eMudhra уходит с рынка сертификатов
DrSoong // 24.10.26 17:37
Индийский удостоверяющий центр eMudhra объявил, что прекращает выпуск SSL/TLS-сертификатов.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2026/10/11.html]
Поводом стали публичные отчёты о слабых закрытых ключах. Самый простой из них оказался числом 4, остальные тоже немногим сложнее: 56, 66, 115, 155, 156, 230 и 237. Исследователи без труда восстановили все восемь значений, а сообщение в Mozilla ушло 17 октября.

Компания объясняет решение не только скандалом: растут расходы на соблюдение требований, а бесплатные поставщики сертификатов отбирают клиентов.

Источник: The Register теги: ssl  |  обсудить  |  все отзывы (0)  |  обсудить в tg

Очередную уязвимость в PHP не будут срочно исправлять
DrSoong // 24.10.26 10:44
На фоне устранения критических уязвимостей PHP2Shell исследователи обнаружили ещё одну проблему, позволяющую добиться удалённого выполнения кода.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2026/10/10.html]
Она получила идентификатор CVE-2026-115560. PHP Foundation подтвердила наличие уязвимости, но решила выпустить полноценное исправление в рамках следующего планового обновления, а не экстренного релиза.

По объяснению разработчиков, для успешной эксплуатации требуется необычное сочетание настроек PHP и поведения приложения. Приложение должно использовать определённый обработчик сериализации сессий, переключать его во время выполнения, а также оставлять включённой функцию отслеживания прогресса загрузки файлов. По оценке PHP Foundation, подобная конфигурация редко встречается на практике, поэтому риск существенно ниже, чем у двух предыдущих уязвимостей PHP2Shell.

До выхода исправления разработчики рекомендуют отключить отслеживание прогресса загрузки файлов, установив параметр session.upload_progress.enabled=0.

Источник: The Register обсудить  |  все отзывы (0)  |  обсудить в tg

У Capcom утекли адреса 11.7 миллиона аккаунтов
DrSoong // 24.10.26 02:14
Японская игровая компания Capcom, создатель Resident Evil, Monster Hunter и Street Fighter, подтвердила взлом сервиса CAPCOM ID.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2026/10/09.html]
Под удар попали больше 11.7 миллиона адресов электронной почты. Вместе с ними ушли дата создания аккаунта, время последнего входа, число входов и IP-адрес последней авторизации.

У небольшой группы из 43 аккаунтов утекло больше: даты рождения, пол, никнеймы и страны. Ещё в 196 аккаунтах хакеры сменили пароли, пытаясь заблокировать владельцев. Capcom заметила это и сбросила пароли.

Подозрительную активность и несанкционированный доступ компания зафиксировала 19 октября, а 21-го сообщила в полицию и в Комиссию по защите персональной информации Японии. Когда именно произошёл взлом, неясно. Способ проникновения Capcom определила и закрыла, но подробностей не раскрывает.

Источник: Bleeping Computer теги: leak  |  обсудить  |  все отзывы (0)  |  обсудить в tg

GitLab предупреждает о критической уязвимости
DrSoong // 23.10.26 11:10
В GitLab выпустили исправления для критической уязвимости CVE-2026-110264, позволяющей выполнять произвольный код на сервере без аутентификации.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2026/10/08.html]
Проблема затрагивает GitLab Community Edition и Enterprise Edition, включая версии, выпущенные ещё в 2014 году. Причина связана с переполнением целого числа при компиляции специально подготовленного регулярного выражения.

Особую опасность уязвимость представляет для самостоятельно развёрнутых экземпляров GitLab, которые могут хранить исходный код, конфигурации CI/CD, токены доступа, секреты развёртывания и сведения о производственной инфраструктуре.

Исправления выпущены для веток 19.5, 19.4, 19.3 и ряда более старых поддерживаемых версий. Облачная версия GitLab.com уже исправлена.

Источник: Bleeping Computer теги: уязвимости  |  обсудить  |  все отзывы (0)  |  обсудить в tg

PHP2Shell начали эксплуатировать за четыре дня до патчей
DrSoong // 22.10.26 17:19
В Amazon заметили попытку эксплуатации уязвимостей в PHP еще 17 октября, за четыре дня до выхода исправлений.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2026/10/07.html]
Cloudflare фиксирует резкий скачок атак, Hadrian пишет о «крупномасштабной» эксплуатации. Amazon советует копать глубже обычного и проверять журналы минимум с 17 октября, а не считать системы чистыми до публичного раскрытия.

Тем временем вокруг релиза разгорелся скандал. Chainguard опубликовал образы с исправлением за шесть с лишним часов до согласованного срока, и в PHP считают, что это поставило под удар огромную часть веба.

Источник: The Register теги: php  |  обсудить  |  все отзывы (0)  |  обсудить в tg

1  |  2  |  3  |  4  |  5  |  6  |  7  |  8  |  9  |  10   »    »»