На этой неделе Microsoft выпустила первый в 2022 году пакет исправлений в рамках программы Patch Tuesday. Он устраняет 96 уязвимостей в разных продуктах софтверного гиганта, включая 9 критических и 6 уязвимостей нулевого дня. Патч содержит исправления для Windows, Edge, Exchange Server, Office и других программных решений.

Компания Netskope оценила сетевые угрозы для корпоративных клиентов, зарегистрированные с 1 января 2020 по 30 ноября 2021 года. Новое исследование показало, что ⅔ вредоносного программного обеспечения, распространяемого в корпоративных сетях, попало в них в результате использования облачных сервисов. Заражения сетей с помощью обычных интернет-источников, включая веб-сайты, стали регистрироваться гораздо реже.

Apache опубликовала версию 2.17.0 библиотеки Log4j, поскольку было обнаружено, что в предыдущей версии данный компонент так и не был полностью избавлен от уязвимости Log4Shell. Это уже третье обновление библиотеки после того, как впервые было заявлено о проблеме.

Компании AMD и Intel опубликовали информацию по выявленным в своих продуктах уязвимостям. AMD добавила в базу 50 CVE-записей (Common Vulnerabilities and Exposures), 23 из которых помечены как имеющие «высокий» рейтинг — от 7,0 до 8,9. В случае с Intel их оказалось 25, однако ситуация несколько осложняется тем, что компания использует собственную номенклатуру уязвимостей.

Около полугода назад российский разработчик Денис Токарев обнаружил в платформе Apple iOS четыре уязвимости, которые позволяют приложениям получать доступ к конфиденциальной информации без ведома пользователя. Он сообщил о своих находках Apple, однако до настоящего момента компания закрыла только одну из них.

На проходившей на этой неделе в США конференции по информационной безопасности Black Hat исследователи Войцех Рагула (Wojciech Ragula) из SecureRing и Чаба Фитцл (Csaba Fitzl) из Offensive Security показали, что приложения для macOS могут переопределять разрешения, выданные ОС или пользователем. Эксплуатация нескольких уязвимостей и использование ошибок конфигурации позволили им обойти систему защиты конфиденциальности Apple Transparency Consent and Control (TCC).

Исследователь проблем кибербезопасности из компании IOActive Жозеп Родригес (Josep Rodriquez) предупредил, что устройства для считывания NFC-чипов во многих современных банкоматах и платёжных терминалах уязвимы к атакам, часто — с помощью обычного смартфона.

Разработчик Asahi Linux Гектор Мартин (Hector Martin) обнаружил критическую уязвимость в аппаратной составляющей чипсета Apple M1, которую назвал M1RACLES (англ. — чудеса). Он отметил, что уязвимость стала результатом решения, осознанно принятого Apple. По его словам, компания решила нарушить спецификации ARM, удалив одну из обязательных функций. Apple, очевидно, полагала, что этот компонент никогда не понадобится macOS.

Данные более 100 млн пользователей устройств на базе Android могут быть раскрыты из-за разных ошибок в настройках сторонних облачных сервисов, используемых мобильными приложениями. К такому выводу пришли специалисты из компании Check Point Research, работающей в сфере информационной безопасности, после проведения соответствующего исследования.

Обнаруженная в 2018 году уязвимость Spectre заставила по-новому взглянуть на безопасность спекулятивных механизмов в архитектуре процессоров. Новый вид атак позволял извлекать из кеш-памяти пароли и другие конфиденциальные данные, которые без особой защиты хранились там как промежуточная информация. Сегодня процессоры в основном защищены от атак типа Spectre, но новая уязвимость вскрывает и эти защиты.

Популярная служба для хранения исходного кода GitHub расследует серию атак на свою облачную инфраструктуру. Киберпреступники смогли внедриться на серверы компании и использовать их для криптомайнинга. Об этом сообщил ресурсу The Record пресс-секретарь сервиса.

Компания Microsoft приступила к распространению первого в этом году пакета обновлений безопасности в рамках программы Patch Tuesday. Разработчики выпустили исправления 83 уязвимостей в разных продуктах, в том числе Windows 10, облачных продуктах, инструментах для разработчиков и др. Январский патч безопасности доступен для устройств с Windows 10 October 2020 Update (20H2), Windows 10 May 2020 Update (2004) и Windows 10 November 2019 Update (1909).