📌#PTSwarm Завтра в 18:00 по московскому времени планируем принять участие в стриме проекта Codeby.net.
Ярослав Бабин в эфире YouTube-канала Codeby расскажет о том, как стал пентестером, даст свои советы будущим исследователям, а также вместе с ребятами из Codeby обсудит наш легендарный киберполигон The Standoff.
Ярослав Бабин в эфире YouTube-канала Codeby расскажет о том, как стал пентестером, даст свои советы будущим исследователям, а также вместе с ребятами из Codeby обсудит наш легендарный киберполигон The Standoff.
Всего в прошлом году исследователи команды PT SWARM протестировали 28 компаний из разных отраслей — от IT и банковского сектора до телекоммуникаций и сферы услуг.
Все данные со статистикой и обезличенными кейсами успешных атак ищите в полном исследовании, а самое важное расскажем тут.
🎯 Пентестеры должны были разобраться, сможет ли внешний или внутренний злоумышленник успешно атаковать организацию, и верифицировать недопустимое для бизнеса событие.
💯 Во всех организациях, где удалось провести внутреннее тестирование, эксперты установили полный контроль над инфраструктурой. Например, в одном проекте специалисты получили максимальные привилегии на домене Active Directory за 6,5 часов, в остальных этот показатель варьировался от 1 до 7 дней.
🛡 От внешнего проникновения в свою сеть смогла защититься лишь одна компания. Здесь эксперты получили доступ только в буферную зону между интернетом и внутренней инфраструктурой.
🥷 Однако даже в этой организации, как и во всех остальных, пентестеры подтвердили возможность реализации хотя бы одного недопустимого события.
Например, получение несанкционированного доступа к базе данных с персональной информацией более 460 тысяч пользователей.
Самое быстрое проникновение в локальную вычислительную сеть заняло всего один день. В среднем специалистам требовалось 10 дней для получения доступа.
👀 О ключевых проблемах, которые были обнаружены в организациях, читайте в исследовании на нашем сайте.
#PTSWARM #PositiveЭксперты
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
👍21😱7👏6❤2❤🔥2🤯2🤩1
Если бы злоумышленники сумели их обнаружить и проэксплуатировать, это могло бы привести к потере доступа пользователей к сохраненным паролям. Но наши коллеги — Алексей Писаренко, Алексей Соловьев и Олег Сурнин — предотвратили эту опасность.
Passwork входит в единый реестр российского ПО, им пользуются крупнейшие компании России банковской, строительной, промышленной и других отраслей. Мы уведомили вендора об угрозе в рамках политики ответственного разглашения, и 14 ноября 2024 года он выпустил обновленную программу версии 6.4.3, в которой все недостатки были устранены.
Уязвимости BDU:2024-08016 — BDU:2024-08021 получили оценки от 5,8 до 8,1 балла по шкале CVSS 3.1 (средний и высокий уровни опасности). Их эксплуатация грозила утечками информации и нелегитимными изменениями данных профиля.
Эксперты обнаружили несколько сценариев эксплуатации уязвимостей BDU:2024-08021 и BDU:2024-08017: даже с минимальными привилегиями в системе киберпреступник смог бы внедрить и выполнить в браузере пользователя произвольный JavaScript-код. Выполнение такого же кода при использовании недостатка BDU:2024-08016 могло произойти, если бы пользователь перешел по вредоносной ссылке. Результатом таких атак стала бы компрометация аккаунтов пользователей и администраторов Passwork.
«Эксплуатация BDU:2024-08018 могла бы позволить злоумышленнику получить доступ к локальным файлам и каталогам на сервере. Такие действия могли бы привести к недоступности приложения Passwork за счет перезаписи файлов. А если бы нарушитель смог переписать файл базы данных с паролями, возник бы риск утраты всех паролей», — уточнил Олег Сурнин, руководитель группы исследований безопасности мобильных приложений, Positive Technologies.
👉 Больше подробностей, а также информация о том, как предотвратить эксплуатацию уязвимостей, — в новости на нашем сайте.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥20👍15❤🔥5❤2
Эксперт PT SWARM обнаружил новый вектор эксплуатации «старых» уязвимостей в снятых с производства, но все еще использующихся процессорах Intel
Речь идет об уязвимостях CVE-2017-5705, CVE-2017-5706, CVE-2017-5707, CVE-2019-0090, CVE-2021-0146, которые уже исправлены компанией Intel. Прежние способы их эксплуатации давали злоумышленникам возможность частично скомпрометировать систему безопасности затронутых платформ, а новый, найденный нашим коллегой Марком Ермоловым, может привести к ее полному взлому 🤯
1️⃣ Первый сценарий возможной атаки — внедрение в процессоры программы-шпиона через цепочку поставок на этапе сборки или ремонта оборудования.
2️⃣ Сценарий номер два — обход средств защиты авторских прав (DRM) для получения доступа к защищенному контенту стриминговых сервисов. Эта же методика компрометации может использоваться для обхода механизмов защиты и копирования данных в некоторых моделях электронных книг Amazon, где используются уязвимые процессоры Intel Atom.
3️⃣ Третья возможность, которую дает обнаруженный вектор, — доступ к данным на зашифрованных носителях информации (жестких дисках или SSD). Такие атаки могут применяться при краже ноутбука или планшета на базе указанных процессоров.
Компания Intel была уведомлена в рамках политики ответственного разглашения, но не признала описываемую проблему и отказалась принимать меры для ее устранения или снижения уровня угрозы.
🛡 Чтобы обезопасить себя, советуем проверить технические характеристики устройств, которыми вы пользуетесь. Если их процессоры потенциально уязвимы, будьте осторожнее, например, при ремонте, где злоумышленник может получить к ним доступ.
#PositiveЭксперты #PTSWARM
@Positive_Technologies
Речь идет об уязвимостях CVE-2017-5705, CVE-2017-5706, CVE-2017-5707, CVE-2019-0090, CVE-2021-0146, которые уже исправлены компанией Intel. Прежние способы их эксплуатации давали злоумышленникам возможность частично скомпрометировать систему безопасности затронутых платформ, а новый, найденный нашим коллегой Марком Ермоловым, может привести к ее полному взлому 🤯
Под угрозой находятся устройства, оснащенные процессорами Intel Pentium, Celeron и Atom семейств Denverton, Apollo Lake, Gemini Lake и Gemini Lake Refresh.❗️ Сейчас выпуск этих чипов прекращен, однако они все еще применяются в некоторых ультрамобильных устройствах (электронных книгах и мини-ПК) и встраиваемых системах, вроде бортовой электроники автомобилей.
«Для этого не требуется пайка или другая физическая модификация оборудования. Злоумышленнику достаточно локального доступа для извлечения ключа шифрования и внедрения вредоносного кода в прошивку подсистемы Intel CSME. Подобную зловредную программу с большой долей вероятности не смогут выявить стандартные функции безопасности, такие как Intel Boot Guard или virtualization-based security (VBS), и все существующие антивирусы. До поры до времени оставаясь незамеченным, вредоносный код может начать высылать данные пользователей злоумышленникам, блокировать доступ к устройству, удалять и зашифровывать данные носителей и выполнять другие опасные действия», — объяснил Марк Ермолов.
Компания Intel была уведомлена в рамках политики ответственного разглашения, но не признала описываемую проблему и отказалась принимать меры для ее устранения или снижения уровня угрозы.
#PositiveЭксперты #PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13👍8👏8🤔1👌1
По оценкам TelecomDaily, это приложение является наиболее популярным среди отечественных сервисов для видеоконференций и занимает 19% российского рынка.
Недостаток безопасности CVE-2024-12168 получил оценку 8,4 балла по шкале CVSS 4.0, что означает высокий уровень опасности. При его успешной эксплуатации хакеры могли бы получить доступ к рабочей станции в корпоративной сети жертвы или, при другом векторе атаки, распространять вредоносное ПО под видом «Яндекс Телемоста».
«Для закрепления на рабочей станции пользователя злоумышленнику достаточно было бы загрузить свою вредоносную DLL-библиотеку в папку с уже установленным „Яндекс Телемостом“. Права локального администратора для этого не требовались, а вредоносный код исполнялся бы при каждом запуске „Телемоста“. В результате факт закрепления мог бы остаться незамеченным, так как сценарий атаки является достаточно специфичным для большинства классических антивирусных решений», — отмечает Иван Суслопаров, эксперт команды PT SWARM.
Один из примеров использования найденной уязвимости белыми хакерами — получение командой PT SWARM начального доступа к инфраструктуре финансовой компании в ходе проекта по анализу защищенности. Метод DLL Side-Loading среди прочего использовался киберпреступниками из Team46, в недавних вредоносных кампаниях EastWind и DarkGate, а также при распространении трояна удаленного доступа PlugX.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥27❤8😁8🐳3🤨1
Библиотека PHPWord предназначена для чтения и генерации текстовых документов на языке PHP и популярна среди разработчиков. В июне 2025 года 7,4 тыс. пользователей добавили библиотеку в избранное, она имеет 2,7 тыс. копий репозитория в веб-сервисе GitHub. В свою очередь, Math встроена в PHPWord и почти не используется отдельно: ее сохранили 29 пользователей, а репозиторий был скопирован всего 4 раза.
«Нарушитель мог бы загрузить вредоносный текстовый файл в формате OpenDocument и в процессе его обработки прочитать конфигурационные файлы. Используя их данные, злоумышленник гипотетически получил бы административный доступ к приложению, — объяснил Александр Журнаков. — Возможная атака, скорее всего, была бы направлена на чтение файлов, содержащих чувствительную информацию. В некоторых случаях ошибка могла бы быть использована для подделки запросов со стороны сервера и их отправки во внутреннюю сеть».
Потенциальный ущерб, по его словам, полностью зависел бы от возможностей приложения, использующего уязвимую библиотеку. Например, если бы в руках злоумышленника оказался обособленный сервис для конвертации документов в формат PDF, ему вряд ли удалось бы серьезно навредить организации.
Мы сообщили о найденной уязвимости, и команда разработчиков-энтузиастов пропатчила обе библиотеки. Так что советуем загрузить исправленные версии Math 0.3.0. и PHPWord 1.4.0. А если такой возможности нет, настройте запрет на использование файлов в формате ODF, если используемое приложение позволяет их загружать.
#PTSWARM #PositiveЭксперты
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥17❤6👍6❤🔥2👏1
Производитель представил для исследования тестовый стенд, и при анализе кода наши коллеги Михаил Ключников и Александр Стариков смогли обнаружить недостаток безопасности (BDU:2025-07296, 9,3 балла по шкале CVSS 4.0).
Сервер VINTEO предназначен для построения инфраструктуры видео-конференц-связи и масштабирования уже существующих сетей. По данным вендора, его решения за 12 лет позволили провести около 10 млн видеоконференций.
Уязвимость, связанная с удаленным выполнением кода (RCE), появилась из-за недостаточной фильтрации пользовательских данных в системном компоненте.
«В случае успешной эксплуатации уязвимости потенциальный атакующий мог выполнять произвольные команды и получить доступ к серверу и контроль над ним», — пояснил Михаил Ключников, руководитель группы исследования ПО отдела тестирования на проникновение, Positive Technologies.
Дальнейшие сценарии атак могли быть самыми разными. Но благодаря участию VINTEO в программе багбаунти специалисты выявили возможную угрозу на тестовом стенде, а разработчик ее оперативно устранил. Мы считаем, что сотрудничество Positive Technologies и VINTEO в рамках политики ответственного разглашения информации об уязвимостях — это пример эффективного взаимодействия между исследователями безопасности и производителями ПО. Подобный диалог позволяет повысить защищенность отечественных ИТ-решений.
Уязвимость была обнаружена и устранена в январе. Вендор выпустил security-патч, закрывший проблему, а затем подготовил полноценное обновление ПО с исправлением. Если вы используете эту систему, обновите ее до версии 30.2.0 или выше.
👀 Больше об уязвимости рассказали в новости на сайте.
#PositiveЭксперты #PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
👍15🔥10❤6🤔2
🎦 Эксперт PT SWARM Никита Петров выявил критически опасные уязвимости в TrueConf Server
Эксплуатация цепочки обнаруженных недостатков (BDU:2025-10114, BDU:2025-10115, BDU:2025-10116) могла привести к полной компрометации серверов видео-конференц-связи.
На момент публикации в сети, по данным мониторинга актуальных угроз, проводимого экспертами Positive Technologies, насчитывалось более 7000 серверов только в России. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление.
🖥 Уязвимы версии TrueConf Server до 5.5.1, 5.4.6, 5.3.7 на любых ОС. Атаке могли быть подвержены серверы, которые подключены к публичной сети.
Нарушитель, скомпрометировавший систему, мог бы получить возможность развития атаки внутри корпоративной сети организации. Кроме того, он мог бы провести атаки на пользователей этой ВКС (в фокусе внимания — бизнес и государственные организации).
Ранее эксперты Positive Technologies помогли устранить уязвимость типа RCE в системе ВКС Vinteo. В случае успешной эксплуатации недостатка безопасности потенциальный атакующий мог выполнять произвольные команды и получить доступ к серверу и контроль над ним.
❗️ Для устранения недостатка необходимо обновить TrueConf до версий 5.5.1.10180, 5.4.6.10010, 5.3.7.10043 и выше.
Исследователь также рекомендует использовать продукты класса vulnerability management, например MaxPatrol VM. Кроме того, эти уязвимости можно обнаружить с помощью правил MaxPatrol SIEM, которые выявляют подозрительные процессы от веб-серверов на Unix и Windows. Продвинутые продукты классов NTA/NDR, например, PT Network Attack Discovery (PT NAD) детектируют попытки эксплуатации данной уязвимости, а продукты класса NGFW, такие как PT NGFW, и блокируют ее.
#PTSWARM
@Positive_Technologies
Эксплуатация цепочки обнаруженных недостатков (BDU:2025-10114, BDU:2025-10115, BDU:2025-10116) могла привести к полной компрометации серверов видео-конференц-связи.
На момент публикации в сети, по данным мониторинга актуальных угроз, проводимого экспертами Positive Technologies, насчитывалось более 7000 серверов только в России. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление.
TrueConf — российский разработчик решений для совместной работы. Ключевой продукт компании, TrueConf Server, используется как мессенджер и ВКС-система для проведения видеоконференций в формате 4K Ultra HD, поддерживает до 1500 участников в одной сессии и не ограничивает число параллельных конференций.
🖥 Уязвимы версии TrueConf Server до 5.5.1, 5.4.6, 5.3.7 на любых ОС. Атаке могли быть подвержены серверы, которые подключены к публичной сети.
Нарушитель, скомпрометировавший систему, мог бы получить возможность развития атаки внутри корпоративной сети организации. Кроме того, он мог бы провести атаки на пользователей этой ВКС (в фокусе внимания — бизнес и государственные организации).
«Атака на эту систему открывает злоумышленнику дорогу во внутреннюю сеть организации, то есть служит вектором первоначального доступа, если система расположена на внешнем периметре. Далее нарушитель может получить максимальные привилегии во внутренней сети и провести классическую атаку, связанную, например, с использованием шифровальщика и последующим вымогательством. Если нарушитель просто выведет ВКС из строя, пользователи не смогут коммуницировать не только внутри компании, но и с внешними контрагентами», — отметил Никита Петров.
«Для нас безопасность — наивысший приоритет. Обновления TrueConf Server доступны для скачивания всем компаниям. Мы гордимся тем, что в кратчайшие сроки устраняем угрозы для серверов совместно с ведущими экспертами в сфере информационной безопасности, такими как Positive Technologies», — дополнил Дмитрий Одинцов, директор по развитию TrueConf.
Ранее эксперты Positive Technologies помогли устранить уязвимость типа RCE в системе ВКС Vinteo. В случае успешной эксплуатации недостатка безопасности потенциальный атакующий мог выполнять произвольные команды и получить доступ к серверу и контроль над ним.
❗️ Для устранения недостатка необходимо обновить TrueConf до версий 5.5.1.10180, 5.4.6.10010, 5.3.7.10043 и выше.
Исследователь также рекомендует использовать продукты класса vulnerability management, например MaxPatrol VM. Кроме того, эти уязвимости можно обнаружить с помощью правил MaxPatrol SIEM, которые выявляют подозрительные процессы от веб-серверов на Unix и Windows. Продвинутые продукты классов NTA/NDR, например, PT Network Attack Discovery (PT NAD) детектируют попытки эксплуатации данной уязвимости, а продукты класса NGFW, такие как PT NGFW, и блокируют ее.
#PTSWARM
@Positive_Technologies
🔥27👏7👍6😁2❤1
⚠️ Эксперт PT SWARM Даниил Сатяев помог устранить уязвимость в браузере Firefox
Уязвимость PT-2025-30487 (CVE-2025-6430, BDU:2025-07582) получила оценку 6,1 балла по шкале CVSS 4.0.
🦊 Ошибка затронула все версии Firefox ниже 140.0, а также корпоративный Firefox ESR младше 128.12. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление для Firefox и Firefox ESR.
📬 Недостатку безопасности были также подвержены соответствующие линейки почтовой программы Thunderbird: уязвимости содержались в версиях ниже 140 и 128.12. Для обеих были выпущены обновления.
⚙️ Чтобы предотвратить опасные последствия, необходимо в кратчайшие сроки обновить Firefox до версии не ниже 140.0 и Firefox ESR до версии не ниже 128.12. Если установить актуальную версию браузера невозможно, эксперт рекомендует применять средства очистки пользовательского ввода, например библиотеку DOMPurify.
💡 Оперативно узнавать об актуальных недостатках безопасности со всего мира можно на нашем портале dbugs.
#PTSWARM
@Positive_Technologies
Уязвимость PT-2025-30487 (CVE-2025-6430, BDU:2025-07582) получила оценку 6,1 балла по шкале CVSS 4.0.
Проэксплуатировав дефект безопасности в браузере Firefox вместе с уязвимостью, связанной с межсайтовым выполнением сценариев (XSS), злоумышленник потенциально мог бы:
• получить доступ к внутренним сервисам организации, например к документообороту и CRM, а затем — к коммерческой тайне и финансовым данным;
• скомпрометировать учетные данные пользователей, в том числе администраторов корпоративной сети, и нарушить бизнес-процессы организации;
• перенаправлять пользователей на фишинговые страницы для похищения учетных данных.
🦊 Ошибка затронула все версии Firefox ниже 140.0, а также корпоративный Firefox ESR младше 128.12. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление для Firefox и Firefox ESR.
📬 Недостатку безопасности были также подвержены соответствующие линейки почтовой программы Thunderbird: уязвимости содержались в версиях ниже 140 и 128.12. Для обеих были выпущены обновления.
«До устранения уязвимости CVE-2025-6430 Firefox некорректно использовал механизмы безопасной загрузки встраиваемых мультимедийных элементов, из-за чего просматриваемые пользователем файлы (документы, изображения, видеозаписи) открывались прямо в браузере, а не скачивались.
Такое поведение системы могло помочь злоумышленнику в обходе некоторых механизмов защиты от уязвимостей, приводящих к атакам типа XSS. Воспользовавшись межсайтовым скриптингом на одном из веб-ресурсов, нарушитель мог бы внедрить на страницу файл c вредоносным кодом на языке JavaScript, который жертва автоматически выполнила бы, открыв такой файл», — поделился подробностями Даниил Сатяев.
⚙️ Чтобы предотвратить опасные последствия, необходимо в кратчайшие сроки обновить Firefox до версии не ниже 140.0 и Firefox ESR до версии не ниже 128.12. Если установить актуальную версию браузера невозможно, эксперт рекомендует применять средства очистки пользовательского ввода, например библиотеку DOMPurify.
💡 Оперативно узнавать об актуальных недостатках безопасности со всего мира можно на нашем портале dbugs.
#PTSWARM
@Positive_Technologies
🔥20❤7👏5🐳3👍1
Алексей Соловьев, Николай Арчаков и Владимир Власов обнаружили 13 уязвимостей на стороне сервера в Chamilo LMS — популярной платформе для управления обучением с открытым исходным кодом.
💡 На платформе зарегистрировано около 40 млн аккаунтов. Chamilo LMS используют университеты, школы и компании для дистанционного и корпоративного обучения.
Выявленные недостатки безопасности создавали риски как для частных пользователей (утечка персональных данных), так и для организаций — вплоть до получения атакующими контроля над сервером с последующим продвижением по сети.
👾 Были обнаружены уязвимости различных классов на стороне сервера:
• Deserialization of untrusted data — позволяет внедрять данные, полученные из ненадежного источника, в структуру или объект, что при определенных условиях может привести к выполнению произвольного кода, нарушениям работы приложения или логики его работы.
• SQL injection — позволяет получить несанкционированный доступ к базам данных и манипулировать данными.
• OS command injection — позволяет выполнять произвольные команды на сервере.
• Blind SSRF — позволяет заставить сервер выполнять запросы к другим системам от своего имени.
Две самые опасные из выявленных уязвимостей относятся к классу SQL injection: их эксплуатация могла бы позволить неавторизованному пользователю выполнять запросы к базе данных и несанкционированно получать информацию. Потенциально атакующий мог бы получить доступ к панели администратора, а затем выполнить произвольный код в системе, используя одну из уязвимостей класса Deserialization of untrusted data или OS command injection.
Список всех обнаруженных уязвимостей:
PT-2025-35787 / BDU:2025-06901 (оценка по CVSS — 8,5)
PT-2025-35788 / BDU:2025-06902 (оценка по CVSS — 8,5)
PT-2025-35789 / BDU:2025-06903 (оценка по CVSS — 9,4)
PT-2025-35790 / BDU:2025-06904 (оценка по CVSS — 9,4)
PT-2025-35791 / BDU:2025-06905 (оценка по CVSS — 9,4)
PT-2025-37308 / BDU:2025-06906 (оценка по CVSS — 8,7)
PT-2025-37309 / BDU:2025-06907 (оценка по CVSS — 8,7)
PT-2025-37310 / BDU:2025-06908 (оценка по CVSS — 8,7)
PT-2025-37375 / BDU:2025-06909 (оценка по CVSS — 8,7)
PT-2025-37376 / BDU:2025-06910 (оценка по CVSS — 8,7)
PT-2025-37377 / BDU:2025-06911 (оценка по CVSS — 9,0)
PT-2025-37378 / BDU:2025-06912 (оценка по CVSS — 7,8)
PT-2025-39654 / BDU:2025-11697 (оценка по CVSS — 8,0)
Для устранения недостатков рекомендуется в кратчайшие сроки обновить Chamilo LMS до версии 1.11.32 или до самой последней, доступной на данный момент. Для версий 1.11.x–1.11.28 следует воспользоваться рекомендациями по устранению уязвимостей.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
❤🔥13👏10👍7❤1🔥1
— Дорогой, где ты был?
— Бегал.
— Странно, но твой пульс был в норме…
Эксперт PT SWARM Артем Кулаков помог устранить уязвимость в Garmin Connect — одном из самых популярных приложений для фитнеса 🏃♂️
Под угрозой могли оказаться владельцы почти 300 моделей различных устройств компании, установившие программу на смартфон под управлением Android (из Google Play приложение загрузили более 10 млн пользователей).
Обнаруженному исследователем недостатку безопасности PT-2025-41569 (BDU:2025-08843) присвоено 6,9 балла по шкале CVSS 4.0. Уязвимость, позволяющая выполнить внедрение SQL-кода, затрагивала Garmin Connect версии 5.14. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО.
В случае атаки к нарушителю могли бы попасть данные о физических характеристиках пользователя — от его веса до ритма сердцебиения, а также информация о маршрутах беговых и велотренировок. Жертвами злоумышленников могли стать владельцы умных часов, фитнес-браслетов, велокомпьютеров и GPS-навигаторов Garmin.
🔄 Чтобы устранить ошибку, следует в кратчайшие сроки обновить приложение до версии 5.18 или выше. Также Артем напоминает, что приложения для смартфонов важно скачивать только из официальных магазинов: это снизит риск утечки персональных данных и других неблагоприятных последствий.
Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.
#PTSWARM
@Positive_Technologies
— Бегал.
— Странно, но твой пульс был в норме…
Эксперт PT SWARM Артем Кулаков помог устранить уязвимость в Garmin Connect — одном из самых популярных приложений для фитнеса 🏃♂️
Под угрозой могли оказаться владельцы почти 300 моделей различных устройств компании, установившие программу на смартфон под управлением Android (из Google Play приложение загрузили более 10 млн пользователей).
Обнаруженному исследователем недостатку безопасности PT-2025-41569 (BDU:2025-08843) присвоено 6,9 балла по шкале CVSS 4.0. Уязвимость, позволяющая выполнить внедрение SQL-кода, затрагивала Garmin Connect версии 5.14. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО.
В случае атаки к нарушителю могли бы попасть данные о физических характеристиках пользователя — от его веса до ритма сердцебиения, а также информация о маршрутах беговых и велотренировок. Жертвами злоумышленников могли стать владельцы умных часов, фитнес-браслетов, велокомпьютеров и GPS-навигаторов Garmin.
«Для эксплуатации уязвимости злоумышленнику потребовалось бы заранее написать вредоносное приложение, которое после установки на устройство пользователя перехватило бы данные, собранные Garmin Connect. Чтобы жертва добровольно загрузила вредоносную программу на смартфон, атакующий мог замаскировать ее под игру или любое другое безобидное ПО», — отметил Артем Кулаков.
🔄 Чтобы устранить ошибку, следует в кратчайшие сроки обновить приложение до версии 5.18 или выше. Также Артем напоминает, что приложения для смартфонов важно скачивать только из официальных магазинов: это снизит риск утечки персональных данных и других неблагоприятных последствий.
Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.
#PTSWARM
@Positive_Technologies
🔥27❤11😁10👏4⚡1🥰1🤯1
Positive Technologies
❗️Самое время обновить Windows: наш эксперт помог закрыть две уязвимости нулевого дня в файловой системе ОС Руководитель группы анализа уязвимостей PT ESC Сергей Тарасов (immortalp0ny) обнаружил опасные уязвимости, затрагивавшие более 30 настольных и серверных…
Уязвимость в службе телефонии TapiSrv обнаружил Сергей Близнюк, она получила высокий уровень опасности (8,0 по CVSS 3.1). Этот сервис предустановлен во всех семействах Windows, с его помощью приложения взаимодействуют с телефонными системами (стационарными телефонами, модемами, VoIP-системами).
Недостаток безопасности PT-2026-27341 (CVE-2026-20931) затронул 35 операционных систем, среди которых как современные Windows Server 2019/2022/2025, так и более ранние (Windows Server 2008 и 2012). Полный список уязвимых систем приведен в уведомлении Microsoft. Компания выпустила обновления безопасности.
Для технической реализуемости атаки также было бы необходимо, чтобы в организации непропатченная служба телефонии была запущена в режиме сервера, что применяется редко.
Уязвимость могла позволить злоумышленнику закрепиться в серверном сегменте внутренней сети организации и перемещаться по нему. На следующем этапе атакующий мог бы повысить привилегии в корпоративном домене до максимальных, а в дальнейшем развить нападение на внутренние ресурсы и IT-системы, похитить конфиденциальные данные или нарушить бизнес-процессы.
❗️Активированная служба TapiSrv встречается исключительно в корпоративных сетях
• Если в компании нет возможности установить обновления, необходимо незамедлительно отключить серверный режим, если уязвимый сервис не используется для реальной коммуникации.
• Домашним устройствам, даже если вы увидите в списке своих программ этот сервис, ничего не угрожает.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥9❤8👏4🐳3😁1👌1🤨1
⚡ Более 21 тысячи устройств с установленной XWiki — под угрозой
Эксперты PT SWARM Алексей Соловьев и Евгений Копытин обнаружили и помогли устранить три уязвимости в open-source-платформе XWiki, которую компании используют для создания корпоративных вики-сайтов. При успешной эксплуатации недостатков злоумышленник мог похитить данные сотрудников или нарушить доступность ресурса.
🌎 По данным наших экспертов, потенциально по всему миру уязвимы более 21 тысячи устройств с XWiki. Больше всего таких устройств — в Германии, США, Франции, Гонконге и России. Чтобы оставаться защищенными, необходимо как можно скорее обновить XWiki до последних версий (17.3.0-rc-1, 16.10.6, 16.4.8).
Делимся подробностями.
1️⃣ PT-2025-30704: риск отказа в обслуживании
Эксплуатация уязвимости могла привести к сбою в работе XWiki. Это обернулось бы остановкой процессов, зависящих от платформы, и возможной негативной реакцией со стороны клиентов и партнеров. Восстановление доступа к размещенной информации потребовало бы дополнительных ресурсов.
Проблема заключалась в том, что при получении специального HTTP-запроса от лица неаутентифицированного пользователя платформа некорректно очищала входные данные. Это позволяло злоумышленнику внедрить SQL-инъекцию (HQL-инъекцию) — то есть изменить логику запроса к базе данных и заставить ее выполнять дополнительные команды.
При этом уязвимость нельзя назвать стандартной, так как возможности ее использования были ограничены особенностями работы XWiki. Злоумышленник мог бы использовать недостаток для перегрузки системы — например, отправить большое количество запросов с командой sleep к базе данных. Это могло привести к отказу в обслуживании и к недоступности ресурса
2️⃣ PT-2025-31942: повышение привилегий и выполнение административных действий
Ошибки позволяли провести социотехническую атаку, при которой злоумышленник манипулировал действиями пользователя, чтобы выполнить операции от имени администратора.
Для эксплуатации требовалось, чтобы пользователь перешел по специальной ссылке. После этого в его браузере выполнялся вредоносный JavaScript-код (атака типа XSS). Если жертвой становился обычный пользователь, злоумышленник мог повысить свои привилегии в XWiki. Если же по ссылке переходил администратор, атакующий получал возможность читать и изменять конфиденциальные данные.
Злоумышленник также мог выполнить произвольный код на сервере, что позволило бы ему, например, заменить адреса корпоративных страниц ссылками на фишинговые ресурсы и похитить учетные записи сотрудников. Если бы сервер с XWiki находился в локальной сети организации, то нарушитель мог бы развить атаку на других устройствах.
#PTSWARM
@Positive_Technologies
Эксперты PT SWARM Алексей Соловьев и Евгений Копытин обнаружили и помогли устранить три уязвимости в open-source-платформе XWiki, которую компании используют для создания корпоративных вики-сайтов. При успешной эксплуатации недостатков злоумышленник мог похитить данные сотрудников или нарушить доступность ресурса.
Уязвимость PT-2025-30704 (CVE-2025-32429, BDU:2025-09129) получила 9,3 балла из 10 по шкале CVSS 4.0 — это критический уровень опасности. Два других недостатка объединены идентификатором PT-2025-31942 (CVE-2025-32430, BDU:2025-06941) и оценены в 6,5 балла.
🌎 По данным наших экспертов, потенциально по всему миру уязвимы более 21 тысячи устройств с XWiki. Больше всего таких устройств — в Германии, США, Франции, Гонконге и России. Чтобы оставаться защищенными, необходимо как можно скорее обновить XWiki до последних версий (17.3.0-rc-1, 16.10.6, 16.4.8).
Делимся подробностями.
1️⃣ PT-2025-30704: риск отказа в обслуживании
Эксплуатация уязвимости могла привести к сбою в работе XWiki. Это обернулось бы остановкой процессов, зависящих от платформы, и возможной негативной реакцией со стороны клиентов и партнеров. Восстановление доступа к размещенной информации потребовало бы дополнительных ресурсов.
Проблема заключалась в том, что при получении специального HTTP-запроса от лица неаутентифицированного пользователя платформа некорректно очищала входные данные. Это позволяло злоумышленнику внедрить SQL-инъекцию (HQL-инъекцию) — то есть изменить логику запроса к базе данных и заставить ее выполнять дополнительные команды.
При этом уязвимость нельзя назвать стандартной, так как возможности ее использования были ограничены особенностями работы XWiki. Злоумышленник мог бы использовать недостаток для перегрузки системы — например, отправить большое количество запросов с командой sleep к базе данных. Это могло привести к отказу в обслуживании и к недоступности ресурса
2️⃣ PT-2025-31942: повышение привилегий и выполнение административных действий
Ошибки позволяли провести социотехническую атаку, при которой злоумышленник манипулировал действиями пользователя, чтобы выполнить операции от имени администратора.
Для эксплуатации требовалось, чтобы пользователь перешел по специальной ссылке. После этого в его браузере выполнялся вредоносный JavaScript-код (атака типа XSS). Если жертвой становился обычный пользователь, злоумышленник мог повысить свои привилегии в XWiki. Если же по ссылке переходил администратор, атакующий получал возможность читать и изменять конфиденциальные данные.
Злоумышленник также мог выполнить произвольный код на сервере, что позволило бы ему, например, заменить адреса корпоративных страниц ссылками на фишинговые ресурсы и похитить учетные записи сотрудников. Если бы сервер с XWiki находился в локальной сети организации, то нарушитель мог бы развить атаку на других устройствах.
#PTSWARM
@Positive_Technologies
🔥18👍6🐳4❤2🎉1
В вашей сессии новый герой: мастер DDoS и майнинга 🧙♂️
Эксперт PT SWARM Олег Сурнин обнаружил и помог устранить две опасные уязвимости в Foundry Virtual Tabletop — платформе для проведения настольных ролевых игр онлайн.
👾 Уязвимости PT-2025-138 и PT-2025-139 получили, по нашей экспертной оценке, 7,1 и 8,4 балла из 10 по шкале CVSS 4.0.
При успешной атаке злоумышленник мог бы выполнить вредоносный код на сервере, где установлена платформа, или повысить привилегии до уровня администратора. Это позволило бы заблокировать игровой сервер для вымогательства, добавить устройство в ботнет для DDoS-атак, а также использовать его для майнинга или дальнейших хакерских атак.
Наши эксперты выяснили, что потенциально уязвимы около 120 тысяч серверов, больше всего — в США, Бразилии, Германии, Мексике, Испании и России.
🛠 Для устранения недостатков необходимо обновить Foundry VTT до версии 13.351 или выше. Важно, чтобы это сделали администраторы серверов и сервисы, предоставляющие поддержку платформы другим игрокам.
#PTSWARM
@Positive_Technologies
Эксперт PT SWARM Олег Сурнин обнаружил и помог устранить две опасные уязвимости в Foundry Virtual Tabletop — платформе для проведения настольных ролевых игр онлайн.
Платформа позволяет игрокам создавать и проводить игры прямо в браузере: вести карты, расставлять фишки, делать броски кубиков и управлять персонажами. С ее помощью играют в Dungeons & Dragons, Pathfinder, Call of Cthulhu и другие TTRPG.
Foundry VTT популярна: в официальном Discord около 104 тысячи участников и более 90 тематических игровых каналов, а страницу на Reddit посещают примерно 50 тысяч игроков в неделю.
При успешной атаке злоумышленник мог бы выполнить вредоносный код на сервере, где установлена платформа, или повысить привилегии до уровня администратора. Это позволило бы заблокировать игровой сервер для вымогательства, добавить устройство в ботнет для DDoS-атак, а также использовать его для майнинга или дальнейших хакерских атак.
Наши эксперты выяснили, что потенциально уязвимы около 120 тысяч серверов, больше всего — в США, Бразилии, Германии, Мексике, Испании и России.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥12❤🔥7👍4❤3👏1
IPAHound — инструмент от пентестеров для пентестеров 🤝
Наша команда хакеров PT SWARM все чаще изучает инфраструктуры, построенные на базе альтернативных реализаций службы каталога Microsoft Active Directory, одна из которых — FreeIPA.
👨💻 Если говорить просто, то FreeIPA — это единый центр авторизации, где можно создавать пользователей, задавать им права и управлять доступами к серверам и сервисам компании. В отличие от Active Directory, эта система создана под Linux и является open-source решением.
Команда PT SWARM уже не раз находила уязвимости нулевого дня в FreeIPA и ее компонентах, помогая делать систему безопаснее. В ходе работы стало очевидно, что помимо отдельных багов важно изучать и архитектурные особенности, которые сильно отличаются от Active Directory.
😶 Чтобы автоматизировать эту работу, команда создала IPAHound — инструмент для поиска ошибок в настройках прав в домене FreeIPA.
IPAHound состоит из двух компонентов — коллектора (собирает данные) и GUI (графического интерфейса). Коллектор получает информацию через протокол LDAP и подготавливает ее для загрузки в интерфейс. В графическом представлении данные отображаются в виде графа, что упрощает поиск ошибок в настройках домена и анализ связей.
😐 Команда готова делиться своим инструментом и рассказывать, как он работает. Одними из первых его протестировали ребята из «Группы Астра», которые разрабатывают службу каталога ALD Pro на базе FreeIPA.
Мы подробно разобрали IPAHound в материале на Хабре: показали, как он работает на практике и какие есть варианты перемещения по инфраструктуре FreeIPA.
Прочитать статью можно по ссылке.
#PTSWARM
@Positive_Technologies
Наша команда хакеров PT SWARM все чаще изучает инфраструктуры, построенные на базе альтернативных реализаций службы каталога Microsoft Active Directory, одна из которых — FreeIPA.
Команда PT SWARM уже не раз находила уязвимости нулевого дня в FreeIPA и ее компонентах, помогая делать систему безопаснее. В ходе работы стало очевидно, что помимо отдельных багов важно изучать и архитектурные особенности, которые сильно отличаются от Active Directory.
IPAHound состоит из двух компонентов — коллектора (собирает данные) и GUI (графического интерфейса). Коллектор получает информацию через протокол LDAP и подготавливает ее для загрузки в интерфейс. В графическом представлении данные отображаются в виде графа, что упрощает поиск ошибок в настройках домена и анализ связей.
«Нам удалось проверить все типовые сценарии использования инструмента IPAHound и подтвердить его удобство для поиска ошибок в конфигурации: password spraying, захват службы, повышение привилегий через группу — с помощью IPAHound все эти ошибки искать становится намного проще», — поделились они своими впечатлениями.
Мы подробно разобрали IPAHound в материале на Хабре: показали, как он работает на практике и какие есть варианты перемещения по инфраструктуре FreeIPA.
Прочитать статью можно по ссылке.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
❤12👍8❤🔥6🔥6
Мы помогли компании Dell устранить опасные уязвимости в ее продукте
Эксперт PT SWARM Александр Журнаков обнаружил цепочку уязвимостей в программном комплексе Wyse Management Suite, который используется для централизованного управления тонкими клиентами.
Это такие маломощные компьютеры, которые подключаются к удаленному серверу и позволяют работать с ним (в качестве аналогии — облачный гейминг). И да, такие устройства действительно выглядят тонкими😑
Решение от Dell может быть развернуто как на внутреннем сервере компании, так и в публичном облаке. Обнаруженные недостатки затрагивали именно локально развернутые версии Wyse Management Suite. Уязвимости PT-2026-21793 и PT-2026-21794 получили высокую оценку опасности — 8,8 и 7,2 балла из 10 по шкале CVSS 3.1.
Первая уязвимость связана с нарушением бизнес-логики: из-за ошибки в проверке прав доступа обычный пользователь мог повысить свои привилегии до администратора и получить полный доступ ко всем устройствам, подключенным к системе. Вторая позволяла загрузить вредоносный файл и выполнить произвольный код от имени локального пользователя.
😎 Больше всего потенциально уязвимых устройств находится в США, Германии, Франции, Великобритании и Нидерландах. Мы уведомили Dell о проблеме, и компания уже выпустила обновление безопасности. Чтобы защититься, необходимо обновить Wyse Management Suite до версии 5.5 или выше.
По словам эксперта, уязвимости, связанные с нарушением бизнес-логики, нередко встречаются в программных комплексах с широкой функциональностью, таких как Wyse Management Suite. Полностью обеспечить безопасность такой обширной кодовой базы без специализированных решений крайне сложно, поэтому для снижения рисков важно ограничивать доступ к подобным системам из внешней сети⚡️ 👽 ⚡️
#PTSWARM
@Positive_Technologies
Эксперт PT SWARM Александр Журнаков обнаружил цепочку уязвимостей в программном комплексе Wyse Management Suite, который используется для централизованного управления тонкими клиентами.
Это такие маломощные компьютеры, которые подключаются к удаленному серверу и позволяют работать с ним (в качестве аналогии — облачный гейминг). И да, такие устройства действительно выглядят тонкими
Решение от Dell может быть развернуто как на внутреннем сервере компании, так и в публичном облаке. Обнаруженные недостатки затрагивали именно локально развернутые версии Wyse Management Suite. Уязвимости PT-2026-21793 и PT-2026-21794 получили высокую оценку опасности — 8,8 и 7,2 балла из 10 по шкале CVSS 3.1.
Первая уязвимость связана с нарушением бизнес-логики: из-за ошибки в проверке прав доступа обычный пользователь мог повысить свои привилегии до администратора и получить полный доступ ко всем устройствам, подключенным к системе. Вторая позволяла загрузить вредоносный файл и выполнить произвольный код от имени локального пользователя.
По словам эксперта, уязвимости, связанные с нарушением бизнес-логики, нередко встречаются в программных комплексах с широкой функциональностью, таких как Wyse Management Suite. Полностью обеспечить безопасность такой обширной кодовой базы без специализированных решений крайне сложно, поэтому для снижения рисков важно ограничивать доступ к подобным системам из внешней сети
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
👍19🫡7🔥4🐳4🤯1🍾1
В контроллерах Delta Electronics исправлены критические уязвимости
Эксперты PT SWARM Сергей Федонин и Иван Курнаков при участии Владимира Назарова обнаружили четыре бреши в программируемых логических контроллерах Delta Electronics серии AS300.
Эти устройства используют компании по всему миру для управления промышленным оборудованием — от производств электроники и текстиля до систем упаковки и маркировки пищевой продукции.
😱 Все найденные уязвимости получили 9,8 балла из 10 по шкале CVSS 3.1. Проблемы PT-2026-348532, PT-2026-34858 и PT-2026-34860 затрагивали ПЛК серии AS300 с прошивкой 1.14 и ниже, а PT-2026-34859 — устройства с прошивкой 1.10 и ниже.
Для их эксплуатации злоумышленнику достаточно было получить сетевой доступ к ПЛК серии AS300. А дальше все зависело бы от квалификации атакующего.
🤩 Нарушитель без глубоких знаний о технологическом процессе мог бы получить права администратора на контроллере и удалить прикладную программу, отвечающую за управление технологическим процессом.
🤩 А более продвинутый атакующий смог бы выдавать несанкционированные команды управления подключенными к контроллеру полевыми устройствами нижнего уровня АСУ ТП, искажать показания датчиков, изменять предельные значения технологических параметров срабатывания сигнализаций и защит. В итоге это могло бы привести к сбоям в работе оборудования или даже к аварийной ситуации на производстве.
🔧 Мы вовремя предупредили производителя, и Delta Electronics уже выпустила обновление прошивки — 1.16. В компании рекомендуют устанавливать его только через официальные каналы. Если возможности оперативно обновиться нет, стоит ограничить доступ к ПЛК из внешней и корпоративной сетей.
Все найденные уязвимости уже обнаруживает PT ISIM. В свою очередь PT NAD детектирует попытки воспользоваться подобными уязвимостями, а PT NGFW еще и блокирует их.
#PTSWARM
@Positive_Technologies
Эксперты PT SWARM Сергей Федонин и Иван Курнаков при участии Владимира Назарова обнаружили четыре бреши в программируемых логических контроллерах Delta Electronics серии AS300.
Эти устройства используют компании по всему миру для управления промышленным оборудованием — от производств электроники и текстиля до систем упаковки и маркировки пищевой продукции.
😱 Все найденные уязвимости получили 9,8 балла из 10 по шкале CVSS 3.1. Проблемы PT-2026-348532, PT-2026-34858 и PT-2026-34860 затрагивали ПЛК серии AS300 с прошивкой 1.14 и ниже, а PT-2026-34859 — устройства с прошивкой 1.10 и ниже.
Для их эксплуатации злоумышленнику достаточно было получить сетевой доступ к ПЛК серии AS300. А дальше все зависело бы от квалификации атакующего.
Все найденные уязвимости уже обнаруживает PT ISIM. В свою очередь PT NAD детектирует попытки воспользоваться подобными уязвимостями, а PT NGFW еще и блокирует их.
#PTSWARM
@Positive_Technologies
Please open Telegram to view this post
VIEW IN TELEGRAM
❤15🍾6🔥4🫡4