GitLab vergibt CVSS 10 für unauthentifizierte RCE – jede Version seit 2014 betroffen
What's Getting Pwned
pwn.watch ist ein Live-Feed für laufende Sicherheitsvorfälle, der CVEs, betroffene Versionen und die zugehörigen Advisories bündelt. Aktuell ganz oben: eine unauthentifizierte RCE in GitLab mit CVSS 10, verursacht durch einen Integer-Overflow im Regex-Compiler Onigmo – alle CE/EE-Versionen ab 7.0 aus dem Jahr 2014 sind betroffen, und wer nur den Oktober-Patch vom 12. eingespielt hat, bleibt verwundbar. Daneben: durchgesickerte ungepatchte Linux-kernel-Bugs mit CVSS 9.0, ein Supply-Chain-Angriff auf LiteLLM 1.107.0 und eine kritische RCE in PHP core.
Ein Angreifer, der eine GSS-TSIG-signierte UDP-Nachricht abfängt, kann sie erneut abspielen, solange der ausgehandelte Schlüssel noch gültig ist, und in Kombination mit gezielten Abfragen an eine eigene Zone möglicherweise Remote-Code-Execution erlangen – oder zumindest named zum Absturz bringen.
- pixl97
Es wäre interessant zu sehen, wie 2025 im Vergleich aussah.
Die Rate, mit der Schwachstellen gefunden werden, ist einfach irre. Viele Leute haben uns in der Vergangenheit gewarnt, dass unsere lasche Sicherheitshaltung uns noch heimsuchen würde, und jetzt sind wir endlich da.
- demibabs
Jede KI-generierte Seite versucht, viel zu viele Informationen auf viel zu kleinem Raum unterzubringen
- xbar
Nach den ersten 8 Stunden, in denen ich mit Mythos gespielt habe, wurde ich gefragt, was ich denke. Meine Antwort: „Diese Generation von LLMs wird die größte Welle von Sicherheitsvorfällen auslösen, die die Welt je gesehen hat.“
Es fängt gerade erst an.
- aeturnum
Ich verstehe die Kategorisierung von Vorfällen nicht. Diese Signal-Schwachstelle[1] ist als „Live“ und „ongoing“ gelistet, wurde aber vor über einem Monat gepatcht (erst heute angekündigt). Wenn ein Vorfall ohne bekannte Exploits 1,5 Monate nach Veröffentlichung des Patches „ongoing“ ist, wann wäre er dann vorbei?
- aduwah
Verpasste Gelegenheit, es nicht pwnhub zu nennen
- meerita
Wir erleben gerade die letzten Tage von schlampigem, von Menschen geschriebenem Code. Wir werden einen Punkt erreichen, an dem die meisten Bugs behoben sind.
- WarmWash
Was man beobachten muss, ist, was die CCP tun wird, sobald Leute anfangen, die Fähigkeiten chinesischer Modelle zu missbrauchen. Ich glaube nicht, dass China das Gesicht weitverbreiteter Cyber-Zerstörung sein will (und schon gar nicht deren Opfer), und es braucht nur einen einzigen durchgeknallten Idioten, um es für alle zu ruinieren.
Und die Kehrseite, dass chinesische Modelle genutzt werden, um US-Infrastruktur anzugreifen, lädt einfach Artilleriegranaten in die Kanone „Ban Chinese Models“.
- dunder_cat
Der RSS-Button funktioniert nicht, er wirft einen 404 zurück, wenn man auf https://pwn.watch/feed.xml weitergeleitet wird :-(
Tatsächlich scheint das auch für die Buttons „json“ und „llms.txt“ der Fall zu sein.