258 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a security.
GitLab divulgou patches para dez vulnerabilidades (incluindo XSS e DoS via GraphQL) e liberou versões 18.6.2, 18.5.4 e 18.4.6. Instâncias self‑hosted devem atualizar imediatamente; GitLab.com já executa as versões corrigidas.
A Microsoft está desenvolvendo um recurso no Teams para analisar e alertar sobre tráfego suspeito envolvendo domínios externos, com objetivo de apoiar administradores de TI na detecção de possíveis ameaças. Detalhes técnicos e data de lançamento não foram divulgados.
A Shadowserver Foundation detectou, após aprimorar varreduras, mais de 165 mil IPs e cerca de 644 mil domínios com código vulnerável ao CVE-2025-55182 em React Server Components. A falha tem CVSS 9.8 e pode permitir RCE; a recomendação é aplicar patches oficiais e auditar logs.
A Patch Tuesday de dezembro de 2025 corrige 56 vulnerabilidades em Windows, Office e componentes associados, incluindo três zero‑days (CVE‑2025‑62221, CVE‑2025‑64671, CVE‑2025‑54100). CVE‑2025‑62221 tem exploração detectada; a recomendação é priorizar testes e aplicação imediata dos patches.
A Fortinet divulgou uma vulnerabilidade crítica (verificação incorreta de assinatura SAML) que permite contornar o FortiCloud SSO em FortiOS, FortiWeb, FortiProxy e FortiSwitchManager. A fabricante recomenda atualizar para as versões corretivas ou desabilitar temporariamente o FortiCloud SSO.
CVE-2025-66567 afeta a biblioteca ruby-saml (≤1.12.4) e permite bypass total de autenticação SAML devido a diferenças de parsing entre ReXML e Nokogiri. Atualize para ruby-saml 1.18.0 ou posterior; equipes devem auditar dependências e validar SSO após a correção.
O Google reforçou proteções no Chrome para recursos agentic, introduzindo um 'user alignment critic', maior isolamento por origem e confirmações ao usuário para reduzir riscos de prompt injection indireto. Detalhes técnicos não foram publicados.
Pesquisa da OFFENSAI demonstra técnica de persistência que explora a consistência eventual do AWS IAM: chaves e políticas podem permanecer efetivas por ~3–4 segundos após remoção, permitindo recriação de credenciais e reversão de contenção. AWS aplicou correções parciais e atualizou documentação; não há relatos públicos de exploração em massa.
Pesquisadores detalham como variantes do QuasarRAT usam AES-256/CBC e PBKDF2 para proteger configurações; analistas extraem chaves e strings ao inspecionar IL (.cctor, ldstr, stsfld) com dnlib e scripts em Python, permitindo revelar infraestrutura C2 sem execução.
Falha crítica (CVE-2025-66489) no fluxo de autenticação do cal.com permitia pular verificação de senha quando um campo TOTP recebesse qualquer valor. A falha afeta versões até 5.9.7; cal.com publicou patch na 5.9.8. Usuários devem atualizar imediatamente e revisar logs de autenticação.