GitHub predstavil AI CodeQL na vyhľadávanie zraniteľností v kóde
Najväčší portál pre zdieľanie a management zdrojových kódov predstavil integrovanú umelú inteligenciu AI CodeQL, ktorá automaticky vyhľadáva zraniteľnosti v nahranom kóde. Po identifikácií zraniteľnosti navrhne automaticky opravu s komentárom, ktorú je možné rovno z rozhrania na jedno kliknutie pushnúť do kódu v rámci pull requestu. Ďalšou pridanou hodnotou AI je automatické vyhľadávanie tzv. secrets v rámci zdrojových kódov. Toto môžu byť heslá, autentizačné tokeny, prednastavené cookies, atd. Výhodou oproti doterajšej funkcií, ktorá vyhľadávanie secrets umožňovala pomocou zadania vzorového tvaru, je „inteligencia“ AI, ktorá ich na základe naučených skúseností dokáže vyhľadať aj nad rámec toho, čo si uvedomuje programátor.
Zdroj: https://codeql.github.com/
Zmeny v default nastavení SMB v Windows 11
Microsoft predstavil nové zmeny vo defaultnom nastavení SMB sharov v rámci Windows 11. Po novom pri vytvorení zdieľanej zložky už systém nebude pridávať niektoré pravidlá na lokálnom firewalle, ktoré umožňujú pripojenie na porty NetBIOS 137-139. Jedná sa o konfiguračnú skupinu File and Printer Sharing (Restrictive), ktorá je defaultne priradená všetkým novým SMB sharom. Zatiaľ je funkcia dostupná v rámci Insider Preview Build, a teda ju budeme môcť vidieť v nadchádzajúcich verziách Windows 11. V budúcnosti Microsoft plánuje pokračovať v podobnom obmedzovaní, a odstrániť pravidlá pre prichádzajúcu komunikáciu na ICMP, LLMNR a Spool Service.
Seznam.cz umožnil MFA bez nutnosti vlastní aplikace
Webový portál Seznam.cz umožňuje od listopadu využívat pro vícefaktorovou autentizaci standardní jednorázová hesla (OTP), namísto povolování přístupů v dedikované aplikaci Seznam. Tímto krokem se snaží o zpřístupnění MFA širšímu spektru uživatelů. Dle ředitele divizí Email.cz a Mapy.cz přijde o svůj účet Seznam 200 000 uživatelů ročně. Od ledna 2024 Seznam také zruší možnost obnovení účtu pomocí bezpečnostní otázky z důvodu zneužívání této funkci útočníky, při získaných osobních informací od uživatele.
Common Vulnerability Scoring System (CVSS v4.0)
CVSS v4.0 ponúka užívateľom vyššiu granularitu základných metrík, odstraňuje nejednoznačnosť hodnotenia na nižších úrovniach, zjednodušuje metriky hrozieb a zvyšuje účinnosť hodnotenia bezpečnostných požiadaviek špecifických pre dané prostredie, ako aj kompenzačné kontroly. Okrem toho bolo pridaných niekoľko doplnkových metrík pre hodnotenie zraniteľností vrátane Automatable (wormable), Recovery (resilience), Value Density, Vulnerability Response Effort a Provider Urgency. Kľúčovým zlepšením verzie CVSS v4.0 je aj dodatočná aplikovateľnosť na OT/ICS/IoT.
Zdroj: https://www.first.org/newsroom/releases/20231101
Zraniteľnosť v Bluetooth verzií 4.2 – 5.4 (BLUFFS)
Zariadenia podporujúce Secure Connections Pairing a Secure Simple Pairing v Bluetooth Core vo verziách 4.2 až 5.4 môžu byť zraniteľné voči útokom man-in-the-middle medzi už spárovanými alebo prepojenými peermi využívajúcimi Secure Connection.
