Новые уязвимости в Rack для Ruby: что нужно знать разработчикам

🔍 Специалисты OPSWAT обнаружили три серьезные уязвимости в интерфейсе Rack для Ruby. Недостатки позволяют получить несанкционированный доступ к файлам, внедрять вредоносные данные и изменять журналы событий в определенных условиях.

⚠️ Самой опасной считается уязвимость CVE-2025-27610 с оценкой CVSS 7,5, позволяющая неаутентифицированным злоумышленникам извлекать конфиденциальные данные. Проблема кроется в модуле Rack::Static, который не фильтрует пользовательские пути перед выдачей файлов, что открывает возможность для атак обхода путей.

🛡 Для минимизации рисков рекомендуется обновить Rack до последней версии или отказаться от использования Rack::Static. Если немедленное обновление невозможно, следует убедиться, что параметр root: указывает на директорию, содержащую только публичные файлы.

#ruby #уязвимость #безопасность #rack

@ZerodayAlert

Смена парадигмы: хакеры переключаются с пользователей на бизнес

📉 Количество уязвимостей нулевого дня в 2024 году снизилось до 75 по сравнению с 98 случаями в 2023 году. Google Threat Intelligence Group отмечает важное изменение в целях злоумышленников — они всё больше атакуют корпоративные решения в сфере безопасности и сетевой инфраструктуры.

🔄 Произошёл серьёзный сдвиг в балансе между атаками на пользовательские и корпоративные технологии, теперь 44% уязвимостей связаны с бизнес-решениями. Чаще всего под ударом оказываются продукты компаний Ivanti, Cisco и Palo Alto Networks, особенно VPN и системы обнаружения угроз.

🌏 Среди государств, стоящих за атаками, наиболее активны Китай и Северная Корея, которая впервые достигла сравнимого уровня активности. Китайские группировки, такие как UNC5221, активно атаковали корпоративные продукты, включая связку уязвимостей в Ivanti.

#уязвимостинулевогодня #корпоративнаябезопасность #кибератаки #zeroday

@ZerodayAlert

Всё, что подключено через AirPlay, может быть точкой входа

🔍 Специалисты Oligo Security обнаружили 23 уязвимости в протоколе Apple AirPlay и AirPlay SDK, которые позволяют удалённо взаимодействовать с устройствами. Вектор атак получил название AirBorne из-за воздушного характера передачи данных и способности распространяться от устройства к устройству без участия пользователя.

⚠️ Наиболее опасные среди найденных уязвимостей — Zero-Click и One-Click RCE, позволяющие выполнять произвольный код на затронутых устройствах. Особую тревогу вызывает возможность компрометации корпоративной инфраструктуры через одно заражённое устройство, подключенное к внутренней сети.

🔄 Apple уже выпустила обновления безопасности для устранения уязвимостей, получив всю необходимую техническую информацию. Учитывая масштаб распространения устройств и возможность атаки без взаимодействия, рекомендуется срочно обновить ПО и ограничить использование AirPlay при отсутствии необходимости.

#уязвимость #airplay #apple #безопасность

@ZerodayAlert

Google экстренно устраняет Zero-Click в системе Android

⚠️ Google выпустила очередное обновление безопасности для Android, устранив 46 уязвимостей, одна из которых уже активно используется в реальных атаках. Речь идёт о критической уязвимости CVE-2025-27363, которая затрагивает системный компонент Android и позволяет выполнить произвольный код без каких-либо действий со стороны пользователя.

🔍 Уязвимость связана с библиотекой FreeType — широко используемой системой рендеринга шрифтов с открытым исходным кодом. Проблема представляет собой ошибку записи за пределами буфера при обработке шрифтов TrueType GX и variable fonts, что может привести к выполнению вредоносного кода без ведома пользователя.

🛡 Хотя точные подробности атак пока неизвестны, Google подтверждает ограниченное и прицельное использование уязвимости. Пользователям Android настоятельно рекомендуется проверить уровень обновлений безопасности и убедиться, что он не ниже даты 5 мая 2025 года.

#безопасность #android #уязвимость #обновление

@ZerodayAlert

Активная эксплуатация уязвимости в Langflow угрожает ИИ-инфраструктуре

🚨 В платформе Langflow обнаружена критическая уязвимость с идентификатором CVE-2025-3248 и оценкой 9,8 балла по шкале CVSS. Проблема связана с отсутствием аутентификации при обращении к конечной точке /api/v1/validate/code, что позволяет удалённым атакующим выполнять произвольный код через специально сформированные HTTP-запросы.

💻 Уязвимость присутствует почти во всех версиях Langflow, кроме версии 1.3.0, выпущенной 31 марта 2025 года. Ситуация усугубилась 9 апреля, когда в открытом доступе появился рабочий PoC-эксплойт, что привело к активному использованию данной уязвимости злоумышленниками.

🔎 По данным платформы Censys, в интернете сейчас находятся 466 открытых экземпляров Langflow, большинство из которых расположены в США, Германии, Сингапуре, Индии и Китае. Специалисты подчёркивают, что этот случай наглядно демонстрирует опасность выполнения пользовательского кода без строгой аутентификации и изоляции.

#langflow #уязвимость #кибербезопасность #ИИ

@ZerodayAlert

Опубликован эксплойт для критической уязвимости в Apache Parquet

🔧 Исследователи из F5 Labs опубликовали PoC-эксплойт для уязвимости CVE-2025-30065. Теперь хакерам достаточно минимальных усилий, чтобы скомпрометировать уязвимые серверы.

📊 Проблема связана с десериализацией данных внутри файлов Parquet. Формат активно применяется в аналитике и больших данных, особенно в автоматических пайплайнах.

🧪 Инструмент вызывает сетевое соединение, но не выполняет код напрямую. Эксплойт использует класс JEditorKit для генерации HTTP-запроса, позволяя безопасно проверить систему на уязвимость. Однако в определённых конфигурациях это может быть шагом к полноценной атаке.

#apacheparquet #уязвимость #эксплойт #десериализация

@ZerodayAlert

Активная эксплуатация уязвимости в системе цифровых вывесок

📱 Хакеры активно используют критическую уязвимость CVE-2024-7399 в Samsung MagicINFO 9 для удалённого захвата устройств. Эта система централизованного управления мультимедийным контентом широко применяется для цифровых вывесок в торговых центрах, аэропортах и других общественных местах.

🔓 Уязвимость связана с функцией загрузки файлов, которая не проводит корректную проверку пути при обработке. Злоумышленники могут загрузить JSP-скрипт вне разрешённой директории и получить удалённый доступ к выполнению команд на сервере без аутентификации.

⚠️ Специалисты компании Arctic Wolf подтвердили факты эксплуатации уязвимости в реальных атаках всего через несколько дней после публикации PoC-эксплойта. Администраторам серверов Samsung MagicINFO 9 настоятельно рекомендуется срочно обновиться до версии 21.1050 или новее, чтобы исключить компрометацию систем.

#уязвимость #samsung #кибербезопасность #эксплойт

@ZerodayAlert

🛠 Умная автоматизация — глупая проверка прав: OttoKit превращает WordPress в открытую систему

Критическая ошибка в логике авторизации плагина OttoKit поставила под угрозу целый класс сайтов — тех, кто полагался на удобные автоматизации и забыл про гигиену доступа. Проблема в функции create_wp_connection(), которая «соединяет» без разбора, не проверяя, кто просит и зачем.

На фоне массовых сканирований сайтов, ещё не обновивших плагин, ситуация переходит в стадию цифровой эпидемии. Уже выявлены атаки, где злоумышленники автоматически создают админ-аккаунты и закрепляются в системе через специально прописанные конечные точки.

Что делает ситуацию особенно уязвимой — архитектура самого плагина. OttoKit был задуман как связующее звено между внешними сервисами и WordPress, и теперь это звено взломано. Каждая секунда промедления с обновлением версии — шанс для атакующих укрепиться внутри.

#wordpress #уязвимость #плагин #безопасность

@ZerodayAlert

🔓 Пароль администратора в открытом виде? Добро пожаловать в SysAid
XXE, SSRF, RCE — и всё это в одной цепочке, доступной до аутентификации.

Пожалуй, редкий случай, когда сразу четыре критических уязвимости можно выстроить в последовательную атаку без участия пользователя. Исследователи из watchTowr показали, как легко это реализуется в SysAid On-Prem: достаточно одного HTTP-запроса, и XML-инъекция становится трамплином для SSRF, сбора чувствительных данных и RCE.

Особое внимание вызывает находка InitAccount.cmd — файл, который самоуверенно хранит логин и пароль администратора в открытом виде после установки. Для атакующего это подарок. Для администратора — потенциальная катастрофа.

Когда на руках не только PoC, но и опыт прошлых атак с участием Cl0p, стоит воспринимать такую новость не как теоретическую, а как вполне практическую угрозу. Обновление уже есть. Вопрос в скорости реакции.

#уязвимость #sysaid #xxe #эксплойт

@ZerodayAlert

Зашитый токен — открытая дверь: просчёт в IOS XE создал идеальный инструмент для захвата сетей

Беспроводные контроллеры Cisco под управлением IOS XE оказались под угрозой из-за критической уязвимости (CVE-2025-20188) с максимальной оценкой 10.0. Проблема кроется в жёстко закодированном JSON Web Token в прошивке — всё равно что ключ от сейфа приклеен на дверцу.

Злоумышленник без учётных данных может отправлять специальные HTTPS-запросы к интерфейсу загрузки образов точек доступа, использовать path traversal и выполнять команды с правами root. Это открывает полный контроль над инфраструктурой, что критично для сетевого оборудования — основы корпоративных коммуникаций.

Важно: уязвимость проявляется только при активированной функции Out-of-Band AP Image Download, отключенной по умолчанию. Несмотря на ограниченное окно атаки, в крупных сетях с автоматизацией обновлений, где эта функция часто включается, рекомендация Cisco об оперативном обновлении прошивки должна стать приоритетной.

#Уязвимость #Cisco #IOS_XE #JWT #Кибербезопасность #CVE2025_20188

@ZerodayAlert

Критическая уязвимость в драйверах ASUS позволяла получить контроль над системой

💻 Программное обеспечение DriverHub от ASUS содержало уязвимость, позволяющую выполнить произвольный код с правами администратора. Компонент автоматически активировался через BIOS при первом запуске Windows и работал в фоновом режиме без графического интерфейса.

🔐 Исследователь обнаружил ошибку в проверке заголовка Origin, позволяющую обойти защиту с помощью домена-обманки. Через эндпоинт UpdateApp атакующий мог загрузить и запустить любой исполняемый файл, используя установщик Wi-Fi-драйвера от ASUS.

🛠 ASUS выпустила исправление уже на следующий день после получения отчета об уязвимости 8 апреля 2025 года. Проблеме были присвоены идентификаторы CVE-2025-3462 и CVE-2025-3463 с высокими оценками опасности 8.4 и 9.4 по шкале CVSS.

#уязвимость #asus #безопасность #driverhub

@ZerodayAlert

🔐 Корпоративный мессенджер как входная дверь

Мессенджеры, ориентированные на корпоративную приватность, всё чаще становятся ахиллесовой пятой безопасности. Output Messenger — не исключение: уязвимость в серверной части превратила его в идеальную платформу для незаметной компрометации целевых структур.

Интереснее всего здесь не сам баг — Directory Traversal известен с начала нулевых, — а то, как он был обёрнут в полноценную шпионскую операцию: с перехватом учётных данных, подменой доменов и развертыванием кастомного бэкдора. Это не атака ради атаки — это методичная работа по захвату командных центров и потоку внутренней информации.

Маркером серьёзности инцидента служит не только 0day, но и тот факт, что атакующие могли внедряться под видом легитимных пользователей. Всё это — признак явного дрейфа Marbled Dust в сторону высокоуровневого кибершпионажа с уклоном в социальную инженерию.

#outputmessenger #directorytraversal #безопасность #мессенджер

@ZerodayAlert

🎯 Атакуют уже сейчас: шесть новых дыр в Windows

В свежем Patch Tuesday компания Microsoft закрыла шесть критических уязвимостей, которые уже используются в атаках. Три из них — типичные use-after-free с выходом на SYSTEM через DWM Core, CLFS и WinSock. Это не просто ошибки в коде — это прямой путь к захвату контроля внутри системы без подключения к сети.

Сценарии — как под копирку: локальный доступ, эскалация прав, глубокие компоненты, про которые давно забыли даже в корпоративных аудитах. Плюс — удалённая RCE в сценарном движке через вредоносную ссылку в браузере. Старая добрая схема снова в деле.

Из двух нулевых дней особенно опасен баг в Defender for Identity — он даёт возможность подменить учётку в сети. Уязвимость в Visual Studio — риск для разработчиков и автоматизированных пайплайнов. Вывод один: ломают уже не периметр, а то, что внутри.

#windows #patchtuesday #уязвимости #безопасность

@ZerodayAlert

💥 Уязвимости в Ivanti: когда API становится черным ходом

Очередные слабые места в инфраструктуре Ivanti демонстрируют важную закономерность — уязвимости всё чаще проявляются не на уровне протоколов, а внутри архитектурных связок между компонентами. В случае с CVE-2025-4427 и CVE-2025-4428 речь идёт о просчётах в логике API, позволяющих сначала обойти аутентификацию, а затем выполнить произвольный код — без единой проверки полномочий.

Такое сочетание делает атаку почти беззвучной: она укладывается в штатную логику обмена данными и не требует сложных обходов защиты. А с учётом того, что речь идёт о локальных инсталляциях EPMM, многие организации могут попросту не заметить вторжение. Ни облако, ни централизованная аналитика здесь не помогут.

За этой историей скрывается более широкая тенденция — повторная компрометация продуктов Ivanti разными методами за короткий срок. Это не просто вопрос обновлений. Это сигнал к пересмотру самой модели доверия к таким компонентам в корпоративной среде.

#ivanti #epmm #уязвимость #взлом

@ZerodayAlert

📉 Привилегии на догадке: процессоры ошибаются, данные утекают

Современные процессоры давно стали самыми сложными «чёрными ящиками» в нашем арсенале. Но что, если даже предсказания внутри этих систем можно обмануть — и получить доступ к тому, что никогда не должно было выйти за пределы ядра? Именно это показала новая уязвимость CVE-2024-45332 в процессорах Intel, обнаруженная ETH Zurich.

Ошибка кроется в архитектурной гонке между логикой выполнения инструкций и блоками предсказания переходов. Если угадать момент переключения режима — можно подменить адрес перехода и вытащить данные прямо из защищённых областей памяти. В том числе пароли, ключи, структуру ядра — всё, что не должно быть видно.

Речь идёт не о теоретических рассуждениях: атакующие получили доступ к содержимому файла /etc/shadow на Linux с включённой защитой. Производительность проседает после установки патча, но альтернатива хуже — архитектурный баг касается всех актуальных чипов Intel, начиная с 9-го поколения.

#intel #cpu #уязвимость #безопасность

@ZerodayAlert

Двойной удар по SAP: под угрозой компании из Fortune 500

💣 Исследователи обнаружили использование сразу двух критических уязвимостей в серверах SAP NetWeaver, позволяющих обойти аутентификацию и выполнить произвольный код. Злоумышленники успешно эксплуатируют бреши CVE-2025-31324 и CVE-2025-42999, связанные с загрузкой неавторизованных файлов и небезопасной десериализацией. Эксплуатация уязвимостей началась ещё в январе 2025 года, но была обнаружена только недавно.

🔥 По данным экспертов, на конец апреля было скомпрометировано 474 сервера из 1 284 уязвимых экземпляров, а к середине мая количество уязвимых серверов выросло до 2 040. Среди пострадавших оказались не менее 20 компаний из списков Fortune 500 и Global 500, что указывает на целенаправленный характер атак.

⚠️ SAP выпустила обновления безопасности и настоятельно рекомендует установить Security Notes 3594142 и 3604119. Агентство CISA также добавило уязвимость CVE-2025-31324 в свой каталог KEV, требуя от федеральных структур устранить её до 20 мая.

#sap #уязвимости #кибербезопасность #zeroday

@ZerodayAlert

Идеальная эскалация: когда Microsoft сама выдаёт «золотой билет»

BadSuccessor — не просто уязвимость. Это изящный пример того, как хорошая идея (dMSA) при недостатке сдерживающих факторов превращается в инструмент управления доменом — не администраторами, а атакующими. Подмена происходит не на уровне доступа, а на уровне доверия к механизму наследования.

Функция dMSA учитывает старые SID и группы, чтобы обеспечить бесшовный переход. Но без проверки подлинности эта «наследственность» становится лазейкой: измените нужный атрибут, и dMSA получит весь набор прав предшественника, включая те, что открывают путь к контроллеру домена.

Здесь нет ни эксплойта, ни взлома — только дизайн. Пока Microsoft не выпустила патч, стоит воспринимать dMSA не как защиту, а как возможный канал захвата. Это случай, когда безопасность рушится не из-за атаки, а из-за архитектурной недальновидности.

#dmsa #badsuccessor #windows #server2025 #доменныеправа

@ZerodayAlert

Критическая уязвимость нулевого дня затрагивает продукты Fortinet

Специалисты опубликовали детальный анализ уязвимости CVE-2025-32756 с оценкой CVSS 9.8, которая затрагивает несколько ключевых продуктов Fortinet. Проблема связана с переполнением буфера в административном API и позволяет неаутентифицированным атакующим выполнять произвольный код через HTTP-запросы.

Под угрозой оказались FortiVoice, FortiMail, FortiNDR, FortiRecorder и FortiCamera в различных версиях. Техническая ошибка находится в функции cookieval_unwrap() библиотеки libhttputil.so, где некорректная проверка границ приводит к переполнению 16-байтового буфера и перезаписи критических значений стека.

Fortinet подтвердил активную эксплуатацию уязвимости злоумышленниками, особенно против систем FortiVoice. Атакующие проводят сетевое сканирование, крадут учётные данные, удаляют логи, устанавливают вредоносное ПО и настраивают постоянную кражу данных через cron-задания.

#уязвимость #fortinet #нулевойдень #кибербезопасность

@ZerodayAlert

Эксплуатация Zero Day затронула клиентов Microsoft 365

⚠️ Кибератака на облачную инфраструктуру компании Commvault привела к несанкционированному доступу к данным клиентов, использующих резервное копирование Microsoft 365 через сервис Metallic. Злоумышленники получили доступ к конфиденциальным клиентским секретам, хранившимся в Azure-окружении компании.

🔍 Государственная хакерская группировка использовала ранее неизвестную уязвимость CVE-2025-3928 в веб-сервере Commvault для получения первоначального доступа. Эта уязвимость позволяла аутентифицированному удалённому пользователю запускать веб-оболочки на сервере и получать доступ к критически важным ключам авторизации.

🛡 В ответ на инцидент Commvault провела полную ротацию всех учетных данных Microsoft 365 и усилила мониторинг облачных сервисов. Компания продолжает активное сотрудничество с государственными структурами и предоставила детальные рекомендации по защите своих клиентов.

#commvault #кибератака #облако #microsoft365

@ZerodayAlert