Архив метки: CISAKEV

26 марта CISA добавили в KEV уязвимость Remote Code Execution — Microsoft SharePoint Server (CVE-2023–24955)

26 марта CISA добавили в KEV уязвимость Remote Code Execution - Microsoft SharePoint Server (CVE-2023-24955)
26 марта CISA добавили в KEV уязвимость Remote Code Execution - Microsoft SharePoint Server (CVE-2023-24955)

26 марта CISA добавили в KEV уязвимость Remote Code Exe­cu­tion — Microsoft Share­Point Serv­er (CVE-2023–24955).

🔹 Эта уязвимость из майского Patch Tues­day 2023 года. Я её тогда выделил в обзоре, т.к. эту уязвимость показали на Pwn2Own Van­cou­ver, а значит для неё был приватный эксплоит, который рано или поздно появился бы в паблике.
🔹 В паблике эксплоит появился 26 сентября 2023 года.
🔹 19 января 2024 года вышел модуль для метасплоита, который эксплуатировал эту уязвимость вместе с обходом аутентификации Share­Point (CVE-2023–29357), исправленную в июне 2023 года.
🔹 Сейчас видимо пошли подтвержденные атаки именно для CVE-2023–24955. 👾

Мораль? Обновляйтесь заранее, обращайте внимание на уязвимости продемонстрированные на Pwn2Own мероприятиях.

🟥 Pos­i­tive Tech­nolo­gies относит эту уязвимость к трендовым с 27 сентября 2023 года. Т.е. мы отметили её как супер-критичную за полгода до появления в CISA KEV.

Посмотрел VulnCheck KEV

Посмотрел VulnCheck KEV
Посмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEV

Посмотрел Vul­nCheck KEV. Это аналог CISA KEV (Know Exploit­ed Vul­ner­a­bil­i­ties) от компании Vul­nCheck.

🔹 В отличие от общедоступного CISA KEV, доступ к Vul­nCheck KEV имеют только зарегистрированные пользователи. Сам сайт Vul­nCheck доступен с российских IP 🇷🇺, но при регистрации пишут, что "заявка на модерации" (никакой модерации там нет, заявки просто блокируют 🥸). С нероссийских IP регистрируют автоматически. Хитрецы. 🌝
🔹 В базе в ~2 раза больше CVE, чем в CISA KEV.
🔹 Штатных средств для выгрузки всех этих CVE через web-gui нет. Возможно можно через API. 🤷‍♂️
🔹 Для CVE есть ссылки на эксплоиты. Вроде без особого мусора. 👌
🔹 Есть признаки эксплуатации вживую. Иногда там что-то понятное, типа ссылки на pdf-репорт а‑ля "Out­break Alerts 2023". Иногда непонятное типа ссылки на дашборд Shad­owserv­er или блогпост, в котором эксплуатация CVE не упоминается. 🤷‍♂️

В общем, подборка CVE довольно интересная, но нужно улучшать обоснования эксплуатации вживую. 😉

Прожектор по ИБ, выпуск №19 (22.01.2024): VM-щик на час и это печать

Прожектор по ИБ, выпуск №19 (22.01.2024): VM-щик на час и это печать

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Glob­al Dig­i­tal Space"
🔸 Антон Bo0oM 💣 Лопаницын, "Кавычка"

Снова в усиленном составе. В этом выпуске обсуждали художественную литературу 🧐📕, импортозамес (тем кто активно хейтил мой пост на эту тему — зацените, вполне возможно Антон и Лев критиковали мои предложения именно с ваших позиций; если нет, то оставьте коммент 😉), громкие критичные уязвимости, инциденты, интересные новости и статьи. А под конец выпуска Максим зачитал суровую рэпчину в свой новый микрофон. 😎🎤

00:00 Смотрим статистику по просмотрам и продолжение к "Двухфакторка рулит. Git­Lab — решето."
02:16 Обсуждаем художественную литературу: "Девушка с татуировкой дракона" Стиг Ларссон, романы Пелевина, "Задача трёх тел" Лю Цысинь, романы про попаданцев на Author­To­day
13:15 Импортозамещаем MS Share­Point
14:53 Импортозамещаем Cis­co Uni­ty Con­nec­tion и обсуждаем использование решений из дружеских стран
20:34 Импортозамещаем Git­Lab и обсуждаем есть ли в этом смысл
24:16 Импортозамещаем Ivan­ti Con­nect Secure и Cis­co Any­Con­nect
29:08 Мемасики
31:56 В Juniper-ах очередная preAuth RCE (CVE-2024–21591) с возможностью получить root‑а на устройстве
34:10 Подмена прошивки в умном термостате Bosch BCC100 (CVE-2023–49722) и услуга VM-щик на час
38:06 Microsoft обвинила русских хакеров в атаке по своим системам
40:11 Очередная критичная RCE в Con­flu­ence (CVE-2023–22527)
41:43 Январский Lin­ux Patch Wednes­day
43:13 Лев комментирует пост Алекся Лукацкого: У традиционных SIEM, архитектура которых создавалась совсем в другое время, существует целый ряд проблем, которые заставляют задуматься об их будущем
47:46 В блоге Qualys вышел занимательный пост про проблемы детектирования "глубоко встроенных уязвимостей"
50:05 Исследователь, который в прошлый раз взломал «Хонду», продолжает рассказывать о своих находках
52:29 Пришёл Максим с новым микрофоном
53:29 Студент сингапурского ВУЗа автоматизировал процесс взлома с использованием чат-бота Chat­G­PT
55:45 ОреnАI плотно работает с военными США над инструментами кибербезопасности
59:43 Роскомнадзор создаст базу данных геолокации отечественных IP-адресов
1:01:26 Суровая заключительная рэпчина от Mr. X 🎤

Июньская Authentication Bypass уязвимость Sharepoint (CVE-2023–29357) в активной эксплуатации

Июньская Authentication Bypass уязвимость Sharepoint (CVE-2023-29357) в активной эксплуатацииИюньская Authentication Bypass уязвимость Sharepoint (CVE-2023-29357) в активной эксплуатации

Июньская Authen­ti­ca­tion Bypass уязвимость Share­point (CVE-2023–29357) в активной эксплуатации. Её добавили в CISA KEV. У Microsoft эта уязвимость идёт как EoP, но описание у неё говорит об Auth­By­pass. Удаленный неутентифицированный злоумышленник может получить привилегии аутентифицированного пользователя на уязвимом сервере, отправив поддельный токен аутентификации JWT. Для того, чтобы злоумышленник мог воспользоваться этой уязвимостью, не требуется никакого взаимодействия с пользователем.

Уязвимость была продемонстрирована Pwn2Own Van­cou­ver в марте 2023. И вот где-то через полгода после выхода патча пошли реальные атаки.

Если у вас в инфре есть Share­point сервер, который более полугода не обновлялся — обратите внимание.

Прожектор по ИБ, выпуск №13 (26.11.2023): Метания Альтмана, кошко-девушки и тормозной CISA KEV

Прожектор по ИБ, выпуск №13 (26.11.2023): Метания Альтмана, кошко-девушки и тормозной CISA KEV

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Максим Хараск, "Glob­al Dig­i­tal Space"

00:00 Здороваемся, смотрим статистику по прошлому эпизоду и комментарии
02:30 Впечатления от Кибердома, потенциальная книга по VM от Pos­i­tive Tech­nolo­gies
12:44 CISA KEV люто тормозит
20:19 Про спор ОМП и Ред Софт об AOSP в реестре Минцифры
31:58 USB-стиллер против Win­dows Hel­lo и про биометрию вообще
41:04 8 млрд рублей перевели мошенникам жители РФ, не доверяйте входящим звонкам
47:08 Хакеры требуют кошко-девушек
49:59 Карьерные метания товарища Альтмана
54:45 Несёт ли бред ИИ?
56:57 Прощание от Mr.X

Любопытная статья с критикой CISA KEV за медлительность вышла на Dark Reading

Любопытная статья с критикой CISA KEV за медлительность вышла на Dark Reading

Любопытная статья с критикой CISA KEV за медлительность вышла на Dark Read­ing. "Эксплуатируемым уязвимостям требуются месяцы на то, чтобы попасть в CISA KEV". Показывают на примерах:

1. RCE уязвимость в Adobe Acro­bat и Read­er (CVE-2023–21608). Вышла эта уязвимость 18 января. PoC для неё вышел в феврале. С июня эксплоит доступен в коммерческих фреймворках. А в CISA KEV уязвимость добавили только 10 октября. 🤷‍♂️ 10 месяцев получается потребовалось.

2. Множественные уязвимости в Juniper серий EX и SRX. Объявили об уязвимостях в середине августа. 25 августа Shad­owserv­er сообщили о попытках эксплуатации вживую. В CISA KEV добавили только 13 ноября.

3. Обход аутентификации Veeam Back­up & Repli­ca­tion (CVE-2023–27532). Обнаруженна в марте, начала эксплуатироваться позже в том же месяце, добавлена в список KEV только в августе.

И почему так?

Всё из-за жёстких критериев к доказательствам фактов эксплуатации уязвимости вживую и к наличию исправления от вендора (т.к. CISA KEV это фактически перечень требований для федеральных агентств по исправлению уязвимостей).

В статье рекомендуют использовать дополнительные источники данных об уязвимостях эксплуатируемых вживую.

Тоже порекомендую такой источник —

Трендовые Уязвимости
от 🟥 Pos­i­tive Tech­nolo­gies

😉

Прожектор по ИБ, выпуск №8 (22.10.2023)

Прожектор по ИБ, выпуск №8 (22.10.2023). Записали очередной эпизод. Из основного: обсуждали Аврору ОС и отечественные смартфоны/планшеты, разобрали актуальные уязвимости с упором на Lin­ux, немного коснулись регуляторики. К сожалению, у нас был какой-то сбой с видео, поэтому с 35:37 мы без камер. 🤷‍♂️

Мы это:

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Glob­al Dig­i­tal Space"

00:00 Здороваемся и радуемся, что прошлый выпуск вроде неплохо смотрели 🙂
01:45 Лев поучаствовал в IVADAY 2023 и ему подарили отечественный планшет от БайтЭрг
08:40 Кажется, что смартфоны нa Авроре для физиков могут появиться в ноябре. Обсуждаем зачем и кому это вообще нужно
19:23 Телеканалы и операторов связи обяжут создать ИБ-подразделения
23:17 Auth bypass в Cis­co IOS ХЕ (CVE-2023–20198)
27:47 13 эксплоитов ботнета Mirai
30:37 RCE уязвимость в Jet­Brains Team­C­i­ty (CVE-2023–42793)
33:56 Женщина сама себя сняла с электронной очереди в детский сад в Астане
35:37 Смотрим отчёт по октябрьскому Lin­ux Patch Wednes­day
37:52 GNOME уязвим перед RCE-атаками из-за ошибки в библиотеке libcue
41:20 Охарактеризуйте олдскульную ИБ одним словом и шлите нам свои мемасики
42:38 ФБР предупредила о хакерах-вымогателях, атакующих клиники пластической хирургии в США и мире
43:43 В CISA KEV появилась новая колонка, отвечающая за использование уязвимости в атаках шифровальщиков
45:13 Практический вопрос использования методики оценки уровня критичности уязвимостей ФСТЭК
49:43 Сходка "ПоИБэшечка: К истокам" 31 октября
51:50 Прощание от Mr. X