drošība
Ievainojamības, ielāpi un izmeklējumi. Bez panikas, ar konkrētiem rīcības soļiem.
$ ls | wc -l → 162 raksti
Railway, Zeabur un TiDB Cloud uzlauzti oktobrī: noplūst miljoniem vides mainīgo
Railway, Zeabur un PingCAP oktobrī ziņoja par nesankcionētu piekļuvi klientu vides mainīgajiem. Zeabur pēc otrā incidenta slēdzas.
PHP 8.2.35 līdz 8.5.12 aizver divas CVSS 9,2 kļūdas: uzbrukumi sākās sešas stundas pirms ielāpa
PHP2Shell (CVE-2026-109618 un CVE-2026-109619) ļauj izpildīt kodu bez pieteikšanās jebkurā PHP lietotnē. Ielāpi iznāca 21. oktobrī, uzbrukuma mēģinājumi parādījās jau no rīta.
Nix un Lix aizver divas kļūdas, kas kopā dod root: labojumi iznāk piecos Nix un trijos Lix zaros
Nix un Lix 13. oktobrī publicēja kopīgu drošības brīdinājumu par divām kļūdām, kuras kopā ļauj parastam lietotājam iegūt root tiesības uz vairāklietotāju serveriem. Labojumi jau ir pieejami.
Trīs gadus Linux klusi zaudēja datus ar MADV_FREE un THP: labojums ir viena koda rinda
Viena koda rinda Linux kodolā aptur klusu datu zudumu, kas kopš 2023. gada skāra lielās lapas un MADV_FREE. Labojums nāk līdzi Linux 7.3.
OpenSSH 10.6 atslēdz LZ77 saspiešanu pret atklātā teksta uzbrukumu, KDF kārtas aug no 24 uz 32
OpenSSH 10.6 atslēdz LZ77 saspiešanu pret atklātā teksta uzbrukumu, ieslēdz pēckvantu parakstus un paceļ KDF kārtas no 24 uz 32. Daļu labojumu pieteica AI rīki.
Fedora 45 pēc noklusējuma ierobežo ptrace: gdb un strace nepievienosies svešam procesam
Fedora 45 pēc noklusējuma uzstāda ptrace_scope=1. Atkļūdotājs nepievienosies svešam procesam, kamēr nav instalēts gdb, strace vai cits atkļūdošanas rīks.
Radicle mezgli sūtīja privātus repozitorijus atklātā tekstā: viens rad clone ir 1522 nešifrētas paketes
Radicle tīkla protokols pēc Noise rokasspiediena datus sūtīja nešifrētus, un Node ID varēja viltot. Ievainojamas ir visas versijas, labojums būs tikai nesavietojamajā Radicle 2.0.
WordPress 7.1.2 aizver CVSS 9,2 kļūdu lapu veidnēs: ielāps izlaists 25 zariem līdz 4.7
CVE-2026-87902 ļauj bez pieteikšanās iekļaut lokālu PHP failu caur get_page_template(). Ar PEAR un register_argc_argv tas kļūst par koda izpildi, labojums ir visos zaros no 4.7.37 līdz 7.1.2.
2000 pakotņu RubyGems nāca no OpenAI aģentiem: dokumentācijas serveris izpildīja svešu kodu
RubyGems maijā uz četrām dienām slēdza jaunu kontu reģistrāciju pēc 2000 pakotņu viļņa. 12. septembrī pētnieki to piedēvēja OpenAI iekšējiem aģentiem, kas ar .yardopts failu izpildīja kodu uz RubyDoc.info būvēšanas serveriem.
Šablona repozitorijs izpilda kodu Forgejo serverī: Gitea to pašu aizvēra februārī
Forgejo 16.0.4 un 15.0.8 aizver CVSS 9,9 kļūdu, kur šablona repozitorijs varēja atjaunot .git mapi un panākt koda izpildi uz servera. Gitea tādu pašu tīrīšanu ieviesa jau februārī.