È stata scoperta una nuova vulnerabilità di escalation dei privilegi in macOS 14. Gli è stato assegnato l’identificatore CVE-2024-27842, ma il livello di gravità non è stato ancora determinato. Colpisce tutte le versioni di macOS 14.x fino alla 14.5 rilasciata di recente e un exploit pubblico per il suo utilizzo è già disponibile online. La vulnerabilità esiste nel file system Universal Disk Format (UDF) ed è associata alla funzione di controllo di input e output (IOCTL). UDF è un formato di file system aperto e indipendente per l’archiviazione dei dati. Un exploit PoC per questa vulnerabilità è stato pubblicato da un ricercatore sotto lo pseudonimo di “WangTielei” su GitHub ed è

Google sta nuovamente risolvendo una vulnerabilità zero-day nel suo browser Chrome, che è già stata utilizzata in attacchi attivi. Questa correzione è la quarta nelle ultime due settimane e l’ottava patch 0-day per Chrome quest’anno. L’ultima vulnerabilità ha l’identificatore CVE-2024-5274 ed è stata scoperta all’interno dell’azienda dallo specialista di Google Clement Lecigne. È stato segnalato che è stato identificato un problema di type confusion nel motore JavaScript V8, responsabile dell’esecuzione del codice JS nel browser. Vulnerabilità di questo tipo si verificano quando un programma alloca una porzione di memoria per archiviare dati di un certo tipo, ma li interpreta erroneamente come dati di tipo

I ricercatori dell’Università del Maryland hanno affermato che il Wi-Fi Positioning System (WPS) di Apple potrebbe essere utilizzato per spiare le persone su larga scala, compresi coloro che non utilizzano affatto i dispositivi Apple. “Questo lavoro dimostra che i proprietari di hotspot Wi-Fi, in particolare quelli appartenenti a popolazioni vulnerabili e sensibili, potrebbero essere danneggiati dalla sorveglianza WPS”, spiegano gli autori nel loro documento di ricerca. — La minaccia riguarda anche gli utenti che non possiedono i dispositivi Ad esempio, le persone che non possiedono prodotti Apple possono essere incluse nel WPS di Apple semplicemente avendo i dispositivi Apple nel raggio d’azione del proprio

Il dominio Twitter.com ora reindirizza automaticamente a x.com, il che ha causato problemi agli utenti del browser Mozilla Firefox con la protezione anti tracciamento avanzata abilitata. Gli utenti di Firefox attenti alla privacy ora vedono il seguente messaggio sul sito X: “È noto che la modalità Enhanced Tracking Protection (Strict) di Firefox causa problemi su X.com.” Il pulsante “Riprova” non funziona e ritorna alla stessa schermata. Al momento l’unica soluzione è disattivare la funzione Enhanced Tracking Protection per X.com, che riduce il livello di privacy. La funzionalità Enhanced Tracking Protection di Firefox blocca automaticamente i tracker che tracciano le attività online degli utenti e raccolgono

Il 21 maggio 2024, Ivanti ha emesso un avviso di sicurezza riguardante una vulnerabilità critica nei prodotti Ivanti Connect Secure e Ivanti Policy Secure. Questa vulnerabilità, identificata come CVE-2023-38551 (ancora in stato Reserved), permette a un utente autenticato con privilegi elevati di iniettare codice dannoso nel browser di una vittima, causando attacchi di scripting cross-site (XSS). La vulnerabilità influisce su tutte le versioni supportate (9.x e 22.x). Ivanti ha rilasciato patch per le versioni 9.1R18.6, 22.7R2, 22.5R2.4 di Ivanti Connect Secure e 22.7R1 di Ivanti Policy Secure. Si raccomanda agli utenti di applicare immediatamente queste patch per proteggere i loro sistemi. Al

GitHub ha rilasciato patch per risolvere una grave vulnerabilità in GitHub Enterprise Server (GHES) che potrebbe consentire agli aggressori di aggirare i sistemi di autenticazione. La vulnerabilità, identificata come CVE-2024-4985 con un punteggio CVSS massimo di 10.0, consente agli utenti non autorizzati di accedere al sistema senza autenticazione. “Sui server che utilizzano l’autenticazione SAML con la funzionalità di asserzioni crittografate opzionalmente abilitata, un utente malintenzionato potrebbe creare una risposta SAML per ottenere l’accesso a un account con diritti amministrativi”, ha affermato la società in una nota. GHES è una piattaforma di sviluppo software che consente alle organizzazioni di archiviare e sviluppare software utilizzando il controllo della versione Git

L’università belga KU Leuven ha identificato una vulnerabilità nello standard Wi-Fi IEEE 802.11 che consente a un utente malintenzionato di indurre le vittime a connettersi a una rete Wi-Fi falsa e a intercettare il traffico. Secondo Top10VPN, che ha collaborato con uno dei ricercatori della KU Leuven, la vulnerabilità è stata resa pubblica questa settimana prima di una prossima conferenza a Seul, in Corea del Sud. Si tratta del CVE-2023-52424 che colpisce tutti i client Wi-Fi su tutti i sistemi operativi, comprese le reti basate sul protocollo WPA3 ampiamente utilizzato, nonché WEP e 802.11X/EAP. Il problema è che lo standard IEEE 802.11 non richiede sempre l’autenticazione SSID quando un client si