セキュリティで今週:Samba、Wormhole Crypto Heist、Bogus Cve

Sambaは非常に大きな脆弱性、CVE-202-44142を持っています。 4.15.5と同様に。 TrendMicroの研究者によって見つけられ、この認証されていないRCEのバグはCVSS 9.9で評価されます。節約猶予は、それが有効にされるフルーツVFSモジュールを必要とすることです。これは、MacOSクライアントとサーバー相互コップをサポートするために利用されます。有効になっている場合、デフォルト設定は脆弱です。 POCのコードがすぐに減少する可能性が高いため、攻撃は野生では見られませんでしたが、POCコードが遅くなる可能性が高いため、更新されるだけでなく更新されます。

ワームホールの暗号化

1つの注目に値する販売ポイント、web3は賢明な契約であり、介入なしで非常に迅速に連動する可能性があるブロックチェーンで直接実行されるビットコンピュータプログラムです。グラールな欠点がこれらのものであることは、介入なしで、非常に迅速に送金できるコンピュータプログラムです。今週は、攻撃者がワームホールブリッジを通して326百万ドルのエセラーを盗んだとき、職場での賢明な契約のもう1つの例でした。 CryptoCurrency Bridgeは、2つの異なるブロックチェーン上のリンクされた契約として存在するサービスです。これらの契約により、片側に通貨を入れて、他のブロックチェーンに効率的に通貨を譲渡することができます。私たちが何が悪かったのかを理解することは、[Kelvin Fichter]も同様に[SmartControcts]として適切に理解されています。

ブリッジが転送を行うと、トークンは1つのブロックチェーン上のWISE契約に堆積され、転送メッセージが生成されます。このメッセージはデジタル検査アカウントチェックのようなものです。ブリッジのもう一方の端は「チェック」のシグネチャーを検証します。この問題は、橋の一方の側で、検証ルーチンがエンドユーザーによって、そしてコードがそれをキャッチしなかったということです。

それは暑い点検詐欺です。攻撃者は、偽装された転送メッセージを作成し、Bogus検証ルーチンを提供し、ブリッジはそれを本物として受け入れました。お金の大部分は、他のユーザーの有効なトークンが開催されていた、そして攻撃者がそれらの民族トークンの90,000人で歩き回っていました。

9.8 CVEはそうではありませんでした

安全性およびセキュリティ報告書を扱うことは困難になる可能性があります。たとえば、英語はすべての最初の言語ではありませんので、文法の間違いと同様にスペルで電子メールが入手可能な場合は、それを拒否するのが簡単ですが、これらの電子メールは本当に深刻な問題を知らせています。それ以降は、ChromeのDevToolsが最初に初めてChromeのDevToolsを見つけたので、レポートを入手しています。

CVE-2022-0329はそれらの一つでした。懸念されるバンドルはPythonライブラリです。ロギングライブラリのメジャーCVE? Webは一括して1つのLog4Jスタイルの問題についてまとめてブレースされています。それから、より多くの人々が脆弱性報告書とバグ報告を見て、そして問題の妥当性に関する課題の質問を見始めました。そんなに、CVEが取り消されたこと。 githubが自動通知を発送していたというそのような高い安全性とセキュリティの問題として、バグ以外のバグがどのように評価されましたか。

理論的な脆弱性は、LOGURUの依存関係として含まれているPICKLEライブラリが、信頼されていないデータを安全に逆シリアル化しない逆シリアライゼーションの問題でした。それが有効な問題ですが、レポートは、Roguruが信頼できないデータを危険な方法で逆シリアル化することができる方法を正確に説明できませんでした。

ここでプレイするというアイデアは、「気密ハッチウェイ」です。任意の種類のコードベースまたはシステムでは、プログラムデータを操作することができる点がコードの実行をもたらす可能性がある。これは、そのアサルトがすでにプログラムを管理している必要があることを実行するときに気密ハッチウェイの背後にあります。この場合、ピクルスが逆シリアル化する項目を開発できる場合は、任意のコードの実行がすでにあります。それはそのようなインスタンスを修復するのに適していない状態ではありませんが、それは脆弱性を修復していません。

これがレールから出たところです。 [デルガン]は、Loguruの後ろのデザイナーが本当の脆弱性ではなかった、しかし彼はそのアイデアを中心にいくつかのコード強化を行うことを望んでいるので、承認された元の脆弱性報告書をマークしました。このセットでは、自動化された機械類を動かし、CVEが発行されました。そのCVEは、問題の素朴な包括的な、おそらく自動化された動作も同様に信じられないほど深刻に設定されました。この自動化されたフレンジーは、誰かが最後に踏み込まれる前に、すべての方法をGithub Advisoryに続けています。n。

Windows Eop Pop

1月、Microsoft Patched CVE-2022-21882、Win32コードのWindowsのエスカレーション。それをあなたにトリックさせないでください、それは64ビットバージョンの窓に存在します。あなたがあなたの最新情報の後ろになっているならば、あなたはこのバグのために概念の証明が下がったので、忙しくしたいかもしれません。これはパッチバイパスとして報告されており、これはこの基本的にはCVE-2021-1732とまったく同じ課題になりました。

QNAPが更新されました

そして個人がチェックされています
これらのスタイルのガジェットがまだランサムウェア窃盗犯のためのもう1つの魅力的なターゲットであるため、安全性とセキュリティゲームを伸ばすためにQNAPと他のNASプロデューサーが必要とされています。そのため、QNAPが「Deadbolt」マルウェアキャンペーンで悪用されていた欠陥を見つけたとき、彼らは自動更新を有効にしたすべての個人に更新を強制的に押すことを選択しました。これは、更新が通常インストールされると同時に、再起動に要求の同意を得て、これは自発的に再起動され、おそらく最悪の場合のデータの損失を引き起こします。

QNAPは自分の考えを主題のredditスレッドに提供しています。少なくとも1つの個人は、この関数が無効になっていた、そして更新がまだ自動インストールされているのかなり強調性です。どうしたの?

公式の答えがあります。以前のアップデートでは、新しい機能が追加されました。これは自動アップデートとして機能しますが、大きな問題が発生した場合に限ります。これは必要なプッシュを有効にする設定、およびデフォルトはオンになります。 (公平性では、それはパッチノートにありました。)これらのような電化製品上の更新を処理することは常に困難であり、そしてランサムウェアの迫り良きリスクも粘着性にさえします。

それで、あなたはどう思いますか、QNAPは顧客の世話をするだけでしたか?あるいはこれは、ロックされたファイリングカップボードの底部の地下に掲載されています。コメントで理解しましょう、または不審者があなたのものであるならば、列に捧げられた新しいチャンネル!

Leave a Reply

Your email address will not be published. Required fields are marked *

Related Post

Facebook MessengerFacebook Messenger

Facebookを使用しないFacebookチャットを再び容易にします。これは、多くのインターネットユーザーに使用され、愛されている有名なソーシャルメディアネットワークであり、最近、モバイルアプリに関連するいくつかの論争を引き起こしました。 Facebookは、2つのスタンドアロンアプリを持つための動きを開始しました。1つはFacebookチャットと呼ばれていたもの、もう1つはFacebookである他のすべてのものについてです。多くのユーザーは、1つのアプリにすべてを使用することを好むため、この変更に対して否定的に反応しました。これは、ユーザーがバッテリーの寿命を引き出し、スペースをとる2つの別々のアプリを使用していることを示しています。多くの場合、1つのソーシャルネットワークに2つのアプリを切り替える必要があるのは苦痛です。 XDAのシニアメンバーであるAntaresoneは、これらの不幸なユーザーの1人であるため、問題を自分の手に取り入れることを決定しました。これは、古いFacebookアプリがはるかに良い方法で機能していると感じている他のユーザーにとって朗報につながりました。 Antaresoneは、Facebookアプリ内でチャットサービスを再度に戻すアプリを作成しました。 Facebookが単にサービスを無効にし、完全に削除したわけではないため、これは達成されました。そのため、分割が起こったときにFacebookアプリのサイズが大幅に減らなかった理由を理解しました。 Facebook Messengerを十分に持っていて、以前のセットアップに戻りたい場合は、Antares Oneのアプリを使用してFacebookチャットを再び可能にします。このアプリは1回の起動のみを必要とし、Facebookチャットが復元されます。ただし、まだすべてのデバイスで作業していると確認されていません。 ReEnablerは、2.3を超えるAndroid OSで使用できます。この場合、デバイスは実際のFacebookアプリもサポートし、新しいAndroid Lollipopまで進んでいます。複雑なのは、Facebookアプリでのみ動作し、バージョン番号20.0.0.25.15(または低い)および21.0.0.23.12(現在の現在のバージョンです)で動作します。 したがって、「Anti-facebook Messenger」ムーブメントに興味がある場合、必要なのは次のことだけです。 バージョン番号がサポートされているかどうかを確認してください。そうでない場合は、アップデートが必要である場合は、サポートされているバージョン番号を備えたFacebook.apkをダウンロードして自分でインストールすることができます。 Antaresoneの信じられないほどのファイルをこちらからダウンロードしてください。 インストールして実行します。 そうです、少なくとも今回は1、2、3と同じくらい簡単です。明らかに、ファイルがFacebookの将来のバージョンで動作するかどうかは不明であるため、動作していることが確認されるまで、今のところ更新から離れるのが最善かもしれません。また、Facebookがおそらくある段階でこの休眠コードを削除することを決定し、このアプリの目的を無効にし、とにかくメッセンジャーアプリを使用する必要があることを心に留めておくことをお勧めします。 Antaresoneはまた、両方のFacebookアプリを同時に実行するというバッテリーの排水は衝撃的であり、それが大量のRAM使用量を引き起こし、それがデバイスを遅くする可能性があると述べています。元のXDAスレッドをチェックして、他の人のコメントを表示し、このアプリの進捗状況を最新の状態に保ちます。 次を読んでください 暗いテーマと黒い壁紙はバッテリーを保存しますか?

Samsungのフラッグシップほど重要な数字で販売していないにもかかわらず、Google Pixel GadgetsをストックファームウェアとロックブートローダーSamsungのフラッグシップほど重要な数字で販売していないにもかかわらず、Google Pixel Gadgetsをストックファームウェアとロックブートローダー

に戻す方法、Googleのデバイスは、以前のNexusラインでさえも、熱心な3番目のラインでも喜びを感じています。パーティーデザイナーのサポート。これが、2013年第4四半期にリリースされたNexus 5が、5年後に最も現在のAndroid 8.1 Oreoを更新できる理由です。 Google Pixelガジェットは、この点で顕著なものではありません。その背後にこのような強力な近所があるため、Google Pixelガジェットには多くのROMと他のMODがあり、そのうちのいくつかは他のガジェットに移植される可能性が高いです。 MODやカスタムメイドのROMのインストールなどのことを行ったことがある場合は、物事が常にうまくいかないことを理解できます。以前にバックアップを作成したことがあるかもしれませんが、そうでないかどうかはどうでしょうか?さて、Google Pixelガジェットをファームウェアに戻す方法を正確に紹介します。 要件 もちろん、ロック解除されたGoogle Pixelデバイス。あなたはおそらく、他にどのようにそれを台無しにしたのかを正確に正確にしているので、あなたはすでにロック解除されたガジェットを持っているでしょう。 Google Pixelデバイス用の適切なストックファクトリー画像。これは、以下のダウンロードセクションからダウンロードできます。 Google SDKプラットフォームツールが必要です。これは、デスクトップOSに応じて、以下のダウンロードセクションからダウンロードできます。 携帯電話でUSBデバッグを有効にします。 インテリアストレージ、メッセージ、連絡先の合計、およびその他の必要なデータをバックアップすることを確認してください。このプロセスには、デバイスのフォーマットが必要です。ただし、必要に応じてこれを防ぐことができます。 Windows PCを使用している場合は、同様に最新のGoogle USBドライバーをインストールするための要件が​​あります。 ダウンロード SDKプラットフォームツール – ダウンロードされたアーカイブを抽出し、プラットフォームツールというフォルダーを取得する必要があります。 ウィンドウズ マック Linux Google Designer

FelixのマシンFelixのマシン

OK、私たちはあなたが怒ることになることを知っています、本質的に技術側の情報はありません。 しかし、音楽はとても楽しかった、そしてそれはまれです。 彼がプロジェクトの背後にある目標やアイデアを回避するFelixとのインタビューがあります。 私たちはただ座って楽しむのが好きです。 あなたが似たようなものを作りたいのなら、最近機械的なドラムにいくつかの技術的な詳細がありました。 [ありがとうhash]