TippingPoint опубликовала список незакрытых zero-day уязвимостей

Компания HP/TippingPoint выполнила свое обещание, опубликовав список программного обеспечения, в котором до сих пор не исправлены критические уязвимости. В списке из 22 пунктов значатся продукты крупных игроков рынка информационных технологий, таких как Microsoft, CA, EMC, HP и IBM.

Полгода назад HP/TippingPoint предупреждала вендоров о том, что опубликует данные о найденных ошибках, если они не будут закрыты в течение установленного срока.

В «черный список» вошли такие продукты как Lotus Notes, HP Data Protector Client и CA ETrust Secure Content Manager, а так же PowerPoint и Excel от  Microsoft. Большинство из обнаруженных уязвимостей могли позволить злоумышленнику получить доступ к целевой системе.

Как известно, в рамках программы Zero Day Initiative (ZDI), компания HP/TippingPoint тесно сотрудничает с исследователями в области информационной безопасности. Причем за предоставленную информацию о найденных в программных продуктах дефектах специалисты получают вознаграждение. Более того, для подтверждения своего "открытия" специалисты предоставляют код эксплойта для обнаруженной ошибки. Ранее, на их устранение компания отводила ИТ производителям больше времени. Но, поскольку этот процесс порой затягивался на год, в результате чего страдали пользователи, было решено изменить условия, сократив срок до 180 дней.

Однако стоит заметить, что прочие уязвимости, о которых не упомянуто в отчете были исправлены. Так, например компании Adobe и Microsoft  на этой неделе опубликовали обновления.

Вышедший вчера патч от Microsoft включает в себя 12 бюллетеней по безопасности, в которых закрыты три zero-day уязвимости, найденных  в Internet Explorer и IIS. Кроме того, в обновлении предусмотрено отключение  функции автозапуска при подключении USB устройств, о котором мы сообщали ранее.

А что касается Adobe, то они закрыли уязвимости в Flash Player, Shockwave и Adobe Reader. Более подробную информацию можно получить здесь.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google Chrome опять под атакой: обнаружена новая уязвимость 0-day

После выхода Chrome 90 не прошло и недели, а в нем уже объявились уязвимости. Более того, одну из них злоумышленники нашли и пытаются использовать в атаках. Пользователям рекомендуется как можно скорее обновить десктопный браузер до сборки 90.0.4430.85.

Из семи выявленных уязвимостей в анонсе Google обозначены только пять — те, которые нашли сторонние исследователи. Обновление уже начало раздаваться на Windows, macOS и Linux в автоматическом режиме.

Проблема, уже обнаруженная хакерами, связана с работой JavaScript-движка V8 и классифицируется как путаница типов данных. Новую брешь в системе безопасности Chrome выявил исследователь из VerSprite Хосе Мартинес (tr0y4); ей присвоен идентификатор CVE-2021-21224.

Отметим, это уже четвертая уязвимость нулевого дня за последние десять дней, которую Google приходится в срочном порядке закрывать в своем браузере. Об устранении двух из них компания сообщила 13 апреля. На следующий день вышла версия 90, запоздавшая из-за необходимости внесения исправлений после публикации новой 0-day. Прошло еще шесть дней, и оказалось, что сюрпризы для пользователей Chrome не кончились.

Помимо CVE-2021-21224 в движке V8 устранили опасную ошибку переполнения буфера и возможность выхода за границы выделенного в памяти буфера. Также решены проблемы целочисленного переполнения в Mojo (системе, обеспечивающей межпроцессное взаимодействие в Chrome) и использования освобожденной памяти в механизме навигации браузера.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru