Версия 2.15 log4j уязвима не только к DoS но к RCE.

А теперь стало известно что версия 2.16 тоже уязвима к DoS.

Ряд экспертов указывают, что активные атаки с использованием уязвимостей log4j продлятся еще несколько лет.

https://issues.apache.org/jira/browse/LOG4J2-3230

Обращение Британского ФСТЭК к руководству организаций.

https://twitter.com/NCSC/status/1471807226134343681

Про смерть SOCов, неэффективность аутсорсинговых SOCов, автоматизацию TI и другие наблюдения с SecOps Summit. Продолжение обзора мероприятий по SOC, которые прошли на первой неделе декабря. И это не про SOC Forum, хотя про него тоже будет - https://lukatsky.ru/secops/3-meropriyatiya-po-socam-v-techenie-odnoy-nedeli-chto-obschego-chast-1.html

​💬 true story... Social Engineering.

Вопрос не в том «Взломают Вас или нет?», а «Насколько быстро Вы сможете обнаружить, что Вас уже взломали?!»

🖖🏻 Приветствую тебя user_name.

• Бывает, что одну фирму нанимают проверить качество работы другой. Когда речь идет о социальной инженерии, это особенно актуальная практика.

• Основатель компании The Security Awareness Уинн Швартау занимается аудитом более 25 лет. К нему обычно приходят за экспертной оценкой уже проведенных мероприятий по усилению безопасности. Однажды его попросили сделать это для крупного финансового учреждения в Нью-Йорке. Дело в том, что сотрудников банка только что напугали предыдущие аудиторы, которые нашли тонну проблем. Целый месяц весь персонал инструктировали на интенсивных тренингах. Сотрудники стали настоящими параноиками: не открывают подозрительных писем, не переходят по фишинговым ссылкам, не подбирают флешки, не разглашают ничего по телефону и строго следуют должностным инструкциям.

• «Да это же идеальные жертвы!» — подумал Швартау и принялся за работу. Он скопировал с сайта компании образец шапки делового письма, там же взял часть адресов обычной почты сотрудников, а остальные узнал из справочников. Вместе с помощниками Швартау составил примерно 1200 персонально адресованных бумажных писем, напечатал их на самодельных бланках проверяемой организации и отправил старым дедовским способом.

• В каждом письме говорилось, что недавно репутация их компании сильно пострадала из-за действий отдельных сотрудников, пренебрегавших элементарными мерами безопасности. Руководство не может допустить новых проколов, поэтому идет на беспрецедентные меры.

• Далее для усыпления бдительности следовал детальный план с обилием технических терминов, которые офисный сотрудник вряд ли сможет понять. Затем шла стандартная просьба информировать обо всех подозрительных действиях. В заключение письма говорилось, что с ИТ-отделом и службой безопасности теперь требуется общаться только посредством физической почты, так как это единственный канал связи, недоступный хакерам.

• P.S: указанный адрес не принадлежит компании, чтобы эти письма никто не мог вычислить и перехватить. «Мы будем помещать их в надежно охраняемый почтовый ящик, доступ к которому будет только у руководства и службы безопасности" — говорилось в письме. — "Прямо сейчас вам надлежит прислать свои учетные данные, чтобы мы проверили их вручную и завершили обновление системы». 30% сотрудников ответили на следующий же день, указав в письме все свои данные. Ни один тренинг не помог им понять, что и в 21 веке хакер может отправить письмо на бумаге.

• Вывод: Как бы долго и тщательно организация ни тренировала людей, какие бы административные и технические меры в ней ни принимались, она никогда не достигнет 100% защищенности. Любые высокие показатели безопасности — лишь временный эффект. Люди делают определенные выводы, становятся осторожнее, но не могут эффективно сопротивляться свойствам своей натуры. Каждый раз, сталкиваясь с необходимостью принять безотлагательное решение, испытывая жажду легкой наживы или страх чего угодно, они делают уязвимыми себя и свою компанию. Твой S.E. #СИ #Пентест #Взлом.

Apache Software Foundation выпустили срочные исправления для серьёзных CVE-2021-44790 и CVE-2021-44224 во флагманском продукте Apache HTTP Server, в том числе связанным с удаленным  выполнением кода и получить контроль над скомпрометированной системой.

Ошибка CVE-2021-44790 позволяет посредством определённого запроса вызывать переполнение буфера в многокомпонентном парсере mod_lua в Apache HTTP Server 2.4.51 и более ранних версий. Исследователи из Apache Software Foundation не обнаружили эксплойта для уязвимости, но допустили потенциальную  возможность его создания.

Другая CVE-2021-44224 может позволить направлять запросы на конечную точку Unix Domain Socket, вызывая подделку запросов на стороне сервера. Ошибка связана с разыменованием NULL или SSRF в конфигурациях прямого прокси в Apache HTTP Server 2.4.51 и более ранних версиях.

Учитывая значительное доминирование HTTP-сервера Apache в сети и начавшуюся активную эксплуатацию другой CVE-2021-40438 подделки запросов на стороне сервера SSRF в дикой природе, применить патч для кроссплатформенного веб-сервера следует незамедлительно, о чем также озаботилось CISA, спешно добавив новые баги в свой каталог эксплуатируемых CVE.

https://logging.apache.org/log4j/2.x/security.html очередная уязвимость log4j. теперь 2.17.1 актуальная версия 🙂 cvss 6.6

https://lukatsky.ru/calendar теперь на 2022 год