Уязвимости

Microsoft обвиняет израильскую компанию в продаже инструментов для взлома Windows

Следы проникновений с использованием ранее неизвестных уязвимостей обнаружены на компьютерах пользователей в Палестине, Израиле, Иране, Ливане и других странах.

Microsoft приобретает RiskIQ

По слухам, за разработчика облачных средств выявления угроз безопасности в сложных корпоративных сетях в рамках сделки будет заплачено более полумиллиарда долларов.

Уязвимости FragAttacks найдены почти во всех устройствах Wi-Fi

Многие устройства не проверяют, действительно ли все полученные фрагменты принадлежат одному кадру, а потому злоумышленник может вставить в поток свои данные

Уязвимости стека TCP/IP угрожают устройствам Интернета вещей

Уязвимости создают условия как для DDoS-атак, так и для удаленного исполнения программного кода.

Eset: уязвимостью в Microsoft Exchange воспользовались по крайней мере десять хакерских групп

Преступники используют уязвимость не только для кражи данных, но и для установки на взломанные серверы программы для майнинга криптовалют.

Check Point: китайские хакеры украли свои программы у американских кибершпионов

Ряд функций, которые сравнивали исследователи, настолько похожи, что объяснить это можно только прямым заимствованием.

Число разработчиков в GitHub приближается к 100 миллионам

Отчет '2020 State of the Octoverse' констатирует рост активности разработчиков и увеличение вклада в создание ПО с открытым кодом со стороны тех из них, кто находится за пределами США.

АНБ: Российские хакеры атакуют уязвимости в продуктах VMware

В компании выпустили обновление и рекомендуют установить его в срочном порядке.

Конгресс США принял закон о безопасности Интернета вещей

Наряду с другими активностями планируется разработать процедуры получения и публикации информации об уязвимостях в подключаемых устройствах.

Trend Micro: шлюзы протоколов — слабое место в системе безопасности

Уязвимости в устройствах, переводящих данные в промышленных сетях из одного протокола в другой, ставят под угрозу технологические процессы предприятий.

RiskIQ: в условиях удаленки возможности атак расширяются

Половина из списка 10 тыс. наиболее популярных веб-сайтов работает на известных CMS-платформах, поиск уязвимостей в которых — популярное занятие хакеров.

Тестирование безопасности

Любое дополнительное подключение к Интернету вещей нового устройства, создающего дополнительные возможности для пользователей, увеличивает вероятность кибератак, число которых растет вместе с распространением оборудования, имеющего стандартные элементы, например порты Ethernet и программный стек Linux. Риск-ориентированное тестирование безопасности, выполняемое с помощью сочетания оптимально подобранных методов и инструментов, позволяет укреплять безопасность критически важных систем в рамках четко заданных процессов. Какие технологии тестирования безопасности промышленного класса доступны сегодня?

В iPhone и iPad найдена уязвимость, остававшаяся незамеченной несколько лет

В Apple наличие уязвимости признали, пообещав, что в ближайшем пакете обновлений она будет устранена.

DeepCode научился анализировать код на Си и C++

Облачный сервис на основе глубинного обучения также поддерживает поиск уязвимостей и потенциальных ошибок Java, JavaScript, TypeScript и Python.

CSO: премии за поиск уявимостей — взятка исследователю за его молчание

Такая практика может вступить в противоречие с трудовым законодательством и нормативными актами, регламентирующими защиту личных данных пользователей.

Против новой атаки на анклавы Intel SGX бессильны средства защиты от Spectre и Meltdown

Суть LVI состоит в «отравлении» буферов процессора специально подготовленными данными, влияющими на спекулятивное выполнение кода, вызывая исключения определенного типа.

Microsoft: найдена серьезная ошибка в работе с криптографическими сертификатами в Windows

Уязвимость в Windows 10, Windows Server 2016 и Windows Server 2019 нашли в Агентстве национальной безопасности США, сообщает Washington Post.

Из защищенных областей памяти процессоров Intel удалось дистанционно извлечь данные

Манипуляции с напряжением питания чипов позволили исследователям реализовать успешную атаку на анклавы SGX, призванные гарантировать защищенность данных.

Брешь в команде Linux sudo позволяет несанкционированно выполнять операции с привилегиями root

Команда, призванной ограничивать права пользователей, из-за серьезной уязвимости дает возможность добиваться обратного.

Исследователи преднамеренно создали уязвимый блокчейн

Проект под названием FumbleChain реализован на Python 3.0. Желающие могут вносить изменения в код и организовывать на его основе конкурсы по поиску брешей.