Форум информационной безопасности - Codeby.net
Статья Traefik ForwardAuth bypass уязвимость: двойной удар CVE-2026-35051 и CVE-2026-39858
Traefik ForwardAuth пропускает без credentials: CVE-2026-35051 и CVE-2026-39858 (CVSS 7.8) обходят аутентификацию одним заголовком — X-Forwarded-Prefix или X_Forwarded_Proto с underscore вместо дефиса.CVE-2026-35051 бьёт по конфигурациям с trustForwardHeader=false за AWS ALB, Nginx или Cloudflare: Traefik не санитизирует X-Forwarded-Prefix, и клиентское значение уходит в auth-сервис (Authelia, oauth2-proxy) — тот возвращает 200 вместо 401. MITRE T1190 → T1078: за ForwardAuth сразу Grafana, Portainer, Kubernetes Dashboard.
CVE-2026-39858 — underscore-bypass: фильтр таргетирует только канонические дефисные заголовки, underscore-варианты проходят насквозь.
trustForwardHeader=false считается «безопасной» настройкой — но X-Forwarded-Prefix она не блокирует.Статья Проверка подписи Stripe webhook: bypass-техники и реальные CVE на пентесте
Semgrep-скан 40 open-source проектов с Stripe-интеграцией выявил: 14 из них не вызывают constructEvent() вообще — CVE-2026-21894 в n8n подтвердил, что паттерн живёт в продуктах с десятками тысяч инсталляций.Webhook-эндпоинт принимает POST, парсит JSON, читает type: "payment_intent.succeeded" и запускает бизнес-логику без единой проверки заголовка Stripe-Signature. По MITRE T1190 — это Initial Access одним HTTP-запросом: никакого lateral movement, privilege escalation, закрепления. Endpoint предсказуем: /webhooks/stripe, /api/webhooks/payment. GitHub Code Search по "payment_intent.succeeded" NOT constructEvent находит тысячи файлов.
Webhook-эндпоинт обрабатывает бизнес-события — ни один Sigma-rule из коробки его не мониторит. Слепая зона SIEM.Статья CVE-2026-45131 + CVE-2026-45132: уязвимость GitHub Actions — fork PR крадёт секреты CI/CD
CVE-2026-45131 + CVE-2026-45132 (CVSS 10.0): анонимный GitHub-аккаунт, один fork PR — и Docker Hub credentials, PAT и SSH-ключ подписи коммитов утекли без единого клика со стороны maintainer'а.Уязвимость живёт в триггере pull_request_target: он запускает workflow в привилегированном контексте base branch, но checkout тянет код из форка атакующего. Итог — T1195.001 Initial Access через вредоносный initContainer в Helm-шаблоне с зелёным бейджем Verified.
Фикс — коммит fcf9302. Но паттерн CWE-94 воспроизводится за 30 секунд через GitHub Code Search в тысячах репозиториев.
Привилегированный workflow выглядит чистым — вредоносный код живёт в форке, EDR его не видит.Статья Поведенческий анализ угроз UEBA: detection без сигнатур для Blue Team
SIEM зелёный, дашборд чист — а svc_backup за 12 минут выполнила 340 LDAP-запросов к AD в 02:38 с неизвестного IP. Risk score UEBA: 87. Сигнатурных алертов: ноль. T1087 Account Discovery уже идёт.Сигнатурные правила слепнут там, где атакующий входит с валидным паролем и работает через net.exe, WMI и cmd.exe — инструменты штатного администратора. CrowdStrike 2025: большинство атак malware-free. IBM X-Force фиксирует рост AI-фишинга в 11,4 раза быстрее ручного.
UEBA строит поведенческий baseline по Event ID 4624/4769, NetFlow, DNS и M365-телеметрии.
SOC смотрит на алерты — UEBA смотрит на паттерны. Разница: часы против недель незамеченного lateral movement.Статья Пентест VPN-инфраструктуры: методология проверки Check Point, Fortinet и Cisco на уязвимости аутентификации
CVE-2026-50751 (CVSS 9.3) в Check Point Gaia OS эксплуатируется с 7 мая: deprecated IKEv1 позволяет войти в корпоративную сеть без пароля — CISA дала 3 дня на патч, EPSS 0.70, top 1% всех известных CVE.Статья даёт пошаговую методологию пентеста VPN-шлюзов Check Point, Fortinet и Cisco с фокусом на аутентификацию. Kill chain: ike-scan fingerprinting → проверка четырёх предусловий уязвимости → nuclei -t CVE-2026-50751.yaml → ручная верификация сессии. Параллельно — CVE-2026-50752 (CWE-295, MitM на IKEv1 site-to-site, CVSS 7.4).
IDS видит легитимного сотрудника — VPN-сессия без пароля не триггерит алерт. Windows Event Log молчит.Статья CVE-2026-45659 SharePoint RCE: десериализация, эксплуатация и обнаружение атак
CVE-2026-45659 — SharePoint RCE через CWE-502 десериализацию: Storm-2603 прошла от Site Member до ransomware Warlock за один скомпрометированный сервер. CISA дала федералам три дня на патч после 40 дней «Exploitation Less Likely».Уязвимость бьёт по on-premises SharePoint Server 2016/2019/SE — CVSS 8.8, PR:L, UI:N. Атакующий с правами Site Member формирует gadget chain через .NET-десериализацию, получает RCE и разворачивает web shell (T1505.003). Storm-2603 дополняла цепочку Cloudflare tunneling и драйвером NSecKrnl.sys для подавления EDR.
EPSS соседней CVE-2026-20963 — Top 5%, PR:N, automatable. SharePoint Online не затронут — только on-premises.