Несколько недавно обнаруженных уязвимостей:
В утилите cURL и связанной с ней библиотеке libcurl, которые часто используются в скриптах для автоматизации выполнения операций с Web, найдена критическая уязвимость (CVE-2013-0249), позволяющая организовать выполнение кода при отправке запроса на подконтрольный злоумышленником сервер. Проблема присутствует в коде осуществления SASL DIGEST-MD5 аутентификации и может быть эксплуатирована при возврате определённого ответа сервером POP3, SMTP или IMAP. Важно отметить, что несмотря на то, что непосредственно эксплуатация возможна при обращении к почтовым серверам, совершение атаки возможно и при обращении к Web, путём возврата редиректа на почтовый сервер злоумышленника (через "Location: pop3://x:x@evilserver.com"). Уязвимость проявляется только в версиях с 7.26.0 по 7.28.1 включительно, при сборке с поддержкой SASL. В версии 7.29 уязвимость устранена. Концептуальный прототип эксплоита для проверки наличия уязвимости в своих системах можно загрузить здесь.
В Adobe Flash Player выявлены две уязвимости (CVE-2013-0633, CVE-2013-0634), позволяющие организовать выполнение кода в системе пользователя при открытии специально оформленного SWF-контента. В настоящее время проблемы уже активно эксплуатируются для распространения вредоносного ПО. Проблемы устранены в выпусках 11.5.502.149, 11.2.202.262 и 10.3.183.51;
В беспроводных маршрутизаторах D-Link DIR-300 и DIR-600 найдена уязвимость, позволяющая выполнить любую shell-команду в системе без предварительной аутентификации (в устройствах используется окружение на базе Linux). Проблема может быть эксплуатирована через отправку специально оформленного HTTP POST запроса к скрипту command.php. Обновление прошивки с устранением проблемы пока недоступно, в качестве обходного метода защиты рекомендуется закрыть доступ к 80 порту маршрутизатора.