Сегодня в подборке новостей Jet CSIRT — устранение семи критических проблем в Microsoft, описание Zero-Click эксплойта NSO в iMessage, третья уязвимость в Log4j. ТОП-3 собрал Игорь Фиц, аналитик центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».
Подробнее читайте под катом.
В Log4j выявлена третья уязвимость
Специалисты компании Praetorian обнаружили новую уязвимость в библиотеке Log4j версии 2.15.0, эксплуатация этой уязвимости может позволить злоумышленнику выполнить эксфильтрацию конфиденциальных данных при определенных обстоятельствах. Технические подробности проблемы переданы Apache Foundation для скорейшего выпуска исправлений. Praetorian рекомендует как можно быстрее выполнить обновление до 2.16.0. Напомним, что до этого были выявлены еще две уязвимости в Apache Log4j: CVE-2021-44228 – уязвимость удаленного выполнения кода, имеющая уровень критичности CVSS 10 из 10, и менее серьезная CVE-2021-45046, позволяющая при определенных нестандартных конфигурациях вызвать DOS-атаку.
Microsoft устранила 0-day уязвимость в Windows AppX Installer
В рамках декабрьского набора обновлений безопасности Microsoft устранила семь критических проблем, в том числе уязвимость нулевого дня, активно эксплуатируемую киберпреступниками. 0-day уязвимость (CVE-2021-43890) затрагивает установщик Windows AppX Installer и используется в различных кампаниях по распространению вредоносных программ, таких как Emotet, TrickBot и BazarLoader. Для эксплуатации уязвимости пользователю необходимо открыть специально подготовленный файл, обычно распространяющийся через фишинговые рассылки.
Опубликовано подробное описание Zero-Click эксплойта NSO в iMessage
Исследователи из Project Zero при содействии Citizen Lab и специалистов Apple Security Engineering and Architecture опубликовали первую часть анализа Zero-Click эксплойта, который использовался для установки вредоносного ПО Pegasus на iPhone. Первоначальной точкой входа для вредоносного ПО являлся iMessage, на который требовалось отправить файл в формате gif. Еще перед показом картинки пользователю, файл обрабатывался библиотекой ImageIO, которая необходима для уточнения формата полученного файла. Расширение файла при этом игнорируется. Злоумышленники под видом gif отправляли вредоносный pdf-файл с использованием JBIG2, в результате из-за архитектурных особенностей получали возможность выполнения арифметических операций и поиска в памяти. Apple устранила уязвимость (CVE-2021-30860) в ImageIO, начиная с версии iOS 14.8.1.