Hírolvasó

A Fortune magazin egy közel 3000 fájlt tartalmazó szivárgás alapján részleteket közölt az Anthropic egyik közelgő fejlesztéséről.

A Medusa zsarolóvírus-csoport az utóbbi időszak egyik leggyorsabban működő kiberfenyegetésévé vált. A csoport képes a frissen azonosított sérülékenységek gyors kihasználására, majd akár néhány napon belül a teljes körű kompromittációra. Ez a működési tempó különösen jelentős kockázatot jelent a kritikus infrastruktúrák számára. A ransomware-as-a-service (RaaS) modellben működő Medusa 2021 június óta aktív, és 2025 elejéig több […]

A CISA sürgős intézkedést rendelt el a FortiClient Enterprise Management Server (EMS) rendszereket érintő, aktívan kihasznált sérülékenység kezelése érdekében. A CVE-2026-35616 azonosítón nyomon követett sebezhetőség egy előhitelesítés nélküli API-hozzáférés megkerüléséből ered, amely lehetővé teszi a hitelesítési és jogosultságkezelési mechanizmusok teljes megkerülését. A problémát egy nem megfelelően implementált hozzáférés-vezérlési mechanizmus okozza. Sikeres kihasználása esetén egy nem […]

Nyilvánosságra hozta a „BlueHammer” névre keresztelt, Windows zero day sérülékenység kihasználásához szükséges kódokat annak felfedezője, mert nem volt elégedett azzal, ahogyan a Microsoft Biztonsági Válaszközpontja (MSRC) kezelte a bejelentett hiba közzétételi folyamatát. Mivel jelenleg még nem áll rendelkezésre javítás, ezért a Microsoft definíciója szerint nulladik napi sebezhetőségnek kell tekinteni a hibát. A BluHammer egy helyi […]

Egy kritikus sérülékenység a WordPresshez készült Ninja Forms File Uploads prémium bővítményben tetszőleges fájlok hitelesítés nélküli feltöltését teszi lehetővé, ami végső soron távoli kódfuttatáshoz vezethet (remote code execution, RCE). A CVE-2026-0740 azonosítón nyomon követett sebezhetőség aktív kihasználás alatt áll. A WordPress-biztonságra specializálódott Defiant vállalat tájékoztatása szerint a Wordfence tűzfal az elmúlt 24 órában több mint […]

A Microsoft javította azt a problémát, amely egyes Classic Outlook felhasználóknál megakadályozta az e-mailek küldését az Outlook.com szolgáltatáson keresztül. A vállalat közleménye szerint az érintett felhasználók értesítést kaptak arról, hogy bizonyos üzeneteik nem jutottak el a címzettekhez. A hiba különösen gyakran fordult elő akkor, amikor a levélküldéshez használt Outlook.com-fiók egy másik Exchange-fiókhoz társított Outlook-profil része […]

Az Egyesült Államokban új adathalász kampány terjed, amelyben a támadók bíróságok nevében küldenek hamis, „fizetési felszólítás” (Notice of Default) tárgyú szöveges üzeneteket közlekedési szabálysértésekre hivatkozva. Az üzenetek célja, hogy a címzetteket egy QR-kód beolvasására ösztönözzék, amely egy adathalász weboldalra irányít. Az oldalon 6,99 dollár befizetését követelik, miközben megszerzik az áldozatok személyes és pénzügyi adatait. A […]

Overview

Artifex's MuPDF contains an integer overflow vulnerability, CVE-2026-3308, in versions up to and including 1.27.0. Using a specially crafted PDF, an attacker can trigger an integer overflow resulting in out-of-bounds heap writes. This heap corruption typically causes the application to crash, but in some cases could be exploited to enable arbitrary code execution.

Description

Artifex MuPDF is a lightweight framework for viewing and converting PDF, XPS, and e-book files. A vulnerability exists in pdf_load_image_imp, which is responsible for preparing image data for decoding.

The function processes image parameters including w (width), h (height), and bpc (bits per component), which are used to determine the amount of memory allocated during image decoding. The current implementation validates these parameters against SIZE_MAX rather than INT_MAX, but because stride calculations use integer-sized values, this check does not sufficiently protect against integer overflow when exceedingly large values are supplied.

When the overflow occurs, the resulting corrupted values are passed into the fz_unpack_stream function, which expands packed image samples into a destination buffer during image decoding. Because this too-small overflow value is used to calculate the size of the destination buffer, not enough memory is allocated for the actual size of the image. This causes fz_unpack_stream to write beyond the bounds of the allocated heap buffer, resulting in a heap out-of-bounds write.

Impact

Successful exploitation results in a heap out-of-bounds write during PDF image decoding. This condition may cause application crashes and memory corruption, or could potentially allow arbitrary code execution within the context of the application rendering the PDF. Since this vulnerability is triggered during standard PDF parsing operations, any system that automatically processes or renders untrusted PDF files using MuPDF may be affected.

Solution

Unfortunately, the vendor was unreachable to coordinate this vulnerability. Until a complete fix is available, users should avoid processing untrusted PDF files with affected MuPDF-based applications where possible. Applications that rely on MuPDF should isolate document rendering in a sandboxed or low-privilege process and disable automatic rendering or conversion of untrusted files if feasible. A Pull Request (PR) was with the fix is available at: https://github.com/ArtifexSoftware/mupdf/pull/87

Acknowledgements

Thanks toYarden Porat from Cyata for reporting this vulnerability. This document was written by Michael Bragg.

CVE-2026-3308 An integer overflow vulnerability in 'pdf-image.c' in Artifex's MuPDF version 1.27.0 allows an attacker to maliciously craft a PDF that can trigger an integer overflow within the 'pdf_load_image_imp' function. This allows a heap out-of-bounds write that could be exploited for arbitrary code execution.

A Google sürgős biztonsági frissítéseket adott ki egy újabb, aktívan kihasznált Chrome nulladik napi (zero-day) sebezhetőség javítására. A CVE-2026-5281 azonosítóval nyilvántartott sebezhetőség a Dawn komponensben egy use-after-free típusú memóriakezelési sérülékenységből ered. A sebezhetőség sikeres kihasználása böngésző-összeomlást, adatsérüléseket, megjelenítési hibákat vagy egyéb rendellenes működést okozhat. Bár a Google bizonyítékot talált arra, hogy a támadók aktívan kihasználják […]

A Microsoft egy új kampányra hívta fel a figyelmet, amely WhatsApp-üzeneteket használ rosszindulatú Visual Basic Script (VBS) fájlok terjesztésére. A 2026. február végén kezdődő támadás ezeket a szkripteket használja fel egy többlépcsős fertőzési lánc elindításához, amelynek célja a rendszerben való tartós jelenlét megteremtése és a távoli hozzáférés lehetővé tétele. Jelenleg nem ismert, hogy a támadók […]

Nemrég jelent meg a CrystalRAT, egy malware-as-a-service modellben működő kártevő, amit jelenleg aktívan hirdetnek Telegrammon. A szolgáltatás távoli hozzáférést, adatlopást, keyloggingot, valamint clipboard hijacking-et kínál az előfizetők számára.

Az Apple új védelmi mechanizmust vezetett be a macOS Tahoe 26.4 rendszerben, amely megakadályozza a káros parancsok beillesztését és futtatását a Terminal alkalmazásban, valamint figyelmezteti a felhasználókat az esetleges kockázatokra. Az új funkció elsődleges célja a ClickFix típusú támadások kivédése. A ClickFix egy social engineering módszeren alapuló támadási technika, amely során a felhasználókat megtévesztik, és […]

A Google hétfőn bejelentette, hogy hivatalosan is bevezeti az Android fejlesztők ellenőrzési folyamatát idén szeptemberben, elsőként Brazíliában, Indonéziában, Szingapúrban és Thaiföldön, majd jövőre érkezik globálisan is. Az ellenőrzési folyamat részeként a Google megköveteli azoktól az alkalmazásfejlesztőktől, akik a Google Playen szeretnék terjeszteni alkalmazásaikat, hogy hozzanak létre egy felhasználói fiókot az Android Fejlesztői Konzolban, ahol igazolhatják […]

A Google bejelentette, hogy alapértelmezetten elérhetővé teszi a Google Drive mesterséges intelligencia-alapú zsarolóvírus-felderítő funkcióját minden előfizetővel rendelkező felhasználó számára. Ezt az újítást még 2025 szeptemberében jelentette be a Google, majd októbertől már elérhető is vált a bétaverzió a Google Workspace-ügyfelek számára. A funkció lényege, hogy a zsarolóvírus észlelésénél a Google Drive azonnal leállítja a fájlok […]

A Defused jelentése szerint a támadók aktívan kihasználják a Fortinet FortiClient EMS platformját érintő kritikus sérülékenységet. A CVE-2026-21643 azonosítón nyomon követett SQL-befecskendezési (SQL injection) hiba lehetővé teszi, hogy hitelesítés nélküli támadók tetszőleges kódot futtassanak vagy parancsokat hajtsanak végre a nem frissített rendszereken. A támadás alacsony komplexitású, és a FortiClient EMS grafikus webes felületét célozza, speciálisan […]

A DarkSword körüli legfontosabb friss megfigyelések szerint a Star Blizzard, más néven TA446, már nemcsak a megszokott hitelesítőadat-halászati és befolyásolási technikáival dolgozik, hanem ezt az iPhone-ok ellen használható készletet is beemelte az eszköztárába. A Proofpoint ezt egy 2026. március 26-án észlelt, Atlantic Council meghívónak álcázott spearphishing hullámhoz kötötte, amely több kompromittált feladói címről indult, és […]

Az ausztrál kormány azzal vádolja a techóriásokat, hogy megszegték a 16 éven aluliak közösségi média használatára vonatkozó tilalmat, miután az ország online biztonsági hivatala felhívta a figyelmet arra, hogy számtalan gyermek rendelkezik még közösségi fiókkal. Mintegy 900 ausztrál szülőkből álló felmérés során kiderült, hogy a 16 év alatti felhasználók 70%-a megtartotta Instagram, Snapchat és TikTok […]

2026. március 16-án adatvédelmi incidens érte a CareCloud egészségügyi informatikai céget, amely közel 8 órás hálózati zavart okozott, ráadásul érzékeny adatok is nyilvánosságra kerültek a biztonsági esemény során. Az Egyesült Államok Értékpapír- és Tőzsdefelügyeletnek (SEC) benyújtott incidensbejelentő szerint a CareCloud március 16-án ideiglenes hálózati zavart tapasztalt a CareCloud Health rendszerében, amely közel 8 órára ellehetetlenítette […]

Az Európai Bizottság vizsgálatot folytat egy adatvédelmi incidens kapcsán, miután a ShinyHunters nevű kiberbűnöző csoport hozzáférést szerzett a szervezet egyik Amazon Web Services (AWS) fiókjához. A ShinyHunters előző hét elején vette fel a kapcsolatot a BleepingComputerrel, mondván, hogy az europa.eu webes platformon keresztül sikeresen hozzáfértek az Európai Bizottság rendszeréhez, és így több mint 350 GB-nyi […]

Overview

Kyverno, versions 1.16.0 to present, contains an SSRF vulnerability in its CEL-based HTTP functions, which lack URL validation or namespace scoping and allow namespaced policies to trigger arbitrary internal HTTP requests. An attacker with only namespace-level permissions can exploit this to access sensitive internal services via the highly privileged Kyverno admission controller.

Description

Kyverno is an open-source, Kubernetes-native policy engine that functions as a dynamic admission controller for the Kubernetes API. It is designed to manage the lifecycle of cluster resources by validating, mutating, and generating configurations based on YAML-defined policies. Within a security context, the engine is frequently utilized to enforce Pod Security Standards, verify image signatures via Cosign, and audit resource configurations for compliance. Because Kyverno operates with high-level permissions to intercept and modify API requests, it represents a critical component of the cluster's security posture and trust boundary.

A server-side request forgery vulnerability exists in Kyverno’s CEL-based HTTP functions (Get and Post) used by namespaced policy types in the policies.kyverno.io API group. Unlike Kyverno’s resource library, which enforces namespace boundaries, the HTTP library at pkg/cel/libs/http/http.go performs no URL validation or scoping; i.e., there are no blocklists, namespace restrictions, or destination checks. As a result, these policies can issue arbitrary HTTP requests from the Kyverno admission controller pod.

Impact

An authenticated attacker with only namespace-scoped permissions can create a malicious namespaced policy that sends an internal http.Get() request, captures the response in a CEL variable, and exfiltrates it via the policy’s messageExpression field returned in the admission denial. Because requests originate from the Kyverno admission controller, which often has privileged network reachability across internal cluster services and cloud metadata APIs, this enables cross-namespace data access and potential exposure of sensitive metadata or service responses, effectively breaking Kyverno’s intended security boundaries through SSRF.

Solution

Unfortunately, we were unable to reach the vendor to coordinate this vulnerability. Since a patch is unavailable, we can only offer mitigation strategies.

Mitigation should include implementing strict URL validation and destination controls within Kyverno’s CEL HTTP library to ensure parity with the namespace-scoped restrictions enforced by the resource library. Recommended safeguards include blocking access to link-local and cloud metadata address ranges, limiting outbound requests to approved in-cluster services, and providing administrators with configurable allowlists. Additionally, applying default deny network policies to the Kyverno admission controller pod can reduce residual risk by preventing unauthorized egress in the event of future validation gaps.

Acknowledgements

Thanks to Igor Stepansky from Orca Security Research Pod for responsibly disclosing this vulnerability. This document was written by Dr. Elke Drennan, CISSP.