Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

Выложил свой перемонтированный доклад с PHDays 2 "Кризис NVD и светлое БуДУщее"

Добавить комментарий

Выложил свой перемонтированный доклад с PHDays 2 "Кризис NVD и светлое БуДУщее". Снимали на PHDays в этот раз по-богатому. На несколько камер. Даже летающая камера на кране была. А профессиональная команда в реальном времени сводила это всё в очень красивую картинку. Казалось бы, всё круто. Но при этом переключений на слайды почему-то не было вообще. 🤷‍♂️ Ни разу. Только съёмки экрана за моей спиной на общих планах. 🤦‍♂️ Формат съёмки был явно не для технических докладов.

Я выкачал видяшку, чуть подрезал, добавил слайды поверху и стало гораздо смотрибельнее. ✂️👨‍🎨

🎞 Выложил на VK Видео и YouTube.

Удивительно, но с мая месяца доклад не сильно устарел. Кризис NVD не спешит заканчиваться, а команда NIST-а продолжает выкладывать странные послания и демонстрировать свою беспомощность. 🧐

Содержание:

00:00 Приветствие и кто я вообще такой
00:35 О чём будем говорить?
01:02 Как связаны базы NIST NVD и MITRE CVE, почему они растут с ускорением и при этом неполны?
06:44 Как ретроспективно развивался кризис NVD 2024 года?
08:12 В чём важность контента в NVD?
10:42 Чем объясняли кризис NVD в NIST?
12:38 Как реагировало сообщество безопасников на кризис в NVD и чем отвечали на это в NIST?
16:10 Какие меры предлагались сообществом и CISA для уменьшения зависимости от NVD?
18:00 NVD и БДУ ФСТЭК: возможно ли для российских организаций использовать только БДУ?
19:11 Уязвимости, которые присутствуют только в БДУ ФСТЭК: общее количество, распределение по годам, типы уязвимостей, уязвимые продукты; также про использование Vulristics для анализа уязвимостей БДУ
27:32 Выводы
31:11 Вопрос про статусы CVE уязвимостей DISPUTED и REJECTED
32:14 Вопрос про VM продукт для частного использования
34:16 Вопрос про достоверность оценки угроз от ФСТЭК
35:48 Вопрос про проверку причин отсутствия ссылок на CVE в БДУ

Про SberOS

Добавить комментарий

Про SberOS. 27 ноября в реестр отечественного ПО Минцифры добавили два Debain-based Linux дистрибутива от Сбера. InterOS - специализированный дистриб для банкоматов. SberOS - десктопный дистрибутив, который используется в Сбере для замены Windows.

Судя по описанию, SberOS - дистрибутив на основе Debian Testing с архитектурой обновлений rolling-update. Там должны быть последние версии софта, а значит самые быстрые фиксы уязвимостей. 😇 Ядро будет из стабильной ветки. Дефолтный рабочий стол GNOME.

Это почти то, что я ждал:

🔹 Linux дистрибутив с понятным и относительно нейтральным аппстримом от крупной отечественный окологосударственной IT-компании, у которой есть ресурсы хоть как-то апстрим контролировать.

🔹 Компания не является специализированным Linux вендором, поэтому выживать на деньги от продажи лицензий, экономя на качестве, им не потребуется.

Подробностей по стоимости для персонального и коммерческого использования пока нет, ждём-следим.

Про уязвимость Path Traversal - Zyxel firewall (CVE-2024-11667)

Добавить комментарий

Про уязвимость Path Traversal - Zyxel firewall (CVE-2024-11667). Уязвимость обхода директорий в веб-интерфейсе управления файерволов Zyxel позволяет неаутентифицированному злоумышленнику загружать или выгружать файлы через специальный URL-адрес. Уязвимости подвержены версии прошивки Zyxel ZLD от 5.00 до 5.38, используемые в сериях устройств ATP, USG FLEX, USG FLEX 50(W) и USG20(W)-VPN.

👾 Специалисты из компании Sekoia обнаружили на своих ханипотах эксплуатацию этой уязвимости рансомварщиками из группы Helldown. Публичных эксплоитов пока нет.

Zyxel рекомендуют:

🔹Обновить прошивку до версии 5.39, которая вышла 3 сентября 2024
🔹Отключить удалённый доступ до обновления устройств
🔹Изучить лучшие практики по конфигурированию устройств

Если в вашей компании используются файерволы Zyxel, обратите внимание. 😉

Мои коллеги по PT Expert Security Center (PT ESC, @ptescalator) собрали папку с 15 каналами по ИБ

Добавить комментарий

Мои коллеги по PT Expert Security Center (PT ESC, @ptescalator) собрали папку с 15 каналами по ИБ. "Управление Уязвимостями и прочее" тоже туда добавили, за что большое спасибо! 😇

Честно говоря, я из этой подборки знал только, собственно, ESCalator и SecAtor. 😅 Добавил себе эту папку, прошёлся по каналам. В основном там всякие крутые ребята-исследователи, которые пишут о хардкорных вещах на умном. 🤯👍 Не то, что всякие ИБ блогеры-шоумены, пересказывающие одни и те же новости по 20 раз для ширнармасс. 🙃

🗂 Натаскал себе в папочку ИБ экспертов, буду просвещаться. Рекомендую подписаться и пошарить папку со знакомыми. 😉

Про уязвимость Elevation of Privilege - PAN-OS (CVE-2024-9474)

Добавить комментарий

Про уязвимость Elevation of Privilege - PAN-OS (CVE-2024-9474). Злоумышленник, имеющий доступ к веб-интерфейсу управления устройств Palo Alto с правами администратора PAN-OS, может выполнять действия на устройстве от root-а. Эксплуатация строится на том, что в одном из скриптов () не проверяются входные данные и это позволяет делать инъекцию Linux-овых команд.

Необходимость аутентификации и получения админских прав делали бы уязвимость малополезной. Но тут вспоминаем про предыдущую уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012). 😏 В Palo Alto заметили эксплуатацию цепочки этих уязвимостей 17 ноября. После 19 ноября, когда вышла статья от watchTowr Labs и появились рабочие эксплоиты, начались массовые атаки.

21 ноября Shadowserver сообщали о компрометации ~2000 хостов, в основном в США и Индии. По данным Wiz, злоумышленники развёртывали на них веб-шеллы, импланты Sliver и криптомайнеры.

В следующий четверг, 5 декабря, буду модерировать секцию "Анализ защищённости и расследование инцидентов" на КОД ИБ ИТОГИ 2024

Добавить комментарий

В следующий четверг, 5 декабря, буду модерировать секцию "Анализ защищённости и расследование инцидентов" на КОД ИБ ИТОГИ 2024. По формату: 5 докладов по 15 минут + дискуссия. Поговорим об изменения ландшафта уязвимостей и методов, используемых злоумышленниками для проведения кибератак, а также о развитии технологий расследования, противодействия и профилактики инцидентов ИБ.

Вопросы на обсуждение:

🔹 Каким был год с точки зрения описания, детектирования, приоритизации и устранения уязвимостей?
🔹 Какие уязвимости стали трендовыми в 2024 году?
🔹 Какие типы атак были самыми популярными в 2024 году?
🔹 Как изменились цели и методы хакеров по сравнению с предыдущими годами?
🔹 Какие уязвимости оказались наиболее востребованными у злоумышленников?
🔹 Примеры реальных инцидентов
🔹 Как изменились методы расследования инцидентов?
🔹 Прогнозы на 2025 год

Регистрация на мероприятие с 9:30. Начало нашей секции в 12:00, приходите. 🙂

Про уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012)

Добавить комментарий

Про уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012). Неаутентифицированный злоумышленник, имеющий сетевой доступ к веб-интерфейсу управления устройств Palo Alto, может получить привилегии администратора PAN-OS для выполнения административных действий, изменения конфигурации или эксплуатации других уязвимостей, для которых требуется аутентификация. Уязвимы файерволы серий PA, VM, CN и платформа управления Panorama. Вендор рекомендует ограничить доступ к веб-интерфейсу управления только доверенными внутренними IP-адресами.

🔻 8 ноября был опубликован бюллетень Palo Alto
🔻 15 ноября появились признаки атак, которые Palo Alto обозначили как "Operation Lunar Peek"
🔻 18 ноября уязвимость была добавлена в CISA KEV
🔻 19 ноября исследователи watchTowr Labs выпустили пост с техническими деталями ("укажите значение off в заголовке HTTP-запроса X-PAN-AUTHCHECK, и сервер любезно отключит аутентификацию") 😏 и на GitHub практически сразу появились эксплоиты