Архив рубрики: Темы

Про уязвимости VMware ESXicape (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)

Добавить комментарий

Про уязвимости VMware ESXicape (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)

Про уязвимости VMware ESXicape (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226). Бюллетень безопасности вендора вышел 4 марта. Все эти уязвимости зарепортили эксперты из Microsoft Threat Intelligence Center. Для всех трёх уязвимостей были признаки эксплуатации вживую и они были добавлены в CISA KEV.

По мнению исследователя Кевина Бомонта, эти уязвимости образуют цепочку уязвимостей, названную "ESXicape". Эксплуатируя её, злоумышленник, имеющий возможность запускать код на виртуальной машине, "может повысить уровень доступа к гипервизору ESX". Потенциально это позволяет скомпрометировать всю виртуализованную инфраструктуру организации.

Уязвимости касаются VMX процесса (Virtual Machine Executable), который выполняется в VMkernel и отвечает за обработку ввода-вывода на устройствах, не критичных к производительности. VMX также отвечает за взаимодействие с пользовательскими интерфейсами, менеджерами снапшотов и удаленной консолью.

🔻Уязвимость состояния гонки TOCTOU (Time-of-Check Time-of-Use) в VMware ESXi и Workstation (CVE-2025-22224), приводящая к записи за пределами допустимого диапазона ("out-of-bounds write"). Злоумышленник с локальными административными привилегиями на виртуальной машине может выполнить код от имени процесса VMX на хосте (то есть в гипервизоре).

🔻Уязвимость произвольной записи в память (Arbitrary Write) в VMware ESXi (CVE-2025-22225). Злоумышленник, имеющий привилегии в процессе VMX, может записать произвольный код в область ядра, что приведёт к побегу из "песочницы".

🔻Уязвимость разглашения информации (Information Disclosure) в VMware ESXi, Workstation и Fusion (CVE-2025-22226). Причина уязвимости чтение за пределами допустимого диапазона (out-of-bounds read) в HGFS. VMware HGFS (Host-Guest File System) - это функция, которая позволяет использовать общие папки между хостовой и гостевой операционными системами в виртуальной машине VMware. Злоумышленник с административными привилегиями на виртуальной машине может извлекать содержимое памяти процесса VMX.

Обновитесь до следующих безопасных версий:

🔹 VMware ESXi 8.0: ESXi80U3d-24585383, ESXi80U2d-24585300
🔹 VMware ESXi 7.0: ESXi70U3s-24585291
🔹 VMware ESXi 6.7: ESXi670-202503001
🔹 VMware Workstation 17.x: 17.6.3
🔹 VMware Fusion 13.x: 13.6.3

Про уязвимость Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085)

Добавить комментарий

Про уязвимость Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085)

Про уязвимость Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085). cldflt.sys - это драйвер минифильтра Windows Cloud Files Mini Filter, задача которого представлять хранимые в облаке файлы и папки, как если бы они находились в компьютере. Уязвимость этого драйвера, исправленная в рамках июньского Microsoft Patch Tuesday 2024 года, позволяет атакующему получить привилегии SYSTEM. Причина уязвимости - Heap-based Buffer Overflow (CWE-122).

🔻 Приватный эксплойт был представлен на конкурсе TyphoonPWN 2024 30 мая 2024 года. Его использовали в составе цепочки эксплоитов для осуществления побега из виртуальной машины под управлением VMware workstation (Guest-to-Host-Escape).

🔻 19 декабря 2024 года техническое описание и код эксплоита были опубликованы на сайте SSD Secure Disclosure.

🔻 3 марта в блоге Positive Technologies вышел пост, в котором рассматриваются корни уязвимости и техники эксплуатации.

Впечатления от Территории Безопасности 2025

Добавить комментарий

Впечатления от Территории Безопасности 2025

Впечатления от Территории Безопасности 2025. Я в этот раз забыл пофоткать. Иллюстрирую тем, что есть. 🙂

🔻 Общение - огонь!🔥 Очень продуктивно обсудил VM-ные темы на стендах Vulns io, Securitm, RedCheck, HScan. 😇 Пересёкся с бывшими коллегами из T-банка и VK. И просто с друзьями из ИБ-шной тусовочки, с которыми давно не виделся. Имхо, секрет качественного общения в том, что мероприятие однодневное (проще пересечься) и в разнообразной выставочной зоне.

🔻 VM-ная часть трека Анализ Защищённости прошла удачно. В своём выступлении я накидал, как можно оценивать и сравнивать качество детектирования уязвимостей (в продолжение статьи в Information Security). Пора, видимо, это в методику собирать? 🤔 Ставьте 🐳, если пора. На круглом столе представителей VM-вендоров, сервис-провайдеров и клиентов прошлись по прозрачности качества детектирования, AI, трендовым уязвимостям и сложностям VM-процесса. 😇

В общем, всё ТОП. Спасибо большое организаторам и до встречи через год!

В журнале "Information Security" вышел спецпроект по Управлению Уязвимостями с моим участием

Добавить комментарий

В журнале Information Security вышел спецпроект по Управлению Уязвимостями с моим участием

В журнале "Information Security" вышел спецпроект по Управлению Уязвимостями с моим участием. 🎉

🔻Цена ошибки: почему важно качественно детектировать уязвимости. Моя выстраданная статья. 🙂 Очень рад, что получилось её выпустить именно в такой манере и с такими мессаджами. 😇

🔻 Патч-менеджмент в действии: автоматизация устранения уязвимостей в инфраструктуре. Статья от Андрей Никонова из Vulns io.

🔻Как мы автоматизировали процесс VM в крупном промышленном холдинге и обеспечили контроль
устранения уязвимостей. Статья от Андрея Селиванова из R-Vision.

🔻 Сканер-ВС 7 Enterprise: анализ безопасности конфигурации никогда не был таким простым. Статья от Александра Дорофеева из Эшелона.

📔 Сравнение VM-решений: Security Vision VM, Сканер-ВС 7, R-Vision VM, MaxPatrol VM, ScanFactory VM, Vulns io VM

🗣 Круглый стол про VM: VOC, ML, борьба с бэклогом ⬅️ тут участвовал 😉

📔 Сравнение ASM-решений: BIZONE CPT, F6 ASM, Start EASM, ScanFactory VM, Сканер-ВС 7

Про уязвимость Remote Code Execution - Apache Tomcat (CVE-2025-24813)

Добавить комментарий

Про уязвимость Remote Code Execution - Apache Tomcat (CVE-2025-24813)

Про уязвимость Remote Code Execution - Apache Tomcat (CVE-2025-24813). Apache Tomcat - открытое ПО, предоставляющее платформу для запуска веб-приложений, написанных на языке Java. Уязвимость позволяет удалённому неаутентифицированному злоумышленнику послать на сервер произвольный файл для его последующего выполнения. Причина уязвимости - ошибки в обработке загружаемых файлов сессий и механизме десериализации.

🔻 Бюллетень вендора вышел 10 марта. В нём отмечается, что два условия, необходимые для эксплуатации ("writes enabled for the default servlet" и "file based session persistence with the default storage location") не выполняются в инсталляциях по умолчанию.

🔻 Разбор уязвимости на основе анализа патча и PoC эксплоита были опубликованы 11 марта. Полноценные эксплоиты доступны на GitHub с 13 марта.

🔻 С 17 марта есть признаки эксплуатации уязвимости вживую. 👾 1 апреля уязвимость добавили в CISA KEV.

Уязвимость исправлена в версиях 9.0.99, 10.1.35 и 11.0.3.

В следующий вторник, 8 апреля, состоится вебинар "Рынок информационной безопасности: свободные ниши и новые вызовы российских компаний в 2025 году"

Добавить комментарий

В следующий вторник, 8 апреля, состоится вебинар Рынок информационной безопасности: свободные ниши и новые вызовы российских компаний в 2025 году

В следующий вторник, 8 апреля, состоится вебинар "Рынок информационной безопасности: свободные ниши и новые вызовы российских компаний в 2025 году". Организатор мероприятия - Фонд развития интернет-инициатив (ФРИИ).

Выступать будут:

🔹 Илья Королёв, управляющий портфелем ФРИИ. Расскажет про работу фонда.

🔹 Владислав Рассказов, директор по венчурным инвестициям и партнёрствам ГК "Солар". Расскажет про ИБ рынок в России, его структуру, динамику роста и свободные ниши.

🔹 Давид Ордян, СЕО & founder Metascan. Расскажет про запуск EASM-стартапа, поиск первых клиентов и дальнейшее развитие. Выступления Давида я всегда смотрю с большим интересом и стараюсь конспектировать (вот, например, про безопасность периметра 🙂). Уверен, что и в этот раз будет полезно и познавательно, особенно для VM-щиков. 😉

Канал "Управление уязвимостями и прочее" в информационных партнёрах мероприятия. Буду смотреть и делиться впечатлениями. 😇

➡️ Регистрация на сайте
⏰ 08.04.2025 17:00 (МСК)

Огненная винда

Добавить комментарий

Огненная винда

Огненная винда. На предыдущий пост можно возразить: "Что же ты, Александр, топишь за сокращение обучения Windows-у в ВУЗах, а сам каждый месяц виндовые уязвимости разбираешь? Несостыковочка!"

Вовсе нет. Разбираю их вынужденно, т.к. Windows всё ещё лидирующая ОС в российских корпоративных инфраструктурах, особенно на десктопах. Поэтому уязвимости Windows становятся трендовыми и требуют особого внимания. 🤷‍♂️ А если бы доля Windows снизилась до доли macOS, может и не разбирал бы. 😌

Эта скверная зависимая ситуация - следствие десятилетий очень эффективной политики Microsoft по упрочнению монопольного положения Windows (в т.ч. через работу с ВУЗами) и отсутствия внятных протекционистских мер со стороны государства. 🤷‍♂️

Не получится изменить сложившуюся ситуацию без осознания того, что Microsoft нам не бро, а хитрые вражины неоколонизаторы. И подсаживание на их технологии не идёт нам на пользу. Так же как индейцам не пошли на пользу закупки столь желанной "огненной воды". 😉