Новый ресурс по обучению и карьере в кибербезе с бесплатными учебными материалами от Всемирного экономического форума.

https://www.weforum.org/impact/cybersecurity-training/

Россия заняла 3 место в гарвардском рейтинге киберсилы

Ещё два года назад Россия была на 4-м месте в рейтинге киберсилы государств. Тогда Belfer Center при Гарварде впервые попытался комплексно оценить мощь государств в киберпространстве.

В этом году вышла новая версия рейтинга. В ней авторы пересмотрели методологию, киберсила теперь оценивается по 8 национальным целям и 29 индикаторам.
Индикаторы делятся на две группы: намерения и возможности.

https://arstechnica.com/gadgets/2022/10/matter-and-thread-could-fix-smart-home-compatibility-but-dont-get-excited-yet/

стандарт безопасности для IOT

https://www.datadoghq.com/state-of-aws-security/

Оценка состояния безопасности на примере одного из самых известных облачных провайдеров.

VMware сообщила об исправлениях уязвимости vCenter Server, которая могла привести к RCE.

Утилита централизованного управления vCenter Server используется для контроля за виртуальными машинами и хостами ESXi, а также их зависимыми компонентами.

Отслеживаемая как CVE-2022-31680 с оценкой CVSS 7,2 ошибка безопасности описывается как проблема десериализации в контроллере служб платформы PSC.

Злоумышленник с правами администратора на сервере vCenter может использовать эту проблему для RCE в базовой операционной системе, на которой размещен сервер vCenter.

Уязвимость была устранена в выпуске VMware vCenter Server 6.5 U3u.

VMware также выпустила исправления для уязвимости с низким уровнем серьезности отказа в обслуживании (DoS) в гипервизоре VMware ESXi.

CVE-2022-31681 заключается в недостатке разыменования нулевого указателя, который может позволить злоумышленнику с привилегиями только в рамках процесса VMX создать состояние DoS на хосте.

Ошибка была устранена в версиях ESXi ESXi70U3sf-20036586, ESXi670-202210101-SG и ESXi650-202210101-SG. 

Как сообщает VMware, Cloud Foundation (ESXi) также подвержена этой уязвимости.

VMware рекомендует всем клиентам выполнить обновления программного обеспечения, даже несмотря на то, что данных об использовании ошибок в дикой природе не имеется.

А вот, Intel подтвердила подлинность утечки исходного кода UEFI BIOS процессоров Alder Lake.

Alder Lake — это линейка процессоров Intel Core 12-го поколения, выпущенных в ноябре 2021 года.

В пятницу пользователь Freak в Twitter опубликовал ссылки на исходники прошивки UEFI, которая, как они утверждают, была выпущена 4chan. Весь исходный код был разработан Insyde Software Corp, компанией-разработчиком прошивки для систем UEFI.

Репозиторий GitHub с именем «ICE_TEA_BIOS» был загружен пользователем с именем LCFCASD, который добавил к нему описание «Код BIOS из проекта C970».

Как выяснилось, утечка содержит 5,97 ГБ файлов, включая исходный код, закрытые ключи, журналы изменений и инструменты компиляции, последняя временная метка которых датирована 30 сентября этого года.

Слитые файлы содержат многочисленные ссылки на Lenovo, в том числе код для интеграции с «Lenovo String Service», «Lenovo Secure Suite» и «Lenovo Cloud Service».

Как предполагают в Intel, проприетарный код UEFI, по-видимому, был украден третьей стороной, правда непонятно, был ли исходный код украден во время кибератаки или действовал инсайдер.

Безусловно, Intel пытается преуменьшить риски безопасности, связанные с утечкой исходного кода, который, как они уверяют, включен в BugBounty.

Однако, ресерчеры придерживается иного мнения и предупреждают, что утечка может упростить поиск уязвимостей в коде.

Hardened Vault прямо заявляют, что злоумышленники непременно извлекут огромную выгоду из утечек, даже если утечка OEM-реализации лишь частично используется в производстве.

Ресерчер Марк Ермолов из Positive Technologies также отмечает, что утечка включала закрытый ключ шифрования KeyManifest, закрытый ключ, который используется для защиты платформы Intel Boot Guard.

На днях Microsoft опубликовала исследование о построении комплексной программы управления рисками инсайдерских угроз.
В этом документе излагается несколько идей и передовых практик о том, как перейти от фрагментированного к комплексному подходу управления инсайдерскими рисками.

Помимо вышеуказанного, в отчете Microsoft вводит понятие Индекса комплекского управления рисками инсайдерских угроз.
По факту этот Индекс (HIRMI-Holistic Insider Risk Management Index) позволяет определить уровень зрелости организации в рассматриваемом вопросе. А сущности, для которых проводятся измерения, типичны для моделей зрелости - персонал, процессы, инструменты и обучение.

Исследование интересное, много статистики и аналитики. Рекомендую к изучению. Ниже приложил сам отчет.

p.s. Напомню, что недавно также делился замечательным документом NASA по этой же теме.

📃 Еженедельная подборка новостей от POSIdev

📌 The Hacker News порассуждали на тему актуальности OWASP Top 10 в наши дни

📌 Опубликована вторая статья из цикла, посвящённого теоретическим основам компьютерной безопасности

📌 Google рассказала о механизмах безопасности линейки телефонов Pixel 7 и вышедшего в релиз Android 13

📌 Эксперты Positive Tecnhologies примут участие в экспертной зоне безопасности приложений на конференции Highload 24-25 ноября

📌 Лаборатория Касперского представила отчёт с анализом вредоносного клона WhatsApp

_________________
Хотите поделиться своей новостью? Пишите на telegram@posidev.io и мы опубликуем её в следующих постах.

Немецкий производитель корпоративного ПО SAP выпустил 15 новых заметок по безопасности в рамках Patch Tuesday, закрыв в том числе две критические уязвимости.

Наиболее серьезной из устраненных проблем является CVE-2022-39802 (оценка CVSS 9,9), которая описывается как обход пути к файлу в Manufacturing Execution.

Ошибка затрагивает средство просмотра рабочих инструкций и Visual Test and Repair — два плагина для отображения рабочих инструкций и моделей.

URL-адрес для запроса включал параметр пути к файлу, которым можно было манипулировать, чтобы разрешить произвольный обход каталогов на удаленном сервере.

Содержимое файла в каждом каталоге может быть прочитано в пользовательском контексте пользователя ОС, выполняющего процесс или службу NetWeaver.

Вторая критическая уязвимость CVE-2022-41204 (оценка CVSS 9,6) влияет на форму входа в SAP Commerce и может привести к захвату учетной записи через перенаправление URL.

Проблема возникает из-за того, что URL-адреса, которые вызываются при отправке формы входа, не очищаются должным образом, что позволяет злоумышленнику внедрить в них информацию о перенаправлении, что приводит к отправке конфиденциальной информации на сервер, контролируемый злоумышленником.

Злоумышленникам не требовались какие-либо привилегии для запуска эксплойта, главное, чтобы пользователь щелкнуть вредоносную ссылку, которая открывает манипулируемую форму входа для запуска эксплойта.

SAP выпустила пять новых и одну обновленную заметку о безопасности с высоким уровнем серьезности, в том числе три, посвященные уязвимостям раскрытия информации в BusinessObjects, и одну, касающуюся переполнения буфера в SQL Anywhere и IQ.

Две оставшиеся заметки устраняют многочисленные дыры в безопасности в 3D Visual Enterprise Viewer (17 проблем) и 3D Visual Enterprise Author (26 ошибок).

Злоумышленник может обманом заставить пользователей открыть измененные файлы в 3D Visual Enterprise Viewer/Author, что приведет к RCE или DoS.

Остальные девять замечаний по безопасности, о которых SAP объявила на этой неделе, касаются раскрытия информации средней степени серьезности и межсайтовых сценариев (XSS) в BusinessObjects, Enable Now, Commerce, Customer Data Cloud (Gigya) и Data Services Management Console.