Bug

A sudo 1.9.14–1.9.17 verziókban egy súlyos sérülékenység (CVE-2025-32463) lehetővé teszi, hogy a helyi támadó a sudo -R (vagy --chroot) opcióval root jogosultságot szerezzen, még akkor is, ha nem szerepel a sudoers fájlban.

A probléma abból adódik, hogy a sudo hibásan a chroot-on belüli nsswitch.conf alapján tölt be osztott könyvtárakat, amelyet a támadó manipulálhat.

Megoldás:
A hibát a sudo 1.9.17p1 javítja, a chroot funkciót pedig elavultként jelölték, és jövőbeli verziókból el is távolítják.

Érintett rendszerek: minden, ahol van /etc/nsswitch.conf.

Bejelentés itt.

https://t.co/9qhx1SrRiU

— grsecurity (@grsecurity) February 3, 2025

A grsecurity csapat hívta fel a figyelmet a Google Security Team által fogott AMD mikrokód kezelési sérülékenységre:

A Google Biztonsági Csapata biztonsági sebezhetőséget azonosított néhány AMD Zen alapú processzorban. Ez a sebezhetőség lehetővé teszi, hogy egy támadó, aki helyi rendszergazdai jogosultságokkal rendelkezik, rosszindulatú mikrokód-patcheket töltsön be (a kihasználásához a felhasználónak rendszergazdai jogosultsággal kell rendelkeznie egy VM-en kívül).

[...]

A Google 2024. szeptember 25-én értesítette az AMD-t a sérülékenységről. Az AMD 2024. december 17-én embargó alá eső javítást biztosított ügyfeleinek. Az AMD-vel való koordinálás érdekében a Google egyedi kivételt alkalmazott a szokásos sérülékenység-közlési irányelvéből, és a nyilvános bejelentést 2025. február 3-ára tolta. A közlemény 46 nappal az AMD javításának megosztása után és 131 nappal a Google eredeti jelentése után történt. A részletek 2025. március 5-én lesznek közzétéve.

Részletek itt.

"A remote unauthenticated attacker can silently replace existing printers’ (or install new ones) IPP urls with a malicious one, resulting in arbitrary command execution (on the computer) when a print job is started (from that computer)."

azaz:

Egy távoli, nem authentikált támadó feltűnés nélkül lecserélheti a meglévő nyomtatóink IPP url-jét egy preparált, rosszindulatú site-ra, vagy akár új (fake) nyomtatót is hozzáadhat a rendszerünkhöz. Ha erre nyomtatási fealdat is érkezik, a támadó kódot futtathat a gépünkön.

Microsoft identified multiple vulnerabilities in the open-source platform OpenVPN, integrated into millions of devices worldwide, which could be exploited to create an attack chain allowing remote code execution (RCE) and local privilege escalation (LPE). https://t.co/QXOprJov3u

— Microsoft Threat Intelligence (@MsftSecIntel) August 8, 2024

Kihasználva ezeket a sérülékenységeket olyan exploitálási láncok részeként, amelyek LPE és RCE exploitokat is tartalmaznak, a támadók a távoli rendszerek felett akár teljes ellenőrzést szerezhetnek (vagy egyéb támadásokat hajthatnak végre):

Attackers could chain and remotely exploit some of the discovered vulnerabilities to achieve an attack chain consisting of remote code execution (RCE) and local privilege escalation (LPE). This attack chain could enable attackers to gain full control over targeted endpoints, potentially resulting in data breaches, system compromise, and unauthorized access to sensitive information.

A Microsoft blogbejegyzése itt olvasható.

This morning, we published the Root Cause Analysis (RCA) detailing the findings, mitigations and technical details of the July 19, 2024, Channel File 291 incident. We apologize unreservedly and will use the lessons learned from this incident to become more resilient and better…

— CrowdStrike (@CrowdStrike) August 6, 2024

Elérhető: External Technical Root Cause Analysis — Channel File 291

Windows 11 July Update Breaks Bitlocker, Forces Recovery https://t.co/TiD0IEUDFz pic.twitter.com/MAGgAFFu4N

— TechPowerUp (@TechPowerUp) July 29, 2024

A Microsoft megerősítette, hogy a júliusi KB5040442 Windows 11 frissítés miatt szükség lehet a Bitlocker recovery key előbányászására. Akinek nincs meg, az ijb ... Részletek itt.

Mozilla Firefox 128 Now Available With A Fix For A 25 Year Old Bug Reporthttps://t.co/qhNfdgJGvh

— Phoronix (@phoronix) July 9, 2024

Megjelent a Firefox 128-as kiadása, aminek egyik szórakoztató hozománya, hogy javításra került benne egy negyed évszázada bejelentett bug ... Részletek itt.

For the latest updates and steps to protect your systems visit, https://t.co/srU7v1whHp

— Qualys (@qualys) July 1, 2024

• an Unauthenticated Remote Code Execution (RCE) vulnerability in OpenSSH’s server (sshd) on glibc-based Linux systems
• CVE-2024-6387
• grants full root access
• marks the first OpenSSH vulnerability in nearly two decades—an unauthenticated RCE that grants full root access
• it affects the default configuration and does not require user interaction
• this regression was introduced in October 2020 (OpenSSH 8.5p1)
• over 14 million potentially vulnerable OpenSSH server instances exposed to the Internet

Részletek itt és itt.

Commercial Bank of Ethiopia glitch lets customers withdraw millions https://t.co/AomwPzkTH9

— BBC News (UK) (@BBCNews) March 18, 2024

40 millió dollárnyi kivétet/átutalást sikerült az ügyfelek egy csoportjának véghez vinnie, amire Etiópia legnagyobb kereskedelmi bankja, a Commercial Bank of Ethiopia észlelte a problémát. A legtöbb kivétet tanulók hajtották végre, mert a "szoftverhiba" híre futótűzként terjedt az egyetemeken üzenetküldő szoftvereken és telefonhívásokon keresztül.

Részletek itt.

Critical Vulnerability Allows Access to QNAP NAS Devices https://t.co/NOKTf7dqA0

— SecurityWeek (@SecurityWeek) March 12, 2024

A sérülékenység CVSS pontszáma 9,8/10, azaz kritikus. Az érintett eszközök listája és a leírás itt. Mielőbbi firmware frissítés javasolt!