🖥 Наиболее интересные публикации

📰 Подходит к концу голосование за TOP 10 техник веб-хакинга в 2023. Самое время оставить свой голос, или хотя бы ознакомиться с номинантами. Там есть очень красивые кейсы 😍

📰 Разбор эпичной XSS'ки на Chess.com.

📰 Сборник PoC'ов и эксплоитов для тестирования инстансов Jenkins на наиболее опасные известные CVE.

📰 Обзор техник сокрытия вредоносного кода в исходниках.

📰 Туториал по использованию библиотеки Harmony для перехвата вызовов .NET-приложений.

📰 Забавный рассказ о том, что можно сделать с гостиничным айпадом в kiosk-моде, если стало совсем скучно ✍️

📰 Душераздирающее эссе с призывом писать более компактный код. Но заслуживает внимания хотя бы потому, что именно в избыточности автор видит проблемы безопасности современных приложений.

📰 Аналитика от 🟥 по отличиям CVSS v4.0 от предыдущих версий.

📰 Обзор текущего состояния безопасности C/C++ приложений от разработчиков KasperskyOS. Из одного только названия следует, что для чтения комментариев стоит запастись изрядным количеством попкорна.

Разборы CVE:

🐛 CVE-XXXX-XXXXX * 2 (в статье номера CVE вероятно указаны ошибочно, речь про Command Injection через Jailbreak и SQLi в DLP от GTB);

🐛 CVE-2024-23897 (чтение произвольных файлов в Jenkins).

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-23339, обнаруженная в наборе утилит hoolock до версии 2.2.1, приводит к Prototype Pollution. Проблема заключалась в том, что ряд функций позволяли изменять поля объектов, включая свойства прототипов. В исправлении при установке значения для поля была добавлена функция setSafeProperty , которая проверяет наличие собственного поля у объекта с использованием функции hasOwnProperty, и предотвращает установку поля у прототипа.

🐛 CVE-2024-23345, выявленная в платформе Nautobot до версии 1.6.10 и 2.1.2, приводит к Cross-site Scripting (XSS). Уязвимость обусловлена попаданием недоверенных пользовательских данных без предварительной санитизации в html-код при рендере Markdown. В исправлении html-код после рендера Markdown пропускается через санитизирующую функцию nautobot_logging.clean_html(html), в которой используется функция nh3.clean, реализующая санинизацию данных на основе “белых” списков тегов и атрибутов.

🐛 CVE-2024-22203, найденная в поисковом движке Whoogle Search до версии 0.8.3 (включительно), приводит к Server-Side Request Forgery (SSRF). В данном приложении существовала возможность попадания недоверенных пользовательских данных из состава параметров запроса (’url’, ‘type’) в состав URL формируемого GET-запроса. Для исправления разработчики реализовали проверку домена на его корректность (функция validators.domain()) в составе URL перед формированием GET-запроса.

🐛 CVE-2024-23648, обнаруженная в Pimcore's Admin Classic Bundle до версии 1.2.3, приводит к инъекции адреса атакующего, по которому производится отправка токена при сбросе пароля. Проблема заключалась в том, что для формирования адреса использовались данные из заголовка ‘Host’. В исправлении в процессе формирования адреса исключили использование данных из заголовка ‘Host’ и реализовали использование домена из состава конфигурационных данных.

🐛 CVE-2024-0204 в Fortra's GoAnywhere MFT до версии 7.4.1, упомянутая в наших еженедельных новостях, приводит к Authentication Bypass. Проблема позволяла неавторизованному пользователю создать пользователя-администратора через административный портал. Описание бюллетеня безопасности можно найти в security advisory. Детальный разбор уязвимости приведен в следующей статье.

Открылся прием заявок на выступления на киберфестивале Positive Hack Days 2 ☺️

В этом году PHDays Fest пройдет в «Лужниках» в Москве с 23 по 26 мая. Ждем крутых докладов по теме разработки: как от новичков, так и от профи — главное свежий взгляд на проблемы и пути их решения 👀

Темы докладов принимаются до 15 марта, будут два формата: доклад на 50 минут и короткое выступление на 15 минут.

🎤 Успеть подать заявку и узнать все подробности можно на сайте киберфестиваля.