​CVE-2022-22963 SpringShell 0day RCE в ядре Java Spring

Исследователи обнаружили еще одну опасную уязвимость, которая может нанести серьезный ущерб тоннам приложений. На данный момент нет идентификатора CVE для этой уязвимости, но многие уже прозвали ее SpringShell. Уязвимость существует в ядре Spring с версией JDK, большей или равной 9.0.

Эксплойт был слит китайским исследователем безопасности, который после публикации и/или утечки удалил свой аккаунт в Твиттере. Ознакомиться и проверить PoC можно по ссылке ниже.

PoC Payload:
spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec("xcalc")

https://github.com/craig/SpringCore0day

#web #rce #soft #infosec #cybersecurity #pentesting #cve

CVE-2022-1162

В корректирующих обновлениях платформы для организации совместной разработки GitLab 14.7.7, 14.8.5 и 14.9.2 устранена критическая уязвимость (CVE-2022-1162), связанная с установкой предопределённых (hardcoded) паролей для учётных записей, зарегистрированных с использованием провайдера OmniAuth (OAuth, LDAP и SAML).

Уязвимость потенциально позволяет атакующему получить доступ к учётной записи. Всем пользователям рекомендуется срочно установить обновление. Детали проблемы пока не раскрываются.

Уязвимость в GitLab, позволяющая захватить аккаунты, авторизированные через OAuth, LDAP и SAML
https://www.opennet.ru/opennews/art.shtml?num=56948

GitLab Critical Security Release: 14.9.2, 14.8.5, and 14.7.7
https://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/

#news #cybersecurity #cve #gitlab

https://github.blog/2022-04-15-security-alert-stolen-oauth-user-tokens/
и соответствующие страницы по интеграциям
https://status.heroku.com/incidents/2413
https://blog.travis-ci.com/2022-04-17-securitybulletin

https://awsworkshop.io/
Сайт с различными воркшопами от AWS, в процессе изучения которых можно много чему научиться.
Такими как
https://www.eksworkshop.com/
https://ecsworkshop.com/
https://www.appmeshworkshop.com/
...

Амазон обновили свой воркшоп по AWS EKS
https://aws.amazon.com/blogs/containers/introducing-the-amazon-eks-workshop/

Интересный сайт достойный просмотра и прочтения интересных статей
https://www.90daysofdevops.com/#/
описан в репозитории https://github.com/MichaelCade/90DaysOfDevOps/

[ACTION REQUIRED] k8s.gcr.io image registry will be frozen on the 3rd of April 2023
похоже нужно идти менять ссылки на образы с k8s.gcr.io на registry.k8s.io
https://groups.google.com/a/kubernetes.io/g/dev/c/kgWu5q6h8fs?pli=1

а тут статья когда его внедряли
https://kubernetes.io/blog/2022/11/28/registry-k8s-io-faster-cheaper-ga/

https://github.com/bregman-arie/devops-exercises
набор упражнений в различных направлениях

interesting kubefwd tool:
denoscription:
https://imti.co/kubernetes-port-forwarding/
twit:
https://twitter.com/kelseyhightower/status/1059519420064706579
github repo:
https://github.com/txn2/kubefwd

🧖🧖 System Design 101

Объясняются сложные системы, используя наглядные материалы и простые термины.

Готовитесь ли вы к собеседованию по системному дизайну или просто хотите понять, как системы работают, эта массивная шпаргалка будет полезна. Много полезных тем в сжатом виде — от протоколов до нюансов безопасности.

Шпаргалка

#туториал