כל הכתבות של CyberNow בנושא עדכוני אבטחה — 99 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 10.
חולשה במפענח Brotli של גוגל, שארוז בתוך כל גרסה נתמכת של Node.js, מאפשרת כתיבה מחוץ לתחום והרצת קוד מרחוק. Imperva הדגימה אותה על build רשמי יום אחרי שהתיקון יצא, וגוגל נתנה לה ציון 9.2 בזמן ש-Node.js מדרג אותה High.
GitLab שחררה ב-21 באוקטובר תיקון לחולשה שמאפשרת לתוקף שאינו מחובר להריץ קוד על שרת שארגון מריץ בעצמו. הציון הוא 10.0, המקסימום, ומי שעדכן תשעה ימים קודם לכן עדיין צריך לעדכן שוב.
PHP הוציאה עדכון חירום לארבעת הענפים הנתמכים בעקבות שתי חולשות הרצת קוד בציון 9.2. התוקף לא צריך להתחבר ולא צריך חולשה באפליקציה, ובמקרה שאומת מול mod_php הוא בכלל לא מגיע לקוד שלה.
ב-17 באוקטובר שלח חוקר לצוותי כרום ופיירפוקס הודעה שחתם שמונה פעמים, בשמונה מפתחות פרטיים של חברה שמנפיקה תעודות אבטחה לאתרים. כרום חסם תוך שעה ו-40 דקות, ולפי צוות השורשים שלו אף תעודה לאתר לא הונפקה בהם לפני החסימה.
ארבע חולשות בתוכנת Plex Media Server מאפשרות להריץ קוד על שרת ביתי בלי סיסמה. התיקון יצא באוגוסט, קוד ההדגמה פורסם ב-16 באוקטובר, ולפי Shadowserver כ-49 אלף שרתים עוד חשופים.
מוצר שתפקידו לחסום תקיפות על אתרים מכיל חולשה שמאפשרת למי שהשיג דריסת רגל קטנה בשרת להריץ פקודות בהרשאות הגבוהות ביותר. ה-CERT היפני פרסם התרעה דחופה, והיצרן מאשר שהחולשה כבר נוצלה.
המונה שסופר כמה תהליכים מחוברים למקטע זיכרון משותף הוגדר ב-BSD המקורי כ-short חתום, ומעולם לא הורחב. חוקר מחברת Calif הראה איך גלישה של המונה הזה, יחד עם כתיבה חורגת אחת, מספיקה להרשאות root על OpenBSD גם כשכל הגנות הקרנל פעילות.
מי שמנסה להדליק בווינדוס 11 את ההגנה שחוסמת תוכנות לא מוכרות מגלה שהאפשרות אפורה וחסומה. מיקרוסופט אישרה שהתקלה הגיעה עם עדכון האבטחה של 13 באוקטובר, ולפי שעה אין לה תיקון.
חולשה בציון 9.2 בתוסף העריכה המשותפת של Nextcloud מאפשרת להריץ פקודות על השרת בלי שום התחברות, והיא מנוצלת מאז 10 בספטמבר. התיקון יצא יום אחר כך, אבל לא הוצג כתיקון אבטחה, והמספר הרשמי של החולשה פורסם רק ב-14 באוקטובר.
מיקרוסופט חצתה לראשונה ארבע ספרות של חולשות בחודש אחד, ואתרי החדשות לא מסכימים על המספר. ספרנו את המסמך המקורי, וגם בדקנו למה חולשה אחת ב-SharePoint סומנה בטעות כיום-אפס.