😈 [ SEKTOR7 Institute @SEKTOR7net ]

Wondering what telemetry an EDR collects?

Wonder no more! @Kostastsale and @ateixei run an EDR Telemetry Project, covering all major EDRs:

"The main goal of the EDR Telemetry project is to encourage EDR vendors to be more transparent about the telemetry they provide".

Blog:
🔗 https://detect.fyi/edr-telemetry-project-a-comprehensive-comparison-d5ed1745384b

Table:
🔗 https://docs.google.com/spreadsheets/d/1ZMFrD6F6tvPtf_8McC-kWrNBBec_6Si3NW6AoWf3Kbg/edit?usp=sharing

Github:
🔗 https://github.com/tsale/EDR-Telemetry

🐥 [ tweet ]

Давно уже мы не обсуждали новые уязвимости, поэтому сегодня у нас свеженькая RCE - CVE-2024-27198 (оценка по CVSS=9.8) и path traversal - CVE-2024-27199 (оценка по CVSS=7.3) в TeamCity CI/CD от JetBrains

Думаю, что прямо из названия TeamCity CI/CD в целом уже понятно назначение данного продукта, но если нужны детали в качестве предисловия, то можно посмотреть по ссылке на прошлый обзор критичной баги в этом решении.

Позавчера в блоге Rapid7 были опубликованы технические детали эксплуатации этих уязвимостей:

CVE-2024-27198 - байпас аутентификации из-за недостатка логики проверки аутентификации для методов класса jetbrains.buildServer.controllers.BaseController библиотеки web-openapi.jar. Эксплуатация которых позволяет получить возможность доступа к приложению с правами администратора с помощью создания новой учетки или нового значения access token для существующей учетной записи. Уязвимость возникает при обращении к несуществующей странице c параметром запроса jsp=/app/rest/users;.jsp

curl -ik https://target.com/hax?jsp=/app/rest/users;.jsp -X POST -H "Content-Type: application/json" --data "{\"username\": \"haxor\", \"password\": \"haxor\", \"email\": \"haxor\", \"roles\": {\"role\": [{\"roleId\": \"SYSTEM_ADMIN\", \"scope\": \"g\"}]}}"

CVE-2024-27199 - тоже про байпас аутентификации, но при обращении к нескольким менее критичным ручкам /res, /update, /.well-known/acme-challenge. При этом запрос с path traversal к этим эндпоинтам, на примере /res/../admin/diagnostic.jsp раскрывает некоторую информацию. А /res/../app/https/settings/uploadCertificate позволяет изменить tls сертификат и https порт веб-сервера /res/../app/https/settings/setPort.
Полный список ручек можно найти в блоге авторов.

⚙️ POC: https://github.com/yoryio/CVE-2024-27198, модуль metasploit https://github.com/rapid7/metasploit-framework/pull/18922
🔎 Sigma правила: https://github.com/rapid7/Rapid7-Labs/blob/main/Sigma/path_traversal_attacks_CVE_2024_27199.yml
🪲 Уязвимые версии ПО: TeamCity до версии 2023.11.4
✅ Рекомендации: Патч уже доступен, необходимо обновиться до версии 2023.11.4

#TeamCity #RCE #CVE-2024-27198

У «Хакера» теперь есть свой стикерпак для Telegram! Посмотреть и добавить себе можно по ссылке: https://t.iss.one/addstickers/xakepstix

​Попался

Пока все массово обсуждают и пытаются понять, как это за пару месяцев в 2024 году утекло уже более 510 000 000 данных граждан нашей страны (что уже побило рекорд за весь прошлый год), предлагаю обсудить один достаточно интересный тип инструментов, который из профессиональной сферы начинает перетекать в бытовую, а имя ему – Honey Tokens. Да, это пост не только для кибербезопасников, а для всех, кто интересуется кибергигиеной.

Мы с вами уже как-то разбирались в том, что такое HoneyPot, так вот, это его родственник. Если коротко, то эта штука позволяет обнаружить признаки и факт взлома любого вашего устройства или сервиса. Происходит это благодаря специальным меткам, маркерам или триггерам, которые умеют расставлять инструменты класса Honey Tokens. Более того, в некоторых случаях, можно даже вычислить источник взлома.

Как же это работает. На самом деле, всё очень просто. Вы выбираете нужную приманку – например, текстовый файл с названием "Пароли" или папку с названием "Документы" (только не надо класть туда реальные пароли или сканы настоящих документов), а затем буквально устанавливаете на них сигнализацию. То есть, как только кто-то попробуем открыть этот файл или зайти в конкретную папку, вам отправится уведомление о том, что это произошло.

Ну а теперь переходим от теории к практике – вы сами можете попробовать, как это работает, например, с Сanary Tokens. Через него вы сможете настроить ту самую сигнализацию на любой файл, ссылку, айпишник, электронную почту, папку и еще много чего. Уведомления именно в этом сервисе можно настроить на вашу почту. И да, всё это бесплатно и с понятным интерфейсом. Так что пользуйтесь на здоровье и делитесь с близкими.

#Полезное

Твой Пакет Безопасности

Git-Rotate

Альтернатива IPRotate на базе Github Actions. Позволяет получить большой пул IP-адресов для обхода рейт лимитов.

Статья https://research.aurainfosec.io/pentest/git-rotate/
Утилита https://github.com/dunderhay/git-rotate

Интеграция с RuMarket

А вот такой повод я не могу пропустить :)

Помните статью про сторы и то, как мы загружали туда нашпигованное уязвимостями приложение?

Так вот, теперь наш продукт Стингрей официально интегрирован с магазином приложений RuMarket! Теперь каждое загружаемое приложение будет проверено нами и разработчик получит отчет о том, что можно улучшить в его продукте.

Я считаю это очень важным шагом в развитии безопасности мобильных приложений и что теперь каждое приложение, которое будет загружено получит возможность узнать, что скрывается внутри с точки зрения безопасности.

Мы будем наращивать количество проверок и возможностей в этой интеграции и уверены, что в следующем нашем исследовании приложения станут намного безопаснее ;)

#Стингрей #rumarket