🔻 Elevation of Privilege - Windows Common Log File System Driver (CVE-2025-29824) 🔻 Elevation of Privilege - Windows Process Activation (CVE-2025-21204) 🔻 Spoofing - Windows NTLM (CVE-2025-24054) 🔻 Remote Code Execution - Erlang/OTP (CVE-2025-32433)
Про уязвимость Elevation of Privilege - Windows Common Log File System Driver (CVE-2025-29824). Уязвимость из апрельского Microsoft Patch Tuesday. Уязвимость позволяет злоумышленнику, работающему под учетной записью обычного пользователя, повысить свои привилегии до уровня SYSTEM. 🔻 Согласно Microsoft, уязвимость использовалась в атаках на организации в США, Венесуэле, Испании и Саудовской Аравии. Эксплойт был встроен в малварь PipeMagic, используемую группировкой Storm-2460 для распространения шифровальщиков.
🔻 7 мая исследователи Symantec сообщили технические подробности по ещё одному эксплоиту для этой уязвимости от группировки Balloonfly (использующей шифровальщик Play). Эксплойт применялся до 8 апреля в атаке на организацию из США.
👾 А есть ли публичные эксплоиты? БДУ ФСТЭК считает, что да. NVD тоже приводит "ссылки на эксплоиты", но там скрипты для детекта и митигации. 🤷♂️ В сплоитпаках и на GitHub пока пусто.
Новый выпуск "В тренде VM": уязвимости, ставшие трендовыми в декабре, и итоги 2024 года по трендовым уязвимостям. Записал выпуск специально для подписчиков Телеграм-канала @avleonovrus «Управление Уявзимостями и прочее». 😉
Повысилась критичность уязвимости Elevation of Privilege - Windows Common Log File System Driver (CVE-2024-49138). Только я написал, что ничего не было слышно про эту уязвимость в течение месяца с момента публикации в декабрьском Microsoft Patch Tuesday, как 15 января для неё появился публичный эксплойт от Alessandro Iandoli из HN Security. 🙂 На GitHub-е доступен исходный код и видео с демонстрацией работы эксплоита: локальный атакующий запускает exe-файл в PowerShell и через секунду становится "nt authority/system". Исследователь протестировал работоспособность эксплоита на Windows 11 23h2. Он также обещает опубликовать блог-пост с подробным анализом уязвимости.
Что стало известно об уязвимости Elevation of Privilege - Windows Common Log File System Driver (CVE-2024-49138) из декабрьского Microsoft Patch Tuesday за прошедший месяц? Да практически ничего. 🙄 Уязвимость в стандартном компоненте Windows, доступном во всех версиях, начиная с Windows Server 2003 R2. Описание у неё типично для EoP в Windows: в случае успешной эксплуатации локальный злоумышленник может получить привилегии SYSTEM. Причина уязвимости - Heap-based Buffer Overflow.
Microsoft сразу выставили признак эксплуатации вживую, однако не предоставили информации о том, где эксплуатировалась уязвимость и насколько масштабными были атаки.
Уязвимость зарепортила команда Advanced Research Team компании CrowdStrike. Но ни от них, ни от других исследователей пока нет технических подробностей. 🤷♂️ Тем более эксплоитов.
Так что устанавливаем декабрьские обновления безопасности Microsoft и ждём новостей! 😉
Повышение критичности для Elevation of Privilege - Windows Common Log File System Driver (CVE-2023-36424): 3 дня назад на GitHub появился технический анализ и код эксплоита.
Уязвимость из ноябрьского Microsoft Patch Tuesday. На момент выхода уязвимость никто не выделял, только Qualys мельком упомянули. 🤷♂️
👾 Сообщений об эксплуатации вживую пока нет, но теперь видимо ждём.
Выпустил блогопост и видяшку по апрельскому Micorosoft Patch Tuesday Vulristics для англоязычного канала и блога. По сравнению с первыми впечатлениями добавились Microsoft Word RCE (CVE-2023-28311) с эксплоитом и Windows Pragmatic General Multicast (PGM) RCE (CVE-2023-28250) похожая на QueueJumper RCE в MSMQ. Также добавил много RCE в Windows DNS Server, но что-то определенное по ним сказать сложно.
Critical 00:50 Elevation of Privilege - Windows Common Log File System Driver (CVE-2023-28252) 01:44 Remote Code Execution - Microsoft Word (CVE-2023-28311)
Other 02:18 Remote Code Execution - Microsoft Message Queuing (CVE-2023-21554) (QueueJumper) 03:17 Remote Code Execution - Windows Pragmatic General Multicast (PGM) (CVE-2023-28250) 04:05 Lots of CVEs Remote Code Execution – Microsoft PostScript and PCL6 Class Printer Driver (CVE-2023-24884, CVE-2023-24885, CVE-2023-24886, CVE-2023-24887, CVE-2023-24924, CVE-2023-24925, CVE-2023-24926, CVE-2023-24927, CVE-2023-24928, CVE-2023-24929, CVE-2023-28243) 04:24 Lots of CVEs Remote Code Execution – Windows DNS Server (CVE-2023-28254, CVE-2023-28255, CVE-2023-28256, CVE-2023-28278, CVE-2023-28305, CVE-2023-28306, CVE-2023-28307, CVE-2023-28308) 04:32 Remote Code Execution - DHCP Server Service (CVE-2023-28231)
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.