Архив за месяц: Ноябрь 2023

По поводу Improper Authorization уязвимости в Atlassian Confluence (CVE-2023-22518), которую я вчера упоминал

3 комментария

По поводу Improper Authorization уязвимости в Atlassian Confluence (CVE-2023-22518), которую я вчера упоминал

По поводу Improper Authorization уязвимости в Atlassian Confluence (CVE-2023-22518), которую я вчера упоминал. Для неё пока нет эксплоита и нет признака эксплуатации вживую. Технических деталей тоже почти нет. В описании уязвимости на NVD есть только упоминания, что

🔹 уязвимости подвержены все версии Confluence
🔹 уязвимость пока НЕ эксплуатируется вживую
🔹 уязвимость НЕ позволяет получить доступ к пользовательским данным
🔹 облачные инсталляции Confluence НЕ подвержены уязвимости

Однако бюллетень для этой уязвимости содержит сообщение от CISO Atlassian Bala Sathiamurthy. Он пишет, что клиенты могут потерять значительную часть данных, в случае эксплуатации этой уязвимости неаутентифицированным злоумышленником. Значит ли это, что скоро злоумышленники будут вайпить инсталляции Confluence, до которых смогут дотянуться? Похоже на то. 🧐

Уязвимость исправлена в версиях:

7.19.16 or later
8.3.4 or later
8.4.4 or later
8.5.3 or later
8.6.1 or later

А как у нас дела с балансировщиками?

1 комментарий

А как у нас дела с балансировщиками? В последнем Прожекторе по ИБ я высказал предположение, что NetScaler ADC/Citrix ADC уже для России неактуален, т.к. их и так мало было, а у кого было - те уже мигрировали. На что Лев Палей мне возразил, что решения Citrix для балансировки были очень популярны и наверняка ещё много где есть. Давайте попробуем навести какую-то статистику по балансироващикам нагрузки в России. Опять же в контексте уязвимости F5 BIG-IP интересно.

Накинули командой Прожектора такие опции:

- Citrix NetScaler ADC
- F5 BIG-IP
- VMware NSX Advanced Load Balancer
- Microsoft NLBS
- Nginx Plus
- Nginx OSS
- Angie PRO / Angie OSS (вместе, т.к. у Телеграмма ограничение по количеству опций 🤷‍♂️)
- Другое иностранное решение
- Другое отечественное решение

Продолжая тему атак на F5, страдают сейчас те, кто не привели в порядок свой периметр и выставляют туда админки непонятно зачем

1 комментарий

Продолжая тему атак на F5, страдают сейчас те, кто не привели в порядок свой периметр и выставляют туда админки непонятно зачем.

Praetorian пишут:

"Кроме того, полностью ограничьте доступ к порталу TMUI. Сам портал вообще не должен быть доступен из Интернета. Помимо CVE в этом блоге, за последние три года исследователи обнаружили две уязвимости удаленного выполнения кода без аутентификации на портале TMUI. Если вашей организации требуется доступ к порталу TMUI через Интернет, убедитесь, что доступ возможен только из внутренней сети или через VPN-соединение."

Та же тема и с Cisco ISE XE (CVE-2023-20198), и со множеством уязвимостей Confluence (CVE-2023-22515 или вчерашней CVE-2023-22518), и т.д. Чем меньше сервисов на периметре, тем меньше будет головной боли.

Пишут, что пошли атаки на F5 BIG-IP, использующие связку RCE CVE-2023-46747 и SQLi CVE-2023-46748

3 комментария

Пишут, что пошли атаки на F5 BIG-IP, использующие связку RCE CVE-2023-46747 и SQLi CVE-2023-46748

Пишут, что пошли атаки на F5 BIG-IP, использующие связку RCE CVE-2023-46747 и SQLi CVE-2023-46748. RCE уязвимости CVE-2023-46747 подвержен компонент BIG-IP Configuration utility (TMUI). Фикс вышел на прошлой неделе. Есть подробное описание и PoC от компании Praetorian. Есть шаблон для nuclei.

Уязвимы версии: 

17.1.0 (Fixed in 17.1.0.3 + Hotfix-BIGIP-17.1.0.3.0.75.4-ENG)
16.1.0 - 16.1.4 (Fixed in 16.1.4.1 + Hotfix-BIGIP-16.1.4.1.0.50.5-ENG)
15.1.0 - 15.1.10 (Fixed in 15.1.10.2 + Hotfix-BIGIP-15.1.10.2.0.44.2-ENG)
14.1.0 - 14.1.5 (Fixed in 14.1.5.6 + Hotfix-BIGIP-14.1.5.6.0.10.6-ENG)
13.1.0 - 13.1.5 (Fixed in 13.1.5.1 + Hotfix-BIGIP-13.1.5.1.0.20.2-ENG)

Также в бюллетене для CVE-2023-46747 F5 пишут, что была замечена эксплуатация этой уязвимости вживую злоумышленникми в связке с SQLi CVE-2023-46748. Есть IOC-и.

Эксплуатацию CVE-2023-46747 вживую с 30 октября также заметили на своих ханипотах The Shadowserver Foundation.