Tre af sårbarhederne er alvorlige, da angribere kan udnytte dem til at afvikle skadelig programkode. Det kræver blot, at en skadelig fil placeres på offerets computer.
Når Malware Protection Engine, der er den indbyggede virusbeskyttelse i Windows, læser filerne for at tjekke dem for virus, udløses sårbarheden.
Fejlene er rettet via den automatiske opdatering af Malware Protection Engine, så brugerne behøver ikke gøre noget.
Sikkerhedsforskere fra Googles Project Zero opdagede sårbarhederne. De har tidligere fundet en alvorlig sårbarhed i samme system.
FreeRADIUS er udbredt open source-software, der implementerer RADIUS (Remote Authentication Dial-In User Service). Sårbarheden ligger i håndteringen af afbrudte TLS-sessioner.
Når en session bliver afbrudt, kan den bagefter genoptages. Men i nogle tilfælde kan en angriber overtage en session uden at oplyse brugernavn og password.
Fejlen findes kun, hvis man har slået TLS session caching til.
Anbefaling
Opdater til FreeRADIUS 3.0.14 eller slå TLS session caching fra.
Sikkerhedsforskere fra Check Point har fundet sårbarheder i en række videoafspillere, heriblandt VLC, Kodi (XBMC), Popcorn-Time og strem.io. Sårbarhederne ligger i behandlingen af undertekster.
En angriber kan udnytte sårbarhederne ved at udforme en fil med undertekster på en bestemt måde. Når en bruger ser en videofil med underteksterne, kan filen afvikle skadelige programmer på computeren.
Forskerne anslår, at omkring 200 millioner videoafspillere og streaming-applikationer er sårbare.
Asterisk 13, 14 og Certified Asterisk 13.13 er sårbare.
En angriber kan udnytte den ene sårbarhed ved at sende en særligt udformet SCCP-pakke til IP-telefonisystemet.
De to andre sårbarheder ligger i PJSIP. Det er et open source-bibliotek, der implementerer SIP (Session Initiation Protocol). Udviklerne gør opmærksom på, at også andre applikationer, der anvender PJSIP, kan være sårbare.
Fejlene er rettet i version 13.15.1, 14.4.1 og 13.13-cert4.
De alvorligste sårbarheder er af typen cross-site request forgery (CSRF). Hvis en angriber kan narre offeret til at besøge en webside, der er udformet på en bestemt måde, kan sårbarheden udnyttes.
Fejlene er rettet i firmwareversion 3.0.0.4.380.7378 eller højere.
En lang række routere i RT-serien er berørt.
Endvidere er routeren 4G-AC55U også sårbar, men den er der ikke udsendt rettet firmware til.
Sårbarheden i PHPMailer har været kendt i flere måneder. Den version, der er inkluderet i Vanilla, er opdateret med Vanilla version 3.2.1.
En mindre alvorlig sårbarhed ligger i behandlingen af HTTP_HOST-headeren. Hullet er ikke lukket, i stedet har udviklerne fjernet brugen af headeren. De advarer om, at det kan give problemer.
Udviklerne arbejder på en løsning, der lukker hullet rigtigt.
Cloud-versionen af Vanilla er ikke berørt, kun open source-udgaven.
Sårbarheden ligger i Chromes behandling af filer af typen SCF (Shell Command File). Hvis angriberen kan narre offeret til at klikke på et link til en SCF-fil, gemmes den i mappen Downloads.
Når brugeren åbner mappen, forsøger Windows at hente et ikon til filen. I filen står der angivet en netværksadresse på ikonet. Windows forbinder sig til adressen og oplyser brugernavn og hashværdi af passwordet.
To af sårbarhederne handler om fejl i behandlingen af metadata i XML-RPC API'et. To er cross-site scripting-sårbarheder, en er en cross-site request forgery-sårbarhed (CSRF). Den sidste sårbarhed ligger i HTTP-klassen og handler om omdirigering.
Fejlene er rettet i WordPress 4.7.5.
Firmaet oplyser ikke, hvor alvorlige sårbarhederne er.
