🔍 Наиболее интересные уязвимости

🐛 CVE-2023-6395, обнаруженная в программном обеспечении Mock, которая позволяет злоумышленнику использовать повышение привилегий для RCE. Проблема заключалась в возможности исполнения кода при обработке шаблонов Jinja2. Одним из вариантов исправления при подготовке шаблона для рендера предлагается использовать jinja2.sandbox, которая позволяет перехватывать и ограничить доступ за пределы разрешенного окружения.

🐛 CVE-2024-22191, найденная в фреймворке создания admin-панели AVO до версии 2.47 и 3.3.0 , приводит к Cross-Site Scripting (XSS). При редактировании страницы проекта существует возможность внедрения payload атакующего, который будет встраиваться в код страницы при его дальнейшем отображении. Для исправления разработчики добавили функции санитизации DOMPurify.sanitize() для полей, через которые была возможность встраивания payload.

🐛 CVE-2024-22212, выявленная в Nextcloud Global Site Selector до версии 1.4.1, 2.1.2, 2.3.4 или 2.4.5, приводит к обходу аутентификации. Уязвимость обусловлена ошибкой в логике аутентификации пользователя, которая позволяла пользователю аутентифицироваться с пустым паролем. В исправлении была изменена логика проверки наличия пароля и при его отсутствии аутентификация не производится.

🐛 CVE-2024-22419, найденная в Vyper до версии 0.3.10 (включительно), приводит к Buffer Overflow. Для исправления разработчики ввели буфер ограниченной длины относительно максимально возможной.

🐛 CVE-2023-22527, выявленная в Confluence Data Center and Server до версии 8.5.4 и Confluence Data Center до версии 8.6.0, 8.7.1 , приводит к Remote Code Execution через инъекцию OGNL выражений. Описание бюллетеня безопасности можно найти по ссылке. Детальный разбор уязвимости приведен в следующей статье.

🖥 Наиболее интересные публикации

📰 Гайд по защите LLM-приложений от промпт-инъекций.

📰 Уроки и лабы по атакам на LLM через веб от PortSwigger.

📰 Крупное исследование на тему: "действительно ли код, написанный с помощью AI-ассистентов, менее безопасен?". Спойлер: да (пока) 👍

📰 Статья об атаке на генератор псевдослучайных чисел, на примере кейса из... игры World of Warcraft.

📰 Очень годная статья от ребят из CyberOK, о защите от «бестелесных» веб-шеллов.

📰 Краткое введение в уязвимости к атакам внедрения серверных шаблонов.

📰 Разбор криптографических техник, используемых в AsyncRAT.

📰 Подробное описание атаки на цепочку поставок TensorFlow, обнаруженной в прошлом году.

Разборы CVE:

🐛 CVE-2023-36003 (повышение привилегий в Windows XAML diagnostics API);

🐛 CVE-2023-43208 (RCE в Mirth Connect);

🐛 CVE-2024-0204 (обход аутентификации в Fortra GoAnywhere);

🐛 CVE-2023-39143 (проход пути в PaperCut).