Компания Virtuozzo, поставщик программного обеспечения для создания виртуальных инфраструктур, сообщила об обнаружении уязвимости системы безопасности ядра Linux и предлагает обновления ReadyKernel для их исправления. Инженеры компании нашли уязвимость, которая потенциально позволяет полностью вывести из строя сервер, как из приложения на хосте, так и прямо из контейнера. Проблема кроется в системе управления ключами Linux, которая может дать атакующему дополнительные привилегии или даже позволить вывезти из строя всю машину.

Следуя правилам «ответственного раскрытия», компания сообщила о проблеме другим производителям дистрибутивов Linux прежде чем сделать эту информацию публичной. А вместе с возможностью обновления без перезагрузки ReadyKernel, применение заплат безопасности не приводит к простоям систем и обеспечивает вашим клиентам закрытие обнаруженных уязвимостей без прерывания в предоставлении сервисов.

Новая уязвимость обнаружена в ядрах RHEL 6 и RHEL 7 ядрах. В Virtuozzo выпустили исправления для обеих версий ОС, а также обновление ReadyKernel для Virtuozzo 7 и CentOS 7. Некоторые из данных обновлений содержат публично известные уязвимости ядра, а потому должны быть установлены в срочном порядке.

Пользователи Virtuozzo 7 могут получить обновление через сервис ReadyKernel, который позволяет пользователям сразу же применять обновления безопасности без перезапуска систем.

Adobe Systems выпустила обновления безопасности для Flash Player, Adober Reader и Acrobat, устранив большое число критических уязвимостей. В частности, в Flash Player исправлено 13 ошибок, в том числе 12 позволяющих злоумышленникам удаленно выполнять код на компьютере жертвы. В Adobe отмечают, что не имеют информации о распространении эксплойтов для этих уязвимостей.

В приложениях Adobe для работы с PDF-файлами, в свою очередь, устранено 29 брешей, 28 из которых дают возможность атакующим запускать произвольный код. Сведений о существовании эксплойтов у компании тоже нет.

В Adobe рекомендуют обновить все уязвимые продукты до последних версий. По словам специалистов компании, «песочница» в Reader и Acrobat значительно затрудняет создание эксплойтов, поэтому данные продукты сегодня реже становятся объектами взлома, чем несколько лет назад. Но Flash Player остается «фаворитом» хакеров: атаки нулевого дня, совершаемые через него, — относительно часты, эксплойты активно встраиваются в широко используемые пакеты для взлома браузеров. Сам контент в формате Flash, между тем, становится редкостью, в частности, на современных сайтах все чаще используются видеоплееры в формате HTML5, благодаря чему полностью отказаться от применения Flash Player сегодня вполне реально.

Федеральная комиссия по торговле США объявила о проведении конкурса на создание методов устранения уязвимостей в системах Интернета вещей. Призовой фонд составляет 25 тыс. долл., а победители будут объявлены в июле.

Комиссия предлагает участникам конкурса разработать средство для автоматического обновления программного обеспечения устройств Интернета вещей потребительского класса. Некоторые из них способны делать это сами, но во многих для обновления необходимо вручную сделать необходимые настройки. Средство может быть как физическим устройством, которое подключается к домашней сети, а затем самостоятельно ищет и устанавливает обновления программ на других устройствах в сети, так и приложением или облачным сервисом — например, выдающим по номеру устройства сведения об уязвимостях в его программном обеспечении.

В 2015 году Комиссия провела аналогичный конкурс на разработку программ для выявления и блокировки рекламных звонков на стационарные или мобильные телефоны. В нем победили авторы приложения под названием RoboKiller. Оно отправляло запись звонка на сервер, где с помощью специального алгоритма анализа звука голоса звонящего устанавливалось, не является ли он просто автоматом.

Не меньше 15% домашних Wi-Fi роутеров подвергают риску данные своих владельцев. Это выяснила компания Eset в ходе теста 12 тыс. домашних маршрутизаторов пользователей, подключившихся к бета-тестированию нового поколения Eset NOD32.

В ходе исследования выяснилось, что на 15% маршрутизаторов установлены слабые пароли («12345», «password» и пр.), а в качестве логина чаще всего используется классическое «admin». Исследователи попытались подобрать логины и пароли к маошрутизаторам, вводя самые распространенные комбинации. Успехом завершилась каждая седьмая атака.

Кроме того, тест показал, что почти 7% роутеров имеют уязвимости программного обеспечения высокой или средней степени риска. Большинство уязвимостей (53%) связаны с неправильной настройкой прав доступа.

Распространена уязвимость к внедрению команд – она обнаружена в 39% протестированных маршрутизаторов. С ее помощью злоумышленник может получить доступ к управлению командной оболочкой операционной системы.

Еще 8% – XSS-уязвимости. Они позволяют атакующим внедрять вредоносный код в HTML-страницы сайтов, которые открывают пользователи.

Некий Роберт Невский, называющий себя торговым представителем ShenZhen Computer Users Association в России, обратился к специалистам нескольких российских компаний с предложением купить у них эксплойты, использующие уязвимости нулевого дня, под различное программное обеспечение. Об этом сообщила газета «КоммерсантЪ» со ссылкой на собеседников в пяти российских компаниях, специализирующихся на информационной безопасности.

«Мы заинтересованы в покупке уязвимостей нулевого дня. Нам интересны os/cms/app/software/modems/office/browsers. На данный момент особенно интересны IE/modem/Android/iOS. Цена зависит от продукта. При первой сделке ценовой порог не превышает 100 тыс. долл. (цена обсуждается). Выплаты в три этапа, первый — до получения продукта, второй — после получения и соответствующей проверки и третий — по истечении двух-трех месяцев, чтобы убедиться, что эксплойт не был обнародован»,— цитирует издание одно из сообщений Роберта Невского.

Это не первый случай подобной активности SZCUA. Так, в середине 2015 года несколько британских специалистов в сфере сообщали на своих страницах в Twitter, что SZCUA обращалась и к ним с подобным предложением, пишет газета.

В самой SZCUA заявили, что «ассоциация не ведет бизнес и никогда не делала таких вещей».