2024.04.19（金）
「この攻撃に対してできることは、『攻撃者から物理的に遠ざかること』以外に何もない。これは『Wi-Fi が利用できなくなる DoS（denial-of-service）』ではない――『オフラインモードですら、デバイスが利用できなくなる DoS』だ」
「それはローカルで、あるいは遠隔コードを実行するエクスプロイトと組み合わせて利用することができる、ローカル権限の root 権限への昇格だ」
「その小さなプログラム『Dell Service Tag Detector』は、サービスタグを確認する以外にも数多くのことを行う」「攻撃者が恣意的にファイルをダウンロードし、実行するためのプログラムを遠隔起動できる可能性もある」とForbesは語った。
「セキュリティ専門家たちにより（SDCS:SA Server、SDCS:SA Client Policies の）セキュリティ監査が行われ、そして全ての確認された問題が解決されるまで、そのソフトウェアを利用しないことを、SEC Consult は強く薦める」
GHOSTがHeartbleedのような広がりを見せることはないだろう。しかしそれは、多くの企業のIT運営チームが、いますぐ全てのインスタンスを調べ、一刻も早くパッチを当てられるよう努めるのに充分となるほど深刻である。
5.3から5.6までの各バージョンのPHPで、既知の脆弱性を含んでいないのは僅かな数のマイナーバージョンのみだったが、その「安全なバージョン」を大多数のシステムは利用していなかった。
このプログラミングの問題は、IOActive のセキュリティ研究者 Ilja van Sprundel が発見したものだ。IOActive は、この古くから存在していた問題にパッチを適用するために X.org と協働しており、ユーザーにはパッチの適用が促されている。
この攻撃に対して F5 キットが脆弱であると Langley は記しており、それに F5 Networks も同意した（アドバイザリが下記 URL に掲載されている）。また、このパッチには A10 ユーザーも注目すべきだと Langley は考えている。
「このセキュリティのバグは、それが生まれて以来、何万ものウェブサイトに広がってきたように見える。あくまでも大雑把な推測ではあるが、このバグの影響を受けるウェブサイトが 20,000 あったとしても、私は驚かない」
攻撃者たちは、「root」「admin」「support」のユーザー名 と、「toor」「password」「123456」などといったデフォルトで設定される一般的なパスワードを利用してログインを試みていた。
の脆弱性は、何者かが sudo コマンドを利用する際に行われる「パスワードの要求」を覆すもので――つまり、スーパーユーザーとしてシェルにアクセスするということになる。
「ハッカーが試みるのは、あなたのセッション Cookie のハッキングである。つまり彼らは、あなたのアカウント用のパスワードを手に入れることはないが、あなたのアカウントに『あなたとして』ログインすることが可能となるだろう」
影響を受ける製品には、最低25万ドルのクラスタアプライアンス「Oracle Exalogic」、Oracle Data Appliance、Big Data Appliance、SPARC Supercluster、Sun ZFS Storage Appliance Kit、様々なソフトウェア製品、全範囲に渡る Oracle Communications が含まれている。
「我々は、できるかぎり迅速に修正を提供する所存だ。今後、提供されるすべての PIXMA 製品では、『PIXMA ウェブインターフェイス』にユーザーネームとパスワードが追加され、また 2013 年後半以降に販売されたモデルも、このアップデートに対応する」
これは犠牲者に、脆弱なエンドポイントの領域で任意のリクエストを行うように仕向け、機密情報である可能性のあるデータを敵陣へ（JSONP 応答に限定することなく、攻撃者がコントロールするサイトへと）密かに持ち出すものだ。
だが、ここで問題となるのは、特定のデバイスがその動作を起こすかどうか、テストを行わずに知る方法がないことだ。たとえば HTC One が Wi-Fi のデータを漏らすことは判明しているが、HTC One Mini は漏えいしていない。
Markus Oberhumer によって 1994 年に開発された LZO は、この 20 年に渡り、OpenVPN や FFmpeg、Linux カーネルなど、無数のシステムで広範に利用されてきた。
推定 3296 件は、ハードウェアのデフォルトのパスワードでアクセスすることができた。その世界最悪のコード「password」は、（アクセス権を持たない）その他大勢の人々にアクセスを許可するだろう。
「我々のシステムで、ここに記述された悪用を行うことは可能であるものの、同じアカウント、および（あるいは）リンクされたアカウントによる繰り返しの悪用は対応される」と、PayPal は Cernaianu に語ったと伝えられている。
修復されたばかりのバグを悪用する攻撃者に対抗するため、多種多様なサーバや、その他のインターネット接続したシステムをアップデートする必要があると、脆弱性管理会社 Rapid7 の Nicholas J. Percoco は語った。
eBay の滅茶苦茶なパスワードシステムは、LastPass で生成されたランダム性の高いパスワードに対して「弱い」というフラグ付けをし、よりリスクの高い、ありがちなパスワードを「より強力」なオプションとして昇降している。
