Топ-5 ИБ-событий недели по версии Jet CSIRT

Сегодня в ТОП-5 — новая 0-day уязвимость в Windows, разбор 0-day уязвимости в Opera, обнаружение искусственным интеллектом 0-day уязвимости в SQLite, устранение 0-day уязвимоcти в Hybrid Backup Sync, новая уязвимость в WordPress.

Новая 0-day уязвимость в Windows

Исследователи из компании 0patch сообщили об обнаружении новой уязвимости в Windows, связанной с обработкой файлов тем оформления. Уязвимость была выявлена в ходе анализа патча Microsoft для CVE-2024-38030 (CVSS: 6.5). Вредоносные файлы тем, при их просмотре в проводнике Windows, инициируют автоматическую отправку NTLM-учетных данных пользователя на удаленные серверы злоумышленников. Это позволяет перехватить учетные данные, даже если пользователь не взаимодействует с файлом напрямую — достаточно, чтобы файл был виден в проводнике или на рабочем столе. Проблема возникает из-за того, что система автоматически отправляет сетевые запросы к указанным в теме ресурсам. В прошлом Microsoft пыталась исправить аналогичную уязвимость CVE-2024-21320 (CVSS: 6.5) с помощью функции PathIsUNC, которая проверяет путь к файлу на принадлежность к сети и игнорирует такие пути. Специалисты 0patch выпустили бесплатные микропатчи для версий от Windows 7 до Windows 11 24H2.

CrossBarking — разбор 0-day уязвимости в Opera

Исследовательская лаборатория Guardio Labs выявила серьезную уязвимость в браузере Opera, позволяющую вредоносным расширениям получать полный доступ к закрытым API. Угроза получила название CrossBarking и позволяет несанкционированно захватывать экран, изменять настройки браузера и красть данные учетных записей. Уязвимость была обнаружена в закрытых API Opera, которые используются для функций Flow, Wallet, Pinboard и других. Эти API предоставляют специальные привилегии определенным доменам, таким как opera.com, и его поддоменам. Некоторые из этих привилегированных доменов, включая внутренние тестовые серверы Opera, остаются публично доступными, что создает дополнительный вектор атаки. В ответ на выявленную угрозу команда Opera опубликовала исправление, которое закрывает доступ к привилегированным доменам для внешних расширений, а также забирает привилегии у некоторых сторонних доменов.

Искусственный интеллект обнаружил 0-day уязвимость в SQLite

Исследователи Google Project Zero и Google DeepMind объявили о первом успешном применении искусственного интеллекта для поиска уязвимостей. Искусственный интеллект в рамках проекта смог выявить опасную уязвимость с переполнением буфера в SQLite — одной из самых распространенных баз данных с открытым исходным кодом. Информация о выявленной уязвимости, прежде не зафиксированной традиционными методами тестирования, была передана разработчикам SQLite. По словам разработчиков, технология Big Sleep способна находить ошибки, которые не всегда выявляются традиционным тестированием. В отличие от методов fuzzing, которые ориентируются на случайные генерации данных, Big Sleep анализирует код с учетом ранее обнаруженных уязвимостей и возможных паттернов в их структуре. Такой подход помогает находить потенциальные ошибки быстрее и с большей точностью.

Устранение 0-day уязвимоcти в Hybrid Backup Sync

Компания QNAP выпустила обновление для критической уязвимости нулевого дня, которая была найдена исследователями по безопасности при взломе NAS-устройства TS-464 во время конкурса Pwn2Own Ireland 2024. Уязвимость получила идентификатор CVE-2024-50388 (CVSS: 9.8). По данным QNAP, эксплуатация данной угрозы может позволить злоумышленникам удаленно выполнять произвольные команды на NAS-устройстве из-за недостаточной фильтрации входных данных. Поскольку HBS 3 запускается с привилегиями системы, злоумышленник может получить администраторские права и полный контроль над устройством. Обновление безопасности, исправляющее проблему, доступно в HBS 3 Hybrid Backup Sync версии 25.1.1.673 и выше.

Новая уязвимость в WordPress позволяет повышать привилегии

Сообщество Patchstack Alliance сообщило об уязвимости в плагине LiteSpeed Cache для WordPress, которая позволяла неавторизованным пользователям получать доступ уровня администратора. Угрозе был присвоен идентификатор CVE-2024-50550 (CVSS: 8.1). Причиной уязвимости стала функция «is_role_simulation», связанная со сканером Crawler. Ошибка давала возможность обойти проверку безопасности хешей и повышать привилегии, что позволяло злоумышленникам загружать и устанавливать вредоносные плагины. Компания LiteSpeed устранила проблему в версии LiteSpeed Cache 6.5.2, удалив функцию имитации роли и укрепив механизм генерации случайных значений.