Архив метки: CISAKEV

Новый выпуск "В тренде VM": горячие уязвимости ноября, управление уязвимостями без бюджета и кто должен искать патчи

Новый выпуск "В тренде VM": горячие уязвимости ноября, управление уязвимостями без бюджета и кто должен искать патчи. Конкурс на лучший вопрос по теме VM-а продолжается. 😉🎁

📹 Ролик на VK Видео, RUTUBE, YouTube
🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Содержание:

🔻 00:33 Уязвимость раскрытия хеша NTLMv2 в Windows (CVE-2024-43451)
🔻 01:20 Уязвимость повышения привилегий в Windows Task Scheduler (CVE-2024-49039)
🔻 02:20 Уязвимость подмены отправителя в Microsoft Exchange (CVE-2024-49040)
🔻 03:07 Уязвимости повышения привилегий в утилите needrestart (CVE-2024-48990)
🔻 04:15 Уязвимость удаленного выполнения кода в FortiManager (CVE-2024-47575)
🔻 05:23 Уязвимость обхода аутентификации в веб-интерфейсе PAN-OS (CVE-2024-0012)
🔻 06:36 Уязвимость повышения привилегий в PAN-OS (CVE-2024-9474)
🔻 07:46 Уязвимость обхода каталога в межсетевых экранах Zyxel (CVE-2024-11667)
🔻 08:41 Можно ли заниматься Управлением Уязвимостями без бюджета?
🔻 09:57 Кто должен искать патчи для устранения уязвимостей?
🔻 10:55 Полный дайджест с трендовыми уязвимостями
🔻 11:22 Бэкстейдж

Про уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012)

Про уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012)

Про уязвимость Authentication Bypass - PAN-OS (CVE-2024-0012). Неаутентифицированный злоумышленник, имеющий сетевой доступ к веб-интерфейсу управления устройств Palo Alto, может получить привилегии администратора PAN-OS для выполнения административных действий, изменения конфигурации или эксплуатации других уязвимостей, для которых требуется аутентификация. Уязвимы файерволы серий PA, VM, CN и платформа управления Panorama. Вендор рекомендует ограничить доступ к веб-интерфейсу управления только доверенными внутренними IP-адресами.

🔻 8 ноября был опубликован бюллетень Palo Alto
🔻 15 ноября появились признаки атак, которые Palo Alto обозначили как "Operation Lunar Peek"
🔻 18 ноября уязвимость была добавлена в CISA KEV
🔻 19 ноября исследователи watchTowr Labs выпустили пост с техническими деталями ("укажите значение off в заголовке HTTP-запроса X-PAN-AUTHCHECK, и сервер любезно отключит аутентификацию") 😏 и на GitHub практически сразу появились эксплоиты

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094)

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094)

Повысилась критичность уязвимости Remote Code Execution - Microsoft SharePoint (CVE-2024-38094). Уязвимость была исправлена в рамках июльского Microsoft Patch Tuesday (9 июля).

SharePoint - популярная платформа для корпоративных порталов. Согласно бюллетеню Microsoft, аутентифицированный злоумышленник с правами Site Owner может использовать уязвимость для внедрения произвольного кода и выполнения этого кода в контексте SharePoint Server.

10 июля на GitHub появился репозиторий с PoC-ом эксплоита для этой уязвимости, а также видео, демонстрирующее как злоумышленник может запускать процессы на атакуемом сервере SharePoint. Поиском в GitHub по номеру CVE репозиторий с эксплоитом не находится, но ссылка есть в материале The Hacker News. Согласно описанию эксплоита, он также относится к июльским RCE-уязвимостям в SharePoint CVE-2024-38023 и CVE-2024-38024.

22 октября уязвимость добавили в CISA KEV, значит появились доказательства её эксплуатации в реальных атаках.

Трендовые уязвимости июля по версии Positive Technologies

Трендовые уязвимости июля по версии Positive Technologies.

Съемочная команда SecLab-а ушла на каникулы. Поэтому был выбор: пропускать выпуск в Тренде VM про июльские уязвимости, либо попробовать рассказать о них самостоятельно. Что я и постарался сделать. А со следующего выпуска мы снова вернемся на SecLab. 😉

📹 Ролик "В тренде VM" на YouTube, RuTube и VK Видео
🗞 Пост на Хабре, фактически это несколько расширенный сценарий рубрики "В тренде VM"
🗒 Компактный дайджест с техническими деталями на официальном сайте PT

Список уязвимостей:

🔻 00:33 Spoofing в Windows MSHTML Platform (CVE-2024-38112)
🔻 02:23 RCE в Artifex Ghostscript (CVE-2024-29510)
🔻 03:55 RCE в Acronis Cyber Infrastructure (CVE-2023-45249)

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249)

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249)

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249). Благодаря используемым паролям по умолчанию, удалённый неаутентифицированный злоумышленник может получить доступ к серверу Acronis Cyber Infrastructure (ACI) и выполнить на нём произвольный код.

ACI - это гиперконвергентная платформа для хранения, бэкапирования, вычислений, виртуализации и сетевых функций.

🔻 Патчи, исправляющие эту уязвимость, вышли 30 октября 2023 (❗️) года.
🔻 Через 9-10 месяцев, 24 июля этого года, Acronis отметили в бюллетене, что для уязвимости появились признаки эксплуатации вживую. Пишут, что целью эксплуатации была установка криптомайнера. 29 июля уязвимость добавили в CISA KEV.

Ряд источников сообщает о 20 000 сервис-провайдеров, использующих ACI. Я не нашёл подтверждений этому. Возможно тут путаница с Acronis Cyber Protect. Однако, крупных компаний, использующих ACI, наверняка, довольно много. Если вы работаете в такой компании, обязательно обратите внимание.

"Загадка Дыры": Remote Code Execution - Internet Explorer (CVE-2012-4792)

Загадка Дыры: Remote Code Execution - Internet Explorer (CVE-2012-4792)

"Загадка Дыры": Remote Code Execution - Internet Explorer (CVE-2012-4792). Вчера в CISA KEV добавили старую уязвимость "CDwnBindInfo" из 2012 года: пользователь открывает в MS Internet Explorer 6–8 зловредный вебсайт и злоумышленник получает RCE на его хосте. Уязвимость активно эксплуатировалась с конца 2012 года как 0day в watering hole атаках на организации США. В частности, зловредный код размещали на взломанном сайте Council on Foreign Relations (CFR).

Почему уязвимость добавили в CISA KEV только сейчас?

🔹 Обнаружили новые атаки с использованием этой уязвимости на legacy системы, для которых выпускали патчи (Win XP/Vista/7, WinServer 2003/2008)? 🤪 Вряд ли.

🔹 Для проформы: увидели уязвимость с подтверждёнными инцидентами, а в CISA KEV её нет, вот и добавили? Вероятнее, но почему только её? 🧐

🔹 В аудитах нашли уязвимые легаси-системы и не было формального предлога для их срочного обновления? Странновато. 🤷‍♂️

Будем наблюдать. 🙂

Трендовые уязвимости июня по версии Positive Technologies

Трендовые уязвимости июня по версии Positive Technologies. Традиционно в 3 форматах:

📹 Рубрика "В тренде VM" в новостном ролике SecLab-а (начинается с 15:03)
🗞 Пост на Хабре, фактически это несколько расширенный сценарий рубрики "В тренде VM"
🗒 Компактный дайджест с техническими деталями на официальном сайте PT

Список уязвимостей:

🔻 EoP в Microsoft Windows CSC (CVE-2024-26229)
🔻 EoP в Microsoft Windows Error Reporting (CVE-2024-26169)
🔻 EoP в Microsoft Windows Kernel (CVE-2024-30088)
🔻 RCE в PHP (CVE-2024-4577)
🔻 EoP в Linux Kernel (CVE-2024-1086)
🔻 InfDisclosure в Check Point Security Gateways (CVE-2024-24919)
🔻 RCE в VMware vCenter (CVE-2024-37079, CVE-2024-37080)
🔻 AuthBypass в Veeam Backup & Replication (CVE-2024-29849)