·	03.10.2025	Уязвимость в Red Hat OpenShift AI, допускающая root-доступ к узлам кластера (31 +12)
	В платформе OpenShift AI Service, позволяющей организовать работу кластера для выполнения и обучения AI-моделей, выявлена уязвимость (CVE-2025-10725), позволяющая непривилегированному пользователю получить права администратора кластера. После успешной атаки злоумышленник получает возможность управления кластером, полный доступ ко всем сервисам, данным и запускаемым в кластере приложениям, а также root-доступ к узлам кластера... (31 +12) обсуждение | весь текст
·	02.10.2025	Взлом внутреннего GitLab-сервера Red Hat (97 +42) ↻
	Хакерская группа Crimson Collective заявила о получении доступа к одному из внутренних GitLab-серверов компании Red Hat и загрузке с него 570ГБ сжатых данных, содержащих информацию из 28 тысяч репозиториев. Среди прочего в захваченных данных присутствовало около 800 CER-отчётов (Customer Engagement Report), содержащих конфиденциальную информацию о платформах и сетевых инфраструктурах клиентов Red Hat, которым предоставлялись консалтинговые услуги... (97 +42) ↻ обсуждение | весь текст
·	25.09.2025	Уязвимость в подсистеме io_uring, позволяющая повысить привилегии в системе (59 +16)
	В интерфейсе асинхронного ввода/вывода io_uring, предоставляемом ядром Linux, выявлена уязвимость (CVE-2025-39698), позволяющая непривилегированному пользователю добиться выполнения своего кода на уровне ядра. Уязвимость вызвана отсутствием проверки существования объекта перед выполнением операций с этим объектом... (59 +16) обсуждение | весь текст
·	25.09.2025	В Rust-репозитории crates.io выявлены два вредоносных пакета (121 +23)
	Разработчики языка Rust предупредили о выявлении в репозитории crates.io пакетов faster_log и async_println, содержащих вредоносный код. Пакеты были размещены в репозитории 25 мая и с тех пор были загружены 8424 раза... (121 +23) обсуждение | весь текст
·	16.09.2025	Phoenix - атака на чипы DDR5, приводящая к искажению содержимого памяти (78 +22)
	Исследователи из Швейцарской высшей технической школы Цюриха совместно с инженерами из компании Google разработали новую технику атаки класса Rowhammer - Phoenix (CVE-2025-6202), позволяющую обойти применяемый в чипах DDR5 механизм защиты TRR (Target Row Refresh), предотвращающий искажение ячеек памяти из-за потери заряда. Опубликован прототип эксплоита, позволяющий изменить содержимое определённого бита в оперативной памяти и добиться повышения своих привилегий в системе. Демонстрация атаки проведена на ПК с процессором AMD на базе микроархитектуры Zen 4 и DDR5-памятью SK Hynix, на котором выполнялись типичные для десктопа задачи... (78 +22) обсуждение | весь текст
·	13.09.2025	Фишинг-атака на разработчиков пакетов на языке Rust (72 +16)
	Организация Rust Foundation предупредила разработчиков о выявлении фишинг-атаки против пользователей репозитория crates.io. Атака напоминает наблюдаемые последние месяцев попытки компрометации учётных записей в сервисах NPM, PyPI и Mozilla AMO для последующей публикации релизов, содержащих вредоносный код. Сведений об успешном захвате учётных данных в ходе атаки пока нет... (72 +16) обсуждение | весь текст
·	12.09.2025	VMScape - атака на CPU AMD и Intel, обходящая изоляцию между гипервизором и гостевой системой (85 +19)
	Исследователи из Швейцарской высшей технической школы Цюриха разработали метод атаки VMScape, позволяющий обойти существующую защиту от атак Spectre-BTI (Branch Target Injection) для нарушения изоляции между виртуальной машиной и компонентами гипевизора, работающими в пространстве пользователя (например, QEMU-KVM). Атака может быть использована для определения содержимого памяти подобных компонентов через проведение манипуляций из процесса на стороне гостевой системы... (85 +19) обсуждение | весь текст
·	10.09.2025	Атакующие получили контроль над NPM-пакетами проекта DuckDB и опубликовали вредоносные выпуски (28 +5)
	История с компрометацией 18 NPM-пакетов, в сумме насчитывающих более 2 миллиардов загрузок в неделю, получила продолжение. Выявлен аналогичный захват через фишинг учётных данных сопровождающего NPM-пакеты проекта DuckDB. Для пакетов DuckDB также были сформированы версии с вредоносным кодом, осуществляющим подмену реквизитов при проведении платежей через криптовалюты, но атака была сразу выявлена и зафиксированы лишь единичные загрузки вредоносных пакетов. При этом по предварительным данным пакеты с вредоносной вставкой, опубликованные в ходе вчера анонсированной атаки на 18 NPM-пакетов, успели загрузить более 2.5 миллионов раз... (28 +5) обсуждение | весь текст
·	09.09.2025	Скомпрометированы 18 NPM-пакетов, насчитывающих более 2 миллиардов загрузок в неделю (102 +20)
	В результате фишинга атакующим удалось перехватить учётные данные сопровождающего 18 популярных NPM-пакетов, в сумме загруженных более 2 миллиардов раз в неделю. Для скомпрометированных пакетов атакующие успели выпустить новые версии, содержащие вредоносный код. Это самая крупная атака на репозиторий NPM, которая затрагивает не только напрямую атакованные проекты, но сотни тысяч пакетов, зависимых от них... (102 +20) обсуждение | весь текст
·	06.09.2025	В ходе атаки GhostAction скомпрометировано 817 репозиториев на GitHub (112 +15)
	Исследователи из компании GitGuardian выявили массовую атаку на пользователей GitHub, в ходе которой был получен контроль над 327 учётными записями и осуществлена подстановка вредоносного обработчика Github Action в 817 репозиториев. Атака привела к утечке 3325 секретов, используемых в системах непрерывной интеграции и передаваемых через переменные окружения, включая токены доступа к PyPI, GitHub, NPM, DockerHub и различным облачным хранилищам... (112 +15) обсуждение | весь текст
·	24.08.2025	Выпуск эмулятора 86Box 5.0 (78 +31)
	Представлен выпуск проекта 86Box 5.0, развивающего эмулятор систем на базе архитектуры x86, при помощи которого можно запускать старые операционные системы и приложения, включая те, что применялись в начале 1980-годов на компьютерах IBM PC 5150 и IBM PS/2. Поддерживается точная низкоуровневая эмуляция систем, начиная с процессоров 8086 и заканчивая Intel Сeleron Mendocino. Код проекта написан на языке C и распространяется под лицензией GPLv2... (78 +31) обсуждение | весь текст
·	24.08.2025	Атака на браузерные дополнения с менеджерами паролей, использующая кликджекинг (73 +27)
	На конференции DEF CON 33 представлен метод атаки на браузерные дополнения, подставляющие свои элементы интерфейса в просматриваемую страницу. Применение атаки к дополнениям с менеджерами паролей может привести к утечке хранимой в менеджерах паролей информации, такой как параметры аутентификации, параметры кредитных карт, персональные данные и одноразовые пароли для двухфакторной аутентификации. Проблема затрагивает все протестированные менеджеры паролей, включая 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass и Keeper... (73 +27) обсуждение | весь текст
·	18.08.2025	Уязвимости в tar-fs и 7-Zip, позволяющие записать файлы за пределы базового каталога (62 +21)
	В NPM-пакете tar-fs выявлена... (62 +21) обсуждение | весь текст
·	14.08.2025	Уязвимость в реализациях протокола HTTP/2, упрощающая проведение DoS-атак (89 +16)
	Представлена новая техника атаки на реализации протокола HTTP/2, упрощающая проведение атак для вызова отказа в обслуживании через исчерпание ресурсов сервера. Уязвимость получила кодовое имя MadeYouReset и позволяет через манипуляции управляющими кадрами HTTP/2 наводнить сервер большим количеством запросов в обход установленных ограничений... (89 +16) обсуждение | весь текст
·	11.08.2025	Уязвимость в ядре Linux, позволяющая обойти sandbox-изоляцию Chrome (57 +27)
	Исследователи безопасности из компании Google выявили в ядре Linux уязвимость (CVE-2025-38236), позволяющую повысить свои привилегии в системе. Среди прочего уязвимость даёт возможность обойти механизм sandbox-изоляции, применяемый в Google Chrome, и добиться выполнения кода на уровне ядра при выполнении кода в контексте изолированного процесса рендеринга Chrome (например, при эксплуатации другой уязвимости в Chrome). Ошибка устранена в обновлениях ядра Linux 6.1.143, 6.6.96, 6.12.36 и 6.15.5, но эксплуатация уязвимости возможна только начиная с ядра Linux 6.9. Для загрузки доступен прототип эксплоита... (57 +27) обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>