Обновлению для Citrix’а - быть. Десять минут назад ответил представитель конторы, который сказал, что они действительно серъезно относятся к безопасности (ага, с временным лагом в один месяц :)) и дескать они приступили к созданию патчей.

Собственно расписание патчей для релизов:

- 13 27-Jan-2020
- 12.1 27-Jan-2020
- 12 20-янв-2020
- 11.1 20-янв-2020
- 10.5 31-янв-2020

Заявление:
- https://www.citrix.com/blogs/2020/01/11/citrix-provides-update-on-citrix-adc-citrix-gateway-vulnerability/

Как защититься пока ждешь:
- https://support.citrix.com/article/CTX267679

В течении нескольких часов любой пользователь FB мог посмотреть кто является админом той или иной страницы (например публичного деятеля или политика).

Причина всему - деплой кривого кода в продакшн:

https://www.wired.com/story/facebook-bug-page-admins-edit-history-doxxing/

Новый релиз Windows Terminal, из новшеств - включение old style, поиск. Честно говоря начинает чем-то напоминать tilix 🤔

Новости релиза:

https://github.com/microsoft/terminal/issues/3600#issuecomment-572813961

Январский "супер-патч" от Microsoft, закрывающий кучу уязвимостей в куче продуктов. Для некоторых продуктов, этот патч уже будет финальным:

https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jan

Crypt32.dll без патча может нести зло, обход используемого метода криптографии ECC может привести к возможности устанавливать ПО подписанное недоверенным сертификатом и это только малая часть...

Об уязвимости сообщило АНБ (см вложение), в связи с чем ее (уязвимость) назвали NSACrypt :)

Детали от вендора:

https://msrc-blog.microsoft.com/2020/01/14/january-2020-security-updates-cve-2020-0601/

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0601

Вендоры повылазили со своими январскими патчами.

Adobe

https://helpx.adobe.com/security/products/illustrator/apsb20-03.html

https://helpx.adobe.com/security/products/experience-manager/apsb20-01.html

Intel

https://blogs.intel.com/technology/2020/01/ipas-security-advisories-for-january-2020-2/

А между тем в плагине WordPress - Infinity WP обнаружена критическая уязвимость, собственно ссылка на патч тоже есть в статье :)

WP PoC:

https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/

Сегодня день алертов прям.

VMWare под угрозой, то-же здрасьте:

https://www.vmware.com/security/advisories/VMSA-2020-0002.html

CentOS 8.1 уже здесь:

https://lists.centos.org/pipermail/centos-announce/2020-January/035599.html

Понеслось. Подмена сертификатов при помощи NSACrypt уязвимости:

https://arstechnica.com/information-technology/2020/01/researcher-develops-working-exploit-for-critical-windows-10-vulnerability/

Пошаговый реверс прошивки Seagate Central Storage NAS с последующей эксплуатацией найденной RCE

Если совсем кратко - в прошивке можно вызвать функцию создания нового админа без какой-либо авторизации:

https://pentest.blog/advisory-seagate-central-storage-remote-code-execution/

За ссылку спасибо @SalaDys

Удаленное выполнение кода в Cisco Data Center Network Manager (DCNM)

PoC от первого лица, со слов которого описанная им история достаточно интересна и шокирующая (одно название статьи только чего стоит) :)

https://srcincite.io/blog/2020/01/14/busting-ciscos-beans-hardcoding-your-way-to-hell.html

На сайте Cisco висит critical в этом отношении:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200102-dcnm-auth-bypass

Вышло обновление для Google Chrome, с набором различных фиксов (ссылка на описание ниже), интересно то, что в этот набор добавлен фикс связанный с защитой от NSACrypt (cve-2020-0601):

https://chromereleases.googleblog.com/2020/01/stable-channel-update-for-desktop_16.html?m=1

SHA-1 ставит в опасное положение пользователей данного алгоритма:

https://threatpost.com/exploit-fully-breaks-sha-1/151697/

За ссылку спасибо @SalaDys

Я конечно хз, кто еще этим пользуется, но вот, в IE найдена уязвимость (удаленного выполнения кода!!) от которой еще нет заплатки:
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV200001

Бэкдоры сзади :)) Снова дырявый эластик:

https://blog.malwarebytes.com/threat-spotlight/2020/01/business-in-the-front-party-in-the-back-backdoors-in-elastic-servers-expose-private-data/

Обновления для Citrix увидели свет (в смысле заплатки для нашумевших уязвимостей):

https://www.citrix.com/blogs/2020/01/19/vulnerability-update-first-permanent-fixes-available-timeline-accelerated/

NIST Privacy Framework_V1.0.pdf

Обновленный NIST - Cyber security framework

Сколько раз повторять - хардкодить креды, это зло)

В продуктах Fortinet обнаружен “вшитый” SSH ключ:

https://fortiguard.com/psirt/FG-IR-19-296

Крупные компании, не гарант защиты, мы об этом говорили на sysconf.io (спасибо Hackervision.org и в частности Алексу) и вот еще одно подтверждение, интересный кейс по сабжу:

https://medium.com/@milanmagyar/ggvulnz-how-i-hacked-hundreds-of-companies-through-google-groups-b69c658c8924

За ссылку спасибо @ldviolet

16Shop фишинг кит, нацелен на пользователей Apple (собирает данные по кредиткам, регистрационные данные).

В статье приведен workflow (достаточно витиеватый), общие методы защиты:

https://blogs.akamai.com/sitr/2019/05/16shop-commercial-phishing-kit-has-a-hidden-backdoor.html

Microsoft “топит” за безопасность, дает рекомендации от своих консультантов-продавцов 🙂

В паблике оказалось 250 миллионов данных клиентов MS, а именно:
- Адреса электронной почты клиентов
- IP-адреса клиентов
- Адреса (месторасположение)
- Описания проблем /обращения в службу поддержки
- И даже документы помеченные, как "конфиденциальные”

Уюю хуу, да здравствует Microsoft со своими рекоммендациями по безопасности:

https://www.comparitech.com/blog/information-security/microsoft-customer-service-data-leak/