💻 Уязвимость в библиотеке aiohttp уже привлекла внимание хакеров

🗄Исследователи предупреждают, что недавно исправленная уязвимость в Python-библиотеке aiohttp (CVE-2024-23334) уже взята на вооружение хакерами, включая вымогательские группировки, такие как ShadowSyndicate.

🗄aiohttp — это опенсорсная библиотека, построенная на основе I/O фреймворка Asyncio и предназначенная для обработки большого количества одновременных HTTP-запросов без традиционного потокового нетворкинга. aiohttp часто используется технологическими компаниями, веб-разработчиками, бэкенд-инженерами и специалистами по анализу данных для создания высокопроизводительных веб-приложений и сервисов, объединяющих данные из множества внешних API.

🗄В конце января 2024 года aiohttp обновилась до версии 3.9.2, в которой устранили уязвимость CVE-2024-23334. Это path traversal баг, затрагивающий все версии aiohttp (начиная с 3.9.1) и старше, который позволяет удаленным злоумышленникам без авторизации получить доступ к файлам на уязвимых серверах.

🗄Проблема связана с недостаточной проверкой при установке follow_symlinks в значение True для статичных маршрутов, что позволяет получить несанкционированный доступ к файлам за пределами статичного корневого каталога сервера.

🗄В конце февраля текущего года на GitHub появился PoC-эксплоит для CVE-2024-23334, а в начале марта на YouTube было опубликовано подробное видеоруководство по эксплуатации бага.

🗄Как теперь сообщают аналитики компании Cyble, их сканеры обнаруживают попытки эксплуатации CVE-2024-23334 начиная с 29 февраля, и атаки лишь усилились в марте. В основном попытки сканирования исходят с пяти IP-адресов, один из которых ранее был отмечен в отчете Group-IB и связан с вымогательской группировкой ShadowSyndicate.

@linuxkalii

🖥 GitHub начала тестирование системы Code Scanning Autofix для обработки оповещений об уязвимостях в коде

🗄GitHub тестирует систему Code Scanning Autofix, которая сканирует код, обнаруживает в нём уязвимости и предлагает исправления. Пока поддерживается проверка кода на JavaSript, Python, TypeScript и Java.

🗄Система работает на базе CodeQL и GitHub Copilot. Code Scanning Autofix обнаруживает ошибки, подсвечивает их, объясняет на естественном языке и предлагает исправленный вариант. Разработчик может принять предложение или попробовать всё исправить самостоятельно. Система может вносить правки сразу в несколько файлов, если ошибка выходит за пределы текущего файла.

🗄Инструмент в тестовом режиме доступен клиентам GitHub Advanced Security. Отмечается, что система в 7 раз ускоряет поиск уязвимостей и ошибок в коде. Кроме того, это добавляет дополнительный слой безопасности. Сперва разработчики проверяют код в IDE, а потом Code Scanning Autofix ещё сканирует его в GitHub.

🗄 Youtube

@linuxkalii

🖥 Formcrawler: This script Crawls the website and finds the URLs that contain html forms.

Этот скрипт может сканировать веб-сайты и находить все ссылки, содержащие HTML-формы.

Очень полезно, чтобы находить формы для Blind XSS.

Blind XSS (Слепая XSS) — уязвимость, при которой хакер может внедрить скрипт на страницу, но не может увидеть его непосредственное выполнение.

Это может произойти, если веб-приложение выполняет обработку информации перед запуском протоколов безопасности, скрипт выполняется и может повлиять на других пользователей и инстурменты или нанести вред все системе.

⚙️Github

@pythonl

💻 На Pwn2Own исследователи заработали 732 000 долларов и в очередной раз взломали Tesla

🗄 В первый день хакерского соревнования Pwn2Own Vancouver 2024 участники суммарно заработали 732 500 долларов и продемонстрировали 19 уязвимостей нулевого дня, успешно скомпрометировав Tesla Model 3 (которую исследователи теперь забирают себе), Windows 11, Ubuntu Linux и не только.

🗄В рамках Pwn2Own Vancouver 2024 ИБ-эксперты взламывают полностью пропатченные продукты в следующих категориях: веб-браузеры, облачные/контейнерные технологий, виртуализация, корпоративные приложения, серверы, локальное повышение привилегий, корпоративные коммуникации и автомобили.

🗄Общий призовой соревнования в этом году составляет 1,3 млн долларов, как наличными, так и вещественными призами, включая уже упомянутую Tesla.

🗄Лидером первого дня с большим отрывом стала команда Synacktiv, которая забрала Tesla Model 3 и 200 000 долларов, за демонстрацию взлома ЭБУ Tesla с Vehicle (VEH) CAN BUS Control менее чем за 30 секунд с помощью проблемы целочисленного переполнения. Стоит отметить, что в прошлом году Tesla Model 3 тоже успешно взломали и забрали домой именно специалисты Synacktiv.

🗄 Читать подробнее

@linuxkalii

😂 GitHub - XDeadHackerX / NetSoc_OSINT:

Инструмент, предназначенный для извлечения информации из учетной записи в различных социальных сетя, БЕЗ использования API и БЕЗ ограничений.

▪Github

@linuxkalii

💻 Критическая уязвимость NFS-сервера

🗄В реализации NFS-сервера, применяемого в BSD-системах, выявлена критическая уязвимость (CVE-2024-29937), позволяющая добиться удалённого выполнения своего кода с правами root на сервере.
Проблема проявляется во всех выпусках OpenBSD и FreeBSD, вплоть до OpenBSD 7.4 и FreeBSD 14.0-RELEASE.

🗄Детальная информация об уязвимости пока не раскрывается, известно только то, что проблема вызвана логической ошибкой, не связанной с повреждением памяти.

🗄Отмечается, что уязвимость может быть использована для атаки на системы, в которых применяется NFS. Cудя по видеодемонстрации, уязвимость позволяет получить полный доступ к корневой ФС сервера и требует для эксплуатации наличия прав для монтирования разделов по NFS.

🗄Доклад о сути уязвимости будет опубликован 18 апреля на конференции T2’24.

@linuxkalii