Форум информационной безопасности - Codeby.net
На проверке CVE-2025-68670 xrdp RCE: разбор pre-auth уязвимости и защита Linux-инфраструктуры
CVE-2025-68670: pre-auth RCE в xrdp, CVSS 9.1, EPSS-перцентиль 68% — TCP-коннект на 3389 без логина и пароля превращается в shell на сервере.Kaspersky нашла stack overflow в xrdp_wm_parse_domain_information — доменное имя из Client Info PDU копируется в буфер 256 байт без проверки границ. PoC использует кириллицу для расширения UTF-8 при подгонке под лимит UTF-16, перезаписывая return address строкой «AAAAAAAA».
Патчи в v0.10.5, бэкпорты в 0.9.27 и 0.10.4.1. Проверяйте stack canary в сборке, фильтруйте домены с подчёркиваниями на файрволе, мониторьте аномальные Client Info PDU до аутентификации через network IDS.
SOC ищет постаутентификационные аномалии — здесь весь эксплойт умещается до первого пакета с логином.На проверке OSINT для собеседования в ИБ: как учебные платформы готовят к реальным задачам разведки
Junior-пентестер завалил собеседование после 30 пройденных OSINT-комнат — интервьюер дал домен и 20 минут без подсказок. Разница между провалом и оффером оказалась не в инструментах.TryHackMe учит терминологии через guided-room с подсказками рядом с заданием. HTB Academy строит методологию через категории информации, а не источники — Corporate Recon требует MITRE T1593, T1590, T1596 без scaffolding.
На интервью оценивают систематичность: WHOIS, DNS, поддомены, LinkedIn, проверка утечек через HIBP и GitHub-репозитории по T1593.003. Хаотичное переключение между инструментами — красный флаг для интервьюера.
Собеседование проверяет не знание флагов theHarvester, а способность строить методологию с пустого листа без чётких подсказок.На проверке Глаз Бога OSINT: как отличить рабочий инструмент от фейка
Глаз Бога заблокирован в 2021-м, но клоны в Telegram до сих пор собирают предоплату и номера "для верификации" — вы пришли пробить кого-то, а T1589 пробивает вас самих.Три схемы: оплата без результата, сбор вашего номера под видом верификации, фишинг-клоны вроде eog-bot.ru, перехватывающие сессию через "авторизацию Telegram". Тысячи зеркал одного бренда, разные владельцы через неделю.
Чек-лист из 7 флагов отличает рабочий OSINT от разводки: предоплата до демо-выдачи, обещания доступа к базам МВД, отсутствие источников, оплата только криптой. Альтернатива — Sherlock, Maigret, theHarvester, SpiderFoot: T1596.005, только открытые данные.
Легитимный OSINT-инструмент раскрывает источники и работает часами — "полное досье за минуту" уже само по себе красный флаг.Вакансия 🚀 Ищем новых авторов курсов по информационной безопасности
«Я мог бы этому научить» — если вы практик и давно так думаете, напишите нам первыми.Codeby Academy расширяет линейку курсов вместе с сильными практиками из индустрии — у нас большая и живая аудитория студентов. Особенно ищем авторов по направлению Безопасность ИИ / AI Security, но рассматриваем все актуальные темы в области ИБ.
Не обязательно сразу делать большой курс: мы открыты к небольшим практическим продуктам на 2–3 дня — интенсивам, воркшопам, мини-курсам. Что предлагаем автору:
денежное вознаграждение за создание курса, 
выход на аудиторию школы и продвижение, 
помощь с упаковкой, методологией и организацией обучения, 
свободу формата — от большого курса до узкоспециализированного интенсива. А если сами не хотите быть автором, но знаете сильного специалиста — порекомендуйте его: за успешную рекомендацию тоже есть вознаграждение. Пишите в личку @maria_ezhi и сразу коротко расскажите: чем занимаетесь, какую тему готовы преподавать и какой формат рассматриваете. Будем рады новым авторам и действительно сильным практикам в...На проверке Hack The Box 2026 обзор: defensive security, Crisis Control и Workforce Intelligence
HTB 2026 закрыла gap между offensive и defensive: 230+ курсов, SOC Range с 250+ алертами, Crisis Control для C-level. Но 77% защитников тренируются в атаке — а платформа готова ли к обратному?SOC Range моделирует SIEM-поток вместо CTF-головоломки, но разрыв с Elastic 8.x, MaxPatrol или Splunk ES сохраняется — навык триажа переносится, привычка к интерфейсу нет. Нет интеграции с SOAR — TheHive, Cortex, Splunk SOAR остаются за кадром.
Crisis Control совмещает техническое расследование с эскалацией на уровне C-level в одном сценарии — редкий формат.
DOA получил DCWF 8140, но статус стоит проверить самому — маркетинг HTB опережает независимое подтверждение фактов.На проверке Атаки на критическую инфраструктуру в 2026: техники компрометации OT/ICS на уровне протоколов
Modbus/TCP 502 и EtherNet/IP 44818 открыты в интернет тысячами — Shodan находит HMI-панели без аутентификации, а group связываемая с Volt Typhoon закрепляется в OT-сетях на месяцы через External Remote Services (T1133).Kill chain идёт сверху вниз по Purdue-модели: Exploit Public-Facing Application (T1190) на уровне 4-5 через уязвимые SCADA-веб-интерфейсы, затем VPN-доступ подрядчика без ограничений по IP и MFA — прямой путь к инженерным станциям и ПЛК.
Проверяйте сегментацию уровней 3 и ниже, brokered access с записью сессий вендоров, DPI-файрволы для ICS-протоколов.
IT-периметр защищён — атакующие спускаются к контроллерам через доверенный VPN подрядчика, минуя весь мониторинг SOC.На проверке Supply Chain атака npm: как истёкший домен компрометирует тысячи проектов
Мейнтейнер npm-пакета привязал аккаунт к домену со статусом pendingDelete в whois — регистрация за цену чашки кофе открывала сброс пароля и публикацию вредоносного patch. Паттерн T1195.002 привёл к node-ipc, chalk/debug и червю Shai-Hulud.Kill chain: whois-разведка мёртвых доменов мейнтейнеров через npm view maintainers → регистрация домена → MX-запись → Forgot password → публикация payload через ^ semver. Атакующие подняли npmjs.help для перехвата TOTP в реальном времени — 18 пакетов скомпрометированы за один заход.
Между смертью домена и компрометацией прошло два месяца тишины — supply chain атаки живут не в CVE, а в whois.На проверке CVE-2026-40965: утечка приватного EC-ключа в Cloud Foundry UAA — от GET-запроса до подделки JWT
CVSS 10.0 без единого exploit-байта: GET-запрос к /token_keys в Cloud Foundry UAA отдавал приватный EC-ключ подписи JWT прямо в JSON-ответе. CVE-2026-40965 — и это не утечка данных, это конец доверия ко всем токенам платформы.Баг живёт в сериализации JWK для uaa_release v76.12.0–v78.12.0: RSA-ключи фильтруются корректно, а вот для EC вместе с публичными x, y в ответ утекает приватный скаляр d. Дальше — PyJWT, произвольные scope и client_id, admin-токен без единого пароля.
Поддельный JWT криптографически валиден — ни Cloud Controller, ни маршрутизаторы отличить не могут.
Классическая детекция credential theft тут бесполезна — токен не украден, а нарисован с нуля из утёкшего d.На проверке CVE-2026-9558 и CVE-2026-9559: цепочка SSTI и Path Traversal в Mautic 7 до RCE
Contractor с правом "загрузить тему" в Mautic 7 превращается в root. CVE-2026-9558 — SSTI в Twig без сэндбокса, живёт с версии 1.3.0. CVE-2026-9559 — Zip Slip в импорте кампаний. Вместе CVSS 9.9 + 9.9 = RCE за два запроса.Twig-движок тем рендерит .twig-файлы без Twig\Sandbox\SecurityPolicy — allowlist функций отсутствует десять лет. Импорт кампаний уязвим к Zip Slip: ../ в путях ZIP-архива перезаписывает PHP-файлы через include/require (CWE-98), минуя прямой доступ по URL.
Патчи: 5.2.11, 6.0.9, 7.1.2, для 4.x — 4.4.20 через ELTS.
EPSS 44-й перцентиль и статус Track у CISA — а импакт total. PR:L требует лишь аккаунт маркетолога, не админа.Заметка UX Astra Linux или при чем тут UX и безопасность?
«Астра стоит, импортозамещение выполнено» — а вся работа идёт внутри Windows-ВМ через сетевой мост.Обычная библиотека госсектора: компьютер с Astra Linux, а на нём VirtualBox с Windows 10 через сетевой мост — то есть ещё один хост в сети со своим IP и всеми вытекающими. Формально галочка есть, фактически сертификация ФСТЭК не работает, а детектить трафик ВМ нечем: ни IDS, ни DPI, ни VMI из коробки. И хуже всего — ложная уверенность, что «всё защищено».
В этой заметке — разбор, почему это не разовый косяк админа, а системный симптом UX-проблемы: библиотекарь или бухгалтер элементарно не может работать в Астре напрямую, потому что флешка требует udev/fstab/групп, принтер — ручной настройки, установка .deb упирается в консоль, а Parsec/MAC не дают шагу ступить без sudo. Админ вздыхает и ставит Windows-ВМ. Плюс — конкретные предложения вендору (упростить UX, дополнить документацию сценарием «Астра + Windows-ВМ», включить br_netfilter в ядро по умолчанию) и живая дискуссия сообщества с примерами схем «тонкий клиент → RDP на винду».
Заметка-мнение для специалистов по ИБ и госсектору: удобство и безопасность здесь связаны...