Обновления безопасности Mozilla, выпущенные буквально на днях устраняют уязвимости почтовых клиентов Thunderbird, которые могут быть использованы для выполнения произвольного кода, кражи данных пользователей, банально к краху приложения. Под каждые платформы свой набор уязвимостей:

https://www.mozilla.org/en-US/security/advisories/mfsa2019-17/

https://www.mozilla.org/en-US/security/advisories/mfsa2019-15/

Кто не обновился - обновляемся.

Уязвимости в ядре Linux делают возможным удаленные DoS-атаки

По этому поводу Red Hat опубликовал описание проблем:

https://access.redhat.com/security/vulnerabilities/tcpsack

Netflix:
https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md

AWS:
https://aws.amazon.com/security/security-bulletins/AWS-2019-005/

Аналогичные нотации были выпущены для Ubuntu:
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic

Debian:
https://security-tracker.debian.org/tracker/CVE-2019-11477

Arch:
https://security.archlinux.org/AVG-983

Cloudflare объявила о выпуске бесплатного API, предназначенного для того, чтобы центры сертификации могли выпускать сертификаты, гарантируя, что злоумышленники не смогут завершить процесс контрольной проверки домена с помощью атак BGP / атак DNS спуфинга

https://blog.cloudflare.com/secure-certificate-issuance/

Не успел выйти новый Firefox и тут же прилетел критикал зеро-дей:

https://www.mozilla.org/en-US/security/advisories/mfsa2019-18/

Малварь под Android, обходящая 2fa, большой такой ресерч оной:

https://www.welivesecurity.com/2019/06/17/malware-google-permissions-2fa-bypass/

Мой друг, автор множества полезных ботов включая всем известный @mailsearchbot (поиск паролей к искомым email'ам) ведет свой канал, не стесняемся, заходим, подписываемся:

https://news.1rj.ru/str/b4tr_channel

Искусственный интеллект в образе коуч-тренера от Microsoft, будет помогать с репетицией выступления под презентацию из PowerPoint.

https://www.microsoft.com/en-us/microsoft-365/blog/2019/06/18/powerpoint-ai-upgrade-designer-major-milestone-1-billion-slides/

Samba - Пользователь с доступом для чтения к серверу LDAP может аварийно завершить работу LDAP

https://www.samba.org/samba/security/CVE-2019-12436.html

В MongoDB 4.2 добавилась возможность шифрования на уровне поля:

Оригинальный пост:
https://www.mongodb.com/press/mongodb-42-adds-distributed-transactions-field-level-encryption-updated-kubernetes-operator-and-more-to-the-leading-modern-general-purpose-database

На русском:
https://www.securitylab.ru/news/499530.php

В Outlook для Android обнаружена уязвимость

Цитата от Microsoft:
Атакующий, успешно проэксплуатировавший уязвимость, может осуществить XSS-атаку и запустить скрипт в контексте текущего пользователя

Детали на официальном сайте MS:
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1105

Мы в безопасносте?

https://m.habr.com/ru/post/456908/

Windows Terminal получил возможность работы со вкладками в которых можно запускать разные типы консолей (cmd, wsl, powershell), консоли можно преднастраивать при помощи конфигурационных json файлов. Статус у проекта пока preview, терминал можно установить из ms store в Windows 10 версии 1903 и в сборке 18362.0 или выше.

Ссылка на загрузку присутствует в официальной репе проекта:
https://github.com/microsoft/terminal

На днях была опубликована cve на тему выхода из песочницы в Firefox, которая позволяет выполнить произвольный код на компьютере жертвы, уязвимости безопасности исправлены в Firefox 67.0.4 и Firefox ESR 60.7.2 а так-же всех Firefox based браузерах (по большому счету), например в Tor браузере:

https://www.mozilla.org/en-US/security/advisories/mfsa2019-19/

В Cloudflare произошел массовый сбой, что привело к недоступности web ресурсов использующих этот сервис.

Говорят проблема была в неправильных настройках на сетевом уровене...

https://www.cloudflarestatus.com/incidents/46z55mdhg0t5

AWS запустил VPC Traffic Mirroring, если кратко:
- Обнаружение аномалий сети и безопасности
- Видимость и контроль сети
- Внедрение соответствия и контроля безопасности
- Зеркалирование трафика VPC
- Перехват сетевого трафика

Серьезно так подошли:
https://aws.amazon.com/blogs/aws/new-vpc-traffic-mirroring/

Cisco Critical CVE - Удаленное выполнение кода, загрузка файлов:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190626-dcnm-codex

Попробовал, довольно шустро работает, а адресная строка снизу:

http://www.opennet.ru/opennews/art.shtml?num=50982

Опять во всем виноваты хакеры. То они вмешиваются в выборы, то они внедряются в Яндекс и начинают следить за пользователями...

А что, порой очень удобно списывать свою некомпетентность и факапность на хакеров 😄

Хороший контент на английском:
https://www.reuters.com/article/us-usa-cyber-yandex-exclusive-idUSKCN1TS2SX

В русскоязычной СМИ, по скуднее описано, но тоже читабельно:

https://www.anti-malware.ru/news/2019-06-28-1447/30025

Только что

Краткий дайджест новостей за последнюю неделю:

Microsoft опубликовала изменения и дополнения к ядру Linux используемом в WSL 2, параллельно MS хочет присоединиться к закрытому списку разработчиков ядра Linux, они написали заявку по этому поводу на внесение в закрытий список рассылки linux-distros, но ответ пока не получили:
https://github.com/microsoft/WSLv2-Linux-Kernel
https://www.openwall.com/lists/oss-security/2019/06/26/2

Утеря сохраненных логинов и паролей в Firefox по причине некоторых антивирусов:
https://bugzilla.mozilla.org/show_bug.cgi?id=1558765 в новой версии ФФ с целью уменьшения рисков антивирусного МИТМа будет добавлена новая опция security.enterprise_roots.enabled:
https://blog.mozilla.org/security/2019/07/01/fixing-antivirus-errors/

Тут-же от MS очередной перл, отсутсвие полного бэкапа реестра Windows - не баг, а фича, теперь это нужно подкручивать руками:
https://support.microsoft.com/en-us/help/4509719/the-system-registry-is-no-longer-backed-up-to-the-regback-folder-start

Под macOS и Windows был обнаружен майнер, который замаскирован под приложения для работы со звуком:
https://www.welivesecurity.com/2019/06/20/loudminer-mining-cracked-vst-software/

Новый вариант трояна, который не обнаруживается антивирусами, сценарий заражения через email (вложенный документ с макросами):
https://www.esentire.com/blog/new-dridex-variant-evading-traditional-antivirus/

ФБ использовался для распространения трояна, точкой входа служила фейковая страница командующего Ливийской армией:
https://research.checkpoint.com/operation-tripoli/

На сколько на самом деле опасен BlueKeep (кто не знает, эта уязвимость позволяет например перехватывать RDP сесиию, видео в статье по ссылке нижне):
https://news.sophos.com/en-us/2019/07/01/bluekeep-poc-demonstrates-risk-of-remote-desktop-exploit/

Сотрудники Myspace использовали внутренний инструмент (называемый overlord) для шпионажа за пользователями:
https://www.vice.com/en_us/article/j5w4xx/myspace-employees-spied-on-users-with-internal-tool-overlord

Сверх-секретные документы правительства США вытекли в сеть:
https://www.forbes.com/sites/thomasbrewster/2019/07/02/exclusive-fbi-investigates-leak-of-1000-pages-of-top-secret-air-force-intelligence/#12bbfaa92973


Уже сегодня можно попробовать предфинальный релиз Debian 10:
https://lists.debian.org/debian-cd/2019/06/msg00024.html

Запущен сайт для разработчиков, посвященный новой ОС Fuchsia, которая должна будет заменить Android:
https://fuchsia.dev

Опять Cloudflare упал не осилив нагрузки (якобы по причине кривого деплоя внутреннего софта):
https://blog.cloudflare.com/cloudflare-outage/

Еще кратенько:
Увидели свет Xfce 4.14 и Cinnamon 4.2, новая версия браузера Pale Moon 28.6

Закрыто несколько критических RCE-дыр (CVE-2019-2106, CVE-2019-2107 и CVE-2019-2109) в Android 7 и выше, даже для Android 9 нашлась одна дырка (CVE-2019-2111), если кратко в случае удачной эксплуатации уязвимости, атакующий может использовать специально созданный файл для запуска произвольного кода в контексте привилегированного процесса