Новости: уязвимость

Microsoft предупреждает о новой уязвимости RCE через веб-агенты ИИ, демонстрируя атаку “AutoJack” на AutoGen Studio. Вредоносная страница, отображаемая агентом, могла выполнить произвольные процессы на хосте через локальный сервис MCP. — csoonline.com

Уязвимость CVE-2025-20701, раскрытая 12 месяцев назад, затронула чипы Airoha, используемые в наушниках Beats Studio Buds, позволяя хакерам подслушивать разговоры. Apple выпустила обновление прошивки. — arstechnica.com

Сайт Frontier Airlines сливает всю личную информацию при одном взгляде на посадочный талон — просто номер бронирования и фамилия дают доступ ко всей личной информации пассажиров, включая адрес, паспорт, TSA PreCheck и большую часть данных кредитных карт. — tomshardware.com

Уязвимость в SDK Vertex AI для Python позволяла перехватывать и отравлять модели Google Cloud из-за ошибки именования бакетов и отсутствия аутентификации. Исследователи Unit 42 назвали это «Bucket Squatting» и «Pickle in the Middle». — csoonline.com

По сообщениям, AMD убрала TSME из потребительских процессоров Ryzen после многих лет поддержки, а тесты показывают, что более новая прошивка AGESA отключает функцию шифрования памяти, в то время как ЦП Pro и EPYC остаются незатронутыми. — tomshardware.com

Исследователь безопасности сообщила, что уязвимость в онлайн-платформах ФИФА позволила ей получить доступ к нескольким внутренним системам, включая ту, которая могла дать ей контроль над телетрансляцией каждого матча Чемпионата мира. — techcrunch.com

Эксплойт SearchLeak демонстрирует, почему отраслевой подход к безопасности LLM терпит неудачу снова и снова. Исследователи обошли защиту M365 Copilot, чтобы извлекать конфиденциальные данные. — arstechnica.com

Пользователям платформы оркестрации ИИ Langflow настоятельно рекомендуется установить исправление для критической уязвимости обхода пути (path traversal) на фоне активной эксплуатации. Ошибка позволяет злоумышленникам записывать файлы в произвольные места и может привести к удаленному выполнению кода (RCE). — csoonline.com

Архитектор ПО установил, что через передний USB-порт можно установить практически что угодно на мультимедийную систему Honda Civic 2021 года. Хотя головное устройство требовало подписанный файл AOSP для обновления, тестовый ключ AOSP общеизвестен, что позволяет любому, кто обладает знаниями, создать собственный файл обновления и загрузить в него вредоносное ПО. — tomshardware.com

Недовольный исследователь выпустил эксплойт GreatXML, который якобы обходит шифрование BitLocker в Windows, используя среду восстановления (WinRE). Эксперт по безопасности сообщил о неработоспособности эксплойта, но автор ищет пути исправления. — csoonline.com