💣 Цепочка уязвимостей pre-auth RCE в SolarWinds Web Help Desk 💣

Подробный write-up от коллег из horizon3.ai по аудиту безопасности Service Desk решения от SolarWinds (написано на Java)

В статье:

— 📚 учитывают контекст предыдущих уязвимостей в ПО - были вшитые креды и болезненная история с патчем небезопасной десериализации

— 📚 расписывают базу по старенькому Java веб-фреймворку - Java WebObject, на базе которого построен веб-интерфейс ПО

— 💣 нашли тривиальную ошибку - захардкоженные креды демонстрационного пользователя client 🤦. Пользователь низко привилегированный

— 💣 нашли обход авторизации в Java-фильтрах, вызванный, как обычно, кривой whitelist/blacklist проверкой путем поиском подстроки в строке

— 🧠💣 в одном из обработчиков, доступных за счет обхода авторизации, нашли мощный в контексте фреймворка Java WebObjects примитив инстанциирования в сеансе Web-объекта по имени страницы. Это дало доп.примитив обхода проверок авторизации на промежуточных

🔽🔽🔽

🔼🔼🔼

— 💣 нашли в одной в одном из Web-объектов использование небезопасной десериализации, которое исторически уже патчилось. Но патчи исследователям обойти удалось, успешно построили RCE-гаджет

Из этой истории с SolarWinds Web Help Desk видно, что стоит уделять время подробному анализу истории уязвимостей и их исправления в ПО на первых этапах аудита. А также полезно разбираться в технологическом стеке ПО, т.к. важная связка в цепочке здесь появилась за счет понимания механизмов работы WebObjects

URL: статья

TTR: 15 мин

#vuln #chain #logical #hardcodedcreds #authbypass #insecuredeserialization #java

Скоро и зима заканчивается)

💣 Write-up по обходу патчей pre-auth RCE цепочки в Samsung MagicINFO 🧵

Качественный write-up от коллеги из 🇲🇽. Подробно расписывает ресерч сервера управления трансляцией на удаленные дисплеи от Samsung - Samsung MagicINFO. Это жирный Java сервер с SOAP API

В статье:

— 🧠 четко структурирован ход изложения, который, по идее, демонстрирует ход и методологию исследования автора - декомпозиция на под задачи для достижения RCE в рамках pre-auth скопа. Горизонтальные движения для поиска новых примитивов, когда для решения задачи пришлось выйти из pre-auth скопа

— автор разреверсил исправления 1-day цепочки, позволяющей внедрить подконтрольного FTP- пользователя и загрузить нагрузку для небезопасной десериализации в файловую систему сервера

— 💧🪨 автор уперся в требования админской учетки с недофолтной конфигурацией при построение новой цепочки, обходящей патч 1-day

🔽🔽🔽

🔼🔼🔼

— 💣 нашел уязвимость вшитых админских учетных данных для обхода требования аутентификации

— 🧠 в статье по ходу исследования автор подмечает ряд менее критичных недостатков / уязвимостей в ПО

По итогу получилась pre-auth RCE в обход патча 1-day. Но, скорее всего, не снято требование к недефолтной (облачной) конфигурации

URL: статья

TTR: 20 мин

#vuln #onedayanalysis #bypass #rce #chain #insecuredeserialization

💣 Уязвимость небезопасной десериализации в "подписанном" Cookie 🧵

Интересный write-up от коллег из SearchLight (🇺🇸) по уязвимости небезопасной десериализации в SSO компоненте пакета ПО OpenText - OpenText Directory Services. ПО написано на Java

В статье:

— 🧠 приводят аргументы по приоритезации данного таргета - входная точка для self-hosted офисного софта

— 📚 расписана базовая методика поиска вширь случаев небезопасной десериализации, с которой авторы быстро подсветили будущую уязвимость

— 💣 нагрузка в функцию десериализации идет из подписанное с помощью ключезввисимого хеша Cookie-значения, но нашлась возможность контролировать нагрузку за счет smuggling-а пейлода в доверенном, подписанном значении (за счет ошибки в логике разбиения подписанного Cookie на IV, подпись и значение, там контролировалась граница между IV и полезными данными)

🔽🔽🔽

🔼🔼🔼

— 🧠 подробно расписано решение задачи достижения небезопасной десериализации с подконтрольным пейлодом, в рамках которого авторы разбирали особенности формата сжатия Deflate

— 🤹 точно не утверждается, что ошибка не требует аутентификации, но из контекста похоже, что pre-auth. Также авторы довели PoC до рабочего состояния только с самым простым гаджетом десериализации, а не ч полноценным RCE-гаджетом

Интересный кейс, где для написания триггера простой с первого взгляда баги пришлось писать антисжималку deflate

TTR: 30 мин

URL: статья

#vuln #java #logical #insecuredeserialization

💣 Post-auth RCE в MariaDB 💣

Подробный write-up по ошибке переполнения буфера на куче с ограничением на нагрузку (JSON-строка) в СУБД MariaDB

В статье:

— 🤹 в начале статьи реклама Xint AI-платформы и Wix ЦОДа. По статье непонятно насколько значимый был вклад LLM, т.к. sink тривиальный, вся хитрость в примитивах эксплуатации до RCE

— 💣 расписан базовый root cause - переполнение динамического буфера на куче за счёт копирования в него большего кол-ва байт без расширения

🔽🔽🔽

🔼🔼🔼

— 💥🧠 расписана многоходовочка по эксплуатации ошибки в обход ограничения (можно в переполнение использовать только ASCII-символы валидной JSON-строки):

1. Причесывают кучу для гаджета arbitrary write через директиву SET (установка переменных MySQL)

2. Переписывают фрагменты адреса в гаджете для near arbitrary memory write

3. Данными из SET без ограничений переписывают полноценный адрес (используют цепочки MySQL операций с CONCAT-функцией)

4. Через arbitrary memory write повышают права до суперпользователя (выставляют все биты в маске привилегий объекта сеанса)

5. От суперпользователя чтением proc/mem снимают ASLR

6. Со снятым ASLR через arbitrary memory write переписывают путь до директории плагинов (на /tmp)

7. Штатными примитивами админа MySQL внедряют в /tmp SO-плагин

8. От админа погружают его

9. ...

10. Post auth RCE

URL: статья

TTR: 10 мин

#vuln #binary #heapbof #mariadb

💣 Authbypass в ADB-over-TLS 💣

Write-up по обходу mutual TLS аутентификации в службе  ADB-отладки Android (adbd)

В статье:

— 💣 подробно расписан root cause ошибки - неккоректная интерпретация значения возврата openssl API-функции EVP_PKEY_cmp на этапе проверки доверия ключа клиента по хранилищу доверенных ключей

— 🧠 авторы провели анализ схожих 1-days и подсветили root cause как небольшой класс характерных для решений на базе openssl ошибок. Проблемы возникают из-за интерпретации служебных кодов ошибок -1, -2 (-1 - это несовпадения типа ключей) как успешного результата сравнения от функции EVP_PKEY_cmp. В случае adbd обход достигается за счёт представления клиентом PKEY типа отличного от RSA

— 🤹 в статье подробно не расписано, какой PKEY использует сервер после обхода проверки для установки защищенного канала связи, но судя по достижению authbypass используется подконтрольный, предоставленный по сети PKEY

🔽🔽🔽

🔼🔼🔼

— 📚 в статье авторы подробно проанализировали подверженные конфигурации, модель нарушителя и потенциальный импакт

URL: статья

TTR: 15 мин

#vuln #logical #authbypass #mutualtls #openssl #android #adbd

💣 Обход защиты от небезопасной десериализации в AMPQ-клиенте .NET 💣

Write-up по уязвимостей в библиотеке Apache.NMS.AMQP, предоставляющей обертку над брокерами сообщений (e.g. ActiveMQ, RabbitMQ) для .NET-проектов с поддержкой передачи в сообщениях сериализованных .NET-объектов

В статье:

— 🎯 расписан вектор атаки: подконтрольный брокер сообщений либо возможность публикации сообщений в очередь подверженного уязвимости клиента

— 🧰 предоставлен докерезированный экспериментальный стенд, демонстрирующий эксплуатацию уязвимости

🔽🔽🔽

🔼🔼🔼

— 💣 провнализирован root cause уязвимости - отсутствие проверки на null в фильтре разрешенных типов для десериализации в конфигурации по умолчанию. В купе с особенностью резолвинга типов в BinaryFormatter это позволяет обойти проверку в фильтре и при этом достичь привязки к типу гаджета при второй попытке резолвинга во внутрянке BinaryFormatter:

1. В подконтрольном нарушителю потоке байт на десериализацию указывается корректный тип, но неверный идентификатор .NET- библиотеки

2. На уровне binder-а в качестве типа приходит null, т.к. поиск типа проводится с учетом имени библиотеки

3. 💥 уязвимый binder не отбрасывает null и возвращает это значение во внутрянку BinaryFormatter

4. BinaryFormatter выполняет вторую попытку резолвинга с учетом только типа, без привязки к конкретной библиотеки (глобальный поиск по всем подгуженным в runtime .NET-типам)

5. Гаджет десериализации без привязки к сборке находится и второй раз BindToType из фильтрующего binder-а не вызывается

6. Достигается десериализация гаджета 💣💥

— 🤹 в PoC авторы используют не боевой гаджет, а свой уязвимый класс-гаджет, который вшивают в уязвимое приложение 🤔. С чем это связано подробно не расписывают, возможно что-то не договаривают по эксплуатиоуемости ошибки (тестируют они вроде на .NET 5)

— 📚 упоминают, что Microsoft в .NET 5 сделали kill-switch, отключающий по умолчанию BinaryFormatter при сборке проектов. Но уязвимый проект явно включил обратно поддержку

В .NET 9, 10 Microsoft еще дальше пошли, кстати. Они вырезали BinaryFormatter из стандартной библиотеки. Теперь помимо отключения kill-switch в конфиге проекта нужно явно установить .NET- библиотеку, в которую они вынесли BinaryFormatter

URL: статья

TTR: 10 мин

#vuln #logical #insecuredeserialization #dotnet #binaryformatter #bypass

💣 Event storm to EDR bypass 🧵

Подробный write-up по вектору локальной атаки на сенсоры антивирусов (EDR-систем) генерацией большого числа событий с целью временного "ослепления" сенсора. Автор демонстрирует уязвимость такого типа в Trend Micro deep security agent под Linux

В статье:

— 📚 write-up очень детальный и хорошо структурированный. Описана модель нарушителя, рассмотрен потенциальный impact

— 💣 проведен анализ root cause (не полностью успешный). Здесь автору повезло, что Trend Micro символы не вырезали у бинарей. Но полностью на уровне кода причину ошибки - перезагрузку kernel-модулей сбора событий автор не дореверсил. Увидел наличие логики ограничения потребления ресурсов (throttling)

🔽🔽🔽

🔼🔼🔼

— 🧰💥 расписаны некоторые детали разработки PoC, демонстрирующего impact ошибки - внедрение файлов на защищаемый узел в обход EDR за счёт временного вывода из строя сенсора агент в результате throttling-а легитимных событиц

URL: статья

TTR:
- 5 мин (только tl:dr)
- 30 мин (full статья)

#vuln #logical #dos #eventstorm #edr #bypass #trendmicro

🧰 SCA — утилита автоматизации разметки поверхности атаки веб-приложений 🧰

Средство автоматического обхода обработчиков веб-приложений, написанных на PHP, с целью сбора подконтрольных параметров для дальнейшего аудита безопасности

Функционал:

— 🧱 сбор используемых при обработке HTTP-запроса параметров с помощью инстроментации PHP-кода (на базе uopz)

— 🧱 сбор покрытия по коду с привязкой к HTTP-запросам (на базе XDebug)

— 🎯 модули перебора значений для собранных параметров (parameter fuzzing): на базе словаря и контекстлзависимый по константам из трассы обработки запроса

— поддержка построения поверхности атаки для авторизованного пользователя за счет модулей аутентификации

— экспорт для визуализации поверхности атаки в VSCode (за счет расширений Coverage Gutters и code review)

— 💻 модульная архитектура с возможностью расширения основных этапов построения поверхности атаки

🔽🔽🔽

🔼🔼🔼

На текущий момент поддерживается анализ ПО на PHP (проверялось на PHP 8). Инструмент удобен для быстрой приоритезации участков кода для аудита на первых этапах анализа ПО

URL: репозиторий

TTR: 5 мин

#tool #dast #php #coverage #attacksurface #automation #xdebug #uopz #sca

🔬 Adversarial-атаки на ML-модули оценки вредоносных файлов антивирусов 📡

Содержательный доклад от коллег из Spectrops на Offensive AI Con. Иследовали возможность обхода детекции ML-модулями реальных АВ (перечень вендеров не раскрывают) за счет мутации параметров, не влияющих на функционал образца ВПО

В докладе:

— 🧱 разреверсили ML-модули 5 коммерческих АВ. Извлекли компоненты формирования векторов признаков и инференса модели для дальнейших экспериментов

— 🧠 восстановили скммантику признаков (обратный feature engineering). Для верификации реализовывали собственный парсер признаков и простую ML-модель, которую прогоняли по общедоступным выборкам ВПО вместе с эмулируемыми моделями реальных АВ. Таким образом проверяли, что гипотезы о семантики признака верны — если восстановленный алгоритм извлечения выдавал схожие диапазоны значений

🔽🔽🔽

🔼🔼🔼

— 🧰 предложили классы мутаций исполняемых PE-файлов, которые не нарушают функционал. Реализованным мутатором и оптимизатором с обратной связью по вердикту ML-модулей АВ смогли успешно найти adversarial sample-ы

— 🧠 проверили гипотезу о переносимости результатов соревновательной атаки между 5 боевыми ML-моделями и докинули opensource модель, обученную на выборке EMBER. В целом переносимость результатов наблюдалась, но не сквозь все модели

Для одного из 5 нерасскрытых АВ исследователи обнаружили почти 100% совпадение с  простой моделью над EMBER 🤦‍♂. Видимо небольшой бюджет был на адаптацию ML- технологий в этом случае

URL: запись доклада
TTW: ~15 мин (x1.5)

#science #reverse #ml #edr #evasion #adversarialsamples