Detecting Secrets to Reduce Attack Surface

В настоящее время нет (или мало) публично доступных инструментов с открытым исходным кодом для обнаружения секретов в образах контейнеров. Авторы рассказывают про инструмент с открытым исходным кодом SecretScanner который предназначен для обнаружения секретов, которые хранятся в образах непреднамеренно или по ошибке дизайна образа

Примеры секретов:
- пароли пользователей
- автоматически сгенерированные пароли
- пароли от БД
- SSH ключи
- API ключи
- авторизационные ключи
- токены
- SSL сертификаты

https://medium.com/deepfence-cloud-native-security/detecting-secrets-to-reduce-attack-surface-3405ee6329b5

About the security content of iOS 14.5 and iPadOS 14.5 - Apple Support

Довольно много патчей от Apple устраняющих достаточное количество уязвимостей

https://support.apple.com/en-us/HT212317

Relaying Potatoes: Another Unexpected Privilege Escalation Vulnerability in Windows RPC Protocol - SentinelLabs

https://labs.sentinelone.com/relaying-potatoes-dce-rpc-ntlm-relay-eop/

Linux Security Module Usage

https://www.kernel.org/doc/html/v4.15/admin-guide/LSM/index.html

…

KubeArmor

https://github.com/accuknox/KubeArmor#getting-started

Управление рисками цепочек поставок от NIST/CISA

Агентство по кибербезопасности и инфраструктурной безопасности (CISA) и Национальный институт стандартов и технологий (NIST) предоставляют информацию об атаках на цепочку поставок программного обеспечения, связанных с ними рисках и о том, как организации могут эти риски могут смягчить

https://csrc.nist.gov/projects/cyber-supply-chain-risk-management

Fedora Linux 34 is officially here! - Fedora Magazine

https://fedoramagazine.org/announcing-fedora-34/

What's new in Fedora:

https://fedoramagazine.org/whats-new-fedora-34-workstation/

SSHing to my Raspberry Pi 400 from a browser, with Cloudflare Tunnel and Auditable Terminal
https://blog.cloudflare.com/ssh-raspberry-pi-400-cloudflare-tunnel-auditable-terminal/

The NGINX Handbook
https://www.freecodecamp.org/news/the-nginx-handbook/amp/

Cisco Talos Intelligence Group - Comprehensive Threat Intelligence: Vulnerability Spotlight: Information disclosure vulnerability in the Linux Kernel
https://blog.talosintelligence.com/2021/04/vuln-spotlight-linux-kernel.html?m=1

Chrome 90.0.4430.93 for Windows, Mac and Linux which will roll out over the coming days/weeks

https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_26.html

APT trends report Q1 2021
https://securelist.com/apt-trends-report-q1-2021/101967/

Hello Ransomware Uses Updated China Chopper Web Shell, SharePoint Vulnerability

SharePoint в опасносте..

https://www.trendmicro.com/en_us/research/21/d/hello-ransomware-uses-updated-china-chopper-web-shell-sharepoint-vulnerability.html

WordPress XXE injection vulnerability could allow attackers to remotely steal host files

https://portswigger.net/daily-swig/wordpress-xxe-injection-vulnerability-could-allow-attackers-to-remotely-steal-host-files

https://blog.sonarsource.com/wordpress-xxe-security-vulnerability

Стартап Mighty разработал облачный браузер: он обещает работать быстрее Chrome и тратить всего 500 МБ оперативной памяти

https://vc.ru/services/239805-startap-mighty-razrabotal-oblachnyy-brauzer-on-obeshchaet-rabotat-bystree-chrome-i-tratit-vsego-500-mb-operativnoy-pamyati

Linux 5.12 final release

https://lkml.org/lkml/2021/4/25/225

https://lwn.net/Articles/847451/

DigitalOcean says customer billing data accessed in data breach

DigitalOcean разослала клиентам по электронной почте предупреждение об утечке данных, связанных с платежными данными клиентов.

Напомню, что это уже второй случай в данной компании за последние годы:

https://techcrunch.com/2021/04/28/digitalocean-customer-billing-data-breach/

Alibaba Cloud OSS бакет, как локальный каталог (при помощи ossfs)

Ранее писал как синхронизировать бэкапы в OSS, в том случае использовался MinIO, в рамках данной статьи базово рассказывается о том, как можно использовать клиент ossfs, создать OSS бакет, создать пользователя и предоставить этому пользователю доступ в бакет при помощи пары access/secret ключей и собственно клиента ossfs.

https://news.1rj.ru/str/sysadm_in_up/613

CISA is aware of a public report, known as “BadAlloc” that details vulnerabilities found in multiple real-time operating systems (RTOS) and supporting libraries

List affected products is very long and has products from Amazon, Microsoft, Google and more:

https://us-cert.cisa.gov/ics/advisories/icsa-21-119-04