но все не так ужасно, как могло бы показаться. затрагивает только версии с 3.0.0 по 3.0.6, эксплуатация нетривиальна, но оттягивать апдейт тоже не стоит

https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/
https://www.openssl.org/news/secadv/20221101.txt

Кто-то в AstraZeneca оставил на GitHub набор внутренних паролей, что открыло доступ к облачной системе с данными пациентов.

https://techcrunch.com/2022/11/03/astrazeneca-passwords-exposed-patient-data/

В письме, разосланном в госструктуры и банки, Минцифры попросило «в возможно короткие сроки» уточнить, какие VPN-сервисы они используют или планируют использовать, а также в каких целях они это делают и в каких локациях. В опросном листе компания должна указать название и тип VPN, систему, интернет-ресурс и т. д., для использования которых необходим VPN, в том числе в технологических целях (банки/банкоматы, платежные системы, системы хранения данных и т. п.), а также город, регион России или страну использования.

Блокировке оставшихся сервисов VPN быть?

https://www.vedomosti.ru/technology/articles/2022/11/08/949240-roskosmos-rosteh-i-banki-otchitayutsya-ob-ispolzovanii-vpn?from=newsline

Изменения затронут только Россию — для пользователей за пределами страны набор функций и VPN-серверов не изменится. Русскоязычная версия приложения останется на сайтах компании и в магазинах приложений. В пресс-службе компании отказались комментировать «Интерфаксу» причины отключения VPN-приложения.


https://vc.ru/services/535076-laboratoriya-kasperskogo-otklyuchit-svoy-vpn-servis-v-rossii

ноябрьский Patch Tuesday у Microsoft. 68 уязвимостей, включая 4 zero day

-CVE-2022-41128, JScript9 RCE, via Google TAG
-CVE-2022-41091, MOTW bypass
-CVE-2022-41073, Print spooler EoP, via MSTIC
-CVE-2022-41125, CNG EoP

https://rawcdn.githack.com/campuscodi/Microsoft-Patch-Tuesday-Security-Reports/1a976afcf461b6f104d40601305e4c9773175f57/Reports/MSRC_CVEs2022-Nov.html

К слову о патчах Microsoft - пара CVE в Windows Server

https://support.microsoft.com/en-us/topic/kb5021131-how-to-manage-the-kerberos-protocol-changes-related-to-cve-2022-37966-fd837ac3-cdec-4e76-a6ec-86e67501407d

https://support.microsoft.com/en-us/topic/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb

«Проукраинские» хакеры похитили данные пользователей подконтрольного «Газпром-медиа» сервиса Yappy, сообщают профильные Telegram-каналы и подтверждают источники «Ъ». В открытом доступе оказались таблицы на 2 млн строк, в них содержатся ФИО, мобильные телефоны, даты регистрации и другие данные пользователей сервиса. Эксперты предполагают, что злоумышленники получили доступ к данным через аккаунт одного из администраторов сервиса.

https://www.kommersant.ru/doc/5653066

для macOS/iOS тоже вышли апдейты (macOS 13.0.1 и iOS 16.1.1/iPadOS 16.1.1), исправляющие парочку CVE

https://support.apple.com/en-us/HT213504
https://support.apple.com/en-us/HT213505

По информации телеграм канала @Data1eaks, в базе содержатся 7.237.427 уникальных телефонов, которые уже доступны в боте @PhoneLeaks_bot. На популярном хакерском форуме продается полная база данных. Файл с промокодами и два файла с пользователями содержат следующие поля:

• Имя;
• Эл. почта;
• Телефон;
• Часть данных банковских карт;
• Другие детали.

https://www.securitylab.ru/news/534762.php

А что случилось? куда подевались суверенные сертификаты?

как чувак нашел уязвимость в Google Pixel, позволявшую разблокировать любой заблокированный телефон и получил за это 70 тыс долларов

https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/

https://source.android.com/docs/security/bulletin/2022-11-01

на протяжении последних пары недель было несколько новостей о том, что Apple активно собирает из своих приложений продуктовую аналитику, даже если пользователь при настройке телефона указывал свое несогласие отправлять аналитику в Apple. Теперь за это против Apple подали иск в суд

https://news.bloomberglaw.com/litigation/apple-hit-with-class-action-over-tracking-of-mobile-app-activity
https://www.bloomberglaw.com/public/desktop/document/LibmanvAppleIncDocketNo522cv07069NDCalNov102022CourtDocket?1668427016

https://gizmodo.com/apple-iphone-analytics-tracking-even-when-off-app-store-1849757558

https://www.youtube.com/watch?v=8JxvH80Rrcw

в принципе, трех минут достаточно должно быть

https://www.smh.com.au/national/queensland/hackers-show-porn-on-brisbane-billboard-for-three-minutes-20221121-p5bzyc.html

“We assessed the vulnerable component to be the Boa web server, which is often used to access settings and management consoles and sign-in screens in devices. Despite being discontinued in 2005, the Boa web server continues to be implemented by different vendors across a variety of IoT devices and popular software development kits (SDKs). Without developers managing the Boa web server, its known vulnerabilities could allow attackers to silently gain access to networks by collecting information from files. Moreover, those affected may be unaware that their devices run services using the discontinued Boa web server, and that firmware updates and downstream patches do not address its known vulnerabilities.”

https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/

интересно, что “взлом whatsapp”, о котором успели написать некоторые издания (“500 миллионов украли!!!”), и не взлом вовсе

https://www.linkedin.com/posts/alon-gal-utb_whatsapp-notabreach-stopscrapingyoulittleshits-activity-7001821915610800128-nSR_/

(вот пример такой статьи о взломе https://cybernews.com/news/whatsapp-data-leak/)

Хоть что-то хорошее от прихода Маска в Твиттер - говорят, что на базе протокола Signal сделают сквозное шифрование для direct messages в сервисе. Посмотрим, как они это объединят между вебом и разными клиентами, включая сторонние.

https://www.tesmanian.com/blogs/tesmanian-blog/twitter-will-adopt-the-signal-protocol-for-encrypted-dms-says-security-researcher

Ирландия продолжает штрафовать Фейсбук за утечку данных 500 млн пользователей, теперь еще на 275 млн долларов. Всего сумма штрафа приближается уже к 1млрд долларов. Тогда, напомню, у многих юзеров утекли имейлы, номера телефонов и у некоторых — геолокационные данные.

https://www.thestreet.com/social-media/meta-fined-275-million-in-irish-data-leak-case

29 уязвимостей в драйверах Nvidia, включая пару весьма критичныэ. к счастью, исправлены последним апдейтом

https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/

какаято мутная история про то, что камеры Eufy якобы закидывают в свое облако картинки с камеры, даже если облачная функциональность у камеры отключена — пока что это касается превьюшек с видео. Там дальше начинается еще более странное что-то, про то, что стримы с камер можно смотреть с помощью VLC, а данные при этом передаются без шфирования (хотя, конечно же, компания на сайте рассказывает про military grade encryption. я обычно как вижу такое обещание, сразу думаю “пиздят”). там есть и ответ компании про то, что такие превьюшки нужны для уведомлений через пуши об обнаружении объектов на видео, и потом они удаляются. и компания сожалеет, что толком этого не объяснила. ну не знаю, “без облака” должно значить “без облака”, и нефиг тут.

https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/