Архивы автора: Александр Леонов

Об авторе Александр Леонов

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте. And I invite all English-speaking people to another Telegram channel @avleonovcom.

Интересная уязвимость раскрытия данных в ownCloud (CVE-2023-49103)

1 комментарий

Интересная уязвимость раскрытия данных в ownCloud (CVE-2023-49103). А точнее в плагине-приложении graphapi, благодаря которому становится доступен URL:

"owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php"

При доступе к этому URL-адресу раскрываются детали конфигурации среды PHP (phpinfo). Эта информация включает в себя все переменные среды веб-сервера. В контейнерных развертываниях эти переменные среды могут включать конфиденциальные данные, такие как пароль администратора ownCloud, учетные данные почтового сервера и лицензионный ключ. 🤷‍♂️

Есть немудрёный PoC. 🙂 Если у вас ownCloud - проверяйтесь, обновляйтесь, меняйте креды.

Наиграл ещё одно стихотворение Роберта Рождественского "Спелый ветер дохнул напористо"

1 комментарий

Наиграл ещё одно стихотворение Роберта Рождественского "Спелый ветер дохнул напористо". Про незнакомых юных граждан, обживающих вагон, стало уже вполне близко и понятно. 🌝 Вообще советская лирика шестидесятников как-то по-другому начала восприниматься после недавних событий, стала более злободневной что ли, актуальной. Вроде и время совсем другое, и страна сильно изменилась, а глобальные расклады остались примерно теми же. Как и рефлексия на них.

Прожектор по ИБ, выпуск №13 (26.11.2023): Метания Альтмана, кошко-девушки и тормозной CISA KEV

Добавить комментарий

Прожектор по ИБ, выпуск №13 (26.11.2023): Метания Альтмана, кошко-девушки и тормозной CISA KEV

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Максим Хараск, "Global Digital Space"

00:00 Здороваемся, смотрим статистику по прошлому эпизоду и комментарии
02:30 Впечатления от Кибердома, потенциальная книга по VM от Positive Technologies
12:44 CISA KEV люто тормозит
20:19 Про спор ОМП и Ред Софт об AOSP в реестре Минцифры
31:58 USB-стиллер против Windows Hello и про биометрию вообще
41:04 8 млрд рублей перевели мошенникам жители РФ, не доверяйте входящим звонкам
47:08 Хакеры требуют кошко-девушек
49:59 Карьерные метания товарища Альтмана
54:45 Несёт ли бред ИИ?
56:57 Прощание от Mr.X

Две вещи, которые больше всего порадовали в Кибердоме

1 комментарий

Две вещи, которые больше всего порадовали в Кибердоме.

1. ОЧЕНЬ много полок с разными книгами и ретро-девайсами. Я обожаю библиотеки и книжные магазины, так что мне такое оформление очень зашло. 😇
2. В зоне киберполигона у стендов есть планшеты с мини-игрушками, в которых нужно отражать атаки злоумышленников, иначе на стенде произойдет что-то нехорошее. Довольно увлекательно и похоже на мою задумку с Бесконечным VMом. 🙂

Здесь же напишу пару слов про выпускной вечер курса по VM в дополнение к посту Михаила. По-моему прошло душевно. Познакомились, осмотрели Кибердом, перекусили, поиграли в VM-ный квиз, всякие интересные VM-ные кейсы пообсуждали. Хороший вечер. 👍🙂 Спасибо тем, кто пришёл и кто организовал!

Рабочая тетрадь по Управлению Уязвимостями

1 комментарий

Рабочая тетрадь по Управлению Уязвимостями. Выпускникам курса PT по VM помимо сертификатов вручали сегодня и такие издания. Практически полный контент онлайн-курса в текстовом виде. 🤩 Это пока не полноценное учебное пособие, а скорее некоторый драфт, версия 0.5. Имеет смысл ещё поиграться со структурой, убрать повторения, подсушить текст и т.д. Но даже в таком виде чтиво исключительное.

Особенно понравился модуль от Олега Сенченко про VM-процесс в самом Positive Technologies. Очень толково про принципы построения системы, потоки данных, контроль активов, алгоритм сканирования инфры, определение приоритета патчинга и т.д. И там не общие слова, а техническое описание всей системы. Не только MP VM, но и сопряжения с IT-шной частью. 🔥

Когда же такое издание появится в свободном доступе или в продаже? Пока без понятия. 🤷‍♂️ Но думаю, что если вы клиент PT и скажете своему TAM-у, что хотели бы себе такое, то появится скорее. 😉

Добрался до Кибердома под самый конец Standoff / Moscow Hacking Week

Добавить комментарий

Добрался до Кибердома под самый конец Standoff / Moscow Hacking Week. Первый раз на площадке. Впечатления - пока ничего не понятно как здесь что, но просторно и масштабно, впечатляет. 🙂

Приехал на выпускной PT-шного курса по VM-у.

Внезапное продолжение темы с AOSP

Добавить комментарий

Внезапное продолжение темы с AOSP. Ехал в электропоезде Иволга, в котором перестала работать медиа-система, отвечающая за отображение следующей станции и роликов с социальной рекламой. Открылся весьма узнаваемый интерфейс. 🙂 Судя по значку Settings и дефолтным обоям, похоже на Android 6 Marshmallow или Android 7 Nougat, которые давно в EOL.