Fałszywe certyfikaty TLS i backdoor w CLI OVHcloud

Osiem certyfikatów TLS eMudhra z kluczami o katastrofalnie niskiej entropii

Osiem certyfikatów TLS wystawionych przez urząd certyfikacji eMudhra miało klucze prywatne o skrajnie niskiej entropii. Normalny klucz NIST P-384 ma około 384 bitów entropii, a te miały od 4 do 237 bitów, przy czym najmniejszy zaledwie 3 do 8 bitów. Filippo Valsorda ocenił, że takie klucze są w kategorii „to nie powinno być możliwe”, i spekulował, że interfejs generowania kluczy mógł mieć parametr rozmiaru ustawiony na 1. Ben Cartwright-Cox z BGP.tools przypuszcza, że do produkcji wyciekł przykładowy kod. Valsorda porównał odzyskiwanie do Heartbleed z 2014 roku, ale ostrzegł, że tym razem będzie trudniej z powodu większej liczby kontekstów i większej heterogeniczności środowisk.

The Internet goes on high alert after discovery of 8 compromised TLS certs - Ars Technica →

Tematy: Szyfrowanie

Grupy ransomware wykorzystują lukę w PAN-OS od czerwca

Co najmniej od początku czerwca liczne grupy ransomware, w tym Qilin i Inc, wykorzystują poważną lukę obejścia uwierzytelniania w systemie PAN-OS firmy Palo Alto Networks. CVE-2026-0257 dotyczy portali i bram GlobalProtect i pozwala atakującym ominąć zabezpieczenia oraz ustanowić nieautoryzowaną sesję VPN. Firma załatała błąd 13 maja, początkowo oceniając go jako średni. Do końca maja badacze z Rapid7 potwierdzili eksploatację w wielu środowiskach klientów, sięgającą co najmniej 17 maja. Według Unit 42 napastnicy po wejściu omijają uwierzytelnianie wieloskładnikowe, poruszają się lateralnie przez RDP i SMB, a następnie przechodzą do warstwy wirtualizacji, wyłączając kontrole na hiperwizorach ESXi i zrzucając poświadczenia z wirtualnego dysku kontrolera domeny.

Palo Alto’s firewall OS has been under attack from multiple ransomware groups since June →

Tematy: RansomwarePodatności zero-day

OVHcloud: backdoor w CLI na GitHubie kradł sekrety deweloperów

OVHcloud ostrzegł, że atakujący przejęli konto dewelopera na GitHubie i zmodyfikowali wersje 0.11.0 do 0.15.0 narzędzia CLI, rozprowadzając złośliwe oprogramowanie kradnące informacje. Według prezesa Octave’a Klaby zainfekowane wydanie pojawiło się 19 października o 14:47, a wykryto je i zablokowano o 16:21 po zgłoszeniu klienta. Wersje 0.10.0 i 0.16.0 były czyste. Klaba ujawnił, że w GitHubie wyłączono ustawienie niezmienności wydań, co pozwoliło zmodyfikować istniejące pakiety z pominięciem testów CI/CD. Platforma OpenSourceMalware wiąże atak z nową operacją GlassWorm, a przejęte konto było skompromitowane ponad pół roku. OVHcloud włączył niezmienność wydań i apeluje o unieważnienie wszystkich sekretów na dotkniętych maszynach.

OVHcloud CLI releases backdoored on GitHub to steal developer secrets →

Tematy: Ataki na łańcuch dostawMalware i infostealery

WPSplinter: 16-letnia luka w kodzie Broadcomu pozwala przejąć routery

Badacz Quentin Kaiser przedstawił na konferencji Hexacon w Paryżu 16 października lukę nazwaną WPSplinter, która tkwi w starym kodzie Broadcomu obsługującym WPS. Odpowiednia sekwencja komunikatów pozwala odczytać pamięć routera lub uruchomić kod, bez znajomości hasła Wi-Fi i bez pełnego parowania WPS — wystarczy zasięg radiowy. Na bramie Askey TCG3000 dostarczanej przez Orange Belgium exploit wyciągnął klucz Wi-Fi z pamięci NVRAM i pozwolił dołączyć do sieci. Na urządzeniu Proximus BBOX3V+ firmy Sagemcom Kaiser uzyskał zdalną powłokę wyłącznie przez Wi-Fi. Potwierdził podatność na bramach trzech z czterech głównych operatorów w Belgii, co daje około 1,5 miliona urządzeń. Broadcom twierdzi, że zna problem od 2018 roku i odmówił nadania identyfikatora CVE.

Millions of routers can be hijacked over Wi-Fi thanks to a 16-year-old bug →

Tematy: Podatności zero-day

Ponad 300 węzłów wyjściowych Tor przejętych przez backdoor Ebury

W piątek 2 października o 09:35 333 zainfekowane węzły wyjściowe Tor rozpoczęły skoordynowaną kampanię przechwytywania połączeń SSH i zbierania niezaszyfrowanych danych. Przy około 3000 węzłach wyjściowych oznacza to, że około 10 procent sieci było pod kontrolą atakujących, którzy weszli na serwery już w sierpniu i zainstalowali payload Ebury 1.8.3. Użytkownicy łączący się przez port 22 byli przekierowywani do jednego z 12 serwerów przechwytujących, a ci, którzy zignorowali ostrzeżenie o zmianie odcisku ED25519, tracili hasła, a ich serwery infekowano. Zespół Tor Project oznaczył węzły flagą BadExit 4 października. Węzły wykryto za pomocą exitmap, a eksperci zalecają wyłączenie uwierzytelniania hasłem na rzecz kluczy SSH.

How I got over 300 Tor exit nodes removed - KABA →

Tematy: Malware i infostealery