Архив метки: Microsoft

Давайте глянем что там в августовском Microsoft Patch Tuesday

2 комментария

Давайте глянем что там в августовском Microsoft Patch TuesdayДавайте глянем что там в августовском Microsoft Patch TuesdayДавайте глянем что там в августовском Microsoft Patch TuesdayДавайте глянем что там в августовском Microsoft Patch Tuesday

Давайте глянем что там в августовском Microsoft Patch Tuesday. 147 уязвимостей.

Urgent: 1
Critical: 0
High: 36
Medium: 108
Low: 2

Есть супер-экшн:

Remote Code Execution - Microsoft Windows Support Diagnostic Tool (MSDT) (CVE-2022-34713) - Urgent [843]. Это один из вариантов уязвимости "DogWalk". Эксплуатируется при открытии файла, обычно Microsoft Word. Т.е. залетит через фишинг. Тут и функциональный эксплоит (где-то) есть, и признак активной эксплуатации вживую. Похожую уязвимость уже фиксили в мае. То ли не дофиксили, то ли похожую нашли. Эксплоита в паблике пока нет.

Есть критичное:

Elevation of Privilege - Microsoft Exchange (CVE-2022-21980) - во первых на периметре торчит, во вторых атакующий сможет читать все письма на сервере и отправлять. Хорошо, что пока эксплоита нет. Хороший пример, что на EoP-ки тоже можно обращать внимание.

Есть потенциально интересное:

Remote Code Execution - Windows Point-to-Point Protocol (PPP) (CVE-2022-30133) - тут советуют трафик по порту 1723 поискать
Remote Code Execution - Windows Secure Socket Tunneling Protocol (SSTP) (CVE-2022-35766) - тоже не так часто в этом протоколе находят
Remote Code Execution - SMB Client and Server (CVE-2022-35804) - здесь естественно сразу вспоминают про MS17-010
Remote Code Execution - Visual Studio (CVE-2022-35827) - таких 3 и есть Proof-of-Concept Exploit, в таргетированном фишинге на разрабов может сработать?
Elevation of Privilege - Active Directory (CVE-2022-34691) - до System можно поднять права. Нужно, чтобы были запущены Active Directory Certificate Services

Есть стандартное, регулярно встречающееся в MSPT, но до реальной эксплуатации обычно не доходит:

Remote Code Execution - Windows Network File System (CVE-2022-34715)
Elevation of Privilege - Windows Print Spooler (CVE-2022-35793)

Есть курьёзы:

Vulristics внезапно подсветил уязвимость Memory Corruption - Microsoft Edge (CVE-2022-2623), потому что для неё есть публичный эксплоит. Оказалось, что тут ошибка в базах эксплоитов, сразу в двух 0day(.)today и packetstorm. Вместо CVE-2022-26233 по ошибке прописали CVE-2022-2623. И такое тоже бывает и никто это не проверяет. К слову о мнимой всесильности автоматической приоритизации уязвимостей по замусоренным данным.

Denial of Service - Microsoft Outlook (CVE-2022-35742) - вредоносное письмо намертво убивает Outlook, рестарт не помогает

Есть загадочное:

CERT/CC: CVE-2022-34303 Crypto Pro Boot Loader Bypass
CERT/CC: CVE-2022-34301 Eurosoft Boot Loader Bypass
CERT/CC: CVE-2022-34302 New Horizon Data Systems Inc Boot Loader Bypass

Во-первых они пришли по линии американского CERT Coordination Center. Во-вторых, по ним никто ничего не пишет, только Qualys. "security bypass vulnerabilities in a third-party driver affecting Windows Secure Boot". В-третьих, может это конечно совпадение и речь о других софтах, но Crypto Pro это не российский ли КриптоПро? А Eurosoft это не российский ли Еврософт "программное средство в области архитектурного проектирования и дизайна"? В общем, сигнальчик любопытный.

Полный отчет Vulristics: https://avleonov.com/vulristics_reports/ms_patch_tuesday_august2022_report_with_comments_ext_img.html

Microsoft анонсировали Defender External Attack Surface Management

3 комментария

Microsoft анонсировали Defender External Attack Surface Management. Честно говоря, сначала я подумал, что "EASM" это какое-то изобретение майкрософтовских маркетологов. Даже возмутился почему они не используют при наименовании и описании что-то более привычное, типа "периметровый сервис", "периметровое сканирование". Напридумают модных словечек, а нам голову ломай что конкретно эта новая вундервафля делает. А потом я увидел новость, что и Qualys тоже презентуют свой EASM (его тоже потом поглядим). И довольно разнообразную поисковую выдачу по "External Attack Surface Management". И понял, что это я ошибаюсь и отстал от жизни. Будем догонять. 🙂

В общем, EASM это теперь стандартное наименование для класса решений. Его ввели в обиход Gartner и определяют как в Market Guide for Security Threat Intelligence Products and Services (2021) как

"a combination of technology, processes and managed services that provides visibility of known and unknown digital assets to give organizations an outside-in view of their environment"

Ну то есть +- это наши привычные периметровые сканы с внешней площадки, когда мы действуем как атакующий (но IP-шник сканера в белый список все-таки добавляем и SOC предупреждаем 😉). Посканили порты, продетектировали сервисы, поискали уязвимости и ошибки конфигурирования в этих сервисах. Классика. Но название у этого теперь новое, будем привыкать. 🙂 Зато можно будет говорить, что занимаемся не только VM-ом, но и EASM-ом, лол.

Ну и стоит обратить внимание, что фокус этого EASM-а не на уязвимостях, а на контроле и учете активов. Чтобы неизвестное подсвечивалось и становилось известным. И это вроде тоже можно приветствовать, потому что пока нет четкого понимания какие активы у нас доступны из Интернет (а также зачем они доступны и кто за них отвечает), то нет смысла говорить о каком-то вразумительном контроле уязвимостей для них.

Но вернемся Microsoft Defender EASM. Описание на лендинге не особо вразумительное. Одни общие и красивые слова. Технических деталей минимум. Наиболее информативны там мыльные скриншоты. Давайте их разберем.

1. Real-time inventory. Вижу разные типы активов, которые удалось проинвентаризировать, в одном общем списке. Хост, IP-адрес, SSL Certificate. Для сертификата показывают дату истечения. Для IP-адреса показывают ASN и репутацию.
2. Attack surface visibility. Вижу дашборд с Observations трех уровней критичности. В этих Observations вижу CVE уязвимости, проблемы SSL сертификатов, что-то не совсем понятное "Deprecated Tech", истечение доменов. Ниже счетчики по доменам, хостам, страницам, SSL сертификатам, ASN, блокам IP-адресов, IP-адресам, контактам (тоже непонятно что именно). В целом неплохо, видно, что уязвимости оно детектит. Некоторые уязвимости помечены как "Potential", значит MS +- понимают где потенциально фолсят.
3. Exposure detection and prioritization. Вижу статистику по открытым портам, SSL конфигурациям, SSL организациям. Есть подробное описание зачем они это показывают. Хорошо.
4. More secure management for every resource. Вижу обнаруженные проблемы смапленные на OWASP Top 10 с общим описанием почему важно и как исправлять. Вроде ничего особенного, но выглядит миленько. Судя по менюшке слева там ещё есть такое же по GDPR.
5. Есть вкладка Manage -> Discovery, которую нам не показывают, но видимо там настраивается сканирование.

Что тут можно сказать. С появлением EASM/периметрового сервиса, Microsoft стали полноценным Vulnerability Management вендором. Процесс переваривания RiskIQ успешно завершился. На первый взгляд сервис выглядит прилично. Чтобы сказать точнее, нужно сравнивать с другими подобными периметровыми сервисами для одной и той же организации и оценить качество детектирования.

Ну и да, традиционное предупреждение. Microsoft нестабильный и ангажированный вендор. Если вы из России/ЕАЭС/БРИКС/ШОС использовать их продукты сейчас было бы крайне опрометчивым решением. Но подглядеть у них какие-то удачные фишечки это всегда неплохо. 😉

Про отмену SPLA лицензии Microsoft у Yandex Cloud

Добавить комментарий

Про отмену SPLA лицензии Microsoft у Yandex Cloud. Так-то было конечно предсказуемо. Продления контрактов похоже не будет, даже если ты крупная нидерландская компания с проектами по всему миру. Если всё порежут непродлением контракта, то видимо потихонечку года за 3 (например соглашение SPLA на три года заключается) всё и истечет. А могут раньше рубануть? Да могут вполне, если по формальным признакам так и вообще в любой момент, как те же Tenable.

Upd. Аналогично с SPLA лицензией VK Cloud Solutions.

Видяшечка про июльский Microsoft Patch Tuesday и про то, что Microsoft творит дичь

Добавить комментарий

Видяшечка про июльский Microsoft Patch Tuesday и про то, что Microsoft творит дичь. В принципе все то же, о чем тут писал. Ну и про репорт майкрософтовский тоже накинул немножко для затравки. 🙂

—-

Hello everyone! Microsoft has been acting weird lately. I mean the recent publication of a propaganda report about evil Russians and how Microsoft is involved in the conflict between countries. It wouldn't be unusual for a US government agency, NSA or CIA to publish such a report. But when a global IT vendor, which, in theory, should be more or less neutral, does this… This is a clear signal. It's not about business anymore.

I'll take a closer look at this report in the next episode of the Vulnerability Management news, but for now let's take a look at Microsoft July Patch Tuesday. Yes, the vendor is behaving strangely, but Microsoft products need to be patched. Right? At least for now. And tracking vulnerabilities is always a good thing. 🙂

01:32 CSRSS Elevation of Privilege (CVE-2022-22047)
04:36 RPC Remote Code Execution (CVE-2022-22038)
05:44 Microsoft Edge Memory Corruption (CVE-2022-2294)
06:55 32 vulnerabilities in Azure Site Recovery

Video: https://youtu.be/HjfxxcqWrH4
Video2 (for Russia): https://vk.com/video-149273431_456239096
Blogpost: https://avleonov.com/2022/07/23/microsoft-patch-tuesday-july-2022-propaganda-report-csrss-eop-rpc-rce-edge-azure-site-recovery/
Full report: https://avleonov.com/vulristics_reports/ms_patch_tuesday_july2022_report_with_comments_ext_img.html

Майкрософт в последнее время творят дичь, но это не повод не патчить их продукты

1 комментарий

Майкрософт в последнее время творят дичь, но это не повод не патчить их продуктыМайкрософт в последнее время творят дичь, но это не повод не патчить их продуктыМайкрософт в последнее время творят дичь, но это не повод не патчить их продуктыМайкрософт в последнее время творят дичь, но это не повод не патчить их продуктыМайкрософт в последнее время творят дичь, но это не повод не патчить их продукты

Майкрософт в последнее время творят дичь, но это не повод не патчить их продукты. Во всяком случае пока. Ну и точно не повод не смотреть их уязвимости. 🙂 Традиционная видяшка про июльский Patch Tuesday будет, но кому интересно пораньше, выкладываю репорт Vulristics. Теперь всё в первую очередь несу в тележеньку avleonovrus. 😉

Что можно сказать, приоритизация работает корректно. Сверху списка активно эксплуатируемая вживую Elevation of Privilege в Windows CSRSS (CVE-2022-22047), о которой мейнстримные медиа протрубили. Можно сразу получить привилегии SYSTEM. Публичного эксплоита пока не видно.

Дальше менее интересные уязвимости. Remote Code Execution в Remote Procedure Call Runtime (CVE-2022-22038). Тут у Microsoft есть POC эксплоита. Но вряд ли доведут до чего-то рабочего, т.к. Exploitation Less Likely.

Между июньским и июльским Patch Tuesday вышла Memory Corruption в Microsoft Edge (CVE-2022-2294), которая видимо на самом деле RCE и Google пишут, что она вживую эксплуатируется.

Ещё занимательно, что в этом Patch Tuesday больше половины всех уязвимостей это EoP. Также очень много уязвимостей в Azure Site Recovery. И EoP, и RCE, и довольно много с непубличными эксплоитами уровня зрелости POC. По описанию Azure Site Recovery это "Site Recovery is a native disaster recovery as a service (DRaaS)", казалось бы должно патчиться самими Microsoft, но на самом деле там есть установленный на хостах Microsoft Azure Site Recovery suite и как минимум часть уязвимостей это в нем. Tenable про CVE-2022-33675 пишут, что можно поднять привилегии до SYSTEM.

И тут было бы справедливо спросить: "А не ты ли, Александр, совсем недавно топил за эти самые облачные ИБ сервисы Microsoft, а теперь получается включил обратку?" 🤔

Добавить комментарий

И тут было бы справедливо спросить: "А не ты ли, Александр, совсем недавно топил за эти самые облачные ИБ сервисы Microsoft, а теперь получается включил обратку?" 🤔

Ну и предъявить прямо из моего же бложика:
1. Microsoft security solutions against ransomware and APT (самый лучший бизнес-завтрак на моей памяти - кейтеринг был прям топ 👍)
2. Microsoft Defender for Endpoint: Why You May Need It and How to Export Hosts via API in Python
3. Getting Hosts from Microsoft Intune MDM using Python
4. How to get Antivirus-related Data from Microsoft Defender for Endpoint using Intune and Graph API
5. Microsoft Defender for Endpoint: The Latest Versions of Antivirus Engine & Signatures

Разве что собственно про экспорт уязвимостей из Defender for Endpoint пост так и не запилил. Руки не дошли. 🙂

Ну и чего тут скажешь. До сих пор считаю, что Defender for Endpoint крутой, удобный продукт, хоть и не без периодически возникающих проблем. Также считаю, что использовать ИБ сервисы от вендора ОС, которому ты и так уже доверился по полной, это идея неплохая. И нашим вендорам ОС в эту сторону смотреть правильно и прогрессивно. Как и в случае с автопатчингом. Другой вопрос, а что делать, если вендор начал выписывать кренделя и доверять ему стало, мягко говоря, непросто?

Не сказать, что я об этом совсем не писал:

It will be a difficult decision to store this critical data in Microsoft cloud. Even with Microsoft’s guarantees that all the data is stored securely and they touch it with AI only.

Но конечно напирал я на эту тему недостаточно. Что поделать, 5 лет назад все выглядело сильно иначе.
¯\_(ツ)_/¯

Прочитал свежий майкрософтовский репорт, тот самый про то как они сопредельную страну защищают

6 комментариев

Прочитал свежий майкрософтовский репорт, тот самый про то как они сопредельную страну защищают. Я обычно такие темы избегаю, но тут уж никак.

1. Большая часть репорта это какая-то вода и хайли-лайкли. Читать скучно. Больше половины вообще не про атаки, а про пропаганду, в том числе какие-то странные исторические экскурсы.
2. С другой стороны тут важно не то, что написано, а то кем написано. Это не мейнстримное медиа, не NSA, не CIA, это Microsoft - глобальный IT вендор, который должен по идее быть более-менее нейтральным. И вот они теперь такие репорты выдают! Если думаете, что Microsoft негосударственный и чисто про бизнес, полистайте этот репорт. Это позиция официальнее некуда, там вступление текущим президентом Microsoft написано.
3. Из более-менее интересного по технике я увидел только то, что гос. инфру перенесли в облако и технологии MS (Defender for Endpoint?) использовали для защиты. Чуть менее чем вся техническая сторона на 9-ой странице репорта.
4. Там пишут про две важных опции безопасности. Первая это то, что Microsoft запилил им бесплатный Vulnerability Management. "The first has been the use of technology acquired from RiskIQ that identifies and maps organizational attack surfaces, including devices that are unpatched against known vulnerabilities and therefore are the most susceptible to attack." Не вполне понятно как именно это сделали. Как вариант могли просто к Defender for Endpoint подключить. Но может каким-то другим образом массово активировали сбор данных с хостов.
5. На то, что собирали именно какими-то нестандартными методами намекает вторая опция безопасности: "MSTIC recognized that XXX malware could be mitigated meaningfully by turning on a feature in Microsoft Defender called controlled folder access. This typically would require that IT administrators access devices across their organization, work made more difficult and potentially even dangerous in XXX conditions. The XXX government therefore authorized Microsoft through special legal measures to act proactively and remotely to turn on this feature across devices throughout the government and across the country." И тут не так важно, что настроили контроль доступа к папкам, а то как это сделали. Оказывается MS могут массово удаленно подкручивать опции безопасности, если правительство сопредельной страны им это разрешило. Ну надо же. А что ещё могут и где?
6. Основная озабоченность конечно в том, что продукты Microsoft, в том числе облачные средства безопасности, широко используются в российских организациях. Такие публикации подтверждают, что Microsoft вендор крайне ангажированный, нестабильный и нужно спешно с этим что-то делать.