CODZIENNY BRIEFING
Wada dekodera Brotli w Node.js RCE dotyczy także Bun, Pythona i innych powszechnie używanych…
Dzisiejszy briefing dotyczył szeroko rozpowszechnionych błędów dekodera Brotli, wycieku łańcucha dostaw w LiteLLM i nowych aktywnych luk w zabezpieczeniach zgłoszonych przez CISA.
5 wiadomości3 min czytania
Ryzyka związane z łańcuchem dostaw oprogramowania i niezałatane luki w infrastrukturze dominują we współczesnych rozwiązaniach w zakresie bezpieczeństwa. Organizacje korzystające z komponentów open source i urządzeń klasy enterprise stoją przed pilnymi zadaniami konserwacyjnymi.
Po pierwsze, luka w zabezpieczeniach dekodera Brotli firmy Google, powodująca uszkodzenie pamięci, wpływa na powszechnie używane ekosystemy oprogramowania, takie jak Node.js, Bun, Python i Envoy. Jednocześnie CISA dodała aktywnie wykorzystywane luki w zabezpieczeniach Collabora Online i Arista VeloCloud Orchestrator do swojego katalogu znanych luk w zabezpieczeniach.
Zespoły ds. bezpieczeństwa powinny natychmiast przeprowadzić audyt ujawnionych tajnych informacji w repozytoriach programistów, zastosować poprawki dostawców dla systemów perymetrycznych wymienionych w katalogu CISA oraz zaktualizować zależności Brotli w różnych środowiskach.
Wyciek klucza głównego LiteLLM umożliwił atakującym kradzież tokenów GitHub i przejęcie kontroli nad procesem wydawniczym
Klucz główny platformy agentów wyciekł z publicznego repozytorium GitHub (LiteLLM-Labs/lite-harness) pod koniec maja 2026 roku, umożliwiając atakującym kradzież tokenów GitHub. Atakujący wykorzystał następnie skradziony dostęp do przejęcia kontroli nad procesem wydawniczym LiteLLM i opublikowania złośliwej wersji pakietu Python.
- Co zrobić
- Dokonuj rotacji udostępnionych kluczy API i tokenów GitHub, audytuj procesy wydawnicze CI/CD i weryfikuj integralność pakietów LiteLLM.
CISA zgłasza dwie aktywnie wykorzystywane krytyczne luki w Collabora Online i Arista VeloCloud
CISA dodała lukę CVE-2026-110447 w serwerze CODE wbudowanym w Collabora Online oraz lukę CVE-2026-114625 w Arista VeloCloud Orchestrator do swojego katalogu znanych luk w zabezpieczeniach po ich aktywnym wykorzystaniu. Luki te umożliwiają odpowiednio wstrzyknięcie poleceń systemu operacyjnego i wstrzyknięcie kodu SQL.
- Co zrobić
- Zaktualizuj wbudowany serwer CODE Collabora Online do wersji 26.4.303 lub nowszej i zastosuj poprawki dla Arista VeloCloud Orchestrator.
Wada dekodera Brotli w Node.js RCE dotyczy również Buna, Pythona i innego powszechnie używanego oprogramowania
Luka w dekoderze Brotli firmy Google powodująca uszkodzenie pamięci występuje w wielu programach, które rozpakowują skompresowane dane Brotli, w tym w Bun, pakietach Python Brotli i brotlicffi oraz serwerach proxy Envoy skonfigurowanych do dekompresji Brotli.
- Dlaczego to ważne
- Ponieważ każda dotknięta luką aplikacja zawiera własną kopię dekodera Brotli firmy Google, organizacje korzystające z tych środowisk wykonawczych i serwerów proxy muszą śledzić i stosować indywidualne aktualizacje dostawców, aby zapobiec wykonywaniu kodu.
- Co zrobić
- Zaktualizuj dotknięte problemy środowisk uruchomieniowych i pakietów, w tym zależności Bun, Envoy i Python Brotli, do wersji poprawionych.
Google twierdzi, że dane z Gmaila i Zdjęć udostępniane wyszukiwarce AI mogą być wykorzystywane do tworzenia ukierunkowanych reklam
Firma Google zaktualizowała swoją politykę prywatności obowiązującą od 16 października 2026 r., wyjaśniając, że dane udostępniane przez Google Photos, Gmail i Dysk z funkcjami AI w aplikacjach Search lub Gemini mogą być przetwarzane w celu wyświetlania ukierunkowanych reklam.
- Dlaczego to ważne
- Użytkownicy i organizacje integrujące dane osobowe lub dane z obszaru roboczego z funkcjami wyszukiwarki Google i Gemini AI mogą udostępniać treści z Gmaila, Zdjęć i Dysku w celu wyświetlania spersonalizowanych reklam targetowanych.
- Co zrobić
- Sprawdź ustawienia prywatności konta Google, aby ograniczyć udostępnianie danych między usługami między aplikacjami Workspace i Search/Gemini.
Naukowcy wprowadzają ponad 2 miliony aktualizacji, aby zdalnie wyłączyć aktualizator Popcorn Time, który może napędzać botnet
Holenderska firma ochroniarska Eye Security przeprowadziła operację IXIM, wydając ponad dwa miliony zdalnych aktualizacji w celu wyłączenia podatnego na ataki programu aktualizującego w tle (Updater.exe) w porzuconej aplikacji Time4Popcorn. Niezarejestrowana domena, do której odpytywał program aktualizujący, stwarzała ryzyko przejęcia jej przez rozległy botnet.
- Co zrobić
- Wyszukaj i usuń nieautoryzowane oprogramowanie starszej generacji, takie jak Time4Popcorn, i zablokuj połączenia z niezweryfikowanymi domenami aktualizacji.
Najważniejsze wnioski
- Zaktualizuj implementacje dekodera Brotli w Node.js, Bun, Python i Envoy, aby naprawić lukę powodującą uszkodzenie pamięci CVE-2026-111497.
- Zastosuj łatkę dla wbudowanego serwera CODE Collabora Online (CVE-2026-110447) i Arista VeloCloud Orchestrator (CVE-2026-114625) po ostrzeżeniach CISA.