TippingPoint опубликовала список незакрытых zero-day уязвимостей

TippingPoint опубликовала список незакрытых zero-day уязвимостей

Компания HP/TippingPoint выполнила свое обещание, опубликовав список программного обеспечения, в котором до сих пор не исправлены критические уязвимости. В списке из 22 пунктов значатся продукты крупных игроков рынка информационных технологий, таких как Microsoft, CA, EMC, HP и IBM.

Полгода назад HP/TippingPoint предупреждала вендоров о том, что опубликует данные о найденных ошибках, если они не будут закрыты в течение установленного срока.

В «черный список» вошли такие продукты как Lotus Notes, HP Data Protector Client и CA ETrust Secure Content Manager, а так же PowerPoint и Excel от  Microsoft. Большинство из обнаруженных уязвимостей могли позволить злоумышленнику получить доступ к целевой системе.

Как известно, в рамках программы Zero Day Initiative (ZDI), компания HP/TippingPoint тесно сотрудничает с исследователями в области информационной безопасности. Причем за предоставленную информацию о найденных в программных продуктах дефектах специалисты получают вознаграждение. Более того, для подтверждения своего "открытия" специалисты предоставляют код эксплойта для обнаруженной ошибки. Ранее, на их устранение компания отводила ИТ производителям больше времени. Но, поскольку этот процесс порой затягивался на год, в результате чего страдали пользователи, было решено изменить условия, сократив срок до 180 дней.

Однако стоит заметить, что прочие уязвимости, о которых не упомянуто в отчете были исправлены. Так, например компании Adobe и Microsoft  на этой неделе опубликовали обновления.

Вышедший вчера патч от Microsoft включает в себя 12 бюллетеней по безопасности, в которых закрыты три zero-day уязвимости, найденных  в Internet Explorer и IIS. Кроме того, в обновлении предусмотрено отключение  функции автозапуска при подключении USB устройств, о котором мы сообщали ранее.

А что касается Adobe, то они закрыли уязвимости в Flash Player, Shockwave и Adobe Reader. Более подробную информацию можно получить здесь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Срочно обновляем Microsoft Edge — уязвимость в Chromium уже на мушке

Разработчики Microsoft выпустили внеплановое обновление для браузера Edge на основе Chromium. Сборка 138.0.3351.65 содержит патчи для двух опасных уязвимостей; одну из них злоумышленники уже используют в атаках.

Обе проблемы классифицируются как «путаница типов данных» и при эксплуатации позволяют удаленно выполнить любой код в целевой системе.

Уязвимость CVE-2025-6554 обнаружил в JavaScript-движке V8 эксперт Google. Эксплойт осуществляется с помощью специально созданного сайта; в случае успеха автор атаки получает доступ на чтение/запись к произвольным ячейкам памяти.

В связке с другими уязвимостями это может привести к выходу за пределы песочницы, краже данных или выполнению вредоносного кода. Уровень угрозы в Google оценили в 8,1 балла по CVSS (как высокий); патч для Chrome вышел несколько дней назад.

Уязвимость CVE-2025-49713 (8,8 балла CVSS) актуальна лишь для Microsoft Edge. Злоумышленник сможет удаленно выполнить свой код, если ему удастся заставить пользователя открыть вредоносное вложение либо совершить переход по ссылке, присланной по имейл или в мессенджере.

Успешный эксплойт позволяет внедрить в систему зловреда, украсть учетные данные, а также развить атаку в корпоративной сети.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru