Microsoft расширяет программу вознаграждений за уязвимости

Компания Microsoft объявила о расширении программы выплаты вознаграждений за уязвимости в Windows 8.1. Эта программа стартовала в июне 2013 года. Специалисты по безопасности могут претендовать на получение до $100 тыс. за реально инновационные эксплойты против защит, встроенных в последнюю версию операционной системы (Windows 8.1).

С этого момента вознаграждение $100 тыс. могут получить не только авторы эксплойтов, но и жертвы атаки — например, сисадмины взломанных корпоративных систем или эксперты по безопасности, которые обнаружили подобную атаку в процессе своей деятельности. Это на порядок расширяет круг кандидатов на получение награды. Раньше он был ограничен только несколькими наиболее высокопрофессиональными авторами эксплойтов. С момента объявления программы в июне 2013 года только однажды была выплачена награда, пишет xakep.ru.

Теперь же получить 100 тысяч долларов от Microsoft может буквально кто угодно, кому посчастливиться стать жертвой атаки с применением 0day-эксплойта или наблюдать такую атаку со стороны.

Как и раньше, участники программы должны предоставить техническое описание атаки, которая позволяет обойти защитные технологии Windows 8.1, а также свои идеи относительно отражения такой атаки. За подходящие идеи по обороне обещают дополнительный бонус $50 тыс.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

iOS и iPadOS 17.4.1 устранили уязвимость удалённого выполнения кода

Apple раскрыла немного подробностей относительно одного из последних обновлений, вышедших на прошлой неделе, — iOS и iPadOS 17.4.1. Оказалось, апдейты устраняют опасную уязвимость, способную привести к удалённому выполнению кода.

Как пишет корпорация, уязвимость, получившая идентификатор CVE-2024-1580, затрагивает следующие модели «яблочных» устройств:

  • iPhone XS и более поздние;
  • iPad Pro (12,9 дюйма) и более поздние;
  • Первое поколение 11-дюймового iPad Pro и более поздние;
  • Третье поколение iPad Air и более поздние;
  • iPad mini пятого поколения и более поздние.

Корень CVE-2024-1580 кроется в библиотеке с открытым исходным кодом — dav1d AV1 (используется для декодирования AV1-видео на многих платформах и девайсах), допускающей запись за пределами границ.

В iOS и iPadOS от бреши страдают два компонента: фреймворк Core Media, предназначенный для обработки мультимедийных данных, и имплементация WebRTC.

Чтобы полностью избавить пользователей от CVE-2024-1580, Apple выпустила патчи для браузера Safari, а также систем macOS Sonoma и VenturavisionOS. За информацию об уязвимости корпорация поблагодарила исследователи из команды Google Project Zero.

Есть мнение, что Apple не сразу опубликовала разъяснения к апдейтам именно потому, что разработчики считают CVE-2024-1580 опасной проблемой.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru