QNAP исправила критическую уязвимость в сетевых хранилищах

Компания QNAP выпустила обновление прошивок QTS и QuTS для устранения критической уязвимости CVE-2022-27596 (оценка CVSS v3: 9,8), которая позволяет злоумышленникам внедрять вредоносный код в устройства QNAP NAS. Устройства пользователей должны быть обновлены до версий QTS 5.0.1.2234 сборка 20221201 и выше, QuTS hero h5.0.1.2248 сборка 20221215 и выше. Уязвимость не требует взаимодействия с пользователем или высоких привилегий на целевом устройстве. На текущий момент устройства QNAP являются мишенью продолжающихся кампаний программ-вымогателей, известных как DeadBolt и eCh0raix, которые используют уязвимости для шифрования данных на открытых устройствах NAS.

GitHub отзовет украденные сертификаты подписи кода

GitHub сообщает, что 6 декабря 2022 года неизвестные злоумышленники украли из набора репозиториев сертификаты подписи кода для приложений Desktop и Atom. Скомпрометированные сертификаты будут отозваны 2 февраля, что сделает недействительными версии GitHub Desktop для Mac и Atom, подписанные с их использованием. Рекомендовано обновить Desktop и понизить версию Atom, чтобы избежать сбоев в рабочих процессах. Компания добавила, что ни в одном из затронутых репозиториев не было данных клиентов, а также что сервисы GitHub.com не подвергаются риску из-за этого нарушения безопасности, и в затронутые проекты не было внесено несанкционированных изменений.

Разработчики KeePass отказываются признавать уязвимость

За последний год исследователи и пользователи парольного менеджера KeePass неоднократно сообщали об уязвимости CVE-2023-24055, которая позволяет злоумышленникам, имеющим доступ к системе жертвы, в фоновом режиме экспортировать базу данных, включая все имена пользователей и пароли в открытом виде. Команда KeePass утверждает, что это не следует классифицировать как уязвимость, потому что утилита не предназначена для защиты от злоумышленника, получившего доступ к компьютеру. Пока KeePass не планируют выпускать обновление, закрывающее уязвимость, пользователи могут защитить свою базу данных, войдя в систему как системный администратор и создав принудительный файл конфигурации. Данный файл будет иметь приоритет над параметрами, описанными в глобальных и локальных файлах конфигурации, включая новые триггеры, добавленные злоумышленниками, что устраняет проблему CVE-2023-24055.