memiliki kerentanan yang sangat besar, CVE-2021-44142, yang baru ditambal dalam rilis baru 4.13.17, 4.14.12, serta 4.15.5. Ditemukan oleh para peneliti di TrendMicro, bug Rce yang tidak diautentikasi ini mengevaluasi pada CVSS 9.9. Rahmat penghematan adalah bahwa ia membutuhkan modul VFS buah untuk diaktifkan, yang digunakan untuk mendukung klien MacOS serta server interop. Jika diaktifkan, pengaturan default rentan. Serangan belum terlihat di alam liar, namun lanjutkan serta diperbarui, karena kode POC kemungkinan akan segera berkurang.

Crypto menyusuri lubang cacing

Satu titik penjualan yang patut diperhatikan ke cryptocurrency serta Web3 adalah kontrak bijak, program komputer bit yang berjalan langsung pada blockchain yang dapat memindahkan dana dengan sangat cepat, tanpa intervensi. Ini dengan cepat berakhir menjadi jelas bahwa kelemahan yang mencolok adalah ini adalah program komputer yang dapat memindahkan uang dengan sangat cepat, tanpa intervensi. Minggu ini ada satu contoh lagi dari kontrak bijak di tempat kerja, ketika seorang penyerang mencuri senilai $ 326 juta Ethereum melalui jembatan cacing. Jembatan cryptocurrency adalah layanan yang ada sebagai kontrak bijak terkait pada dua blockchain yang berbeda. Kontrak-kontrak ini memungkinkan Anda meletakkan mata uang di satu sisi, serta membawanya keluar di sisi lain, secara efisien mentransfer mata uang ke blockchain yang berbeda. Membantu kita memahami apa yang salah adalah [Kelvin Fichter], juga dipahami dengan benar sebagai [SmartContracts].

Ketika jembatan membuat transfer, token disimpan dalam kontrak bijak di satu blockchain, serta pesan transfer diproduksi. Pesan ini seperti pemeriksaan akun Inspeksi Digital, yang Anda bawa ke sisi lain dari jembatan menjadi uang tunai. Ujung jembatan lain memverifikasi tanda tangan pada “periksa”, serta jika apa pun yang cocok, dana Anda muncul. Masalahnya adalah bahwa seseorang satu sisi jembatan, rutin verifikasi dapat diganti dengan rutin dummy, oleh pengguna akhir, serta kode tidak menangkapnya.

Ini adalah penipuan panas. Penyerang menghasilkan pesan transfer palsu, menawarkan rutin verifikasi palsu, serta jembatan menerimanya sebagai asli. Mayoritas uang ditransfer kembali melintasi jembatan, di mana token yang valid pengguna lain ditahan, serta penyerang berjalan pergi dengan 90.000 token et.

9,8 cve yang tidak

Berurusan dengan laporan keselamatan dan keamanan bisa menjadi tantangan. Misalnya, bahasa Inggris bukan bahasa pertama semua orang, jadi ketika email tersedia dengan ejaan serta kesalahan tata bahasa, akan mudah untuk menolaknya, namun dalam beberapa kasus email itu benar-benar memberi tahu Anda tentang masalah serius. Selain itu dalam beberapa kasus Anda mendapatkan laporan karena seseorang telah menemukan Chrome’s DevTools untuk pertama kalinya, serta tidak menyadari bahwa modifikasi regional tidak disajikan untuk semua orang.

CVE-2022-0329 adalah salah satunya. Bundel yang berkepentingan adalah Perpustakaan Python, Loguru, yang membanggakan “Python Logging Made (bodoh) Sederhana”. CVE besar di perpustakaan logging? Web secara singkat berkeliaran secara kolektif untuk satu masalah gaya log4j lagi. Kemudian jauh lebih banyak orang mulai melihat laporan kerentanan serta laporan bug, serta memberikan pertanyaan tentang validitas masalah. Begitu banyak, sehingga CVE telah dicabut. Tepat bagaimana non-bug dinilai sebagai masalah keamanan dan keamanan yang tinggi, bahwa GitHub bahkan mengirim otomatis memberi tahu tentang itu?

Kerentanan teoritis adalah masalah deserialisasi, di mana pustaka acar, termasuk sebagai ketergantungan loguru, tidak dengan aman deserialisasi data yang tidak dipercaya. Itu masalah yang valid, namun laporan itu gagal menunjukkan dengan tepat bagaimana loguru akan memungkinkan data yang tidak dipercaya diotorisasi dengan cara berbahaya.

Ada ide saat bermain di sini, “Hatchway Airtight”. Dalam semua jenis basis kode atau sistem, akan ada titik di mana data program manipulasi dapat menghasilkan eksekusi kode. Ini berada di belakang The Airtight Hatchway ketika melakukan bahwa penyerangan perlu sudah mengelola melalui program. Dalam hal ini, jika Anda dapat mengembangkan item yang acar akan deserialize, Anda sudah memiliki eksekusi kode arbitrer. Itu tidak menyatakan itu tidak pernah cocok untuk memperbaiki contoh seperti itu, namun itu kode pengerasan, tidak memperbaiki kerentanan.

Di situlah ini keluar dari rel. [Delgan], perancang di balik Loguru dibujuk ini bukan kerentanan sejati, namun ia ingin melakukan beberapa kode pengerasan di sekitar ide, jadi menandai laporan kerentanan asli yang diterima. Ini mengatur mesin otomatis bergerak, serta CVE dikeluarkan. Cve itu ditetapkan sebagai sangat serius, berdasarkan pada pemahaman yang naif dari masalah ini, mungkin juga tindakan otomatis. Frenzy otomatis ini melanjutkan semua metode untuk penasihat github, sebelum seseorang terakhir melangkah serta memotong daya ke Automato yang tidak terkontroln.

Windows EOP POC.

Pada bulan Januari, Microsoft menambal CVE-2022-21882, eskalasi hak istimewa di Win32 kode Windows. Jangan biarkan trik itu Anda, itu ada di versi Windows 64-bit juga. Jika Anda berada di belakang pada pembaruan Anda, Anda mungkin ingin sibuk, karena bukti konsep kini telah jatuh untuk bug ini. Ini telah dilaporkan sebagai bypass tambalan, menjadikan ini pada dasarnya masalah yang mendasari yang sama persis seperti CVE-2021-1732.

Diperlukan QNAP mendorong pembaruan

Dan individu dicentang
QNAP serta produsen NAS lainnya telah diminta untuk meningkatkan permainan keselamatan dan keamanan mereka, karena gadget gaya ini telah berakhir menjadi satu target yang lebih menarik untuk pencuri ransomware. Jadi ketika Qnap menemukan cacat yang dieksploitasi dalam kampanye malware “Deadbolt”, mereka memilih untuk melakukan push paksa pembaruan kepada setiap individu yang diaktifkan secara otomatis. Ini menyiratkan bahwa di mana pembaruan biasanya akan menginstal, serta meminta persetujuan untuk reboot, ini reboot secara spontan, mungkin memicu kehilangan data dalam kasus terburuk.

QNAP telah memberikan pemikiran mereka dalam utas reddit pada subjek, serta ada beberapa perselisihan tentang persis seperti ini berhasil. Setidaknya satu individu agak empatik bahwa fungsi ini dinonaktifkan, serta pembaruan masih dipasang secara otomatis. Apa yang sedang terjadi?

Ada jawaban resmi. Dalam pembaruan sebelumnya, fungsi baru ditambahkan, versi yang disarankan. Ini berfungsi sebagai pembaruan otomatis, namun hanya ketika ada masalah besar. Ini adalah pengaturan yang memungkinkan dorongan yang diperlukan, serta default untuk menyala. (Dalam keadilan, itu dalam catatan patch.) Menangani pembaruan pada peralatan seperti ini selalu sulit, serta risiko ransomware yang menjulang membuatnya lebih lengket.

Jadi apa yang Anda pikirkan, apakah QNAP hanya merawat pelanggan? Atau apakah ini mirip dengan pemberitahuan kerusakan rumah Arthur Dent, yang diterbitkan di ruang bawah tanah di bagian bawah lemari pengarsipan terkunci terjebak dalam toilet yang tidak digunakan dengan indikasi pada pintu yang menyatakan ‘Waspadalah terhadap macan tutul.’ Mari kita pahami dalam komentar, atau jika perselisihan adalah hal Anda, saluran baru yang dikhususkan untuk kolom!