Очень оперативно на YouTube уже стали доступны выступления с первого дня CloudNativeSecurityCon 2023 в Seattle (это уже порядка 45 докладов), о котором я писал недавно. Думаю, что со второго дня все доклады будут доступны уже завтра! Также на сайте в разделе программа для некоторых докладов доступны и слайды ;)

Кстати, портал НКЦКИ (safe-surf.ru) обновили. Симпатичненько так получилось.

ЗЫ. Сертификат TLS у него до 15 марта (всего на 3 месяца выдан). Интересно, что потом? Новый Let's Encrypt или НУЦ?

Информация от наших партнеров.

«Магнитка 2023» многогранна как никогда! Язык машин и язык людей, цифровое измерение и человеческое — все стороны кибербеза, даже самые неочевидные, откроются тем, кто посетит главное выездное ИБ-мероприятие года в России.

Регистрируйтесь!

#ibbank #магнитка2023

Рекомендуется к просмотру, коллеги делятся интересными вещами.

Запись митапа Яндекса про внутреннюю кухню ИБ ИТ-компании. 4 доклада про безопасность финтех-сервисов в Yandex Cloud, методы защиты от современных DDoS-атак, организацию привилегированного доступа к Linux-инфраструктуре, автоматизацию процессов безопасности в корпорациях.

ЗЫ. Про утечку репозитория исходников Яндекса ни слова - обещали рассказать про это отдельно.

Обзор 12 онлайн-курсов по ИБ (многие бесплатные, но все на английском) с получением сертификатов по окончанию

Критический баг в Jira Service Management Server и Data Center позволяет злоумышленникам выдавать себя за пользователей Jira.

Как сообщают разработчики Atlassian, уязвимость аутентификации при определенных обстоятельствах предоставляет злоумышленнику доступ к экземпляру Jira Service Management, выдавая его за другого пользователя.

Если в Jira Service Management включен доступ для записи в каталог пользователей и подключена электронная почта, злоумышленник может получить доступ к токенам регистрации, отправляемым пользователям с учетными записями, которые никогда не входили в систему.

Коварный замысел с получением токенов может быть реализован в двух сценариях:

1. злоумышленник включен в задачи или запросы Jira с этими пользователями

2. злоумышленник получает доступ к электронным письмам, содержащим ссылку «просмотреть запрос» от этих пользователей.

Ошибка с оценкой CVSS 9,4 отслеживается как CVE-2023-22501 и затрагивает Jira Service Management Server и Data Center версий 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1 и 5.5.0.

По данным Atlassian, наиболее вероятными объектами таких атак являются учетные записи ботов.

Однако внешние учетные записи клиентов на экземплярах с единым входом также могут быть скомпрометированы, если создание учетной записи открыто для всех.

Исправления для этой уязвимости были включены в версии Jira Service Management Server и Data Center 5.3.3, 5.4.2, 5.5.1 и 5.6.0 и пользователям рекомендуется как можно скорее обновить свои экземпляры Jira.

Американский институт стандартов решил стандартизировать легковесное шифрование на базе Алгоритмов Ascon. Легковесное шифрование нужно для реализации на маломощных устройствах (iot) где существующие алгоритмы недостаточно производительны.

https://csrc.nist.gov/projects/lightweight-cryptography

Школа информационной безопасности Академии Яндекса приглашает в Открытый лекторий

Эксперты Школы прочитают лекции о сетевой безопасности, защите операционных систем и приложений, криптографии, ML и многом другом.

Лекторий рассчитан на студентов старших курсов и специалистов по информационной безопасности.

Если вы разбираетесь в веб-приложениях и основах работы сетевой инфраструктуры, то вам будет особенно интересно.

Лекции пройдут с 13 февраля по 20 марта.

👉 Регистрация и программа на сайте: https://clck.ru/33VSEp

OpenSSL обзавелся обновленной версией с исправлением уязвимостей безопасности, в том числе серьезной ошибки в наборе инструментов шифрования с открытым исходным кодом.

Отслеживаемая как CVE-2023-0286 связана с путаницей типов, обусловленная обработкой адреса X.400 внутри X.509 GeneralName.

Ошибка может иметь серьезные последствия, поскольку ее можно использовать для принуждения программы к непреднамеренному поведению, что может привести к сбою или RCE.

Проблема была исправлена в версиях OpenSSL 3.0.8, 1.1.1t и 1.0.2zg.

В числе других в последних обновлениях устраненны следующие ошибки:

- CVE-2022-4203 (переполнение буфера),
- CVE-2022-4304 (синхронизация Oracle в расшифровке RSA),
- CVE-2022-4450 (использование после вызова PEM_read_bio_ex),
- CVE-2023-0215  (использование после освобождения после BIO_new_NDEF),
- CVE-2023-0216 (недопустимое разыменование указателя в функциях d2i_PKCS7),
- CVE-2023-0217 и CVE-2023-0401 (разыменование NULL при проверке открытого ключа DSA или данных PKCS7).

Успешная эксплуатация недостатков может привести к сбою приложения, раскрытию содержимого памяти и даже восстановлению незашифрованных сообщений, отправленных по сети, с использованием побочного канала на основе времени в атаке в стиле Блейхенбахера.