В пакете sudo, применяемом для организации выполнения команд от имени других пользователей, выявлена уязвимость (CVE-2025-32463), позволяющая любому непривилегированному пользователю выполнить код с правами root, даже если пользователь не упомянут в конфигурации sudoers. Проблеме подвержены дистрибутивы, использующие файл конфигурации /etc/nsswitch.conf, например, возможность эксплуатации уязвимости продемонстрирована в Ubuntu 24.04 и Fedora 41.

Уязвимость проявляется в конфигурации по умолчанию и подтверждена в выпусках sudo с 1.9.14 по 1.9.17 (потенциально затрагивает все версии, начиная с 1.8.33). Проблема устранена в обновлении sudo 1.9.17p1.

Проблема вызвана тем, что при применении опции "-R" ("--chroot") для запуска команд в chroot-окружении с выбранным пользователем корневым каталогом, файл /etc/nsswitch.conf загружался в контексте нового корневого каталога, а не системного каталога. Так как пользователь может использовать в качестве корневого каталога для chroot собственный каталог, он может разместить в нём файл конфигурации nsswitch.conf. Контролируя загружаемый подсистемой NSS (Name Service Switch) файл /etc/nsswitch.conf, пользователь может добавить в него настройки, приводящие к вызову дополнительных обработчиков. Подобные обработчики загружаются NSS в форме разделяемых библиотек, которые также можно разместить в подконтрольном пользователю каталоге. Подставив свою библиотеку пользователь может добиться выполнения из неё кода с правами root, так как обработка NSS производится до сброса привилегий.

Детали и PoC.

https://vulnbank.org

Намеренно уязвимое веб-приложение для отработки тестирования безопасности веб-приложений, API и LLM, безопасного обзора кода и внедрения безопасности в конвейеры CI/CD.

Vulnbank представляет собой банковское приложение с заложенными уязвимостями. Он призван помочь инженерам по безопасности, разработчикам, стажерам, аналитикам QA и специалистам DevSecOps узнать о:

- Распространенных уязвимостях веб-приложений и API;
- Уязвимостях AI/LLM;
- Безопасных методах разработки;
- Автоматизации тестирования безопасности;
- Реализация DevSecOps.

⚠️ ВНИМАНИЕ: Это приложение намеренно уязвимо и должно использоваться только в образовательных целях в изолированных средах.

https://github.com/Commando-X/vuln-bank

Activision временно отключила сетевые функции Call of Duty: WWII в Microsoft Store на ПК. Формально — «для расследования проблемы», фактически — из-за опасных уязвимостей. В Сети распространяются видео, где игроки теряют контроль над своими компьютерами прямо во время матча.

Ради забавы игроки взламывали по p2p-сети персональные компьютеры, открывали на них окно командной строки, отправляли провокационные сообщения через Notepad, подменяли обои рабочего стола порноконтентом, удаленно выключали машины соперников. А вот сколько машин геймеров было инфицировано вредоносным кодом - неизвестно.

PhantomLiDAR: Cross-modality Signal Injection Attacks against LiDAR

Китайские исследователи из университета Цзэцзян (Zhejiang University) обнародовали материалы по атаке на LIDAR-системы.

Предыдущие атаки на LIDAR'ы использовали лазеры. PhantomLiDAR использует электромагнитные помехи для искажения восприятия LIDAR-систем:

- Удаление точек – объект есть, а лидар его не видит;
- Добавление точек – лидар видит то, чего нет;
- Выключение – отключение LIDAR вследствии множества ошибок, вызванных электромагнитным импульсом.

Презентация и статья.

На волне популяризации месенджера Max команда телеграм решила выбрать самого лучшего пользователя и наградить его особенным призом. Оказалось что это один из подписчиков данного канала.

Французкие хакеры взломали ftp сайта kremlin.ru и выкачали дамп БД весом 24 килобайта.

Судя по дампу, тех. персонал - лихие люди:

(6, 'мечислав.викентьевич.лихачев', '$2y$10$97G4Q4vJ5Nr2gQDO31CVI.KctjH8sJCXjbCX7.CwqrwJ3.v7PKzLa', 'мечислав.викентьевич.лихачев@kremlin.ru', 'user', 'suspended'),
(7, 'остап.марсович.ларионов', '$2y$10$7yaYQPksCeMGW030qZEXwJR1VB4Ql.CmmYb.HSMCbhzr8Vb86n', 'остап.марсович.ларионов@kremlin.ru', 'sysadmin', 'active'),
(8, 'максим.измаилович.зубев', '$2y$10$uTzaZSi8r5nTJa5BlipdcNe5yKFgoVoWrMBpe2EaoMsfpAawxGBL', 'максим.измаилович.зубев@kremlin.ru', 'sysadmin', 'suspended'),
(9, 'шарапов.мосиф.ануфриевич', '$2y$10$dj6IHdjwuc95b6ck3cwJRXfPctpPV5F3YJVNaD01Yx8B4k8ETY5ii', 'шарапов.мосиф.ануфриевич@kremlin.ru', 'sysadmin', 'suspended'),
(10, 'ратмир.эдгарович.третьяков', '$2y$10$z5rfFyqz16u.16qFb3lQUdV4R8AieD80E9CBPIneHQXm9tXK', 'ратмир.эдгарович.третьяков@kremlin.ru', 'analyst', 'active'),
(11, 'никонов.никандр.филатович', '$2y$10$I817b6Y8M1lPsTrzykUCiqPqaaffx5dJ3lhnPox6dlUUP7RWcquvFufWQR', 'никонов.никандр.филатович@kremlin.ru', 'technician', 'suspended'),
(12, 'фока.дорофеевич.кириллов', '$2y$10$84hMPajPetcBS2PQxJw/jwdTOuUVsMVrlwm.15XTICDS8owGASe', 'фока.дорофеевич.кириллов@kremlin.ru', 'analyst', 'active'),
(13, 'таисья.георгиевна.пилипова', '$2y$10$bQ9J3HeFrkJz8FPjammxY7TIbkDWGQQPJkaSe5CS3EQqYlzMHORJ', 'таисья.георгиевна.пилипова@kremlin.ru', 'admin', 'active'),
(14, 'ефимов.leonид.анатольевич', '$2y$10$ym0ccTZRicm4VMBOr3lBwkwlhRC/b0.euAGKaFqZwCFQHX30A3d', 'ефимов.лeonид.анатольевич@kremlin.ru', 'admin', 'active'),
(15, 'михайлов.лариса.юрьевна', '$2y$10$hnhfcDRIS4Fb0ztTAa0IH8pj7StaeedJMmvIE2xRVaUl1l3ceVwY7', 'михайлов.лариса.юрьевна@kremlin.ru', 'user', 'suspended'),
(16, 'баранова.милица.андреевна', '$2y$10$PY2aeJe6v/ypJ9IVG2G6AJ3.EyQNZVi9o4fPrSQF.wtGKTBDU', 'баранова.милица.андреевна@kremlin.ru', 'analyst', 'inactive'),