XSS уязвимость CKEditor, эксплуатация озможна, если Drupal настроен на использование WYSIWYG CKEditor. Злоумышленник, который может создавать или редактировать содержимое, может успешно ее использовать:

https://www.drupal.org/sa-core-2020-001

Детали в блоге компоненты:

https://ckeditor.com/blog/CKEditor-4.14-with-Paste-from-LibreOffice-released/#security-issues-fixed

Жизненный цикл Windows, информация по разным релизам, какой, сколько живёт, интервалы обновлений и поддержки...

Основная идея следующая - в рамках модели Semi-Annual Channel, обновления компонентов Windows 10 выпускаются дважды в год в марте и сентябре. Обновления накопительные: каждое следующее обновление основано на предыдущих обновлениях. Для сохранения поддержки Майкрософт, предоставляемой с помощью исправлений, необходимо всегда устанавливать последнюю версию (обновление компонентов), прежде чем наступит окончание обслуживания текущей версии:

https://support.microsoft.com/en-us/help/13853/windows-lifecycle-fact-sheet

Удалённое выполнение кода в Windows Graphics Device Interface (GDI). Успех эксплуатации гарантирует захват системы, что позволит манипулировать данными, управлять / устанавливать софт, создавать пользователей...

Сценариев эксплуатации два:
- через web
- через файл-шары

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0881

Windows Defender пропускает файлы во время сканирования, даже если не настроены исключения. Проблема существует с середины марта.

Напомню, что Defender скоро будет для Linux, Android и iOS, крайне рекомендую задуматься перед использованием этого ПО...

https://borncity.com/win/2020/03/21/windows-10-defender-skips-elements-during-scan/

Chromium объявил паузу в расписании своих релизов ну и новый Осел (Edge) тоже.

Обновления выпускаться будут, релизов пока не будет.

Информация о постановке на паузу Chromium релиза (ну всего based on тоже получается)

https://blog.chromium.org/2020/03/upcoming-chrome-releases.html

Новость из MS блога:

https://blogs.windows.com/msedgedev/2020/03/20/update-stable-channel-releases/

Удаленка, митинги, у кого что, у некоторых ZOOM... Какие данные он собирает помимо вашей активности в нем (активности во время митинга, свернули окно зума, изменили фокус и тп) - идентификаторы устройства, IP адреса, регистрационные данные, должность, работодателя, телефон, почта.

С одной стороны понятно, если зарегистрирован или подключен, то в том или ином виде эти данные так или иначе будут собираться, вишенкой является их пункт в политике конфиденциальности, они этими данными делятся с третьими лицами, вот так вот:

https://protonmail.com/blog/zoom-privacy-issues/

За ссылку спасибо @ldviolet

The Kubelet has been found to be vulnerable to a denial of service attack via the kubelet API:

- https://github.com/kubernetes/kubernetes/issues/89377
- https://github.com/kubernetes/kubernetes/issues/89378

За ссылки спасибо @ldviolet

Две уязвимости удаленного выполнения кода в Microsoft Windows, где библиотека Windows Adobe Type Manager неправильно обрабатывает специально созданный шрифт-формат Adobe Type 1 PostScript

Злоумышленник может воспользоваться этой уязвимостью несколькими способами, например убедить пользователя открыть специально созданный документ или просмотреть его на панели предварительного просмотра Windows

"панели предварительного просмотра Windows" - Карл!

Подвержены почти все релизы Windows:

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/adv200006#ID0EMGAC

За ссылку спасибо @ldviolet

TeamViewer на какое-то время прекаращет проверку коммерческого использования, со слов The Register (ссылка ниже) после запроса на сброс ID, его якобы можно будет безлимитно использовать

Запрос на сброс ID здесь:
https://www.teamviewer.com/en/reset/

The Register:
https://www.theregister.co.uk/2020/03/23/freebie_teamviewer_to_stop_checking/

Интересная уязвимость в плагине резервного копирования WordPress.

Любой пользователь CMS в не зависимости от привилегий, может добавить удалённое хранилище для резервных копий... Т.е весь сайтец можно попросту слить при следующем запуске задания на создание резервной копии

https://www.webarxsecurity.com/vulnerability-in-wpvivid-backup-plugin-can-lead-to-database-leak/

Исследование нескольких недавних эксплоитов - Cisco, Citrix, Zoho + прогноз эксплуатации найденных уязвимостей:

https://www.fireeye.com/blog/threat-research/2020/03/apt41-initiates-global-intrusion-campaign-using-multiple-exploits.html

MS пофиксил баг в Defender (который пропускал файлы при сканироании), НО осадок остался:

https://support.microsoft.com/en-us/help/4052623/update-for-windows-defender-antimalware-platform

Apple выпустили серию патчей безопасности для iOS, macOS (Catalina 10.15.4, Mojave, High Sierra), Safari, iTunes, iCloud, xCode

https://www.us-cert.gov/ncas/current-activity/2020/03/25/apple-releases-security-updates

Фейковый апдейт браузера с ломаных WordPress сайтов

JavaScript, встроенный в код взломанных страниц, перенаправляет посетителей на фишинговый сайт, где им предлагается установить важное обновление для браузера Chrome. Загружаемый файл-это установщик вредоносных программ (кейлоггер, стилер, троян), все это дело позволяет злоумышленникам удаленно получать доступ / управлять компьютерами

https://news.drweb.com/show/?i=13746

AMD Statement on Theft of Graphics IP:

https://www.amd.com/en/corporate/data-update

Уязвимость обхода VPN в Apple iOS

Уязвимость iOS версии 13.4 - не позволяет шифровать весь VPN трафик

Как правило, при подключении к виртуальной частной сети (VPN) операционная система устройства закрывает все существующие подключения к Интернету, а затем повторно устанавливает их через VPN-туннель. Собственно в iOS указанной версии (и предыдущей) этого не происходит:

https://protonvpn.com/blog/apple-ios-vulnerability-disclosure/

Вышел фикс для дисков с "багом" в 40к часов:

https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=a00097382en_us

P.S. недавно обнаружилась проблема в SSD-накопителях HPE, приводящая к потере данных через 40000 часов

Позитив + правильные мысли. Slider, дружище, грац ✌️

https://youtu.be/Hr0WVFMyIno

https://www.eccouncil.org/free-cybersecurity-resources/ судя по сообщению есть бесплатные для всех материалы, судя по списку, материалы довольно достойные

За ссылку спасибо EI

Вообще в Linux 5.6 куча всего нового и полезного помимо WG, Multipath и Amazon Echo :)

https://www.phoronix.com/scan.php?page=article&item=linux-56-features&num=1