Konkurrencen Mobile Pwn2Own foregik i denne uge i Tokyo, Japan. Sikkerhedsforskere kappedes om at knække sikkerheden på smartphones.
Flere af deltagerne havde held med at afvikle skadelig programkode på enhederne.
Et hold fra firmaet 360 Security fik Samsung Internet Browser på en Samsung Galaxy S8 til at køre kode. Via en sårbarhed i en Samsung-app fik de den skadelige kode til at køre videre efter en genstart.
Tencent Keen Security Lab udnyttede fire sårbarheder til at afvikle kode og få øgede privilegier på en iPhone 7 med den nyeste version af iOS.
En sårbarhed i WordPress kan føre til SQL-indsætning. Fejlen ligger i funktionen $wpdb->prepare().
Selve WordPress er ikke direkte sårbar, men plugins og temaer kan være det.
Sårbarheden er en variant af en sårbarhed, som udviklerne forsøgte at fjerne med WordPress 4.8.2. Men sikkerhedsforsker Anthony Ferrara opdagede, at rettelsen ikke var effektiv.
Macintosh-brugere får lukket 147 sikkerhedshuller i den seneste version af macOS og de to foregående versioner. Det sker med macOS 10.13.1 High Sierra, Security Update 2017-001 Sierra og Security Update 2017-004 El Capitan.
De fleste sårbarheder findes i tcpdump, der er opdateret til version 4.9.2. Det skulle fjerne 90 sårbarheder.
Endvidere lukker opdateringerne sikkerhedshullerne kendt som KRACK (Key Reinstallation Attacks).
Styresystemet iOS til iPhone, iPad og iPod lukker 20 huller med version 11.1.
En sårbarhed med en CVSS-score (Common Vulnerability Scoring System) på 10 ud af 10 er opdaget i Oracle Identity Manager.
En angriber kan udnytte sårbarheden over netværk uden at være logget ind.
Oracle Identity Manager er en del af Oracle Fusion Middleware.
Sårbarheden findes i Identity Manager version 11.1.1.7, 11.1.1.9, 11.1.2.1.0, 11.1.2.2.0, 11.1.2.3.0 og 12.2.1.3.0.
Normalt udsender Oracle kun rettelser en gang i kvartalet. Men denne sårbarhed er vurderet til at være så alvorlig, at virksomheden har udsendt en rettelse uden for skemaet.
Sikkerhedsfirmaet Check Point har opdaget et alvorligt sikkerhedshul i appen SmartThinkQ fra LG. Appen bruges til at styre LG-enheder såsom robotstøvsugere, køleskabe, ovne, opvaskemaskiner og vaskemaskiner.
Sårbarheden gjorde det muligt for hackere at logge ind i cloud-delen af applikationen og overtage kontrollen med brugerens konto. Derefter kunne de kontrollere de enheder, brugeren havde tilføjet til sin konto.
LG lukkede sikkerhedshullet i slutningen af september.
MQX RTOS er et realtidsoperativsystem, der bruges i NXP Semiconductors' ColdFire-mikrocontrollere, Kinetis-mikrocontrollere, i.MX-processorer og Vybrid-processorer. Sikkerhedsforskere har fundet to sårbarheder, hvoraf den ene kan udnyttes til at afvikle skadelig programkode.
De berørte enheder bruges typisk i industrikontrolsystemer og Internet of Things-enheder (IoT).
Den alvorligste sårbarhed findes i version 5 og tidligere. En mindre alvorlig sårbarhed er i version 4.1 og tidligere.
Sikkerhedsforskere har opdaget en sårbarhed i en generator til tilfældige tal. Algoritmen bag generatoren indgik tidligere i FIPS (Federal Information Processing Standards), et sæt it-standarder for offentlige myndigheder i USA.
Sårbarheden findes i ANSI X9.31 Random Number Generator (RNG). Den gør det muligt at knække krypteringen.
Algoritmen var tidligere udbredt i systemer til VPN (virtuelt privat netværk). Blandt de berørte produkter er FortiOS fra Fortinet. Firmaet lukkede hullet for et år siden. Kun FortiOS før version 5 er berørt.
Ingen af de 35 sårbarheder, som Google har rettet med version 62 af Chrome, har fået firmaets højeste risikovurdering. Otte har fået den næsthøjeste.
Den alvorligste sårbarhed findes i behandlingen af MHTML, den næstalvorligste i Skia.
Endvidere indfører Google med denne udgave af browseren øgede advarsler, når man besøger websteder uden kryptering. Hvis brugeren indtaster data, vises siden som "Ikke sikker". Bruger man inkognito-funktionen, vises sidens om "Ikke sikker", uanset om man indtaster data.
Lenovo Service Framework er en Android-applikation, der bruges af en række apps på enheder fra Lenovo. Applikationen formidler beskeder fra Lenovo-servere til apps.
Sikkerhedsforsker Imre Rad har fundet fire sikkerhedshuller i Lenovo Service Framework. De giver angribere mulighed for at afvikle skadelige programmer på enheden.
Lenovo har udsendt opdateringer til alle firmaets tablet-computere, samt til VIBE- og ZUK-smartphones og Moto M (XT1663) og Moto E3 (XT1706).
Fejlene er rettet i Lenovo Service Framework v4.8.0.2403.
