Обновление Java SE, MySQL, продуктов Oracle с устранением уязвимостей

Обновление Java SE, MySQL, продуктов Oracle с устранением уязвимостей

Компания Oracle представила плановый выпуск обновлений своих продуктов с устранением уязвимостей. В выпусках Java SE 8u45 и 7u79/80 (номер версии присвоен в соответствии с новой схемой нумерации выпусков) устранено 14 проблем с безопасностью.

Выпуск Java SE 7u79 вышел одновременно с 7u80 и отличается не только устранением уязвимостей, но и исправлением ошибок, не связанных с безопасностью. Примечательно, что это последние публично доступные обновления для ветки Java SE 7, пользователям рекомендуется перейти на Java 8 или оформить расширенную поддержку.

Все 14 уязвимостей в Java могут быть эксплуатированы удалённо без проведения аутентификации. 3 уязвимостям (CVE-2015-0469, CVE-2015-0459, CVE-2015-0491) присвоен максимальный уровень опасности (CVSS Score 10.0), подразумевающий возможность выхода за пределы изолированного окружения виртуальной машины и инициирования выполнения кода в системе при обработке специально оформленного контента. 2 проблемам присвоен уровень 9.3, который подразумевает возможность успешной атаки на клиентские системы, но сложность эксплуатации оценивается как средняя. 3 проблемы, максимальная степень опасности которых 5.0, затрагивают не только клиентские, но и серверные системы, пишет opennet.ru.

Из не связанных с уязвимостями изменений можно отметить прекращение возможности использования внутри jar-файлов полных путей (путей, начинающихся с "/") и косвенных переходов (".." в пути). При необходимости использования подобных путей следует явно указывать опцию "-P".

Кроме проблем в Java SE, наличие уязвимостей обнародовано и в других продуктах Oracle, в том числе сообщается о 5 уязвимостях в Solaris (для локальных проблем с ZFS и с командами аккунтинга указана степень опасности 7.2, уязвимости в Kernel IDMap присвоен уровень 7.1, но она может быть эксплуатирована по сети), 2 уязвимостях в VirtualBox (максимальная степень опасности 4.3) и 24 уязвимостях в MySQL (максимальная степень опасности 5.7). Уязвимости уже молча исправлены в на днях опубликованных обновлениях MySQL Community Server.

Фейковый маркетплейс Zadrotik обманывает геймеров и подписчиков сервисов

Компания F6 предупредила о мошенническом маркетплейсе Zadrotik, ориентированном на российских пользователей. Площадка специализируется на продаже игрового инвентаря и виртуальных товаров для популярных игр, а также подписок на различные онлайн-сервисы. Ресурс продолжает работать, и, по данным компании, уже есть пострадавшие.

Как сообщили в F6, на сайте пользователям предлагают приобрести якобы лицензионные ключи, внутриигровые предметы и игровую валюту для Genshin Impact, CS2, Standoff 2, Fortnite и PUBG Mobile.

Помимо игрового контента, на маркетплейсе доступны подписки на ChatGPT, Spotify, iTunes и ряд других популярных сервисов. Стоимость товаров варьируется от 1 до 500 тыс. рублей. Сайт размещён в доменной зоне .COM и на момент публикации продолжает открываться.

Ресурс активно рекламируется на различных площадках, включая социальные сети, видеохостинги, тематические форумы и игровые каналы. При этом, как отмечают в F6, мошеннический характер сайта с первого взгляда практически не заметен, несмотря на отсутствие какого-либо сходства с легальными сервисами. «Например, в оформлении магазина почти нет характерных для мошеннических сайтов орфографических ошибок. Структура сайта включает разделы “Условия использования” и “Оферта”, в которых описаны особенности взаимодействия с пользователями», — пояснили в компании.

По словам экспертов, схема работы ресурса строится на предложении промокода на первую покупку с ограниченным сроком действия. Перед оплатой пользователю предлагают указать адрес электронной почты для получения цифрового товара, а также выбрать способ оплаты — банковской картой, через QR-код или криптовалютой.

Однако, как подчёркивают в F6, вне зависимости от выбранного способа оплаты данные платёжных средств оказываются скомпрометированы, а покупатель теряет деньги, не получив обещанный товар. При обращении в техническую поддержку «сотрудники» сервиса ссылаются на техническую ошибку и предлагают повторить платёж. По оценкам компании, средний чек пострадавших пользователей составил 2 397 рублей.

RSS: Новости на портале Anti-Malware.ru