[Перевод] Взлом 700 миллионов аккаунтов Electronic Arts (этично): как это было

История началась, когда тестировал одну из сред разработки EA, «integration», которую удалось обнаружить в ходе изучения EA Desktop. API аутентификации для боевой среды находится по адресу accounts.ea.com, а сервер аутентификации интеграции — accounts.int.ea.com. Волей случая я нашёл способ получить токен привилегированного доступа к этой среде (это не относится к данной истории, но в исполняемом файле одной из игр были жёстко закодированы учётные данные), но я не был уверен, что смогу с ним что‑то сделать.

https://habr.com/ru/companies/cloud4y/articles/856846/

[Перевод] ZombAI: промпт-инъекция в Claude Computer Use

Несколько дней назад Anthropic выпустила Claude Computer Use, который представляет собой модель + код, позволяющий ИИ управлять компьютером. Он делает скриншоты для принятия решений, может выполнять команды bash и так далее. Это круто, но, очевидно, несёт и массу рисков, ведь Claude Computer Use позволяет искусственному интеллекту автономно выполнять команды на машинах. А значит, можно использовать промпт-инъекции (prompt injection).

https://habr.com/ru/companies/cloud4y/articles/853902/

Как я обнаружил проблемы у ЮМани (Сбербанк) с безопасностью и не получил денег за найденную уязвимость

Как известно, в России почти каждая первая финансовая организация позиционирует себя как софтверную IT‑компанию, а не просто как «банк» или «платежная система». Сегодня речь пойдет о ЮМани — подразделении Сбера, IT‑гиганта всея руси. До того, как ЮМани стал тем, чем он сейчас является, сервис долгое время существовал как продукт Яндекса под названием Яндекс.Деньги — в те времена у меня был очень приятный опыт взаимодействия с техническим руководством компании, я неоднократно (будучи security researcher'ом) сообщал им об уязвимостях, а они, в свою очередь, оперативно это исправляли, давали обратную связь и вознаграждали за такую работу, аналогично тому, как это делали и зарубежные крупные IT‑компании в рамках взаимодействия с white‑hat хакерами. Такая вот IT‑компания здорового человека. Но с тем, как Сбербанк поглотил Яндекс.Деньги и провёл ребрендинг, проект стал превращаться, скорее, в IT‑компанию курильщика: взаимодействовать с представителями проекта в соц. сетях стало практически невозможно, какие‑либо данные на страницах о Bug Bounty программах были удалены и даже ни одного email‑адреса не оставили в качестве средства связи для сообщения об уязвимостях. Пару месяцев назад я обнаружил уязвимость в сервисе ЮМани (о ней чуть позже) и сразу же решил сообщить о ней. Однако никаких релевантных этому форм связи, email‑адресов и т. д. я не обнаружил — способов безопасно сообщить о такой уязвимости элементарно не было на официальном сайте сервиса. Я попытался связаться с людьми, работающими в ЮМани, однако, опять же, я не получил никакой обратной связи. На этом моменте я, что называется, «забил», в надежде, что ошибку исправят и без меня, ведь не может же такая дырень оставаться незамеченной долго, правда? Спойлер: может .

https://habr.com/ru/articles/844224/

Композиционный анализ при помощи CodeScoring

Cтатья будет полезна разработчикам и инженерам по ИБ, желающим повысить уровень безопасности приложений за счет внедрения проверок, запрещающих вносить в ПО сторонние компоненты с известными уязвимостями. В статье рассмотрим внедрение Codescoring Johnny применительно к Azure DevOps Server в процесс анализа запросов на вытягивание (pull requests) для целей композиционного анализа. При написании этой статьи я вновь пришел к мысли, что каждый ИТ-шник и ИБ-шник должен быть хоть чуточку разработчиком для более эффективного решения своих задач Поехали!

https://habr.com/ru/companies/ingos_it/articles/836630/

От RFC до RCE, или как неожиданная особенность библиотечного метода стала причиной уязвимости

В статье описан процесс нахождения уязвимости класса RCE в облачных сервисах методом белого ящика, разобран подход к эксплуатации и описаны лучшие практики защищенной веб-разработки, которые позволят не допустить возникновения подобных ситуаций в ваших веб-приложениях. По мотивом реальной уязвимости.

https://habr.com/ru/articles/825210/

Как выбрать сертифицированную ОС на российском рынке. Часть 3

В завершение цикла статей о выборе сертифицированной операционной системы ( Часть 1 и Часть 2 ) я подготовил для вас короткий чек-лист, который позволит вам выбрать более качественную и безопасную сертифицированную ОС на российском рынке. К чек-листу

https://habr.com/ru/companies/inferit/articles/824710/

Отравляем кэш загрузок в Telegram для Android

В фильме “Матрица” есть мемная сцена, когда Нео замечает двух совершенно идентичных чёрных кошек, после чего его спутники говорят о “сбое в матрице”, который тут же выливается в полный расколбас. Пару недель назад я испытал подобное чувство deja vu тогда, когда меньше всего этого ожидал. Мой друг Лёша Павлов пилит Android-приложение для подкаста “Теоэстетика”, и я вызвался помочь как альфа-тестировщик. Присылает он мне в Telegram файл theoaesthetics.apk размером 6,6 МБ, я его подгружаю в свой Telegram для Android, пытаюсь поставить, но системные настройки не позволяют. Сохраняю в папку “Загрузки”, пытаюсь поставить оттуда, да опять не выходит – наверное, у меня телефон слишком старый. Докладываю Лёше, он пересобирает приложение и присылает новый файл theoaesthetics.apk размером 5,6 МБ. Окей, скачиваю и пытаюсь поставить по той же схеме, но получаю тот же результат. И тут внимательный глаз замечает, что в папке “Download” лежит файл размером не 5,6 МБ, а 6,6 МБ. Ну ладно, не туда тапнул видимо. Скачиваю файл ещё раз и наяву наблюдаю: качаю файл размером в 5,6 МБ, а в папке лежит файл размером в 6,6 МБ. Окей, яжпрограммист, чищу кэш скачанных файлов, скачиваю правильную apk-шку, которая уже ставится и работает… Но ведь это же пренеприятный баг, сбой в матрице. Следовать за белым кроликом

https://habr.com/ru/articles/823612/

Реверс-инжиниринг eBPF-программы на примере сокет-фильтра и уязвимости CVE-2018-18445

Привет! Меня зовут Евгений Биричевский, в Positive Technologies я работаю в отделе обнаружения вредоносного ПО экспертного центра безопасности ( PT ESC). Не так давно исследователи из Black Lotus Labs рассматривали несколько образцов 2018 года — elevator.elf и bpf.test . Пускай образцы и старые, но они используют уязвимости в eBPF , что происходит крайне редко: такие случаи можно практически пересчитать по пальцам. Исследователи достаточно подробно описали общие функции и особенности ВПО, отметили запуск и использование eBPF-программ, но практически не описали сами eBPF-программы. Мне это показалось значительным упущением, ведь крайне редко удается пощупать in the wild использование уязвимостей в eBPF. Основываясь на дате появления образца и его поведении, исследователи предположили, что используется CVE-2018-18445 . В этой статье мы научимся анализировать eBPF, достаточно подробно разберем используемые eBPF-программы, а также подтвердим или опровергнем гипотезу об использовании CVE-2018-18445. Вперед

https://habr.com/ru/companies/pt/articles/823053/

Как выбрать сертифицированную ОС на российском рынке. Часть 2

Продолжаем обсуждать, на что обращать внимание при выборе сертифицированных ОС на российском рынке. В прошлой части мы остановились на вопросе " Если все сертифицированные операционные системы обеспечивают одни и те же функции по защите информации, то нет разницы, какую покупать?" . На самом деле есть – и очень большая. В данной части будут даны ответы на этот и другие вопросы, возникающие при выборе сертифицированной ОС на российском рынке. Дальше - больше

https://habr.com/ru/companies/inferit/articles/821935/

Маленькие коробочки или почему мы любим 7547/TCP

Исследование СайберОК содержит в себе интересные ответы на то, что находится на интересном порту 7547/TCP, о котором многие могут услышать впервые. Пробежимся по тому, какую опасность в себе представляет этот порт и какие интересные физические устройства обитают на нём. Построим поверхность атаки, вспомним как беспощадно наводили шуму эти маленькие коробочки – разложим это всё тщательно на атомы – на TP-Link-и, Keenetic-и, Mikrotik-и, а также проанализируем насколько это всё уязвимо. Лээтс го!

https://habr.com/ru/companies/cyberok/articles/820007/

[Перевод] CVE-2024-4577: Не может быть, PHP опять под атакой

Orange Tsai недавно запостил про «Одну из уязвимостей PHP, которая влияет на XAMPP, развернутый с настройками по умолчанию», и нам было интересно рассказать немного об этом. XAMPP - очень популярный способ администраторов и разработчиков развернуть Apache, PHP и множество других инструментов, и любая ошибка, которая может быть RCE в установке этого набора по умолчанию, звучит очень заманчиво. Где нашлась очередная уязвимость PHP? Читайте далее.

https://habr.com/ru/articles/820409/

На GitHub обнаружили CSS-инъекцию (уже исправлена)

Самые умные пользователи сайта получили возможность украсить свои профили почти как в Steam, и даже лучше. Эта уязвимость срабатывает при рендере текста Markdown, а на нём держится весь GitHub: страницы проектов и организаций, Issues, Pull Requests, Релизы, Вики.

На самом деле это довольно опасная уязвимость. Кое-кто уже догадался разместить большую мигающую Discord-ссылку на весь экран в комментариях к отчётам об ошибках. Ссылки на изображения не кэшируются, поэтому можно узнать IP-адрес пользователей. Даже можно написать скрипт, который приводит к выходу из аккаунта (https://x.com/vmfunc/status/1799246887284797650). Так как Markdown используется на сайте почти везде, заходить на любые страницы становится опасно.

Конечно же эту уязвимость быстро исправили. Но потом это исправление обошли. На текущий момент CSS-инъекция исправлена. В веб-архиве (https://web.archive.org/) есть сохранённые копии страниц с уязвимостью.

Тонкости импортозамещения CMS. Собираем Bug Bounty и БДУ по реестру отечественного ПО

Привет, Хабр! Меня зовут Дмитрий Прохоров, я cпециалист по тестированию на проникновение из команды CyberOK. Исследуя просторы Рунета и собирая фингерпринты для различных CMS, я заметил, что присутствует большое множество различных веб-сайтов на CMS отечественной разработки. И да, это не Битрикс! Тут и родилась идея пополнить базу БДУ новыми уязвимостями и найти заветное bounty. Но как трудно найти уязвимость в CMS, имеющей столь серьезный статус? Спустя две недели стало понятно, что это практически невозможно, если ты ни разу не играл в студенческий CTF. В противном случае есть нюансы...

https://habr.com/ru/companies/cyberok/articles/820217/

НЕ идеальный алгоритм шифрования… HASH-CRYPT (2 часть)

Кажется, мой алгоритм шифрования оказался ужасен... Или нет? Какие уязвимости могут быть в самой основе любого алгоритма шифрования, или при их неправильной эксплуатации? И как я исправил уязвимость в предыдущей версии алгоритма? > DECRYPT <

https://habr.com/ru/articles/817579/

Десериализация VIEWSTATE: команда Solar 4RAYS изучила кибератаку азиатской группировки с «недозакрытой уязвимостью»

В 2023 году мы запустили блог центра исследования киберугроз Solar 4RAYS, где делимся аналитикой об актуальных угрозах, результатами расследований инцидентов, полезными инструментами для реагирования на кибератаки и другими практическими материалами. Наиболее интересные исследования из блога мы публикуем и здесь, и это – одно из них. В конце прошлого года мы в команде Solar 4RAYS провели расследование атаки на российскую телеком-компанию. Её сеть была скомпрометирована азиатской APT-группировкой, которую мы назвали Obstinate Mogwai (или «Упрямый Демон» в переводе с английского). Почему "Упрямый?" Хакеры вновь и вновь проникали в атакованную организацию с помощью давно известной уязвимости десериализации ненадежных данных в параметре VIEWSTATE среды ASP.NET (далее будем называть это десериализацией VIEWSTATE). Мы смогли окончательно закрыть злоумышленникам все возможности для проникновения. Сегодня мы расскажем историю исследования уязвимости, опишем, как обнаружить подобные атаки и как на них реагировать, а в конце приведем индикаторы компрометации.

https://habr.com/ru/companies/solarsecurity/articles/814891/

pgAdmin4 CVE-2024-3116

22 апреля была зарегистрирована уязвимость CVE-2024-3116, получившая 7.4 баллов по CVSS. Эта уязвимость приводит к удаленному выполнению кода в серверной версии pgAdmin4 ≤ 8.4 на системах Windows. pgAdmin4 - это графический инструмент, предназначенный для администрирования баз данных PostgreSQL. Он поддерживает работу в двух режимах - desktop и server. Для эксплуатации этой уязвимости необходимо обладать валидными учетными данными. Сегодня в данной статье мы подготовим стенд и разберем детали этой уязвимости.

https://habr.com/ru/articles/814555/

Причины компьютерных сбоев, о которых вы даже не думали

Привет-привет! С вами снова Оля — программист Учебного центра компании «Тензор»... и радиофизик. До этого я рассказывала вам о рабочих кейсах, а сегодня поведаю о программистско-астрофизическом эксперименте. Бывало ли на вашем пользовательском веку такое, что компьютер внезапно завис или не смог прогрузить страницу? Грешили ли в этот момент на проклятую технику? А ведь причина может быть в другом — космическое излучение могло быть источником ваших бед! В этой статье разберем уязвимость с самого известного фреймворка cwe.mitre.org .

https://habr.com/ru/companies/tensor/articles/812591/

Виртуальное повышение. Эскалируем привилегии в VirtualBox

Если ты часто имеешь дело с различными операционными системами, то вероятнее всего слышал о программных продуктах для создания виртуальной изолированной среды на твоем компьютере. В них ты можешь развернуть любую ось, накатит пару сотен полезных приложений и выполнить задуманное. Но в этот раз давай поговорим о таком продукте как VirtualBox. Это популярное кроссплатформенное программное обеспечение для виртуализации с открытым исходным кодом, разработанное корпорацией Oracle. Чуть ранее в этом же году группа ИБ специалистов обнаружила очень интересных баг в коде. Что он дает? Для начала это самый быстрый и безболезненный путь к повышению привилегий в системе. Как ты уже догадался, сегодня речь пойдет именно об этом баге. Попробуем разобраться как он устроен и успешно эксплуатируем его в виртуальной среде.

https://habr.com/ru/articles/811261/

Никому нельзя верить на слово в безопасной разработке, или Еще один взгляд на SCA

Захожу я в английский клуб. Там все сидят, выпивают, в карты играют. Смотрю — в очко режутся! Сел я за столик, взял карты. У меня — 18. А мой соперник говорит: «20». Я ему: «Покажи!». А он мне: «Мы, джентльмены, верим друг другу на слово». И вот тут-то мне поперло . Но в ИБ так не пройдет, нужна здоровая паранойя. Поэтому на слово не верим никому, в том числе и инструментам анализа, а сначала их проверяем. Читать

https://habr.com/ru/companies/pt/articles/808023/

#cybersecurity #безопасная_разработка #анализатор_кода #ci/cd #sca #уязвимость #appsec #приложения #log4shell #devsecops