В Juniper-ах очередная preAuth RCE (CVE-2024-21591) с возможностью получить root-а на устройстве. Снова в интерфейсе J-Web. Об атаках с использованием уязвимости пока не пишут. Но в прошлый раз выложили PoC и начали эксплуатировать вживую весьма оперативно. Посмотрим как будет в этот. 🙂
По данным Shadowserver в интернет выставлено ~8k веб-интерфейсов Juniper-ов. Причём в основном почему-то в Южной Корее (~3k). 🤷♂️ В России 106.
Интересная конфа по Vulnerability Management-у пройдёт в Штатах в конце марта - CVE/FIRST VulnCon 2024 & Annual CNA Summit.
Организаторы там FIRST (которые CVSS и EPSS) и CVEorg (фактически MITRE). Мероприятие платное, но открытое. $100 за онлайн, $250 за оффлайн. 💵 Ставят целью разобраться в экосистеме Vulnerability Management-а: какие важные стейкхолдеры и программы там есть, как можно эту экосистему улучшать. Среди спонсоров больших VM-вендоров (пока?) нет. Только нишевые Nucleus и VulnCheck.
До 31 января открыт CFP по темам: идентификаторы и бюллетени уязвимостей, фреймворки для оценки уязвимостей, инструменты для координированного раскрытия уязвимостей, базы уязвимостей, SBoMы и VEXы (Vulnerability EXchange), атаки на цепочки поставок, способы борьбы с классами уязвимостей. 🔥🤩
Думаю подаваться на CFP из России, с учётом текущих реалий, дело малоперспективное (только если по фану 😅).
Нам в России тоже такое неплохо было бы проводить. В контексте БДУ ФСТЭК, например.
Подсвечу отдельно, что мы ждём ваши комментарии к 18ому эпизоду Прожектора по ИБ с предложениями по импортозамещению и стихами. 🙂
➡️ На какие российские продукты можно заменить западный продукты с недавними критичными уязвимостями (Microsoft SharePoint, Cisco Unity Connection, GitLab, Ivanti Connect Secure)?
➡️ Стихотворение, которое начинается с "Двухфакторка рулит. GitLab - решето."
Прожектор по ИБ, выпуск №18 (13.01.2024): Герои Оземпика in-the-middle
🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"
Первый выпуск в новом году, накопилось много новостей. 🙂
00:00 Здороваемся, обсуждаем новый ноутбук Льва без камеры, радуемся относительно большому количеству просмотров прошлого выпуска
03:10 Внезапно про обновление Heroes III с новыми замками
05:15 Несколько минут здорового самопиара. Говорим про видео-проекты: Ответь за 5 секунд (в последнем я участвовал), ИИ несёт бред, Собираем карьеру
09:20 Закладка в прошивке светодиодной гирлянды
13:04 NVD включили заднюю в вопросе отключения СVЕ-фидов
15:39 Итоги 2023 года от Qualys Threat Research Unit
21:47 Январский Microsoft Patch Tuesday и MitM
29:14 Июньская Authentication Bypass уязвимость Sharepoint (CVE-2023-29357) в активной эксплуатации; конкурс: на что заменить Sharepoint?
32:15 Cisco исправили критичную Arbitrary File Upload / RCE уязвимость в Unity Connection (CVE-2024-20272); конкурс: на что заменить CUC?
37:45 Атаки на Ivanti Connect Secure / lvanti Policy Secure с использованием 0Day RCE уязвимости (CVE-2023-46805, CVE-2024-21887)
41:06 Курьёзная критичная уязвимость в GitLab - восстановление пароля от аккаунта на левый email (CVE-2023-7028); конкурс стихов 😅
44:10 ИС Антифишинг от Минцифры
45:38 Всемирный совет церквей (WCC) был атакован вымогателями
48:50 МВД России предупреждает о новых способах мошенничества
50:24 Цукерберг берет деньги за отказ от сбора и использования личных данных под целевую рекламу
51:29 Почти 170 случаев утечек персональных данных россиян зафиксированы в 2023 году
54:41 Прощание от Mr.X про Оземпик
Курьёзная критичная уязвимость в GitLab - восстановление пароля от аккаунта на левый email (CVE-2023-7028). 🤦♂️🙂 Уязвимы версии GitLab CE/EE с 16.1.0. CVSS 10. Патчи доступны.
"Как это произошло?
В версии 16.1.0 было внесено изменение, позволяющее пользователям сбрасывать свой пароль используя дополнительный адрес электронной почты. Уязвимость является результатом ошибки в процессе верификации электронной почты."
В микроблогах пишут, что PoC буквально такой:
user[email][]=valid@email.com&user[email][]=attacker@email.com
upd. Эксплоит на GitHub
"Пользователи, у которых включена двухфакторная аутентификация, уязвимы для сброса пароля, но не для захвата учетной записи, поскольку для входа в систему требуется второй фактор аутентификации."
Двухфакторка рулит. GitLab - решето. 🙂
Июньская Authentication Bypass уязвимость Sharepoint (CVE-2023-29357) в активной эксплуатации. Её добавили в CISA KEV. У Microsoft эта уязвимость идёт как EoP, но описание у неё говорит об AuthBypass. Удаленный неутентифицированный злоумышленник может получить привилегии аутентифицированного пользователя на уязвимом сервере, отправив поддельный токен аутентификации JWT. Для того, чтобы злоумышленник мог воспользоваться этой уязвимостью, не требуется никакого взаимодействия с пользователем.
Уязвимость была продемонстрирована Pwn2Own Vancouver в марте 2023. И вот где-то через полгода после выхода патча пошли реальные атаки.
Если у вас в инфре есть Sharepoint сервер, который более полугода не обновлялся - обратите внимание.
Все пишут про атаки на Ivanti Connect Secure / Ivanti Policy Secure с использованием 0Day RCE уязвимости (CVE-2023-46805, CVE-2024-21887). Там одна CVE это Authentication Bypass, вторая Command Injection, а вместе дают RCE. Первые атаки зарегистрировали 3 декабря. В ходе атак злоумышленники устанавливали вебшелл GLASSTOKEN. Публичного PoC-а пока нет. Обновлений пока нет, но есть mitigation file.
На Ivanti прям проклятье какое-то. 🫣 В прошлом году была эпопея с Ivanti EPMM (CVE-2023-35078). До этого несколько лет выходило множество критичных эксплуатабельных уязвимостей Ivanti Pulse Connect Secure. У Tenable в блоге прикольная историческая подборочка на эту тему.
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.