Мартовский "В тренде VM": и снова уязвимости только в продуктах Microsoft. Представляю традиционную ежемесячную подборку трендовых уязвимостей по версии Positive Technologies. Как и в феврале, она получилась весьма компактной и моновендорной.
Про уязвимость Elevation of Privilege - Windows RDS (CVE-2026-21533). Уязвимость из февральского Microsoft Patch Tuesday. Remote Desktop Services (RDS) - это один из компонентов Microsoft Windows, который позволяет пользователю инициировать и управлять интерактивной сессией на удалённом компьютере или виртуальной машине через сетевое соединение с использованием протокола Remote Desktop Protocol (RDP). Неправильное управление привилегиями (CWE-269) в Windows Remote Desktop позволяет локальному злоумышленнику получить привилегии SYSTEM. По сообщению CrowdStrike, бинарный эксплойт изменяет ключ конфигурации службы ("service configuration key"), позволяя злоумышленнику повысить привилегии и добавить пользователя в группу Administrators.
👾 Microsoft сообщают об эксплуатации уязвимости в реальных атаках. Уязвимость в CISA KEV с 10 февраля.
🛠 Публичных эксплоитов пока нет. Но есть сообщения о продаже эксплоита за $220 000 на теневом форуме.
Посмотрел отчёт "The Forrester Wave: Unified Vulnerability Management Solutions, Q3 2025". Только я поиронизировал сегодня, что для VM-а существует множество странных синонимов, как вот вам ещё один: "Unified" VM от Forrester. 🙃
🔹 UVM-решения должны "консолидировать детектирование уязвимостей и устранение уязвимостей". Но сами детектировать уязвимости не обязаны, могут использовать third-party источники.
🔹 Наибольший вес в сравнении Forrester отдают Vision, Innovation и Roadmap. 😅 А качество детектирования практически никак не учитывается. 🤷♂️
🔹 В лидерах вендоры, которые, судя по описанию, не имеют своих детектов: Armis и ServiceNow. 😏 Ну и ещё Tenable.
🔹 Для каждого из 10 вендоров приводятся описание, стратегия, возможности, фидбэк от пользователей и мнение Forrester. Полезность так себе, но почитать можно.
Новый выпуск "В тренде VM": уязвимости, ставшие трендовыми в декабре, и итоги 2024 года по трендовым уязвимостям. Записал выпуск специально для подписчиков Телеграм-канала @avleonovrus «Управление Уявзимостями и прочее». 😉
Что стало известно об уязвимости Elevation of Privilege - Windows Common Log File System Driver (CVE-2024-49138) из декабрьского Microsoft Patch Tuesday за прошедший месяц? Да практически ничего. 🙄 Уязвимость в стандартном компоненте Windows, доступном во всех версиях, начиная с Windows Server 2003 R2. Описание у неё типично для EoP в Windows: в случае успешной эксплуатации локальный злоумышленник может получить привилегии SYSTEM. Причина уязвимости - Heap-based Buffer Overflow.
Microsoft сразу выставили признак эксплуатации вживую, однако не предоставили информации о том, где эксплуатировалась уязвимость и насколько масштабными были атаки.
Уязвимость зарепортила команда Advanced Research Team компании CrowdStrike. Но ни от них, ни от других исследователей пока нет технических подробностей. 🤷♂️ Тем более эксплоитов.
Так что устанавливаем декабрьские обновления безопасности Microsoft и ждём новостей! 😉
No Boot - No Hacker! Обновлённый трек. Кажется кейс с инцидентом CrowdStrike BSODStrike подходит к логическому завершению. По причинам уже всё более-менее понятно. Остались только долгие судебные тяжбы клиентов с вендором. Поэтому закрываю для себя эту тему обновлённым треком, сделанным в Suno.
Добавил свою позицию, что дело не столько в проблемах конкретной компании, сколько в проблемах облачных ИБ сервисов с агентами, архитектура которых уязвима, и которым клиенты слишком доверяют. 🤷♂️ Замалчивать это мне не кажется правильным, нужно пытаться хоть как-то это компенсировать. Следует понимать, что сейчас был всего лишь небольшой и относительно безобидный сбой, но когда-нибудь мы увидим кейс с полномасштабной атакой злоумышленников через облачного вендора. И, как мне кажется, в настоящий момент онпрем решения имеют свои преимущества.
CrowdStrike - это успех! Поверь мне, это так. Защищает он лучше всех От любых кибератак. Проактивный подход, Секретное оружие: Не справится хакер, Если ОСь не загружена!
Припев: Синий экран отражает атаки! No boot - No Hacker! No boot - No Hacker!
CrowdStrike работает по лучшей из схем, С которой не может быть никаких проблем! На ваших хостах Falcon сенсоры. Их привилегии максимальны. А CrowdStrike управляют ими из своих облаков. И это нормально! (Якобы…) Команда CrowdStrike даже ночью не спит, Автоматом заливает вам Rapid Response Content "at operational speed". (Когда захочет…)
И если вам кажется, что всё это как-то страшновато, Не переживайте: CrowdStrike пропускает контент через валидатор! (Великий ВАЛИДАТОР!)
Не работает биржа, не летают самолёты - это всё детали… Всего лишь маленький баг в апдейтах, злодеи через вендора вас не атаковали… (Пока что…) За полтора часа сломать 8.5 миллионов хостов - задача нелегка… С таким не справится устаревший онпрем, для такого нужны облака…
А если серьёзно… В 22-ом CrowdStrike из России ушёл… И, как по мне, это очень, очень, ну просто ооочень хорошо!
🔻 Обещают дать пользователям больше контроля над раскаткой RRC. Вендорам подобных сервисов следует к этому присмотреться ❗️:
🆕 Реализуют стратегию поэтапного развертывания (ПР), начиная с канареечного. 🆕 Улучшат мониторинг производительности cенсоров и системы для управления ПР. 🆕 Предоставят пользователям гранулярный выбор когда и где обновления будут развёрнуты. 🆕 Будут выпускать RRC release notes. 😏
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.
