Create accountLogin

Recent searches

No recent searches

Search options

Only available when logged in.
eupolicy.social is one of the many independent Mastodon servers you can use to participate in the fediverse.
This Mastodon server is a friendly and respectful discussion space for people working in areas related to EU policy. When you request to create an account, please tell us something about you.

Administered by:

Server stats:

216
active users

eupolicy.social: AboutProfiles directoryPrivacy policy

Mastodon: AboutGet the appKeyboard shortcutsView source codev4.3.8

#cve

19 posts15 participants0 posts today
Public
CVE Program

Teradyne Robotics is now a CVE Numbering Authority (CNA) assigning CVE IDs for all products released by Teradyne Robotics subsidiaries, Universal Robots (UR) and Mobile Industrial Robots (MiR), including both actively supported and end-of-life/end-of-service products, as well as vulnerabilities in third-party software identified by Teradyne Robotics that are outside the scope of another CNA

cve.org/Media/News/item/news/2

#cve #cna #vulnerability #vulnerabilitymanagement #cybersecurity

New CVE Program Partner
Public
Alexander Goeres 𒀯
Aus einem newsletter des bsi zur IT-sicherheitslage im april 2025. sie beschäftigen sich da u.a. mit einer erneuten sicherheitslücke der schon berüchtigten xz-utils. 2024 gabs dort eine eingeschmuggelte backdoor in dem programm (CVE-2024-3094). über die neue sicherheitslücke (CVE-2025-31115) könnte nun wieder schadcode eingeschleust werden. klingt recht beunruhigend, mit einem score von 8.7/10.

so weit, so normal. dann wird das bsi aber deutlich systemkritisch ... :-)

Auch wenn im aktuellen Fall nicht von Vorsatz auszugehen ist, lässt das erneute Auftreten einer
Schwachstelle mit CVSS >8 (die dritte in 3 Jahren) Zweifel an der Qualitätskontrolle innerhalb des XZ-Projektes aufkommen. Dabei ist zu berücksichtigen, dass diese ubiquitäre Softwarekomponente im Wesentlichen von einem einzelnen Maintainer in seiner Freizeit gepflegt wird. Die verfügbaren
personellen Ressourcen stehen damit in keinem Verhältnis zur hohen Verbreitung der Bibliothek. Dies trifft auf eine große Anzahl von Open-Source-Software-Komponenten zu, die oft auch in proprietärer Software integriert sind, ohne hier offensichtlich zu werden. Zudem handelt es sich dabei um einen sehr frühen Punkt in der Lieferkette einer Softwarekomponente, die extrem weit verbreitet ist.

Hersteller von umsatzstarken Produkten bzw. Dienstangeboten teilen oftmals auch nicht die Erlöse
mit den bzw. mit allen im Unterbau genutzten Software-Projekten. Durch derartige Projekte sind im Laufe der letzten 30 Jahre eine Vielzahl an höchst wertvollen Software-Gütern entstanden, von denen das Funktionieren der heutigen IT-Welt abhängig ist, die jedoch trotz ihrer wirtschaftlichen Verwertung nicht ansatzweise mit Ressourcen ausgestattet wurden, die der damit erzielten Wertschöpfung entspricht. Perspektivisch sollte diesem strukturellen Problem mehr Aufmerksamkeit geschenkt werden.

in einem anderen absatz zum update von win10 auf win11 empfiehlt das bsi auch den wechsel auf linux:

Allen, die noch Windows 10 nutzen, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI), ein Upgrade durchzuführen bzw. auf ein anderes Betriebssystem umzusteigen. Das können etwa Windows 11, ein Unix-basiertes Betriebssystem wie macOS oder ein Linux-basiertes Betriebssystem sein.

und mit der entscheidung darüber im professionellen umfeld nicht erst zu warten, bis im herbst der windows10-support "plötzlich" ganz weg ist und das management in spontane panik verfällt ...

#computer #bsi #CVE #CVE-2024-3094 #CVE-2025-31115 #xz-utlis #security #hacks
hub.netzgemeinde.euNetzgemeinde/Hubzilla
#cve202531115#cve20243094#xzutlis
Public
Olly 👾

159 CVEs exploited in Q1 2025 — 28.3% within 24 Hours of Disclosure.

As many as 159 CVE identifiers have been flagged as exploited in the wild in the first quarter of 2025, up from 151 in Q4 2024. "We continue to see vulnerabilities being exploited at a fast pace with 28.3% of vulnerabilities being exploited within 1-day of their CVE disclosure," VulnCheck said.

vulncheck.com/blog/exploitatio

This translates to 45 security flaws that have been weaponized in real-world attacks within a day of disclosure. Fourteen other flaws have been exploited within a month, while another 45 flaws were abused within the span of a year. The IT-security company VulnCheck said a majority of the exploited vulnerabilities have been identified in content management systems [CMSes], followed by network edge devices, operating systems, open-source software and server software. The breakdown is as follows: • Content Management Systems [CMS] (35) • Network Edge Devices (29) • Operating Systems (24) • Open Source Software (14) • Server Software (14)
[ImageSource: VulnCheck] The leading vendors and their products that were exploited during the time period are Microsoft Windows (15), Broadcom VMware (6), Cyber PowerPanel (5), Litespeed Technologies (4) and TOTOLINK Routers (4). "On average, 11.4 KEVs were disclosed weekly, and 53 per month," VulnCheck said. "While CISA KEV added 80 vulnerabilities during the quarter, only 12 showed no prior public evidence of exploitation." Of the 159 vulnerabilities, 25.8% have been found to be awaiting or undergoing analysis by the NIST National Vulnerability Database (NVD) and 3.1% have been assigned the new "Deferred" status.
[ImageSource: VulnCheck] According to Verizon's newly released Data Breach Investigations Report for 2025, exploitation of vulnerabilities as an initial access step for data breaches grew by 34%, accounting for 20% of all intrusions. <https://www.verizon.com/about/news/2025-data-breach-investigations-report> Data gathered by Google-owned Mandiant has also revealed that exploits were the most frequently observed initial infection vector for the fifth consecutive year, with stolen credentials overtaking phishing as the second most frequently observed initial access vector. <https://services.google.com/fh/files/misc/m-trends-2025-en.pdf> "For intrusions in which an initial infection vector was identified, 33% began with exploitation of a vulnerability," Mandiant said. "This is a decline from 2023, during which exploits represented the initial intrusion vector for 38% of intrusions, but nearly identical to the share of exploits in 2022, 32%." ⚠️That said, despite attacker’s efforts to evade detection, defenders are continuing to get better at identifying compromises. The global median dwell time, which refers to the number of days an attacker is on a system from compromise to detection, has been pegged at 11 days, an increase of one day from 2023.⚠️
#cve#2025q1#report
ExploreLive feeds
About