Cross-Site Request Forgery (CSRF) leading to XSS and RCE via file upload and LFI

WordPress Gallery Plugin – NextGEN Gallery (установок плагина более 800к)

https://www.wordfence.com/blog/2021/02/severe-vulnerabilities-patched-in-nextgen-gallery-affect-over-800000-wordpress-sites

По взлому Oldsmar Water

План расследования:

https://pcsoweb.com/21-015-detectives-investigate-computer-software-intrusion-at-oldsmar%E2%80%99s-water-treatment-plant

Что случилось:

https://www.dragos.com/blog/industry-news/recommendations-following-the-oldsmar-water-treatment-facility-cyber-attack/

Vagrant-Mutate

Vagrant-mutate is a vagrant plugin to convert vagrant boxes to work with different providers.

Иными словами позволяет конвертировать vagrant боксы из одного виртуального провайдера в другого, может быть полезно при миграции например с parallels/virtualbox > libvirtd

https://github.com/sciurus/vagrant-mutate

Несколько полезных ссылко по заданной теме:
- https://nts.strzibny.name/libvirt-vagrant-boxes-with-vagrant-mutate/
- https://medium.com/@gamunu/use-vagrant-with-libvirt-unsupported-boxes-12e719d71e8e

Matryosh - Ботнет распространяющийся через ADB (Android Debug Bridge)

PoC

https://blog.netlab.360.com/matryosh-botnet-is-spreading-en/

Firefox Windows Critical Vulnerabilities

Buffer overflow in depth pitch calculations for compressed textures

https://www.mozilla.org/en-US/security/advisories/mfsa2021-06/

Windows Win32k Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1732

Февральский набор патчей от Microsoft изобилует RCE фиксами:

- CVE-2021-24078 - Windows DNS Server
- CVE-2021-24074 - Windows TCP/IP Remote Code Execution Vulnerability
- CVE-2021-26701 - .NET Core and Visual Studio Remote Code Execution Vulnerability

Детали по набору:

https://news.sophos.com/en-us/2021/02/09/frag-out-four-remote-attack-bugs-fixed-in-microsofts-february-patch-tuesday/

Набор патчей от Adobe (включая заплатки для Reader, Photoshop, Illustrator)

Включая произвольное выполнение кода, раскрытие чувствительной информации..

Детали в security bulletin:

https://blogs.adobe.com/psirt/?p=1965

Google Drive for desktop Beta Test Application

Доступна beta версия Google Drive, которая предположительно в будущем заменит Google Backup & Sync:
https://docs.google.com/forms/d/e/1FAIpQLSd2f59L2hkw3GHU2q709mtmkpX0NfMG6VThi3kOs40wEcIp3g/viewform

Когда у производителя антивирусного решения (иных ИБ решений) утекли данные

Данных не много (около 14 клиентов из 7-ми разных организаций), но тем не менее решили уведомить публику (молодцы)

Инцидент произошел в процессе тестирования системы журналирования (данные утекли из тестовой системы), в связи с чем сделаны выводы и приняты меры (по ссылке ниже описано какие) во избежание подобных инцидентов в будущем.

Хочется сделать акцент на том, что - к тестовым системам нужно относится если не так трепетно, как в проду, но как минимум с достаточным вниманием.

https://blog.emsisoft.com/en/37707/incident-report/

Vulnerability Scanning Tools

Подборка сканеров уязвимостей от OWASP (Open Web Application Security Project)

https://owasp.org/www-community/Vulnerability_Scanning_Tools

Краткая заметка о безопасности при генерации CRUD в фреймворках на примере Yii2

https://nitroteam.kz/index.php?action=researches&slug=Zametka-dlya-tekh-kto-polzuetsya-generatsiey-koda-v-Yii2-4253

@nitroteamchannel

Browser fingerprinting via favicon!

Supercookie использует favicon для присвоения уникального идентификатора посетителям веб-сайта.

В отличие от традиционных методов отслеживания, этот идентификатор может храниться почти постоянно, и пользователь не может легко его очистить.

Этот метод отслеживания работает даже в режиме инкогнито браузера и не очищается путем очистки кеша, закрытия браузера или перезапуска системы, использования VPN или установки AdBlockers.

Иными словами этот метод позволяет определить пользователя в не зависимости от инкогнито режима, VPN или AdBlocker.

Favicon - это маленькая иконка, которая отображается во вкладке браузера рядом с названием сайта

Есть демо, описание техники и живая демонстрация работы:

https://github.com/jonasstrehle/supercookie

testinfra Documentation

Что такое Testinfra - библиотека для написания тестов направленных на проверку состояний служб, серверов и т.п., может работать с ansible, puppet, chef. Можно использовать в сриптах или просто написать тест для проверки состояния системы и запускать его руками

Примеры использорвания testinfra. Обновлено 29 января 2021.

https://readthedocs.org/projects/testinfra/downloads/pdf/latest/

Сайт Testinfra - https://testinfra.readthedocs.io/en/latest/

HACKING 30 MOBILE HEALTH APPS
AND APIS

Повествование о том, как данные миллионов людей могут быть раскрыты

Малварь не дремлет - Цепочка заражения в преддверии дня Валентина

https://www.proofpoint.com/us/blog/threat-insight/baza-valentines-day

February 2021 Security Updates

Подборка патчей (целая пачка для разных продуктов) от Microsoft включающих заплатку от уязвимости нулевого дня и других багов (около ~50ти)

https://msrc.microsoft.com/update-guide/releaseNote/2021-Feb