# drošība
$ ls | wc -l → 74 raksti
OpenSSH 10.4 aizver astoņas drošības kļūdas un pievieno pēckvantu parakstus
OpenSSH 10.4 labo astoņas kļūdas ssh, sshd, sftp un scp, aizver atmiņas izsmelšanu atkārtotā atslēgu apmaiņā un pievieno eksperimentālus pēckvantu parakstus.
Viens fails, divi pieraksti: kā Unicode normalizācija apiet Deno atļaujas un node-tar aizsardzību macOS
Uz macOS APFS vienu failu var nosaukt vairākos baitu ziņā atšķirīgos veidos. Deno atļauju sistēma un node-tar to nepamanīja — divi CVE ar vienu iemeslu.
npm 12 pēc noklusējuma vairs nepalaiž instalācijas skriptus
npm 12 jūlijā izslēdz automātisku instalācijas skriptu izpildi, Git un attālās atkarības prasa tiešu atļauju. Ko tas maina projektiem, CI un AI aģentiem.
curl aptur ievainojamību ziņojumus uz jūliju — AI surogāts dubultoja slodzi bez reālas atdeves
curl HackerOne forma slēgta no 1. jūlija līdz 3. augustam. Iemesls: AI aģentu ģenerēti ziņojumi dubultojās gadā, bet apstiprinājuma ātrums palika vienāds — 7 uzturētāji tērēja stundas debunkošanai.
Friendly Fire: AI kodēšanas aģents palaida uzbrucēja kodu, kad tam lika to meklēt
AI Now Institute parādīja, kā Claude Code un OpenAI Codex auto režīmā palaiž uzbrucēja kodu, kad tiem uztic pārbaudīt svešu bibliotēku. Uzbrukums balstās uz README tekstu, ne kļūdu kodā.
Sešas U-Boot FIT kļūdas — divas lauj palaist kodu pirms OS ielādes, stabils labojums tikai oktobrī
Binarly atrada sešas U-Boot FIT verificēšanas kļūdas, divas ļauj izpildīt kodu ielādes laikā. Skartais kods pastāv kopš 2013. gada, stabils labojums — oktobrī.
Samsung jūlija ielāps labo 57 Android caurumus — divi kritiski Media Framework
Samsung 7. jūlijā izlaida Android ielāpu ar 57 labojumiem, pieci kritiski. Divi skar Media Framework un var tikt izmantoti nulles klikšķa uzbrukumos.
NIST NVD pāriet uz triaža modeli: 29 000 CVE paliek bez bagātināšanas
NIST no aprīļa vairs nebagātina lielāko daļu CVE ierakstu NVD datubāzē — 29 000 backlog ieraksti saņem statusu "Not Scheduled". CVSS skori un CWE klasifikācija trūkst ievainojamībām ārpus KEV kataloga.
HalluSquatting: AI asistenti instalē ļaunprogrammatūru no repozitorijiem, kurus paši izdomā
Pētnieki dokumentē HalluSquatting: AI koda asistenti halucinē pakotņu nosaukumus un uzstāda ļaunprogrammatūru. Halucināciju biežums dažos scenārijos sasniedz 100%.
ClamAV labo septiņas DoS kļūdas — ietekmētie parseri kodā no 2004.–2006. gada
ClamAV 1.5.3 un 1.4.5 novērš septiņas DoS ievainojamības PE, FSG, 7z, ALZ, DMG un InstallShield parseros. Daži ietekmētie koda fragmenti pastāv ap 20 gadus.