⭕️ آسیب‌پذیری اجرای کد از راه‌دور برای Components های React و Next.js اومده با شناسه CVE-2025-55182 که شدت آسیب پذیری امتیاز ۱۰ از ۱۰ گرفته

این آسیب‌پذیری بحرانی RCE هست که بدون نیاز به احراز هویت در بسته ی react-server که در React Server Components (RSC) استفاده میشه.
ورژن هایی که تحت تاثیر این آسیب پذیری قرار میگیرند 19.0.0 تا 19.2.0 هستند.


Blog:
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
POC :
https://github.com/ejpir/CVE-2025-55182-poc
@securation

⭕️ آسیب‌پذیری پذیری ارتقاء دسترسی در فدورا از طریق ABRT
آسیب‌پذیری با شناسه CVE-2025-12744 کشف شده است که این آسیب‌پذیری از طریق ابزار ABRT (Automatic Bug Reporting Tool)قابل بهره برداری است.

این ABRT یک Root Process است که با بالاترین سطح دسترسی ( root) اجرا می‌شود. اینجا یک سرور HTTP را بر روی یک UNIX socket اجرا می‌کند که توسط تمامی کاربران سیستم World-Writableاست. این ویژگی به هر فرایندی اجازه می‌دهد تا گزارش‌های خطا را به آن ارسال کند.
بخش بحرانی ماجرا اینجاست که ABRT تقریبا ۱۲ کاراکتر از متن کنترل‌شده توسط کاربر را، مستقیماً و با Minimal Validation، به یک دستور شل منتقل می‌کند.
با استفاده از Multi-stage Payloadکه به‌طور خاص طراحی شده است، مهاجم می‌تواند ABRT را مجبور به اجرای Arbitrary Shell Commands کند. این بهره برداری شامل Escaping the Systemd Sandbox سیستم‌عامل است که توسط systemd برای ABRT تعریف شده، و در نهایت منجر به root access می‌شود.

https://initblog.com/2025/abrt-root/
https://github.com/initstring/abrt_root
@securation

⭕️ بررسی یک کمپین فیشینگ Adversary-in-the-Middle (AiTM) علیه کاربران Microsoft 365 و Okta

تیم Datadog Security Labs یک کمپین فعال فیشینگ از نوع Adversary-in-the-Middle (AiTM) را شناسایی کرده است که به‌صورت هدفمند کاربران Microsoft 365 و Okta را مورد حمله قرار می‌دهد.

در این حمله، مهاجم به‌جای ارسال صفحات جعلی ساده، به‌عنوان یک واسط مخرب (Man-in-the-Middle) بین قربانی و سرویس اصلی احراز هویت قرار می‌گیرد و فرآیند لاگین واقعی را پروکسی می‌کند.

لینک مقاله:
https://securitylabs.datadoghq.com/articles/investigating-an-aitm-phishing-campaign-m365-okta

@securation

⭕️ اخیرا یک آسیب‌پذیری مهم در معماری SOAP مبتنی بر .NET Framework گزارش شده که نشان می‌دهد ClientProxy هنگام پردازش WSDL، هیچ‌گونه Validation امنیتی روی ساختار و مقادیر XML انجام نمی‌دهد. به‌دلیل این Blind Trust، مهاجم می‌تواند با ارائه‌ی یک WSDL دستکاری‌شده، مقدار soap:address را به یک Endpoint دلخواه تغییر دهد و باعث SSRF، دور زدن کنترل‌های شبکه، یا هدایت ترافیک به سرویس‌های داخلی شود.
‏.NET همچنین بر اساس همین WSDL، کد پروکسی را بازتولید می‌کند و اگر Operationها یا Schema دستکاری شده باشند، کل ساختار ارتباطی کلاینت بدون اطلاع برنامه‌نویس تغییر می‌کند.
از نظر فنی، این ضعف به‌خاطر نحوه پردازش ServiceDenoscriptionImporter و WsdlImporter در .NET Framework است که بدون هیچ محدودیتی WSDL را Parse کرده و مستقیماً به ChannelFactory/ClientBase تزریق می‌کنند.
علاوه بر SSRF و Request Redirection، وجود XSD های بیش‌ازحد پیچیده یا Deep-Nested نیز می‌تواند منجر به Resource Exhaustion سمت کلاینت شود.
چون این مکانیزم در تمام نسخه‌های .NET Framework (۲.۰ تا ۴.۸) مشترک است، بهترین راهکار فعلی شامل استفاده از WSDL استاتیک، حذف دریافت داینامیک، محدودسازی آدرس‌ها، و اجباری‌کردن HTTPS + Certificate Pinning است. این ضعف برای شبکه‌هایی که هنوز از SOAP استفاده می‌کنند یک ریسک بسیار جدی محسوب می‌شود.

#RedTeam #Soap #WebExploitation
@securation

⭕️ خیلی وقت ها دیدم که دوستان برای انجام تست هاشون دنبال سخت افزاری میگردن که به اصطلاح برای اون تست ساخته شده، مثلا دنبال RTL-SDR یا Proxmark میگردن و یا دنبال اسباب بازی هایی مثل FlipperZero و امثالهم هستن. از نظری درسته اینکار ولی گاهی پیش میاد که سخت افزار مورد نظر پیدا نمیشه یا هزینه بیشتری داره، میشه در این شرایط از راه های جایگزین استفاده کرد.

مثلا برای RTL-SDR میشه از دانگل های USB گیرنده DVB-T استفاده کرد که روشون از چیپ دمولاتور RTL2832 استفاده شده باشه. همینطور میشه برای تقویتشون بدنه پلاستیکی رو جدا کرد و بدنه فلزی متصل به زمین برد رو جایگزینش کرد تا در برابر نویز محیط مقاوم بشه یا مثلا کانکتور SMA بهش متصل کرد تا بشه از کابل های Coaxial (مثلا با امپدانس ۵۰ اهم برای گیرنده) برای اتصال آنتن استفاده کرد.

برای فرستنده هم میشه از یه برد Raspberry Pi مثل RPi Zero استفاده کرد که به لطف لایبرری RPiTx و ساختار پردازنده Broadcom این امکان وجود داره که فرکانس پردازنده رو با DMA روی GPIO قرار داد (حداکثر تا فرکانس Clock پردازنده) و مدولاسیون موردنظر رو به صورت نرم افزاری روش اعمال کرد و سیگنال خروجی رو در نهایت به یه BPF و PA فرستاد تا تقویت بشه.

برای بخش High Frequency در Proxmark میشه از ماژول های ارزون تر و ساده تری مثل PN532 استفاده کرد که با یه تبدیل Usb به TTL ساده میشه با استفاده از libnfc انواع حملات آفلاین HF RFID مثل Nested, DarkSide, MFKey32/64 و... رو باهاش انجام داد. (برای حملات آنلاین میشه از چیپ های دیگه ای استفاده کرد مثلا چیپ های Texas Instruments)

برای بخش Low Frequency هم میشه از ماژول های ریدر/رایتر 125KHz استفاده کرد مثل RDM6300 که با تغییرات ریز و چند خط کد میشه تبدیلش کرد به امولاتور تگ های LF، حتی این امکان وجود داره که با مطالعه استاندارد ISO 18000-2 با یک میکروکنترلر و یک چیپ Op Amp، ریدر/رایتر/امولاتور خودتون رو برای این باند بسازید.

برای فلیپر زیرو هم که دو بخش RFID ش رو مثل روشی که بالا گفتم میشه پیاده کرد برای بخش RF هم میشه از ماژول های Sub-GHz مثل cc1101 (از همین چیپ داخل خود فلیپر زیرو استفاده شده)، انواع ماژول های RFM و... استفاده کرد که مدولاسیون های مختلف مثل ASK, FSK, GFSK, MSK و... رو پشتیبانی میکنن که به راحتی به واسطه کتابخونه های غنی که براشون وجود داره با چند خط کد میشه انواع حملات رو برای سناریو های مختلف با هزینه خیلی کمتر پیاده سازی کنید.

برای 2.4GHz هم میشه از انواع ماژول ESP32 و NRF24 استفاده کرد که هم ارزون و معروف هستن و هم کار باهاشون بسیار راحته.

و همین روند برای هر دیوایس دیگه ای احتمالا امکان پذیر باشه یا حتی ممکنه باعث بشه دیوایس خودتون رو بسازید که بهتر از اون دیوایس مورد نظر باشه.

#rtl_sdr #rfid #rf #flipperzero #proxmark
@securation

⭕️ سوءاستفاده از Eventual Consistency در AWS IAM برای Persistence

ویژگی Eventual Consistency در سرویس AWS IAM، یک بازه زمانی تقریبی ۴ ثانیه‌ای ایجاد می‌کند که طی آن، Access Keyهای حذف‌شده هنوز ممکن است معتبر و قابل استفاده باقی بمانند.
در این پست میخونید که هکرها چگونه از این ویژگی برای حفظ دسترسی و ماندگاری در محیط استفاده می‌کنند و راه‌های Mitigation آن چیست.

https://www.offensai.com/blog/aws-iam-eventual-consistency-persistence

#AWS #IAM
@securation

⭕️ شبکه 12 اسرائیل:

📍هکرهای ایرانی مدعی هستند که موفق شده‌اند تلفن همراه نخست‌وزیر سابق، نفتالی بنت را هک کنند و توانسته‌اند مکاتبات، تصاویر و لیست مخاطبین او را از آن استخراج کنند/در نهادهای امنیتی این نگرانی وجود دارد که شماره‌های تلفن‌ همراه ارشدترین افراد کشور لو رفته باشد؛ همانطور که می‌دانید نفتالی بنت نخست‌وزیر و وزیر دفاع بوده و اکنون این شماره‌ها در حال پخش شدن هستند/یک نگرانی دیگر این است که فایل‌هایی که در حال انتشار هستند – و الان حتی در واتس‌اپ‌ مثل آتش در خرمن در حال پخش شدن هستند – این فایل‌ها هم آلوده شده باشند؛ یعنی هکرهایی که این ماجرا را کلید زده‌اند، در این فایل‌ها هم بدافزار جاسازی کرده‌اند، این ماجرا یک دردسر عظیم است...

@securation

⭕️ حمله فیشینگ برای دستیابی به اعتبارنامه‌های AWS از طریق جریان فرمان جدید aws login

خط فرمان جدید aws login در AWS که برای ارائه اعتبارنامه‌های موقت جهت توسعه محلی طراحی شده است، می‌تواند توسط مهاجمان برای انجام حمله فیشینگ مورد سوءاستفاده قرار گیرد.
این روش حتی می‌تواند مکانیزم‌های MFA امن شده در برابر فیشینگ را نیز دور بزند.

https://medium.com/@adan.alvarez/phishing-for-aws-credentials-via-the-new-aws-login-flow-39f6969b4eae

#AWS #CLI
@securation

⭕️سرویس Docker Hardened Images (DHI) ، شامل Base Imageهای ایمن‌سازی‌شده (Hardened) و مینیمال است که با هدف کاهش آسیب‌پذیری‌ها (CVEs) توسعه یافته‌اند.

محصولات DHI با ارائه SBOM (لیست مواد نرم‌افزاری) شفاف و قابل تأیید و همچنین Provenance در سطح SLSA Level 3، امنیت Software Supply Chain را تضمین می‌کنند.
مهاجرت به این Image ها بسیار ساده (Drop-in) است و نیاز به تغییر Workflow شما ندارد.
اگر در کوبرنتیز ، CI CD یا پروداکت های خودتون با Docker کار می‌کنید بنظرم وقتشه نگاهی به Hardened Images بندازید.

با کمک این سرویس دیگه تیم DevSecOps تحول بسیار جدیدی در سازمان شما ایجاد می‌کند.

https://www.docker.com/products/hardened-images/

#Docker #DevSecOps #CVE
@securation

تنها گیم توی زندگیم داشتم سالها پیش بود یه ماه اینو بازی کردم که فقط اخرشو فیلم بگیرم ببرم مدرسه نشون دوستام بدم که دیگه انقدر حرف از بازی نزنن:))
فکر کن بازی ای داری که گلوله هات تموم نمیشن هرگز😒

#IGI
@securation

⭕️ آسیب‌پذیری جدید با شناسه (CVE-2025-37164) برای HPE OneView (
پلتفرم مدیریت جامع سرورها، ذخیره‌سازی و شبکه) اومده که مهاجم بدون لاگین میتونه از راه دور کد دلخواه اجرا کنه.
آسیب پذیری امتیاز 10 از 10 گرفته و هنوز راه فیکس کردنی بصورت رسمی برای این مورد نیومده.

تحلیل فنی آسیب پذیری :
https://attackerkb.com/topics/ixWdbDvjwX/cve-2025-37164/rapid7-analysis
#RESTAPI #RCE #HPE
@securation