Ever Secure

Астрологи объявили продолжение недели обновлений, подъехал PoC побега из контейнера для Copy Fail (CVE-2026-31431)

Продолжая про наш будущий курс 👀 DevSecOps — это не «человек со сканером» Когда я как руководитель собеседую DevSecOps, мне неинтересно, умеет ли человек воткнуть Trivy в пайплайн (у меня это спокойно делали стажеры). Мне важно: понимает ли он, что именно сканер ищет, сможет ли проэксплуатировать находку руками, объяснит ли разработчику, почему так сломалось и как правильно чинить. Такому же подходу я придерживаюсь и в обучении! Под это я и собрал лабы - 23 категории уязвимостей, 50+ флагов на эксплуатацию. И главное - не на уровне

../../../etc/passwd и 1' OR 1=1 --.

хотя и их пройдем в самом начале 😉 Возьмём тот же Path Traversal. В лабе ты не просто читаешь ../../../etc/passwd. Ты учишься обходить фильтры: • вырезания ../ • одинарное и двойное URL-кодирование • кодирование только слеша / только точек • absolute path bypass • флаги раскиданы по разным файлам из реальных кейсов (будь то захардкоженные секреты в коде, креды в Dockerfile, интересных местах на системе и т.д). Таким образом, ты получаешь насмотренность И так абсолютно по каждой теме: упор на вариативность векторов, обходы санитайзеров, реальные ошибки разработчиков, а не одна каноничная пейлоада из чек-листа. И это только 1 модуль из 10 💪 Моя цель: чтобы после курса человек смотрел на код и видел уязвимость до того, как сканер что-то скажет, прекрасно понимал, какие уязвимости он найдет с помощью SAST и DAST, а что не увидит и вовсе. Это и есть DevSecOps специалист, за которого я готов платить. Старт: 06.06.26 Стоимость: 99к для первого потока

Уже скрипты какие-то рекламируют на улице, аккуратнее...

Cloudflare пометила сайт <месенджера с парковки> вредоносным https://radar.cloudflare.com/scan/3c745d75-2df5-4480-947f-278da1221657/summary ``` В пресс-службе Max заявили, что мессенджер "регулярно проходит аудиты безопасности, работает с исследователями через программу Bug Bounty и имеет собственный центр безопасности для защиты пользователей от реальных угроз". ``` Видимо товарищ майор в список уязвимостей не входил 🌚

Live: Kubernetes v1.36: Haru Рассмотрим нововведение: - Функция NodeLogQuery контроля доступа включена по умолчанию - Плагин gitRepovolumes удален навсегда - Service.spec.externalIPs устарело. Это поле является известным вектором атаки типа MITM (Man-in-the-Middle) со времен CVE-2020-8554. И многое другое Обсудим примеры применения, что еще сырое, а что must have и срочно надо внедрять) ❤️ Главный по безопасным кубикам - Алексей Федулаев @int0x80h ❤️ Админ Девелоперович - Георг Гаал @gecube Традиционно обозревают новую версию Kubernetes 1.36 🕖 уже в четверг в 20:00 Прямая трансляция: youtube.com/watch?v=l55Svj_WwH0 с ответами на вопросы из чата YouTube При поддержке: @kuber_community @ever_secure @devopsforlove @kubernetes_ru 🔥IT STAND | FIDELINA | YouTube

Кто-нибудь, скажите уже ребят из Ozon, что при нажатии в письме отписаться от рассылки, нужно ансанскрайбить, а не вести в личный кабинет, которого у меня давно нет, но к нему привязана почта, а меня перекидывает в новый кабинет где почты никакой и нет. Номера старого у меня тоже нет. я понимаю, времена очень тяжелые, но поимейте совесть уже, вся почта засрана

патч:

rm -rf /lib/modules/*/kernel/crypto/algif_aead.*

или

cat > /etc/modprobe.d/disable-af_alg.conf <<'EOF'
install algif_aead /bin/false
install algif_skcipher /bin/false
install algif_hash /bin/false
install algif_rng /bin/false
install af_alg /bin/false
EOF
rmmod algif_aead algif_skcipher algif_hash algif_rng af_alg 2>/dev/null || true

в контейнере тоже можно поднять права, если есть петухон, а дальше уже вы все и так знаете... но если нет, прикладываю видос с побегами https://youtu.be/biC3TO7OELY

астрологи объявили неделю обновлений

Вчера в гостях у канала был Андрей Усенок, сняли для вас потрясающий материал 😉

Завтра веду секцию "Эволюция атак" на CISO FORUM Можно будет меня там поймать 😉 Кого бы вы хотели видеть на CISO Podcast? Пишите в комментарии кого попробовать поймать👇 👀@ever_secure | 💪 Мерч | 💳Поддержать

Современная CTF-реальность (основное мероприятие закончилось в 18)

Сегодня был важный день для команды Ever Secure. Мы провели CTF на конференции DUMP в Екб. * Это те самые лабы, которые будут в нашем курсе, который уже скоро стартует Вдвойне жесткий день, т.к. спали около 2 часов, до 5 утра сидели с @Bykva и фиксили баги, пили харденинг и мониторинг 🫠. Спасибо @weahiro за топовый багхантинг. В итоге 23/24 тасок были решены. Только 1 была с багой (захарденили сами себя 😏) Немного фото с награждения победителей 😉

Ваши любимые админы поймали Аппсека)

Иронично 😏

впервые в жизни ИБ дошло до физического разделения контуров...

мы стартуем 🚀🚀🚀

Созвон сообщества в Zoom 21.04 в 19:00 Ведущие: Александр Савин (CISO CDEK) Алексей Федулаев (Head of Cloud Native Security MWS Cloud Platform) Гости выпуска:  Александра Сватикова (Архитектор ИБ Т-Банк) Тема: Data Security На созвоне узнаем: • Что такое Data Security и Data Platform? • Какие задачи стоят перед инженерами подразделения? • Почему нужно отдельное подразделение, если в целом все безопасники защищают данные? • Как помочь обеспечивать безопасность данных? Подключаться по ссылке Событие добавлено в календарь мероприятий ссыль, добавляй к себе, что бы не пропустить 😉 👀@ever_secure | 💪 Мерч | 💳Поддержать

22 апреля буду на встрече "КИБЕРБЕЗОПАСНОСТЬ В ЭПОХУ AI-АГЕНТОВ", которую организуют South HUB совместно с PT. Приглашаю и вас принять участие, мероприятие рассчитано на C-lvl. Будем много говорить как проводить атаки и строить безопасность с помощью ИИ 🤖 Эксперты: — Андрей Кузнецов, Head of ML at Positive Technologies — Алексей Лукацкий, Бизнес-консультант по безопасности Positive Technologies — Алексей Леднев, руководитель направления продуктовой экспертизы, Positive Technologies Модератор: — Артём Гутник, CISO НСПK Участие бесплатное, кол-во мест ограничено Сбор 22 апреля в 18:30 в офисе Positive Technologies Регистрация по ссылке

Что бы добавить немного контекста, то политика описывается вот таким простым способом -> 😎

apiVersion: rbacreports.in-cloud.io/v1alpha1
kind: RbacPolicy
metadata:
  name: ksv053-exec-into-pods
spec:
  severity: HIGH
  category: Kubernetes Security Check
  checkID: KSV053
  title: Exec into Pods
  description: >-
    Access to the pods/exec subresource lets a caller run arbitrary commands
    inside any container they can target. Combined with a privileged container,
    a hostPath mount, or a high-permission ServiceAccount, this is a direct path
    to host root or cluster-admin.
  remediation: >-
    Limit pods/exec to a small set of trusted operator identities (or remove
    entirely in production). For routine debugging, prefer ephemeral containers
    or read-only log access.
  match:
    apiGroups: [""]
    resources: [pods/exec]
    verbs:
      - create
      - get
      - "*"

На выходе мы получаем вот такой репорт для каждой роли -> 😎

apiVersion: rbacreports.in-cloud.io/v1alpha1
kind: ClusterRbacReport
metadata:
  labels:
    app.kubernetes.io/managed-by: rbac-reports-operator
    rbac-reports.io/resource-kind: ClusterRole
  name: admin
  ownerReferences:
  - apiVersion: rbac.authorization.k8s.io/v1
    blockOwnerDeletion: false
    controller: true
    kind: ClusterRole
    name: admin
    uid: 09b10026-db84-4725-aa30-9d6d22623451
report:
  checks:
  - category: Kubernetes Security Check
    checkID: KSV053
    description: Access to the pods/exec subresource lets a caller run arbitrary commands
      inside any container they can target. Combined with a privileged container,
      a hostPath mount, or a high-permission ServiceAccount, this is a direct path
      to host root or cluster-admin.
    messages:
    - ClusterRole 'admin' should not have access to resources [pods/attach, pods/exec,
      pods/portforward, pods/proxy, secrets, services/proxy] for verbs [get, list,
      watch]
    - ClusterRole 'admin' should not have access to resources [pods, pods/attach,
      pods/exec, pods/portforward, pods/proxy] for verbs [create, delete, deletecollection,
      patch, update]
    remediation: Limit pods/exec to a small set of trusted operator identities (or
      remove entirely in production). For routine debugging, prefer ephemeral containers
      or read-only log access.
    severity: HIGH
    success: false
    title: Exec into Pods
  summary:
    criticalCount: 5
    highCount: 2
    lowCount: 0
    mediumCount: 2
    totalCount: 9
spec:
  roleRef:
    kind: ClusterRole
    name: admin
    uid: 09b10026-db84-4725-aa30-9d6d22623451
  scanner:
    name: rbac-reports-operator
    vendor: PRO-Robotech
    version: 0.3.0

А для получения скоупа через граф, достаточно сформировать вот такой манифест: -> 🤪

{
  "apiVersion": "rbacgraph.in-cloud.io/v1alpha1",
  "kind": "RoleGraphReview",
  "metadata": {"name": "demo"},
  "spec": {
    "selector": {
      "apiGroups": [""],
      "resources": ["pods/exec"],
      "verbs": ["get", "create"]
    },
    "matchMode": "any",
    "includeRuleMetadata": true
  }
}