Архив метки: Win32k

Выпустил ролик на 12 минут по итогам октября для своих англоязычных ресурсов

Добавить комментарий

Выпустил ролик на 12 минут по итогам октября для своих англоязычных ресурсов. Интенсивный и интересный месяц был. Я вышел на новую работу, активно дорабатывал Vul­ris­tics, запустил Lin­ux Patch Wednes­day (пока не получил значительного отклика, но вижу здесь перспективы), традиционно проанализировал Microsoft Patch Tues­day, разобрался с кучей других уязвимостей и даже тему с обучением VM‑у дальше продвинул. И ноябрь тоже бурно начался. Посмотрим, что в итоге выйдет. 🙂

—

Hel­lo every­one! Octo­ber was an inter­est­ing and busy month for me. I start­ed a new job, worked on my open source Vul­ris­tics project, and ana­lyzed vul­ner­a­bil­i­ties using it. Espe­cial­ly Lin­ux vul­ner­a­bil­i­ties as part of my new Lin­ux Patch Wednes­day project. And, of course, ana­lyzed Microsoft Patch Tues­day as well. In addi­tion, at the end of Octo­ber I was a guest lec­tur­er at MIPT/PhysTech uni­ver­si­ty.

00:29 Back to Pos­i­tive Tech­nolo­gies
00:59 Vul­ris­tics NVD Data Source
02:20 Vul­ris­tics Cus­tom Data Source
03:22 Lin­ux Patch Wednes­day Project
04:16 Lin­ux Patch Wednes­day Octo­ber 2023
05:49 Microsoft Patch Tues­day Octo­ber 2023
09:12 Oth­er Vul­ner­a­bil­i­ties Octo­ber 2023
10:14 Mier­com released a report "Vul­ner­a­bil­i­ty Man­age­ment Com­pet­i­tive Assess­ment"
10:54 Vul­ners pre­sent­ed AI Score v2
11:31 My Phys­Tech Lec­ture

🎞 Video
🎞 Video2 (for Rus­sia)
📘 Blog­post

Выпустил отчёт Vulristics по октябрьскому Microsoft Patch Tuesday

3 комментария

Выпустил отчёт Vulristics по октябрьскому Microsoft Patch Tuesday

Выпустил отчёт Vul­ris­tics по октябрьскому Microsoft Patch Tues­day. Что в ТОПе:

1. Mem­o­ry Cor­rup­tion — Microsoft Edge (CVE-2023–5217). Уязвимость в библиотеке lib­vpx, которая отвечает за проигрывание видео в формате VP8. Как и в недавнем случае с lib­webp, аффектит уйму софтов, но в первую очередь браузеры. Публичного эксплоита пока нет, но есть признаки эксплуатации вживую.

2. Ele­va­tion of Priv­i­lege — Skype for Busi­ness (CVE-2023–41763). По факту скорее infor­ma­tion dis­clo­sure. Неаутентифицированный злоумышленник может отправить специальный запрос на уязвимый сервер Skype для бизнеса, что приведёт к раскрытию конфиденциальной информации, которая может быть использована для получения доступа к внутренним сетям. 🤷‍♂️ Есть признаки эксплуатации вживую, публичного эксплоита нет. Для Skype for Busi­ness вышло также и несколько RCE.

3. Infor­ma­tion Dis­clo­sure — Microsoft Word­Pad (CVE-2023–36563). Пользователь открывает зловредный файл, в результате чего злоумышленник может получить NTLM хэши. Или, если у злоумышленника есть доступ к хосту, он сам может запустить зловредное ПО на хосте с тем же результатом. Выглядит опасно. Есть признаки эксплуатации вживую, публичного эксплоита нет.

4. Denial of Ser­vice — HTTP/2 pro­to­col (CVE-2023–44487). Фикс для IIS (HTTP.sys), .NET (Kestrel) и Win­dows против новой эффективной DDoS-атаки "HTTP/2 Rapid Reset". Проблема универсальная, о том, что их атаковали через "HTTP/2 Rapid Reset" сообщали на днях Ama­zon, Cloud­flare и Google, так что признаки эксплуатации вживую присутствуют.

Больше ничего в активной эксплуатации или с публичным эксплоитом пока нет. Можно ещё обратить внимание на:

🔻 20 уязвимостей Microsoft Mes­sage Queu­ing, среди которых есть и RCE.
🔻 Remote Code Exe­cu­tion — Microsoft Exchange (CVE-2023–36778). "Для успешной эксплуатации необходимо, чтобы злоумышленник находился в той же сети, что и хост Exchange Serv­er, и использовал валидные учетные данные пользователя Exchange в удаленной сессии Pow­er­Shell". Не выглядит особенно критичной, хотя "Exploita­tion More Like­ly".
🔻 Ele­va­tion of Priv­i­lege — Win­dows IIS Serv­er (CVE-2023–36434). Достигается через упрощённый брутфорс пароля. 🤷‍♂️
🔻 Пачка Ele­va­tion of Priv­i­lege в Win­dows Win32k и Win­dows Graph­ics Com­po­nent. Успешная эксплуатация уязвимости может позволить злоумышленнику получить привилегии SYSTEM.

upd. 🟥 PT относит уязвимости Infor­ma­tion Dis­clo­sure — Microsoft Word­Pad (CVE-2023–36563) и Denial of Ser­vice — HTTP/2 pro­to­col (CVE-2023–44487) к трендовым.

🗒 Vul­ris­tics report

Для EoP уязвимости CVE-2023–29336 из майского Patch Tuesday теперь есть подробный анализ и публичный эксплоит

Добавить комментарий

Для EoP уязвимости CVE-2023-29336 из майского Patch Tuesday теперь есть подробный анализ и публичный эксплоитДля EoP уязвимости CVE-2023-29336 из майского Patch Tuesday теперь есть подробный анализ и публичный эксплоит

Для EoP уязвимости CVE-2023–29336 из майского Patch Tues­day теперь есть подробный анализ и публичный эксплоит. На картинках изменение критичности в отчёте Vul­ris­tics от High к Crit­i­cal. EPSS продолжает показывать для этой уязвимости что-то абсолютно неадекватное, ну да и ладно. 🫠

Выпустил эпизод про майский Microsoft Patch Tuesday

1 комментарий

Выпустил эпизод про майский Microsoft Patch Tues­day. Первые впечатления оказались вполне верными. Добавил ещё 4 уязвимости, которые выглядят многообещающе, расширил описание и указал на пару странностей в EPSS.

———

Hel­lo every­one! This episode will be about Microsoft Patch Tues­day for May 2023, includ­ing vul­ner­a­bil­i­ties that were added between April and May Patch Tues­days. As usu­al, I use my open source Vul­ris­tics project to analyse and pri­or­i­tize vul­ner­a­bil­i­ties. I took the com­ments about the vul­ner­a­bil­i­ties from the Qualys, Ten­able, Rapid7, ZDI Patch Tues­day reviews. It's been a long time since we've had such tiny Patch Tues­day. 57 CVEs, includ­ing CVEs appeared dur­ing the month. And only 38 with­out them! 😄

Urgent
00:45 Mem­o­ry Cor­rup­tion – Microsoft Edge (CVE-2023–2033)

Crit­i­cal
01:17 Secu­ri­ty Fea­ture Bypass – Secure Boot (CVE-2023–24932)
02:55 Mem­o­ry Cor­rup­tion – Microsoft Edge (CVE-2023–2136)

High
03:11 Remote Code Exe­cu­tion – Win­dows OLE (CVE-2023–29325)
04:20 Ele­va­tion of Priv­i­lege – Win­dows Win32k (CVE-2023–29336)
05:19 Remote Code Exe­cu­tion – Win­dows Net­work File Sys­tem (CVE-2023–24941)
06:07 Remote Code Exe­cu­tion – Win­dows Prag­mat­ic Gen­er­al Mul­ti­cast (PGM) (CVE-2023–24943)
06:58 Remote Code Exe­cu­tion – Win­dows Light­weight Direc­to­ry Access Pro­to­col (LDAP) (CVE-2023–28283)
07:31 Remote Code Exe­cu­tion – Microsoft Share­Point (CVE-2023–24955)

🎞 Video
🎞 Video2 (for Rus­sia)
📘 Blog­post
🗒 Vul­ris­tics report