·	24.04.2026	В Rust Coreutils выявлено 113 уязвимостей. В Ubuntu 26.04 возвращены cp, mv и rm из GNU Coreutils (211 +67)
	Компания Canonical опубликовала предварительные итоги независимого аудита безопасности инструментария uutils coreutils (Rust Coreutils), написанного на языке Rust и частично применяемого в Ubuntu вместо пакета GNU Coreutils. Аудит был выполнен компанией Zellic, имеющей опыт анализа уязвимостей в проектах на языке Rust. В ходе проверки было выявлено 113 проблем с безопасностью... (211 +67) обсуждение | весь текст
·	24.04.2026	Уязвимость в PackageKit, позволяющая получить права root в разных дистрибутивах Linux (42 +19)
	В PackageKit, D-Bus-прослойке, унифицирующей операции управления пакетами, выявлена уязвимость Pack2TheRoot (CVE-2026-41651), позволяющая непривилегированному пользователю установить или удалить произвольный пакет и получить root-доступ к системе. Проблема проявляется начиная с версии 1.0.2 (2014 год) и устранена в выпуске PackageKit 1.3.5... (42 +19) обсуждение | весь текст
·	23.04.2026	Уязвимость в API IndexedDB, позволяющая идентифицировать пользователей Firefox и Tor Browser (68 +28)
	В браузерном движке Gecko выявлена уязвимость (CVE-2026-6770), позволяющая формировать уникальные идентификаторы для отслеживания открытия из одного браузера разных сайтов. Проблема проявляется во всех браузерах на основе Firefox, включая Tor Browser, и работает даже в режиме приватного просмотра. Идентификаторы действуют в рамках текущего процесса браузера и сбрасываются после перезапуска браузера. Уязвимость устранена в выпусках Firefox 150/140.10.0 и Tor Browser 15.0.10... (68 +28) обсуждение | весь текст
·	22.04.2026	Уязвимости в Java SE, MySQL, VirtualBox и других продуктах Oracle (22 +9)
	Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В апрельском обновлении устранена 481 уязвимость... (22 +9) обсуждение | весь текст
·	19.04.2026	Удалённое выполнение кода в форке почтового сервера qmail от проекта Sagredo (36 +14)
	В развиваемом проектом Sagredo форке почтового сервера qmail выявлена уязвимость (CVE-2026-41113), позволяющая добиться удалённого выполнения произвольных команд на сервере с правами пользователя qmailr. Уязвимость вызвана отсутствием экранирования спецсимволов в имени хоста, возвращаемого DNS-сервером при определении MX-шлюза, в сочетании с передачей полученного имени в команду popen без должного разделения и фильтрации аргументов при вызове shell. Уязвимость устранена в выпуске 2026.04.07. В открытом доступе опубликован инструментарий для эксплуатации уязвимости... (36 +14) обсуждение | весь текст
·	16.04.2026	5 критических уязвимостей в Chrome. Оценка работающих в Chrome методов скрытой идентификации (79 +7)
	Компания Google сформировала обновление Chrome 147.0.7727.101 с исправлением 31 уязвимости, из которых 5 помечены как критические. Критические проблемы позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, известно лишь, что уязвимости вызваны выходом за границы буфера в прослойке ANGLE (трансляция вызовов OpenGL ES в другие графические API) и библиотеке Skia (отрисовка 2D-графики), а также обращениями к уже освобождённой памяти (Use-after-free) в механизме упреждающей отрисовки (Prerender), компонентах для виртуальной реальности (XR) и реализации Proxy-объектов... (79 +7) обсуждение | весь текст
·	15.04.2026	Обновление X.Org Server 21.1.22 с устранением 5 уязвимостей (166 +27)
	Опубликованы корректирующие выпуски X.Org Server 21.1.22 и DDX-компонента (Device-Dependent X) xwayland 24.1.10, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 5 уязвимостей. Некоторые уязвимости потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH... (166 +27) обсуждение | весь текст
·	14.04.2026	Выпуск криптографической библиотеки OpenSSL 4.0.0 (80 +29)
	Состоялся релиз библиотеки OpenSSL 4.0.0, предлагающей с реализацию протоколов TLS и различных алгоритмов шифрования. OpenSSL 4.0 отнесён к выпускам с обычным сроком поддержки, обновления для которых выпускаются в течение 13 месяцев. Поддержка прошлых веток OpenSSL 3.6, 3.5 LTS, 3.4 и 3.0 LTS продлится до ноября 2026 года, апреля 2030 года, октября 2026 года и сентября 2026 года соответственно. Код проекта распространяется под лицензией Apache 2.0... (80 +29) обсуждение | весь текст
·	14.04.2026	Уязвимость в Python-библиотеках lzma, bz2 и gzip, потенциально приводящая к выполнению кода (63 +20)
	В поставляемых в составе CPython классах распаковки сжатых данных в форматах lzma, bz2 и gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor и gzip.GzipFile) выявлена уязвимость (CVE-2026-6100), приводящая к обращению к памяти после её освобождения. Проблема присвоен критический уровень опасности (9.1 из 10) - в случае успешной эксплуатации уязвимость может привести к утечке информации из памяти процесса или выполнению кода атакующего при распаковке специально оформленных данных... (63 +20) обсуждение | весь текст
·	10.04.2026	Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux (154 +30)
	Несколько выявленных за последние дни опасных уязвимостей, большинство из которых можно эксплуатировать удалённо:... (154 +30) обсуждение | весь текст
·	08.04.2026	Anthropic анонсировал AI-модель Claude Mythos, умеющую создавать рабочие эксплоиты (116 +23)
	Компания Anthropic представила проект Glasswing, в рамках которого предоставит доступ к предварительному варианту AI-модели Claude Mythos с целью выявления уязвимостей и повышения безопасности критически важного программного обеспечения. В число участников проекта включена организация Linux Foundation, а также компании Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA и Palo Alto Networks. Приглашения принять участие в проекте также получили ещё около 40 организаций... (116 +23) обсуждение | весь текст
·	08.04.2026	Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения (117 +17) ↻
	В опубликованном несколько часов назад корректирующем выпуске системы самодостаточных пакетов Flatpak 1.16.4, а также в экспериментальном выпуске 1.17.4, устранена уязвимость (CVE-2026-34078), позволяющая вредоносному или скомпрометированному приложению в формате flatpak, обойти установленный режим sandbox-изоляции, получить доступ к файлам в основной системе и выполнить произвольный код вне режима изоляции. Проблеме присвоен критический уровень опасности (9.3 из 10)... (117 +17) ↻ обсуждение | весь текст
·	07.04.2026	Атака GPUBreach, позволяющая получить root-доступ через выполнение CUDA-кода на GPU NVIDIA (34 +15)
	Группа исследователей из университета Торонто разработала технику атаки GPUBreach, которая аналогично анонсированным на днях атакам GDDRHammer и GeForge использует технику RowHammer для искажения битов видеопамяти GDDR и повреждения таблицы страниц памяти GPU. GPUBreach позволяет получить root-доступ в основное системное окружение через выполнение в GPU NVIDIA непривилегированного ядра CUDA... (34 +15) обсуждение | весь текст
·	04.04.2026	Атаки GDDRHammer и GeForge, искажающие память GPU для доступа ко всей памяти CPU (66 +27)
	Исследователи из нескольких университетов США и Австралии разработали две атаки класса Rowhammer - GDDRHammer и GeForge, позволяющие при выполнении непривилегированного ядра CUDA на GPU NVIDIA добиться искажения отдельных битов в чипах видеопамяти GDDR. В отличие от представленного в прошлом году метода GPUHammer, новые атаки не ограничиваются воздействием на данные, обрабатываемые в памяти GPU, а позволяют получить полный доступ ко всей основной памяти, относящейся к адресному пространству CPU. Исследователями продемонстрированы эксплоиты, предоставляющие root-доступ к основной системе при выполнении непривилегированного CUDA-ядра на GPU... (66 +27) обсуждение | весь текст
·	03.04.2026	Неофициальный Telegram-клиент Nekogram отправлял номера телефонов боту разработчика (152 +55)
	В неофициальном Telegram-клиенте Nekogram выявлен обфусцированный код, скрыто отправляющий боту "@nekonotificationbot" номера телефонов пользователей, вошедших в приложение, в привязке к идентификатору пользователя. Изменение для сбора номеров телефонов присутствует только в готовых APK-пакетах, распространяемых через Google Play, GitHub и Telegram-канал проекта. В исходном коде на GitHub и в APK-пакете из каталога F-Droid собирающее телефоны изменение отсутствует... (152 +55) обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>