Архив метки: Github

Прожектор по ИБ, выпуск №16 (16.12.2023): Кружочки чёрного Несквика

Добавить комментарий

Прожектор по ИБ, выпуск №16 (16.12.2023): Кружочки чёрного Несквика

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Glob­al Dig­i­tal Space"

К сожалению, Telegram снова скинул запоротую запись конференции. 😔 Видео запись с шипением и выпадением аудио. Аудио запись убыстренная и с какими-то рассинхронами, так что в диалогах все звучат одновременно, как будто перебивают друг друга. В итоге начало эпизода кое-как нарезал. 🤷‍♂️ С 04:16 качество аудио становится нормальным, с 08:46 появляется видео. Приношу извинения от нашей дружной команды. Очень жаль, что начало получилось таким смазанным, там было весело. В следующий раз постараемся дублировать запись на нашей стороне, хотя бы в аудио. 🎙Имейте в виду, что Telegram может так косячить.

00:00 Здороваемся и смотрим статистику по просмотрам. Прошлый выпуск всего 52 просмотра набрал. Очередной анти-рекорд, но мы не сдаёмся.
00:13 RCE уязвимость в Apache Struts2 (CVE-2023–50164).
00:49 Декабрьский Microsoft Patch Tues­day
02:18 Анализ восприятия инцидентов ИБ от Hive Sys­tems
04:21 Чат с Copi­lot на базе GitHub
08:46 MITRE и модель угроз EMB3D
12:05 Угораем со статистики по инцидентам
18:13 В Москве запретили использование QR-кодов на билбордах
20:19 Мем про корпоративные новогодние подарки, обсуждаем какие нам нравятся
26:44 Мем про то, что Касперский спалил сам себя в рамках своей борьбы со сбором данных
28:19 ГРЧЦ закручивает гайки: ботам Ope­nAI могут закрыть доступ к Рунету
31:04 Прощание от Mr.X

Выпустил новую англоязычную видяшечку

Добавить комментарий

Выпустил новую англоязычную видяшечку. Так получилось, что за последний год мой англоязычный блог (а вместе с ним и ютюб канал, и подкаст) окончательно свёлся к ежемесячным обзорам Microsoft Patch Tues­day. 🤷‍♂️🤦‍♂️ А остальной контент оседал только в моих телеграмм-каналах @avleonovcom и @avleonovrus. В основном, конечно, в русскоязычном. Постараюсь эту тенденцию переломить. Теперь буду выпускать один англоязычный эпизод по итогам месяца без особого фокуса на Patch Tues­day. Так должно быть поадекватнее и повеселее. 🙂

Подумывал делать эпизоды и на русском тоже, но решил не браться, т.к. получается двойная работа. Автоматический перевод яндекс-браузером могу порекомендовать только для смеха (например, отдельностоящее "CVЕ" распознает как "CV" и переводит как "резюме"). Но планирую тащить новости из канала на обсуждение в Прожектор по ИБ. Так что русскоязычные видяшки тоже в каком-то виде будут. 🙂
___

Hel­lo every­one! This month I decid­ed NOT to make an episode com­plete­ly ded­i­cat­ed to Microsoft Patch Tues­day. Instead, this episode will be an answer to the ques­tion of how my Vul­ner­a­bil­i­ty Man­age­ment month went. A ret­ro­spec­tion of some kind.

GitHub exploits and Vul­ris­tics
00:44 PoC in Github
02:19 Vul­ris­tics vul­ners-use-github-exploits-flag

VM ven­dors updates
04:39 Qualys First-Par­ty Appli­ca­tion Risk Detec­tion and Reme­di­a­tion
06:18 Ten­able Expo­sureAI
07:23 SC Awards and Rapid7

Vul­ner­a­bil­i­ties
09:04 Anglo-Sax­on vul­ner­a­bil­i­ty lists AA23-215A
12:32 August Microsoft Patch Tues­day
14:40 Win­RAR Exten­sion Spoof­ing (CVE-2023–38831)
15:16 Juniper RCE (CVE-2023–36844)

📘 Blog­post
🎞 Video
🎞 Video2 (for Rus­sia)

Эксплойт из GitHub‑а, как правило, со временем попадает в специализированный сплойт-пак, НО НЕ ВСЕГДА!

Добавить комментарий

Эксплойт из GitHub-а, как правило, со временем попадает в специализированный сплойт-пак, НО НЕ ВСЕГДА! Эксплойт из GitHub-а, как правило, со временем попадает в специализированный сплойт-пак, НО НЕ ВСЕГДА! Эксплойт из GitHub-а, как правило, со временем попадает в специализированный сплойт-пак, НО НЕ ВСЕГДА!

Эксплойт из GitHub‑а, как правило, со временем попадает в специализированный сплойт-пак, НО НЕ ВСЕГДА!

Вот, например, Com­mand Injec­tion — SAP NetWeaver (CVE-2022–22536), которая также входит в недавний расширенный англосаксонский список. Видим, что для этой уязвимости эксплойты есть только на гитхабе. И, судя по описанию, они валидные. А если мы выпустим отчёт Vul­ris­tics с –vul­ners-use-github-exploits-flag "False", то мы эту информацию потеряем. Так что имейте в виду и используйте опцию с осторожностью. 😉

Я добавил возможность исключать ссылки на GitHub в отчётах Vulristics

1 комментарий

Я добавил возможность исключать ссылки на GitHub в отчётах Vulristics
Я добавил возможность исключать ссылки на GitHub в отчётах Vulristics

Я добавил возможность исключать ссылки на GitHub в отчётах Vul­ris­tics. Для "громких" уязвимостей, например для Zerol­o­gon (CVE-2020–1472), в отчёте бывает слишком много ссылок на GitHub, большая часть из которых с эксплойтами не связана. А автоматически понять где репозитарии с эксплойтом, а где какая-то нерелевантная ерунда, весьма сложно. Да и, как правило, не особо и нужно. Реально работающий эксплойт скорее всего попадёт в специализированные сплойт-паки, хоть и с некоторой задержкой.

Поэтому, думаю у пользователей Vul­ris­tics должна быть возможность выпустить и отчёт, содержащий максимум информации по эксплойтам (пусть и несколько замусоренный), и отчёт только с учётом сплойт-паков.

Я добавил параметр –vul­ners-use-github-exploits-flag, который может принимать значение либо True либо False. По умолчанию значение True.

Также добавил [источник] ссылки.

Ещё про PoC in GitHub

Добавить комментарий

Ещё про PoC in GitHub

Ещё про PoC in GitHub. Вот я написал, что CVE-2023–36884 там есть. Но если присматриваться, то всё не так радужно. 😐 Давайте разберём.

❌ Maxwitat/CVE-2023–36884-Scripts-for-Intune-Remediation-SCCM-Compliance-Baseline — скрипт для ремедиации
❌ deepin­stinc­t/S­tor­m0978-Rom­Com-Cam­paign — IOC‑и
❌ zerosorai/CVE-2023–36884 — утилита для ремедиации
❌ tarraschk/CVE-2023–36884-Checker — скрипт для детектирования уязвимости
❌ or2me/CVE-2023–36884_patcher — утилита для ремедиации
❌ ToddMaxey/CVE-2023–36884 — скрипт для ремедиации
❌ ridsoliveira/Fix-CVE-2023–36884 — скрипт для ремедиации
❌ raresteak/CVE-2023–36884 — информация для ремедиации

Пока нет там никакого POC‑а. 🤷‍♂️

Т.е. "PoC in GitHub" было бы уместнее называть "CVE men­tions in GitHub". Упоминания CVE-шек он подсветит, но контекст, разумеется, не покажет. Дальше только ручной анализ или какая-то хитрая автоматизированная классификация находок.

Посмотрел на гитхабе репозиторий PoC in GitHub

Добавить комментарий

Посмотрел на гитхабе репозиторий PoC in GitHub

Посмотрел на гитхабе репозиторий PoC in GitHub. Там содержатся результаты автоматизированного поиска эксплоитов для CVE уязвимостей на GitHub. В настоящий момент там PoC‑и для 4484 CVE идентификаторов. Выборочно проверил, вроде ок. Например, RCE уязвимость Office (CVE-2023–36884) из последнего Patch Tues­day там есть.

Распределение по годам:

CVE-1999-*: 4
CVE-2000-*: 4
CVE-2001-*: 10
CVE-2002-*: 14
CVE-2003-*: 6
CVE-2004-*: 9
CVE-2005-*: 7
CVE-2006-*: 13
CVE-2007-*: 18
CVE-2008-*: 21
CVE-2009-*: 22
CVE-2010-*: 25
CVE-2011-*: 27
CVE-2012-*: 39
CVE-2013-*: 64
CVE-2014-*: 128
CVE-2015-*: 144
CVE-2016-*: 185
CVE-2017-*: 323
CVE-2018-*: 407
CVE-2019-*: 504
CVE-2020-*: 684
CVE-2021-*: 747
CVE-2022-*: 739
CVE-2023-*: 340

Растёт общее число CVE-шек, растет и число эксплуатабельных CVE-шек. ⤴️ При этом никто не даёт гарантии, что PoC‑и рабочие и что там нет рикролов или малварей. Будьте осторожны.

В любом случае, это хороший источник данных для собственного фида по уязвимостям.

Выпустил эпизод про июньский Microsoft Patch Tuesday

1 комментарий

Выпустил эпизод про июньский Microsoft Patch Tues­day. В целом, совпало с первыми впечатлениями, но добавил спуфинг в OneNote и подсветил уязвимости с "Proof-of-Con­cept Exploit" в CVSS Tem­po­ral. Ну и добавил деталей, как обычно.

———

Hel­lo every­one! This episode will be about Microsoft Patch Tues­day for June 2023, includ­ing vul­ner­a­bil­i­ties that were added between May and June Patch Tues­days. This time there were only 3 vul­ner­a­bil­i­ties used in attacks or with a pub­lic exploit. And only one of them is more or less rel­e­vant.

TOP of the Vul­ris­tics report
00:38 Mem­o­ry Cor­rup­tion – Microsoft Edge (CVE-2023–3079)
01:12 Remote Code Exe­cu­tion – GitHub (CVE-2023–29007)
01:40 Spoof­ing – Microsoft OneNote (CVE-2023–33140)

02:01 10 vul­ner­a­bil­i­ties CVSS Tem­po­ral Met­rics "Proof-of-Con­cept Exploit"

No exploits or signs of exploita­tion in the wild
03:10 Remote Code Exe­cu­tion – Win­dows Prag­mat­ic Gen­er­al Mul­ti­cast (PGM) (CVE-2023–29363, CVE-2023–32014, CVE-2023–32015)
04:02 Remote Code Exe­cu­tion – Microsoft Exchange (CVE-2023–32031, CVE-2023–28310)
05:27 Ele­va­tion of Priv­i­lege – Microsoft Share­Point (CVE-2023–29357)

🎞 Video
🎞 Video2 (for Rus­sia)
📘 Blog­post
🗒 Vul­ris­tics report