CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

CISA: Через уязвимость Log4Shell в 2021 году взламывали чаще всего

Уязвимость нулевого дня Log4Shell возглавила список брешей, которые использовали для кибератак в прошлом году. Такие данные опубликовало сегодня Агентство по кибербезопасности и инфраструктуре США (CISA). В Топ-15 опасностей также вошли ProxyShell, ProxyLogon и ZeroLogon.

CVE

Vulnerability Name

Vendor and Product

Type

CVE-2021-44228

Log4Shell

Apache Log4j

Remote code execution (RCE)

CVE-2021-40539

 

Zoho ManageEngine AD SelfService Plus

RCE

CVE-2021-34523

ProxyShell

Microsoft Exchange Server

Elevation of privilege

CVE-2021-34473

ProxyShell

Microsoft Exchange Server

RCE

CVE-2021-31207

ProxyShell

Microsoft Exchange Server

Security feature bypass

CVE-2021-27065

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26858

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26857

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26855

ProxyLogon

Microsoft Exchange Server

RCE

CVE-2021-26084

 

 

Atlassian Confluence Server and Data Center

Arbitrary code execution

CVE-2021-21972

 

VMware vSphere Client

RCE

CVE-2020-1472

ZeroLogon

Microsoft Netlogon Remote Protocol (MS-NRPC)

Elevation of privilege

CVE-2020-0688

 

Microsoft Exchange Server

RCE

CVE-2019-11510

 

Pulse Secure Pulse Connect Secure

Arbitrary file reading

CVE-2018-13379

 

Fortinet FortiOS and FortiProxy

Path traversal

Другие популярные «дыры»: возможность удаленного выполнения кода в Microsoft Exchange Server (CVE-2020-0688), чтение произвольного файла в Pulse Secure Pulse Connect Secure (CVE-2019-11510), обход пути в Fortinet FortiOS и FortiProxy (CVE-2018-13379).

«Хакеры во всем мире всё активнее нападают на системы с выходом в интернет, – говорится в докладе, – Чаще атакам стали подвергаться email- и VPN-сервисы».

В среднем на разработку обновлений безопасности уходит две недели, это время играет на руку взломщикам.

Уязвимость Log4Shell была обнаружена в декабре 2021 в популярной библиотеке Log4j, входящей в состав Apache Logging Project. Впервые её зафиксировали при отлове багов на серверах Minecraft, но проблема глобальнее. Библиотека Log4j присутствует практически в любых корпоративных приложениях и Java-серверах и грозит атаками на таких гигантов, как Apple, Amazon, Twitter, Cloudflare и тысячам других.

Android предупредит перед отправкой интимных фотографий, пока ты не пожалел

Google готовит для системного фотовыборщика Android проверку изображений и видео на откровенный контент. Функция сможет предупредить пользователя, если он собрался поделиться фотографией с обнажённым телом (случайно или поддавшись внезапному приступу смелости).

Следы нововведения обнаружили специалисты Android Authority в коде Android 17 QPR2 Beta 4.

Для анализа контента Google планирует использовать системный сервис Android System SafetyCore, уже знакомый пользователям Google Messages. Там он выявляет, размывает и сопровождает предупреждениями входящие и исходящие материалы с наготой.

Проверка выполняется непосредственно на устройстве. По утверждению Google, изображения и результаты классификации не отправляются на серверы компании. SafetyCore включается только по запросу приложения и не должен бесконтрольно перебирать всю пользовательскую галерею.


После интеграции с Photo Picker сторонние приложения смогут запрашивать проверку выбранного контента перед отправкой. Это позволит разработчикам добавить предупреждения без создания собственной системы распознавания изображений.

Особенно полезной функция может оказаться для защиты несовершеннолетних: приложения потенциально смогут не только показывать уведомление, но и блокировать отправку откровенных материалов с учётом возраста пользователя.

Впрочем, абсолютным цифровым целомудрием Android не накроет. Проверку, вероятно, можно будет обойти, отправив изображение как обычный файл, минуя Photo Picker. Кроме того, окончательное поведение будет зависеть от конкретного приложения.

Пока Google официально не представила функцию, а исследователям не удалось запустить её полностью. Поэтому сроки релиза неизвестны.

RSS: Новости на портале Anti-Malware.ru