sårbarheder

AMF3-biblioteker til Java er sårbare

Sårbarheden ligger i deserialization-funktionerne, der omdanner en strøm af bytes til et objekt. Flere programmer har tidligere haft sårbarheder i behandlingen af deserialization.

En sikkerhedsforsker har fundet tre sårbarheder i Java-implementeringer af koden, der udfører deserialization på objekter af typen Action Message Format. Det er et format, Adobe anvender i Flash Player.

Blandt de sårbare produkter er Adobe Flex BlazeDS, som Adobe ikke længere vedligeholder. Brugere anbefales at bruge den open source-version, som Apache vedligeholder.

Dansk

Adobe og Microsoft retter på tirsdag

Adobe oplyser, at firmaet lukker sikkerhedshuller i Acrobat og Reader tirsdag den 11. april.

Microsoft har ikke oplyst, hvilke rettelser firmaet planlægger. Men tirsdag er den anden tirsdag i måneden, hvor Microsoft normalt udsender sine månedlige rettelser.

Rettelserne kommer som regel efter kl. 19 dansk tid.

Anbefaling

Vær forberedt på sikkerhedsrettelserne i påskeferien.

Links

Dansk

Cisco lukker huller i Aironet

Den alvorlige sårbarhed består i, at de trådløse netværksenheder er udstyret med et standardbrugernavn og -password. Hvis man kender passwordet, kan man få SSH-adgang med privilegier som administrator på enheden.

Fejlen findes i programmet Cisco Mobility Express Software version 8.2.x. Den er rettet i version 8.2.111.0.

Cisco har givet sårbarheden firmaets højeste risikovurdering.

Endvidere har Cisco lukket tre sikkerhedshuller, der har fået den næsthøjeste risikovurdering:

Dansk

Gigabyte lukker huller i firmware til Brix-systemer

Sårbarhederne ligger i computernes UEFI (Unified Extensible Firmware Interface). Hvis angribere kan komme til at afvikle programmer på en sårbar computer, kan de installere et rootkit på den, der aktiveres, når maskinen bootes.

Sikkerhedsfirmaet Cylance oplyser, at den ene sårbarhed gør det muligt at afvikle kode i System Management Mode (SMM). Den anden sårbarhed består i, at systemet ikke tjekker, at en opdatering er signeret korrekt.

Dansk

Xen og Qubes lukker alvorligt hul

Sårbarheden findes i alle versioner af Xen og dermed også i Qubes, der anvender Xen.

En tidligere fejlrettelse indførte fejlen, der består i mangelfuld kontrol af et input. Den gør, at det er muligt at tilgå dele af arbejdslageret, som ligger uden for det område, den virtuelle maskine har fået tildelt.

Fejlen findes kun ved 64-bit PV-gæster på x86-systemer. HVM-gæster og 32-bit PV-gæster er ikke berørt.

Anbefaling

Installer patchen XSA-212. Den fås til xen-unstable, Xen 4.8.x, Xen 4.7.x, Xen 4.6.x, Xen 4.5.x, Xen 4.4.x.

Dansk

Google lukker 102 huller i Android

32 af april måneds sikkerhedshuller har fået Googles højeste risikovurdering.

En af sårbarhederne findes i Wi-Fi-komponenter fra Broadcom. En angriber kan udnytte den til at få fuld kontrol over enheden. Det kræver kun, at angriberen er inden for trådløs rækkevidde af enheden, så der kan sendes Wi-Fi-signaler til den.

Den sårbarhed findes kun i enheder, der anvender Broadcom-komponenterne. Det er den samme sårbarhed, som Apple netop har rettet i iOS.

Dansk

Apple lukker alvorligt hul i iOS

Sårbarheden ligger i Wi-Fi-komponenter af mærket Broadcom. En angriber kan få fuld kontrol over en smartphone eller tablet blot ved at sende Wi-Fi-signaler til den.

Sikkerhedsforskere fra Google har opdaget sårbarheden. Hullet er lukket med sikkerhedsrettelserne til Android for april måned.

Apple har lukket hullet med iOS 10.3.1.

Anbefaling

Installer opdateringen fra Apple.

Dansk

LastPass lukker alvorligt hul i browser-udvidelser

Sikkerhedsforsker Tavis Ormandy fra Google opdagede sårbarheden, der ligger i håndteringen af variabler mellem browserudvidelsen og de websteder, den udfylder passwords i.

LastPass anvender såkaldte isolerede verdener til at holde funktioner og variabler i udvidelsen skjult for de websider, den interagerer med. Men i nogle tilfælde kan det lade sig gøre at indsætte data i variabler. Dermed kan en skadelig webside få adgang til udvidelsens private data.

Dansk

NTP lukker 16 sikkerhedshuller

Sikkerhedsfirmaet Cure53 har foretaget et sikkerhedseftersyn af programkoden bag en udbredt implementering af NTP (Network Time Protocol). Det fandt 16 sårbarheder, hvoraf en regnes for kritisk.

Fejlene er rettet i ntp-4.2.8p10, der blev udsendt den 21. marts.

Forskerne har både set på koden til NTP og NTPsec. Otte af sårbarhederne findes kun i NTP, to kun i NTPsec.

Anbefaling

Opdater til den rettede version.

Dansk
Keywords: 

Google lukker alvorligt hul i Chrome

Den kritiske sårbarhed ligger i print-funktionen. Sikkerhedsforskeren, der fandt den, fik en dusør på 9.337 dollars.

De øvrige fire sårbarheder har fået Googles næsthøjeste risikovurdering.

Fejlene er rettet i Chrome 57.0.2987.133 til Windows, Macintosh og Linux.

Anbefaling

Genstart Chrome for at aktivere opdateringen.

Dansk

Sider

Abonnér på RSS - sårbarheder