Апрельский выпуск "В тренде VM": уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat

Добавить комментарий

Апрельский выпуск В тренде VM: уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat

Апрельский выпуск "В тренде VM": уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat. По видяшкам берём паузу, пока только текстом. 🤷‍♂️🙂

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего 11 трендовых уязвимостей:

🔻 Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085)
🔻 Spoofing - Windows File Explorer (CVE-2025-24071)
🔻 Четыре эксплуатируемые уязвимости Windows из мартовского Microsoft Patch Tuesday (CVE-2025-24985, CVE-2025-24993, CVE-2025-26633, CVE-2025-24983)
🔻 Три уязвимости VMware "ESXicape" (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)
🔻 Remote Code Execution - Apache Tomcat (CVE-2025-24813)
🔻 Remote Code Execution - Kubernetes (CVE-2025-1974)

В следующую пятницу в Алматы состоится AppSecFest 2025

Добавить комментарий

В следующую пятницу в Алматы состоится AppSecFest 2025

В следующую пятницу в Алматы состоится AppSecFest 2025. Программа доступна на сайте. Я отобрал для себя доклады, связанные с Vulnerability Management-ом:

Трек Security

🔹 10:40 - Тайны пакетных менеджеров. И где здесь про безопасность?

🔹 14:00 - Анатомия проникновения: DevSecOps глазами атакующего

🔹 14:55 - Host: oops.domain.internal - чит-код на пропуск в инфраструктуру

🔹 16:10 - Твой забытый EC2-инстанс — моя точка входа

Трек Application

🔹 14:30 - Исправляли и не исправили: как мутируют баги

🔹 16:30 - 1С за всех, все на 1С

📺 Собираюсь смотреть в трансляции.

🎫 У меня есть 2 бесплатных билета на площадку от организаторов. Кому нужно, пишите в личку с указанием ФИО, названия организации, должности, почты и телефона. 😉

Про TravelLine в Йошкар-Оле

Добавить комментарий

Про TravelLine в Йошкар-Оле
Про TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-Оле

Про TravelLine в Йошкар-Оле. После поста про iSpring появилась возможность посетить офис ещё одной крупной IT-компании города - TravelLine. У них была экскурсия для членов семей и друзей, куда и нас тоже пригласили. 😇 Как и iSpring, компания создана выходцами из Политеха. TravelLine специализируются на сервисах для отелей: бронирование, обновление информации в каналах (booking, островок и т.п.), системы отслеживание состояния номеров и т.д. В клиентах 12000 отелей по всему миру. Выручка 4.8 млрд руб. за 2024 год. 👏

В компании работает 800 человек. В основном из офиса в Йошкар-Оле. Сидят в бывшем здании местного ЦУМ-а. Отсюда впечатляющие фишечки - эскалаторы и ламповая кабинетная рассадка. 🔥👍 А так, всё как в лучших офисах: столовая (до 400 р. компенсируют), тренажёрка, кофепоинты, переговорки и т.д.

Ребята в ДИБе крутые - законтачились. 😉

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Добавить комментарий

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)? Ок, импортозамещение - это задача стратегическая. А что в краткосрочной перспективе? Если все-таки американские базы уязвимостей перестанут работать, отечественная БДУ ФСТЭК нас спасёт? 🙂

В прошлом году на PHDays проходила дискуссия по поводу национальных баз уязвимостей. И я тогда на правах модератора спрашивал (02:30, 08:04) у Виталия Сергеевича Лютикова, на тот момент заместителя директора ФСТЭК, позиционируется ли БДУ как потенциальная замена NIST NVD. Ответ был отрицательным. БДУ собирает уязвимости в продуктах, которые могут использоваться в российском госсекторе, на объектах КИИ и в отечественном ПО. Задача собирать ВСЕ уязвимости (как в NVD) никогда не ставилась. Поэтому, если вы ищете полноценную российскую замену NVD, то это не БДУ. Во всяком случае в текущем понимании её целей и задач.

Более реалистичной заменой NVD будут являться отечественные Vulnerability Intelligence порталы и платформы. 😉

Про iSpring в Йошкар-Оле

Добавить комментарий

Про iSpring в Йошкар-Оле
Про iSpring в Йошкар-ОлеПро iSpring в Йошкар-ОлеПро iSpring в Йошкар-Оле

Про iSpring в Йошкар-Оле. Не единственная большая IT-компания в городе, но самая заметная. Раньше она в фокус моего внимания не попадала. Когда в первый раз увидел логотип, вспомнились скандальные тренинги личностного роста тоже со "спринг" на конце. 😅 Но нет, это просто похожие названия. iSpring - вендор платформы для корпоративного онлайн‑обучения. Заявляется 61000 компаний-клиентов по всему миру, 2.1 млн. пользователей, 3.5 млрд руб. выручки в 2024 году. 👏

В Йошкар-Оле несколько образовательных IT-проектов iSpring:

🔹 Инфосфера - детская
компьютерная школа
🔹 Инфотех - общеобразовательный лицей
🔹 Институт программных
систем
🔹 Институт iSpring

Часть зданий учебных проектов расположены на "набережной Брюгге", часть рядом. Ещё один большой комплекс строится. Выглядит очень круто и полезно. 👍

В феврале этого года на основателя iSpring Юрия Ускова завели уголовное дело. Сообщают, что из-за сделки с землёй и возможного ущерба в 20 млн рублей. 🤷‍♂️🔬🙄 Надеюсь, что разберутся.

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана

Добавить комментарий

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана
Сходили на музыкальный спектакль на марийском языке в театр драмы имени ШкетанаСходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана. Я недавно сокрушался, что марийскую речь в Йошкар-Оле на улице не услышишь. Так вот, в марийском театре её очень даже было слышно. Практически только лишь её. 😅 И со сцены, и в зрительном зале. Так что гештальт можно считать закрытым. 😇 Естественно, что спектакли на марийском приходят смотреть в основном мариязычные люди. Но те, у кого уровень владения языком недостаточно высок, могут воспользоваться бесплатным синхронным переводом на русский. Очень круто. 👍

Сама пьеса "Кеҥеж Йӱд" 1957-го года. Про жизнь в марийской деревне: ремонт сельского клуба, "подъём культуры народа", отношения, мелкую коррупцию, эхо войны. Много песен и танцев.

Если кому интересно, запись спектакля без перевода есть на VK Видео. 😉 Мне больше всего нравится номер на 2:11:55.

Почему это нас беспокоит?

Добавить комментарий

Почему это нас беспокоит?

Почему это нас беспокоит? Ситуация с финансированием MITRE и NIST исключительно внутриамериканская. И она так или иначе разрешится. В этой сфере крутятся миллиарды долларов, работают сотни компаний и многие тысячи специалистов. Они без нас найдут тех, кто будет вести и обогащать базу CVE, и кто будет это финансировать (CISA уже отсыпали MITRE денежек на 11 месяцев 😏).

А нам следует задуматься, почему американские базы CVE-уязвимостей настолько важны для нас. Почему это нас беспокоит?

Ответ очевиден: в России всё ещё широко используется западный коммерческий софт, уязвимости которого собираются в эти базы. Как и уязвимости западного опенсурсного софта/библиотек, составляющих основу практически всего "отечественного ПО". Из технологической зависимости растёт и зависимость от американских баз уязвимостей. 🤷‍♂️

Поэтому следует:

🔹 усиливать настоящее импортозамещение
🔹 избавляться от западных продуктов
🔹 наращивать контроль над опенсурсными проектами