекта Google Project Zero, работающие в сфере информационной безопасности, совместно с коллегами из Apple Security Engineering and Architecture подробно изучили сложный эксплойт FORCEDENTRY, который разработан израильской компанией NSO Group и предназначен для взлома устройств на базе iOS. Результаты проделанной работы были недавно опубликованы в официальном блоге проекта.

Ранее в этом месяце стало известно о наличии опасной уязвимости Log4Shell в библиотеке Log4j, распространяемой вместе с Apache Logging Project. Эксплуатация уязвимости позволяет злоумышленникам получить доступ практически к любому сервису. Серьёзность проблемы вынудила компании по всему миру, в том числе в России, провести внеплановые работы по её устранению, но, даже это вряд ли помогло полностью защититься от хакеров.

Компании AMD и Intel опубликовали информацию по выявленным в своих продуктах уязвимостям. AMD добавила в базу 50 CVE-записей (Common Vulnerabilities and Exposures), 23 из которых помечены как имеющие «высокий» рейтинг — от 7,0 до 8,9. В случае с Intel их оказалось 25, однако ситуация несколько осложняется тем, что компания использует собственную номенклатуру уязвимостей.

AMD обнародовала подробности об уязвимости чипсета, которая позволяла считывать и сохранять некоторые типы страниц памяти в Windows. В результате злоумышленник получал возможность красть пароли или осуществлять атаки других типов, в том числе в обход стандартных средств защиты.

Эксперты по безопасности обнаружили вредоносное ПО, работающее в среде Windows Subsystem for Linux (WSL). Бинарный файл под Linux пытается атаковать Windows и загрузить дополнительные программные модули.

В операционной системе BlackBerry QNX обнаружилась уязвимость, позволяющая злоумышленникам получать контроль над различным оборудованием, включая бортовые системы автомобилей и медицинские приборы.

На проходившей на этой неделе в США конференции по информационной безопасности Black Hat исследователи Войцех Рагула (Wojciech Ragula) из SecureRing и Чаба Фитцл (Csaba Fitzl) из Offensive Security показали, что приложения для macOS могут переопределять разрешения, выданные ОС или пользователем. Эксплуатация нескольких уязвимостей и использование ошибок конфигурации позволили им обойти систему защиты конфиденциальности Apple Transparency Consent and Control (TCC).