Архив метки: ClamAV

Прожектор по ИБ, выпуск №19 (22.01.2024): VM-щик на час и это печать

Добавить комментарий

Прожектор по ИБ, выпуск №19 (22.01.2024): VM-щик на час и это печать

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Glob­al Dig­i­tal Space"
🔸 Антон Bo0oM 💣 Лопаницын, "Кавычка"

Снова в усиленном составе. В этом выпуске обсуждали художественную литературу 🧐📕, импортозамес (тем кто активно хейтил мой пост на эту тему — зацените, вполне возможно Антон и Лев критиковали мои предложения именно с ваших позиций; если нет, то оставьте коммент 😉), громкие критичные уязвимости, инциденты, интересные новости и статьи. А под конец выпуска Максим зачитал суровую рэпчину в свой новый микрофон. 😎🎤

00:00 Смотрим статистику по просмотрам и продолжение к "Двухфакторка рулит. Git­Lab — решето."
02:16 Обсуждаем художественную литературу: "Девушка с татуировкой дракона" Стиг Ларссон, романы Пелевина, "Задача трёх тел" Лю Цысинь, романы про попаданцев на Author­To­day
13:15 Импортозамещаем MS Share­Point
14:53 Импортозамещаем Cis­co Uni­ty Con­nec­tion и обсуждаем использование решений из дружеских стран
20:34 Импортозамещаем Git­Lab и обсуждаем есть ли в этом смысл
24:16 Импортозамещаем Ivan­ti Con­nect Secure и Cis­co Any­Con­nect
29:08 Мемасики
31:56 В Juniper-ах очередная preAuth RCE (CVE-2024–21591) с возможностью получить root‑а на устройстве
34:10 Подмена прошивки в умном термостате Bosch BCC100 (CVE-2023–49722) и услуга VM-щик на час
38:06 Microsoft обвинила русских хакеров в атаке по своим системам
40:11 Очередная критичная RCE в Con­flu­ence (CVE-2023–22527)
41:43 Январский Lin­ux Patch Wednes­day
43:13 Лев комментирует пост Алекся Лукацкого: У традиционных SIEM, архитектура которых создавалась совсем в другое время, существует целый ряд проблем, которые заставляют задуматься об их будущем
47:46 В блоге Qualys вышел занимательный пост про проблемы детектирования "глубоко встроенных уязвимостей"
50:05 Исследователь, который в прошлый раз взломал «Хонду», продолжает рассказывать о своих находках
52:29 Пришёл Максим с новым микрофоном
53:29 Студент сингапурского ВУЗа автоматизировал процесс взлома с использованием чат-бота Chat­G­PT
55:45 ОреnАI плотно работает с военными США над инструментами кибербезопасности
59:43 Роскомнадзор создаст базу данных геолокации отечественных IP-адресов
1:01:26 Суровая заключительная рэпчина от Mr. X 🎤

Про январский Linux Patch Wednesday

Добавить комментарий

Про январский Linux Patch Wednesday

Про январский Lin­ux Patch Wednes­day. Основная сложность в распределении CVE-шек по месяцам для LPW это поймать момент, когда CVE-шку первый раз запатчили. Обычно первыми это делают Debian. Но вот беда — в Debian OVAL зачастую отсутствует дата, когда именно это произошло (дата публикации дефинишена). 😑

Продемонстрирую на примере. Генерю я вчера Lin­ux Patch Wednes­day отчёт за январь и вижу там UnRAR Arbi­trary File Over­write (CVE-2022–30333). Почему уязвимость 2022 года всплыла сейчас, в начале 2024? Потому, что её запатчили в Ubun­tu на днях, 8 января. Причём фиксили не саму утилиту UnRAR, а стороннюю либу Cla­mAV для антивирусной проверки архивов. А раньше эту CVE не фиксил никто что ли? Ну, фиксили. Вот есть сообщение в листе рассылке Debian от 17 августа 2023. Тоже поздно, совсем не 2022 год, но всё-таки несколько раньше. Но в OVAL-контенте Debian этой даты, 17 августа 2023, не было. И поэтому попала CVE-шка из 2022 года в 2024, т.к. самая ранняя (и единственная) дата, которая была в OVAL-контентах Lin­ux вендоров для этой уязвимости это была дата запоздалого фикса в Ubun­tu. 🤷‍♂️

В общем, OVAL хорошо и универсально, но, к сожалению, не панацея. Удивительно, но там тоже бардак, на который всем пофигу. 😏

Пришлось вчера спешно научиться парсить архивы листа рассылки с бюллетенями безопасности Debian. В итоге список уязвимостей стал поадекватнее. В частности, CVE-2022–30333 ушла в LPW для сентября 2023. Аналогично можно и работу с другими листами рассылки построить, например с Suse.

С Suse, кстати, забавно. У них есть OVAL контент, но он отдаётся только по FTP и нереально медленно, как на dial-up модеме. Причём, не только для России режут скорость (как можно было бы предположить). Вовсе нет, проблема общая.

Отчёт Vul­ris­tics выпустил:

🗒 Январский LPW

С детектами можно (и нужно) ещё поиграться, но в целом выглядит норм. 🙂

81 уязвимость.

🔻 Из них самая критичная это RCE в модуле Perl Spreadsheet::ParseExcel (CVE-2023–7101). Эта уязвимость используется вживую и есть в CISA KEV.

Из того, для чего ещё есть ссылки на эксплоиты (ссылки из NVD — требуется верификация):

🔸 Denial of Ser­vice — Aster­isk (CVE-2023–49786)
🔸 Secu­ri­ty Fea­ture Bypass — Python (CVE-2023–27043)
🔸 Mem­o­ry Cor­rup­tion — Lin­ux Ker­nel (CVE-2023–6606)
🔸 Mem­o­ry Cor­rup­tion — libde265 (CVE-2023–49465, CVE-2023–49467, CVE-2023–49468) — реализация видео-кодека h.265
🔸 Secu­ri­ty Fea­ture Bypass — twist­ed (CVE-2023–46137)
🔸 Mem­o­ry Cor­rup­tion — sqlite (CVE-2023–7104)
🔸 Denial of Ser­vice — w3m (CVE-2023–4255)
🔸 Incor­rect Cal­cu­la­tion — QEMU (CVE-2023–42467)
🔸 Mem­o­ry Cor­rup­tion — QEMU (CVE-2023–40360)
🔸 Mem­o­ry Cor­rup­tion — cJSON (CVE-2023–50471) — парсер JSON на C
🔸 Brows­er tab titles were being leaked — Mozil­la Fire­fox (CVE-2023–6872)
🔸 Secu­ri­ty Fea­ture Bypass — sqlite (CVE-2022–46908)