Архивы автора: Александр Леонов

Об авторе Александр Леонов

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте. And I invite all English-speaking people to another Telegram channel @avleonovcom.

Сегодня пишут про 2 RCE уязвимости в Atlassian Confluence (Data Center & Server), хотя бюллетень вышел ещё неделю назад

Сегодня пишут про 2 RCE уязвимости в Atlassian Confluence (Data Center & Server), хотя бюллетень вышел ещё неделю назад

Сегодня пишут про 2 RCE уязвимости в Atlassian Confluence (Data Center & Server), хотя бюллетень вышел ещё неделю назад.

CVE-2023-22505. Уязвимы версии с 8.0.0, пофикшено с 8.3.2, 8.4.0.
CVE-2023-22508. Уязвимы версии с 7.4.0, пофикшено с 8.2.0.

В NVD забавное генеренное описание на основе CVSS:

"allows an authenticated attacker to execute arbitrary code which has high impact to confidentiality, high impact to integrity, high impact to availability, and no user interaction"

"позволяет аутентифицированному злоумышленнику выполнять произвольный код, который сильно влияет на конфиденциальность, сильно влияет на целостность, сильно влияет на доступность и не требует взаимодействия с пользователем"

В том же бюллетене есть RCE уязвимость CVE-2023-22506 в Atlassian Bamboo (инструмент непрерывной интеграции и развертывания).

Интересный кейс с атакой на Mobile Device Management-решение

Интересный кейс с атакой на Mobile Device Management-решение

Интересный кейс с атакой на Mobile Device Management-решение. Вчера вышли патчи для эксплуатируемой уязвимости обхода аутентификации CVE-2023-35078 в Ivanti Endpoint Manager Mobile. Ivanti EPMM (он же MobileIron Core) - это программный движок для управления мобильными устройствами, который позволяет устанавливать политики для мобильных устройств, приложений и контента.

Уязвимость затрагивает все поддерживаемые версии Ivanti EPMM/MobileIron Core. Удаленный злоумышленник может использовать определенные вызовы API без аутентификации, с помощью которых получить доступ к личной информации (имена, номера телефонов и другие данные о мобильных устройствах). Злоумышленник также может внести изменения в конфигурацию, в том числе создать учетную запись администратора EPMM.

Уязвимость использовалась в атаках на 12 норвежских министерств. По данным Shodan наружу торчат 2900 порталов MobileIron, по большей части в США, Германии, Великобритании и Гонконге.

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch TuesdayНемного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday. Теперь видно уязвимости какой критичности были упомянуты в каждом из источников комментариев. VM-вендоры (Qualys, Tenable, Rapid7) упоминают большее число уязвимостей в обзорах. Как и Dark Reading. A Sophos, например, только самый-самый ТОП. ZDI на самом деле тоже много уязвимостей упоминают, но большую часть просто перечисляют в табличке с минимумом полей - такое я игнорирую.

Также во все таблицы добавил колонку All (A) с общим количеством уязвимостей для продукта, типа уязвимостей или источника комментариев.

О корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде
О корпоративе и Дитрихе БукстехудеО корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде. Немного оффтопа в выходные. В порядке нашего с вами знакомства. 😉 В пятницу ездил на корпоратив ИБ-департамента в "Arthurs Spa Hotel". Не большой я любитель таких мероприятий, но иногда можно. В целом, неплохо провёл время на природе. Особенно понравились натянутые меж деревьев гамаки. Очень здорово было лежать слегка покачиваясь и смотреть в небо. Удаленная скамеечка рядом с памятником Ленину (да!😄), которую я несколько лет назад заприметил, ещё в прошлый корпоративный выезд, была на месте и всё также хороша.

Во время застольной части (с которой я довольно быстро ретировался) ведущий мероприятия, какой-то комик, среди прочего задавал такой вопрос: "какие ваши любимые песни, которые вас характеризуют?". Меня не спрашивал (и это хорошо 🙂). Но так-то вопрос интересный. Если начистоту, без каких-то приколов и ужимок, то у меня в абсолютном топе был бы Dietrich Buxtehude "Quemadmodum desiderat cervus" (BuxWV 92). Не потому, что я религиозен или большой поклонник классической музыки как таковой. Но здесь собирается несколько факторов.

1. Это раннебарочная чакона (не путать с чаконами от Витали, Баха и позже - это совсем другое!), которые я очень люблю. Как и, например, чакону Каццати, Ciaccona del Paradiso e del Inferno, Zefiro Torna Монтеверди (кстати у меня на аватарке фотка, где я на улице Клаудио Монтеверди - не случайно 😉).

2. Изумительный текст. Начало это отсылка к 41 псалму. "Так же, как олень стремится к источникам вод, так стремится душа моя к Тебе, Господи". Но дальше текст сильно отходит от 41 псалма. Мне метафора Бога как источника (буквального, водного) жизни и радости очень близка. Для иллюстрации - "Фонтан Жизни" моего любимого художника Яна ван Эйка - хотя может и не совсем его, не суть 😉).

Мои любимый моменты:
"Sitio te Deum vivum, sitio, sitio"
"Я жажду Бога живого, жажду, жажду"

И вот этот:
"O gaudium super gaudium, vinces omne gaudium"
"О радость над радостью, всепобеждающая радость"

Ну и вот этот, сами понимаете почему - безопасность 🙂:
"ubi est certa securitas, secura tranquillitas,…"
"где есть определенная безопасность, надежное спокойствие,…"

Кстати, эта словесная игра, где прилагательное рождает последующее существительное, это, насколько я понимаю и нашёл, отсылка к Блаженному Августину:

"O vita vitalis, dulcis et amabilis, et semper memorialis, ubi non est hostis impugnans, ubi nulla illecebra, sed summa et certa securitas, et secura tranquillitas, et tranquilla jucunditas, et jucunda felicitas, et felix aeternitas, et aeterna beatitudo, et beata tui sine fine visio atque laudatio, Deus!"

"О жизненная жизнь, сладкая и прекрасная и всегда памятная, где нет нападающего врага, где нет соблазна, но абсолютная и верная безопасность, и надежное спокойствие, и безмятежное наслаждение, и упоительное счастье, и счастливая вечность, и вечное блаженство, и блаженный вид и хвала Тебе без конца, Боже!" (гуглоперевод с латыни)

Так вот, "Quemadmodum desiderat cervus" меня никогда не подводил. Помню, например, когда на военных сборах, где мне было довольно тяжко, флеш-плеер с этой вещью не давал мне совсем уж приуныть.

Несколько вариантов исполнения:

1. Ian Honeyman (Deutsche Barock Kantaten vol. VII, 1990). Этот мой любимый. Здесь у меня каждое слово отзывается.
2. Víctor Torres, Stylus Phantasticus. Мне кажется более формальной, но баритон роскошный.
3. Le Concert Brisé. Здесь мне женский вокал не особо нравится, но нравится инструментальная интерпретация. Хоть темп и попсово загнали, но всё равно. 🙂 Особенно вот этот изумительный полифонический момент.

Митника, конечно, очень жаль

Митника, конечно, очень жаль

Митника, конечно, очень жаль. Человек-легенда и очень интересный автор. RIP.

Книги:

🔹(2002) The Art of Deception: Controlling the Human Element of Security. На русском "Искусство обмана".

🔹(2005) The Art of Intrusion: The Real Stories Behind the Exploits of Hackers, Intruders & Deceivers. На русском "Искусство вторжения".

🔹(2011) Ghost in the Wires: My Adventures as the World's Most Wanted Hacker. На русском "Призрак в Сети".

🔹(2017) The Art of Invisibility. На русском "Искусство быть невидимым".

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence. Допустим у нас есть трендовая уязвимость, о которой все пишут. Вот я посмотрел в свой автоматический канал с новостями @avleonovnews, сегодня пишут про code injection в Citrix NetScaler ADC и RCE в Apache OpenMeetings. От Vulnerability Intelligence решения хочется ответы на следующее:

1. У нас этот уязвимый продукт вообще используется? А где именно? И не только в проде, не только в HQ, во всех дочерних компаниях и т.д.
2. Можем мы получить полный список потенциально уязвимых активов? Что нужно сделать, чтобы его получить?
3. Все эти потенциально уязвимые активы покрыты VM-ом? Что нужно сделать, чтобы были покрыты все?
4. Наш VM умеет детектировать уязвимости для таких продуктов и детектируется ли эта конкретная уязвимость? Как будем детектить эту уязвимость, если нет (альтернативные утилиты, вручную и т.д.)?

Иными словами, делать все те базовые вещи, обеспечивающие адекватность VM-а.

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management? Затем, что в вашем VM-е всегда будут не все уязвимости, которые по факту есть в вашей инфраструктуре 😏:

1. VM охватывает не все активы, потому что зачастую покрытие VM-ом как-то специально не контролируется. Или контролируется только в рамках каких-то конкретных типов хостов (Windows десктопы/серверы, Linux серверы, Cisco и т.д.), а в реальности инфраструктура оказывается гораздо разнообразнее.
2. Возможности VM-решений по детектированию уязвимостей ограничены. В лучшем случае вы получите от вендора список поддерживаемых ОС/продуктов/устройств, но достаточно ли этого для вашей инфраструктуры кроме вас никто не скажет. Скорее всего недостаточно и где-то ваше VM-решение детектировать уязвимости не сможет. Или детекты уязвимостей будут появляться с задержкой (если генерация детектов не автоматизирована полностью).

Vulnerability Intelligence должен эти проблемы подсветить и компенсировать.