Архив рубрики: Темы

Интересный кейс с атакой на Mobile Device Management-решение

1 комментарий

Интересный кейс с атакой на Mobile Device Management-решение

Интересный кейс с атакой на Mobile Device Management-решение. Вчера вышли патчи для эксплуатируемой уязвимости обхода аутентификации CVE-2023-35078 в Ivanti Endpoint Manager Mobile. Ivanti EPMM (он же MobileIron Core) - это программный движок для управления мобильными устройствами, который позволяет устанавливать политики для мобильных устройств, приложений и контента.

Уязвимость затрагивает все поддерживаемые версии Ivanti EPMM/MobileIron Core. Удаленный злоумышленник может использовать определенные вызовы API без аутентификации, с помощью которых получить доступ к личной информации (имена, номера телефонов и другие данные о мобильных устройствах). Злоумышленник также может внести изменения в конфигурацию, в том числе создать учетную запись администратора EPMM.

Уязвимость использовалась в атаках на 12 норвежских министерств. По данным Shodan наружу торчат 2900 порталов MobileIron, по большей части в США, Германии, Великобритании и Гонконге.

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Добавить комментарий

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch TuesdayНемного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday. Теперь видно уязвимости какой критичности были упомянуты в каждом из источников комментариев. VM-вендоры (Qualys, Tenable, Rapid7) упоминают большее число уязвимостей в обзорах. Как и Dark Reading. A Sophos, например, только самый-самый ТОП. ZDI на самом деле тоже много уязвимостей упоминают, но большую часть просто перечисляют в табличке с минимумом полей - такое я игнорирую.

Также во все таблицы добавил колонку All (A) с общим количеством уязвимостей для продукта, типа уязвимостей или источника комментариев.

На какие вопросы должен ответить Vulnerability Intelligence

Добавить комментарий

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence. Допустим у нас есть трендовая уязвимость, о которой все пишут. Вот я посмотрел в свой автоматический канал с новостями @avleonovnews, сегодня пишут про code injection в Citrix NetScaler ADC и RCE в Apache OpenMeetings. От Vulnerability Intelligence решения хочется ответы на следующее:

1. У нас этот уязвимый продукт вообще используется? А где именно? И не только в проде, не только в HQ, во всех дочерних компаниях и т.д.
2. Можем мы получить полный список потенциально уязвимых активов? Что нужно сделать, чтобы его получить?
3. Все эти потенциально уязвимые активы покрыты VM-ом? Что нужно сделать, чтобы были покрыты все?
4. Наш VM умеет детектировать уязвимости для таких продуктов и детектируется ли эта конкретная уязвимость? Как будем детектить эту уязвимость, если нет (альтернативные утилиты, вручную и т.д.)?

Иными словами, делать все те базовые вещи, обеспечивающие адекватность VM-а.

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

1 комментарий

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management? Затем, что в вашем VM-е всегда будут не все уязвимости, которые по факту есть в вашей инфраструктуре 😏:

1. VM охватывает не все активы, потому что зачастую покрытие VM-ом как-то специально не контролируется. Или контролируется только в рамках каких-то конкретных типов хостов (Windows десктопы/серверы, Linux серверы, Cisco и т.д.), а в реальности инфраструктура оказывается гораздо разнообразнее.
2. Возможности VM-решений по детектированию уязвимостей ограничены. В лучшем случае вы получите от вендора список поддерживаемых ОС/продуктов/устройств, но достаточно ли этого для вашей инфраструктуры кроме вас никто не скажет. Скорее всего недостаточно и где-то ваше VM-решение детектировать уязвимости не сможет. Или детекты уязвимостей будут появляться с задержкой (если генерация детектов не автоматизирована полностью).

Vulnerability Intelligence должен эти проблемы подсветить и компенсировать.

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Добавить комментарий

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам.

1. В конце июня - начале июля количество сообщений с CVE сократилось с 1272 в рабочий день до 333 в рабочий день. А если не считать ботов, то, в среднем, с 500 в день до 66 в день. Видимо ИБ-шники куда-то мигрировали. Хотя возможно и просто сезонное.
2. Возможность бесплатного экспорта сообщений (в т.ч. с CVE-шками) убрали. 🤷‍♂️

Имхо, это очень даже позитивно. Нечего пользоваться замусоренными мейнстримными соцсеточками для обсуждения ИБ-вопросов, нужно формировать что-то специализированное, а-ля Peerlyst.

Перегенерил отчёт для июльского Microsoft Patch Tuesday

Добавить комментарий

Перегенерил отчёт для июльского Microsoft Patch Tuesday. Теперь там комментарии от:

🔹Qualys
🔹Tenable
🔹Rapid7
🔹ZDI
🔹Kaspersky
🔹Dark Reading
🔹Krebs on Security
🔹The Hacker News
🔹Sophos Naked Security

Пока всё те же уязвимости в топе. И для Remote Code Execution - Microsoft Office (CVE-2023-36884) всё также нет патчей, только workaround.

Дополнительно можно отметить следующие RCE, подсвеченные в обзорах:

🔸Microsoft Message Queuing (CVE-2023-32057, CVE-2023-35309)
🔸Windows Routing and Remote Access Service (RRAS) (CVE-2023-35365, CVE-, CVE-2023-35367)
🔸Windows Layer-2 Bridge Network Driver (CVE-2023-35315)
🔸Microsoft SharePoint (CVE-2023-33134, CVE-2023-33157, CVE-2023-33159, CVE-2023-33160)
🔸Windows Pragmatic General Multicast (PGM) (CVE-2023-35297)

Microsoft Patch Tuesday это не только CVE-шки

Добавить комментарий

Microsoft Patch Tuesday это не только CVE-шки

Microsoft Patch Tuesday это не только CVE-шки. Но и периодически ADV, как в последнем Patch Tuesday:

🔻ADV230001- Guidance on Microsoft Signed Drivers Being Used Maliciously
🔻ADV230002 - Microsoft Guidance for Addressing Security Feature Bypass in Trend Micro EFI Modules

Иногда в описании ADV-шки упоминается соответствующая CVE, иногда нет. Не знаю уж зачем так делать и почему нельзя просто использовать имеющиеся CVE-шки или выделять свои (раз уж это пихают в раздел "update-guide/vulnerability/", а Microsoft это CVE Numbering Authority). Но вот факт - MS используют идентификаторы по которым ничего не смапится. 😑 Пока ничего по ним не делаю, просто игнорирую и теперь показываю при генерации отчета Vulristics.