Про уязвимость Remote Code Execution - Adobe Reader (CVE-2026-34621)

Добавить комментарий

Про уязвимость Remote Code Execution - Adobe Reader (CVE-2026-34621)

Про уязвимость Remote Code Execution - Adobe Reader (CVE-2026-34621). Adobe Acrobat Reader (с 2003 по 2015 "Adobe Reader") - это бесплатная программа от компании Adobe для просмотра PDF-файлов. Доступны версии под Windows, macOS, Android, iOS. Уязвимость удаленного выполнения кода в Adobe Acrobat для Windows и macOS вызвана неправильной обработкой атрибутов прототипа объекта (CWE-1321 - "Prototype Pollution"). Эксплуатация уязвимости позволяет злоумышленнику добиться выполнения произвольного кода на системе при открытии жертвой специально подготовленного документа.

👾 Об уязвимости и существовании эксплоита 7 апреля сообщил исследователь Haifei Li, разработчик EXPMON - системы на основе песочницы для обнаружения файловых zero-day и труднообнаруживаемых эксплоитов. 26 марта некто отправил PDF образец yummy_adobe_exploit_uwu.pdf в публичный сервис EXPMON.

Сообщалось, что по результатам анализа образец ведет себя как начальный эксплоит (initial exploit) с возможностью сбора и передачи злоумышленнику различных типов информации, потенциально с последующим выполнением произвольного кода (RCE) и эксплоитами выхода из песочницы (SBX). Он использует zero-day в Adobe Reader, которая позволяет ему вызывать привилегированные API Acrobat. Было подтверждено, что эксплоит работал на актуальной версии Acrobat. Конкретно он вызывает API "util.readFileIntoStream()", позволяющий читать произвольные файлы (доступные для изолированного процесса Reader) в локальной системе. Таким образом зловред может собирать широкий спектр информации с локальной системы и красть данные локальных файлов. Вызов API "RSS.addFeed()" используется для отправки информации, собранной с локальной системы, на удалённый сервер и получения дополнительного JavaScript-кода для выполнения. Такой механизм позволяет злоумышленнику собирать пользовательскую информацию, красть локальные данные, выполнять продвинутый "фингерпринтинг" и развивать атаку. Если цель соответствует условиям атакующего, он может доставить дополнительный эксплойт для достижения RCE или SBX. Однако во время тестов исследователю не удалось получить указанный дополнительный эксплойт - сервер был доступен, но не отвечал. Это может быть связано с различными причинами. Например, локальные тестовые окружения могли не соответствовать специфическим критериям атакующего.

8 апреля на Virus Total был обнаружен ещё один образец зловредного файла, загруженный 28 ноября 2025 года, что показывает, что эта 0day/APT кампания продолжается как минимум 4 месяца.

9 апреля исследователь Gi7w0rm сообщил о признаках эксплуатации уязвимости в реальных атаках, в которых использовались зловредные документы на русском языке с приманками, связанными с нефтегазовой отраслью России. По всей видимости в таргетированных атаках на российские организации.

13 апреля уязвимость была добавлена в CISA KEV.

⚙️ Бюллетень безопасности Adobe был опубликован 12 апреля. Уязвимы версии Acrobat DC 26.001.21367 и более ранние, Acrobat Reader DC 26.001.21367 и более ранние, Acrobat 2024 24.001.30356 и более ранние. Уязвимость исправлена в Acrobat DC 26.001.21411, Acrobat Reader DC 26.001.21411, Acrobat 2024 Windows: 24.001.30362/Mac: 24.001.30360.

Adobe рекомендует пользователям уязвимых версий обновить свои приложения через "Help > Check for Updates", что запускает автоматическое обновление. В качестве альтернативы пользователи могут загрузить установщик Acrobat Reader с официального портала Adobe.

В бюллетене отмечается, что Adobe известно об эксплуатации уязвимости CVE-2026-34621 вживую.

🛠 Публичных эксплоитов пока не наблюдается.

💡 К PDF-файлам, полученным из непроверенных или неожиданных источников, следует всегда относиться с осторожностью и открывать их в изолированных (sandboxed) средах. 😉

VulnCheck (Vulnerability Intelligence вендор и CNA) выстроили занимательный конвейер регистрации CVE-идентификаторов для активно эксплуатирующихся уязвимостей через взаимодействие с мониторинговой организацией Shadowserver

Добавить комментарий

VulnCheck (Vulnerability Intelligence вендор и CNA) выстроили занимательный конвейер регистрации CVE-идентификаторов для активно эксплуатирующихся уязвимостей через взаимодействие с мониторинговой организацией Shadowserver

VulnCheck (Vulnerability Intelligence вендор и CNA) выстроили занимательный конвейер регистрации CVE-идентификаторов для активно эксплуатирующихся уязвимостей через взаимодействие с мониторинговой организацией Shadowserver. Такой конвейер работает без участия вендоров уязвимого ПО и особенно полезен для регистрации уязвимостей в продуктах вендоров, которые по каким-то причинам совсем не инициируют регистрацию CVE или делают это со значительной задержкой (например, в случае некоторых вендоров из Китая).

Схема процесса:

🔎 Обнаружение эксплуатации: Shadowserver Foundation фиксируют, что для конкретной уязвимости наблюдается эксплуатация вживую, при этом CVE-идентификатор у уязвимости отсутствует.

🧪 Проверка информации: VulnCheck валидируют информацию и подтверждают, что для уязвимости ранее действительно не было зарегистрировано CVE.

📚 Сбор источников: собираются все релевантные публичные источники по уязвимости, включая, при наличии, патчи и репорты CERT-ов, государственных агентств и записи из альтернативных баз уязвимостей.

🆔 Публикация CVE: после подтверждения уязвимости ей присваивается CVE-идентификатор с привязкой к году первоначального раскрытия (например, CVE-2021-4473, если уязвимость была раскрыта в CNVD в 2021 году). В качестве CNA выступают сами VulnCheck.

📡 Распространение: опубликованный CVE-идентификатор передаётся обратно в Shadowserver для использования в детектировании, а также добавляется в VulnCheck KEV. Дополнительно рассылаются уведомления подписчикам по email и Slack.

VulnCheck приводят примеры заведённых по такому процессу уязвимостей:

🔻 CVE-2026-22679 - уязвимость удалённого выполнения команд без аутентификации в Weaver (Fanwei) E-cology 10.0. Первые признаки эксплуатации зафиксированы Shadowserver Foundation 31.03.2026.

🔻 CVE-2021-4473 - уязвимость внедрения команд в Tianxin Internet Behavior Management System. Первые признаки эксплуатации зафиксированы Shadowserver Foundation 01.06.2024.

Итого. В таком процессе уязвимости фиксируются и оформляются на основе наблюдаемой эксплуатации и threat intelligence без обязательного участия вендора ПО. При этом регулятор, отвечающий за ведение базы уязвимостей, не перегружается операционной работой конвейера по сбору данных и заведению новых идентификаторов. 👍

🇷🇺 В российском контексте подобный подход можно было бы использовать для ускоренного заведения уязвимостей в БДУ ФСТЭК по факту их эксплуатации без активного участия в процессе регулятора и вендоров уязвимого ПО. Но для этого нужно фактически выдать некоторым российским Vulnerability Intelligence организациям полномочия по заведению идентификаторов БДУ, фактически аналогичные CNA, что, конечно, имеет свои плюсы и минусы. 🤔

На этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе Чебоксары

Добавить комментарий

На этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе ЧебоксарыНа этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе Чебоксары

На этой неделе у меня было очень мало постов, так как мы семьёй отдыхали в столице республики Чувашии - городе Чебоксары. Ранее мы уже были в Казани, Йошкар-Оле, Саранске. И вот пришло время посетить столицу ещё одной национальной республики Поволжья. 🙂

Программа у нас была обширная:

🔹 Ходили в театры. В театре оперы и балета Волга Опера смотрели "Лебединое озеро" и "Спящую красавицу". Также побывали там на экскурсии по закулисью. В Русском драматическом театре смотрели "Мою прекрасную леди" (переводную версию известного мюзикла в исполнении театра "Петербургская оперетта"), детский спектакль "Муха-Цокотуха" от местной труппы (на самом деле очень крутая постановка 😅). И в этом театре тоже была экскурсия по закулисью. В Чувашском академическом драматическом театре смотрели пьесу на чувашском языке "Шӑпчӑк юрлать Питравччен" ("Трель соловья до Петрова дня").

🔹 Ходили с экскурсиями в художественные музеи: Русского и зарубежного искусства, Чувашский государственный художественный музей.

🔹 Посетили с экскурсиями Чувашский национальный музей (история, этнография, природа) и Музей чувашской вышивки (на мастер-классе научился немного вышивать 🙂) и Музей вышитой карты России.

🔹 Сходили с экскурсией в Литературный музей имени К.В. Иванова. На неделе также прочитали главное произведение Константина Иванова - поэму "Нарспи" в стихотворном переводе на русский. Сюжет там в том, что красавицу Нарспи против воли выдают замуж за богатого старика Тахтамана, в то время как сама она любит юного бедняка Сетнера. Это приводит к череде трагических последствий. Как сообщила экскурсовод, по оригинальному тексту, Тахтаман старше Нарспи на 18 лет. Т.е., если учесть, что Нарспи самой никак не больше 20, то "старику" лет 38, не больше. Это к слову о возрасте. 😉

🔹 Из необычных музеев посетили с экскурсиями Музей трактора при Концерне Тракторные заводы - одного из градообразующих предприятий, а также музей В.И. Чапаева. 🙂

Впечатления от города остались самые приятные. Хорошо отдохнули: много гуляли (хотя погода, честно говоря, этому не особо способствовала 🥶😅), вкусно кушали, узнали много нового и интересного.

Буду теперь возвращаться в рабочий режим. 👨‍💻

Пользуясь случаем, поздравляю всех православных со светлым праздником Воскресения Христова! 🥚☦️

А ещё, конечно же, с Днём Космонавтики! 🚀

Вынесу из нашего уютного MAX-чатика про пятничный сбой в онлайн-платежах

Добавить комментарий

Вынесу из нашего уютного MAX-чатика про пятничный сбой в онлайн-платежах

Вынесу из нашего уютного MAX-чатика про пятничный сбой в онлайн-платежах.

🔹 Не считаю, что произошло что-то суперкритичное. Сбой и сбой. Не первый и не последний. Бывает. 🤷‍♂️ Устранили быстро и норм. 👌У нас в доме 5 часов воды не было - вот это, скажу я вам, было неприятно. 😔 А истерить из-за неработающих несколько часов онлайн-платежей… Ну, такое. 🙄

🔹 Тем, кто попал в ситуацию, когда нельзя было срочно оплатить что-то картой или по QR-коду, а налички при себе не было - безусловно сочувствую. Но рассчитывать только на онлайн-платежи в принципе чревато. Тем более в наше неспокойное и немирное время. Причины сбоев могут быть самыми разными, в том числе и по нашей ИБшной части. Сам я несколько раз в год сталкиваюсь, что платежи не проходят. Пожимаю тогда плечами и достаю бумажные деньги, лежащие "на всякий пожарный". Но гораздо чаще реальных сбоев попадаются ушлые бизнесы "ой, а у нас приём карточек не работает, можете наличными заплатить?" 😏 Вполне очевидный схематоз, ради "налоговой оптимизации".

🔹 ИБшным ЛОМам, которые использовали этот незначительный инфоповод для того, чтобы лишний раз пнуть Минцифры и РКН, выражаю своё фи. Особенно тем, которые в итоге не рассчитали и не потянули, а потом тёрли свои посты и извинялись за поспешные выводы. 😏 Надеюсь, что они перестанут строить из себя народных трибунов, создавая проблемы и себе, и PR-щикам компаний, в которых работают, и займутся чем-то более профильным и полезным. 😉 Учитывая солидные доходы этих свободолюбивых правдорубов из окологосударственных источников и отнюдь не скромный образ жизни на эти доходы, дешёвый популизм и фронда в их исполнении выглядят жалко, неуместно и смешно.

Вниманию абитуриентов и их родителей: Физтех (МФТИ) и Positive Technologies запускают совместную бакалаврскую специализацию

Добавить комментарий

Вниманию абитуриентов и их родителей: Физтех (МФТИ) и Positive Technologies запускают совместную бакалаврскую специализацию

Вниманию абитуриентов и их родителей: Физтех (МФТИ) и Positive Technologies запускают совместную бакалаврскую специализацию. Направления подготовки:

🔹Разработка систем кибербезопасности
🔹Реинжиниринг киберфизических систем

В обоих случаях, помимо фундаментальной математической и инженерной подготовки, студенты будут глубоко изучать архитектуру компьютеров и ОС, а также методы поиска уязвимостей с использованием реверс-инжиниринга. Хорошие реверсеры сейчас в жутчайшем дефиците. Несмотря на весь прогресс в ИИ, без работы выпускники точно не останутся. 😉

Профильные занятия и практика на инфраструктуре Positive Technologies начнутся с первого семестра. Практические занятия будут вести эксперты компании.

Цель Positive Technologies в этом - выстроить устойчивую систему подготовки кадров, совместно запускать исследования и создавать новые технологии.

Всего предусмотрено 36 мест. Приём стартует уже этим летом.

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-20963)

Добавить комментарий

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-20963)

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-20963). Уязвимость из январского MSPT. В момент публикации MSPT, 13 января, VM-вендоры не выделяли эту уязвимость в своих обзорах, а Microsoft не сообщали о признаках эксплуатации уязвимости. CVSS вектор для уязвимости был CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (8.8). Из "PR:L" следует, что для эксплуатации уязвимости требуется аутентификация. Однако 17 марта Microsoft изменили описание уязвимости и CVSS вектор. Новый CVSS вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8). Из "PR:N" следует, что аутентификация для эксплуатации уязвимости не требуется.

Актуальное описание уязвимости:

"Десериализация недоверенных данных (CWE-502) в Microsoft Office SharePoint позволяет неавторизованному атакующему выполнить код по сети. В сетевой атаке неаутентифицированный атакующий может записать произвольный код, чтобы внедрить (inject) и выполнить его удалённо на сервере SharePoint."

👾 18 марта уязвимость добавили в CISA KEV. Подробностей по эксплуатации пока нет. Публичных эксплоитов тоже пока нет. Но по потенциальным последствиям эксплуатации уязвимость может быть сравнима с прошлогодней RCE "ToolShell" (CVE-2025-49704).

Ситуация вокруг этой уязвимости демонстрирует: критичность уязвимости нельзя оценить один раз и навсегда. Для уязвимости не только могут в любой момент появляться признаки эксплуатации вживую или публичные эксплоиты, но даже сам вендор может в любой момент по каким-то причинам изменить описание и CVSS уязвимости. Поэтому данные по продетектированным в инфраструктуре уязвимостям необходимо постоянно отслеживать (самостоятельно или силами VM-вендора), актуализировать критичность уязвимостей и корректировать дедлайны задач на их устранение.

В силу того, что ситуация по каждой конкретной уязвимости может в любой момент измениться, не следует отмахиваться от каких-то уязвимостей как от гарантированно некритичных или неэксплуатабельных. Ответственный подход заключается в том, что все продетектированные уязвимости требуют устранения, но в соответствии со своим (постоянно актуализируемым) приоритетом.

Поделюсь впечатлениями от прошедшей вчера конференции Территория Безопасности, на которой я выступал и был модератором секции, посвящённой управлению уязвимостями и экспозициями

Добавить комментарий

Поделюсь впечатлениями от прошедшей вчера конференции Территория Безопасности, на которой я выступал и был модератором секции, посвящённой управлению уязвимостями и экспозициями

Поделюсь впечатлениями от прошедшей вчера конференции Территория Безопасности, на которой я выступал и был модератором секции, посвящённой управлению уязвимостями и экспозициями. На мой взгляд, Территория Безопасности - лучшая на текущий момент независимая конференция по информационной безопасности в России. Независимая в том смысле, что за ней не стоит какой-то один вендор или организация. И в то же время это масштабное мероприятие с разнообразной деловой программой (4 параллельных трека!) и множеством вендоров, представленных в выставочной части. Деловая программа фактически формируется усилиями комьюнити, и каждая ИБ-специализация имеет там своё место и возможность пересечься в одном зале, чтобы обсудить актуальные темы и то, что действительно наболело.

Я приложил руку к составлению VM-ной части программы, о которой писал ранее. Как по мне, всё прошло отлично, докладчики выступали бойко, отрепетированно и укладывались в достаточно жёсткий тайминг. Времени всегда хочется как можно больше, но, с другой стороны, такие ограничения (~1,5 часа на все про все) стимулируют делать секцию как можно более динамичной.

🔹 Приятно, что наш "позитеховский" взгляд на Exposure Management, сформулированный мной и продемонстрированный (очень подробно и наглядно 👍) Константином Маньяковым, был хорошо воспринят как представителями клиентов, так и представителями других VM-вендоров.

🔹 Хотелось бы отметить замечательный, динамичный и остроумный доклад Кирилла Евтушенко, генерального директора Кауч, с критикой функциональности по детектированию мисконфигураций в Nessus. Мне, как бывшему активному комплаенсописателю с опытом в .audit- и NASL-скриптинге, эта тема была особенно близка и интересна. 🔥

🔹 Хотелось бы поблагодарить Кирилла Сорокина, директора департамента защиты приложений ПАО «Вымпелком» (Билайн), и Романа Мустаева, начальника отдела обеспечения безопасности инфраструктуры АО «Национальная страховая информационная система», за взгляд со стороны компаний-клиентов различного масштаба. Коллеги очень здорово сбалансировали наш вендорский междусобойчик, подсветив актуальные проблемы существующих решений по работе с уязвимостями (в широком смысле 😉).

🔹 Огромная благодарность Дмитрию Чернякову, директору по развитию продуктов АО «АЛТЭКС-СОФТ» (RedCheck), за участие в дискуссии. Очень рад, что наши взгляды по VM-ным вопросам, как правило, в значительной степени совпадают. 🤝

В выставочной части в этом году стендов VM-вендоров было поменьше, чем в прошлом. Но тем не менее было много интересного.

🔻 Этот год был отмечен полноценным участием в выставке Positive Technologies с большим и красивым стендом, посвящённым именно продуктам для работы с уязвимостями/экспозициями (XSpider PRO, MaxPatrol VM, MaxPatrol HCC, MaxPatrol Carbon). Интерес был большой, и наш PT-шный десант очень активно поработал на стенде. 👍

🔻 На стенде RedCheck я потестировал интерфейс нового RedCheck VM. Выглядит симпатично. Понравилась фишка с назначением конкретных уязвимостей на ответственных. Фактически таски "один хост - одна уязвимость". Постараюсь сделать отдельный пост про это.

🔻 Интересно пообщался на стендах EASM-вендора DeteAct, compliance/hardening-вендора Кауч, "российского Skybox" MIST Insight.

Организовано мероприятие было, как всегда, отлично. 💯 По технике всё работало как надо. Кормили вкусно, и еды было в избытке. Всё способствовало приятному и полезному деловому общению. Организаторы и лично продюсер конференций Екатерина Митина - большие молодцы! Спасибо Территории Безопасности, и надеюсь, что до встречи в следующем году!