Google Chrome 89 - более ~80 security фиксов

Обновление, как минимум желательно

Информация о CVE
- https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html
- https://chromereleases.googleblog.com/2021/02/stable-channel-update-for-desktop_4.html

Напомню, что часть уязвимостей использовалась в аткаках на исследователей безопасности:
- https://blog.google/threat-analysis-group/new-campaign-targeting-security-researchers/
- https://www.microsoft.com/security/blog/2021/01/28/zinc-attacks-against-security-researchers/

VMware View Planner - RCE

Неавторизованный злоумышленник, имеющий сетевой доступ к View Planner, может загрузить и выполнить специально созданный файл, что приведет к удаленному выполнению кода:

https://www.vmware.com/security/advisories/VMSA-2021-0003.html

Linux kernel: Exploitable vulnerabilities in AF_VSOCK implementation

Повышение привилегий. Удачно проэксплуатировано в Fedora Server 33:

https://seclists.org/oss-sec/2021/q1/107

How I Might Have Hacked Any Microsoft Account

В этой статье рассказывается о том, как была обнаружена уязвимость в онлайн-сервисах Microsoft, которая могла позволить кому-либо захватить любую учетную запись Microsoft

Рассказ от первого лица:

https://thezerohack.com/how-i-might-have-hacked-any-microsoft-account

P.S. за эту уязвимость MS выплатили автору $50к

Qualys опубликовали признание факта несанкционированного доступа к данным через Accellion Hack

Данные, предположительно украденные у компании, включая результаты сканирования и финансовые документы, были опубликованы на Tor сайте вымогателя Clop, после чего Qualys пришлось подтвердить факт компроментации данных

Напомню, что Qualys, это платформа, которая известна сканерами уязвимостей, инструментами по управлению уязвимостями и тп… Ирония в том, что внутри у себя узявимость они не обнаружили (правда это был 0-day, но всеравно, как ни крути - проморгали)

Подтверждение от Qualys:
- https://blog.qualys.com/vulnerabilities-research/2021/03/03/qualys-update-on-accellion-fta-security-incident

Отчет по Accellion FTA Hack
- https://www.accellion.com/sites/default/files/trust-center/accellion-fta-attack-mandiant-report-full.pdf

Как установить pgAdmin в CentOS / Fedora

Кратко о том, что такое pgAdmin - это web-интерфейс для управления серверами баз данных PostgerSQL, написан на Python, под капотом используется web-фреймворк Flask (ссылка в конце статьи). Если проводить аналогию, то здесь ближе всего подойдет phpMyAdmin который предназначен для работы с MySQL.

В статье рассматривается ручная установка, так же приведена ссылка на автоматический инсталлятор pgAdmin4 в CentOS:

https://sys-adm.in/systadm/949-kak-ustanovit-pgadmin-v-centos-fedora.html

Supermicro и поставщик решений для безопасного доступа Pulse Secure выпустили рекомендации, информирующие пользователей о том, что некоторые из их продуктов уязвимы для Trickboot

Supermicro упоминает, что в TrickBoot есть новая функциональность (в наборе вредоносных программ TrickBot), которая способная обнаруживать уязвимости в микропрограммном ПО, что позволяет злоумышленникам читать/записывать/стирать BIOS устройства

Supermicro’s response to Trickboot vulnerability, March 2021

https://www.supermicro.com/en/support/security/Trickbot

Pulse Secure response to BIOS Trickboot Vulnerability

https://kb.pulsesecure.net/pkb_mobile#article/l:en_US/SA44712/s

Protecting against recently disclosed Microsoft Exchange Server vulnerabilities: CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065
https://blog.cloudflare.com/protecting-against-microsoft-exchange-server-cves/

Microsoft-Themed Phishing Attack | Zscaler ThreatLabZ
https://www.zscaler.com/blogs/security-research/microsoft-themed-phishing-attack-targets-executives-using-fake-google

Небезопасные облачные конфигурации предоставляют информацию в тысячах мобильных приложений

Разработчикам нужно уметь не только разрабатывать, но и как минимум смотреть в сторону безопасности, как кода, так и настроек используемых платформ:

https://blog.zimperium.com/unsecured-cloud-configurations-exposing-information-in-thousands-of-mobile-apps/

Патчи Exchange от Microsoft (обновление 8 марта)

https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

Официальные рекомендации и скрипты по снижению Exchange угроз

https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/

Смягчающие меры от CISA

https://us-cert.cisa.gov/ncas/current-activity/2021/03/05/microsoft-releases-alternative-mitigations-exchange-server

Еще ссылки по теме:
- https://blogs.microsoft.com/on-the-issues/2021/03/02/new-nation-state-cyberattacks/
- https://techcommunity.microsoft.com/t5/exchange-team-blog/released-march-2021-exchange-server-security-updates/ba-p/2175901
- https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/
- https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

Ссылки на уязвимости:
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065

OWA tergets news:
- https://www.channelfutures.com/security/microsoft-exchange-server-zero-day-exploit-could-have-thousands-of-victims
- https://www.wired.com/story/china-microsoft-exchange-server-hack-victims/

#уязвимый #exchange #vuln

Safari 14.0.3* Security Update

CVE-2021-1844

Impact: Processing maliciously crafted web content may lead to arbitrary code execution

Denoscription: A memory corruption issue was addressed with improved validation.

https://support.apple.com/en-us/HT212223

Lord of the Ring(s): Side Channel Attacks on the CPU On-Chip Ring Interconnect Are Practical

https://arxiv.org/abs/2103.03443

Who Can Find My Devices?
Security and Privacy of Apple’s Crowd-Sourced
Bluetooth Location Tracking System