Новости: уязвимости

Куратор проекта cURL Даниэль Стенберг сворачивает программу вознаграждений за баги из-за наплыва отчетов, сгенерированных ИИ. Он надеется, что это снизит поток «мусора», но продолжит публично высмеивать некачественные материалы.

Критические уязвимости в популярном фреймворке для разработки ИИ Chainlit позволяют злоумышленникам читать произвольные файлы и данные из баз данных серверов. Неустраненные недостатки могут привести к утечке ключей API и токенов, облегчая горизонтальное перемещение в инфраструктуре. Уязвимости исправлены в версии 2.9.4.

Инициатива GCVE запустила db.gcve.eu — бесплатную европейскую базу данных ИТ-уязвимостей. Платформа агрегирует данные из множества источников, используя децентрализованную модель GNA, чтобы укрепить цифровую суверенность и упростить отслеживание угроз кибербезопасности.

Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok, используемых в моделях машинного обучения на Hugging Face. Исследователи Unit 42 установили, что злоумышленники могут внедрять вредоносный код через метаданные, который активируется при загрузке файла, что ведет к удаленному выполнению кода (RCE). Разработчики уже выпустили исправления.

Обзор эволюции фаззинга: от традиционных методов до применения генеративного ИИ для поиска уязвимостей в ПО. Рассматриваются преимущества ИИ в создании сложных тестов, угрозы со стороны злоумышленников, использующих ИИ для атак, и методы защиты чат-ботов от инъекций промптов.

Анализ эскалации угроз в экосистеме npm: от простого тайпосквоттинга к целенаправленным атакам на учётные данные сопровождающих и среды CI/CD. Руководители безопасности должны пересмотреть защиту цепочек поставок, поскольку вредоносное ПО теперь доставляется через доверенные каналы.

Технологическая компания Bluspark, обеспечивающая логистику, оставила внутренние пароли в открытом виде, включая данные руководителей, доступными в интернете на фоне роста числа взломов в индустрии перевозок.

Вышло обновление Firefox 147 с улучшенной защитой конфиденциальности благодаря Safe Browsing v5, новым возможностям режима «картинка в картинке» и исправлением 16 уязвимостей безопасности, шесть из которых отнесены к высокому риску. Представлены также обновления для Firefox ESR и Tor Browser.

Google выпустила обновление Chrome 144, устранив 10 уязвимостей в системе безопасности для Windows, macOS и Linux. Три из них классифицированы как высокорисковые. Обновление уже доступно, а следующие версии Chromium ожидаются в феврале.

Microsoft выпустила первый в 2026 году «Вторник исправлений», включающий восемь критических уязвимостей и одну активно эксплуатируемую брешь нулевого дня. Особое внимание уделено проблемам в SharePoint и DWM, а также истекающим сертификатам Secure Boot.