Прежде чем перейти к статье, хочу вам представить, экономическую онлайн игру Brave Knights, в которой вы можете играть и зарабатывать. Регистируйтесь, играйте и зарабатывайте!
ДИСКЛЕЙМЕР: Внимание! Вся представленная ниже информация предназначена только для ознакомительного изучения. Автор не несет никакой ответственности за любой причиненный вред с использованием изложенной информации.
К концу подходит первый месяц 2022. Самое время оглянуться назад и посмотреть на новые и интересные CVE, появившейся в январе этого года.
CVE-2022-23222 - Linux Kernel eBPF Improper Input Validation Vulnerability
В файле «/kernel/bpf/verifier.c» в ядре Linux версии 5.15.14 присутствует уязвимость, позволяющая локальным пользователям повысить привилегии из-за доступности арифметики указателей через определенные типы указателей *_OR_NULL.
Некий tr3e (tr3e wang) обнаружил, что верификатор BPF не ограничивает полноценно несколько типов указателей *_OR_NULL, позволяя этим типам выполнять арифметику указателей. Локальный пользователь, имеющий возможность вызвать функцию bpf(), может воспользоваться этим недостатком для повышения привилегий.
Проблема возникает из-за отсутствия надлежащей проверки предоставленных пользователем программ BPF перед их выполнением.
Подробнее
https://www.debian.org/security/2022/dsa-5050
https://www.openwall.com/lists/oss-security/2022/01/13/1
https://www.openwall.com/lists/oss-security/2022/01/14/1
https://www.openwall.com/lists/oss-security/2022/01/18/2
CVE-2022-23131 - Небезопасное хранение сессии на стороне клиента, ведущее к обходу аутентификации через Zabbix Frontend с настроенным SAML
В случаях, когда аутентификация SAML SSO включена (не по умолчанию), данные сессии могут быть изменены злоумышленником, поскольку логин пользователя, сохраненный в сессии, не был проверен. Потенциальный нарушитель, не прошедший аутентификацию, может использовать эту проблему, чтобы повысить привилегии и получить администраторский доступ к Zabbix Frontend. Для успешной атаки необходимо, чтобы у жертвы была включена SAML-аутентификация, а злоумышленник знал имя пользователя Zabbix (или использовал гостевую учетную запись, которая по умолчанию отключена).
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23131
https://support.zabbix.com/browse/ZBX-20350
CVE-2022-21907 - Уязвимость удаленного выполнения кода (RCE) / отказа в обслуживании (DoS) в HTTP Protocol Stack
Пользователь GitHub'а nu11secur1ty обнаружил уязвимость в Windows 10 (сборка 2004, вышедшая в мае 2020 года) в HTTP Protocol Stack (HTTP.sys), о которой было известно еще с прошлого года по уязвимости CVE-2021-31166. Эксплуатация CVE-2022-21907 требует отправки вредоносных пакетов на целевые машины с Windows, которые используют уязвимую версию HTTP.sys.
Также эта брешь в безопасности позволяет произвести атаку на отказ в обслуживании. Сценарий атаки следующий: переполнение буфера -> отказ в обслуживании -> перезагрузка системы.
Подробнее ознакомиться с новой CVE и PoC-кодом можно в репозитории исследователя nu11secur1ty.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21907
https://github.com/nu11secur1ty/Windows10Exploits/tree/master/2022/CVE-2022-21907
https://packetstormsecurity.com/files/165566/HTTP-Protocol-Stack-Denial-Of-Service-Remote-Code-Execution.html
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907
CVE-2022-21969 - Уязвимость удаленного выполнения кода (RCE) на сервере Microsoft Exchange Server
Пользователь frycos искал пути обхода механизмов защиты от атак на небезопасную десериализацию данных в Microsoft Exchange Server. Нашёл одну критическую уязвимость, в которой можно реализовать удаленное выполнение кода с полезной нагрузкой, сгенерированной из ysoserial .NET.
Подробнее ознакомиться с исследованием frycos можно в его авторской статье.
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21969
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21969
https://medium.com/@frycos/searching-for-deserialization-protection-bypasses-in-microsoft-exchange-cve-2022-21969-bfa38f63a62d
CVE-2022-21920 - Уязвимость повышения привилегий в Windows Kerberos
Использовав эту уязвимость, пользователь домена может повысить свои привилегии до администратора.
Microsoft оценила эту уязвимость в 8.8 по базовым метрикам и в 7.7 по временным метрикам по CVSS 3.0 стандарту.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21920
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21920
CVE-2022-21857 - Уязвимость повышения привилегий в Active Directory
При определенных условиях злоумышленник может повысить свои привилегии. Microsoft оценила эту уязвимость в 8.8 по базовым метрикам и в 7.7 по временным метрикам
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21857
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857
CVE-2022-21840 - Уязвимость удаленного выполнения кода (RCE) в Microsoft Office
Для атаки через описанную уязвимость нужно напрямую взаимодействовать с жертвой — она должна открыть специально созданный документ Office.
Microsoft оценила эту уязвимость в 8.8 по базовым метрикам и в 7.7 по временным метрикам по CVSS 3.1 стандарту.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21840
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21840
CVE-2022-23302 - Уязвимость в Log4j(1.x)
CVE-2022-23302 относится к уязвимостям с высокой степенью критичности. JMSSink во всех версиях Log4j 1.Х уязвим к небезопасной десериализации данных. JMSSink использует JNDI незащищенным образом, что позволяет любому приложению, использующему его, быть уязвимым, если оно настроено на обращение к недоверенному сайту или если сайт, на который ссылаются, может быть доступен злоумышленнику. Например, нарушитель может вызвать удаленное выполнение кода, манипулируя данными в хранилище LDAP.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23302
https://logging.apache.org/log4j/1.2/index.html
CVE-2022-21893 - Уязвимость удаленного выполнения кода (RCE) в протоколе RDP
В целях эксплуатации уязвимости злоумышленнику необходимо убедить целевого пользователя подключиться к вредоносному RDP-серверу. После подключения вредоносный сервер может прочитать или подделать содержимое буфера обмена и содержимое файловой системы жертвы.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21893
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21893
CVE-2022-21912 - Уязвимость удаленного выполнения кода (RCE) в графическом ядре DirectX
Аутентифицированный злоумышленник, не имея полномочий администратора, потенциально может воспользоваться уязвимостью в dxgkrnl.sys, чтобы выполнить произвольное разыменование указателя в режиме ядра.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21912
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21912
