Fsecurity | HH

ResetNightmare ResetNightmare (CVE-2026-27912) is a validation flaw in the Kerberos Change Password protocol that allows for resetting the password of any target user/computer account, without knowing the current one. The attack requires an unpatched domain controller, and the ability to write a userPrincipalName (UPN) on any account you control. Alternatively, the vulnerability can also be abused by an attacker having the ability to create new users/computers in any OU, as creating a user/computer allows you to get GenericWrite permissions over it. Blog: Identity Crisis: Novel Vulnerabilities Leading to Kerberos Downgrade, DoS, and Full Domain Takeover

🔗Ссылка: https://habr.com/ru/companies/garda/articles/1067474/

🌿  #infrastructure #offense #заметки ➡Видели же целую серию Linux LPE, ± аналогичных небезызвестным Dirty Cow & Dirty Pipe [спасибо им за флаги с машин HTB / OffSec'ов!] ?

⚡️  СЛОВАРИК ▪️Page cache / Страничный кэш —  механизм временного хранения в RAM данных из файлов, чтобы быстрее к ним обращаться; ▪️Pipe —  "неименованный" канал общения между двумя процессами; ▪️skb / Socket buffer / Буфер сокета —  структура данных, представляющая сетевой пакет; ▪️Copy-On-Write / Копирование при записи —  механизм оптимизации памяти; пока файл не изменяется, разные процессы читают одну и ту же область памяти [общую копию файла] ▪️Zero-copy —  сама концепция оптимизации, чтобы ОС могла передавать данные без лишнего копирования;

0️⃣  OG:  Dirty Cow   ▪️CVE-2016-5195   ▪️dirtycow.ninja   ▪️PoC   ➡️Race Condition в Copy-On-Write (= COW)➡️ломается маппинг read-only памяти, допускается перезапись➡️LPE (write); 1️⃣  Dirty Pipe   ▪️CVE-2022-0847   ▪️dirtypipe.cm4all.com   ▪️PoC   ➡️Не проинициализировали pipe_buffer.flags, он мог использовать устаревшее значение PIPE_BUF_FLAG_CAN_MERGE (которое указывает, можно ли смержить [page cache pipe'а➡️ в связанную страницу])➡️допускается перезапись page cache через splice()➡️LPE (write); ==== мы здесь = в 2026 году ==== 2️⃣  Copy Fail   ▪️CVE-2026-31431   ▪️copy.fail   ▪️xint.io/blog/copy-fail-linux-distributions   ▪️PoC   ➡️Логическая бага в криптографии (authencesn) через AF_ALG➡️допускается перезапись page cache по 4 байта➡️LPE (write); 3️⃣  Copy Fail 2 / Dirty Frag   ▪️CVE-2026-43284, CVE-2026-43500   ▪️github.com/V4bel/dirtyfrag   ▪️PoC   ➡️RxRPC дешифрует 8-байтовые блоки, шифр слабый + допускается перезапись page cache по 4 байта через IPsec (XFRM/ESP)➡️LPE (write); 4️⃣  Copy Fail 3 / Fragnesia   ▪️CVE-2026-46300   ▪️github.com/v12-security/pocs/fragnesia   ➡️После фикса ситуации с XFRM/ESP (??) не прокидывался флаг SKBFL_SHARED_FRAG (который указывает, что страницы ещё используются другими подсистемами = их нельзя переписывать)➡️допускается перезапись page cache➡LPE (write); 5️⃣  Dirty Decrypt / Dirty CBC   ▪️CVE-2026-31635   ▪️github.com/v12-security/pocs/dirtydecrypt   ➡️В RxGK не хватало защиты, обеспечивающей Copy-on-Write➡️дешифрованные данные из skb попадали в page cache без создания приватной копии➡️допускается перезапись page cache➡️LPE (write); 6️⃣  Dirty Clone   ▪️CVE-2026-43503   ▪️research.jfrog.com/...dirtyclone-cve-2026-43503   ➡️ При клонировании пакета у итогового клона теряется флаг SKBFL_SHARED_FRAG (помните из Fragnesia?)➡️допускается перезапись page cache через клон skb➡LPE (write); ⬆️ Все они внесли вклад в разрастание семьи Page Cache Corruption уязвимостей; 🐇🐇🐇

Honorable mention, чтобы не уходить далеко от недавних проблем с ядром; 0️⃣  ssh-keysign-pwn   ▪️CVE-2026-46333   ▪️github.com/0xdeadbeefnetwork/ssh-keysign-pwn   ➡️Race Condition в __ptrace_may_access()➡️возможна кража дескрипторов файлов, открытых привилегированными процессами➡️LPE (read);  

   @HaHacking  🐇

🔗Ссылка: https://habr.com/ru/companies/pt/articles/1067228/

🔗Ссылка: https://github.com/V4bel/Zapscape/blob/main/assets/write-up.md

🔗Ссылка: https://codeby.net/threads/yuridicheskiye-riski-pentesta-v-rossii-chem-etichnyi-vzlom-otlichayet-sya-ot-prestupleniya-po-st-272-273-uk-rf.94999/

N-central обещала единое управление. Хакеры получили единый вход Взлом одной консоли N-central способен открыть злоумышленникам административный доступ к инфраструктуре множества компаний. Уязвимость CVE-2026-18577 уже используют в реальных атаках, поэтому разработчик выпустил сборку 2026.3.1.7 и призвал клиентов установить обновление без промедления. 🔗Ссылка: https://www.securitylab.ru/news/575704.php

🔗Ссылка: https://github.com/Faisal-P27/WAREED-DNS-C2

🔗Ссылка: https://codeby.net/threads/steganografiya-v-vredonosnom-po-kak-apt-gruppirovki-pryachut-c2-kanaly-i-peiloady-v-izobrazheniyakh.93897/

🔗Ссылка: https://hunt.io/blog/the-gentlemen-etherrat-ethereum-smart-contract-c2

🔗Ссылка: https://habr.com/ru/companies/pt/articles/1065498/

🔗Ссылка: https://habr.com/ru/articles/1066126/

🔗Ссылка: https://habr.com/ru/companies/kaspersky/articles/1065992/

🔗Ссылка: https://habr.com/ru/companies/searchinform/articles/1066406/

🔗Ссылка: https://habr.com/ru/companies/pt/articles/1066844/

🔗Ссылка: https://github.com/go-gitea/gitea/security/advisories/GHSA-6v53-hr58-556r

Расследуя атаки хакерской группировки год за годом, можно наблюдать, как эволюционирует эта угроза. Один из признаков её развития — переход от использования чужих вредоносных инструментов к собственным разработкам. Группировка Labooboo (Toy Ghouls, Bearlyfy), атакующая российские организации с 2025 года, изначально использовала сторонние шифровальщики RedAlert, LockBit и Babuk, но в марте 2026 года перешла на собственный шифровальщик GenieLocker. А недавно наши эксперты обнаружили, что в арсенале этой группы появился свой бэкдор, который позволяет выполнять произвольные команды. Бэкдор существует как минимум в двух вариациях, использующих для связи с С2 протоколы MQTT и Matrix. В реализации с MQTT (MD5: BFADBEEE63A4F0BF19EC9DEB8FA58F58) в качестве брокера указан broker.hivemq.com:8883. Обмен сообщениями осуществляется через топики _id_/cmd/req, _id_/cmd/res, _id_/metrics3 и _id_/status для получения команд, отправки результатов их выполнения, метрик и состояния бэкдора, соответственно. В реализации с Matrix (MD5: 7916C33688385525078BEE504C90F359) вредонос подключается к определенной комнате на публичном сервере meet.element.tw и выполняет команды из сообщений, начинающихся c cmd. Результаты выполнения команд, метрики и статусы публикуются в виде сообщений в комнате. Выявленные образцы добавлены в антивирусные базы. Продолжаем следить за Лабубой. Детальное описание обнаруженных бэкдоров опубликуем позже.

🔗Ссылка: https://habr.com/ru/articles/1066644/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈