Esta semana en Seguridad: Samba, agujero de agujero de agujero de agujero, así como un Samba Bogus CVE
, tiene una vulnerabilidad extremadamente importante, CVE-2021-44142, que se acaba de parchear en nuevas versiones 4.13.17, 4.14.12, así como 4.15.5. encontrado por investigadores en TrendMicro, este error de RCE no autenticado evalúa en un CVSS 9.9. La gracia de ahorro es que necesita habilitar el módulo VFS Fruit VFS, que se utiliza para admitir a MacOS Client, así como el servidor Interop. Si está habilitado, las configuraciones predeterminadas son vulnerables. A los ataques aún no se han visto en la naturaleza, sin embargo, adelante, así como se actualiza, ya que el código POC probablemente disminuirá pronto.
Crypto por el agujero de gusano
Un punto de venta destacable a las criptocurrenciales, así como las web3, son contratos sabios, los programas informáticos de bits que se ejecutan directamente en el bloque de bloques que pueden reubicar los fondos alrededor extremadamente rápidamente, sin intervención. Está terminando rápidamente siendo obvio que el desvío deslumbrante es que estos son programas informáticos que pueden reubicar dinero alrededor extremadamente rápido, sin intervención. Esta semana hubo un ejemplo más de contratos sabios en el trabajo, cuando un atacante robó $ 326 millones en Ethereum a través del puente de Wormhole. Un puente Cryptocurrency es un servicio que existe como contratos inteligentes vinculados en dos bloques de bloques diferentes. Estos contratos le permiten poner una moneda en un lado, así como para sacarlo por el otro, transfiriendo eficientemente la moneda a un bloque de bloques diferente. Ayudarnos a dar sentido a lo que salió mal es [Kelvin Fichter], igualmente entendido adecuadamente como [SmartContracts].
Cuando el puente realiza una transferencia, se deposita los tokens en el contrato sabio en un cuadro de bloque, así como un mensaje de transferencia. Este mensaje es como una verificación de cuenta de inspección digital, que lleva al otro lado del puente en efectivo. El otro extremo del puente verifica la firma en el “cheque”, así como si fuera las coincidencias, se presentan sus fondos. El problema es que una persona a un lado del puente, la rutina de verificación podría ser reemplazada por una rutina ficticia, por el usuario final, así como el código no lo atrapó.
Es una estafa de inspección caliente. El atacante produjo un mensaje de transferencia falsificado, ofreció una rutina de verificación falsificada, así como el puente lo aceptó como genuino. La mayoría del dinero se transfirió de nuevo a través del puente, donde se llevaban a cabo tokens válidos de otros usuarios, así como el atacante se alejó con 90,000 de esos fichas de ETH.
El 9.8 CVE que no fue
Tratar con los informes de seguridad y seguridad puede ser un desafío. Por ejemplo, el inglés no es el primer idioma de todos, por lo que cuando un correo electrónico está disponible con errores de ortografía, así como los errores de la gramática, sería fácil rechazarlo, sin embargo, en algunos casos, los correos electrónicos realmente le informan de un problema grave. Además, en algunos casos, obtiene un informe, ya que alguien ha encontrado a los devteols de Chrome por primera vez, así como no reconoce que las modificaciones regionales no se sirven a todos los demás.
CVE-2022-0329 fue uno de esos. El paquete en preocupación es la biblioteca de Python, Loguru, que cuenta con “el registro de Python hecho (estúpidamente) simple”. ¿Un gran CVE en una biblioteca de registro? La web se apoyó brevemente colectivamente para un problema de estilo LOG4J más. Luego, mucha más personas comenzaron a echar un vistazo al Informe de vulnerabilidad, así como el informe de errores, así como la cuestión de la validez de la cuestión. Tanto es así, que el CVE ha sido revocado. ¿CÓMO INCENDIENTE UN COMO NO HACIENDO UN NO DESPUÉS DE COMUNICACIÓN COMO TIENE UN PROBLEMA DE SEGURIDAD Y SEGURIDAD ALTA, QUE GITHUB INSALÓ A LOS GIITHUJOS AUTOMÁTICOS AUTOMÁTICOS SOBRE ELLO?
La vulnerabilidad teórica fue un problema de deserialización, donde la biblioteca de pepinillos, incluida como una dependencia de Loguru, no desercializa de forma segura los datos no confiables. Ese es un problema válido, sin embargo, el informe no demostró exactamente cómo Loguru habría permitido que los datos no confiables se desercializarán de manera peligrosa.
Hay una idea en juego aquí, la “escotilla hermética”. En cualquier tipo de base de código o sistema, habrá un punto donde manipular los datos del programa puede resultar en la ejecución del código. Esto está detrás de la escotilla hermética al realizar que las necesidades de asalto ya se han administrado sobre el programa. En este caso, si puede desarrollar el artículo que se desercializará, ya tiene la ejecución de código arbitraria. Eso no es para afirmar que nunca es adecuado para reparar tal ejemplo, sin embargo, ese endurecimiento del código, no reparando una vulnerabilidad.
Ahí es donde salió de los rieles. [Delgan], el diseñador detrás de Loguru fue persuadido, esta no era una verdadera vulnerabilidad, sin embargo, deseaba hacer algún caso endurecido por la idea, así que marcó el informe de vulnerabilidad original según lo aceptado. Esto establece la maquinaria automatizada en movimiento, así como un CVE se emitió. Ese CVE se estableció como increíblemente serio, basado en una comprensión ingenua del problema, quizás también una acción automatizada. Este frenesí automatizado continuó todo el método para un asesor de GitHub, antes de que alguien entrara por última vez, así como cortar el poder al autómata fuera de control.norte.
Windows EOP POC
En enero, Microsoft parcheó CVE-2022-21882, una escalada de privilegios en el código WIN32 de Windows. No dejes que ese engaño, también está presente en versiones de ventanas de 64 bits. Si está detrás de sus actualizaciones, es posible que desee ocuparse, ya que una prueba de concepto ahora ha bajado por este error. Esto se ha informado como un parche de parche, lo que hace que esto sea esencialmente el mismo tema subyacente que CVE-2021-1732.
QNAP requerido presionó una actualización
Y los individuos están marcados
QNAP, así como otros productores de NAS, han sido obligados a intensificar su juego de seguridad y seguridad, ya que estos gadgets de estilo han terminado siendo un objetivo más atractivo para los ladrones de Ransomware. Entonces, cuando QNAP encontró un defecto que se estaba explotando en la campaña de malware “Deadbolt”, optaron por hacer una impulsión de la actualización de la actualización a todas las personas que habían habilitado automáticamente. Esto implica que cuando las actualizaciones normalmente se instalan, así como la solicitud de consentimiento para reiniciar, esto se reinició espontáneamente, tal vez desencadeando la pérdida de datos en el peor de los casos.
QNAP ha proporcionado sus pensamientos en un hilo de reddit sobre el tema, así como también hay alguna disputa sobre cuán precisamente funcionó esto. Al menos un individuo es bastante enfático que esta función estuvo deshabilitada, así como la actualización aún instalada automática. ¿Qué está sucediendo?
Hay una respuesta oficial. En una actualización anterior, se agregó una nueva función, la versión sugerida. Esto sirve como una actualización automática, sin embargo solo cuando hay un problema importante. Esta es la configuración que permite los empujes necesarios, así como en el incumplimiento de los incumplimientos. (En caso de imparcialidad, estaba en las notas de parches). La manipulación de actualizaciones sobre los aparatos, como estos, siempre es difícil, así como el riesgo de resumen de ransomware, lo hace aún más pegajoso.
Entonces, ¿qué crees, fue QNAP solo cuidando a los clientes? O fue similar a la notificación de daños de la casa de Arthur Dent, publicada en el sótano en la parte inferior de un armario de presentación bloqueado atascado en un baño en desuso con una indicación de la puerta que indica ‘cuidado del leopardo’. ¡Entendémonos en los comentarios, o si la discordia es lo tuyo, el nuevo canal dedicado a la columna!