Cybersecurity information flow

本ブログは、Guidance on Potential Misconfiguration of Authorization of Multi-Tenant Applications that use Azure AD の抄訳版です。最新の情報は原文を参照してください

2023年03月31日，360CERT监测发现 `3CX`   发布了 `Mac 3CXDesktop App`   的风险通告，漏洞编号为 `CVE-2023-29059`   ，漏洞等级： `严重`  ，漏洞评分： `9.6`  。

3CX : une attaque par supplychain
Le logiciel 3CX a subi une attaque par supplychain. Ce logiciel est utilisé par de nombreuses entreprises pour leur téléphonie. Il s’installe sur les postes de travail Windows, MacOs et Android.
Le but de cet article n’est pas tant d’analyser l’attaque par elle-même et le malware déployé puisque cela a été très bien fait par Volexity https://www.volexity.com/blog/2023/03/30/3cx-supply-chain-compromise-leads-to-iconic-incident/
et une bonne infographie de Thomas Roccia https://twitter.com/fr0gger_/status/1641668394155151366?s=20 est également disponible, mais d’expliquer les impacts d’une telle attaque.
Petits rappel des faits.
Le processus de mise à jour a été compromis par un groupe d’attaquant. Le but est lorsque le logiciel 3CX va faire sa mise à jour, il va installer en plus une dll malveillante qu’il va charger. L’impact est direct puisque l’attaquant donc la main sur l’ensemble des machines dont la mise à jour a été faite.
Dans notre cas, c’est la dll ffmpeg.dll qui va 

A SQLite extension which loads a Google Sheet as a virtual table.

gmailc2是一款功能强大的C2服务器。

利用这一漏洞可以于劫持TCP连接、拦截客户端和web流量。

This tool lets you search your gadgets on your binaries to facilitate your ROP exploitation. ROPgadget supports ELF, PE and Mach-O format on x86, x…

Display information about files in different file formats and find gadgets to build rop chains for different architectures (x86/x86_64, ARM/ARM64, …

CTF framework and exploit development library

利用这一漏洞可以于劫持TCP连接、拦截客户端和web流量。

随着信息技术和汽车技术的发展，车辆网络（Vehicle Network）作为一种新型的交通信息系统，逐渐发展起来。

据报道，美国加州一家法庭裁决称，在一宗安卓操作系统反垄断诉讼过程中，科技巨头Alphabet旗下的谷歌公司故意毁灭员工的内部聊天证据，谷歌将为此遭到罚款，并且在后续审判过程中面临进一步惩罚。 美国加州洛杉矶的一家联邦地方法庭法官James Donato在裁决书中表示，在保存案件有关证据方面，谷歌没有履行自己的责任。 据报道，这宗复杂的反垄断诉讼涉及到多个司法管辖区，其中包括了一个有关2100万名美国人的消费者集体诉讼，覆盖了美国38个州和哥伦比亚特区，涉及到的公司包括游戏厂商Epic以及相亲约会服务商Match集团。 这一反垄断诉讼的关键点，是消费者和厂商原告指控谷歌公司的Play应用商店在发行安卓应用软件上的垄断做法，所有原告索取的赔偿金总额高达47亿美元。不过谷歌否认这一垄断指控。 作为对谷歌破坏证据行为的罚款，法庭已经要求所有原告方的律师，在4月21日之前提供相关的律师费数字。 这一诉讼的原告方将获得一个机会，让Donato法官告知所有的陪审团成员，谷歌故意损坏不利于该公司的证据。 Donato表示，他将会在这一诉讼的后期阶段再次了解谷歌的表现。他提到，谷歌千方百计淡化破坏证据这个问题，对这个违规做法态度不屑。 在去年提交的法庭文件中，谷歌公司律师团则表示，公司采取了各种有力措施，保存案件相关的聊天记录。 对于Donato法官的裁决，原告律师团尚未作出评论。 在提交的法庭文件中，原告律师团表示，之前他们曾经寻找和本案核心问题有关的谷歌员工内部聊天证据，结果发现谷歌内部每隔24小时，就会让员工删除聊天记录，即使是在本次诉讼的流程开始启动之后，谷歌依然继续删除不利证据。 Donato法官表示，在哪些内部聊天证据和本次诉讼有关的问题上，谷歌让员工们自己去做决定，未尽到保留证据的义务。 据悉，这一案件的审判将会在今年11月开始。 众所周知的是，谷歌公司同时还面临美国司法部的反垄断诉讼，由华盛顿的一家联邦地方法庭审理。在这一诉讼中，谷歌同样被指控毁灭聊天证据，该公司正在极力抗辩。       转自 E安全，原文链接：https://mp.weixin.qq.com/s/ODkhMjP34oRT20RicztI0g 封面来源于网络，如有侵权请联系删除

As budgets get stretched thinner, security teams must soldier on and create effective DevSecOps teams.
Article Link: Tech layoffs bring secure software supply chain security to the forefront | SC Media
1 post - 1 participant
Read full topic

Cybernews 网站消息，Twitter 向美国北加州地区法院提出申请，希望代码托管平台 GitHub 能够提供源代码泄露者的具体信息。目前，法院已经批准，并要求 GitHub 在 4 月 3 号之前，提供发布者详细的身份信息。 从路透社披露的信息来看，法庭文件指出 GitHub 用户 FreeSpeechEnthusiast 可能是有罪方，一名法院书记员签署了一份传票，要求 Github 在 4 月 3 日之前提供 FreeSpeechEnthusiast 的姓名、地址、电话号码、电子邮件地址、社交媒体资料和 IP 地址等个人身份信息。 此外，法院还要求 Github 必须提供所有建立该账户时提供的识别信息、为计费或管理目的提供的所有识别信息，以及发布、上传、下载或修改页面 URL 上任何数据的用户信息。 注：源代码泄露一事发生后，GitHub 应 Twitter 的要求，立刻关闭了这些代码，源代码所在的页面目前写着：“由于DMCA移除，存储库不可用”，并附有详细解释。 值得一提的是，美国国会早在 1998 年就已经通过了《数字千年版权法》（DMCA），从法律层面解决侵犯数字作品版权的问题。 源代码可能是前员工泄露 虽然综合多方消息，但 Twitter 仍难判断源代码在共享网站上公开了多久。毫无疑问的是，源代码泄露一事将会使 Twitter 面临重大安全威胁和知识产权盗窃。推特用户中有传言称，源代码泄露是推特一名心怀不满前员工发起的报复。 2022 年 10月，埃隆·马斯克（Elon Musk）以 440 亿美元收购了 Twitter 公司，此后在推特上一直非常活跃，但截至目前还没有在推特上公开评论源代码泄密事件。 讽刺的是，源代码泄露事件发生之前，马斯克曾承诺会在 3 月底开源 Twitter 用于推荐推文的代码，以便任何人都可以对其进行审查并仔细检查是否存在安全漏洞。       转自 Freebuf，原文链接：https://www.freebuf.com/news/362056.html 封面来源于网络，如有侵权请联系删除  

随着信息技术和汽车技术的发展，车辆网络（Vehicle Network）作为一种新型的交通信息系统，逐渐发展起来。

WIP OpenAPI tooling for Rust.

Article Link: https://isc.sans.edu/diary/rss/29694
1 post - 1 participant
Read full topic

近日，绿盟科技CERT监测发现网上公开披露了Sudo权限提升漏洞（CVE-2023-22809）的分析文章与ExP。

0x00 前言
pypsrp是用于PowerShell远程协议(PSRP)服务的Python客户端。我在研究过程中，发现在Exchange Powershell下存在一些输出的问题，本文将要介绍研究过程，给出解决方法。
0x01 简介
Exchange PowerShell Remoting
pypsrp的使用
pypsrp存在的输出问题
解决方法
0x02 Exchange PowerShell Remoting
参考资料：
https://docs.microsoft.com/en-us/powershell/module/exchange/?view=exchange-ps
默认设置下，需要注意以下问题：
所有域用户都可以连接Exchange PowerShell
需要在域内主机上发起连接
连接地址需要使用FQDN，不支持IP
通过Powershell连接Exchange PowerShell的命令示例：
$User = "test\user1" $Pass = ConvertTo-SecureString -AsPlainText Password1 -Force $Credential = New-Object System.Management.Automation.PSCredential -ArgumentList $User,$Pass $Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://exchangeserver.test.com/PowerShell/ -Authentication Kerberos -Credential $Credential Invoke-Command -Session $session -ScriptBlock {Get-Mailbox -Identity administrator}
通过pypsrp连接Exchange PowerShell的命令示例：
from pypsrp.powershell import PowerShell, RunspacePool from pypsrp.wsman import WSMan host = 'exchangeserver.test.com' username='test\\user1' passw

exchange attack (test while writing)

Generate your eslint rule with OpenAI and Vercel Edge Functions.

A simple viewer for reading prompts from png generated by the Stable Diffusion.

将来自第三方产品的 DLL 注入到 Firefox 进程中的情况非常普遍——根据我们的遥测，超过 70% 的 Windows 用户至少拥有一个这样的 DLL！ （需要明确的是，这意味着任何未由 Mozilla 或操作系统的一部分进行数字签名的 DLL）

Velocirraptor 版本 0.6.8 现已可用，它是用于端点取证分析的数字取证和事件响应 (DFIR) 工具

NIST 宣布 SHA-1 应在 2030 年 12 月 31 日之前（在正式弃用 SHA-1 之后）于 2011 年彻底淘汰。

Team82 发布了基于 boofuzz 网络模糊器的自主开发的 OPC UA 网络模糊器，它帮助我们找到了 KepwareEX 服务器中的零日漏洞，并引发了一次崩溃，我们能够利用它来开发远程代码执行漏洞，并在Pwn2Own 迈阿密 ICS 黑客大赛。

Joomla 4.0.0 到 4.2 中的代码执行漏洞CVE-20233-23752

What's Your Sign 是一个具有简单目标的实用程序：从 UI 中，可以轻松查看任何文件的加密签名信息。文件或二进制文件的加密签名很重要，因为它可以确定文件是否值得信任。例如，Apple 签名的二进制文件始终是可信的，而未签名的文件可能不受信任甚至是恶意的