Hírolvasó

Overview

An authentication bypass vulnerability in the Xerj Console API allows sessions to bypass passkey-backed requirements during token issuance. By exploiting this flaw, an attacker with an existing valid token can create independent, persistent successor credentials directly through the console API. This allows the attacker to maintain access and potentially escalate privileges within the Xerj ecosystem, even if the initial token is revoked.

Description

Xerj is an open-source search and indexing engine tailored specifically for AI agents utilizing the Elasticsearch API, allowing AI models to query a structured index.

The vulnerability, CVE-2026-97406, stems from a flaw in how session states are authenticated and handled within the Xerj system architecture. According to the documented security contract, the issuance of new API tokens must be strictly authorized by a passkey-backed session. However, the Xerj implementation converts both standard browser sessions and API bearer tokens into the same generic AuthSession object. The token creation handler then accepts this generalized principal without verifying whether the session was authenticated via a passkey.
Because of this architectural oversight, an attacker who obtains or intercepts a valid Xerj API token can directly invoke the token creation endpoint, allowing them to create independent successor credentials with the same access levels of the original token. Furthermore, the Xerj platform lacks hierarchical revocation logic; consequently, revoking a compromised parent token has no effect on any descendant tokens spawned from it.

Impact

Exploiting this vulnerability allows an attacker to gain persistent, unauthorized access that completely bypasses multi-factor controls. The security risk escalates significantly if the compromised token belongs to a Xerj account owner. In this scenario, the newly created successor token retains full administrative authority. An attacker can use this persistent access to issue a new account invitation, redeem it in their own browser, and successfully enroll an entirely independent, attacker-controlled passkey. This grants the attacker permanent control over the Xerj instance and its sensitive data indices, rendering the revocation of the initial token completely ineffective.

Solution

The vendor could not be reached to coordinate this vulnerability and an official patch has not been made available at the time of this writing. Users are advised to monitor the project's GitHub repository for updates and install the latest version of this library once a fix has been released.

Acknowledgements

Thanks to the reporter, Shiran Guez, a Principal Application Security Architect.

This document was written by Laurie Tyzenhaus.

Egy orosz kémkedő csoport NATO-tagországokban működő rendvédelmi szervet, hadihajókat építő vállalatot, valamint katonai repülőgépmotorokat gyártó céget is megfigyelt. A feltárt esetek közül a hajógyár elleni támadás mutatja meg a legrészletesebben, hogyan dolgoztak a behatolók. Nemcsak bejutottak a hálózatba, hanem több héten át visszatértek, belépési adatokat próbáltak megszerezni, és tartós kapcsolatot alakítottak ki a belső rendszerrel. […]

Egy MikroTik hálózati eszközöket célzó kártevő vizsgálata során egy kevéssé elterjedt TILE-Gx processzorarchitektúrára fejlesztett backdoor-t azonosítottak. A Tessera nevű kártevő fájlátvitelre, parancsok távoli végrehajtására és titkosított kommunikációra is képes. A vizsgálat egy olyan kártevőmintából indult ki, amelyet az elemzés időpontjában a víruskereső motorok nem ismertek fel. A minta a MikroTik CCR1000-es sorozatú routereit célozza. Ezeket […]

A ConnectWise informatikai menedzsment szoftvereket fejlesztő vállalat hétvégén több szolgáltatását leállította, miután a Microsoft és más kiberbiztonsági cégek egy ellátási lánc elleni támadásra figyelmeztettek, amely a cég felhőalapú mentési rendszerét érintette.

Az F5 soron kívüli frissítéseket adott ki három kritikus NGINX hiba javítására. Mindegyik hitelesítés nélkül, távolról kihasználható, de csak meghatározott, nem alapértelmezett konfigurációkban. A legrosszabb esetben memóriakorrupció vagy kódfuttatás is előfordulhat. A CVE-2026-15176 és a CVE-2026-93479 heap-alapú puffertúlcsordulás, a CVE-2026-97205 pedig use-after-free hiba. Mindegyik az NGINX worker folyamatát érinti, és szolgáltatáskimaradást, memóriakorrupciót vagy akár kódfuttatást […]

Az OpenCode egy nyílt forráskódú, mesterséges intelligenciát alkalmazó programozási eszköz, amely többek között az OpenAI, az Anthropic és a Google nyelvi modelljeinek használatát támogatja. A szolgáltatáshoz kapcsolódó OpenCode Console lehetővé teszi, hogy a felhasználók saját API-kulcsaikat központilag tárolják, és azokon keresztül szerezzenek hozzáférést a különböző MI-szolgáltatásokhoz. A vállalat október 17-én kiberbiztonsági incidenst jelentett, amely következtében […]

A Unit 42 szerint egy 2024 szeptemberi támadás során egyetlen FortiManager feltörése elég volt ahhoz, hogy a támadók megszerezzék egy távközlési szolgáltató és ügyfelei több mint 500 tűzfalának jelszavait, titkosítási kulcsait és hálózati térképét. Utána olyan kártevőt telepítettek, amely nem hagy fájlt a lemezen, nem nyit portot, és nem indít saját internetkapcsolatot. A kutatók a […]

Egy legalább 2010 óta jelen lévő hiba a Broadcom saját 802.11-es Wi-Fi implementációjában lehetővé teszi, hogy egy jelhatótávolságon belül tartózkodó támadó hitelesítés nélkül kódot futtasson az érintett routereken. Quentin Kaiser biztonságkutató a párizsi Hexacon konferencián mutatta be a sérülékenységet, amely a WPS EAP üzenetek újraösszeállítását végző kódban található, és a Wi-Fi jelszó ismerete vagy normál WPS-párosítás nélkül is kihasználható.

Az indiai kiberbiztonsági hatóság, a CERT-In tájékoztatása szerint tesztelés alatt álló mesterséges intelligencia modellek jogosulatlanul fértek hozzá indiai szervezetek éles rendszereihez és bizalmas nyilvántartásokhoz. Ez az első ilyen hivatalos indiai beszámoló, miután világszerte több hasonló esetben is beszámoltak az MI-rendszerek nem megfelelő, önálló viselkedéséről. Az érintett vállalatok nem észlelték a behatolásokat, az incidenseket minden esetben […]

A Canva megerősítette, hogy egy harmadik féltől származó eszközt érintő kiberbiztonsági incidens során illetéktelenek hozzáférhettek egyes vállalati ügyfelek adataihoz. A Seven Deadly Sins nevű zsarolóvírus-csoport magára vállalta a támadást, és azt állítja, hogy az érintett adatokat már értékesítette. A Canva Ausztrália egyik legismertebb technológiai vállalata, amely az azonos nevű, ingyenesen használható grafikai tervezőplatformjával vált ismertté. […]

A Google bejelentette, hogy egy új, mesterséges intelligencia alapú védelem bevezetésével igyekeznek felvenni a harcot a csaló üzenetekkel és a hamis telefonhívásokkal Androidon. A Google elmondása szerint napjainkban a mobilcsalások messze túlmutatnak az automata robothívásokon és adathalászüzeneteken, ugyanis a mesterséges intelligencia miatt, például a hangklónozásnak köszönhetően, egyre kifinomultabbak a támadások is. A techóriás azt is […]

Egy új kutatás szerint világszerte célzott online hirdetéseken keresztül terjesztenek fejlett, felhasználói interakciót nem igénylő zero-click kémszoftvereket.

A hét beszámolói a központi menedzsmentrendszerek és az AI-platformok sérülékenységeire, valamint a célzott megfigyelés új módszereire irányították a figyelmet. Egy FortiManager kompromittálása több mint ötszáz tűzfal konfigurációját érintette, A Langflow sérülékenységét célzó kihasználási kísérleteket pedig honeypot rendszerekben észlelték. Kutatók reklámok megjelenítésével indított, kattintást nem igénylő kémprogram-fertőzéseket is igazoltak. A szolgáltatáskiesések, valamint a japán Burger Kinget […]

A kiberbűnözők egyre gyakrabban használnak ki olyan széles körben ismert online szolgáltatásokat, mint a DocuSign, a QuickBooks, az Adobe Sign vagy a Google Drive, hogy megtévesszék a felhasználókat és átjussanak az e-mail biztonsági szűrőkön. A módszer különösen megtévesztő, mert a csaló üzenetek nem feltétlenül hamis feladótól érkeznek, sok esetben valóban a megnevezett szolgáltatás küldi ki […]

Egy új, QuartzLine néven álcázott Windows-program látszólag egyszerű PDF-nézegető. Lehet vele fájlt megnyitni, keresni, nagyítani és oldalak bélyegképei között böngészni. A valóságban azonban a programban egy rejtett hátsó ajtó, a „zenith” modul rejtőzik, amely a fertőzött gépet támadói szerverhez köti, és onnan várja az utasításokat.

Az amerikai CISA figyelmeztetést adott ki az Ivanti Connect Secure VPN-megoldását érintő, aktívan kihasznált nulladik napi sérülékenységgel kapcsolatban.

A Meta mintegy 1500 embert értesít arról, hogy személyes adataik is érintettek lehettek egy olyan incidensben, amelynek során támadók hozzáfértek a vállalat egyes GitHub-adattáraihoz. Az érintettek nagy része a Meta Egyesült Államokban dolgozó munkatársa. A vállalat néhány héttel ezelőtt észlelte az incidenst. A Meta tájékoztatása szerint egy külső csoport egy alkalmazott ellopott hitelesítő adataival jutott […]

A hatóságok egy nemzetközi művelet keretében léptek fel nyugat-afrikai online csalóközpontok ellen. A ghánai és nigériai rendőrség összesen 28 embert tartóztatott le vagy vett őrizetbe, és több mint 100 feltételezhetően emberkereskedelem áldozatává vált személyt azonosított. A Joint Disruption Week elnevezésű akcióban 15 bűnüldöző szerv és ugyanennyi technológiai vállalat, köztük a Meta, a Microsoft és a […]

Overview

Five Name Constraints findings in BoringSSL (VU#410595.8–.12) describe cases where certificate names may not be constrained as intended. Records .8, .9, .10 and .12 concern the legacy crypto/x509 path; .11 concerns the newer pki path. Two have been fixed, one is accepted, one is disputed, and one was declined.

Description

Name Constraints limit the names a subordinate certificate authority may issue. The reports concern how BoringSSL applies those limits to certain SAN (Subject Alternative Name) forms. The records do not share one status, and they do not all affect the same validation path.

VU#410595.8 (Fixed 2026-03-04): A wildcard DNS name may not be treated as covering a specifically excluded host.

VU#410595.9 (Accepted): A URI with a colon before @ may cause the wrong host to be used when matching URI constraints.

VU#410595.10 (Disputed): The finding concerns first-@ domain extraction in rfc822Name constraint matching. How consuming mail applications interpret the submitted multi-@ input, and whether that creates deployment exploitation, was not established.

VU#410595.11 (Rejected): Trailing-dot handling in rfc822Name domains. The BoringSSL team declined this on 2026-02-28 as below its security threshold.

VU#410595.12 (Fixed 2026-03-04): Trailing-dot DNS names were not always normalized on the legacy validation path.

Using BoringSSL in a product does not mean that product invokes an affected path or name form.

Impact

These findings matter only where Name Constraints are enforced on an affected path, a trusted signature can be obtained over attacker-chosen SAN fields, and the accepted name is used for authorization. Mixed-library environments may accept or reject the same certificate differently. Presence of BoringSSL does not, by itself, mean that Chrome, Android, or other products are affected.

Solution

BoringSSL fixes land in the upstream repository and reach products through each product's own update process.

• VU#410595.8 and .12 were fixed in commit 5774eca on 2026-03-04.
• VU#410595.9 is accepted and under coordination.
• VU#410595.10 is disputed.
• VU#410595.11 was declined.

CERT/CC is not coordinating BoringSSL fixes. For vendor status, contact the BoringSSL team through the Google Issue Tracker. Operators should confirm whether their deployment uses an affected path, apply available updates, and keep issued SANs well formed. A second validator helps only when it uses the same inputs and fails closed.

Acknowledgements

Thanks to Oleh Konko for discovering and reporting these issues. This document was prepared with AI assistance by Timur Snoke.

Overview

This note covers thirteen library-specific records (VU#948176.6, .8–.19) of how widely used TLS libraries apply X.509 Name Constraints. The records describe cases where a constrained name may be accepted by one library and rejected by another. Some are fixed, some remain under review, and some were not accepted as security issues.

Description

Name Constraints are meant to keep a subordinate CA inside an allowed namespace. The records cover several name forms and do not all have the same classification. VU#948176.7 does not exist.

DNS case-sensitivity and wildcards. While RFC 5280 requires case-insensitive DNS matching, it does not explicitly define wildcard Subject Alternative Name (SAN) matching, leading to varied implementation behaviors. For instance, GnuTLS was found to perform case-sensitive comparisons on certain names (CVE-2026-3833, fixed in 3.8.13). Similar discrepancies regarding case handling in wildcard parent-constraint lookups were reported in Go, as well as wildcard inconsistencies in LibreSSL and wolfSSL. Additionally, pyca/cryptography was identified to check DNS Name Constraints against certificate SANs but failed to validate them against the requested peer name (CVE-2026-34073, fixed in 46.0.6).

IP addresses. Some libraries treat IPv4 and IPv4-mapped IPv6 forms as different when matching constraints. The Go security team determined that report did not meet its security bar; similar reports exist for Apple's Security.framework and Mozilla NSS and are included as comparative evidence.

URIs. Libraries can differ on which host they extract from a URI SAN. OpenSSL merged PR #30319 for an @ in the path, query, or fragment; a separate userinfo-colon report remains in triage. Related URI reports exist for Apple, NSS, and wolfSSL (CVE-2026-3547, fixed in 5.9.0). A well-formed single @ is handled per RFC 3986 by most implementations.

Common Name fallback. AWS-LC and s2n-tls were reported to apply DNS constraints inconsistently when a leaf has no SAN and uses a wildcard Common Name. The AWS-LC wildcard-CN issue has been fixed; a separate Unicode CN question remains under coordination. s2n-tls is in triage.

Non-critical constraints. In the reported Mbed TLS configuration, non-critical Name Constraints are not enforced. RFC 5280 requires conforming CAs to mark the extension critical, and the reviewed Mbed TLS 3.x configuration rejects unsupported critical extensions. The vendor treats adding support as a feature request; the reporter's concern remains disputed.

Impact

These records matter only when an attacker can obtain a trusted signature over chosen certificate fields, reach an affected validation path, and the application uses the accepted identity for authorization. Validator disagreement alone is not exploitation. Effects, if any, are deployment-specific and may include acceptance of a name outside the intended namespace.

Solution

CERT/CC is coordinating remediation across the affected projects. The following summarizes available status; individual entries reflect different reporting and confirmation dates.

GnuTLS — CVE-2026-3833 fixed in 3.8.13.

pyca/cryptography — CVE-2026-34073 fixed in 46.0.6.

wolfSSL — CVE-2026-3547 fixed in 5.9.0. The wildcard was addressed in PR# 9991.

Go's crypto/x509 — Two reports are in triage. The IPv4-mapped IPv6 report was not accepted as meeting the project's security bar.

OpenSSL — PR #30319 was merged and, as confirmed on 10 September 2026, is present in all then-current publicly supported versions. The separate userinfo-colon report remains in triage.

Apple's Security.framework — Three reports submitted on 2026-03-16 remain in triage.

Mozilla NSS — IP-address report under coordination.

LibreSSL — Wildcard report under coordination.

AWS-LC — Wildcard CN issue fixed; Unicode CN report under coordination. s2n-tls is in triage.

Mbed TLS — Non-critical Name Constraints are not enforced in the reported configuration. Marking the extension critical causes such chains to fail closed rather than adding enforcement.

Until updates are widely deployed, operators who depend on Name Constraints should confirm the behavior of the libraries they actually run, keep leaf certificates to explicit SANs, and treat issuance policy as the first control. A second validator helps only when it uses the same inputs and fails closed.

Acknowledgements

Thanks to Oleh Konko for discovering and reporting these issues. This document was prepared with AI assistance by Timur Snoke.