Архив метки: EoP

Трендовые уязвимости июня по версии Positive Technologies

Добавить комментарий

Трендовые уязвимости июня по версии Pos­i­tive Tech­nolo­gies. Традиционно в 3 форматах:

📹 Рубрика "В тренде VM" в новостном ролике SecLab‑а (начинается с 15:03)
🗞 Пост на Хабре, фактически это несколько расширенный сценарий рубрики "В тренде VM"
🗒 Компактный дайджест с техническими деталями на официальном сайте PT

Список уязвимостей:

🔻 EoP в Microsoft Win­dows CSC (CVE-2024–26229)
🔻 EoP в Microsoft Win­dows Error Report­ing (CVE-2024–26169)
🔻 EoP в Microsoft Win­dows Ker­nel (CVE-2024–30088)
🔻 RCE в PHP (CVE-2024–4577)
🔻 EoP в Lin­ux Ker­nel (CVE-2024–1086)
🔻 InfDis­clo­sure в Check Point Secu­ri­ty Gate­ways (CVE-2024–24919)
🔻 RCE в VMware vCen­ter (CVE-2024–37079, CVE-2024–37080)
🔻 Auth­By­pass в Veeam Back­up & Repli­ca­tion (CVE-2024–29849)

Elevation of Privilege (Local Privilege Escalation) — Linux Kernel (CVE-2024–1086) добавили в CISA KEV

Добавить комментарий

Elevation of Privilege (Local Privilege Escalation) - Linux Kernel (CVE-2024-1086) добавили в CISA KEV

Ele­va­tion of Priv­i­lege (Local Priv­i­lege Esca­la­tion) — Lin­ux Ker­nel (CVE-2024–1086) добавили в CISA KEV. Сама уязвимость относительно старая, январская. Я уже писал про неё в марте, когда вышел write-up и публичный эксплоит.

Несмотря на тривиальную эксплуатацию, запустил утилиту — получил рута, до недавнего времени признаков активной эксплуатации этой уязвимости не фиксировали. Что довольно странно, такой полезный эксплоит должен сразу попадать в инструментарий злоумышленников. Тут либо практическая эксплуатация всё же чем-то осложнена, либо использующие её злоумышленники не оставляли следов. 🤔

Как бы то ни было, 30 мая уязвимость добавили в CISA KEV, а значит факт использования её в атаках всё-таки был установлен. Но подробностей по атакам пока нет. Обратите внимание на эту уязвимость при обновлении Lin­ux хостов.

Для январской Elevation of Privilege (Local Privilege Escalation) — Linux Kernel (CVE-2024–1086) 26 марта вышел write-up и PoC

Добавить комментарий

Для январской Elevation of Privilege (Local Privilege Escalation) - Linux Kernel (CVE-2024-1086) 26 марта вышел write-up и PoC
Для январской Elevation of Privilege (Local Privilege Escalation) - Linux Kernel (CVE-2024-1086) 26 марта вышел write-up и PoC

Для январской Ele­va­tion of Priv­i­lege (Local Priv­i­lege Esca­la­tion) — Lin­ux Ker­nel (CVE-2024–1086) 26 марта вышел write-up и PoC. Видео демка работы скрипта выглядит эффектно: запускают скрипт от обычного пользователя и через пару секунд получают рутовый шелл. ⚡️ По заявлениям автора эксплоит работает с большинством ядер Lin­ux между версиями 5.14 и 6.6, включая Debian, Ubun­tu и Ker­nelCTF.

🔻 Эксплойт требует kcon­fig CONFIG_USER_NS=y; sh com­mand sysctl kernel.unprivileged_userns_clone = 1; kcon­fig CONFIG_NF_TABLES=y. Автор пишет, что это по дефолту выполняется для Debian, Ubun­tu, and Ker­nelCTF, а для других дистрибов нужно тестить.
🔹 Эксплойт не работает на ядрах v6.4> с kcon­fig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (включая Ubun­tu v6.5)

NSFOCUS пишет, что Red­hat тоже подвержен уязвимости. 🤷‍♂️

Повышение критичности для Elevation of Privilege — Windows Common Log File System Driver (CVE-2023–36424): 3 дня назад на GitHub появился технический анализ и код эксплоита

Добавить комментарий

Повышение критичности для Elevation of Privilege - Windows Common Log File System Driver (CVE-2023-36424): 3 дня назад на GitHub появился технический анализ и код эксплоита

Повышение критичности для Ele­va­tion of Priv­i­lege — Win­dows Com­mon Log File Sys­tem Dri­ver (CVE-2023–36424): 3 дня назад на GitHub появился технический анализ и код эксплоита.

Уязвимость из ноябрьского Microsoft Patch Tues­day. На момент выхода уязвимость никто не выделял, только Qualys мельком упомянули. 🤷‍♂️

👾 Сообщений об эксплуатации вживую пока нет, но теперь видимо ждём.

Elevation of Privilege — Microsoft Streaming Service (CVE-2023–29360) эксплуатируется вживую малварью Raspberry Robin с августа 2023

Добавить комментарий

Elevation of Privilege - Microsoft Streaming Service (CVE-2023-29360) эксплуатируется вживую малварью Raspberry Robin с августа 2023
Elevation of Privilege - Microsoft Streaming Service (CVE-2023-29360) эксплуатируется вживую малварью Raspberry Robin с августа 2023Elevation of Privilege - Microsoft Streaming Service (CVE-2023-29360) эксплуатируется вживую малварью Raspberry Robin с августа 2023Elevation of Privilege - Microsoft Streaming Service (CVE-2023-29360) эксплуатируется вживую малварью Raspberry Robin с августа 2023

Ele­va­tion of Priv­i­lege — Microsoft Stream­ing Ser­vice (CVE-2023–29360) эксплуатируется вживую малварью Rasp­ber­ry Robin с августа 2023. Уязвимость позволяет получать привилегии SYSTEM. С сентября 2023 eсть PoC на гитхабе.

Вот как оно бывает. Была ничем не примечательная уязвимость с небольшим CVSS, которую в момент выхода июньского Microsoft Patch Tues­day только Qualys мельком подсветили. А потом бамс — оказывается и уязвимый компонент другой, и уязвимость успешно эксплуатируется. 🤷‍♂️

CheckPoint‑ы пишут, что Rasp­ber­ry Robin использует и Ele­va­tion of Priv­i­lege – Microsoft Stream­ing Ser­vice Proxy (CVE-2023–36802), но для неё признак эксплуатации вживую был в сентябрьском MSPT, так что не особо новость. Для этой уязвимости также есть PoC на GitHub.

По поводу подозрительной EoP в Confluence (CVE-2023–22515), которая вышла на прошлой неделе, опасения подтвердились

4 комментария

По поводу подозрительной EoP в Confluence (CVE-2023-22515), которая вышла на прошлой неделе, опасения подтвердились

По поводу подозрительной EoP в Con­flu­ence (CVE-2023–22515), которая вышла на прошлой неделе, опасения подтвердились. Злоумышленнику действительно не требуется предварительно иметь пользователя в Con­flu­ence, чтобы получить администратора. Действительно имеет место обход аутентификации.

Коллеги из PT SWARM воспроизвели эту уязвимость и записали видео с демонстрацией. На видео они показывают, что пользователя в инсталляции Con­flu­ence нет, затем они запускают python скрипт с логином/паролем желаемого пользователя и тут же получают его в Con­flu­ence с правами админа. Mag­ic. 🪄

В новостях активно разгоняют про EoP в Atlassian Confluence (CVE-2023–22515)

Добавить комментарий

В новостях активно разгоняют про EoP в Atlassian Confluence (CVE-2023-22515)

В новостях активно разгоняют про EoP в Atlass­ian Con­flu­ence (CVE-2023–22515). Злоумышленник может создавать неавторизованные аккаунты администратора Con­flu­ence и получать доступ к инстансам Con­flu­ence. Atlass­ian пишут, что некоторых их клиентов, у которых Con­flu­ence наружу торчит, таким образом уже поломали. Если это EoP у злоумышленника должен быть аккаунт какой-то, так ведь? А вот непонятно. Может там и обход аутентификации есть, уж больно CVSS большой. Уязвимы версии 8.*, а более старые версии неуязвимы (включая 7.19 LTS с EOL date: 28 Jul 2024). Если уязвимы, то обновляйтесь до 8.3.3, 8.4.3, 8.5.2 или применяйте workaround. Хотя лучше мигрируйте с продуктов Atlass­ian куда подальше.