Гигант виртуализации VMware во вторник выпустила срочные обновления для исправления трех проблем безопасности.

Одна из них включает ошибку выхода из виртуальной машины, продемонстрированную на хакерском конкурсе GeekPwn 2022, проводимом китайской Tencent Keen Security Lab.

Уязвимость VM escape, задокументированная как CVE-2022-31705, использовалась исследователем Ant Security Юхао Цзяном в системах, на которых установлены полностью исправленные продукты VMware Fusion, ESXi и Workstation.

VMware описала ошибку как уязвимость записи за пределы кучи в контроллере USB 2.0 (EHCI). Эксплойт получил главный приз на Geekpwn.

Согласно бюллетеню, VMWare присвоила ей рейтинг CVSS 9,3 и предупредила, что злоумышленник с локальными административными привилегиями на виртуальной машине может использовать эту проблему для выполнения кода.

На ESXi эксплуатация содержится в песочнице VMX, тогда как на Workstation и Fusion это может привести к RCE на машине, где установлена Workstation или Fusion.

Компания выпустила исправления, охватывающие пару ошибок внедрения команд и обхода каталогов, затрагивающих VMware vRealize Network Insight (vRNI).

Уязвимость в vRNI REST API также оценивается VMware как критическая с максимальной базовой оценкой CVSSv3 9,8, поскольку злоумышленник, имеющий сетевой доступ к vRNI REST API, может выполнять команды без аутентификации.

Друзья!
Мы рады объявить старт регистраций на XVI CISO-FORUM 2023. Главный девиз 23 года: МОБИЛИЗУЙСЯ! Темы для обсуждения в этот раз:
✅ NEW ARRIVALS: что ждать CISO сегодня? Какие взлеты и падения предстоят сегодня?

✅ АНТИПЛЕНАРКА: Информационная безопасность в условиях нехватки людских ресурсов. Где и что болит?

✅ ИНТЕРВЬЮ НА СЦЕНЕ: доступно о недопустимом. Недопустимые события в сфере кибербезопасности.

✅ БЛИЦ. От и до: оборотные штрафы за утечку персданных.

✅ ПРЕВЬЮ. NGFW: Кто из вендоров NGFWнестей? Отличительные особенности хорошего NGFW

✅ НАДЕЖДА И ОПОРА. К чему нас приведет доминирование отечественного софта и железа? И многое другое.

Обещаем лучших спикеров и кейсы, мастер-классы и теплую атмосферу нетворкинга.

📅14 апреля 2023 года
📌 Холидей Инн Сокольники

Регистрируйтесь на форум сами и зовите коллег.

Я уже писал про участие в семинаре Gartner, где они представляли свои прогнозы по ИБ на 2023+ годы, но забыл написать про них. И так, 8 тенденций:
📌 рост влияния темы приватности
📌 консолидация сервисов по защите web и периметра в единой платформе
📌 проекты Zero Trust будут терпеть часто неудачу
📌 при взаимодействии с третьими лицами ИБ будет выходить на первый план (тут и защитв от атак на цепочку поставок, и взаимоотношения с поставщиками и т.п.)
📌 принятие нормативки по борьбе с шифровальщиками
📌 атаки на АСУ ТП
📌 киберустойчивость войдет в повестку большинства гендиректоров
📌 многие компании создатут комитеты по ИБ (или замгендиров по ИБ), а также включат в систему оценку руководителей вопросы кибербеза

https://csrc.nist.gov/news/2022/aes-draft-fips-197-update-available-for-comment

Начат процесс правок в стандарт шифрования AES.

Интересное исследование рынка труда США с оценкой какие направления профессий наиболее востребованы в свете изменений технологий.

В том числе показано место ИБ. Из 4 наиболее перспективных направлений ИБ упомянуто только в облачных вычислениях, но целых 2 раза.

Про компанию Burning Glass и рескиллинг мы писали, когда это еще не было модным. А теперь подсмотрели сразу у нескольких коллег комментарии к весьма интересному новому исследованию про то, какие новые навыки нынче «дизраптят» существующие профессии. И тут сразу несколько вещей, которые нужно знать любому специалисту в корпоративном обучении – а заодно и любому человеку, который стремится быть «в обойме» своей профессии.

Большинство обозревателей, конечно, ухватились за четыре группы скиллов, которые в исследовании обозначены как самые модные – это AI/ML (он же ИИ и машинное обучение), соцсети, продуктовый подход и облачные вычисления.
Между тем, дьявол, как обычно в деталях, и здесь важно не упираться в хайповые названия и не воспринимать результаты исследования как призыв срочно все бросать, и, теряя тапки, бежать на трехмесячные курсы укротителей питонов.
Гораздо важнее понимать, как под влиянием новые веяний профессии предыдущего поколения эволюционируют в новые. И тут происходит интересное.

Вот, например, жила-была профессия веб-дизайнера, основой которой в старые добрые времена было умение владеть языками разметки типа HTML, чтобы кнопочки визуально не налезали друг на друга. Но за последние несколько лет появилось огромное количество инструментов, позволяющих лепить красивые странички, не зная ни слова на языке разметки.

Ценность технического навыка «аккуратно рисовать» снизилась, но зато к веб-дизайнерам появились новые требования более высокого уровня – рисовать так, чтобы пользователю хотелось нажать на правильные кнопочки и в конечном счете заплатить денег хозяину сайта (желательно не приходя в сознание). А для этого уже нужны элементы продуктового подхода, такие как A/B тестирование, проверка гипотез и вот это все. Вот вам и влияние хайпового навыка на существующую профессию.

То же самое случилось с дата-аналитикой, куда пришли инструменты машинного обучения, позволяющие не самому копаться в данных, а рассказывать машине, в каких данных покопаться – это более высокоуровневый навык, требующий меньше технологий и больше логики.
Про набор навыков под названием «облачные вычисления» в нашем канале можно читать неперечитать. За особенности и преимущества облачных систем автоматизации HR мы писали практически беспрерывно первые три года существования канала. И да, умение менять процессы в облаках – тоже более высокоуровневый навык, чем умение пилить существующие процессы в 1С.

Но самое интересное – что существуют фундаментальные группы навыков, которые остаются востребованными вне зависимости от того, куда движутся эти ваши облака и AI/ML, и благодаря которым можно продержаться на рынке труда даже в бурю типа сегодняшней с минимальным количеством доучиваний. И вот их (несколько сокращенный) список: управление командами, коммуникация и аргументация, грамотная письменная речь, а также C++, сварка и сантехническое дело. Такие дела.

Для гурманов выкладываем доклад следующим постом.