0day

Aktualizovali jste WinRAR? Jestli ne, měli byste to rychle udělat

Aktualizovali jste WinRAR? Jestli ne, měli byste to rychle udělat. Chyba stará 19 let objevená v únoru je aktivně využívána pro útoky. S aktualizací je to trochu problém, protože WinRAR má pouze betu co chybu řeší a je nutné jít na web a ručně naintalovat. Popravdě dost dobrý důvod, proč z počítače WinRAR odstranit, využitelnost je dnes již velmi nízká. Viz ‚100 unique exploits and counting‘ for latest WinRAR security bug a Extracting a 19 Year Old Code Execution from WinRAR

Čistě teoreticky to vypadá, že na www.rar.cz/download.php je nová 5.70 verze (7. březen) co opravuje bezpečnostní chybu. Jinak je tam o důvod víc proč WinRAR odstranit, ani slovo o tom, že je nějaký zásadní bezpečnostní problém.  Pouze v Novinkách nic neříkající upozornění na chybu u ACE souborů.

fig2

Reklamy

BuggyCow. 0 day pro Mac OS ukazující na konec jedné éry a mýtů o bezpečnosti.

BuggyCow. 0 day pro Mac OS ukazující na konec jedné éry a mýtů o bezpečnosti. Viz HACK BRIEF: GOOGLE REVEALS ‚BUGGYCOW,‘ A RARE MACOS ZERO-DAY VULNERABILITY a Issue 1726: XNU: copy-on-write behavior bypass via mount of user-owned filesystem image. Nejvíce nepříjemné je, že Apple ani po třech měsících od objevu chybu neřeší.

macos-sierra-desktop-home

0day pro Virtualbox je zajímavý tím, že není nijak triviální.

0day pro Virtualbox je zajímavý tím, že není nijak triviální. Ale také tím, že objevitel chyby se rozhodl ji zveřejnit poté, co se u Oracle setkal s neochotou řešit předchozí bezpečnostní chyba a zásadně nevhodným přístupem k výskytům chyb v jejich software. Viz VirtualBox zero-day published by disgruntled researcher

0day v jQuery pluginu aktivně zneužívána poslední tři roky

0day v jQuery pluginu aktivně zneužívána poslední tři roky. Oprava existuje, ale otázka je, kdy se rozšíří dostatečně. Problematický plugin je JQuery File Upload, umožňuje ovládnutí serveru. Nutno nepodceňovat, jde nejenom o jeden z nejoblíbenějších pluginů, ale také je zásadně rozšířený do dalších projektů v řadě dalších CMS/internetových dodatcích. Na YouTube dokonce najdete návody k zneužit. Viz Zero-day in popular jQuery plugin actively exploited for at least three years

2018-11-02 12_11_28-GitHub - blueimp_jQuery-File-Upload_ File Upload widget with multiple file selec.png

 

0day v Adobe Flash, opět. Aktivně využívaný k útokům

0day v Adobe Flash, opět. Aktivně využívaný k útokům. Jestli ještě stále máte Flash v počítači, tak je nejvyšší čas ho dát pryč. Dorazit to může, jako v tomto případě, třeba jako Active-X v Excelu. Ale fantazii se možnosti nekladou. Viz Flash 0 Day In The Wild: Group 123 At The Controls

K Flashi viz Jak zakázat Flash ve vašem prohlížeči. A klidně to udělejte, on opravdu není potřeba

0day-cisco-image2.png