aa24-317a-2023-top-routinely-exploited-vulnerabilities (1).pdf
907.2 KB
Please open Telegram to view this post
VIEW IN TELEGRAM
#اخبار #خبر
⚠️ یک آسیب پذیری با شدت بحرانی و امتیاز 9.9 و با شناسه CVE-2024-42327 در Zabbix اصلاح شده. این آسیب پذیری از نوع SQLi هستش و امکان افزایش امتیاز و کنترل Zabbix رو به مهاجم میده.
📌 آسیب پذیری در نقطه پایانی user.get API هستش. بصورت دقیتر در کلاس CUser در تابع addRelatedObjects رخ میده، این تابع توسط تابع CUser.get فراخوانی میشه.
برای اکسپلویت نیاز به یک کاربر با دسترسی به API هستش. مهم نیست ادمین باشه یا نه. این مورد بستگی به پیکربندی Zabbix متفاوته. مثلا بصورت پیش فرض رول User این دسترسی رو داره.
نسخه های آسیب پذیر و اصلاح شده:
6.0.0 - 6.0.31 / 6.0.32rc1
6.4.0 - 6.4.16 / 6.4.17rc1
7.0.0 / 7.0.1rc1
⚠️ زبیکس یک نرم‌افزار قدرتمند و متن‌باز برای نظارت بر شبکه‌ها، سرورها و سایر دستگاه‌های فناوری اطلاعات هستش.
🌐 www.VipSecurity.zone
📣 @Vip_Security
برای اکسپلویت نیاز به یک کاربر با دسترسی به API هستش. مهم نیست ادمین باشه یا نه. این مورد بستگی به پیکربندی Zabbix متفاوته. مثلا بصورت پیش فرض رول User این دسترسی رو داره.
نسخه های آسیب پذیر و اصلاح شده:
6.0.0 - 6.0.31 / 6.0.32rc1
6.4.0 - 6.4.16 / 6.4.17rc1
7.0.0 / 7.0.1rc1
Please open Telegram to view this post
VIEW IN TELEGRAM
#جنگ_سایبری #کنفرانس
#CYBERWARCON
📌 ویدیوهای کنفرانس CYBERWARCON 2024 در یوتیوب منتشر شده.
این کنفرانس با هدف شناسایی و کشف تهدیدات (تخریب، اختلال، نفوذ مخرب) برگزار میشه. عمدتا به تهدیدات سایبری ایران، چین، روسیه و کره شمالی میپردازن.
امسال از فعالیتهای ایران، ارائه ی "Unity of Hacktivist Fronts: Iranian Cyber-Enabled IO Targeting Israel" رو داشتن و از روسیه موارد مختلف بود از جمله حمله ی همسایه نزدیک.
📎 https://www.youtube.com/playlist?list=PLahrNM6FV_q3BhYSUY1fZLAnn95noyxSv
🌐 www.VipSecurity.zone
📣 @Vip_Security
#CYBERWARCON
این کنفرانس با هدف شناسایی و کشف تهدیدات (تخریب، اختلال، نفوذ مخرب) برگزار میشه. عمدتا به تهدیدات سایبری ایران، چین، روسیه و کره شمالی میپردازن.
امسال از فعالیتهای ایران، ارائه ی "Unity of Hacktivist Fronts: Iranian Cyber-Enabled IO Targeting Israel" رو داشتن و از روسیه موارد مختلف بود از جمله حمله ی همسایه نزدیک.
Please open Telegram to view this post
VIEW IN TELEGRAM
#اخبار #خبر
‼️ هوش مصنوعی در باگ بانتی !
اخیرا یک مدل هوش مصنوعی به نام XBOW به مدت ۳ ماه بر روی تارگت های واقعی در پلتفرم‌باگ بانتی هکروان فعالیت کرده است که توانسته در ranking/leader board هانتر های کشور آمریکا رتبه 11 را کسب کند !
طبق عکس هایی که خود تیم xbow در X منتشر کردند میتوانید خطرات آسیب پذیری های گزارش شده را در تصاویر مشاهده کنید که خیلی خوب است.
💬 بنظرتون هوش مصنوعی چه تغییراتی قراره در فیلد امنیت سایبری ایجاد کنه ؟ آیا قراره کلا تصاحب کنه و یا آیا قراره فیلد های امنیت جدید یا آسیب پذیری های جدیدی کشف بشوند ؟!
📎 https://x.com/Xbow/status/1869053482642362846?t=XedEGqEMkvOBlum3YLzVhg&s=19
📣 @Vip_Security
🌐 www.VipSecurity.zone
اخیرا یک مدل هوش مصنوعی به نام XBOW به مدت ۳ ماه بر روی تارگت های واقعی در پلتفرم‌باگ بانتی هکروان فعالیت کرده است که توانسته در ranking/leader board هانتر های کشور آمریکا رتبه 11 را کسب کند !
طبق عکس هایی که خود تیم xbow در X منتشر کردند میتوانید خطرات آسیب پذیری های گزارش شده را در تصاویر مشاهده کنید که خیلی خوب است.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
راهنمای تست نفوذ برای بیش از یک دهه منبع ارزیابی امنیتی قطعی بوده است. فریمورک Metasploit کشف، اکسپلویت و اشتراک گذاری آسیب پذیری ها را سریع و نسبتاً بدون دردسر می کند، اما استفاده از آن برای تازه واردان می تواند چالش برانگیز باشد.
👨💻 نویسندگان: David Kennedy, Mati Aharoni, Devon Kearns, Jim O’Gorman, and Daniel Graham
🇺🇸 زبان: انگلیسی
Please open Telegram to view this post
VIEW IN TELEGRAM
#خبر #اخبار
🔴 حفره امنیتی در DeepSeek AI باعث افشای پایگاه داده شد: بیش از 1 میلیون لاین لاگ و api key های و کلی اطلاعات دیگر
📌 استارت‌آپ هوش مصنوعی چینی (AI) DeepSeek که در روزهای اخیر محبوبیت زیادی داشته است، یکی از پایگاه‌های داده خود را در اینترنت در معرض دید قرار داد که می‌توانست به عوامل مخرب اجازه دهد به داده‌های حساس دسترسی پیدا کنند.
📌 گال ناگلی (Gal Nagli)، محقق امنیتی شرکت Wiz، گفت: پایگاه داده ClickHouse "به کنترل کامل عملیات پایگاه داده، از جمله امکان دسترسی به داده های داخلی اجازه می دهد."
❗️ این قرارگیری همچنین شامل بیش از یک میلیون خط جریان گزارش شامل تاریخچه چت، کلیدهای مخفی، جزئیات سمت بک اند و سایر اطلاعات بسیار حساس، مانند کلید های مخفی API و متا دیتا های عملیاتی است.
⚠️ گفته می شود که پایگاه داده، میزبانی شده در oauth2callback.deepseek.com:9000 و dev.deepseek.com:9000، دسترسی غیرمجاز به طیف وسیعی از اطلاعات را فعال کرده است. Wiz خاطرنشان کرد که قرار گرفتن در معرض، امکان کنترل کامل پایگاه داده و افزایش امتیازات احتمالی را در محیط DeepSeek بدون نیاز به هیچ گونه احراز هویت فراهم می کند. این شامل استفاده از رابط HTTP ClickHouse برای اجرای درخواست های SQL دلخواه مستقیماً از طریق مرورگر وب بود. در حال حاضر مشخص نیست که آیا سایر عوامل مخرب از این فرصت برای دسترسی یا دانلود داده ها استفاده کرده اند یا خیر.
🛡 درحال حاضر این حفره امنیتی رفع شده است
ℹ️ بلاگ/رایتاپ کامل این موضوع را میتوانید از لینک زیر مشاهده کنید :
📎 https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
📣 @Vip_Security
🌐 www.VipSecurity.zone
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
- OAuth Non-Happy Path to ATO
برای مشاهده جزئیات کامل این لیست، حتماً به لینک زیر سر بزنید:
Please open Telegram to view this post
VIEW IN TELEGRAM
🇺🇸 زبان : انگلیسی
👨💻 نویسندگان: David Gourley, Brian Totty, Marjorie Sayer, Anshu Aggarwal, Sailu Reddy
این کتاب به وضوح پروتکل HTTP و این فناوری‌های هسته‌ای مرتبط به هم را در بیست و یک فصل سازمان‌دهی شده منطقی، که با صدها تصویر و مثال دقیق و ضمیمه‌های مرجع مناسب پشتیبان شده است، توضیح می‌دهد.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Vɪᴘ_Sᴇᴄᴜʀɪᴛʏ™
مطالب خوب ببینم اونجا هم میزارم و یا ریتوییت میکنم.. (اخبار ، تریک ها و..)
Please open Telegram to view this post
VIEW IN TELEGRAM
نوروز ۱۴۰۴ بر همه شما عزیزان مبارک🎉
امیدوارم همگی در کنار خانواده محترمتون سال خوبی پیش رو داشته باشید❤️
#نوروز_۱۴۰۴
📣 @Vip_Security
🌐 www.VipSecurity.zone
امیدوارم همگی در کنار خانواده محترمتون سال خوبی پیش رو داشته باشید❤️
#نوروز_۱۴۰۴
Please open Telegram to view this post
VIEW IN TELEGRAM
#اخبار #خبر
‼️ یک آسیب پذیری اجرای کد از راه دور (RCE) در برنامه Telegram برای سیستم عامل MacOS کشف شده که یک محقق امنیتی با استفاده از هوش مصنوعی Manus تونسته کشف کنه.
📌 این RCE رو هم اینجوری پیدا کرده. آسیب پذیری روی یک فرمت فایل خاص هستش که بعد دانلود، با کلیک روش، کد اجرا میشه.
این آسیب پذیری در آخرین نسخه‌های Telegram برای MacOS نیز تست شده و کار می‌کند.
📎
https://mp.weixin.qq.com/s/RiFgghK96QN-201SE5q8ag
📣 @Vip_Security
🌐 www.VipSecurity.zone
این آسیب پذیری در آخرین نسخه‌های Telegram برای MacOS نیز تست شده و کار می‌کند.
https://mp.weixin.qq.com/s/RiFgghK96QN-201SE5q8ag
Please open Telegram to view this post
VIEW IN TELEGRAM
#کنفرانس #DEFCON33
🔔 ارسال مقاله، ورکشاپ و دمو برای کنفرانس هکری DEFCON33 تا 1 مه |11 اردیبهشت باز شده. خود کنفرانس 7 تا 11 آگوست | 16 تا 20 مرداد در لاس وگاس برگزار میشه.
📎 https://defcon.org/html/defcon-33/dc-33-cfi.html
📣 @Vip_Security
🌐 www.VipSecurity.zone
Please open Telegram to view this post
VIEW IN TELEGRAM
راهنمای_جامع_ابزار_Mimikatz_راهنمای_هکرها.pdf
4.4 MB
این کتابچه توسط یکی از دوستان تهیه شده حتما مطالعه کنید بسیار ارزشمنده.
در این کتاب به بررسی ابزار Mimikatz می‌پردازد که برای استخراج پسوردها، هش‌ها و توکن‌های دسترسی از حافظه سیستم استفاده می‌شود. در این کتاب، شما با تکنیک‌های پایه تا پیشرفته Mimikatz آشنا خواهید شد، از جمله استخراج اعتبارنامه‌ها، دور زدن مکانیزم‌های امنیتی و افزایش دسترسی. همچنین، نمونه‌هایی از حملات واقعی که از Mimikatz استفاده کرده‌اند و نحوه مقابله با این ابزار بررسی شده است.
Please open Telegram to view this post
VIEW IN TELEGRAM