·	25.11.2025	При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов (91 +31) ↻
	Зафиксирована вторая атака на пакеты в репозитории NPM, проводимая с использованием модификации самораспространяющегося червя Shai-Hulud, подставляющего вредоносное ПО в зависимости. В результате атаки опубликованы вредоносные выпуски 605 пакетов, насчитывающих в сумме более 100 млн загрузок... (91 +31) ↻ обсуждение | весь текст
·	22.11.2025	Уязвимость в libpng, приводящая к переполнению буфера при обработке PNG-изображений (93 +21)
	В корректирующем выпуске библиотеки libpng 1.6.51, применяемой в качестве прямой зависимости у около 600 пакетов в Ubuntu, устранены 4 уязвимости, одна из которых (CVE-2025-65018) приводит к записи за границу буфера. Потенциально данная уязвимость позволяет добиться выполнения своего кода при обработке специально оформленных файлов в формате PNG... (93 +21) обсуждение | весь текст
·	21.11.2025	6 уязвимостей в загрузчике GRUB2, позволяющих обойти UEFI Secure Boot (145 +17)
	Опубликован набор патчей с устранением 6 уязвимостей в загрузчике GRUB2, большинство из которых приводит к обращению к памяти после её освобождения (use-after-free). Потенциально выявленные проблемы могут использоваться для обхода механизма верифицированной загрузки UEFI Secure Boot. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Arch и... (145 +17) обсуждение | весь текст
·	19.11.2025	Разработчики Xubuntu опубликовали отчёт о взломе сайта Xubuntu.org (49 +29)
	Разработчики проекта Xubuntu опубликовали отчёт о произошедшем месяц назад взломе сайта Xubuntu.org, в результате которого на странице загрузки дистрибутива была размещена ссылка на архив "Xubuntu-Safe-Download.zip" с вредоносным кодом. Внутри архива под видом инсталлятора Xubuntu распространялся исполняемый файл для платформы Windows, при использовании которого в систему устанавливалось вредоносное ПО, анализирующее данные в буфере обмена и подменяющее адреса криптокошельков... (49 +29) обсуждение | весь текст
·	15.11.2025	Удалённо эксплуатируемая уязвимость в Bluetooth-стеке платформы Android (57 +22)
	В ноябрьском бюллетене безопасности Android опубликована информация об уязвимости CVE-2025-48593 в подсистеме Bluetooth, которая затрагивает версии Android с 13 по 16. Уязвимости присвоен критический уровень опасности (9.8 из 10) так как она может привести к удалённому выполнению кода при обработке специально оформленных Bluetooth-пакетов... (57 +22) обсуждение | весь текст
·	14.11.2025	Уязвимость в KDE LightDM Greeter, повышающая привилегии с пользователя lightdm до root (36 +21)
	В LightDM KDE Greeter, развиваемой проектом KDE реализации экрана входа в систему, построенной на фреймворке LightDM, выявлена уязвимость (CVE-2025-62876), позволяющая поднять привилегии с непривилегированного пользователя lightdm, под которым запускается LightDM, до пользователя root. Уязвимость устранена в версии lightdm-kde-greeter 6.0.4... (36 +21) обсуждение | весь текст
·	12.11.2025	Обновление sudo-rs 0.2.10 с исправлением двух уязвимостей (144 +19)
	Опубликован выпуск проекта sudo-rs 0.2.10, развивающего написанные на языке Rust варианты утилит sudo и su. Новая версия примечательна исправлением двух уязвимостей, которые проявляются среди прочего в дистрибутиве Ubuntu 25.10, в котором sudo-rs задействован вместо утилиты sudo. Примечательно, что до этого кодовая база sudo-rs успешно прошла два независимых аудита безопасности - в августе 2023 года (NLnet) и в августе 2025 года (NGICore)... (144 +19) обсуждение | весь текст
·	10.11.2025	Атака Whisper Leak по определению тематики общения с AI-чатботами через анализ TLS-трафика (43 +16)
	Исследователи безопасности из компании Microsoft разработали технику атаки по сторонним каналам Whisper Leak, позволяющую на основе пассивного анализа шифрованного трафика, передаваемого через TLS-соединение, классифицировать темы запросов к сервисам на базе больших языковых моделей. Информации о размере сетевых пакетов и задержках между их передачей оказалось достаточно для определения тем запросов к AI-чатботам с точностью более 98%. На практике предложенный метод может применяться для выявления в транзитном трафике пользователя определённых тем запросов, например, попыток получения информации о незаконных действиях, без расшифровки содержимого... (43 +16) обсуждение | весь текст
·	29.10.2025	Обновление X.Org Server 21.1.20 с устранением 3 уязвимостей (187 +27)
	Опубликованы корректирующие выпуски X.Org Server 21.1.19 и DDX-компонента (Device-Dependent X) xwayland 24.1.9, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 3 уязвимости, которым присвоен уровень опасности 7.8 из 10. Проблемы потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH... (187 +27) обсуждение | весь текст
·	24.10.2025	На соревновании Pwn2Own продемонстрированы взломы смартфонов, NAS, принтеров и устройств умного дома (68 +16)
	Подведены итоги трёх дней соревнований Pwn2Own Ireland 2025, на которых были продемонстрированы 46 успешных атак с использованием 73 ранее неизвестных уязвимостей (0-day) в смартфонах, маршрутизаторах, устройствах для умного дома, принтерах, сетевых хранилищах и системах видеонаблюдения. При проведении атак использовались самые свежие прошивки и операционные системы со всеми доступными обновлениями и в конфигурации по умолчанию... (68 +16) обсуждение | весь текст
·	21.10.2025	Уязвимость в Rust-библиотеках для формата TAR, приводящая к распаковке файлов из вложенного архива (239 +51)
	В написанной на языке Rust библиотеке async-tar, предоставляющей функции для чтения и записи tar-архивов, выявлена уязвимость (CVE-2025-62518, кодовое имя TARmageddon), позволяющая при распаковке специально оформленного tar-архива не только извлечь размещённые в нём файлы, но и файлы, содержащиеся во вложенном tar-архиве. Уязвимость может быть использована для обхода систем верификации архивов и распаковки файлов, для которых не выполнялась проверка... (239 +51) обсуждение | весь текст
·	19.10.2025	Взлом сайта Xubuntu с заменой ссылок на странице загрузки на вредоносное ПО (106 +29)
	Официальный сайт дистрибутива Xubuntu скомпрометирован неизвестными злоумышленниками, которые на странице загрузки дистрибутива поменяли ссылки, ведущие на торренты, на файл "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip". В итоге на странице загрузки остались только ссылки на вредоносный архив и доступные зеркала. Разработчики Xubuntu пока не прокомментировали ситуацию, но несколько часов назад удалили вредоносный архив и заблокировали доступ к разделу "xubuntu.org/download/", организовав перенаправление на главную страницу сайта... (106 +29) обсуждение | весь текст
·	16.10.2025	Уязвимость в Samba, позволяющая удалённо выполнить код на сервере (53 +19)
	Опубликованы корректирующие выпуски пакета Samba 4.23.2, 4.22.5 и 4.21.9 с устранением уязвимости (CVE-2025-10230) в реализации сервера разрешения имён WINS, позволяющей добиться удалённого выполнения своего кода на сервере без прохождения аутентификации. Проблеме присвоен наивысший уровень опасности - 10 из 10... (53 +19) обсуждение | весь текст
·	16.10.2025	Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs (24 +8)
	Раскрыты сведения об уязвимостях в обработчиках GitHub Actions, автоматически вызываемых при отправке pull-запросов в репозиторий пакетов Nixpkgs, применяемый в дистрибутиве NixOS и в экосистеме, связанной с пакетным менеджером Nix. Уязвимость позволяла постороннему извлечь токен, предоставляющий доступ на запись и чтение к исходному коду всех пакетов, размещённых в Nixpkgs. Данный токен позволял напрямую вносить изменения в любой пакет через Git-репозиторий проекта, в обход процессов проверки и рецензирования изменений... (24 +8) обсуждение | весь текст
·	14.10.2025	Атака Pixnapping, определяющая содержимое экрана для перехвата 2FA-кодов в Android (70 +31)
	Группа исследователей из четырёх американских университетов разработала технику атаки Pixnapping (CVE-2025-48561), позволяющую из непривилегированных Android-приложений, не запрашивающих дополнительных полномочий, определить содержимое, выводимое на экран другими приложениями. В качестве примера практического применения атаки продемонстрировано определение кодов двухфакторной аутентификации, показываемых приложением Google Authenticator. Так же показано как можно применить атаку для извлечения конфиденциальных данных, выводимых на экран при работе с Gmail, Signal, Venmo и Google Maps... (70 +31) обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>