صفر و یک متصل شد ولی هنوز دیتانستر ها در خاموشی سر میبرند و هنوز ما در ipv4 و همچنین در #فیلترنت هستیم!
دیتاهای Cloudflare Radar رو کالبدشکافی کنیم چون واقعاً چیزهای عجیبی توشون مخفی شده. وقتی به این چهارتا اسکرینشات نگاه میکنیم، اولین چیزی که مثل یک زنگ خطر فنی صدا میکنه، نسبت غیرعادی Human به Bot هست؛ اینکه فقط ۲۴.۶٪ ترافیک انسانیه و ۷۵.۴٪ کل ترافیک رو باتها تشکیل دادن، نشون میده ما با یه فضای کاملاً ماشینی طرفیم. این موضوع وقتی جالبتر میشه که به سهم دستگاهها نگاه کنیم: ۹۰.۷٪ ترافیک از Desktop میاد و سهم موبایل فقط ۹.۳٪ هست. توی دنیای امروز که همه چیز Mobile-First شده، این عدد یعنی این ترافیک اصلاً از سمت کاربرهای عادی و روزمره نیست و بیشتر بوی دیتاسنتر، سرورها، اسکریپتهای اتوماسیون و ابزارهای مانیتورینگ رو میده.
نکتهی فنی و تحلیل دقیقتر وقتی مشخص میشه که به نمودار Traffic volume نگاه کنیم. اینجا ما یه جهش وحشتناک و خیرهکننده رو بین ۱ تا ۳ ژوئن میبینیم که تا ۲۲۰۰٪ (2.2K%) رشد نسبت به بازهی قبل رو نشون میده. این یعنی یه انفجار ترافیکی که بلافاصله بعدش سقوط کرده و به حالت نوسانی برگشته. وقتی نمودار HTTP requests رو کنارش میذاریم، میبینیم که از حوالی ۲ ژوئن، تعداد درخواستها کلاً از الگوی هفتهی قبلش (خطچین) فاصله گرفته و خیلی بالاتر رفته؛ این یعنی نه فقط حجم دیتا، بلکه تعداد دفعات فراخوانی و درخواستها هم بهشدت زیاد شده که دقیقاً با رفتار باتها و سیستمهای خودکار همخوانی داره.
اما عجیبترین بخش این گزارش، توزیع جغرافیایی هست. تمرکز ۹۴.۷ درصدی روی تهران عملاً یعنی ترافیک بقیهی استانها در حد صفر یا زیر یک درصد بوده. این یعنی ما با یه ترافیک توزیعشده و سراسری در سطح کشور طرف نیستیم؛ بلکه با یه جریان دادهی کاملاً متمرکز روبرو هستیم که یا از دیتاسنترهای پایتخت منشأ گرفته یا کل ترافیک از یک هاب مرکزی عبور داده شده. در مجموع، تحلیل فنی این دیتا به ما میگه که این اینترنت، اینترنتِ «مردم» نیست؛ این تصویرِ یه ترافیک باتسنگین (Bot-heavy)، دیتاسنترمور (Desktop-dominant) و بشدت متمرکز هست که توی بازهی زمانی اول ژوئن یه پیک غیرعادی رو تجربه کرده و بعدش هم الگوی نوسانیِ بالایی رو نسبت به هفتههای قبلش حفظ کرده. این دقیقاً همون چیزیه که وقتی یه سیستم خودکار یا یه زیرساخت خاص فعال میشه، توی نمودارهای کلادفلر خودش رو اینطوری نشون میده.
👍2😘1
اختلال سنگین در بانک های تجارت، صادرات، ملی....
صحبت کردم مث اینکه هک شده یه سری اطلاعات هم لو رفته.....
صحبت کردم مث اینکه هک شده یه سری اطلاعات هم لو رفته.....
📌 مورد میدانی: ARP Poisoning تو شبکهی پالایشگاه
دیشب، حین آپدیت irmware یه PLC S7-300، ارتباطم با دستگاه روی پورت ۱۰۲ ناگهان قطع شد. پینگ میرفتم ولی Modbus جواب نمیداد. لاگهای سوئیچ (Cisco IE-2000) رو که چک کردم، دیدم یه کلود ARP عجیب از یه آیپی متصل به شبکهی OT داره میاد.
دستگاه مبدأ: یه لپتاپ با ویندوز XP که تکنسین تعمیرات برای کانفیگ رله وصل کرده بود. ظاهراً یه بدافزار قدیمی (مثل Mirai variant) فعال شده و داره جدول ARP رو مسموم میکنه که ترافیک رو بندازه سمت خودش.
کاری که کردم:
· ACL بستم رو سوئیچ: فقط آیپیهای مجاز به پورتهای ۱۰۲ و ۵۰۲ دسترسی داشته باشن.
· با یه اسکریپت پایتون (کتابخونهی Scapy) هر ۱۰ ثانیه یه ARP Reply معتبر برای گیتوی میفرستادم تا جدول ARP رو ریست کنم.
· از اون دستگاه XP یه Image گرفتم با FTK Imager ببرمش برای تحلیل بدافزار.
نتیجه: خط تولید حدود ۲۰ دقیقه قطع بود (هزینهش تقریباً ۳۰ هزار دلار برآورد شد) ولی از یه حملهی بزرگتر که میتونست تنظیمات دما و فشار رو دستکاری کنه جلوگیری شد.
دیشب، حین آپدیت irmware یه PLC S7-300، ارتباطم با دستگاه روی پورت ۱۰۲ ناگهان قطع شد. پینگ میرفتم ولی Modbus جواب نمیداد. لاگهای سوئیچ (Cisco IE-2000) رو که چک کردم، دیدم یه کلود ARP عجیب از یه آیپی متصل به شبکهی OT داره میاد.
دستگاه مبدأ: یه لپتاپ با ویندوز XP که تکنسین تعمیرات برای کانفیگ رله وصل کرده بود. ظاهراً یه بدافزار قدیمی (مثل Mirai variant) فعال شده و داره جدول ARP رو مسموم میکنه که ترافیک رو بندازه سمت خودش.
کاری که کردم:
· ACL بستم رو سوئیچ: فقط آیپیهای مجاز به پورتهای ۱۰۲ و ۵۰۲ دسترسی داشته باشن.
· با یه اسکریپت پایتون (کتابخونهی Scapy) هر ۱۰ ثانیه یه ARP Reply معتبر برای گیتوی میفرستادم تا جدول ARP رو ریست کنم.
· از اون دستگاه XP یه Image گرفتم با FTK Imager ببرمش برای تحلیل بدافزار.
نتیجه: خط تولید حدود ۲۰ دقیقه قطع بود (هزینهش تقریباً ۳۰ هزار دلار برآورد شد) ولی از یه حملهی بزرگتر که میتونست تنظیمات دما و فشار رو دستکاری کنه جلوگیری شد.
🔥3
☢️🧑🏻💻OT Sentinel | ICS/OT Security🧑🏻💻☢️
📌 مورد میدانی: ARP Poisoning تو شبکهی پالایشگاه دیشب، حین آپدیت irmware یه PLC S7-300، ارتباطم با دستگاه روی پورت ۱۰۲ ناگهان قطع شد. پینگ میرفتم ولی Modbus جواب نمیداد. لاگهای سوئیچ (Cisco IE-2000) رو که چک کردم، دیدم یه کلود ARP عجیب از یه آیپی متصل…
نکتهی کلاسیک: تو محیطهای OT، هیچوقت به دستگاههای موقت (مثل لپتاپ تعمیرکار) اعتماد نکنین، حتی اگه کابلش رو خودتون دادین. یه کابل سریال پشتیبان همیشه تو کیف باشه، شاید مجبور شدین مستقیم به PLC وصل بشین.
👍2
🔹آغاز ثبتنام "طرح شهید صیاد شیرازی" در بنیاد ملی نخبگان
📆از ۱ تیرماه
🎓ثبتنام و اجرای "طرح شهید صیاد شیرازی (خدمت نظام وظیفه تخصصی)" با هدف بهرهگیری از توانمندیهای دانشآموختگان برتر دانشگاهی داخل و خارج از کشور و تسهیل مسیر خدمت آنان در قالب پروژههای تخصصی دستگاههای اجرایی کشور از یکم تیرماه آغاز میشود.
📝این طرح با رویکرد استفاده هدفمند از ظرفیتهای علمی، فرهنگی و فناورانه نخبگان و استعدادهای برتر، بهعنوان یکی از مسیرهای جایگزین خدمت نظام وظیفه طراحی شده و امکان گذراندن دوره خدمت در قالب اجرای طرحهای پژوهشی و نوآورانه در دستگاههای مختلف کشور را فراهم میکند.
🖥متقاضیان واجد شرایط میتوانند از طریق "سامانه سینا" نسبت به ثبت درخواست و بارگذاری مدارک خود اقدام کنند.
⏳ثبت درخواست ۱ تا ۲۰ تیر | بررسی ۲۱ تا ۳۱ تیر | اعلام نتایج ۱۰ تا ۱۵ شهریور
🎙در کانال صدای نخبگان با ما همراه باشید…
| @ElitesVoice |
📆از ۱ تیرماه
🎓ثبتنام و اجرای "طرح شهید صیاد شیرازی (خدمت نظام وظیفه تخصصی)" با هدف بهرهگیری از توانمندیهای دانشآموختگان برتر دانشگاهی داخل و خارج از کشور و تسهیل مسیر خدمت آنان در قالب پروژههای تخصصی دستگاههای اجرایی کشور از یکم تیرماه آغاز میشود.
📝این طرح با رویکرد استفاده هدفمند از ظرفیتهای علمی، فرهنگی و فناورانه نخبگان و استعدادهای برتر، بهعنوان یکی از مسیرهای جایگزین خدمت نظام وظیفه طراحی شده و امکان گذراندن دوره خدمت در قالب اجرای طرحهای پژوهشی و نوآورانه در دستگاههای مختلف کشور را فراهم میکند.
🖥متقاضیان واجد شرایط میتوانند از طریق "سامانه سینا" نسبت به ثبت درخواست و بارگذاری مدارک خود اقدام کنند.
⏳ثبت درخواست ۱ تا ۲۰ تیر | بررسی ۲۱ تا ۳۱ تیر | اعلام نتایج ۱۰ تا ۱۵ شهریور
🎙در کانال صدای نخبگان با ما همراه باشید…
| @ElitesVoice |
شیوهنامه_طرح_صیاد_شیرازی_سال_۱۴۰۵.pdf
468.2 KB
🎓شیوهنامه بهرهمندی دانشآموختگان برتر از تسهیلات خدمت نظام وظیفۀ تخصصی
(طرح شهید صیاد شیرازی)
📆ویرایش سال ۱۴۰۵
(طرح شهید صیاد شیرازی)
📆ویرایش سال ۱۴۰۵
در مارس ۲۰۲۶، پنتاگون و افبیآی رسماً تأیید کردند که گروه APT33 (وابسته به ایران) موفق شده از طریق زنجیرهتأمین و سوءاستفاده از آسیبپذیری در دوربینهای امنیتی متصل به شبکههای OT، به بیش از ۱۰۰ سازمان حیاتی ایالات متحده از جمله استرایکر کورپوریشن و یک اپراتور بزرگ نفت و گاز در اوکلاهاما نفوذ کند.
---
⚙️ جزئیات فنی عملیات:
· بردار نفوذ اولیه: هکرها با شناسایی دوربینهای امنیتی دارای آسیبپذیری در پورتهای RTSP و ONVIF و استفاده از اعتبارنامههای پیشفرض، به شبکههای داخلی سازمانها دسترسی پیدا کردند. این دوربینها بهعنوان پل ارتباطی به شبکههای OT (عملیاتی) عمل میکردند.
· مهندسی معکوس استاکسنت: ایران با بازخوانی کد منبع استاکسنت (که در ۲۰۱۰ به تأسیسات نطنز زده شد)، الگوریتمهای آن را برای هدفگیری پروتکلهای صنعتی Modbus و IEC-104 بازنویسی کرد. این بازنویسی شامل تغییر در منطق پلهای PLCهای زیمنس و اَبَرِیهای کنترل ترانسفورماتورها بود.
· نقطهضعف کلیدی: بیش از ۶۰٪ ترانسفورماتورهای توزیع برق در آمریکا (بهویژه مدلهای ساخت GE قبل از ۲۰۱۰) همچنان از گذرواژههای کارخانهای و پیشفرض استفاده میکنند
---
⚙️ جزئیات فنی عملیات:
· بردار نفوذ اولیه: هکرها با شناسایی دوربینهای امنیتی دارای آسیبپذیری در پورتهای RTSP و ONVIF و استفاده از اعتبارنامههای پیشفرض، به شبکههای داخلی سازمانها دسترسی پیدا کردند. این دوربینها بهعنوان پل ارتباطی به شبکههای OT (عملیاتی) عمل میکردند.
· مهندسی معکوس استاکسنت: ایران با بازخوانی کد منبع استاکسنت (که در ۲۰۱۰ به تأسیسات نطنز زده شد)، الگوریتمهای آن را برای هدفگیری پروتکلهای صنعتی Modbus و IEC-104 بازنویسی کرد. این بازنویسی شامل تغییر در منطق پلهای PLCهای زیمنس و اَبَرِیهای کنترل ترانسفورماتورها بود.
· نقطهضعف کلیدی: بیش از ۶۰٪ ترانسفورماتورهای توزیع برق در آمریکا (بهویژه مدلهای ساخت GE قبل از ۲۰۱۰) همچنان از گذرواژههای کارخانهای و پیشفرض استفاده میکنند
☢️🧑🏻💻OT Sentinel | ICS/OT Security🧑🏻💻☢️
Photo
📊 نتیجه عملیاتی (دادههای تأییدشده):
· تعداد دستگاههای درگیر: بیش از ۲۰۰,۰۰۰ دستگاه شامل سیستمهای کنترل دسترسی فیزیکی (ACS)، شبکههای مدیریت انرژی (EMS) و واحدهای تلهمتری مخازن نفت.
· اختلال در شبکه برق: کاهش ناگهانی ولتاژ در سه ایالت مختلف بهمدت ۴۵ دقیقه که منجر به هشدار سطح ۲ در مرکز کنترل شبکهٔ غرب آمریکا (WECC) شد.
· کلاهبرداری سایبری: تزریق دادههای جعلی به بازار برق (CAISO) برای خرید و فروش مجازی انرژی و ایجاد سود مالی غیرقانونی بهارزش حدود ۲۰ میلیون دلار.
· مدت زمان ماندگاری: مهاجمان حداقل ۸ ماه بدون شناسایی در شبکه حضور داشتند و به نقشههای کامل سیستمهای برق اضطراری و تهویه دسترسی یافتند.
---
🔍 پیامد راهبردی:
این عملیات نشان داد که ایران نهتنها از تجربهٔ حملات گذشته (استاکسنت) بهعنوان یک درس دفاعی، بلکه بهعنوان یک الگوی تهاجمی برای مهندسی معکوس و بازطراحی سلاحهای سایبری علیه سازندگان اصلی آنها استفاده کرده است. جنگ سایبری مدرن، دیگر میدان نبرد را به جغرافیا محدود نمیکند؛ بلکه کابلها، پروتکلهای Modbus، IEC-104 و DNP3 جبهههای جدید این نبرد هستند.
· تعداد دستگاههای درگیر: بیش از ۲۰۰,۰۰۰ دستگاه شامل سیستمهای کنترل دسترسی فیزیکی (ACS)، شبکههای مدیریت انرژی (EMS) و واحدهای تلهمتری مخازن نفت.
· اختلال در شبکه برق: کاهش ناگهانی ولتاژ در سه ایالت مختلف بهمدت ۴۵ دقیقه که منجر به هشدار سطح ۲ در مرکز کنترل شبکهٔ غرب آمریکا (WECC) شد.
· کلاهبرداری سایبری: تزریق دادههای جعلی به بازار برق (CAISO) برای خرید و فروش مجازی انرژی و ایجاد سود مالی غیرقانونی بهارزش حدود ۲۰ میلیون دلار.
· مدت زمان ماندگاری: مهاجمان حداقل ۸ ماه بدون شناسایی در شبکه حضور داشتند و به نقشههای کامل سیستمهای برق اضطراری و تهویه دسترسی یافتند.
---
🔍 پیامد راهبردی:
این عملیات نشان داد که ایران نهتنها از تجربهٔ حملات گذشته (استاکسنت) بهعنوان یک درس دفاعی، بلکه بهعنوان یک الگوی تهاجمی برای مهندسی معکوس و بازطراحی سلاحهای سایبری علیه سازندگان اصلی آنها استفاده کرده است. جنگ سایبری مدرن، دیگر میدان نبرد را به جغرافیا محدود نمیکند؛ بلکه کابلها، پروتکلهای Modbus، IEC-104 و DNP3 جبهههای جدید این نبرد هستند.
هشدار فوری: کمپین FortiBleed و ۸۶,۶۴۴ دستگاه FortiGate آلوده
یک کمپین سایبری گسترده با نام FortiBleed، بیش از ۸۶ هزار دستگاه FortiGate را در سطح جهانی آلوده کرده است. این حمله عمدتاً بر روی استفاده مجدد از اعتبارنامههای قدیمی و حملات بروتفورس متمرکز است و بر اساس گزارش CISA، بخشهای مخابرات، دولت و آموزش بیشترین آسیب را دیدهاند. بیش از ۶۳ درصد از اعتبارنامههای به سرقت رفته، مربوط به حسابهای عمومی admin یا حسابهای سیستمی داخلی Fortinet بوده که نشان از بیتوجهی گسترده به تغییر نام کاربریهای پیشفرض و چرخش رمزهای عبور دارد. این نقص، یک لیست هدف قابل اعتماد در اختیار مهاجمان قرار داده است.
مهاجمان با اسکن اینترنت و استفاده از ابزارهای اختصاصی، پس از نفوذ اولیه، به صورت غیرفعال ترافیک شبکه را مانیتور کرده و اعتبارنامههای جدیدی جمعآوری میکنند که منجر به آلودگی زنجیرهای دستگاههای بیشتر میشود. نکته فنی حیاتی: هرچند Fortinet در نسخههای جدید از الگوریتم PBKDF2 استفاده کرده، اما تا زمانی که مدیران پس از ارتقا وارد سیستم نشوند، رمزهای عبور همچنان با مکانیزم ضعیف SHA-256 ذخیره میشوند
یک کمپین سایبری گسترده با نام FortiBleed، بیش از ۸۶ هزار دستگاه FortiGate را در سطح جهانی آلوده کرده است. این حمله عمدتاً بر روی استفاده مجدد از اعتبارنامههای قدیمی و حملات بروتفورس متمرکز است و بر اساس گزارش CISA، بخشهای مخابرات، دولت و آموزش بیشترین آسیب را دیدهاند. بیش از ۶۳ درصد از اعتبارنامههای به سرقت رفته، مربوط به حسابهای عمومی admin یا حسابهای سیستمی داخلی Fortinet بوده که نشان از بیتوجهی گسترده به تغییر نام کاربریهای پیشفرض و چرخش رمزهای عبور دارد. این نقص، یک لیست هدف قابل اعتماد در اختیار مهاجمان قرار داده است.
مهاجمان با اسکن اینترنت و استفاده از ابزارهای اختصاصی، پس از نفوذ اولیه، به صورت غیرفعال ترافیک شبکه را مانیتور کرده و اعتبارنامههای جدیدی جمعآوری میکنند که منجر به آلودگی زنجیرهای دستگاههای بیشتر میشود. نکته فنی حیاتی: هرچند Fortinet در نسخههای جدید از الگوریتم PBKDF2 استفاده کرده، اما تا زمانی که مدیران پس از ارتقا وارد سیستم نشوند، رمزهای عبور همچنان با مکانیزم ضعیف SHA-256 ذخیره میشوند
☢️🧑🏻💻OT Sentinel | ICS/OT Security🧑🏻💻☢️
هشدار فوری: کمپین FortiBleed و ۸۶,۶۴۴ دستگاه FortiGate آلوده یک کمپین سایبری گسترده با نام FortiBleed، بیش از ۸۶ هزار دستگاه FortiGate را در سطح جهانی آلوده کرده است. این حمله عمدتاً بر روی استفاده مجدد از اعتبارنامههای قدیمی و حملات بروتفورس متمرکز است…
دستورات فوری:
کلیه جلسات SSL VPN و مدیریتی را خاتمه داده، رمزهای عبور را بازنشانی کنید
MFA مقاوم در برابر فیشینگ را بر روی تمام دروازههای خارجی فعال سازید
· لاگهای فایروال، VPN و کنترلکننده دامنه را برای یافتن دسترسیهای IP ناشناس، تغییرات غیرمجاز و نشانههای حرکت جانبی بازبینی کنید
· در صورت استفاده از AD/LDAP، حساب کاربری یکپارچه شده با فایروال را به عنوان به خطر افتاده فرض کرده و لاگهای AD را پایش نمایید
· مدیریت خارجی را در صورت امکان به کلی حذف و در غیر این صورت با سیاستهای local-in و trusted hosts محدود کنید
· به آخرین نسخههای ۷.۴، ۷.۶ یا ۸.۰ ارتقا دهید
کلیه جلسات SSL VPN و مدیریتی را خاتمه داده، رمزهای عبور را بازنشانی کنید
MFA مقاوم در برابر فیشینگ را بر روی تمام دروازههای خارجی فعال سازید
· لاگهای فایروال، VPN و کنترلکننده دامنه را برای یافتن دسترسیهای IP ناشناس، تغییرات غیرمجاز و نشانههای حرکت جانبی بازبینی کنید
· در صورت استفاده از AD/LDAP، حساب کاربری یکپارچه شده با فایروال را به عنوان به خطر افتاده فرض کرده و لاگهای AD را پایش نمایید
· مدیریت خارجی را در صورت امکان به کلی حذف و در غیر این صورت با سیاستهای local-in و trusted hosts محدود کنید
· به آخرین نسخههای ۷.۴، ۷.۶ یا ۸.۰ ارتقا دهید
کدام پروتکل صنعتی از معماری Publisher/Subscriber با اولویتبندی پیامها برای انتقال دادههای بحرانی در سیستمهای SCADA استفاده میکند و بهصورت پیشفرض فاقد مکانیزم احراز هویت است؟
Anonymous Poll
19%
Modbus TCP
31%
DNP3
31%
IEC 61850 (GOOSE/SMV)
25%
OPC UA
یک مهاجم با دسترسی به شبکه داخلی یک کارخانه، بستههای PROFINET را بین PLC و HMI دستکاری میکند و مقادیر دما را بهصورت ناگهانی تغییر میدهد. این حمله در کدام لایه از مدل OSI و با هدف کدام مؤلفه انجام شده است؟
Anonymous Poll
31%
لایه ۲ (Data Link) با هدف سوئیچهای صنعتی
25%
لایه ۷ (Application) با هدف دادههای فرآیندی
19%
لایه ۳ (Network) با هدف تغییر مسیردهی
31%
لایه ۴ (Transport) با هدف قطع ارتباط
کدام یک از آسیبپذیریهای زیر، به مهاجم اجازه میدهد تا با ارسال یک بسته خاص به دروازههای VPN، بدون نیاز به احراز هویت، به کنسول مدیریتی Firewall دسترسی پیدا کند و تنظیمات امنیتی را تغییر دهد؟
Anonymous Poll
50%
CVE-2023-27997 (Fortinet SSL VPN)
29%
CVE-2021-44228 (Log4Shell)
7%
CVE-2022-1388 (F5 BIG-IP)
14%
CVE-2021-44529 (Ivanti Pulse)
برای جلوگیری از حملات Man-in-the-Middle در شبکههای صنعتی که از پروتکلهای قدیمی (مانند Modbus RTU) استفاده میکنند، کدام راهکار امنیتی در لایه ۲ مؤثرترین است؟
Anonymous Poll
23%
استفاده از VLAN و شبکههای مجزا
41%
پیادهسازی IPS با امضای خاص Modbus
45%
استقرار MACsec (802.1AE)
14%
استفاده از VPN روی زیرساخت
در پروتکل IEC 61850، کدام مکانیزم امنیتی در سطح GOOSE/SMV برای جلوگیری از حملات Replay و Spoofing بهصورت پیشفرض وجود ندارد و پیادهسازی آن نیازمند چه راهکاری با تأخیر زیر ۳ میلیثانیه است؟
Anonymous Poll
29%
احراز هویت مبتنی بر گواهینامه X.509؛ راهکار: استفاده از TLS 1.3
29%
امضای دیجیتال هر فریم؛ راهکار: ECDSA با منحنی Curve25519
14%
شمارهگذاری ترتیبی و Timestamp؛ راهکار: استفاده از PTP (IEEE 1588)
29%
رمزنگاری متقارن AES-128 در لایه ۲؛ راهکار: MACsec با کلید پویا
CVE-2026-46333 — ssh-keysign-pwn
یک آسیبپذیری شرط رقابتی بحرانی در هستههای لینوکس پیش از 31e62c2ebbfd که به دلیل پنجره زمانی در خروج فرآیند (پاک شدن mm پیش از بسته شدن fdها)، یک کاربر غیرمجاز میتواند با pidfd_getfd(2) توصیفگرهای فایل باز فرآیندهای دارای دسترسی بالا را بدزدد و فایلهای متعلق به روت را بدون مجوز بخواند. این آسیب از نوامبر ۲۰۱۶ (v4.10-rc1) تا مه ۲۰۲۶ باز است و در تمام توزیعهای اصلی تأیید شده. بهرهبرداری شامل سرقت کلیدهای خصوصی SSH (/etc/ssh/ssh_host_*_key) از طریق sshkeysign_pwn، سرقت /etc/shadow از طریق chage_pwn، و اجرای دستورات دلخواه به عنوان روت از طریق pkexec و accounts-daemon میشود. برای اجرا: make و سپس ./sshkeysign_pwn یا ./chage_pwn root. نرخ موفقیت در ۱ تا ۲۰۰ بار اجرا (میانگین <۱۰۰۰). در صورت خطای EPERM، به هدف SIGKILL بفرستید. در هستههای قدیمیتر از v5.6 از ptrace(2) استفاده کنید. راهحل فوری: بهروزرسانی هسته، چرخش کلیدهای SSH، و در صورت نیاز موقت sysctl kernel.yama.ptrace_scope=2 (مسدودسازی کامل اما مختل کردن برخی ابزارهای اشکالزدایی)
یک آسیبپذیری شرط رقابتی بحرانی در هستههای لینوکس پیش از 31e62c2ebbfd که به دلیل پنجره زمانی در خروج فرآیند (پاک شدن mm پیش از بسته شدن fdها)، یک کاربر غیرمجاز میتواند با pidfd_getfd(2) توصیفگرهای فایل باز فرآیندهای دارای دسترسی بالا را بدزدد و فایلهای متعلق به روت را بدون مجوز بخواند. این آسیب از نوامبر ۲۰۱۶ (v4.10-rc1) تا مه ۲۰۲۶ باز است و در تمام توزیعهای اصلی تأیید شده. بهرهبرداری شامل سرقت کلیدهای خصوصی SSH (/etc/ssh/ssh_host_*_key) از طریق sshkeysign_pwn، سرقت /etc/shadow از طریق chage_pwn، و اجرای دستورات دلخواه به عنوان روت از طریق pkexec و accounts-daemon میشود. برای اجرا: make و سپس ./sshkeysign_pwn یا ./chage_pwn root. نرخ موفقیت در ۱ تا ۲۰۰ بار اجرا (میانگین <۱۰۰۰). در صورت خطای EPERM، به هدف SIGKILL بفرستید. در هستههای قدیمیتر از v5.6 از ptrace(2) استفاده کنید. راهحل فوری: بهروزرسانی هسته، چرخش کلیدهای SSH، و در صورت نیاز موقت sysctl kernel.yama.ptrace_scope=2 (مسدودسازی کامل اما مختل کردن برخی ابزارهای اشکالزدایی)
This media is not supported in your browser
VIEW IN TELEGRAM
DirtyClone — CVE-2026-43503
A Linux kernel local privilege escalation and page-cache write. DirtyClone is the fourth public member of the DirtyPipe / DirtyFrag family: it forces the kernel to run an in-place ESP (IPsec) decrypt over a file-backed page-cache page the attacker only has read access to, mutating that page in RAM. With the AES-CBC key/IV chosen so the decrypt writes attacker-controlled bytes,
🔗 Research:
https://research.jfrog.com/post/dissecting-and-exploiting-linux-lpe-variant-dirtyclone-cve-2026-43503/
🔗 Exploit:
https://github.com/rafaeldtinoco/security/tree/main/exploits/dirtyclone
#linux #lpe #kernel #dirty
A Linux kernel local privilege escalation and page-cache write. DirtyClone is the fourth public member of the DirtyPipe / DirtyFrag family: it forces the kernel to run an in-place ESP (IPsec) decrypt over a file-backed page-cache page the attacker only has read access to, mutating that page in RAM. With the AES-CBC key/IV chosen so the decrypt writes attacker-controlled bytes,
/usr/bin/su is rewritten with a tiny setuid(0)+execve("/bin/sh") ELF and invoking it yields root.🔗 Research:
https://research.jfrog.com/post/dissecting-and-exploiting-linux-lpe-variant-dirtyclone-cve-2026-43503/
🔗 Exploit:
https://github.com/rafaeldtinoco/security/tree/main/exploits/dirtyclone
#linux #lpe #kernel #dirty