KubeHound – новый инструмент, который поможет определить вам возможные attack path в вашем Kubernetes кластере.

Принцип работы тулзы довольно прост: сначала KubeHound собирает всю необходимую информацию через Kube API, вычисляет attack paths (Bad Pods, RBAC) от container escape до возможного lateral movement и складывает результаты в графовую БД JanusGraph. Тулза может быть полезна как для Red так и для Blue team – на данный момент инструмент поддерживает около 25 запросов, однако авторы обещают добавлять новые.

Стоит отметить, что инструмент в своём большинстве закрывает только вопросы PodSecurityStandards, и никак не учитывает при построении attack path NetworkPolicy, AppArmor и прочие нюансы, которые могут влиять на конечный attack path.

Для более глубокого погружения рекомендуем ознакомиться со следующими источниками:

- заметка в блоге
- официальный сайт утилиты

Looney Tunables: Новый недостаток Linux позволяет повышать привилегии в основных дистрибутивах

Новая уязвимость системы безопасности Linux, получившая название Looney Tunables, была обнаружена в библиотеке GNU C ld.so. Динамический загрузчик, который в случае успешного использования может привести к локальному повышению привилегий и позволить субъекту угрозы получить привилегии суперпользователя.

Уязвимость отслеживается как CVE-2023-4911 (оценка CVSS: 7.8), проблема заключается в переполнении буфера, которое возникает при обработке динамическим загрузчиком переменной окружения GLIBC_TUNABLES. Фирма по кибербезопасности Qualys, которая раскрыла подробности ошибки, заявила, что она была введена в качестве фиксации кода, сделанной в апреле 2021 года.

Библиотека GNU C, также называемая glibc, является базовой библиотекой в системах на базе Linux, которая предлагает базовые функции, такие как open, read, write, malloc, printf, getaddrinfo, dlopen, pthread_create, crypt, login и exit.

Динамический загрузчик glibc является важнейшим компонентом, который отвечает за подготовку и запуск программ, включая поиск необходимых зависимостей от общих объектов, а также загрузку их в память и связывание во время выполнения.

Уязвимость затрагивает основные дистрибутивы Linux, такие как Fedora 37 и 38, Ubuntu 22.04 и 23.04 и Debian 12 и 13, хотя другие дистрибутивы, вероятно, уязвимы и могут быть использованы. Одним из заметных исключений является Alpine Linux, который использует библиотеку musl libc вместо glibc.

"Наличие уязвимости переполнения буфера в обработке динамическим загрузчиком переменной окружения GLIBC_TUNABLES создает значительные риски для многих дистрибутивов Linux", - сказал Саид Аббаси, менеджер по продуктам в Qualys Threat Research Unit.

"Эта переменная среды, предназначенная для тонкой настройки и оптимизации приложений, связанных с glibc, является важным инструментом для разработчиков и системных администраторов. Его неправильное использование в широком смысле влияет на производительность, надежность и безопасность системы".

В рекомендации, выпущенной Red Hat, говорится, что локальный злоумышленник может воспользоваться этим недостатком, чтобы использовать злонамеренно созданные переменные окружения GLIBC_TUNABLES при запуске двоичных файлов с разрешением SUID для выполнения кода с повышенными привилегиями.

Это также обеспечило временное смягчение, которое, когда включено, завершает любую программу setuid, вызываемую с помощью GLIBC_TUNABLES в среде.

Looney Tunables является последним дополнением к растущему списку недостатков повышения привилегий, которые были обнаружены в Linux за последние годы, включая CVE-2021-3156 (Baron Samedit), CVE-2021-3560, CVE-2021-33909 (Sequoia) и CVE-2021-4034 (PwnKit), это может быть использовано в качестве оружия для получения повышенных прав.
https://thehackernews.com/2023/10/looney-tunables-new-linux-flaw-enables.html

https://github.com/ggb0n/CVE-2023-44962

CVE-2023-44962:
Uploading archive files containing symbolic links in upload-cover-image*pl can leak some of the content of the linked files

͏Мы часто говорим, что обновлять необходимо не только компьютеры и мобильные устройства, но и устройства Интернета вещей и компьютерную периферию. Ведь они защищены зачастую гораздо хуже, а использовать их в качестве точки проникновения в офисную или домашнюю сеть хакеры научились уже давно.

Прекрасную иллюстрацию этого предоставила исследовательская команда Devсore.

Каждый год в мире происходит большое количество мероприятий, посвященных информационной безопасности. Кроме традиционных конференций распространение получили также своеобразные соревнования по этичному хакингу, где разные команды исследователей демонстрируют свое мастерство путем взлома за отведенное время различных программ и устройств.

В позапрошлом году на подобном соревновании Pwn2Own Austin 2021 представители Devcore за отведенное время с использованием найденных ими уязвимостей нулевого дня взломали три модели принтеров различных производителей - Canon ImageCLASS MF644Cdw, HP Color LaserJet Pro MFP M283fdw и Lexmark MC3224i. Взлом был осуществлен через беспроводную сеть. В результате все три атакованных устройства были взяты под контроль со стороны этичных хакеров.

Как они могли действовать дальше? Например, перехватывать конфиденциальную информацию, которую отправляли на печать через этот принтер. Или закрепиться на нем, провести разведку и осуществить дальнейший взлом компьютеров, которые подключены в эту же беспроводную сеть.

Разумеется, все ошибки в прошивках принтеров, которые использовались во время того взлома, давным-давно закрыты производителями. Именно поэтому сейчас Devcore опубликовали технические подробности проведенных атак. Ведь все пользователи, которые используют взломанные модели принтеров Canon, HP и Lexmark, за прошедшие с Pwn2Own Austin 2021 два года успели обновить их прошивки и закрыли таким образом соответствующие уязвимости.

Или нет?

#meme #cyber_security

https://github.com/LuemmelSec/CVE-2023-29357

а шаблон нукли вобще могёт - можно выгрузить всех пользователей с шарепоинта, kek

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2023/CVE-2023-29357.yaml

Комиссия по ценным бумагам и биржам сегодня объявила об обвинениях против компании-разработчика программного обеспечения SolarWinds Corporation и ее главного сотрудника по информационной безопасности Тимоти Г. Брауна в мошенничестве и сбоях внутреннего контроля, связанных с якобы известными рисками и уязвимостями кибербезопасности. В жалобе утверждается, что, по крайней мере, с момента первичного публичного размещения акций в октябре 2018 года и по крайней мере до объявления в декабре 2020 года о том, что компания стала объектом масштабной, длившейся почти два года кибератаки, получившей название “SUNBURST”, SolarWinds и Brown обманывали инвесторов, завышая показатели кибербезопасности SolarWinds и занижая или не раскрывая известные риски. В своих заявлениях в SEC за этот период SolarWinds якобы ввела инвесторов в заблуждение, раскрывая только общие и гипотетические риски в то время, когда компания и Браун знали о конкретных недостатках в практике кибербезопасности SolarWinds, а также о растущих рисках, с которыми компания сталкивалась в то же время.

Как утверждается в жалобе, публичные заявления SolarWinds о своих методах обеспечения кибербезопасности и рисках противоречили ее внутренним оценкам, включая презентацию 2018 года, подготовленную инженером компании и распространенную внутри компании, в том числе с Брауном, о том, что настройка удаленного доступа SolarWinds была “не очень безопасной” и что кто-то использовал уязвимость “в принципе, может делать все, что угодно, без нашего обнаружения, пока не станет слишком поздно”, что может привести к “серьезным репутационным и финансовым потерям” для SolarWinds. Аналогичным образом, как утверждается в жалобе SEC, в презентациях Брауна за 2018 и 2019 годы говорилось, соответственно, что “текущее состояние безопасности оставляет нас в очень уязвимом состоянии для наших критически важных активов” и что “доступ и привилегии к критически важным системам / данным неуместны”.

Кроме того, в жалобе SEC утверждается, что многочисленные сообщения между сотрудниками SolarWinds, включая Брауна, в течение 2019 и 2020 годов ставили под сомнение способность компании защитить свои критически важные активы от кибератак. Например, согласно жалобе SEC, в июне 2020 года, расследуя кибератаку на клиента SolarWinds, Браун написал, что “очень беспокоит” тот факт, что злоумышленник, возможно, хотел использовать программное обеспечение SolarWinds Orion для более масштабных атак, потому что “наши серверные системы не настолько устойчивы”; и Во внутреннем документе, опубликованном в сентябре 2020 года, которым поделились Браун и другие, говорилось: “объем проблем безопасности, выявленных за последний месяц, превысил возможности инженерных групп по их устранению”.

В жалобе SEC утверждается, что Браун был осведомлен о рисках и уязвимостях SolarWinds в области кибербезопасности, но не смог решить проблемы или, иногда, в достаточной степени поднять их в компании. В результате этих упущений компания, как утверждается, также не смогла предоставить разумных гарантий того, что ее наиболее ценные активы, включая флагманский продукт Orion, были надлежащим образом защищены.

SolarWinds раскрыла неполную информацию об атаке SUNBURST в форме 8-K от 14 декабря 2020 года, после чего цена ее акций упала примерно на 25 процентов в течение следующих двух дней и примерно на 35 процентов к концу месяца.

“Мы утверждаем, что в течение многих лет SolarWinds и Brown игнорировали неоднократные предупреждения о киберрисках SolarWinds, которые были хорошо известны всей компании и привели одного из подчиненных Брауна к выводу: ”Мы так далеки от того, чтобы быть компанией, ориентированной на безопасность", - сказал Гурбир С. Гревал, директор подразделения SolarWinds. Отдел правоприменения SEC. “Вместо того, чтобы устранить эти уязвимости, SolarWinds и Brown развернули кампанию по созданию ложной картины среды киберконтроля компании, тем самым лишив инвесторов точной существенной информации. Сегодняшнее правоприменительное действие не только обвиняет SolarWinds и Brown в введении в заблуждение инвесторов и неспособности защитить активы компании, являющиеся ”жемчужиной короны", но и подчеркивает наше послание эмитентам: применяйте строгий контроль, соответствующий вашим рискам, и сообщайте инвесторам об известных опасениях ".

В жалобе SEC, поданной в Южный округ Нью-Йорка, утверждается, что SolarWinds и Brown нарушили положения о борьбе с мошенничеством Закона о ценных бумагах 1933 года и Закона о биржах ценных бумаг 1934 года; SolarWinds нарушила положения Закона о биржах об отчетности и внутреннем контроле; а Браун способствовал нарушениям компании. В жалобе испрашивается постоянный судебный запрет, аннулирование с процентами за предвзятое отношение, гражданские штрафы и запрет должностному лицу и директору выступать против Брауна.

Расследование SEC проводилось У. Брэдли Неем, Лори Стоун и Бенджамином Брутлагом при содействии Кристофера Брукмана и Кристен Уорден из судебного отдела и контролировалось Кэролин М. Уэлшханс и Мелиссой Р. Ходжман. Судебный процесс SEC будут вести мистер Брукманн и мисс Уорден под руководством Мелиссы Армстронг.

https://www.sec.gov/news/press-release/2023-227