Форум информационной безопасности - Codeby.net
На проверке CVE-2026-9082: SQL-инъекция в Drupal Core — от PoC до RCE на PostgreSQL
CVE-2026-9082 разносит Drupal Core: анонимная SQL-инъекция через JSON:API с прямым выходом на RCE через COPY FROM PROGRAM на PostgreSQL. EPSS 0.8832, CISA SSVC Act, CVSS 9.8 — уже в KEV-каталоге.Баг живёт в Entity Query API, файл Condition.php — ключи PHP-массива вклеиваются в имя SQL-placeholder без санитайза. Ассоциативный ключ вида 0||(SELECT version()) превращает LOWER() в исполняемый конкат. Kill chain: T1190 через /jsonapi/node — дамп users_field_data — UPDATE до admin — COPY FROM PROGRAM — веб-шелл T1505.003.
Уязвимы 8.9.0–11.3.10 на PostgreSQL-бэкенде; MySQL/MariaDB/SQLite не затронуты — там своя логика expandArguments().
Патч тривиален, но фикс require только на PostgreSQL — MySQL-инстансы ловят ложное чувство защищённости.На проверке HTTP Request Smuggling: разбор desync атаки с payload'ами для Burp
CTF-финал, 500 очков, задача решена 2 из 40 команд. CL.TE desync между nginx и gunicorn: чанк `0`, а следом «хвост» — GET /admin приклеивается к запросу другого юзера.Фронтенд парсит по Content-Length, бэкенд — по Transfer-Encoding. Байты рассинхронизации застревают в TCP-буфере и превращаются в чужой HTTP-запрос. CWE-444, T1190 — обход ACL, угон сессий, отравление кэша CDN.
В Burp Repeater payload ломается молча — сними Update Content-Length и переключи протокол на HTTP/1.1 через Inspector. 38 команд из 40 не смогли посчитать 13 байт.
Код приложения идеален, а дыра — в слое парсинга между прокси и бэкендом, который никто не проверяет.На проверке Flipper Zero атаки RFID NFC Sub-GHz: практика, техники и ограничения
Flipper Zero клонировал EM-Marin бейдж через карман куртки за 8 секунд на дистанции 3 см — команда прошла три контура доступа и через 45 минут стояла в серверной финтех-офиса.Mifare Classic вскрывается mfkey32: Flipper эмулирует карту, легитимный считыватель сам шлёт nonce, ключи сектора вычисляются за секунды. Hardnested без считывателя STM32WB55 не тянет — часы против 5–20 минут у Proxmark3 RDV4 с внешней антенной и мощным процессором.
iClass SE/SEOS, rolling ID и экранированные бейджи Flipper не берёт вообще — граница жёсткая. Проверяйте СКУД на алгоритм, а не полагайтесь на бренд считывателя — Gallagher и HID тоже бывают уязвимы к replay.
Миф «открывает любую дверь» и миф «бесполезная игрушка» одинаково далеки от практики — правда в конкретном протоколе карты.На проверке Пентест Bluetooth и BLE: sniffing, spoofing и эксплуатация через Ubertooth и nRF52
nRF52840 Dongle за $12 снял полный BLE-capture с фитнес-трекера за минуту — Ubertooth One на том же CTF терял каждый третий пакет при channel hopping на BLE 4.2. Разница в hardware решила исход задачи.Ubertooth проектировался под Bluetooth Classic, BLE прикрутили программно — при connection interval 7.5 мс потери пакетов доходят до 35%. nRF Sniffer и Sniffle держат capture rate 95%+, работают с BLE 5.2, 2 Mbps PHY и Coded PHY через нативный extcap в Wireshark.
GATT-характеристики с write-without-response без аутентификации — прямой вектор управления замком или трекером.
Дорогой Ubertooth проигрывает донглу за $12 — цена железа не коррелирует с эффективностью BLE-пентеста.На проверке Сборка мобильной RF-лаборатории пентестера: антенны, усилители, батареи и портативный форм-фактор
HackRF в картонной коробке против PortaPack H4M Pro — разница в 80% качества приёма решается не ценой SDR, а антенным трактом: RTL-SDR за $30 с LNA и Yagi обходит дорогой приёмник со штатным штырём.8-бит АЦП HackRF даёт эффективный динамический диапазон ниже 48 дБ — рядом с базовой станцией или FM-вышкой вход глохнет от перегрузки. BladeRF 2.0 micro xA9 с 12-бит АЦП решает это, но MITM GSM и GPS-спуфинг легальны только в экранированной камере.
Для CTF и wardriving важен не GNU Radio на ноутбуке, а автономность: PortaPack захватывает и replay'ит Sub-GHz без хоста, розетки и загрузки софта, экономя часы полевой работы.
Команда с HackRF за $400 проигрывает RTL-SDR за $30 — потому что забыла про антенну и LNA, а не про SDR-чип.На проверке Weird machines: обнаружение скрытых вычислений через symbolic execution, fuzzing и формальные методы
Bangert et al. на WOOT собрали Тьюринг-полную машину внутри page fault handler x86 — ни одна инструкция программы не исполнялась. Oakley и Bratus сделали троян из DWARF-метаданных. CFG и CFI бессильны против вычислений, которых нет в дизассемблированном коде.Weird machine — расхождение между моделью программы и её реальной реализацией на CPU. Rich Smith и Dullien описали это через рыхлые контракты Хоара: предусловия функции в бинарнике шире задуманных разработчиком, и atacker программирует произвольные переходы через crafted input, обходя DEP, ASLR и CFG одновременно.
CVSS не видит weird machine — она достижима вне зависимости от score, потому что работает за пределами модели угроз архитектора.На проверке Weird Machines и ROP/JOP эксплуатация: от формальной теории к обходу CFI
ropper выдаёт 1000+ гаджетов на бинаре с Clang CFI — после cfgFilterGadgets остаётся меньше десяти. И этого хватает, чтобы построить рабочую ROP/JOP цепочку в обход CFI, используя weird machine Bratus–Dullien как операционную модель, а не академическую теорию.Loose contract против tight contract — TrySetItem из Trail of Bits ослабляет предусловия до произвольного указателя, m_next даёт read/write примитив. DEP→ASLR→CFG ужесточают контракт, но не обнуляют — weird machine выживает через angr и Manticore reachability.
ROP гоняет вычисления по стеку через ret-гаджеты (T1203), JOP использует dispatcher gadget и jmp [reg], обходя Intel CET Shadow Stack.
CFI не убивает гаджеты — он их фильтрует. Десяти оставшихся достаточно, если знаешь, как читать dispatch table.На проверке Weird machines в TLS: скрытые вычислительные примитивы в handshake OpenSSL и BoringSSL
OpenSSL и BoringSSL пропускают invalid state transitions, которые не описаны в RFC 8446 — FlexTLS ещё в 2015 доказала: каждый TLS-стек допускает переходы, дающие client impersonation и downgrade cipher suite.CVE-2017-3737 превращает побитовую проверку SSL_ST_ERR & SSL_ST_INIT в plaintext-трубу — SSL_write() после ошибки handshake шлёт application data без шифрования. В ssl3_write_bytes() один неверный бит разрушает весь контракт протокола.
Composable примитивы — conditional write, state oracle, loop через re-negotiation — складываются в ROP-подобную цепочку внутри statem.c.
Баг живёт не в криптографии, а в зазоре между спецификацией и её реализацией — искать нужно не CVE, а недокументированные state transitions.Статья Ivanti Sentry уязвимость auth bypass: разбор CVE-2026-10523 (CVSS 9.9) и захват mobile gateway
Пока индустрия закрывала CVE-2026-10520 (CVSS 10.0, OS Command Injection) по дедлайну CISA KEV в три дня, CVE-2026-10523 (CVSS 9.9, CWE-288 auth bypass) осталась в тени — а именно она даёт тихую персистенцию.Уязвимость в Ivanti Standalone Sentry до версий R10.5.2, R10.6.2, R10.7.1 позволяет удалённо создать произвольный админ-аккаунт через альтернативный API-путь, минуя /mics/login.jsp. Вектор AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — сеть, без юзер-интеракции, полный захват CIA.
Sentry рулит ActiveSync-трафиком между мобильным парком и Exchange, SharePoint — компрометация даёт T1078 персистенцию и T1210 pivot во внутренние сервисы.
SOC ищет шеллы и command injection с CVSS 10.0 — а бэкдор тихо сидит в базе пользователей под видом легитимной учётки.