BolhaSec News #3 - 16/06/24 a 22/06/2024

Governo americano bane Kaspersky: governo americano anunciou determinação banindo a gigante de segurança Kaspersky (e suas afiliadas) de fornecer serviços/produtos de segurança nos USA e para americanos. A justificativa é que, supostamente, a Rússia demonstrou diversas vezes a capacidade/intenção de explorar empresas russas, como a Kaspersky, para coletar informações sensíveis americanas. A Kaspersky, por usa vez, afirmou que o Departamento de Comércio americano tomou essa decisão com base em fofoca 🤣, ou nas palavras deles, “com base no clima geopolítico atual e em preocupações teóricas”. +Info +Info2 +Twitter

2 vulnerabilidades críticas no console de gerenciamento do VMWare: essa semana, a Broadcom (mãe do VMWare) publicou fixes de 2 vulnerabilidades críticas afetando VMware vCenter (CVE-2024-37079 e CVE-2024-37080). Ambas são clássicos casos de heap-overflow, podendo levar a execução remota de código (RCE). A solução é aplicar o update com o fix 🙏 +Info.

Publicada vulnerabilidade alta afetando centenas de processadores Intel: agora, um caso de buffer-overflow no UEFI feito pela Phoenix SecureCore. Para quem não lembra, UEFI é a teconologia que substituiu a famosa BIOS. A origem da vulnerabilidade é simples: ausência de validação na leitura dos valores de “UEFI variables”. Pode levar a escalação de privilégios e execução remota de código (RCE) ☠️. O fix exige update de firmware 😢 e afeta várias famílias de processadores, até as recentes Raptor Lake e Meteor Lake. +Info +Info2 +Twitter

Vulberabilidade crítica no plugin WooCommerce do WordPress: publicada a vulnerabilidade CVE-2024-6027 (time-based SQL injection) afetando o plugin Themify – WooCommerce Product Filter, usado por mais de 30.000 instâncias de Wordpress. Nada novo no fronte. +Info +Twitter.

Sugestão de leitura “6 Questions to Ask When Interviewing for an AppSec Role”: num processo seletivo de AppSec, o que responder quando o recruiter perguntar se temos dúvidas? Esse texto tem 6 sugestões de perguntas que vc pode fazer. Entre elas, destaco 4. Como é um dia normal de trabalho? 5. Quais são as três próximas coisas que vc precisa resolver no seu programa AppSec? +Info

// obrigado amigos por acompanharem edição #3.
// essa semana, a edição foi mais curta, pq estava viajando.
// semana que vem, voltamos a normalidade 🙏