Архив за месяц: Август 2025

Августовский Microsoft Patch Tuesday

Добавить комментарий

Августовский Microsoft Patch Tuesday

Августовский Microsoft Patch Tuesday. Всего 132 уязвимости, на 20 меньше, чем в июле. Из них 25 уязвимостей были добавлены между июньским и июльским MSPT. Есть три уязвимости с признаком эксплуатации вживую. Две из них относятся к трендовой уязвимости SharePoint "ToolShell", эксплуатирующейся вживую с 17 июля:

🔻 RCE - Microsoft SharePoint Server (CVE-2025-53770)
🔻 Spoofing - Microsoft SharePoint Server (CVE-2025-53771)

Ещё одна эксплуатируемая уязвимость касается Chromium:

🔻SFB - Chromium (CVE-2025-6558)

Из остальных уязвимостей без публичных эксплоитов и признаков эксплуатации можно выделить:

🔹 RCE - SharePoint (CVE-2025-49712), GDI+ (CVE-2025-53766), Windows Graphics Component (CVE-2025-50165), DirectX Graphics Kernel (CVE-2025-50176), Microsoft Office (CVE-2025-53731, CVE-2025-53740), MSMQ (CVE-2025-53144, CVE-2025-53145, CVE-2025-50177)
🔹 EoP - Kerberos (CVE-2025-53779), NTLM (CVE-2025-53778)

🗒 Полный отчёт Vulristics

Августовский "В тренде VM": уязвимости в Microsoft Windows и SharePoint

Добавить комментарий

Августовский В тренде VM: уязвимости в Microsoft Windows и SharePoint

Августовский "В тренде VM": уязвимости в Microsoft Windows и SharePoint. Традиционная ежемесячная подборка. В этот раз экстремально короткая.

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего две трендовые уязвимости:

🔻 Remote Code Execution - Microsoft SharePoint Server "ToolShell" (CVE-2025-53770). Уязвимость массово эксплуатируется, возможно злоумышленники могли добраться даже до американских ядерных секретов. Уязвимость актуальна и для России.
🔻 Elevation of Privilege - Windows Update Service (CVE-2025-48799). Уязвимость затрагивает версии Windows 10/11 с как минимум двумя жёсткими дисками.

Киберклад следует сдавать государству

Добавить комментарий

Киберклад следует сдавать государству

Киберклад следует сдавать государству. Продолжу накидывать аргументы за централизацию репортинга уязвимостей через государственного регулятора. Ранее я сравнивал знание об уязвимости с оружием. Теперь рассмотрим уязвимости как ценность.

💰 А ценность действительно есть. Недаром Microsoft выплатили за год $17 млн bounty (max за уязвимость $200.000). А на ирландском Pwn2Own обещают выплатить $1 млн за эксплойт для "зелёного мессенджера".

Если человек нашёл клад, сокрытый в земле (стене, пещере и т.п.), волен ли он им распоряжаться по своему усмотрению?

🔹 Нет. Клад нужно сдать в полицию для оценки. По ГК РФ 233 в зависимости от обстоятельств можно будет получить либо сам клад, либо 50% его стоимости (клад с культурно-исторической ценностью перейдёт государству).

🔹 За сокрытие клада грозит до 5–10 лет (192, 164 УК РФ ).

Так почему сейчас считается нормальным сдавать уязвимости ("киберклады") третьим лицам из недружественных стран без уведомления государства? 🤔

Коллеги из Inseca перезапускают курс по Управлению Уязвимостями

Добавить комментарий

Коллеги из Inseca перезапускают курс по Управлению Уязвимостями

Коллеги из Inseca перезапускают курс по Управлению Уязвимостями. Старт 23 августа. Я тестировал этот курс в конце 2023 года, впечатления были весьма приятные. 🙂 Добротный практический курс для "вкатывания" в VM: "проводят за ручку" по всем основным шагам. 👍

Со времени моего прохождения курс значительно расширили и улучшили (в том числе и по моим рекомендациям 😇):

🔹 Процессы. Добавили урок по приоритизации устранения уязвимостей с учётом контекста инфраструктуры организации и риск ориентированным подходом, а также практическую работу "Приоритизация и построение плана устранения уязвимостей […] в типовой организации". Про подходы и инструменты приоритизации расскажет сам Александр Редчиц! 🔥👍

🔹 Продукты. Добавили урок по работе с Faraday. Для работы с Vulners.com будет доступна Ed-лицензия.

🔹 Практика. Добавили задание по поиску поддоменов, анализу DVWA и эксплуатации EoP в Windows (CVE-2017-0213).

Про уязвимость Remote Code Execution - WinRAR (CVE-2025-6218, CVE-2025-8088)

Добавить комментарий

Про уязвимость Remote Code Execution - WinRAR (CVE-2025-6218, CVE-2025-8088)

Про уязвимость Remote Code Execution - WinRAR (CVE-2025-6218, CVE-2025-8088). Специально сформированный путь к файлу внутри архива может привести к переходу процесса разархивирования в непредусмотренные каталоги (включая каталоги Startup 😈), в результате чего распаковка архива приведёт к выполнению зловредного кода в контексте текущего пользователя.

🔻 Уязвимость CVE-2025-6218 зарепортили вендору 5 июня. Уязвимость была исправлена 25 июня в версии 7.12. Через месяц, 30 июля, вышла версия 7.13, в которой была устранена уязвимость CVE-2025-8088 с таким же описанием.

🛠 Публичный эксплойт для CVE-2025-6218 доступен на GitHub с 27 июня.

👾 8 августа BiZone сообщили, что они наблюдали фишинговые атаки на российские организации с эксплуатацией CVE-2025-6218 и CVE-2025-8088 с начала июля. Атаки связывают с группировкой Paper Werewolf (GOFFEE). ESET также фиксировали атаки с эксплуатацией этих уязвимостей для установки бэкдоров группировки RomCom.

Нужно ли в России выделить Кибервойска в отдельный род войск?

Добавить комментарий

Нужно ли в России выделить Кибервойска в отдельный род войск?

Нужно ли в России выделить Кибервойска в отдельный род войск? Решать это, конечно, должны военные специалисты. Но я бы такой шаг приветствовал. И дело тут не в самой оргструктуре и не в отстройке от США, а в практических возможностях для страны и для людей:

🔹 Было бы здорово, чтобы молодые люди могли получать навыки практической кибербезопасности (и offensive, и defensive) в ходе своей срочной службы. И чтобы отбор в такие кибер-части вёлся не по физической подготовке (которая у скилловых ребят, как правило, не очень 🙂), а прежде всего по профильным знаниям и способностям. Тут за образец можно взять подразделение 8200 ЦАХАЛ.

🔹 Было бы здорово, чтобы на военных кафедрах ВУЗов студентам ИБ-шникам преподавали только профильную ВУС и отправляли на сборы в соответствующие части.

Что наблюдаю сейчас:

🔻 Научные роты. Понятие гораздо более широкое, но они могут стать базой для Кибервойск.

🔻 Войска информационных операций. В паблике минимум инфы, и, вероятно, так сейчас и надо. 🤫

U.S

Добавить комментарий

U.S

U.S. Cyber Force - будущий отдельный род войск США? 4 августа think tank Center for Strategic and International Studies и "двухпартийный межправительственный орган" Cyberspace Solarium Commission 2.0 учредили комиссию по созданию Киберсил.

В комиссию вошли 17 человек - бывшие высокопоставленные руководители Пентагона, NSA, House Armed Services Committee, а также "бывшие руководители по кибервойне ("cyber warfare chiefs") из всех родов войск, эксперты из промышленности и академических кругов".

А зачем нужен отдельный род войск, есть же Киберкомандование? 🤔

The Record пишут: "На Капитолийском холме выросло двухпартийное разочарование из-за хронической неспособности существующих родов войск обеспечить U.S. Cyber Command персоналом, готовым сражаться с иностранными противниками в Интернете ("who are ready to battle foreign adversaries online"), такими как Китай". И, разумеется, Россия. В апреле главу U.S. Cyber Command сняли, нового всё ещё не назначили. 🤷‍♂️