כל הכתבות של CyberNow בנושא מחקר אבטחה — 14 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
קוונטין קייזר הדגים הרצת קוד עם הרשאות root על נתבים של שלושה ספקי אינטרנט בבלגיה, דרך מפרסר WPS שמקבל מהשולח את אורך ההודעה ומאמין לו. ברודקום סירבה להקצות CVE, ולפי המחקר מיליוני מכשירים של עשרות יצרנים עדיין מריצים את הרכיב.
SafeDep פירקה את imgdecode, חבילת npm שהעבירה את הלוֹדר שלה לתוך רכיב בינארי מהודר לווינדוס, כך שסורק שקורא JavaScript לא רואה כלום. חמש החבילות האחרות באותו קמפיין הוסרו מהמאגר, והיא עוד שם.
המונה שסופר כמה תהליכים מחוברים למקטע זיכרון משותף הוגדר ב-BSD המקורי כ-short חתום, ומעולם לא הורחב. חוקר מחברת Calif הראה איך גלישה של המונה הזה, יחד עם כתיבה חורגת אחת, מספיקה להרשאות root על OpenBSD גם כשכל הגנות הקרנל פעילות.
הכותרות השבוע תיארו בינה מלאכותית שלומדת לשכפל את עצמה. המחקר שמאחוריהן הוא ניסוי מבוקר על ממירים זולים שבהם ממשק הניפוי הושאר פתוח בכוונה, והוא לא הדגים תולעת שעובדת מקצה לקצה. התחזית לסוף 2026 היא הסקה מקצב השיפור של השנים האחרונות, לא מדידה.
השער שמרכז את המפתחות של כל ספקי המודלים בארגון אִפשר לכל משתמש מחובר לכתוב מחדש את הגדרות השרת. Check Point מתארת שלוש דרכים שנפתחות משם, והגרסה שסוגרת את שתי החולשות כבר קיימת.
חוקרי Doyensec הראו איך כתיבה אחת של ארבעה בייטים עם ערך קבוע מתגלגלת להרצת קוד בתוך VBS enclave של ווינדוס, אזור שגם לקרנל אין גישה אליו. מיקרוסופט תיקנה את החולשה ב-8 בספטמבר ואומרת שמצאה אותה גם בעצמה.
חוקר אנונימי הראה איך מי שמחובר לאותה רשת ביתית משתלט על טלוויזיה של LG בלי קוד אימות ובלי שבעל הבית לוחץ על כלום. התיקון יצא, לחולשות לא הוקצה מספר CVE, ולא פורסם אם דגמים נוספים חשופים.
צוות המחקר של V12 פרסם את הניתוח הטכני של חולשה בגרסת הלינוקס של AnyDesk, שמאפשרת לתוקף מרוחק להריץ פקודה עם הרשאות root עוד לפני שהמשתמש אישר את החיבור. היצרן תיקן אותה ביוני ותיאר את התיקון כבאג שעלול לגרום לקריסה, ועד היום לא הוקצה לה מספר CVE.
חוקרי Searchlight Cyber מצאו שגרסת ה-Go של כלי איזון העומסים של Tor מעבירה לחותם רק חצי מהמפתח הסודי, והחצי החסר הוא זה שמחזיק את כל הביטחון. תוך שלושה ימים שתי הכתובות של פורום הדארקנט Dread עברו לשליטת גורם אחר.
ב-8 באוקטובר עלה Pixel 10 עם כל עדכוני האבטחה של אותו שבוע לשולחן בתחרות Pwn2Own בקורק, ושלושה צוותים שונים השתלטו עליו מרחוק באותו יום. שניים מהם קיבלו פרס מופחת, כי החולשות שהם מצאו היו מוכרות כבר לגוגל או למארגנים.