Fast Company: Google случайно допустил утечку диалогов из чат-бота Bard в общую поисковую выдачу

– Google проиндексировал URL-адреса чатов своего Bard
– Они были доступны в поиске при определенных запросах
– По ссылкам были доступны личные беседы пользователей
– Сам по себе разговор с Bard является конфиденциальным
– Но сервис содержит возможность поделиться своим чатом
– Т.е. пользователь сам может отправить ссылку на разговор
– Похожую кнопку «поделиться» содержит также ChatGPT
– Google уже начал блокировать индексацию таких чатов
– Компания, по-видимому, признала индексацию ошибкой

@ftsec

о стоимости уязвимостей для iOS и Android. Полезно также напомнить, что Operation Zero — российская компания

zero day с рейтингом 9.8 в Exim выглядит очень очень плохо

https://www.zerodayinitiative.com/advisories/ZDI-23-1469/

Downfall, уязвимость в процессорах Intel

https://downfall.page/


“This vulnerability, identified as CVE-2022-40982, enables a user to access and steal data from other users who share the same computer. For instance, a malicious app obtained from an app store could use the Downfall attack to steal sensitive information like passwords, encryption keys, and private data such as banking details, personal emails, and messages. Similarly, in cloud computing environments, a malicious customer could exploit the Downfall vulnerability to steal data and credentials from other customers who share the same cloud computer.”

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40982

A potential security vulnerability in some Intel® Processors may allow information disclosure.  Intel is releasing firmware updates and an optional software sequence to mitigate this potential vulnerability.

https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html

Но и AMD не отстает

https://comsec.ethz.ch/research/microarch/inception/

https://nvd.nist.gov/vuln/detail/CVE-2023-20569

This means all Ryzen and Epyc CPUs released by AMD over the years contain the Inception security vulnerability. AMD recommends installing microcode updates. Microsoft distributed a Windows update in July that closes this gap. “AMD believes this vulnerability is only potentially exploitable locally, such as via downloaded malware, and recommends customers employ security best practices, including running up-to-date software and malware detection tools,” AMD says.

Популярное расширение для браузеров Privacy Badger умеет еще защищать от слежки Google через ссылки, по которым ходит пользователь — в частности, ссылки в Google Docs, Gmail, Google Maps, и в Google Images.

https://privacybadger.org

https://www.eff.org/deeplinks/2023/09/new-privacy-badger-prevents-google-mangling-more-your-links-and-invading-your

Неприметные объекты ФСО в Москве, конспиративная база службы наружного наблюдения ФСИН в Петербурге, склад боеприпасов в Ленинградской области, адреса пунктов ФСБ в Ингушетии, прикидывающиеся «секретными объектами» дачи руководства — все эти места в России по закону относятся к государственной тайне. И все их можно найти в перечнях особых потребителей электроэнергии.

https://dossier.center/dz-russia/

lol

вышли патчи https://www.exim.org/download.html

И немножко анализа происходящего
https://labs.watchtowr.com/exim-0days-90s-vulns-in-90s-software/

libwebp продолжает напоминать о себе, теперь апдейтами у Microsoft

https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/

какая-то смешная и странная история про то, как некий чувак с помощью bluetooth на телефоне управляет бензоколонками. в итоге он типа активирует подачу топлива каким-то людям, которые затем бесплатно набирают топливо из колонки. Технических деталей, конечно же, нет

https://www.fox2detroit.com/news/detroit-man-steals-800-gallons-using-bluetooth-to-hack-gas-pumps-at-station

октябрский патч безопасности у Android, включает исправления для 54 уязвимостей, включая две (CVE-2023-4863 — все еще libwep, и CVE-2023-4211) в ограниченной, таргетированной эксплуатации, по словам Google.

https://source.android.com/docs/security/bulletin/2023-10-01

Sony подтвердила взлом, и рассылает сотрудникам уведомление о том, что их персональная информация могла быть похищена в результате кибератаки

https://www.documentcloud.org/documents/24005170-sample-individual-notice-10032023?responsive=1&title=1

Федеральная служба безопасности хочет обязать организаторов распространения информации (ОРИ) хранить и предоставлять сведения о геолокации пользователей и средствах их платежей.
Соответствующий проект постановления Правительства опубликован на портале проектов правовых актов.

http://regulation.gov.ru/p/142353

https://roskomsvoboda.org/post/fsb-trebuyet-platezh-i-geoloc/

Да где же этому конец

Impact: A local attacker may be able to elevate their privileges. Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 16.6.

https://support.apple.com/en-gb/HT213961

A vulnerability in Cisco Emergency Responder could allow an unauthenticated, remote attacker to log in to an affected device using the root account, which has default, static credentials that cannot be changed or deleted.

lol

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9

и у Atlassian там все тоже не очень. даже очень не очень — a maximum severity zero-day vulnerability

https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html

https://jira.atlassian.com/browse/CONFSERVER-92475

цитирую читателя:

“ЕЩЁ И КУРЛ ГОСПОДИ https://github.com/curl/curl/discussions/12026”