Основатель и ведущий разработчик Curl Даниэль Стенберг (Daniel Stenberg) протестировал «закрытую» ИИ-модель Mythos компании Anthropic и остался не слишком впечатлен: Mythos нашла в Curl лишь одну незначительную уязвимость.
Спустя всего пару недель после истории с CopyFail исследователи раскрыли еще одну опасную уязвимость повышения привилегий — Dirty Frag. Эксплоит позволяет локальному пользователю получить root-права практически во всех популярных дистрибутивах Linux, при этом атака не связана с состоянием гонки и не приводит к сбоям ядра. Хуже того, PoC-код уже опубликован, а Microsoft зафиксировала признаки эксплуатации уязвимости в реальных атаках.
Через официальный сайт DAEMON Tools почти месяц распространялись троянизированные версии ПО с бэкдором внутри. Исследователи «Лаборатории Касперского» называют произошедшее полноценной атакой на цепочку поставок, так как зараженные инсталляторы были подписаны действительным сертификатом разработчика и выглядели абсолютно легитимно.
Исследователи из компании HiddenLayer обнаружили на платформе Hugging Face вредоносный репозиторий Open-OSS/privacy-filter, который выдавал себя за легитимный проект OpenAI Privacy Filter, но на деле распространял инфостилер для Windows. До удаления репозиторий успел подняться на первое место в трендах платформы, и его загрузили около 244 000 раз.
Pentest award — это отраслевая награда для пентестеров, которую ежегодно вручает компания Авилликс. Основная задача премии — выделить лучших специалистов и показать их вклад в развитие пентеста. В этом году мероприятие состоится уже в четвертый раз.
19 мая (в 11:00 по московскому времени) команда RuDesktop представит релиз версии 3.0 и расскажет о ключевых обновлениях платформы. RuDesktop 3.0 сделает работу пользователей и ИТ-команд быстрее, удобнее и безопаснее: новые интерфейсы сервера и клиента, расширенные возможности передачи файлов, инвентаризации, установки ОС, управления Android-устройствами и защиты входа.
В Google сообщили, что злоумышленники впервые использовали ИИ-модель для поиска и эксплуатации уязвимости нулевого дня. Обнаруженный эксплоит был нацелен на обход двухфакторной аутентификации в популярном опенсорсном инструменте для веб-администрирования.
Представители МТС, «Билайна», «Мегафона» и T2 договорились с разработчиками Max о доставке кодов подтверждений, уведомлений и транзакционных сообщений через мессенджер. Если доставка сообщений через Max будет невозможна, они продублируются в SMS.
Для подписчиковПротоколы OAuth 2.0 и OIDC сегодня широко используются, однако разработчики могут по‑своему трактовать спецификацию этих протоколов при реализации в приложениях. Если намеренно не озадачиться вопросами безопасности, в реализации могут возникнуть мисконфиги, способные привести к опасным уязвимостям, например к захвату аккаунта.