📰 Informação fresquinha chegando para você!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os atores da ameaça estão explorando duas falhas críticas que afetam Langflow e Ruby on Rails, de acordo com novas descobertas do VulnCheck.
As vulnerabilidades em questão estão listadas abaixo -
CVE-2026-0768 (pontuação CVSS: 9,8) – Falta de validação adequada de uma vulnerabilidade de entrada fornecida pelo usuário que poderia ser explorada para executar código Python arbitrário no contexto do usuário root.
CVE-2026-66066 também conhecido como KindaRails2Shell (pontuação CVSS: 9,5) - Uma vulnerabilidade que pode permitir que um invasor não autenticado leia arquivos arbitrários do servidor, vaze o ambiente de processo Rails e segredos como secret_key_base, a chave mestra Rails, senhas de banco de dados, credenciais de armazenamento em nuvem e tokens de API, levando à execução remota de código.
Os invasores podem explorar o CVE-2026-66066 fazendo upload de uma imagem criada, aproveitando a discrepância entre o Active Storage e o libvips na forma como leem os arquivos de entrada. A exploração bem-sucedida exige que os aplicativos afetados usem libvips para processamento de imagens do Active Storage e aceitem uploads de imagens de usuários não confiáveis.
VulnCheck disse que registrou mais de 50 detecções em poucas horas em 30 de agosto de 2026, um número que desde então aumentou para 360 na segunda-feira.
“Os adversários parecem estar conduzindo uma combinação de atividades de reconhecimento e coleta de credenciais: entre outras coisas, as solicitações do invasor estão consultando variáveis de ambiente (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), lendo /root/.cache/langflow/secret_key e verificando o acesso .ssh e o tamanho .bash_history”, disse Caitlin Condon, vice-presidente de pesquisa de ameaças da VulnCheck.
“O tráfego de origem se origina principalmente da Rússia e até agora atingiu exclusivamente as Canárias no Reino Unido.”
A exploração ocorre no momento em que os agentes de ameaças exploraram até 12 vulnerabilidades desde 2025, com mais de 15.000 tentativas bem-sucedidas aproveitando CVE-2026-0769, CVE-2025-3248 e CVE-2026-5027. A maioria dos hosts Langflow vulneráveis estão localizados nos EUA, Alemanha, Malásia, Brasil e Índia.
Em um caso observado em seus sistemas canário, foram observados agentes de ameaças desconhecidos explorando o CVE-2026-5027 para descartar um coletor de credenciais Python, agentes proxy e SimpleHelp para acesso remoto. Em outro, os invasores transformaram o CVE-2025-3248 em uma arma para inscrever a máquina em uma botnet de mineração de criptomoeda XMR.
“Eles então desabilitaram o auditd, resultando em um ponto cego forense, e exploraram o CVE-2026-0769 para descartar o .sysd”, disse VulnCheck. “A partir daí, o invasor começou a procurar outros alvos, provavelmente para expandir sua operação de criptomineração, e mudou para outro host.”
As descobertas destacam o aumento do interesse dos atores de ameaças em plataformas de desenvolvimento de IA, que podem fornecer acesso a credenciais confidenciais, ambientes de nuvem e outros sistemas conectados.
Desde então, a empresa de inteligência de ameaças também detectou exploração ativa de CVE-2026-66066 visando seus canários em Cingapura, Israel e Reino Unido. Em uma postagem compartilhada no LinkedIn, o pesquisador de segurança Patrick Garrity disse que a atividade se origina de um único endereço IP na França e estabelece comando e controle (C2) para um host em Israel.
“O Active Storage sempre habilita os carregadores libvips que não são seguros para conteúdo não confiável, portanto, qualquer aplicativo que renderize variantes de upload de imagem com o processador vips padrão pode ser coagido a carregar um upload malicioso”, acrescentou VulnCheck. "Notavelmente, testamos um servidor 8.1.3.1 corrigido e descobrimos que, embora a correção bloqueie a leitura do arquivo libvips, ela não neutraliza a desserialização Marshal da chave de variação: o gadget RCE ainda é executado em um servidor corrigido com uma assinatura válida."
No início de agosto, mais de 7.100 instâncias vulneráveis expostas de Ruby on Rails foram identificadas pelo VulnCheck.
As vulnerabilidades em questão estão listadas abaixo -
CVE-2026-0768 (pontuação CVSS: 9,8) – Falta de validação adequada de uma vulnerabilidade de entrada fornecida pelo usuário que poderia ser explorada para executar código Python arbitrário no contexto do usuário root.
CVE-2026-66066 também conhecido como KindaRails2Shell (pontuação CVSS: 9,5) - Uma vulnerabilidade que pode permitir que um invasor não autenticado leia arquivos arbitrários do servidor, vaze o ambiente de processo Rails e segredos como secret_key_base, a chave mestra Rails, senhas de banco de dados, credenciais de armazenamento em nuvem e tokens de API, levando à execução remota de código.
Os invasores podem explorar o CVE-2026-66066 fazendo upload de uma imagem criada, aproveitando a discrepância entre o Active Storage e o libvips na forma como leem os arquivos de entrada. A exploração bem-sucedida exige que os aplicativos afetados usem libvips para processamento de imagens do Active Storage e aceitem uploads de imagens de usuários não confiáveis.
VulnCheck disse que registrou mais de 50 detecções em poucas horas em 30 de agosto de 2026, um número que desde então aumentou para 360 na segunda-feira.
“Os adversários parecem estar conduzindo uma combinação de atividades de reconhecimento e coleta de credenciais: entre outras coisas, as solicitações do invasor estão consultando variáveis de ambiente (LANGFLOW_SUPERUSER, OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), lendo /root/.cache/langflow/secret_key e verificando o acesso .ssh e o tamanho .bash_history”, disse Caitlin Condon, vice-presidente de pesquisa de ameaças da VulnCheck.
“O tráfego de origem se origina principalmente da Rússia e até agora atingiu exclusivamente as Canárias no Reino Unido.”
A exploração ocorre no momento em que os agentes de ameaças exploraram até 12 vulnerabilidades desde 2025, com mais de 15.000 tentativas bem-sucedidas aproveitando CVE-2026-0769, CVE-2025-3248 e CVE-2026-5027. A maioria dos hosts Langflow vulneráveis estão localizados nos EUA, Alemanha, Malásia, Brasil e Índia.
Em um caso observado em seus sistemas canário, foram observados agentes de ameaças desconhecidos explorando o CVE-2026-5027 para descartar um coletor de credenciais Python, agentes proxy e SimpleHelp para acesso remoto. Em outro, os invasores transformaram o CVE-2025-3248 em uma arma para inscrever a máquina em uma botnet de mineração de criptomoeda XMR.
“Eles então desabilitaram o auditd, resultando em um ponto cego forense, e exploraram o CVE-2026-0769 para descartar o .sysd”, disse VulnCheck. “A partir daí, o invasor começou a procurar outros alvos, provavelmente para expandir sua operação de criptomineração, e mudou para outro host.”
As descobertas destacam o aumento do interesse dos atores de ameaças em plataformas de desenvolvimento de IA, que podem fornecer acesso a credenciais confidenciais, ambientes de nuvem e outros sistemas conectados.
Desde então, a empresa de inteligência de ameaças também detectou exploração ativa de CVE-2026-66066 visando seus canários em Cingapura, Israel e Reino Unido. Em uma postagem compartilhada no LinkedIn, o pesquisador de segurança Patrick Garrity disse que a atividade se origina de um único endereço IP na França e estabelece comando e controle (C2) para um host em Israel.
“O Active Storage sempre habilita os carregadores libvips que não são seguros para conteúdo não confiável, portanto, qualquer aplicativo que renderize variantes de upload de imagem com o processador vips padrão pode ser coagido a carregar um upload malicioso”, acrescentou VulnCheck. "Notavelmente, testamos um servidor 8.1.3.1 corrigido e descobrimos que, embora a correção bloqueie a leitura do arquivo libvips, ela não neutraliza a desserialização Marshal da chave de variação: o gadget RCE ainda é executado em um servidor corrigido com uma assinatura válida."
No início de agosto, mais de 7.100 instâncias vulneráveis expostas de Ruby on Rails foram identificadas pelo VulnCheck.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #error #500 #(erro #do #servidor)!!1500.isto #é #um #erro.ocorreu #um #erro. #tente #novamente #mais #tarde.isto #é #tudo #que #sabemos.
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário