Организация Apache Foundation предупредила разработчиков о необходимости обновить используемые ими установки Struts 2 и использующие код проекты. Причина – критическая уязвимость в ключевом компоненте фреймворка. Согласно выпущенному на этой неделе уведомлению , CVE-2016-1000031 представляет собой ошибку десериализации в библиотеке commons-fileupload, позволяющую запуск в Java Object непроверенного кода.

Специалист ИБ-компании Malwarebytes Джером Сегура (Jérôme Segura) рассказал об используемой блокировщиками браузеров новой технике обфускации. Новый метод был взят на вооружение мошенниками, выдающими себя за техподдержку, для блокировки браузеров жертв в обход обнаружения. Блокировщики браузеров как правило используются мошенниками для «заморозки» браузера и блокировки доступа к компьютеру или навигации по сайтам.

Специалист компании F-Secure Андреа Барисани (Andrea Barisani) выявил недоработку в дизайне открытого универсального загрузчика U-Boot (Universal bootloader), связанную с недостаточной проверкой доступной памяти. Проблема может быть проэксплуатирована для обхода процесса валидации и последующей загрузки и выполнения произвольного кода на системе.

Компании Google и Facebook поддержали новые интернет-стандарты, предложенные одним из создателей Всемирной паутины Тимом Бернерсом-Ли (Tim Berners-Lee).

Исследователь в области кибербезопасности Сергей Зеленюк обнародовал подробную информацию об уязвимости в виртуальной машине Oracle VirtualBox, позволяющей выйти за пределы виртуализированной среды гостевой машины и повысить привилегии до уровня кольца защиты (Ring) 3 (почти все пользовательские программы). Проблема затрагивает VirtualBox 5.2.20 и более ранние версии.

Сотрудники команды Cisco Talos зафиксировали ряд кампаний, направленных против пользователей популярного мессенджера Telegram и фотохостинга Instagram в Иране, в том числе с использованием BGP-перехвата трафика. По данным исследователей, кампании начались в 2017 году и активны по сегодняшний день. В рамках атак злоумышленники создают приложения-клоны Telegram и Instagram, доступные для загрузки в неофициальных интернет-каталогах.

В инструкции от производителя машин для голосования, использующихся в десяти штатах, рекомендуется использовать простые, легко взламываемые пароли и повторно использовать одни и те же пароли при смене учетных данных. С 2016 года (год президентских выборов в США) основатель финской ИБ-компании Nordic Innovation Labs Харри Хурсти (Harri Hursti) провел оценку рисков в нескольких штатах.

В решении для зарядки электромобилей CirCarLife от испанской компании Circontrol исправлены две уязвимости, позволяющие удаленному атакующему похитить учетные данные в открытом виде с целью обхода аутентификации, а также получить доступ к конфиденциальным данным. Проблема затрагивает все версии CirCarLife до 4.3.1.

Специалисты Калифорнийского университета в Риверсайде продемонстрировали новые методы атак по сторонним каналам на графические процессоры (GPU), позволяющие с легкостью отслеживать интернет-активность пользователей, похищать пароли и компрометировать облачные приложения. Web-браузеры используют графические процессоры для обработки изображений на компьютерах, лэптопах или смартфонах. Графические процессоры также применяются для ускорения работы приложений в облачных средах и дата-центрах.

Атаки по сторонним каналам представляют серьезную угрозу безопасности АСУ ТП, предупредил исследователь безопасности на конференции SecurityWeek ICS Cyber Security Conference, проходившей в Атланте (США) в прошлом месяце. Старший инженер американской машиностроительной корпорации Eaton Демос Андреу (Demos Andreou) изучил устройства, используемые для обеспечения безопасности на предприятиях энергетического сектора, в особенности на электрических подстанциях.