כל הכתבות של CyberNow בנושא עדכוני אבטחה — 85 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
ארבע חולשות בתוכנת Plex Media Server מאפשרות להריץ קוד על שרת ביתי בלי סיסמה. התיקון יצא באוגוסט, קוד ההדגמה פורסם ב-16 באוקטובר, ולפי Shadowserver כ-49 אלף שרתים עוד חשופים.
מוצר שתפקידו לחסום תקיפות על אתרים מכיל חולשה שמאפשרת למי שהשיג דריסת רגל קטנה בשרת להריץ פקודות בהרשאות הגבוהות ביותר. ה-CERT היפני פרסם התרעה דחופה, והיצרן מאשר שהחולשה כבר נוצלה.
המונה שסופר כמה תהליכים מחוברים למקטע זיכרון משותף הוגדר ב-BSD המקורי כ-short חתום, ומעולם לא הורחב. חוקר מחברת Calif הראה איך גלישה של המונה הזה, יחד עם כתיבה חורגת אחת, מספיקה להרשאות root על OpenBSD גם כשכל הגנות הקרנל פעילות.
מי שמנסה להדליק בווינדוס 11 את ההגנה שחוסמת תוכנות לא מוכרות מגלה שהאפשרות אפורה וחסומה. מיקרוסופט אישרה שהתקלה הגיעה עם עדכון האבטחה של 13 באוקטובר, ולפי שעה אין לה תיקון.
חולשה בציון 9.2 בתוסף העריכה המשותפת של Nextcloud מאפשרת להריץ פקודות על השרת בלי שום התחברות, והיא מנוצלת מאז 10 בספטמבר. התיקון יצא יום אחר כך, אבל לא הוצג כתיקון אבטחה, והמספר הרשמי של החולשה פורסם רק ב-14 באוקטובר.
מיקרוסופט חצתה לראשונה ארבע ספרות של חולשות בחודש אחד, ואתרי החדשות לא מסכימים על המספר. ספרנו את המסמך המקורי, וגם בדקנו למה חולשה אחת ב-SharePoint סומנה בטעות כיום-אפס.
חברת Volexity דיווחה שתוקף שרשר שלוש חולשות בשער ה-VPN של Ivanti והריץ פקודות בהרשאות root בלי להזדהות. שתיים תוקנו, השלישית עוד בדרך, והכלי ש-Ivanti ממליצה להריץ לא מזהה את התקיפה.
מיקרוסופט שברה שיא עם יותר מ-1,400 חולשות שתוקנו בעדכון אחד, ובאותו יום הודיעה שגרסה 24H2 במהדורות הביתיות לא תקבל עדכונים נוספים. כך בודקים באיזו גרסה אתם, ומה עושים אם זו היא.
LibreOffice תיקנה ב-5 באוקטובר חולשה שמאפשרת לגיליון אלקטרוני להריץ קוד של התוקף ברגע הפתיחה, בלי השאלה שהתוכנה שואלת לפני הרצת מאקרו. ב-Apache OpenOffice אותה חולשה עדיין פתוחה, וכל הגרסאות עד 4.1.16 ועד בכלל חשופות.
חוקר אנונימי הראה איך מי שמחובר לאותה רשת ביתית משתלט על טלוויזיה של LG בלי קוד אימות ובלי שבעל הבית לוחץ על כלום. התיקון יצא, לחולשות לא הוקצה מספר CVE, ולא פורסם אם דגמים נוספים חשופים.