Ставки повышаются: за уязвимости нулевого дня в iPhone предлагают миллионы

🔐Стартап Crowdfense обновил прайс-лист на уязвимости нулевого дня, предлагая до 7 млн долларов за уязвимости iPhone, до 5 млн — за Android и значительные суммы за другие платформы.

📈 Повышение цен связано с усиленными мерами безопасности от Apple, Google и Microsoft, направленными на защиту пользователей. Хакерам становится всё труднее находить и эксплуатировать уязвимости, что, в свою очередь, ведёт к увеличению затрат и цен на рынке zero-day эксплойтов.

💰 Компании, специализирующиеся на поиске уязвимостей, такие как Crowdfense, приобретают их с целью последующей перепродажи правительственным агентствам или подрядчикам, которые используют их для слежки или преследования преступников.

#CyberSecurity #ZeroDay #уязвимость @SecLabNews

Ускользнувшая ошибка в Lighttpd: когда безопасность затерялась в цепочке поставок

🔴 Шестилетняя уязвимость в Lighttpd до сих пор присутствует в продуктах Intel, Lenovo и других производителей оборудования, подвергая риску конечных пользователей.

⚠️ Разработчики Lighttpd исправили уязвимость ещё в 2018 году, но сделали это без должного оповещения, что привело к её распространению по цепочке поставок.

💣 Уязвимость позволяет удаленно считывать данные из памяти, обходя защитные механизмы, и затрагивает более 2000 устройств, исправления для которых уже никогда не выйдут.

#кибербезопасность #уязвимость #Lighttpd @SecLabNews

Критические уязвимости в Android-приложениях Xiaomi и Google

😲 ИБ-компания Oversecured обнаружила 20 уязвимостей в Android-приложениях Xiaomi и Google AOSP, влияющих на пользователей по всему миру.

❌ Уязвимости связаны с несанкционированным доступом к данным, кражей файлов и утечкой информации об устройстве и аккаунтах.

🔄 Обе компании выпустили обновления, исправляющие уязвимости. Пользователям рекомендуется срочно обновить ПО.

#уязвимость #Xiaomi #Google @SecLabNews

Уязвимость из прошлого: OpenSSH устраняет регрессию

🛡 В серверном компоненте OpenSSH была обнаружена уязвимость CVE-2024-6387 типа Race Condition.

⚠️ Ошибка, названная «regreSSHion», является регрессией исправленной 18-летней уязвимости CVE-2006-5051.
Успешная эксплуатация позволяет злоумышленникам выполнять код с root-привилегиями на уязвимых системах.

☠️ В настоящее время выявлено не менее 14 миллионов потенциально уязвимых экземпляров серверов OpenSSH, доступных через Интернет.

#безопасность #уязвимость #OpenSSH @SecLabNews

Обнаружена уязвимость в exim, затрагивающая миллионы серверов

🌐Компания Censys обнаружила критическую уязвимость CVE-2024-39929 в почтовых серверах Exim, затрагивающую более 1,5 миллионов серверов по всему миру.

📧Уязвимость позволяет злоумышленникам обходить фильтры безопасности и доставлять вредоносные вложения в почтовые ящики пользователей, что может привести к компрометации системы.

🔧Администраторам Exim настоятельно рекомендуется обновить ПО до последней версии или ограничить удаленный доступ к серверам для предотвращения атак.

#информационнаябезопасность #уязвимость #exim @SecLabNews

Атака 0.0.0.0-day: хакеры использовали уязвимость 18 лет

🔓 Крупнейшие браузеры мира 18 лет оставляли лазейку для хакеров. Уязвимость связана с обработкой запросов к IP-адресу 0 .0.0.0, что позволяло взламывать частные сети.

🥷 Хакеры использовали уязвимость, отправляя вредоносные запросы к IP 0. 0.0.0 своих целей. Это открывало доступ к конфиденциальным данным и внутренним сетям жертв.

🛡 Apple, Google и Mozilla работают над закрытием этой уязвимости в своих браузерах. Однако Mozilla пока воздерживается от полной блокировки из-за возможных проблем совместимости.

#Кибербезопасность #Уязвимость #Хакеры #Технологии @SecLabNews

Zengo: Multi Device в WhatsApp раскрывает данные пользователей

💻 Исследователи Zengo обнаружили критическую уязвимость в системе Multi Device мессенджера WhatsApp. Злоумышленники могут получить доступ к информации об устройствах пользователей, включая их количество, активность и операционные системы.

🔑 Проблема связана с особенностями работы протокола Signal Sesame, используемого WhatsApp для шифрования. При отправке сообщения пользователю с несколькими устройствами создаются отдельные зашифрованные сессии для каждого, что приводит к утечке данных.

🕵️ Полученная информация позволяет хакерам определять наиболее уязвимые устройства и выбирать оптимальное время для атаки. Простое изменение логики генерации Message ID могло бы решить проблему, однако Meta игнорирует запросы исследователей.

#WhatsApp #Взлом #Конфиденциальность #Уязвимость

@SecLabNews

Уязвимость в Windows с высоким риском: Microsoft выпускает патч

🔍 Эксперты Positive Technologies выявили опасную уязвимость в Windows с оценкой 7,8 по шкале CVSS 3.1. Microsoft оперативно выпустила исправления для Windows 10, 11 и серверных версий операционной системы.

⚡️ Обнаруженная брешь типа LPE позволяет злоумышленнику повысить привилегии до системного уровня. Такой доступ открывает путь к полному захвату системы и развитию дальнейших атак.

🛡 Уязвимость была найдена в ходе регулярного анализа и своевременно передана Microsoft в рамках политики ответственного разглашения. Пользователям настоятельно рекомендуется установить обновления безопасности как можно скорее.

#Windows #уязвимость #Microsoft

@SecLabNews

🕵‍♂️Угроза для Android, Linux и игровых движков: FreeType требует обновления

🚨 Facebook* предупреждает о серьезной уязвимости в библиотеке FreeType, которая присутствует во всех версиях до 2.13 и может привести к выполнению произвольного кода. Эксперты подтверждают, что данная брешь уже активно используется злоумышленниками в реальных атаках.

🔍 Проблема, отслеживаемая как CVE-2025-27363, связана с выходом за границы буфера при обработке структур подглифов в шрифтах. Уязвимость получила высокий рейтинг опасности — 8.1 балла по шкале CVSS v3, что подчеркивает серьезность угрозы.

⚠️ FreeType является широко используемой библиотекой с открытым исходным кодом, применяемой в Linux, Android, игровых движках и веб-платформах. Разработчикам настоятельно рекомендуется немедленно обновить библиотеку до версии 2.13.3 для предотвращения возможных атак.

* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

#кибербезопасность #уязвимость #FreeType

@SecLabNews

🕵‍♂️ WhatsApp снова оказался проводником для вредоносного кода: виновата логика отображения файлов

Meta* официально признала: баг в Windows-версии WhatsApp позволял запускать вредоносный код через подмену типа файла (CVE-2025-30401). Уязвимость банально, но эффективно эксплуатировала разницу между тем, как файл выглядел и как реально обрабатывался.

Это уже вторая подобная история за год. Ещё в июле была аналогичная уязвимость с .py и .php файлами. Складывается ощущение, что у десктопного клиента WhatsApp хронические проблемы с безопасной обработкой вложений. И это не просто "ошибки кода", а следствие архитектурных решений, не учитывающих многослойность угроз.

Тренд очевиден: атаки через мессенджеры становятся всё более изощрёнными, и вектор "вложение → эксплойт" активно эксплуатируется спецслужбами, киберпреступниками и частными разведгруппами. Пока клиент ориентирован на удобство, атаки продолжают вскрывать слепые зоны UX-безопасности.

#whatsapp, #уязвимость, #infosec @SecLabNews