🧑‍💻 Пост для тех, кто занимается программированием и любит придумывать небанальные решения даже для простых задач

На киберфестивале Positive Hack Days 2 мы проведем олимпиаду по программированию участие в которой смогут принять все желающие. Состязание пройдет 25 мая. Вас ждут задания разного уровня сложности, которые подойдут и новичкам, и гуру разработки. Темы тоже самые разнообразные: линейный и двоичный поиск, сортировки, линейные структуры данных, графы и многое другое.

Участвовать можно в онлайн- и офлайн-формате. Если хотите потренироваться, присоединяйтесь к пробным «забегам», которые пройдут онлайн 14 и 16 мая.

Ищите подробности на сайте и подавайте заявку до конца дня 23 мая, если хотите проверить собственные силы, зарядиться драйвом и показать все, на что способны.

😉 Удачи и помните: удовольствие от участия здесь точно важнее победы.

@Positive_Technologies
#PHD2

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-32982, обнаруженная в фреймворке litestar в версиях от 2.0.0 до 2.8.3, приводит к Path Traversal. Проблема заключалась в возможности злоумышленника использовать недостатки обхода пути, обеспечивая несанкционированный доступ к конфиденциальным файлам за пределами назначенных каталогов. В исправлении была добавлена нормализация получаемых путей с помощью os.path.normpath() и последующая проверка с установленным статическим значением директории.

🐛 CVE-2024-34347, выявленная в hoppscotch в версиях от 0.5.0 до 0.8.0, приводит к Command Injection. Уязвимость обусловлена возможностью злоумышленника использовать открытые ссылки на объект, чтобы выйти из песочницы и выполнить произвольные системные команды. В исправлении была добавлена поддержка библиотеки isolated-vm, которая позволяет создавать более защищенные изолированные среды для выполнения скриптов.

🐛 CVE-2024-32980, обнаруженная в Spin в версиях до 2.4.3, приводит к Externally Controlled Reference to a Resource in Another Sphere. Проблема заключалась в возможности злоумышленника влиять на формирование URL-адреса запроса через заголовок Host входящего http-запроса. В исправлении было добавлена скорректирована функция set_req_uri(), в которой исключили формирование URL-адреса на основе Host заголовка.

🐛 CVE-2024-29889, выявленная в glpi в версии 10.0.10, приводит к SQL Injection. Уязвимость обусловлена возможностью аутентифицированного пользователя воспользоваться уязвимостью SQL-инъекции в функциональной возможности поиска, чтобы изменить данные учетной записи другого пользователя и получить над ними контроль. В исправлении была добавлена санитизация значений с помощью функции Sanitizer::sanitize().

🐛 CVE-2024-34351, обнаруженная в NextJS в версии с 13.4 до 14.1.1, приводит к Server-Side Request Forgery (SSRF). Проблема заключалась в возможности злоумышленника перенаправлять запросы на стороне сервера на навязанные URL-адреса. В исправлении был изменен порядок определения адреса хоста, в приоритете стало использоваться значение из настроек среды окружения. Описание проблемы, руководство по обновлению отражены в security advisory. В статье от специалистов Assetnote содержится информация об уязвимости CVE-2024-34351.

🕚 Через час начнется тренировочная сессия

Сегодня в 11:00 ждем вас на последней тренировочной сессии перед олимпиадой. Ссылки на запись и задачи мы добавим в закрепленное сообщение.

До встречи в Толке 😉

Обзор программы секции Development предстоящего PHDays 2 и наиболее интересных докладов для разработчиков и DevSecOps'ов ✍️

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-32964, обнаруженная в lobe-chat в версиях до 0.150.5, приводит к Server-Side Request Forgery (SSRF). Проблема заключалась в возможности злоумышленника создавать вредоносные запросы, вызывающие SSRF без входа в систему. Данная уязвимость позволяла злоумышленнику взаимодействовать с сервисами внутренней сети. В исправлении была добавлена проверка получаемого адреса на принадлежность к адресам внутренней сети с помощью метода isPrivate(...) пакета node-ip.

🐛 CVE-2024-32002, выявленная в git в версии 2.45.0, приводит к Remote Code Execution (RCE). Уязвимость обусловлена возможностью злоумышленника создавать репозитории с подмодулями таким образом, чтобы использовать ошибку в Git, из-за которой его можно обманом заставить записывать файлы не в рабочее дерево подмодуля, а в .git/ каталог. В исправлении были изменены функции clone_submodule() и dir_contains_only_dotgit() путем добавления проверки существования и отсутствия каталога подмодуля, а также наличия в папке назначения только директории или файла .git.

🐛 CVE-2024-34359, обнаруженная в llama_cpp_python в версиях с 0.2.30 до 0.2.71, приводит к Server-Side Template Injection (SSTI). Проблема заключалась в возможности злоумышленника внедрения в шаблон на стороне сервера через полезную нагрузку поля Metadata при загрузке файлов с расширением .gguf. В исправлении было изменено окружение для обработки шаблонов с использованием метода ImmutableSandboxedEnvironment().

🐛 CVE-2024-34082, выявленная в Grav в версиях до 1.7.46, приводит к Arbitrary File Reading. Уязвимость обусловлена возможностью злоумышленника с низким уровнем привилегий и правами на редактирование страниц читать любые файлы сервера, используя синтаксис Twig. В исправлении функция read_file(), которая используется для чтения файлов, была внесена в "черный" список $bad_twig.

🐛 CVE-2024-22120, обнаруженная в Zabbix c версии 6.0.0 по 6.0.27, приводит к SQL-Injection. Проблема заключалась в возможности злоумышленника влиять на SQL-запрос через параметр clientip, что могло привести к повышению привилегии от пользователя до администратора. Подробная информация об CVE-2024-22120 с примерами реализации различных векторов атак, рекомендациями по обновлению содержится в официальном Security Advisory.