Архив рубрики: Темы

Про уязвимость Jetpack Navigation

Добавить комментарий

Про уязвимость Jetpack Navigation

Про уязвимость Jet­pack Nav­i­ga­tion. В марте мои коллеги из PT SWARM выложили ресёрч по уязвимости Android Jet­pack Nav­i­ga­tion, которая позволяет открыть произвольный экран внутри приложения, в том числе в обход экрана аутентификации. 😨 Google уязвимость не признали (поэтому CVE нет 🤷‍♂️) и ограничились рекомендациями в документации. 😏

📃 Вчера команда экспертов из Стингрей презентовала на Хабре подробный обзор этой уязвимости с примерами и демонстрациями. 👍

📊 Кроме того, они проверили 1000 приложений разных категорий из публичных магазинов и выяснили, что 21% из них используют библиотеку Jet­pack Nav­i­ga­tion и могут быть уязвимы. Подробную статистику отдают на сайте.

Хороший повод поинтересоваться у ваших разрабов мобильных приложений под Android используют ли они Jet­pack Nav­i­ga­tion и знают ли об этой уязвимости. 😉

Заодно подпишитесь на ТГ канал Mobile AppSec World — лучший канал по мобильному аппесеку от Юры Шабалина и команды Стингрей.

"Загадка Дыры": Remote Code Execution — Internet Explorer (CVE-2012–4792)

Добавить комментарий

Загадка Дыры: Remote Code Execution - Internet Explorer (CVE-2012-4792)

"Загадка Дыры": Remote Code Exe­cu­tion — Inter­net Explor­er (CVE-2012–4792). Вчера в CISA KEV добавили старую уязвимость "CDwn­Bind­In­fo" из 2012 года: пользователь открывает в MS Inter­net Explor­er 6–8 зловредный вебсайт и злоумышленник получает RCE на его хосте. Уязвимость активно эксплуатировалась с конца 2012 года как 0day в water­ing hole атаках на организации США. В частности, зловредный код размещали на взломанном сайте Coun­cil on For­eign Rela­tions (CFR).

Почему уязвимость добавили в CISA KEV только сейчас?

🔹 Обнаружили новые атаки с использованием этой уязвимости на lega­cy системы, для которых выпускали патчи (Win XP/Vista/7, Win­Serv­er 2003/2008)? 🤪 Вряд ли.

🔹 Для проформы: увидели уязвимость с подтверждёнными инцидентами, а в CISA KEV её нет, вот и добавили? Вероятнее, но почему только её? 🧐

🔹 В аудитах нашли уязвимые легаси-системы и не было формального предлога для их срочного обновления? Странновато. 🤷‍♂️

Будем наблюдать. 🙂

Об уязвимости "EvilVideo" в Telegram for Android

Добавить комментарий

Об уязвимости EvilVideo в Telegram for Android

Об уязвимости "Evil­Video" в Telegram for Android. Пост вышел в блоге компании ESET. Они сообщают, что эксплоит для уязвимости продаётся в даркнете.

🔻 Злоумышленник создаёт pay­load, который отображается в Telegram for Android не как файл, а как превьюшка видео. По умолчанию медиафайлы в Telegram скачиваются автоматически, когда пользователь видит сообщение в чате. Этот pay­load также скачается.
Если пользователь жмёт на превьюшку, ему показывается ошибка Telegram с предложением использовать внешний медиа плеер.
Если пользователь соглашается, идёт попытка поставить APK.
Если пользователь разрешает установку APK из Telegram и ещё раз кликает на превьюшку, высвечивается окошко об установке приложения.
Если пользователь жмёт install, то получает зловреда. 👾
🎞 Есть видео демонстрация.

🔻 Уязвимость исправили в версии 10.14.5, все версии старше уязвимы.

Это далеко не 0click, но при грамотной социалке (превьюшка, название APK приложения и т.п.), эффективность может быть высокой.

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Добавить комментарий

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком.

🔹 Bloomberg сообщает, что у него была новая модель Sam­sung, работающая под Android.

🔹 Для разблокировки использовалось ПО компании Cellebrite. Это израильская компания разрабатывает инструменты для сбора, проверки, анализа и управления цифровыми данными. Компания довольно известная. Несколько лет назад наделала много шума их пикировка с разработчиками мессенджера Sig­nal (обе компании обвиняли друг друга в небезопасности продуктов). 🍿😏

🔹 Эксплуатировалась ли 0day уязвимость для получения доступа к устройству? Непонятно. Но есть признаки, что, возможно, и да. Bloomberg пишет, что ПО Cellebrite для разблокировки смартфонов, которое было в распоряжении ФБР, с задачей не справилось. Но эксперты Cellebrite оказали расширенную поддержку и предоставили некоторое новое ПО, которое всё ещё находится в разработке. 🤔

В итоге разблокировка заняла всего 40 минут. 🤷‍♂️

Верный признак хорошего вендора средств детектирования уязвимости — это то, что его сотрудники делится экспертизой по детектированию уязвимостей на конференциях, в статьях, видео-роликах и т.д

Добавить комментарий

Верный признак хорошего вендора средств детектирования уязвимости - это то, что его сотрудники делится экспертизой по детектированию уязвимостей на конференциях, в статьях, видео-роликах и т.д

Верный признак хорошего вендора средств детектирования уязвимости — это то, что его сотрудники делится экспертизой по детектированию уязвимостей на конференциях, в статьях, видео-роликах и т.д.

Когда люди всерьёз занимаются какой-то темой, они неизбежно сталкиваются с проблемами (иногда весьма курьёзными), приходят к каким-то решениям и у них возникает желание поделиться опытом.

А когда этого нет, возникают вопросы:

🔹 Может детектирование уязвимостей это примитивная сфера деятельности и обсуждать там нечего? Но мы-то знаем, что сложностей там хватает. 😉

🔹 Или, возможно, для вендора качество и полнота детектирования уязвимостей не являются приоритетом? 😏 Разработчики правил детектирования что-то пилят на расслабоне. Клиентам вроде норм. В этом случае акцентировать лишнее внимание на детектах невыгодно, так ведь? 🙈🙊

В общем, техническим статьям про детект уязвимостей всегда рад, стараюсь читать и подсвечивать. 😉 Если вдруг что-то пропустил, пишите в личку — исправлюсь.

Июльский Linux Patch Wednesday

Добавить комментарий

Июльский Linux Patch Wednesday

Июльский Lin­ux Patch Wednes­day. Всего 705 уязвимостей, из них 498 в Lin­ux Ker­nel. С признаком эксплуатации вживую уязвимостей пока нет, у 11 есть признак наличия публичного эксплоита:

🔻 В абсолютном топе RCE — OpenSSH "regreSSH­ion" (CVE-2024–6387) со множеством вариантов эксплоитов на GitHub. Среди них могут быть и зловредные фейки (❗️). Здесь же упомяну похожую уязвимость RCE — OpenSSH (CVE-2024–6409), для которой эксплоитов пока нет.
🔻 В паблике есть ссылки на PoC‑и для DoS уязвимостей Suri­ca­ta (CVE-2024–38536) и QEMU (CVE-2024–3567).

Согласно БДУ, существуют публичные эксплоиты для:

🔸 Auth­By­pass — RADIUS Pro­to­col (CVE-2024–3596), её фиксили и в июльском MSPT
🔸 Secu­ri­ty Fea­ture Bypass — Exim (CVE-2024–39929) — обход блокировок по mime_filename, а также в Nextcloud (CVE-2024–22403) — вечные OAuth коды
🔸 DoS — Open­Teleme­try (CVE-2023–45142)
🔸 Mem­o­ry Cor­rup­tion — 7‑Zip (CVE-2023–52168)

🗒 Отчёт Vul­ris­tics по июльскому Lin­ux Patch Wednes­day

Что известно про Spoofing — Windows MSHTML Platform (CVE-2024–38112) из июльского Microsoft Patch Tuesday?

Добавить комментарий

Что известно про Spoofing - Windows MSHTML Platform (CVE-2024-38112) из июльского Microsoft Patch Tuesday?

Что известно про Spoof­ing — Win­dows MSHTML Plat­form (CVE-2024–38112) из июльского Microsoft Patch Tues­day?

🔻 По данным Check Point, злоумышленники используют в атаках специальные ".url" файлы, иконка которых похожа на иконку pdf документа. Если пользователь кликает на файл и игнорирует 2 малоинформативных warning‑а, то в устаревшем браузере Inter­net Explor­er, встроенном в Win­dows, запускается зловредное HTA приложение. 😱 Почему именно в IE? Вcё из-за обработки префикса "mhtml:" в ".url" файле. Июльское обновление это блочит. 👍

🔻 Check Point находили образцы таких ".url" файлов аж от января 2023 года. По данным Trend Micro, уязвимость эксплуатируется APT группой Void Ban­shee для установки зловреда Atlanti­da Steal­er и сбора паролей, cook­ies и других чувствительных данных. Void Ban­shee добавляют вредоносные ".url" файлы в архивы с PDF-книгами и распространяют их через сайты, мессенджеры и фишинговые рассылки.