セキュリティで今週:Samba、Wormhole Crypto Heist、Bogus Cve

Sambaは非常に大きな脆弱性、CVE-202-44142を持っています。 4.15.5と同様に。 TrendMicroの研究者によって見つけられ、この認証されていないRCEのバグはCVSS 9.9で評価されます。節約猶予は、それが有効にされるフルーツVFSモジュールを必要とすることです。これは、MacOSクライアントとサーバー相互コップをサポートするために利用されます。有効になっている場合、デフォルト設定は脆弱です。 POCのコードがすぐに減少する可能性が高いため、攻撃は野生では見られませんでしたが、POCコードが遅くなる可能性が高いため、更新されるだけでなく更新されます。

ワームホールの暗号化

1つの注目に値する販売ポイント、web3は賢明な契約であり、介入なしで非常に迅速に連動する可能性があるブロックチェーンで直接実行されるビットコンピュータプログラムです。グラールな欠点がこれらのものであることは、介入なしで、非常に迅速に送金できるコンピュータプログラムです。今週は、攻撃者がワームホールブリッジを通して326百万ドルのエセラーを盗んだとき、職場での賢明な契約のもう1つの例でした。 CryptoCurrency Bridgeは、2つの異なるブロックチェーン上のリンクされた契約として存在するサービスです。これらの契約により、片側に通貨を入れて、他のブロックチェーンに効率的に通貨を譲渡することができます。私たちが何が悪かったのかを理解することは、[Kelvin Fichter]も同様に[SmartControcts]として適切に理解されています。

ブリッジが転送を行うと、トークンは1つのブロックチェーン上のWISE契約に堆積され、転送メッセージが生成されます。このメッセージはデジタル検査アカウントチェックのようなものです。ブリッジのもう一方の端は「チェック」のシグネチャーを検証します。この問題は、橋の一方の側で、検証ルーチンがエンドユーザーによって、そしてコードがそれをキャッチしなかったということです。

それは暑い点検詐欺です。攻撃者は、偽装された転送メッセージを作成し、Bogus検証ルーチンを提供し、ブリッジはそれを本物として受け入れました。お金の大部分は、他のユーザーの有効なトークンが開催されていた、そして攻撃者がそれらの民族トークンの90,000人で歩き回っていました。

9.8 CVEはそうではありませんでした

安全性およびセキュリティ報告書を扱うことは困難になる可能性があります。たとえば、英語はすべての最初の言語ではありませんので、文法の間違いと同様にスペルで電子メールが入手可能な場合は、それを拒否するのが簡単ですが、これらの電子メールは本当に深刻な問題を知らせています。それ以降は、ChromeのDevToolsが最初に初めてChromeのDevToolsを見つけたので、レポートを入手しています。

CVE-2022-0329はそれらの一つでした。懸念されるバンドルはPythonライブラリです。ロギングライブラリのメジャーCVE? Webは一括して1つのLog4Jスタイルの問題についてまとめてブレースされています。それから、より多くの人々が脆弱性報告書とバグ報告を見て、そして問題の妥当性に関する課題の質問を見始めました。そんなに、CVEが取り消されたこと。 githubが自動通知を発送していたというそのような高い安全性とセキュリティの問題として、バグ以外のバグがどのように評価されましたか。

理論的な脆弱性は、LOGURUの依存関係として含まれているPICKLEライブラリが、信頼されていないデータを安全に逆シリアル化しない逆シリアライゼーションの問題でした。それが有効な問題ですが、レポートは、Roguruが信頼できないデータを危険な方法で逆シリアル化することができる方法を正確に説明できませんでした。

ここでプレイするというアイデアは、「気密ハッチウェイ」です。任意の種類のコードベースまたはシステムでは、プログラムデータを操作することができる点がコードの実行をもたらす可能性がある。これは、そのアサルトがすでにプログラムを管理している必要があることを実行するときに気密ハッチウェイの背後にあります。この場合、ピクルスが逆シリアル化する項目を開発できる場合は、任意のコードの実行がすでにあります。それはそのようなインスタンスを修復するのに適していない状態ではありませんが、それは脆弱性を修復していません。

これがレールから出たところです。 [デルガン]は、Loguruの後ろのデザイナーが本当の脆弱性ではなかった、しかし彼はそのアイデアを中心にいくつかのコード強化を行うことを望んでいるので、承認された元の脆弱性報告書をマークしました。このセットでは、自動化された機械類を動かし、CVEが発行されました。そのCVEは、問題の素朴な包括的な、おそらく自動化された動作も同様に信じられないほど深刻に設定されました。この自動化されたフレンジーは、誰かが最後に踏み込まれる前に、すべての方法をGithub Advisoryに続けています。n。

Windows Eop Pop

1月、Microsoft Patched CVE-2022-21882、Win32コードのWindowsのエスカレーション。それをあなたにトリックさせないでください、それは64ビットバージョンの窓に存在します。あなたがあなたの最新情報の後ろになっているならば、あなたはこのバグのために概念の証明が下がったので、忙しくしたいかもしれません。これはパッチバイパスとして報告されており、これはこの基本的にはCVE-2021-1732とまったく同じ課題になりました。

QNAPが更新されました

そして個人がチェックされています
これらのスタイルのガジェットがまだランサムウェア窃盗犯のためのもう1つの魅力的なターゲットであるため、安全性とセキュリティゲームを伸ばすためにQNAPと他のNASプロデューサーが必要とされています。そのため、QNAPが「Deadbolt」マルウェアキャンペーンで悪用されていた欠陥を見つけたとき、彼らは自動更新を有効にしたすべての個人に更新を強制的に押すことを選択しました。これは、更新が通常インストールされると同時に、再起動に要求の同意を得て、これは自発的に再起動され、おそらく最悪の場合のデータの損失を引き起こします。

QNAPは自分の考えを主題のredditスレッドに提供しています。少なくとも1つの個人は、この関数が無効になっていた、そして更新がまだ自動インストールされているのかなり強調性です。どうしたの?

公式の答えがあります。以前のアップデートでは、新しい機能が追加されました。これは自動アップデートとして機能しますが、大きな問題が発生した場合に限ります。これは必要なプッシュを有効にする設定、およびデフォルトはオンになります。 (公平性では、それはパッチノートにありました。)これらのような電化製品上の更新を処理することは常に困難であり、そしてランサムウェアの迫り良きリスクも粘着性にさえします。

それで、あなたはどう思いますか、QNAPは顧客の世話をするだけでしたか?あるいはこれは、ロックされたファイリングカップボードの底部の地下に掲載されています。コメントで理解しましょう、または不審者があなたのものであるならば、列に捧げられた新しいチャンネル!

Leave a Reply

Your email address will not be published. Required fields are marked *

Related Post

King of Fightersはパンチをパンチし、Androidに蹴ります – 今すぐダウンロード!King of Fightersはパンチをパンチし、Androidに蹴ります – 今すぐダウンロード!

日本の衣装SNKによる戦闘機の王は、90年代の本当に素晴らしいアーケードビートアップの1つでした。数十年が経過した多くの古典的なゲームの場合のように、それはモバイルで2回目のイニングを得ています。 通常、iOSは新しいタイトルで最初のDIBを取得しますが、The King of FightersはAndroidのために今日発売し、KOFシリーズの20人のファイターを備えています。 。物事を面白くするために購入する際には、ギャラリーモードやトレーディングカードなど、ストーリー全体にロック解除可能な成果とグッズがあります。 SNKはゲームのリリースノートに記載されています: 世界的に有名な戦闘シリーズの見事なグラフィックは、現在のAndroidハードウェアを最大限に活用して、忠実に再現されています。仮想パッド/ジョイスティックの使用は、KOFのコントロールを完全に再現し、シンプルでユーザーフレンドリーなプレイスタイルを作成して、特別な動きと組み合わせを簡単に行います。 AndroidのAchilles Heelであったものの再発で、FightersのKingはデバイスの大部分と互換性がありません。 Googleの最新のモバイルOSであるアイスクリームサンドイッチは、Samsung Galaxy S IIに正式に展開されたばかりで、Galaxy Nexusの背後にある2番目のAndroidデバイスのみが新しいソフトウェアを実行しています。 私たちが集めることができるものから、キングオブファイターズは、サムスンギャラクシーS II、サムスンギャラクシータブ10.1、ソニーエリクソンXperiaアーク、Xperiaなど、この瞬間にサムスンとソニーエリクソンのデバイスのいくつかとしか働いていないようです。遊ぶ。他のデバイスが機能する可能性があります。そして、あなたが運が良ければ、ダウンロード者のコメントをチェックしてください。それ以外の場合は、公式のサポートを待つことをお勧めします。 少しノスタルジックに感じている場合(そして、前述のデバイスの1つを所有している場合)、Google Playストアにアクセスしてコピーをダウンロードしてください。それはあなたに$ 4.99を返します。これはかなり高いように見えますが、通常重要な早期採用者からの強力なレビューによってサポートされています。 King of Fighters for Android [Google Playリンク]をダウンロードする Facebookページにコメントをドロップして、Raveの早期レビューに同意した場合はお知らせください。 Androidアプリギャラリーをチェックして、Androidデバイス用のより多くのアプリを探索してください。 Twitterでフォローしたり、Google+のサークルに追加したり、Facebookページのように私たちを追加して、Microsoft、Google、Apple、Webのすべての最新情報を最新の状態に保つことができます。

Kindle Fire [チュートリアル]Kindle Fire [チュートリアル]

Android MarketにAndroid Marketをインストールする方法は、新しくリリースされたKindle Fireで公式に利用できません。ただし、Amazonは火災のソースコードをリリースしたため、デバイスは根付いており、とにかく追加できるようになりました。ステップバイステップの指示に従って、市場を閲覧してから、デバイスに最適なアプリとゲームをインストールするための途中です! 始める前に、このプロセスは複雑であり、カジュアルなコンピューターユーザー向けではないと言いたいと思います。デバイスのルート化、ファイルの移動とインストール、およびサードパーティの代替ランチャーのインストールが必要です。プロセス全体を完了できるかどうかを特定する前に、指示全体を読んでください。 先に進む準備ができていれば、開始できます。 Kindle Fireを根付かせてください。プロセスをガイドするフレンドリーなガイドを投稿しました。デバイスがルート化されたら、このページに戻ります。それは大丈夫。待ってください。 ルート?すごい!次の4つのファイルをダウンロードします。 googleServicesframework.apk(ダウンロードリンク) Vending.apk(ダウンロードリンク) Root Explorer App(ダウンロードリンク)このアプリは3.99ドルですが、読み取り専用/読み取りワイト許可を変更できる限り、代替品を見つけることができます。 Go Launcher Ex(ダウンロードリンク) 次に、Kindleデバイスで、[設定]> [デバイス]に移動します。この画面では、「不明なソースからのアプリケーションのインストールを許可する」がオンの位置に切り替えられていることを確認します。 次に、Kindle Fireでアクティブ化されたサイドロードアプリがあることを保証する必要があります。最初にデバイスをルート化したときに、このタスクをすでに達成しているかもしれませんが、再確認するのが常に最適です。それらがアクティブ化されていると確信している場合は、先にスキップしてください。 これらの手順に従って、PCでこれを行います。 >すべてのプログラム>アクセサリ>コマンドプロンプトに移動するために移動します 次のコマンドを入力します:Echo 0×1949 >>“%userProfile%\。Android\ adb_usb.ini Enter Essentialを押します Kindle

Hackaday.ioでのもう1つのきちんとした汎用はんだごてHackaday.ioでのもう1つのきちんとした汎用はんだごて

、ユーザー[Tomasz Jastrzebski]は、温度制御はんだ付けアイアンを運転するための片思いに見えるカスタムメイドのコントローラを作成しました。デザインは、さまざまな電圧とプローブタイプのために評価されたアイアンで動作することができ、それらは熱電対またはサーミスタベースであることを意図しています。電源を統合するのではなく、これは外部ユニットによって取り扱われ、これを必ずしもグリッドに結び付ける様々なソースから給餌する可能性を与えます。 ハードウェア的には、REF2030の精密電圧源を参照して、INA823計装アンプに基づく素晴らしいフロントエンドで、ショーを担当するユビキタスSTM32マイクロコントローラがあります。入力段は汎用性のあるホイートストンブリッジ入力回路として構成され、微調整のための範囲がたくさんある。 SuperCapacitorバックアップを備えたRTCのサポートなどのはんだ付けアイアンドライバに必ずしも必要ではないデザインには、設計にはいくつかの追加機能がありますが、これははんだごての鉄を運転する必要はありません。温度フィードバックを伴う。ファームウェアが変更されているため、これは他のタスクに役立ちます。マインドに湧き出る1つの潜在的な機能 – それが誤って残っている場合には、一定の時刻に自動的に電源を切ることができます。 概略図には多くの部品が多くの部品が優れています。それは議会の家に余分な選択肢を与えることを理解するので、製造に関わっている私たちの多くが何年もこれをやってきましたが、これは本当に必須の練習です。 STM32G0シリーズマイクロコントローラのファームウェアは、STM32 HALに基づいており、それを簡単に保ち、都合のよいスタジオコードプロジェクトが提供されています。すべてのハードウェア(KICAD)とファームウェアがProject GitHubにあります。 私たちは、このようなユニバーサルはんだ付けコントローラー、JBCアイアンのためのカスタムメイドのコントローラー、そしてこの優れた携帯型Arduinoベースのユニットのように、何年にもかかわらず、いくつかのプロジェクトを見ました。