Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

O Node.js acabou de lançar uma atualização de segurança de peso: 16 vulnerabilidades corrigidas nas linhas 22.x, 24.x e 26.x, sendo sete classificadas como de severidade alta. As versões corrigidas são 22.23.5, 24.22.3 e 26.13.1, e o projeto afirma que atualizar é a única solução disponível.

Os destaques são realmente graves. Uma falha permite que um cliente não autenticado derrube qualquer servidor HTTP/2 padrão, inclusive em conexões sem TLS. Outra pode fazer o servidor devolver pedaços da própria memória, incluindo respostas destinadas a outras conexões. Há ainda um bug em servidores HTTPS capaz de expor memória com chaves privadas TLS e requisições de outros usuários, além de falhas que causam esgotamento permanente de recursos, corrupção de memória durante streaming de arquivos e brechas em regras de certificados TLS.

Para quem roda Node.js em produção, é hora de parar tudo e aplicar o patch. Linhas fora de suporte, como 20.x e 25.x, não recebem correção alguma, um lembrete duro de quanto da web moderna depende de stacks abandonadas. Se você lida com tráfego sensível, combine a rotina de atualização com bons hábitos de criptografia, como uma VPN confiável, e revise cada endpoint exposto hoje mesmo.

Node.js corrige 16 falhas, incluindo bugs no HTTP/2 que derrubam servidores e vazam dados de outros usuários

#open-source #vulnerability #patch #data-breach #cyber-security #tls #http2 #nodejs

eMudhra está saindo do mercado global de certificados SSL/TLS após o comprometimento das chaves privadas de oito autoridades certificadoras intermediárias. A empresa oferecerá certificados emitidos pela Sectigo como alternativa e manterá os serviços de revogação e status até que todos os certificados afetados expirem ou sejam substituídos.

O caso acende um alerta para a infraestrutura de confiança que vai além dos navegadores: keystores Java, contêineres, VPNs, balanceadores de carga e dispositivos embarcados podem tomar decisões de confiança próprias. Equipes de segurança precisam mapear essas dependências agora, definir prazos de migração e não tratar uma CA de transição como destino final.

O Mozilla já removeu da sua trust store a raiz que assinou os intermediários comprometidos, e a remoção no Chrome deve chegar a todos os dispositivos até o fim de outubro. A mensagem é clara: higiene de certificados e verificação independente de confiança não são opcionais.

eMudhra deixa mercado global de certificados TLS após comprometimento de chaves de assinatura

#cybersec #cyberattack #data-privacy #tls #chrome #certificates #sectigo

$Uma grande reviravolta na confiança da web está abalando o sistema de certificados. A eMudhra, autoridade certificadora indiana, está saindo do negócio global de SSL/TLS depois que um pesquisador recuperou as chaves privadas de oito certificados intermediários de CA. As chaves deveriam ser números aleatórios enormes, mas todas as oito ficaram abaixo de 256, tornando-as trivialmente adivinháveis. Chrome e Firefox agiram rápido para parar de confiar na raiz afetada, e o Google está dizendo aos operadores de sites que instalem novos certificados TLS de outra hierarquia de PKI imediatamente. Cerca de 30.800 certificados não expirados estavam encadeados à raiz em 21 de outubro, com 99,9% emitidos via InCommon para a comunidade de ensino superior. A eMudhra afirma que seus sistemas não foram invadidos e que as chaves fracas nunca foram usadas para emitir certificados de sites, mas as consequências já forçam milhares de detentores de certificados a migrar. O episódio levanta questões difíceis sobre supervisão de autoridades certificadoras, automação e a fragilidade da confiança na internet. Cornell está recomendando certificados RSA em vez de ECC, algumas organizações miram o Let's Encrypt, e a Mozilla ainda avalia a confiança na raiz G1 da eMudhra. Para quem se preocupa com privacidade e segurança, é um lembrete forte de que a confiança online depende de gestão rigorosa de chaves e escrutínio independente.$

eMudhra deixa negócio global de SSL/TLS após oito chaves intermediárias de CA facilmente adivinháveis exporem crise de confiança

#cybersecurity #infosec #privacy #tls #certificate-authority #firefox #chrome #ssl

Ver detalhe →

Um novo relatório da DigiCert mostra que falhas em certificados deixaram de ser um pequeno incômodo de TI para se tornar uma ameaça capaz de derrubar serviços críticos e gerar custos enormes. Quase uma em cada quatro organizações afirmou que seu pior incidente com certificados custou mais de US$ 250 mil, com 34% sofrendo uma paralisação por certificado expirado e 40% relatando indisponibilidade ligada à má gestão de certificados.

A pressão só vai aumentar. O CA/Browser Forum caminha para certificados TLS públicos de 47 dias até 2029, forçando as equipes a renovar mais de oito vezes com mais frequência e a realizar 40 vezes mais validações de domínio. Com 52% já tendo dificuldades para gerenciar certificados em múltiplas nuvens e plataformas, planilhas e lembretes de calendário estão prestes a se tornar obsoletos.

A resposta, defendem os especialistas, é a automação. O gerenciamento automatizado do ciclo de vida de certificados já é a terceira maior prioridade em segurança cibernética, mas apenas 10% das empresas têm automação totalmente implementada. Sistemas legados, orçamentos apertados e falta de especialização seguem como barreiras, mas a mensagem é clara: saiba cada certificado que possui e automatize antes que uma expiração esquecida vire uma paralisação de negócios.

Falhas em certificados podem custar mais de US$ 250 mil às empresas, e prazos de 47 dias estão chegando

#cybersecurity #tls #compliance #risk-management #automation #certificates

Ver detalhe →

Mudanças importantes estão chegando ao AWS Certificate Manager. A validação por e-mail para certificados públicos será descontinuada ao longo de 2027, com o fim de novas solicitações em 31 de março de 2027 e o fim das renovações em 30 de setembro de 2027. É um movimento forte rumo a uma segurança na nuvem mais robusta e automatizada.

A boa notícia? Migrar para a validação DNS está mais simples do que nunca. A AWS está atualizando a API UpdateCertificateOptions para que você troque o método de validação sem alterar o ARN do certificado. Basta adicionar o registro CNAME fornecido em até 72 horas e o ACM cuida das renovações automaticamente. Usuários do CloudFront também terão a validação HTTP como alternativa.

AWS vai aposentar a validação por e-mail de certificados: o que fazer antes de 2027

#cybersecurity #cloud-security #aws #certificate-manager #dns-validation #tls #devops #encryption

Ver detalhe →