في 10 ديسمبر ،
أصدرت شركة Apple
مجموعة كبيرة من التصحيحات
لنظام التشغيل macOS و
iOS (بما في ذلك iPadOS) و
watchOS . ربما كانت أخطر الأخطاء التي تم إغلاقها هي مشكلة عدم الحصانة لـ FaceTime ، والتي تؤثر على جميع أجهزة Apple المحمولة التي تبدأ بـ iPhone 6s و iPad Air 2. كما هو الحال مع مشكلة عدم
الحصانة التي تم اكتشافها مؤخرًا
في WhatsApp ، تم العثور على المشكلة في نظام معالجة ملفات الفيديو الواردة: قد يؤدي مقطع فيديو ضار إلى تنفيذ القانون التعسفي. تم اكتشاف ثغرة أمنية CVE-2019-8830 بواسطة ناتالي سيلفانوفيتش ، الباحثة في فريق Google Project Zero: في العام الماضي ، كتبت بالتفصيل عن أمان برامج المراسلة الفورية ، بما في ذلك FaceTime (يمكنك البدء
بمقال قبل عام بأمثلة على نقاط الضعف التي تم اكتشافها مسبقًا في التطبيق).
تم
اكتشاف ثغرة أخرى من
قبل الباحث كيشان باغاريا: حيث وجد أن إرسال المستندات إلى أجهزة Apple القريبة أدى باستمرار إلى رفض الخدمة. للقيام بذلك ، يجب تمكين القدرة على تلقي الملفات من خلال آلية AirDrop من أي شخص (وليس فقط من المستخدمين في قائمة جهات الاتصال الخاصة بك) على جهاز iPad أو iPhone. كان من المتوقع أن يسمى الخطأ AirDoS: خلاصة القول هي أنه يجب قبول أو رفض طلب استلام الملف ، وإلى أن يتم ذلك ، لا تتوفر عناصر تحكم أخرى على الجهاز المحمول. إذا قمت بإرسال الطلبات باستمرار ، فإن الجهاز اللوحي أو الهاتف الذكي لا يعملان في الواقع. تم إغلاق الخلل في iOS 13.3 عن طريق وضع حد لعدد المحاولات: إذا رفضت الطلب ثلاث مرات على التوالي ، فسيتم حظر جميع المحاولات اللاحقة لإرسال الملف من نفس الجهاز تلقائيًا.
تم اكتشاف خطأ شيق ومغلق في معالجات Intel (
الأخبار ،
نشرة الشركة المصنعة ،
موقع الضعف). لقد توصل باحثون من جامعات في النمسا وبلجيكا والمملكة المتحدة إلى طريقة للتغلب على آلية
امتدادات حراسة البرمجيات - فهي توفر حماية إضافية للبيانات الهامة ، مثل مفاتيح التشفير ، وعزلها عن العمليات الأخرى في النظام. تم اختيار طريقة القرصنة غير التافهة: تعديل سجلات المعالج المسؤولة عن استهلاك الطاقة. في الحالات العادية ، يتم استخدامها لزيادة الأداء أو توفير الطاقة الإضافي بما يتجاوز إعدادات المعالج القياسية.
أثبت الباحثون أن انخفاضًا كبيرًا في الجهد (على سبيل المثال ، -232 mV لمعالج Core i3-7100U أو -195 mV لـ Core i7-8650U) في الوقت المناسب يؤدي إلى تعطل SGX وتؤدي إلى تلف البيانات: في حالة وجود تلف ، تفتح فرصة للوصول إلى البيانات التي يتعذر الوصول إليها بطريقة أخرى. على سبيل المثال ، أظهر الخبراء استخراج مفاتيح التشفير باستخدام خوارزميات RSA و AES.
كما هو الحال عادة مع الهجمات من هذا النوع ، ليس من السهل اختيار الجهد الصحيح واللحظة لتغيير المعلمات. بالإضافة إلى ذلك ، هجوم حقيقي من هذا النوع ، على الرغم من أنه يمكن تنفيذه عن بعد (وهذا ليس نموذجيًا لثغرات الأجهزة) ، ولكنه يتطلب الوصول الكامل إلى نظام التشغيل. خلاف ذلك ، لا يمكنك الوصول إلى معلمات المعالج. إغلاق مشكلة عدم الحصانة في هذه الحالة يعني تحديث الرمز الصغير ، الذي لا يزال يحتاج إلى الوصول إلى الأجهزة الحقيقية (تتأثر جميع معالجات مستخدم Intel Core من الجيل السادس وبعض Xeon) في شكل تحديث BIOS.
نشرت Kaspersky Lab
تقريرًا كاملاً (متوفر بعد التسجيل ، نظرة عامة موجزة في
هذا الخبر ) حول التهديدات السيبرانية لعام 2019. من الأمور ذات الأهمية الخاصة في التقرير قائمة الثغرات الأمنية المستخدمة فعليًا في البرامج الضارة. على عكس الثغرات النظرية ، فهذه تشكل تهديدًا خاصًا وتتطلب تحديثات برامج فورية. بالنسبة إلى أكثر الأخطاء المستغلة شيوعًا ، فقد توفرت التحديثات لأكثر من عام. يوجد في الجزء العلوي من هذه القائمة
ثغرتان في محرر
صيغ Microsoft Office ،
CVE-2017-11882 و
CVE-2018-0802 . تتعلق الأخطاء الخمسة الأكثر شيوعًا بشكل عام بـ Microsoft Office. مثال على مشكلة عدم حصانة جديدة هي علة CVE-2019-0797 التي تم اكتشافها في مارس ، والتي تم
استغلالها بالفعل في ذلك الوقت في هجمات ضارة.
ماذا حدث:تم اكتشاف
الثغرات الحرجة في اثنين من إضافات WordPress: Ultimate Addons for Beaver Builder و Ultimate Addons لـ Elementor. للتشغيل ، تحتاج فقط إلى معرفة العنوان البريدي لمسؤول الموقع.
يتم
إغلاق ثغرة أمنية أخرى في يوم الصفر في نظام التشغيل Windows (من 7 إلى 10 وفي نظام التشغيل Windows Server من عام 2008)
بواسطة تصحيح ديسمبر. تم
العثور على الخطأ في مكتبة نظام win32k.sys ، كما أنه يحتوي على الثغرة الأمنية المذكورة سابقًا CVE-2019-0797.
في الإصدار الجديد من Google Chrome 79
، تم
إغلاق ثغرتين هامتين ، وفي الوقت نفسه ، ظهر إنذار قياسي جديد حول استخدام أزواج تسجيل الدخول وكلمة المرور المخترقة. كان هذا الخيار متاحًا مسبقًا كملحق.
تم
إغلاق 14 نقطة ضعف حرجة في Adobe Reader و Adobe Acrobat. بالإضافة إلى اثنين من نقاط الضعف التي تؤدي إلى تنفيذ تعليمات برمجية عشوائية في Adobe Photoshop.
مطلوب الآن مطوّري البرامج الإضافية لمتصفح فايرفوكس استخدام تفويض ثنائي العوامل. بهذه الطريقة ، تحاول Mozilla تقليل خطر الهجمات على سلسلة التوريد: في هذه الحالة ، لدينا في الاعتبار سيناريو يتم فيه إدراج الشفرة الخبيثة في امتداد شرعي بعد اختراق كمبيوتر المطور.