Fsecurity | HH

🛠IngressNightmare или как снова что-то нашли Всем привет, и да, я снова тут с постом, который никто особо не ждал, ведь выше есть пост, но пройти мимо такой темы я не смог. Сегодня расскажу более подробно про свежий и крайне неприятный инцидент в Kubernetes-мире. ❓Что стряслось и почему все в панике Короче, ребята из Wiz недавно нашли серию критических уязвимостей в контроллере Ingress-NGINX для Kubernetes. Назвали это всё красиво и драматично – IngressNightmare. И поверьте, название выбрали неспроста: если коротко, то это пять CVE, из-за которых атакующий может спокойно выполнить код на ingress-контроллере и буквально угнать весь кластер со всеми секретами. И самое весёлое, что атакующему даже не нужны учётные записи или пароли, хватит одного кривого HTTP-запроса. 🔍 Технические подробности для тех, кто любит копаться в кишках Суть этих уязвимостей кроется в недостаточной проверке входящих данных, которые разработчики Ingress-NGINX радостно вставляли напрямую в конфиги NGINX. Из-за этого через безобидные, казалось бы, аннотации (auth-url, auth-tls-match-cn, mirror-target) можно было внедрить произвольные директивы. Ну, например, какую-нибудь такую прелесть:

ssl_engine /tmp/malicious.so;

Именно это использовали исследователи Wiz в своём PoC. Ты просто отправляешь HTTP-запрос с большим телом, NGINX сохраняет это тело как временный файл, а потом через специальный AdmissionReview-запрос (без аутентификации!) загружает твою вредоносную .so библиотеку. И всё, поздравляю, теперь ты внутри контейнера с контроллером. Дальше читаешь секреты, токены и вообще делаешь, что хочешь. ‼️ Кто в опасности и как проверить себя любимого Если ваша версия Ingress-NGINX ниже v1.12.1 (а ещё 1.11.5 и 1.10.7), то у вас серьёзные проблемы: 🔵 Узнать текущую версию можно через:

kubectl -n ingress-nginx get deploy ingress-nginx-controller -o=jsonpath='{.spec.template.spec.containers[0].image}'

🔵 Или через GitLab, найдя в манифестах YAML или Helm-чартах строку:

image: ingress-nginx/controller:v1.12.0

❔ Как с этим жить дальше Что делать, если вы попали в этот клуб неудачников с уязвимой версией: 1. Срочно обновляйтесь до v1.12.1; 2. Пока не обновились, отключите admission-контроллер (controller.admissionWebhooks.enabled=false); 3. Ограничьте доступ к admission webhook с помощью Network Policy. Только API-сервер должен туда стучаться; 4. Просмотрите audit-логи Kubernetes и ищите подозрительные Ingress’ы с странными аннотациями. Если вы не можете обновиться сразу (а кто из нас может?), хотя бы проверьте, что webhook не светит в интернет. В Wiz уже подсчитали, что около 6500 кластеров с открытым admission webhook доступны снаружи. Возможно, среди них есть и ваш. 👀 Личное мнение и мораль сей басни Вот казалось бы, мелочь – не проверить пару строк кода, не закрыть пару портов, но в итоге получаешь катастрофу, достойную отдельного поста в моём канале. В очередной раз понимаешь, насколько всё хрупко и насколько важна роль команд AppSec и DevSecOps в крупных компаниях. В общем, проверьте свои кластеры, обновитесь и берегите нервы, они вам ещё пригодятся. Спасибо, что дочитали мой очередной маленький монолог. Обещаю, скоро вернусь с чем-нибудь менее трагичным. #devsecops #appsec

⚙️ IngressNightmare: 9.8 Critical Unauthenticated Remote Code Execution Vulnerabilities in Ingress NGINX Wiz Research обнаружила CVE-2025-1097, CVE-2025-1098, CVE-2025-24514 и CVE-2025-1974, серию RCE в контроллере Ingress NGINX для Kubernetes, получившем название IngressNightmare. Использование этих уязвимостей приводит к несанкционированному доступу злоумышленников к чувствительным данным, хранящимся во всех namespace'ах кластера Kubernetes, что может привести к его захвату. Nuclei шаблон для проверки:

id: exposed-ingress-nginx-admission

info:
  name: Publicly exposed Ingress NGINX Admission
  author: Wiz research
  severity: high
  description: Ingress Nginx admission controller endpoint should not be exposed
  metadata:
    max-request: 1
  tags: ssl,tls

ssl:
  - address: "{{Host}}:{{Port}}"

    matchers:
      - type: dsl
        dsl:
          - 'contains(issuer_org, "nil1")'
          - 'contains(subject_org, "nil2")'
          - 'contains(subject_an, "nginx")'
        condition: and

    extractors:
      - type: json
        name: issuer_org
        json:
            - ".issuer_org[0]"
          
      - type: json
        name: subject_org
        json:
            - ".subject_org[0]"
     
      - type: json
        name: subject_an
        json:
            - ".subject_an[0]" 

Подробнее (на англ.) ➡️ Research #nginx #ingress #cve ✈️ Pentest HaT

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://www.securitylab.ru/news/557668.php?r=2

Awesome Vulnerable Applications A curated list of various vulnerable by design applications https://github.com/vavkamil/awesome-vulnerable-apps 🪳@bugxplorer

По этой цепочке проверил socks прокси... Туннель через https и еще 3 smb агента способен поддерживать стабильный отличный RDP) Да, граф интерактивный. Все как в богатых C2😁

💻 Нейросети становятся все более популярными и полезными инструментами в различных областях, включая образование и самообучение Одним из ярких примеров такого применения является Roadmap.sh — проект, который использует мощь нейросетей для создания персонализированных учебных планов 🥱 Выбираете тему, выбираете уровень сложности, немного дополнительной информации и план для вашего обучения готов . Удобно если нужно что то с нуля изучить, подготовиться к собесу или подготовиться к сдаче экзамена. 🤩 Уже есть готовые гайды по разным популярным темам и ответы на частые вопросы, а так же готовые роадмапы для изучения новой для вас темы.

🔗Ссылка: https://habr.com/ru/articles/893302/

🔗Ссылка: https://habr.com/ru/articles/893422/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://habr.com/ru/articles/893486/

🔗Ссылка: https://habr.com/ru/companies/owasp/articles/893712/

🔗Ссылка: https://habr.com/ru/companies/solarsecurity/articles/893736/

Ligolo-MP - это усовершенствованная версия Ligolo-ng с архитектурой клиент-сервер, позволяющая тестировщикам совместно работать с несколькими параллельными туннелями. Она автоматически управляет всеми вашими настройками, а также предоставляет понятный графический интерфейс для отслеживания всего. 🔗Ссылка: https://github.com/ttpreport/ligolo-mp

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

Новые старые связи BloodHound С выходом BloodHound CE я как-то перестал следить за тем, что нового добавляется в функционал. А зря! Просматривая новостные ленты, я обнаружил, что разработчики планируют добавить (может уже добавили) новую связь CoerceAndRelayNTLMToSMB. Эта связь показывает возможность выполнения последовательности атаки от принудительной аутентификации до NTLM Relay в SMB для получения различных учетных данных или выполнения кода на удаленном компьютере. Выполнять Relay SMB в LDAP нельзя без определенных условий. Но если есть компьютеры, которые являются локальными администраторами на других компьютерах, данная связь уже имеет смысл. Второй вариант использования этой связи, когда мы заставляем пользователей пройти принудительную аутентификацию (например, LNK файлы) и выполняем технику NTLM Relay на хосты, где они имеют привилегии локального администратора. Пойдем дальше, аналогично со связью CoerceAndRelayNTLMToSMB можно добавить связь CoerceAndRelayWebClient, которая будет показывать возможность выполнять технику Relay HTTP в LDAP. В посте про поиск компьютеров с включенным WebClient есть скрипт, который позволяет автоматизировать этот процесс и сразу выводить информацию в виде Cypher запросов. После загрузки данных можно выполнить следующий запрос, чтобы добавить новую связь:

MATCH (g:Group) WHERE g.objectid ENDS WITH "S-1-5-11"
MATCH (c:Computer) WHERE c.webclient = TRUE 
MERGE (g)-[r:CoerceAndRelayWebClient]->(c)

В этом запросе, сначала находим группу AUTHENTICATED USERS и все компьютеры, у которых запущен WebClient и устанавливаем между ними связь. В дополнение, можно добавить связь GetServiceTicket (Kerberoasting) от группы `AUTHENTICATED USERS до всех незаблокированных пользовательских учетных записей, у которых есть SPN. Cypher запрос будет следующим.

cypher
MATCH (g:Group) WHERE g.objectid ENDS WITH "S-1-5-11"
MATCH (u:User) WHERE u.hasspn = TRUE AND u.enabled = TRUE 
MATCH (g)-[r:GetServiceTicket]->(u)

Визуализация путей позволяет расширить картину инфраструктуры и найти оптимальные пути для выполнения работ. #BloodHound #Внутрянка #Cypher

🔗Ссылка: https://www.securitylab.ru/news/557605.php

Jasmin Ransomware * SQL Injection Login Bypass admin panel * How to exploit 🤌