WordPress выпустила обновление 6.4.2 для устранения критической уязвимости, которой могут воспользоваться злоумышленники, объединив ее с другой ошибкой для выполнения произвольного PHP-кода на уязвимых сайтах.

Wordfence обнаружила уязвимость цепочки свойств-ориентированного программирования (POP), которая при определенных условиях может позволить злоумышленнику удалить произвольные файлы, получить конфиденциальные данные, выполнить произвольный PHP-код и захватить контроля над целевым сайтом.

Проблема связана с классом WP_HTML_Token, представленным в WordPress 6.4 для улучшения анализа HTML в редакторе блоков.

Цепочка POP требует, чтобы злоумышленник контролировал все свойства десериализованного объекта, что возможно с помощью функции PHP unserialize(). Следствием этого является возможность перехватить поток приложения, управляя значениями, отправляемыми в megic-методы, такие как _wakeup().

Для достижения критической серьезности проблема безопасности требует наличия уязвимости внедрения PHP-объекта на целевом сайте, которая может присутствовать в плагине или надстройке темы.

Хотя эта уязвимость сама по себе не является критической, из-за необходимости внедрения объектов в установленные и активные плагины или темы наличие уязвимой цепочки POP в ядре WordPress значительно увеличивает общий риск для сайтов.

При этом Patchstack сообщила, что с 17 ноября на GitHub доступна цепочка эксплойтов, а затем добавлена в проект PHP Generic Gadget Chains (PHPGGC), которая используется при тестировании безопасности PHP-приложений.

Пользователям рекомендуется вручную проверить свои сайты и убедиться, что они обновлены до последней версии.

Если какой-либо из проектов содержит вызовы функции unserialize, Patchstack настоятельно рекомендует заменить ее чем-нибудь другим, например кодированием/декодированием JSON с использованием PHP-функций json_encode и json_decode.

Даже если уязвимость потенциально критическая и ее можно использовать при определенных обстоятельствах, исследователи рекомендуют администраторам обновиться до последней версии WordPress.

https://therecord.media/hhs-proposes-cyber-requirements-for-hospitals
"HHS proposes new cybersecurity requirements for hospitals through HIPAA, Medicaid and Medicare

The United States Department of Health and Human Services (HHS) said it is planning to take a range of actions in an effort to better address cyberattacks on hospitals, which have caused dozens of outages across the country in recent months.
First reported by Politico, HHS published a planning document on Wednesday that outlines several voluntary and potentially mandatory actions hospitals will need to take."

Сегодня хотим поделиться с вами плейлистом Container Security Fundamentals – видео, созданные по мотивам цикла статей от Rory McCune (1,2,3,4,5). В них рассматриваются все те же темы, что и в статьях – Linux Namespaces, Linux Capabilities, Seccomp, AppArmor.

Возможно кому-то будет легче воспринимать информацию с видео и динамически изменяющейся картинкой ;)

Запустил новый онлайн-курс по визуализации, дашбордам и отчетам ИБ. 8 часов видео, около 70 уроков. Как обычно, бесплатно и без регистрации 😊

⚡Президент России подписал закон (589-ФЗ от 12.12.2023) об ужесточении административной ответственности за нарушения при использовании биометрических персональных данных (ПД) граждан и за несоблюдение письменной формы согласия на обработку ПД - когда ее использование является обязательным.

"In response, the NIST National Cybersecurity Center of Excellence (NCCoE) has worked closely with the industry and tech community to develop two draft NIST Special Publications (SP):

1800-28, Data Confidentiality: Identifying and Protecting Assets Against Data Breaches (Vol A-C)
1800-29, Data Confidentiality: Detect, Respond to, and Recover from Data Breaches (Vol A-C)
These guides provide recommendations on how to prevent and recover from data breaches, including cybersecurity and privacy considerations to prepare for data breaches and specific technical direction for implementation."

https://www.nccoe.nist.gov/data-confidentiality-identifying-and-protecting-assets-against-data-breaches

Вышла версия Kubernetes 1.29 под кодовым названием Mandala! Если говорить о security изменениях, то это в первую очередь:

- Structured Authorization Configuration. Упрощается аудит безопасности, что облегчает применение и проверку политик доступа.
- Bound Service Account Token Improvements. Повышает безопасность токенов, привязывая их к конкретным экземплярам Pods.
- Reduction of Secret-Based Service Account Tokens. Фича направлена на уменьшение зависимости от долгоживущих токенов учетных записей.
- Ensure Secret Pulled Images. Образы всегда будут извлекаться с использованием секретов Kubernetes для использующего их Pod.
- Support for User Namespaces. Фича поддерживает пользовательские пространства имен и повышает безопасность Kubernetes.
- Structured Authentication Configuration. Новая фича дает более удобный и безопасный подход к управлению аутентификацией.
- KMS v2 Improvements. Эта фича стала стабильной и направлена на улучшение плагина KMS.

https://github.com/onhexgroup/Conferences

"Conference slides

Blackhat Asia 2023

Offensivecon 2023

Blackhat USA 2023

Recon 2023

Blackhat Europe 2023"

​Дорогая, я на тренировку

Как-то на одном из докладов я упоминал про то, что всем ИБшникам известны сервисы, где можно потренировать свои практические навыки в этичном хакинге и в обеспечении безопасности. А полезные ссылки так и не приложил. Настало время исправляться, поэтому ловите список тренировочных площадок и ресурсов, где можно оттачивать свои скиллы.

– Две суперзвезды на арене практического тестирования на проникновение – Hack The Box и TryHackMe

– Красивы тренажер для эксплуатации всего самого популярного, включая рейтинги OWASP – Kontra

– Сборник различных CTF-ов в одном месте – CTFtime + отечественный аналог – Codeby.games

– Для любителей Линукс-дистрибутивов – OverTheWire Bandit и Linux Journey

– Для любителей реверс-инжиниринга – Crackmes one и pwnable tw

Ну всё, запасаемся кофе и идём развлекаться тренироваться.

#Полезное

Твой Пакет Безопасности

Мы про NIST NICE уже писали 2 или 3 раза. Но от ещё одного обзора хуже не будет.