To tackle vulnerabilities in the UEFI space, the duo proposed a multi-step ideal scenerio to work toward:
Promote software bills of materials (SBOMS) extending to the firmware level
Have vendors include the intent of the components of the system
Produce analysis of code
Provide public risk scoring
Reduce purchasing of products that shape up poorly
https://www.scmagazine.com/home/security-news/vulnerabilities/dhs-announces-program-to-mitigate-vulnerabilities-below-the-operating-system/
Promote software bills of materials (SBOMS) extending to the firmware level
Have vendors include the intent of the components of the system
Produce analysis of code
Provide public risk scoring
Reduce purchasing of products that shape up poorly
https://www.scmagazine.com/home/security-news/vulnerabilities/dhs-announces-program-to-mitigate-vulnerabilities-below-the-operating-system/
SC Media
Cybersecurity News Articles | SC Media
The latest in IT security news and information for cybersecurity professionals.
Forwarded from Пост Лукацкого
Завтра в онлайне пройдет два GDPR Day, посвященных GDPR-дню. Я участвую в одном из GDPR-дней (https://t.co/ZcldD6SD1n) с рассказом об уведомлениях по утечкам ПДн в соответствие с требованиями GDPR. Всех с днем GDPR!
— Alexey Lukatsky (@alukatsky) May 24, 2021
— Alexey Lukatsky (@alukatsky) May 24, 2021
gdprday.ru
GDPR Day Russia
Практическая онлайн-конференция по GDPR для бизнеса и специалистов по защите персональных данных
В рамках конференции DevOpsConf2021 традиционно будет представлена серия докладов, посвященных технологиям DevSecOps.
Дни конференции 31 мая и 1 июня.
Подробности и билеты https://devopsconf.io/moscow/2021
Дни конференции 31 мая и 1 июня.
Подробности и билеты https://devopsconf.io/moscow/2021
devopsconf.io
Профессиональная конференция по интеграции процессов разработки, тестирования и эксплуатации 2021
Forwarded from SecAtor
VMware выпустили апдейт, исправляющий новую уязвимость CVE-2021-21985, которой подвержен vCenter версий 6.5, 6.7 и 7.0.
Ошибка является критической (9.8 из 10 по CVSS) и позволяет злоумышленнику осуществить удаленное выполнение кода (RCE) без прохождения аутентификации. Для этого хакеру нужно лишь иметь доступ к 443 порту. Уязвимость находится в модуле vSAN Health Check, который по умолчанию включен во всех развернутых vCenter.
CVE-2021-21985 была найдена исследователями из китайской Qihoo 360, которые в феврале подгадили VMware, резко выпустив PoC для критической CVE-2021-21972 в том же самом vCenter.
В дополнение к указанной критической дырке свежий патч закрывает также CVE-2021-21986 с критичностью 6,5, которая связана с механизмом аутентификации в нескольких модулях vCenter. Но это, на самом деле, не так важно. Поскольку закрыв более критичную ошибку вы закроете и эту.
Ну а кто при таких вводных не будет апдейтить свои vCenter - тот сам себе Дженнифер Псаки.
Ошибка является критической (9.8 из 10 по CVSS) и позволяет злоумышленнику осуществить удаленное выполнение кода (RCE) без прохождения аутентификации. Для этого хакеру нужно лишь иметь доступ к 443 порту. Уязвимость находится в модуле vSAN Health Check, который по умолчанию включен во всех развернутых vCenter.
CVE-2021-21985 была найдена исследователями из китайской Qihoo 360, которые в феврале подгадили VMware, резко выпустив PoC для критической CVE-2021-21972 в том же самом vCenter.
В дополнение к указанной критической дырке свежий патч закрывает также CVE-2021-21986 с критичностью 6,5, которая связана с механизмом аутентификации в нескольких модулях vCenter. Но это, на самом деле, не так важно. Поскольку закрыв более критичную ошибку вы закроете и эту.
Ну а кто при таких вводных не будет апдейтить свои vCenter - тот сам себе Дженнифер Псаки.
VMware Cloud Foundation (VCF) Blog
Home Page
VMware Cloud Foundation (VCF) - The simplest path to hybrid cloud that delivers consistent, secure and agile cloud infrastructure. Read more.
SP 1800-15, Mitigating Network-Based Attacks Using MUD | CSRC
https://csrc.nist.gov/publications/detail/sp/1800-15/final
https://csrc.nist.gov/publications/detail/sp/1800-15/final
CSRC | NIST
NIST Special Publication (SP) 1800-15, Securing Small-Business and Home Internet of Things (IoT) Devices: Mitigating Network-Based…
The goal of the Internet Engineering Task Force’s Manufacturer Usage Denoscription (MUD) specification is for Internet of Things (IoT) devices to behave as the devices’ manufacturers intended. MUD provides a standard way for manufacturers to indicate the network…
List of Purple Team Blogs I've done:
- NEW: Purple Maturity Model https://t.co/bHvSJjMFQY
- Why assume breach? https://t.co/x0JbXC3xRD
- Pain of PowerShell: https://t.co/qYq683nkes
- Intro to Adversary Emulation: https://t.co/KvMskh9etj
#PurpleTeam #infosec #PurpleTeamSummit
- NEW: Purple Maturity Model https://t.co/bHvSJjMFQY
- Why assume breach? https://t.co/x0JbXC3xRD
- Pain of PowerShell: https://t.co/qYq683nkes
- Intro to Adversary Emulation: https://t.co/KvMskh9etj
#PurpleTeam #infosec #PurpleTeamSummit
www.scythe.io
SCYTHE Library: Introducing the Purple Team Maturity Model
Today we are proposing a preliminary answer to that question, which initially started out as Advanced Purple Teaming and evolved into something even larger in scope (sidenote: Advanced Purple Teaming is coming). Our answer is what we are calling the Purple…
Forwarded from ZLONOV security
This media is not supported in your browser
VIEW IN TELEGRAM
Про облака и их безопасность =) #пятничное