Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

Довольно забавно наблюдать в мейнстримных СМИ и не-ITшных каналах панику по поводу рабочей переписки в Телеграм и отсутствия альтернатив

Добавить комментарий

Довольно забавно наблюдать в мейнстримных СМИ и не-ITшных каналах панику по поводу рабочей переписки в Телеграм и отсутствия альтернатив

Довольно забавно наблюдать в мейнстримных СМИ и не-ITшных каналах панику по поводу рабочей переписки в Телеграм и отсутствия альтернатив.

🔹 На самом деле в России разных мессенджеров (и корпоративных, и публичных) как у дурака фантиков. Ищем "российские мессенджеры 2024" и первой же ссылкой находим 11 вариантов. У одной только VK-шечки после громкого сворачивания ICQ и МейлРу Агента остались VK мессенджер и ТамТам. Хочется бесплатно и on-prem? Можно свой опенсурсный Mattermost поднять или XMPP сервер с открытым клиентом. Не совсем удобен опенсурс? Можно уже допиленный Mattermost с поддержкой от Т-банка взять. Я долго им пользовался, нормальная замена Slack-у. Положа руку на сердце, мессенджер это вовсе не rocket science. Есть даже проекты, которые дают экспириенс как в мессенджере, являясь фактически клиентом электронной почты, там вообще никакой инфраструктуры не нужно кроме почтового сервера. 🤷‍♂️

🔹 Основные причины почему люди продолжают пользоваться Телеграмом (именно как мессенджером, а не каналами) или, ещё хуже, WhatsApp-ом - это банальная лень и эффект уже набранной базы. Все же пользуются. Дефолтное средство связи. Вот и продолжают использовать, даже не пробуя поискать и попробовать что-то другое. Ну а если речь о корпоративном общении, то это ещё и забивание на элементарные требования ИБ. 🤦‍♂️

Имхо, переход на массовую альтернативу и для личного, и для корпоративного общения обязательно случится, когда заработают эффективные блокировки. Большая часть пользователей не будет заморачиваться их обходом и дефолтными средствами для общения станут другие продукты.

Была у нас в российском ИБ-мирке дефолтная соцсеточка, где "были все". Ну и что? Довольно быстро после начала блокировок соцсеточка таковой быть перестала. И практически все перекатились в телегу и VK. И в случае потенциального блокирования ТГ всё также будет норм.

Что будет дальше с Телеграмом в России?

1 комментарий

Что будет дальше с Телеграмом в России?

Что будет дальше с Телеграмом в России? В связи с задержанием Дурова. В целом, варианта два:

🔻 Самый вероятный, что Телеграм сейчас отожмут. Обновленная администрация мессенджера станет недоговороспособной и в России его довольно быстро забанят. Ну и дальнейшая судьба Телеграма будет незавидна. Скорее всего, его с дисконтом купит американский бигтех и постепенно закопает.

🔻 Очень маловероятный, но, имхо, самый правильный. Команда Телеграма метнётся сейчас в Россию, перенесёт сюда компанию, а Дурова будут вытаскивать на межгосударственном уровне в порядке обмена. Телеграм тогда станет супер-успешным отечественным продуктом. На Западе его за это, конечно, побанят. Но там особых перспектив у ТГ и так нет. А на рынках, где он силён (в основном Global South), смена прописки особенно повлиять не должна.

Хочется верить в возможность второго варианта. Это был бы важный прецедент "возвращения заблудших мозгов" и пример для многих. Но расклад, думаю, 95 к 5 не в его пользу. 🤷‍♂️

По поводу задержания Павла Дурова в Париже

1 комментарий

По поводу задержания Павла Дурова в Париже

По поводу задержания Павла Дурова в Париже. В апрельском интервью Такеру Карлсону он говорил, что не ездит в "странные места".
- Well, there's definitely a lot of responsibility that we have on our shoulders. I wouldn't say we are paranoid, but I think it makes sense to stay prudent and not being too accessible, not traveling to weird places.

- You don't travel to weird places?

- I hope not. I travel to places where I have confidence that those places are consistent with what we do and our values. I don't go to any of the big geopolitical powers of the countries like China or Russia or even the US.

Другое же дело, Франция, да? Liberté, égalité, fraternité… 🙄

Вот нефиг заигрываться и терять связь с Родиной. Плохо кончится, родной. (с)

Так-то, конечно, лучики поддержки Павлу Валерьевичу. Пожелание выбраться из лап западного правосудия и вернуться в единственно правильную локацию. 🇷🇺

А всем IT-шникам и ИБ-шникам пожелание отдыхать на курортах краснодарского края. 😉

Про уязвимость Unauthenticated Elevation of Privilege - WordPress LiteSpeed Cache Plugin (CVE-2024-28000)

1 комментарий

Про уязвимость Unauthenticated Elevation of Privilege - WordPress LiteSpeed Cache Plugin (CVE-2024-28000)

Про уязвимость Unauthenticated Elevation of Privilege - WordPress LiteSpeed Cache Plugin (CVE-2024-28000).

🔹 WordPress - это популярная CMS-ка (835 млн. сайтов) с открытым исходным кодом и поддержкой сторонних плагинов.

🔹 LiteSpeed Cache - один из таких плагинов. Он повышает скорость загрузки страниц сайта за счёт их кэширования. Бесплатная версия используется на 5 млн. сайтов.

13 августа стало известно о критичной уязвимости в этом плагине. Удалённый неаутентифицированный злоумышленник может получить права администратора. 😱 Согласно write-up-у, эксплуатации уязвимости сводится к подбору хеша, используемого для аутентификации. Этот хеш небезопасно генерируется, поэтому существует только миллион его возможных значений. Если делать 3 запроса к сайту в секунду, то перебор и получения прав админа занимает от нескольких часов до недели.

👾 На GitHub выложили PoC и злоумышленники уже активно эксплуатируют уязвимость.

Обновляйтесь до версии 6.4.1 и выше.

Про камеры видеонаблюдения

Добавить комментарий

Про камеры видеонаблюдения

Про камеры видеонаблюдения. В официальном канале Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России вышел пост с рекомендациями по ИБ для жителей Брянской, Курской, Белгородской областей и силовиков. Первый пункт про камеры видеонаблюдения.

Злоумышленники сканируют IP-диапазоны, подключаются к незащищённым камерам и производят удалённый мониторинг дорог и трасс стратегического значения.

Рекомендации МВД:

🔹 По возможности отказаться от использования камер видеонаблюдения.
🔹 Установить сложные для перебора пароли.

Можно дополнить:

🔸 В камерах видеонаблюдения регулярно находят критичные уязвимости, позволяющие получить к ним доступ без пароля. Иногда эти уязвимости можно исправить обновлением прошивки, иногда нет. 🤷‍♂️

Имхо, владелец заведомо уязвимой камеры должен нести ответственность соизмеримую с ответственностью за сбор и передачу сведений противнику. Тогда к проблеме будут относиться более серьёзно.

Поделюсь своими грустными мыслями по поводу RedOS в связи с Linux Patch Wednesday

Добавить комментарий

Поделюсь своими грустными мыслями по поводу RedOS в связи с Linux Patch Wednesday

Поделюсь своими грустными мыслями по поводу RedOS в связи с Linux Patch Wednesday.

🔹 С одной стороны, РЕД СОФТ большие молодцы, так как добавляют в своими репозитории пакеты прикладного софта, которых нет у других Linux-вендоров, и поддерживают детекты уязвимостей для них в OVAL-контенте. Причём добавляют новые сборки пакетов с исправленными CVE-шками очень оперативно.

🔹 С другой стороны, они, видимо, не особо смотрят какие именно CVE-шки исправил вендор софта и относятся ли эти CVE-шки к Linux-у. 🤷‍♂️ Поэтому возникают казусы, которые видны, например, в августовском Linux Patch Wednesday.

Что там в ТОП-е?

🔻 Remote Code Execution - PHP (CVE-2024-4577). Которая связана с функцией преобразования кодировки Best-Fit в операционной системе Windows. 😏 Исправлена в RedOS.

🔻 Remote Code Execution - Mozilla Firefox (CVE-2024-2605). "An attacker could have leveraged the Windows Error Reporter to run arbitrary code". 😌 Исправлена в RedOS.

🔻 Command Injection - Rust Standard Library (CVE-2024-24576). "who invoke batch files on Windows with untrusted arguments". 😣 Исправлена в RedOS.

То есть отчёт по Linux Patch Wednesday замусоривается уязвимостями, которые эксплуатируются только в Windows.

Как на моём уровне с этим бороться непонятно. Моя концепция, которая лежит в основе Linux Patch Wednesday, "Linux-овые уязвимости - это уязвимости, которые исправляют Linux-овые вендоры" в этом случае трещит по швам. А отказываться от RedOS как от источника данных тоже не хотелось бы (см. первый пункт про то, что РЕД СОФТ молодцы). Остаётся только закрывать на часть уязвимостей глаза и страдать. 🫣😔

Другие Linux-вендоры бюллетени (и OVAL-definition-ы) об исправлении виндовых уязвимостей не выпускают. Они обычно имеют страницу по каждой CVE. И если CVE не аффектит Linux-овую версию софта, то в бюллетень она не попадает. Было бы здорово, чтобы RedOS также эту практику пересмотрели.

Если у кого-то из подписчиков есть выход на людей, которые бюллетенями безопасности и OVAL-контентом в РЕД СОФТ занимаются, скиньте им, пожалуйста, этот пост. Буду рад познакомиться и пообщаться.

Августовский Linux Patch Wednesday

1 комментарий

Августовский Linux Patch Wednesday

Августовский Linux Patch Wednesday. 658 уязвимостей. Из них 380 в Linux Kernel. Около 10 c признаками эксплуатации вживую. Можно выделить:

🔻 Уязвимости IT Asset Management системы GLPI: AuthBypass (CVE-2023-35939, CVE-2023-35940) и Code Injection (CVE-2023-35924, CVE-2023-36808, CVE-2024-27096, CVE-2024-29889). Фиксы в RedOS.
🔻 InfDisclosure - Minio (CVE-2023-28432). Старая и трендовая, но также фиксы засветились только в RedOS.
🔻 DoS - PHP (CVE-2024-2757). Если бы я учитывал бюллетени Fedora или Alpine, то эта ушла бы в более ранний LPW. 🤔 В 2DO.

Около 30 без эксплуатации вживую, но с эксплоитами. Можно выделить:

🔸 Command Injection - Apache HTTP Server (CVE-2024-40898)
🔸 AuthBypass - Apache HTTP Server (CVE-2024-40725)
🔸 AuthBypass - Neat VNC (CVE-2024-42458)
🔸 RCE - Calibre (CVE-2024-6782); да, та самая софтина для электронных книжек 🙂

🗒 Отчёт Vulristics по августовскому Linux Patch Wednesday