Когда-то я уже шарил историю о том как рисёрчер раскопал багу связанную с шифрованием у Microsoft и даже сумел попасть в bug bounty портал MSRC.
В этот раз история еще более великолепная. Исследователю John Stawinski пришла в голову идея порисёрчить Microsoft DeepSpeed (open source deep learning optimization library) на предмет возможной компроментации self-hosted CI/CD runners.
Ну а чтоб это сделать - достаточно было получить права в опенсорс проекте с ролью контрибьютора. Ну и ему не составила труда в readme найти пару опечаток, сделать пул реквест и заполучить заветную роль. Дальше благодаря игнорированю рекомендаций по настройкам self hosted runners, им удалось запилить rce в системе, находящейся в AD Microsoft Redmond от пользователя являющегося Senior Developer working at Microsoft🔥.
Ссылочка на статью вот тут. Ну и очень крутое объяснение по классу этой проблемы можно почитать тут.
В Microsoft пробив периметра пофиксили за 2-3 дня, а в bug bounty MSRC рисёрчеам сказали, что бага out of scope и реварда не ждите. Что на мой взгляд показывает их пренебрежительное отношение к исследователям и их работе. Не удивлюсь если следующий пробив AD Redmond сделают ребята из рансомварьных группировок.

Те кто следил и спрашивал про обманутых долщиков Берлина.
У меня для вас хорошие новости. Вышло продолжение истории 😁
https://telegra.ph/Surovaya-realnost-porosyonka-v-Berline-Valeriy-Shevchenko-04-30

Кто угадает гостя? 😎

Уверен что тут тоже есть меломаны-читатели, кто может переключиться и быть мега продуктивным благодаря "правильной" музыке.
Буду признателен если поделитесь в комментариях чем-то интересным 😇
Вот мой плэйлист:
Worakls, Moby, Overwerk, Techo, Awolnation, Muse, Alt-J, Skrillex, Mø, Nora en pure, Linkin Park, Fort Minor, Serj Tankian

Моё знакомство с большими ревардами в bug bounty случилось на программах где менеджером был Roy Davis.
Он был таким приятным и легким в общении. Никогда не возникало ситуаций, в которых он мог повести себя как душнила или не учесть тех аргументов, которые я собрал для правильной оценки критичности. Я кстати выкладывал тут его интересный доклад об опыте взлома ATM.
А пол года назад мне удалось заслать ему уязвимость в Zoom Bug Bounty где он теперь работает. И он тоже классно разобрался с репортом и учел все аргументы, которые я привёл. Хотя ситуация для меня была ужасная, и я прошёл через все этапы страдния. От дубля, до триажнутой баги забытой в бэклоге из-за неправильной оценки при сортировке.
Могу сказать, что он точно повлиял на мой путь и на то где я сейчас и чему я научился за это время.
И вот теперь он выкладывает это видео о боковом амиотрофическом склерозе(ALS). Очень грустно ...
Берегите себя и своих близких 🫶

Примерно год назад мы с моим приятелем серьезно разломали Dell. Причем вектор атаки был не самым хитрым и во многом пришел с моей любимой историей про credential stuffing и еще одним наблюдением.
И вот вчера Dell сообщил об утечке клиентских данных.
У Вас закономерно вопрос - причём тут мы и причём тут эта новость?😁
Мы конечно прямого отношения к именно этой не имеем. Но Dell еще год назад выкопали себе хорошую яму, приняв следующее решение в отношении результатов иследований и всех последующих:

Dell can't control if internal employees reuse their credentials in third party systems
... such reports will be considered Informational without exception

Масштаб проблемы уже тогда был очень серьезным. При желании можно было даже положить бэкдор в каждое произведенное устройство. И вчерашняя новость - это просто закономерный результат 💁‍♂️

Рад представить наш новый выпуск с новым гостем из мира Security. Со времен когда bug bounty было не таким "модным", наш гость умудрился запустить сайтик и в режиме реального времени насобирать на Porsche 911. Сейчас этим сложно удивить, но 10 лет назад это казалось невероятным. Это не единственное о чем мы поговорили с Кириллом. Приятного просмотра 😉
https://youtu.be/QMXBCpomYyM

Тут Jobert из HackerOne поделился интересной информацией. Оказывается AI-bot, которого они у себя настроили, уже успешно справляется с Hacker101 CTFs тасками. А значит уже получает больше инвайтов в приватки, чем многие из вас кто читает этот пост.
К публикации есть небольшое дополнение - "I haven’t seen any evidence yet where AI outperforms human creativity and curiosity, and this is where people will continue to add value for many years to come."
Ну что, у кого какие таланты? Кто чем дальше планирует заниматься? Часики тикают 😁