Архив метки: vulnerability

Про уязвимость Spoofing - Windows NTLM (CVE-2025-24054)

Добавить комментарий

Про уязвимость Spoofing - Windows NTLM (CVE-2025-24054)

Про уязвимость Spoofing - Windows NTLM (CVE-2025-24054). Эта уязвимость из мартовского Microsoft Patch Tuesday. VM-вендоры не выделяли её в своих обзорах. Было известно только то, что уязвимость эксплуатируется через взаимодействие жертвы со зловредным файлом.

Через месяц, 16 апреля в блоге Check Point вышел пост с техническими деталями. Там сообщается, что для эксплуатации этой уязвимости используются зловредные файлы…

✋ Минуточку, а ведь в мартовском MSPT была трендовая уязвимость CVE-2025-24071, связанная с такими файлами. 🤔 Выясняется, что это ТА ЖЕ САМАЯ уязвимость. 🤪 CheckPoint сообщают: "Microsoft had initially assigned the vulnerability the CVE identifier CVE-2025-24071, but it has since been updated to CVE-2025-24054". Бардак. 🤷‍♂️ Так что по технике переадресую к прошлому посту.

👾 Начиная с 19 марта, Check Point отследили около 11 кампаний направленных на сбор NTLMv2-SSP хешей, эксплуатирующих эту уязвимость.

Про уязвимость Remote Code Execution & Arbitrary File Reading - Apache HTTP Server (CVE-2024-38475)

Добавить комментарий

Про уязвимость Remote Code Execution & Arbitrary File Reading - Apache HTTP Server (CVE-2024-38475)

Про уязвимость Remote Code Execution & Arbitrary File Reading - Apache HTTP Server (CVE-2024-38475). Ошибка экранирования в модуле mod_rewrite приводит к удалённому выполнению кода или чтению произвольных файлов. Для эксплуатации не требуется аутентификация.

🔻 Версия Apache HTTP Server 2.4.60 с исправлением этой уязвимости вышла 1 июля 2024 года. Уязвимость была обнаружена исследователем Orange Tsai из компании DEVCORE. 9 августа 2024 года он опубликовал write-up и слайды с BH2024. С 18 августа 2024 года PoC эксплоита доступен на Github.

🔻29 апреля 2025 года стало известно, что уязвимость CVE-2024-38475 активно эксплуатируется для компрометации шлюзов безопасного доступа SonicWall SMA. WatchTowr Labs расписали в своём блоге, как уязвимость позволяет читать файл базы SQLite с активными сессиями. 1 мая уязвимость добавили в CISA KEV.

Естественно, эта уязвимость может "всплыть" далеко не только в решениях SonicWall. 😏

KEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживую

Добавить комментарий

KEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживую
KEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживуюKEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживуюKEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживуюKEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживуюKEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживую

KEVintel - новый агрегатор уязвимостей с признаками эксплуатации вживую. Анализируют 50 публичных источников, включая CISA KEV и фиды люксембургского CERT CIRCL, а также данные собственных сенсоров. Помимо признаков эксплуатации вживую, на странице уязвимости отображаются данные из CVE Org, EPSS, упоминания в Интернете, правила детектирования в сканерах (например, nuclei), потенциальные публичные эксплоиты и прочее.

Фид KEVintel можно выгрузить в виде JSON или CSV. Удобно для интеграций, планирую приделать к Vulristics. 😉 Но, к сожалению, в выгрузках сейчас доступны не все данные, отображающиеся на странице уязвимости. 🤷‍♂️ На сайте они намекают на "pro features". Возможно расширенный фид и будет такой платной фичей.

Апрельский Linux Patch Wednesday

Добавить комментарий

Апрельский Linux Patch Wednesday

Апрельский Linux Patch Wednesday. Всего уязвимостей: 251. 👌 164 в Linux Kernel. Уязвимостей с признаками эксплуатации вживую нет. Есть 7 уязвимостей с признаком наличия публичного эксплоита.

Для 2 уязвимостей есть подробно описанный эксплойт на GitHub. Обе они в первый раз исправлены в пакетах репозитория RedOS:

🔸 SQL injection - Exim (CVE-2025-26794)
🔸 Code Injection - MariaDB (CVE-2023-39593)

Для Memory Corruption - Mozilla Firefox (CVE-2025-3028), согласно NVD, эксплойт должен быть в багтреккере Mozilla, но к нему закрыт доступ. 🤷‍♂️

Для 4 уязвимостей есть публичные эксплоиты по данным БДУ ФСТЭК:

🔸 Information Disclosure - GLPI (CVE-2025-21626)
🔸 Security Feature Bypass - GLPI (CVE-2025-23024)
🔸 Denial of Service / Remote Code Execution - Perl (CVE-2024-56406)
🔸 Memory Corruption - Libsoup (CVE-2025-32050)

🗒 Полный отчёт Vulristics

Про уязвимость Elevation of Privilege - Windows Process Activation (CVE-2025-21204)

Добавить комментарий

Про уязвимость Elevation of Privilege - Windows Process Activation (CVE-2025-21204)

Про уязвимость Elevation of Privilege - Windows Process Activation (CVE-2025-21204). Уязвимость из апрельского Microsoft Patch Tuesday. VM-вендоры не выделяли её в своих обзорах. Это уязвимость в компоненте Windows Update Stack. Она связана с неверным определением ссылки перед доступом к файлу (CWE-59).

🔻 14 апреля исследователь Elli Shlomo (CYBERDOM) выложил техническое описание уязвимости и код эксплоита для получения привилегий SYSTEM. Однако 27 апреля, после сообщений о неработоспособности эксплоита, он его удалил, пообещав доработать. 🤔 Эксплуатабельность пока под вопросом.

🔻 22 апреля исследователь Kevin Beaumont сообщил, что исправление этой уязвимости, связанное с созданием папки приводит к новой уязвимости отказа в обслуживании, позволяющей пользователям без привилегий администратора блокировать установку обновлений безопасности Windows. В Microsoft ему ответили, что оперативно исправлять это не будут. 🤷‍♂️ Пока стоит решать это настройкой мониторинга.

PCI DSS 4.0.1 и управление уязвимостями

Добавить комментарий

PCI DSS 4.0.1 и управление уязвимостями

PCI DSS 4.0.1 и управление уязвимостями. Провёл сегодня закрытый вебинар для ИБ-специалистов из банков СНГ про управление уязвимостями в контексте актуального PCI DSS v4.0.1 (вышел в июне 2024, обязателен с 31 марта 2025).

Расклады там следующие:

🔹 Привычные квартальные сканы периметра силами ASV-провайдеров остаются ().

🔹 Также нужно сканировать внутрянку не реже раза в квартал (), 🆕 делать это обязательно с аутентификацией (). Сканить можно самим без привлечения QSA/ASV, но не должно быть конфликта интересов - админам поручать сканирование их же систем нельзя ().

🔹 Непосредственно в документе устанавливаются срок устранения критичных уязвимостей - месяц (). Для других уровней исправлять "within an appropriate time frame" в соответствии с политиками организации.

🔹 Игнорировать некритичные уязвимости нельзя. Ко всем нужно регулярно обращаться и отслеживать изменение критичности ().

Начался приём заявок на ежегодную премию Pentest Award от Awillix

Добавить комментарий

Начался приём заявок на ежегодную премию Pentest Award от Awillix

Начался приём заявок на ежегодную премию Pentest Award от Awillix. Подать заявку можно до 30 июня. Победителей наградят 1 августа. Помимо статуэток подарят технику Apple (ноут, смарфон, часы) , а также спец-призы от спонсоров BIZONE и CyberEd.

Жюри будут оценивать заявки по полноте описания и пруфам, сложности эксплуатации, использованию нестандартных подходов, качеству рекомендаций по устранению уязвимостей и субъективному вау-эффекту. 🙂 Интересны необычные подходы, ресерчи и методики. Чувствительные данные можно не раскрывать.

Номинации:

🔻 Пробив web
🔻 Пробив инфраструктуры
🔻 Мобильный разлом: от устройства до сервера
🔻 Девайс
🔻 «**ck the logic»
🔻 «Раз bypass, два bypass»
🔻 «Ловись рыбка» (фишинг)
🔻 Out of Scope ("нестандартные offensive-находки и открытия")

🔹 Антиноминация: Осторожно грабли ("самые ценные неудачи и полезные уроки в сфере ИБ")

Как и в прошлом году, собираюсь отслеживать и подсвечивать интересное. 😏