ЕЖЕДНЕВНАЯ СВОДКА
Уязвимость декодера Brotli, лежащая в основе RCE в Node.js, также затрагивает Bun, Python и другие широко используемые...
Сегодняшний брифинг посвящен широко распространенным ошибкам в декодере Brotli, утечке данных в цепочке поставок LiteLLM и новым активным эксплойтам, выявленным CISA.
5 новостей3 мин на чтение
В современных разработках в области безопасности доминируют риски, связанные с цепочками поставок программного обеспечения, и неустраненные уязвимости инфраструктуры. Организации, использующие компоненты с открытым исходным кодом и корпоративные устройства, сталкиваются с неотложными задачами по техническому обслуживанию.
Во-первых, уязвимость, приводящая к повреждению памяти в декодере Brotli от Google, затрагивает широко используемые программные экосистемы, включая Node.js, Bun, Python и Envoy. В то же время CISA добавила активно используемые уязвимости в Collabora Online и Arista VeloCloud Orchestrator в свой каталог известных эксплуатируемых уязвимостей.
Группам безопасности следует незамедлительно провести аудит раскрытых секретов в репозиториях разработчиков, применить обновления от поставщиков для периметровых систем, перечисленных в каталоге CISA, и обновить зависимости Brotli во всех средах.
Утечка мастер-ключа LiteLLM позволила злоумышленникам украсть токены GitHub и захватить конвейер обработки релизов.
Утечка главного ключа Agent Platform в общедоступный репозиторий GitHub (LiteLLM-Labs/lite-harness) в конце мая 2026 года позволила злоумышленникам украсть токены GitHub. Впоследствии злоумышленники использовали украденный доступ для взлома конвейера выпуска LiteLLM и публикации вредоносной версии пакета Python.
- Что делать
- Обмен открытыми ключами API и токенами GitHub, аудит конвейеров CI/CD и проверка целостности пакетов LiteLLM.
CISA выявила две активно используемые критические уязвимости в Collabora Online и Arista VeloCloud.
CISA добавила CVE-2026-110447 в Collabora Online Built-in CODE Server и CVE-2026-114625 в Arista VeloCloud Orchestrator в свой каталог известных эксплуатируемых уязвимостей после активной эксплуатации в реальных условиях. Эти ошибки позволяют внедрять команды операционной системы и SQL-инъекции соответственно.
- Что делать
- Обновите встроенный сервер CODE в Collabora Online до версии 26.4.303 или более поздней и примените исправления для Arista VeloCloud Orchestrator.
Уязвимость декодера Brotli, лежащая в основе RCE в Node.js, также затрагивает Bun, Python и другое широко используемое программное обеспечение.
В декодере Brotli от Google, используемом для распаковки сжатых с помощью Brotli данных, обнаружена уязвимость, приводящая к повреждению памяти. Среди этих уязвимостей — Bun, пакеты Python Brotli и brotlicffi, а также прокси-серверы Envoy, настроенные для декомпрессии Brotli.
- Почему это важно
- Поскольку каждое затронутое приложение включает в себя собственную копию декодера Brotli от Google, организациям, использующим эти среды выполнения и прокси-серверы, необходимо отслеживать и применять обновления отдельных поставщиков, чтобы предотвратить выполнение кода.
- Что делать
- Обновите затронутые среды выполнения и пакеты, включая зависимости Bun, Envoy и Python Brotli, до исправленных версий.
Google заявляет, что данные из Gmail и Photos, передаваемые в систему поиска с использованием ИИ, могут быть использованы для целевой рекламы.
Компания Google обновила свою политику конфиденциальности, вступившую в силу 16 октября 2026 года, уточнив, что данные, передаваемые из Google Photos, Gmail и Drive с использованием функций искусственного интеллекта в Поиске или приложениях Gemini, могут обрабатываться для показа целевой рекламы.
- Почему это важно
- Пользователи и организации, интегрирующие персональные данные или данные из Workspace в функции поиска Google и Gemini AI, могут показывать контент из Gmail, Photos и Drive для персонализированной целевой рекламы.
- Что делать
- Проверьте настройки конфиденциальности учетной записи Google, чтобы ограничить обмен данными между приложениями Workspace и Search/Gemini.
Исследователи выпустили более 2 миллионов обновлений, чтобы удаленно отключить программу обновления Popcorn Time, которая может способствовать созданию ботнета.
Голландская компания по обеспечению безопасности Eye Security провела операцию IXIM, выпустив более двух миллионов удаленных обновлений для отключения уязвимого фонового обновления (Updater.exe) в заброшенном приложении Time4Popcorn. Незарегистрированный домен, запрашиваемый обновлением, представлял риск захвата для крупномасштабного ботнета.
- Что делать
- Выявляйте и удаляйте несанкционированное устаревшее программное обеспечение, такое как Time4Popcorn, и блокируйте подключения к непроверенным доменам обновлений.
Основные выводы
- Обновите реализации декодера Brotli в Node.js, Bun, Python и Envoy, чтобы устранить уязвимость CVE-2026-111497, связанную с повреждением памяти.
- После предупреждений CISA были установлены исправления для Collabora Online Built-in CODE Server (CVE-2026-110447) и Arista VeloCloud Orchestrator (CVE-2026-114625).