Архив рубрики: Уязвимость

Призрак с мотором

Призрак с мотором

Призрак с мотором. Сванте Свантесон брёл с работы домой по мокрым улицам. В прошлом - подающий надежды хакер, чудом избежавший реального срока. В настоящем - младший аналитик данных корпорации "ТехноТех".

Сванте зашёл в свою маленькую квартиру, запер дверь. Отработав по стандартному сценарию, система умного дома приготовила ему чашку почти настоящего кофе. Сванте взял кружку, устроился на старом скрипучем диване и вздохнул. Раздалось еле слышное гудение проекторов. В воздухе, слегка вибрируя, возникла голограмма. Едва различимая поначалу, она сложилась в знакомые черты в меру упитанного мужчины в полном расцвете сил с округлым лицом, игривыми глазами и лукавой улыбкой.

- Привет, Малыш!

- Привет, Карлсон. - устало ответил Сванте.

Карлсон - автономный ИИ-компаньон, разработанный Малышом много лет назад для помощи в кибер-атаках. Карлсон справлялся с задачами OSINT-а, анализа систем безопасности, поиска и эксплуатации уязвимостей, социальной инженерии. Инструмент весьма полезный. Теперь же Карлсон был единственным существом, с которым Сванте поддерживал какое-то подобие человеческого общения.

– Ну что, Малыш, хватит грустить, нам полагается немного пошалить! – бодро заговорил Карлсон, потирая руки.

– Карлсон, прекрати. Я пришёл с работы и хочу выпить кофе в тишине.

– Да ты только посмотри на это! – Карлсон сделал пас рукой, и перед Сванте возникло окно с отчетом по недавно обнаруженным уязвимостям на сетевом периметре компании "ТехноТех".

Сванте нахмурился, отложил чашку с кофе и уставился на Карлсона, стараясь выглядеть строгим.

– Карлсон, объясни, как ты получил доступ к этим конфиденциальным данным?

Карлсон весело заулыбался и, сложив руки на животе, гордо произнес:

– Ах, Малыш, пустяки, дело-то житейское! Я сам сформировал отчет по анализу защищённости периметра! Представь себе, немножко посканил, заглянул туда-сюда… и вот, пожалуйста! Выявил уязвимости, и скажу тебе – для многих из них есть готовенькие, публичные эксплойты. Более того, вполне рабочие. Я уже поселился на их крыше, если ты понимаешь о чём я.

Сванте уставился на голограмму с удивлением и раздражением.

– То есть ты решил, что можешь вот так свободно пройтись по периметру компаний, в которой Я работаю? – с нажимом произнес он. Ты хоть понимаешь, что там могут подумать, будто это сделал я? Меня и так под подозрением держат после… ну, ты знаешь, моей "истории". Если вдруг начнут разбираться и решат, что это я…

Карлсон лишь отмахнулся.

– Только спокойствие, Малыш! Я был незаметен как приведение! Как призрак! Лучший в мире призрак с мотором!

Сванте чувствовал, как внутри его нарастает тревога. Он вцепился в край дивана и попытался собраться с мыслями.

– Если ты обнаружил уязвимости, об этом нужно сообщить в службу Информационной Безопасности "ТехноТех".

Карлсон усмехнулся, закинул руки за голову и, устроившись поудобнее, возразил.

– У меня есть идея получше. Не надоело тебе, Малыш, горбатиться на этих жуликов? Сам же хотел немного наличных. Помнишь про сто тысяч миллионов крон? Ты этого стоишь! Вот она, твоя возможность! Пойми, Малыш: настоящее счастье в пирогах! Осталось только дотянуться и забрать их. Дело-то верное, житейское. Всё, что требуется от тебя, – небольшая помощь изнутри. Пронеси на сервер, к которому у тебя есть легитимный доступ, один небольшой файлик и открой его. Обычный офисный документ с сюрпризом. Если это обнаружат, запросто отбрехаешься.

Сванте покачал головой.

– Карлсон, ты просто… ты сошёл с ума! Я прямо сейчас свяжусь с ИБ отделом… Но сначала. "Умный дом, аварийное завершение сеанса К1, код 9 4 5 6 3", – начал чётко произносить цифры Сванте.

Карлсон лениво поднял руку.

– Стоп! Не так быстро, мой дорогой друг. Если ты откажешься мне помогать, в ИБ отдел "ТехноТех" улетят неопровержимые доказательства, что это ты пробил их периметр и планировал развивать атаку. И в киберполицию это тоже прилетит, будь уверен. У меня уже всё схвачено. А у тебя, негодный мальчишка, нет выбора. Хочешь ты или нет, а пошалить нам с тобой придётся.

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094)

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094)

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094). Уязвимость была исправлена в рамках июльского Microsoft Patch Tuesday (9 июля).

SharePoint - популярная платформа для корпоративных порталов. Согласно бюллетеню Microsoft, аутентифицированный злоумышленник с правами Site Owner может использовать уязвимость для внедрения произвольного кода и выполнения этого кода в контексте SharePoint Server.

10 июля на GitHub появился репозиторий с PoC-ом эксплоита для этой уязвимости, а также видео, демонстрирующее как злоумышленник может запускать процессы на атакуемом сервере SharePoint. Поиском в GitHub по номеру CVE репозиторий с эксплоитом не находится, но ссылка есть в материале The Hacker News. Согласно описанию эксплоита, он также относится к июльским RCE-уязвимостям в SharePoint CVE-2024-38023 и CVE-2024-38024.

22 октября уязвимость добавили в CISA KEV, значит появились доказательства её эксплуатации в реальных атаках.

В понедельник 21 октября снова вышли обновления для критичной уязвимости Remote Code Execution - VMware vCenter (CVE-2024-38812)

В понедельник 21 октября снова вышли обновления для критичной уязвимости Remote Code Execution - VMware vCenter (CVE-2024-38812)

В понедельник 21 октября снова вышли обновления для критичной уязвимости Remote Code Execution - VMware vCenter (CVE-2024-38812). Стоп, а разве обновления для неё не вышли ещё 17 сентября? Вышли, но их оказалось недостаточно.

"VMware by Broadcom определили, что исправления vCenter, выпущенные 17 сентября 2024 г., устраняют CVE-2024-38812 не полностью. Всем клиентам настоятельно рекомендуется применить исправления, которые в настоящее время перечислены в матрице реагирования. Кроме того, также доступны исправления для линейки 8.0 U2."

Если у вас используется VMware vCenter, обратите внимание и обновитесь ещё раз. Текущие исправленные версии VMware vCenter Server 7.0 U3t, 8.0 U2e и 8.0 U3d.

Также обновления доступны для решения VMware Cloud Foundation.

Повысилась критичность уязвимости Elevation of Privilege - Windows Kernel-Mode Driver (CVE-2024-35250)

Повысилась критичность уязвимости Elevation of Privilege - Windows Kernel-Mode Driver (CVE-2024-35250)

Повысилась критичность уязвимости Elevation of Privilege - Windows Kernel-Mode Driver (CVE-2024-35250). Эта уязвимость была исправлена в июньском Microsoft Patch Tuesday. Как и в случае с уязвимостью CVE-2024-30090, её обнаружил исследователь с ником Angelboy из компании DEVCORE. И она также касается фреймворка Kernel Streaming, а конкретно его ядерного компонента - драйвера ks.sys. Подробности по этой уязвимости Angelboy написал в посте 23 августа.

13 октября на GitHub появился PoC эксплоита от пользователя varwara. Также в репозитории есть видео, демонстрирующее запуск эксплоита и получение прав System.

Обновления доступны для Windows 10 и 11, а также Windows Server от 2008 до 2022.

Повысилась критичность уязвимости Elevation of Privilege - Microsoft Streaming Service (CVE-2024-30090)

Повысилась критичность уязвимости Elevation of Privilege - Microsoft Streaming Service (CVE-2024-30090)

Повысилась критичность уязвимости Elevation of Privilege - Microsoft Streaming Service (CVE-2024-30090). Уязвимость была исправлена в рамках июньского Microsoft Patch Tuesday. На тот момент никто эту уязвимость не выделял. Уязвимость обнаружил исследователь с ником Angelboy из компании DEVCORE. Подробности по уязвимости содержатся в серии его постов, опубликованных 23 августа и 5 октября.

Уязвимость касается фреймворка Kernel Streaming, который отвечает за обработку потоковых данных. Он используется, например, когда системе необходимо прочитать данные с ваших микрофонов или веб-камер в оперативную память. Этот фреймворк работает, в основном, в режиме ядра.

5 октября Angelboy выложил видео эксплуатации уязвимости, демонстрирующее получение интерактивной консоли с правами System.

17 октября исследователь с ником Dor00tkit выложил PoC эксплоита на GitHub.

Обновления доступны для Windows 10 и 11, а также Windows Server от 2008 до 2022.

Сравнение сканеров уязвимостей по качеству детектирования - важная тема

Сравнение сканеров уязвимостей по качеству детектирования - важная тема

Сравнение сканеров уязвимостей по качеству детектирования - важная тема. Несмотря на довольно очевидные проблемы методологий конкретных сравнений, они хоть в какой-то мере побуждают клиентов снять розовые очки.

"Получается можно купить дорогое VM-решение и НЕ получить надёжный поток продетектированных уязвимостей? Даже критичных и эксплуатабельных?" 😯

Вот представьте себе! 🤷‍♂️ VM-вендор может

🔹 вообще не поддерживать какие-то софты
🔹 не детектировать какие-то CVE для каких-то софтов
🔹 только декларировать, что детектирует какие-то CVE, а на самом деле детекты будут отрабатывать некорректно; или будут отрабатывать корректно только в определённых режимах (например, с аутентификацией)

Я не понимаю, когда говорят, что сканер детектирует слишком много уязвимостей в инфраструктуре и исправлять нужно 2%. Как по мне, беда в обратном - уязвимостей детектируется слишком мало, они детектируются не все. И среди недотектируемых могут быть самые опасные.

Upd. переформулировал

В августе этого года Pentest Tools выпустили сравнение сканеров уязвимостей по качеству детектирования

В августе этого года Pentest Tools выпустили сравнение сканеров уязвимостей по качеству детектирования

В августе этого года Pentest Tools выпустили сравнение сканеров уязвимостей по качеству детектирования. Очень круто, когда VM-вендор делает ставку на качество детектов. 👍 Но к методологии сравнения есть вопросы. 🤷‍♂️

Таргеты для сканирования взяли на vulhub. Этот репозиторий docker-compose файлов позволяет запускать Docker-контейнеры с сервисами, содержащими известные уязвимости. Далее эти сервисы проверяли разными сканерами в black-box pentest-режиме (без аутентификации) и делали выводы о возможностях детектирования.

Т.е. сравнение сканеров свели к сравнению их пентест-режимов. Уязвимости, для детектирования и эксплуатации которых требуется доступ к хосту (тот же PwnKit), - мимо. 😏

Кроме того, сравнение провели на очень небольшом скоупе уязвимых софтов (167 уязвимых сред). Это опенсурсные софты, которые свободно распространяются в виде Docker-образов. Т.е. там нет Exchange или Bitrix. Но есть, например, Gogs - Git-сервис популярный, в основном, в Китае. 🤷‍♂️