BolhaSec News #23 - 03/11/24 a 09/11/24

CVE de maioridade no X.Org: foi divulgada essa semana a vulnerabilidade alta CVE-2024-9632 ( CVSS 7.8) presente há 18 anos no no X.Org Server, um servidor gráfico amplamente utilizado em sistemas operacionais Linux e Unix (famoso X11). Se explorada, a vulnerabilidade pode levar DoS, execucação remota de código e escalação de privilégios, se o usuário executando for root. A X.Org Foundation já lançou fix para X.Org Server (21.1.14) e XWayland (24.1.4). A vulnerabilidade foi descoberta por por pesquisadores da Trend Micro Zero Day Initiative +Info +Twitter

Vazamento de dados no segundo maior provedor de Internet da França do país: A companhia francesa Free confirmou que foi alvo de um cyberataque nos últimos fins de semana que fetaou 19 milhões de clientes. Atacante acessaram uma ferramenta interna, coletaram informações sobre os assinantes e estão leiloando duas bases de dados que contêm dados de +19 milhões de contas e aproximadamente 5 milhões de informações de contas bancárias internacionais. A Free, que possui mais de 22 milhões de assinantes, informou que não houve comprometimento de senhas ou dados de cartões bancários, garantindo que seus serviços permaneceram inalterados. A empresa anunciou que vai entrar em contato com os clientes afetados por meio de e-mail e registrou uma queixa criminal com as autoridades, incluindo a Commission Nationale de l'Informatique et des Libertés (CNIL) e a Agence nationale de la sécurité des systèmes d'information (ANSSI). +Info

Ex-gerente da Disney é preso por hacking e alterações nos menus dos restaurantes: essa é uma notícia meio difícil de ser noticiada kkk. Um ex-funcionário da Disney foi preso e acusado de hacking por invadir os sistemas da empresa e alterar os menus dos restaurantes, removendo as informações sobre alérgenos nos menus. O “ataque” foi possível porque as credenciais antigas do funcionário ainda ativas após a demissão. Em uma outra investigação, ele também foi identificado como responsável por ataques de negação de serviço contra vários funcionários da Disney (não é possível 🤣). O funcionário enfrenta várias acusações de Computer Fraud and Abuse Act (CFAA) e pode pegar até 15 anos de prisão se for condenado 😢. +Info

6 vulnerabilidades altas no Ollama: foram divulgadas 6 vulnerabilidades altas no Ollama, um dos principais frameworks open-source para execução de modelos de IA. Quatro dessas falhas foram registradas com CVEs (CVE-2024-39722, CVE-2024-39721, CVE-2024-39720 e CVE-2024-39719) e corrigidas na versão 0.1.47, enquanto duas estão em disputa. Das quatro, duas são de DoS e duas são de File existence disclosure. As vulnerabilidades foram descobertas pelo time de pesquisa da empresa Oligo. Segundo eles, existem cerca de 10 mil servidores expostos na internet utilizando versões do Ollama vulneráveis, o que significa que 1 em cada 4 deles pode estar em risco devido às vulnerabilidades apresentadas.

Se inscreva na Newsletter da #bolhasec em https://www.bolhasec.com/