có định danh CVE-2024-7490 (điểm CVSS là 9,5), liên quan đến vấn đề stack-based overflow trong quá trình triển khai máy chủ tinydhcp của ASF, bắt nguồn từ việc xác thực không đầy đủ dữ liệu đầu vào.
Trung tâm điều phối CERT (CERT/CC) (Đại học Carnegie Mellon, Hoa Kỳ) cho biết: “Tồn tại một lỗ hổng trong tất cả các mã nguồn mẫu công khai của ASF, cho phép một yêu cầu DHCP độc hại có thể gây ra vấn đề tràn stack, dẫn đến nguy cơ ”. Do phần mềm không còn được hỗ trợ và được xây dựng dựa trên mã nguồn tập trung vào các thiết bị IoT, lỗ hổng bảo mật này có khả năng xuất hiện ở nhiều nơi trên thực tế.
Sự cố này ảnh hưởng đến ASF 3.52.0.2574 và tất cả các phiên bản trước đó của phần mềm, CERT/CC lưu ý thêm rằng nhiều nhánh của phần mềm tinydhcp cũng có khả năng bị ảnh hưởng.
Hiện không có bản vá hoặc biện pháp giảm thiểu nào để giải quyết CVE-2024-7490, ngoại trừ việc thay thế dịch vụ tinydhcp bằng một dịch vụ khác không gặp vấn đề tương tự.
Sự phát triển này diễn ra khi Capture Labs tiết lộ chi tiết về lỗ hổng zero-click nghiêm trọng ảnh hưởng đến chipset MediaTek Wi-Fi (CVE-2024-20017, điểm CVSS là 9,8) có thể dẫn đến việc thực thi mã từ xa mà không cần bất kỳ tương tác nào của người dùng.
Công ty cho biết: “Các phiên bản bị ảnh hưởng bao gồm MediaTek SDK từ 7.4.0.1 trở về trước, OpenWrt 19.07 và 21.02. Điều này đồng nghĩa với việc nhiều thiết bị dễ bị tấn công, bao gồm cả bộ định tuyến và điện thoại thông minh”.
MediaTek đã phát hành bản vá cho lỗ hổng bảo mật này vào tháng 3/2024, tuy nhiên, khả năng khai thác cũng đã tăng lên do mã khai thác (PoC) cho lỗ hổng đã được công khai vào ngày 30/8/2024.
Bá Phúc
16:00 | 13/09/2024
14:00 | 17/09/2024
14:00 | 09/09/2024
13:00 | 07/10/2024
Các nhà nghiên cứu cho biết một lỗ hổng bảo mật khiến hàng triệu chiếc xe Kia sản xuất từ năm 2023 có thể bị chiếm quyền điều khiển, cho phép kẻ tấn công kiểm soát từ xa.
09:00 | 17/09/2024
Google thông báo rằng họ đã vá lỗ hổng zero-day thứ mười bị khai thác trong thực tế vào năm 2024.
08:00 | 17/07/2024
Mới đây, một lỗ hổng bảo mật nghiêm trọng trong Exim Mail Server đã được phát hiện có thể cho phép kẻ tấn công gửi các tệp đính kèm độc hại đến hộp thư của người dùng mục tiêu.
14:00 | 08/07/2024
Cisco đã vá lỗ hổng zero-day trong hệ điều hành NX-OS bị khai thác trong các cuộc tấn công vào tháng 4/2024 để cài đặt phần mềm độc hại với quyền root trên các thiết bị chuyển mạch (switch) dễ bị tấn công.
Trong một chiến dịch tấn công mạng quy mô lớn, Microsoft đã phối hợp với Bộ Tư pháp Hoa Kỳ (DoJ) triệt phá thành công mạng lưới 107 tên miền Internet được tin tặc Nga sử dụng để thực hiện các hoạt động lừa đảo và tấn công mạng.
18:00 | 11/10/2024