Deep fake v službách podvodných krypto platforem
Viděli jste, jak Elon Musk v rozhovoru na konferenci TED propagoval svou novou platformu BitVex pro investování v kryptoměnách? Neviděli. Rozhovor sice byl skutečný, ale slova, která mírně trhaný hlas říká, už byla zcela vložena do úst pomocí deep fake technologií.
S Muskem a dalšími význačnými podnikateli (Cathie Wood, Charles Hoskinson) vznikají falešné filmy, které podvodníci umisťují na nově zřízené nebo nově hacklé youtubové účty, aby dodali kredibilitu své falešné platformě. Občané ČR za posledních několik měsíců přišli o desítky milionů korun ve prospěch podvodníků, skrývajících se za anonymními, barevností hýřícími platformami. Nenechte se ošálit vidinou příliš rychlého zisku, než někam pošlete peníze.
Více než 380 000 API serverů Kubernetes je vystaveno útokům
Shadowserver Foundation se zaměřila na hledání dostupných API rozhraní open-source nástroje Kubernetes určeného k orchestraci virtualizace. Při tomto skenování nalezla více než 380 000 instancí API umožňujících nějakou formu přístupu.
Neznamená to, že všechny identifikované servery jsou plně otevřené nebo mají nějakou zranitelnost. Vzhledem k možným dopadům úspěšného útoku na tyto servery by však jejich provozovatelé neměli podceňovat zabezpečení a přístup k API rozhraní vhodným způsobem omezit.
Citlivá data Tailsu v ohrožení
Vývojáři systému Tails vydali bezpečnostní varování a doporučují nepoužívat prohlížeč Tor pro zadávání citlivých informací, jako jsou například přístupové údaje. Tor je součástí operačního systému Tails (The Amnesic Incognito Live System). Operační systém běží na linuxové distribuci založené na Debianu, jejímž cílem je zachovat soukromí a anonymitu připojením k Internetu prostřednictvím sítě Tor.
Upozornění přichází v moment, kdy Mozilla 20. května oznámila objevení dvou kritických zero-day zranitelností CVE-2022–1802 a CVE-2022–1529 ve svém prohlížeči Firefox, jehož upravená verze funguje jako základ v prohlížeči Tor. Díky chybám může potenciální útočník získat citlivá data oběti. Ovšem uživatelé, kteří nepracují s citlivými informacemi, mohou beze strachu dál prohlížeč Tor používat, protože zranitelnosti nenarušují ochranu anonymity, která je zabudovaná do prohlížeče Tor.
Zoom umožňoval napadnout oběť pouhým posláním zprávy
Služba Zoom opravila čtyři zranitelnosti, které mohly být zneužity ke kompromitaci jiného uživatele odesláním XMPP zprávy přes chat. Úspěšná exploitace by mohla vést až ke stažení podvržené aktualizace ze serveru útočníka a následné spuštění kódu, díky downgrade útoku. Tato zranitelnost se však týká pouze klienta pro Windows. Ostatní tři zranitelnosti se týkají také systémů Android, iOS, Linux a macOS. Jedná se o zranitelnosti:
- CVE-2022–22784 (CVSS score: 8.1) – Improper XML Parsing in Zoom Client for Meetings
- CVE-2022–22785 (CVSS score: 5.9) – Improperly constrained session cookies in Zoom Client for Meetings
- CVE-2022–22786 (CVSS score: 7.5) – Update package downgrade in Zoom Client for Meetings for Windows
- CVE-2022–22787 (CVSS score: 5.9) – Insufficient hostname validation during server switch in Zoom Client for Meetings
Zranitelnost WordPress Jupiter
WordPress Jupiter obsahuje kritický bezpečnostní nedostatek. Jedná se o chybu typu eskalace privilegií a bylo jí přiřazeno CVE-2022–1654 se skóre 9.9. Útočník sice musí být přihlášen, ale vzhledem k tomu, že mnohé z veřejných webů umožňují registraci, resp. vytvoření konta, jedná se v takových případech o opravdu kritický problém.
Chyba je odstraněna v následujících verzích: Jupiter Theme 6.10.2 JupiterX theme 2.0.7 JupiterX Core verze 2.0.8. Aktualizaci je vhodné provést interním nástrojem po instalaci JupiterX Core pluginu verze 1.16.2.
Kdo patří do Výboru kybernetické bezpečnosti?
Firmy, úřady a instituce, na něž se vztahuje zákon o kybernetické bezpečnosti, musí mít vytvořený Výbor kybernetické bezpečnosti, který zodpovídá za strategické směřování organizace v této oblasti. Ustanovit tento výbor doporučujeme i středním a větším organizacím, na které se povinnosti zákona prozatím nevztahují. Jací lidé se budou na činnosti Výboru kybernetické bezpečnosti podílet? Co patří mezi jeho hlavní úkoly?
Ve zkratce
Pro pobavení
Sorry, but I had to do this pic.twitter.com/L2Vy3qZhjO
— Florian Roth (@cyb3rops) May 18, 2022
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…
ČLÁNKY DO MAILU