🔫 Наши эксперты подтвердили эксплуатируемость CVE-2024-38812 и CVE-2024-38813

CVE-2024-38812 — критическая уязвимость в реализации протокола DCERPC в VMware vCenter, системе для управления виртуальными машинами VMware ESXi. Для эксплуатации атакующему достаточно лишь сетевой связности с уязвимым хостом.

CVE-2024-38813 — уязвимость, позволяющая повысить привилегии до суперпользовательских при наличии возможности исполнения кода в сервисе, использующем DCERPC.

CVE-2024-38812 позволяет записывать данные после границы буфера, располагающегося в куче, по контролируемому сдвигу. Успешная эксплуатация вкупе с CVE-2024-38813 позволяет атакующему получить привилегии суперпользователя.

Сервисы vCenter, которые используют уязвимую реализацию DCERPC:
— vmdird (TCP-порт 2012);
— vmcad (TCP-порт 2014);
— vmafdd (TCP-порт 2020).

VMware совершила первую попытку патча уязвимостей 17 сентября 2024 года, однако закрыть CVE-2024-38812 полностью не удалось. 21 октября был выпущен корректный патч, который полностью блокирует эксплуатацию.

Как защититься
Рекомендуем обновиться до версий с патчем:
— 7.0 U3t с изменениями от 21 октября 2024 года;
— 8.0 U3d.

🚀 MEPhI CTF x BI.ZONE Meetup #3

Встречаемся за пределами аудиторий МИФИ, чтобы послушать новые доклады от крутых экспертов.

С нас традиционно — уютная атмосфера и угощения, с вас — интересные вопросы спикерам.

Если у вас есть чем поделиться с миром — до 7 декабря можете подать заявку, чтобы выступить с докладом. 

Ждем всех-всех неравнодушных: как наших регулярных слушателей кружка BI.ZONE x MEPhI CTF, так и начинающих ценителей CTF. 

Спикеры пока в тайне, позже рассекретим их в отдельном посте.

Когда: 17 декабря, вторник, 17:30.

Где: московский офис BI.ZONE (ул. Ольховская, д. 4, корп. 1, 1-й этаж). 

Чтобы попасть на митап, зарегистрируйтесь и дождитесь подтверждения. Количество мест ограничено.

🚀 Делимся программой BI.ZONE x MEPhI CTF Meetup #3

Мы давно не говорили про CTF, очень соскучились по сообществу и хорошим докладам. Поэтому подготовили по-настоящему легендарный состав спикеров и тем. 

Вот какие доклады вас ждут:

🔵«Бинари на AD. Взгляд разработчика и игрока»
Георгий Кигурадзе, старший специалист по безопасности приложений, «Лаборатория Касперского»

🔵«Hitchhiker's guide to Browser Exploitation»
Теодор-Арсений Ларионов-Тришкин, независимый эксперт, участник команды Drovosec

🔵«CTF в России»
Виктор Минин, председатель правления АРСИБ

🔵«А минимальное знание вашего OWASP позволяет мне писать бездырные приложения»
Елизар Батин, старший специалист по исследованию уязвимостей, BI.ZONE

🔵«Трассировщики, которые я знал и любил»
Тимофей Мищенко, инженер по безопасности, Wildberries

До митапа осталась всего неделя. Вы еще успеваете зарегистрироваться. Ждем вас!

P. S. Количество мест ограничено.