Fsecurity | HH
Kanalga Telegram’da o‘tish
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Ko'proq ko'rsatish2 073
Obunachilar
-124 soatlar
+57 kun
+1230 kun
Postlar arxiv
2 073
Repost from Detection is easy
Всем привет! 💻✌️
Атакующие загружали вредоносные расширения в браузер для кражи данных
👨💻 Как это работает?
В Chromium-based браузерах ранее поддерживался аргумент командной строки
--load-extension, который позволял запускать браузер с указанием пути к расширению
Позднее данный аргумент был скрыт, однако его всё ещё можно было использовать, если отключить соответствующее ограничение с помощью флага:
--disable-features=DisableLoadExtensionCommandLineSwitchТаким образом, атакующие могли перезапускать Chrome или Edge с уже загруженным вредоносным расширением без необходимости установки через официальный магазин В актуальных версиях Chromium данный способ уже не работает 🔭 Обнаружение: 🔤 Хантим аргументы командной строки
ProviderName="Microsoft-Windows-Sysmon" and EventId=1 and Image endswith "chrome.exe" and CommandLine contains "--load-extension"
2 073
Repost from SecuriXy.kz
🚨 CVE‑2025‑67887 (aвторизованный RCE в модуле Translate Module 1C‑Bitrix)
📌 Основные факты
Продукт: 1C‑Bitrix (модуль Перевод)
Тип: Авторизованный RCE
Уязвимые версии: ≤ 25.100.500
Требуются права: SOURCE и WRITE
⚡ Механика
Аутентификация → получение CSRF токена → загрузка архива через `
translate.asset.grabber.upload` → распаковка → активация → появление shell.php в `/upload/tmp/` → выполнение команд через заголовок C:
🛡️ Защита
1. Проверить логи на вызовы /bitrix/services/main/ajax.php?action=translate.asset.grabber.extract
2. Проверить /upload/tmp на наличие php файлов
3. Ограничить доступ к эндпоинтам через ACL или WAF
4. Временно отключить модуль Translate
🔗 CVE https://www.cve.org/CVERecord?id=CVE-2025-67887
🔗 PoC https://karmainsecurity.com/pocs/CVE-2025-67887.php