Компанія Nebula Security виявила не просто помилку. Їм вдалося виявити GhostLock (CVE-2025-4349) – вразливість типу use-after-free, яка існувала в ядрі Linux п’ятнадцять років. Прихована. Непомітна. Вона дозволяє будь-якому автентифікованому користувачеві отримати права root.
Спеціальних привілеїв не потрібні. Доступ до мережі не потрібний.
З 2011 року ця вразливість постачалася практично з усіма популярними дистрибутивами. Її виявили завдяки інструменту ІІ від Nebula, VEGA. Експлойт дозволяє виходити за межі контейнерів. У тестах він спрацьовував у 97% випадків. За це компанія отримала $92 337 у рамках програми Google kernelCTF.
У квітні вразливість було виправлено.
Але зачекайте.
Ваша система у безпеці? На початку липня Ubuntu вказала, що версії з 20.04 до 24.04 залишаються вразливими. Адміністраторам безпеки слід перевірити свої пакети. Не припускайте, що виправлення вже застосовано автоматично.
Виявлення VEGA стало частиною загальної тенденції: автоматизовані інструменти перебирають старий код, який мало хто перечитував.
Камери Flock та ураган помилок
“Руки на зброї”.
Джоел Федер із The Drive виявився заблокованим чотирма поліцейськими машинами. Це сталося на парковці магазину Kohl’s. Кінець червня. Плімут, Міннесота.
Камери розпізнавання номерів від компанії Flock відзначили його Range Rover вартістю $155 тис. як вкрадений. Машина була тестовим зразком, взятим напрокат у дилера. Поліцейські стежили за ним кілька днів.
Чому? Через помилку.
У 2000 милях на захід, у Лос-Анджелесі, було зафіксовано факт втрати номерів Jaguar Land Rover. У базі номер був вказаний як 34 03 DDT, але при введенні помилково записаний як 34 DDT. Середні цифри зникли.
Flock читав великі символи. Ігнорував незвичайний формат. І починав надсилати повідомлення поліції при кожному збігу.
На тому ж тижні під наглядом опинилися ще чотири Land Rover. Федера було зупинено першим. Номер не вкрали. Він був misplaced під час фотосесії.
Це сталося лише за два тижні після того, як The Drive написали про надмірне втручання Flock. Іронія очевидна.
Інший шум
На тлі попереджень про хакерів Volt Typhoon, які заздалегідь позиціонують себе в критичній інфраструктурі США, страхові компанії провели навчання. Вони виявили загрозливу небезпеку.
Тим часом, наглядове відомство ICE (Служба з виконання імміграційних законів) відкрило понад 100 справ. Ціль: онлайн-критики. Приводом стали повідомлення про доксинг та погрози на адресу співробітників.
ЄС голосував згідно із законом «Chat Control» (Контроль чатів). Тепер технологічні компанії можуть знову сканувати особисті повідомлення. Мета – боротьба з матеріалами дитячої порнографії. Палата представників ЄС спробувала відкласти закон. Більшість проголосували проти. Але закон все одно пройшов.
MSG (лейбл Taylor Swift) підтримував базу даних фанів. Гості на весіллі Taylor Swift? Усі категоризовані. Мітки на кшталт «НЕ ПРИЙМАТИ» (DO NOT HOST). Або “високий ризик”.
На легшій ноті.
Шахраї захопили урядові сайти, щоб розповсюджувати сливи з OnlyFans. Їхню активність було припинено завдяки скаргам на порушення авторських прав, поданими самими творцями контенту. Люди залишилися у безпеці.
Інцидент з витоком в Accenture
Accenture потрапила під удар. Актор із даркнету під псевдонімом «888» стверджує, що викрав 35 ГБ даних. Вихідний код. Ключі. Токени.
Ця справа обговорюється на форумі у даркнеті. Accenture називає інцидент ізольованим випадок. Він усунений. Операційна діяльність не постраждала. Вони не уточнюють, що саме було викрадено та як це сталося.
BleepingComputer побачив скріншот клонованого репозиторію Azure DevOps.
Це не перший удар “888” по них. І не перша атака на компанію. У 2021 році на Accenture атакував гурт LockBit.
Поганий таймінг. Саме Accenture веде кіберзахист ICE. Контракт на $56,5 млн. Чинний до цього серпня. Наразі триває процес повторного конкурсу.
Хакери за $22 тис.?
Пентагон шукає хакерів. Чи не випускників вузів. Людей із певними здібностями.
Cyber RAP пропонує 12-місячні контракти. Вчіться захищати мережі Міністерства оборони.
Оплата? $22 584 на рік.
Чи не пройшли навчання? Ви маєте повернути вартість навчання. Головний інформаційний директор Кірстен Девіс називає це відмовою від бар’єрів доступу на користь патріотичного прагнення.
Чиста здатність. Без достатньої життя зарплати.
