CVE-2024-23897: Jenkins RCE

https://github.com/binganao/CVE-2024-23897

#exploit #git

SMTP Smuggling

Давно мы уже не рассматривали новые уязвимости, поэтому в сегодняшней заметке речь пойдет про SMTP Smuggling.
Тем более это не просто очередная CVE, а фактически новый вид атаки на протокол SMTP, которая позволяет спуфить адрес отправителя при рассылке фишинговых сообщений.

Согласно опубликованному исследованию SEC Consult Vulnerability Lab реализация атаки позволяет отправлять письма с любого адреса, обходя механизмы безопасности SPF, DKIM и DMARC, которые призваны обеспечить проверку аутентификации отправителя.

Суть атаки заключается в разнице имплементации протокола SMTP, когда outbound (отправитель) и inbound (получатель) SMTP серверы некорректно обрабатывают <CR><LF>.<CR><LF>" (Carriage-Return\Line-Feed aka \r\n.\r\n) в Message data, т.е тексте сообщения. Таким образом если отправить <LF>.<CR><LF> т.е \n.\r\n некоторые inbound SMTP интерпретируют это не как конец сообщения и позволяет отправить следующее сообщение от адреса другого отправителя в заголовке FROM, а так как SMTP сессия уже установлена, проверка аутентификации теперь не требуется.

Другими словами мы можем отправить письмо от имени любого пользователя почтового сервера в обход DKIM, DMARC и спам фильтров. То же самое работает если мы отправляем smugglеd сообщение с уязвимого outbound SMTP сервера в обход SPF, причем даже автоматически подтянется валидная картинка профиля (profile picture) заспуфленного почтового аккаунта.😎

Оказывается в интернете миллионы уязвимых к атаке SMTP Smuggling почтовых серверов разных компаний использующих Postfix и Sendmail, в том числе крупных публичных почтовых сервисов outlook.com, gmx.net и пр. Авторы исследования приложили максимум усилий для responsible disclosure уязвимости, но например в Cisco Secure Email Cloud Gateway багу не оценили, назвали "фичей" и патчить отказались...а этот софт использует 40k почтовых доменов, включая amazon, cisco, paypal, ebay и даже irs.gov 🙈

Таким образом, получилась очень интересная бага, отличный подробный райтап процесса исследования и крутейший пример того как можно найти новые баги в SMTP даже в 2023 году👍

https://www.youtube.com/watch?v=QG07QpLVZjI

посмотреть на вечер - про уязвимости и как Бум пьёт чай:)

A Practical Guide to PrintNightmare in 2024
#itm4n

Although PrintNightmare and its variants were theoretically all addressed by Microsoft, it is still affecting organizations to this date, mainly because of quite confusing group policies and settings. In this blog post, I want to shed a light on those configuration issues, and hopefully provide clear guidance on how to remediate them. “PrintNightmare” and “Point and Print” Unless you’ve been ...

via Itm4n Blog (author: itm4n)

Приложения для iOS используют push-уведомления для сбора данных
https://xakep.ru/2024/01/29/push-notifications-ios/

Что случилось с Рунетом?

Пользователи массово начали сообщать о сбое в работе сайтов в доменной зоне .ru.

«Нас отключили от глобальной всемирной сети? Кто-то в Роскомнадзоре опять нажал не на ту кнопку? Это тестирование работы суверенного чебурнета?».

Нет.

В доменной зоне .ru сломался DNSSEC. Если кто-то не знает что это, объясняем.

DNSSEC — это набор расширений протокола DNS, который гарантирует достоверность и целостность данных.

Солдаты НАТО и рукожопы внутри страны не причем.

А вот статья на Хабре об этом.

@cybersachok

Кто знаком с Linux знает про разнообразное семейство top-утилит (htop, iftop, iotop, mytop) в динамике показывающей изменение чего то (процессы, сеть, диск и тд).
Хотел поделиться гениальной тулзой всего за 70 строк кода превращающей вывод любой утилиты в подобие top (https://github.com/cloudflare/cloudflare-blog/blob/master/2017-06-29-ssdp/mmwatch).
Например mmwatch 'ls -l' и можно увидеть как меняется размер файлов. Или mmwatch 'iptables -vnL' и превращаем сетевой экран в top.

После 2 месяцев работы и ожидания, мой инструмент Above всё-таки оказался в Kali Linux.

Доступность инструмента на зеркалах Kali через несколько часов.

Cursed - Kali Ashes

Genre: Offensive
Subgenre: Hardening, Penetration Testing, Evasion, Sniffing
Label: xakep.ru
Release Date: 2 February 2024

Link: xakep.ru/2024/02/02/kali-hardening

A recently disclosed SSRF vulnerability (CVE-2024-21893) in Ivanti Connect Secure and Policy Secure products is now under mass exploitation.

Learn more: https://thehackernews.com/2024/02/recently-disclosed-ssrf-flaw-in-ivanti.html

Patch now to protect your organization from system takeover.

https://github.com/akto-api-security/akto

1. Ставим расширение для Burp, чтобы собрать все запросы в Akto, ходим по сайту.
2. Выбираем нужные проверки на поиск IDOR, Parameter Pollution, SQLi и других багов.
3. Выгружаем готовые отчеты c находками. Сдаем на H1, получаем профит.

Интересный опенсорсный сканер, который вместо вас вставляет кавычки в запросы к API и ищет многие уязвимости, включая OWASP Top 10 и HackerOne Top 10.

Можно описывать свои тесты в YAML, есть уже готовые модули для эксплуатации. Например, просканить все порты с помощью SSRF, как в демке https://www.youtube.com/watch?v=WjNNh6asAD0