В рамках конференции DevOpsConf2021 традиционно будет представлена серия докладов, посвященных технологиям DevSecOps.
Дни конференции 31 мая и 1 июня.
Подробности и билеты https://devopsconf.io/moscow/2021
Дни конференции 31 мая и 1 июня.
Подробности и билеты https://devopsconf.io/moscow/2021
devopsconf.io
Профессиональная конференция по интеграции процессов разработки, тестирования и эксплуатации 2021
Forwarded from SecAtor
VMware выпустили апдейт, исправляющий новую уязвимость CVE-2021-21985, которой подвержен vCenter версий 6.5, 6.7 и 7.0.
Ошибка является критической (9.8 из 10 по CVSS) и позволяет злоумышленнику осуществить удаленное выполнение кода (RCE) без прохождения аутентификации. Для этого хакеру нужно лишь иметь доступ к 443 порту. Уязвимость находится в модуле vSAN Health Check, который по умолчанию включен во всех развернутых vCenter.
CVE-2021-21985 была найдена исследователями из китайской Qihoo 360, которые в феврале подгадили VMware, резко выпустив PoC для критической CVE-2021-21972 в том же самом vCenter.
В дополнение к указанной критической дырке свежий патч закрывает также CVE-2021-21986 с критичностью 6,5, которая связана с механизмом аутентификации в нескольких модулях vCenter. Но это, на самом деле, не так важно. Поскольку закрыв более критичную ошибку вы закроете и эту.
Ну а кто при таких вводных не будет апдейтить свои vCenter - тот сам себе Дженнифер Псаки.
Ошибка является критической (9.8 из 10 по CVSS) и позволяет злоумышленнику осуществить удаленное выполнение кода (RCE) без прохождения аутентификации. Для этого хакеру нужно лишь иметь доступ к 443 порту. Уязвимость находится в модуле vSAN Health Check, который по умолчанию включен во всех развернутых vCenter.
CVE-2021-21985 была найдена исследователями из китайской Qihoo 360, которые в феврале подгадили VMware, резко выпустив PoC для критической CVE-2021-21972 в том же самом vCenter.
В дополнение к указанной критической дырке свежий патч закрывает также CVE-2021-21986 с критичностью 6,5, которая связана с механизмом аутентификации в нескольких модулях vCenter. Но это, на самом деле, не так важно. Поскольку закрыв более критичную ошибку вы закроете и эту.
Ну а кто при таких вводных не будет апдейтить свои vCenter - тот сам себе Дженнифер Псаки.
VMware Cloud Foundation (VCF) Blog
Home Page
VMware Cloud Foundation (VCF) - The simplest path to hybrid cloud that delivers consistent, secure and agile cloud infrastructure. Read more.
SP 1800-15, Mitigating Network-Based Attacks Using MUD | CSRC
https://csrc.nist.gov/publications/detail/sp/1800-15/final
https://csrc.nist.gov/publications/detail/sp/1800-15/final
CSRC | NIST
NIST Special Publication (SP) 1800-15, Securing Small-Business and Home Internet of Things (IoT) Devices: Mitigating Network-Based…
The goal of the Internet Engineering Task Force’s Manufacturer Usage Denoscription (MUD) specification is for Internet of Things (IoT) devices to behave as the devices’ manufacturers intended. MUD provides a standard way for manufacturers to indicate the network…
List of Purple Team Blogs I've done:
- NEW: Purple Maturity Model https://t.co/bHvSJjMFQY
- Why assume breach? https://t.co/x0JbXC3xRD
- Pain of PowerShell: https://t.co/qYq683nkes
- Intro to Adversary Emulation: https://t.co/KvMskh9etj
#PurpleTeam #infosec #PurpleTeamSummit
- NEW: Purple Maturity Model https://t.co/bHvSJjMFQY
- Why assume breach? https://t.co/x0JbXC3xRD
- Pain of PowerShell: https://t.co/qYq683nkes
- Intro to Adversary Emulation: https://t.co/KvMskh9etj
#PurpleTeam #infosec #PurpleTeamSummit
www.scythe.io
SCYTHE Library: Introducing the Purple Team Maturity Model
Today we are proposing a preliminary answer to that question, which initially started out as Advanced Purple Teaming and evolved into something even larger in scope (sidenote: Advanced Purple Teaming is coming). Our answer is what we are calling the Purple…
Forwarded from ZLONOV security
This media is not supported in your browser
VIEW IN TELEGRAM
Про облака и их безопасность =) #пятничное
Forwarded from Security Wine (бывший - DevSecOps Wine) (Denis Yakimov)
Security Gym - Secure Software Development Training Platform
Security Gym - открытая open-source платформа Яндекса для проведения тренингов разработчиков безопасному программированию. Есть Python, Javanoscript, Golang. Поднимаются как баги OWASP, так и меры по исправлению уязвимостей. Поиграться без развертывания можно здесь.
#dev
Security Gym - открытая open-source платформа Яндекса для проведения тренингов разработчиков безопасному программированию. Есть Python, Javanoscript, Golang. Поднимаются как баги OWASP, так и меры по исправлению уязвимостей. Поиграться без развертывания можно здесь.
#dev