Минулий тиждень відзначився принаймні двома порушеннями ембарго: php2shell з’явився на Hacker News на день раніше, а партія помилок ядра Linux потрапила до публічного списку розсилки замість приватного списку безпеки. Цього тижня було дещо менше подій, але команда безпеки Akamai опублікувала проникливий есей під назвою “TLP — це не пропозиція”, і з цим важко сперечатися.
Коли дослідник виявляє серйозну помилку, звичайний процес — це “скоординоване розкриття”. Розробники отримують час для створення виправлення, а постачальники нижчої ланки отримують попереднє повідомлення під ембарго, щоб патчі та захист були готові в той момент, коли деталі стануть загальнодоступними. Протокол Traffic Light Protocol (TLP) — це лексикон, який усі використовують, щоб сказати, хто може знати що: TLP:RED — тільки для названих одержувачів, TLP:AMBER — для організації та її клієнтів на основі “необхідності знати”, TLP:GREEN — для довіреної спільноти, а TLP:CLEAR — для будь-кого. Це не має жодної юридичної сили. Це не секретні дані в юридичному сенсі. Це працює, тому що всі учасники погоджуються зробити так, щоб це працювало.
Скарги Akamai насправді стосуються не первинного витоку php2shell, а того, що сталося після: постачальники та дослідники поспішали підтвердити, відтворити та опублікувати першими. За даними Akamai, дослідник опублікував реконструкцію помилки до того, як існувало виправлення, і спроби експлуатації почалися ще до того, як більшість адміністраторів знали, що є щось, що потрібно виправити. Вони проводять паралелі з Heartbleed у 2014 році, коли кілька компаній отримали раннє повідомлення, а потім рекламували, що вони вже в безпеці, тоді як дистрибутиви Linux були заскочені зненацька, і з Meltdown і Spectre у 2018 році, коли шестимісячне ембарго обвалилося на шість днів раніше.
У поспіху з публікацією також стало менш зрозуміло, якою є справжня серйозність помилки в реальному світі. Вона явно існує і викликає занепокоєння, але групи все ще борються за доведення повного шляху експлуатації, з кількома викликами, що показують результати, але нічого остаточного поки що.
Їхня порада зводиться до “спочатку захищайтеся, потім публікуйте”: надсилайте правила виявлення та віртуальні патчі, повідомляйте своїх клієнтів приватно та залиште запис у блозі на після офіційної консультації. Оскільки інструменти ШІ скорочують час між “деталі існують” і “працюючий експлойт” до годин, вартість порушеного ембарго зростає, а не зменшується.
Помилка завантаження через UEFI у більшості серверів
Говорячи про порушені ембарго, Ars Technica повідомляє про CVE-2026-97631, помилку виконання коду з рейтингом CVSS 9.5 у TianoCore EDK II, відкритій кодовій базі, на якій будується майже кожен постачальник прошивок. Це включає AMI, Insyde, Phoenix і власний форк Microsoft Project Mu.
UEFI — це поточна ітерація того, що ми знали як PC BIOS: прошивка, яка запускається перед вашою операційною системою, ініціалізує апаратне забезпечення та передає керування завантажувачу. Саме тут Secure Boot починає свій ланцюг довіри, і де налаштовується TPM. Код, що виконується в UEFI, запускається до того, як існують будь-які захисти операційної системи, що робить його надзвичайно привабливим для зловмисників. Preboot eXecution Environment (PXE) — це функція UEFI, яка дозволяє машині завантажуватися з образу, завантаженого через мережу, що є поширеним у дата-центрах і лабораторіях з великою кількістю ідентичних машин.
Помилка — це 16-річний переповнення буфера в тому, як драйвер PXE зберігає ICMP-повідомлення про помилки: він копіює вхідні помилки в буфер фіксованого розміру 504 байти, не перевіряючи належним чином довжину. Зловмисник, який може надіслати пакет на машину під час її мережевого завантаження, може перезаписати сусідню пам’ять і, якщо він знає конкретну збірку прошивки, виконати код на найвищому рівні привілеїв, перш ніж Secure Boot зможе щось зробити. Переповнення буфера — це нічого нового, насправді це один із найстаріших класів помилок, перетворених на експлойти, але більшість сучасних операційних систем пропонують захист для зменшення серйозності.
Середовище перед завантаженням UEFI не має таких зручностей, що робить атаку простою і повністю ефективною. HD Moore повідомив Ars, що її можна використовувати для зламу шифрування диска для зловмисника з короткостроковим мережевим доступом, і що це, ймовірно, буде “вічною” помилкою, що залишатиметься на застарілих системах. Якщо це звучить знайомо, то тому, що PixieFail виявив подібну родину PXE-помилок у тому ж мережевому коді EDK II у 2024 році, і, як зазначає Ars, проекти фазингу, що послідували, пропустили цю.
Розкриття інформації мало відбутися лише в січні, але AMI опублікувала запит на злиття з виправленням минулого місяця, і після того, як дослідники помітили це, TianoCore не мав вибору, крім як опублікувати консультацію. Якщо ваші машини завантажуються тільки з локальних дисків, ви не постраждаєте, і це охоплює більшість домашніх і малих офісних систем. Якщо ви використовуєте мережеве завантаження, зверніться до свого постачальника прошивки та подумайте про вимкнення завантаження PXE там, де вам це не потрібно. На щастя, це здебільшого неактуально для домашніх користувачів, якщо ваш мережевий доступ якимось чином надає прямий доступ з Інтернету до середовища перед завантаженням сервера, але це може бути реальною проблемою для серверного обладнання.
Наслідки від причини сертифікації продовжуються
Минулого тижня ми обговорювали проміжні сертифікати eMudhra, приватні ключі яких виявилися крихітними цілими числами. Цього тижня eMudhra оголосила, що повністю виходить з глобального бізнесу SSL/TLS-сертифікатів. У прес-релізі стверджується, що компанія “сумлінно впоралася з нещодавнім інцидентом”, що її інфраструктура ніколи не була скомпрометована, і що TLS становив лише близько 1% доходу, але що “рівень посилення в соціальних мережах навколо цього інциденту спричинив непропорційну увагу”. Можливість вгадати ваші ключі за кілька хвилин вільного часу саме так і робить.
Тим часом GoDaddy самостійно повідомив Mozilla, що не зміг вчасно відкликати 404 607 сертифікатів, які не відповідали їхнім опублікованим політикам сертифікації. Правила, узгоджені браузерами та CA, “Базові вимоги” CA/Browser Forum, вимагають, щоб CA відкликав невірно виданий сертифікат протягом п’яти днів. GoDaddy вдалося відкликати 170 566 до терміну, а близько 227 000 — наступного дня.
Масове відкликання — це справді складно: кожен із цих сертифікатів встановлений на сервері когось, і його відкликання до заміни призведе до збою веб-сайту. Саме тому кореневі програми браузерів так уважно ставляться до здатності CA вчасно це робити. Короткотривалі сертифікати, які Let’s Encrypt просуває роками, роблять це набагато менш болісним, тому що поганий сертифікат автоматично закінчує термін дії за дні, а не місяці. Ми будемо жити з досвідом довготривалого відкликання сертифікатів eMudhra протягом років із пристроями, які не перевіряють або не можуть перевірити списки відкликання для довготривалих сертифікатів CA.
Черв’ячна здатність Tailscale
Tailscale та headscale, його самостійний, відкритий сервер керування, стали надзвичайно популярними. Особливо це стосується світу мейкерів та домашніх лабораторій, де вони використовуються для створення приватних мереж між пристроями. Під капотом Tailscale створює сітку тунелів VPN WireGuard між кожним пристроєм, а центральний сервер керування визначає, хто з ким може спілкуватися. Він також пропонує “Tailscale SSH”, який замінює звичайний SSH-сервер на пристрої та авторизує входи на основі того, який пристрій підключається, а не паролів чи ключів.
Еріка Віндіш з Cyberdione Labs опублікувала звіт під назвою Tailworm, що детально описує низку виявлень у Tailscale та headscale. Найсерйозніше — це Tailscale SSH, який працює як root: запити на пересилання сокетів обробляються з привілеями root і піддаються умовам гонки, дозволяючи звичайному користувачеві з SSH-доступом до пристрою замінювати або підключатися до привілейованих сокетів (наприклад, сокета Docker або системи ініціалізації) та отримувати root. У поєднанні із захопленням ключів, що використовуються для реєстрації нових пристроїв, Віндіш повідомляє, що один скомпрометований пристрій міг автоматично поширюватися на кожен пристрій, дозволений політикою доступу, менш ніж за секунду на стрибок, без необхідності паролів чи вкрадених ключів. Вона також знайшла експериментальну функцію з’єднувача програм, яку можна використовувати для доступу до місць призначення, які мережева політика ніколи не дозволяла, включаючи хмарні метадані сервісів, що видають облікові дані. І на додачу до всього, Віндіш виявила неавтентифіковані атаки вичерпання пам’яті проти серверів headscale, що виходять в Інтернет.
Примітно, що дослідники не дотримувалися скоординованого розкриття, стверджуючи, що “інфраструктура вразлива сьогодні” і що швидке усвідомлення прискорить виправлення. Незалежно від того, згодні ви з цим чи ні (див. першу статтю цього тижня), пом’якшення наслідків є практичним: використовуйте правила доступу для SSH на основі окремих пристроїв, а не широкі теги чи групові правила, вимкніть пересилання SSH, де це можливо, і встановлюйте термін дії ключів вузлів на серверах. На щастя, схоже, що помилка не вразлива для Інтернету в цілому. Скомпрометований пристрій у вашій мережі Tailscale міг би досягти інших пристроїв у вашій мережі, але він ще не розплавить Інтернет.
Однобайтова помилка в вбудованому TLS
FoxIO знову з трьома TLS-помилками в GoAhead, невеликому вбудованому веб-сервері, який запускає інтерфейс керування на величезній кількості пристроїв: маршрутизаторах, принтерах, брандмауерах та промислових контролерах від таких постачальників, як Palo Alto Networks, D-Link, HP, Canon, Honeywell, Siemens та Rockwell.
Найсерйозніша (CVE-2026-115881, CVSS 9.1) полягає в тому, що інтеграція GoAhead з OpenSSL завантажує налаштований список відкликання сертифікатів, але насправді не вмикає перевірку відкликання, тому відкликані клієнтські сертифікати продовжують працювати, але найцікавіше — в інтеграції Mbed TLS: помилка копіювання та вставки передає розмір однобайтового генератора Diffie-Hellman як розмір 256-байтового простого модуля. Результат — обмін ключами “2048-бітний” з використанням простого числа 255, що залишає рівно вісім можливих спільних секретів. Підслуховувач може просто спробувати всі вісім. (Клієнти, такі як OpenSSL, відхиляють несправні параметри, але більш терпимі вбудовані клієнти охоче їх приймають.) Третя помилка (CVE-2026-115884) дозволяє надто довгому ланцюгу сертифікатів обійти перевірку глибини під час збірки проти старішого LibreSSL. Це відчувається моторошно схожим на одночисловий пароль eMudhra, а час — моторошним.
Це гарне нагадування про сумнозвісну помилку Apple “goto fail” у 2014 році, коли один дубльований рядок мовчки пропускав перевірку сертифіката. Криптографічний код виходить з ладу мовчки: рукостискання завершується, і все виглядає добре. GoAhead 6.1.1 виправляє всі три, але для сотень мільйонів вбудованих пристроїв, що його використовують, виправлення залежить від того, що кожен постачальник випустить оновлення прошивки, а власники встановлять його. Що, звичайно, відбуватиметься швидко й ефективно, так?
Ланцюжок маршрутизаторів Volt Typhoon
Кім Зеттер повідомляє про нові дослідження від Lumen’s Black Lotus Labs щодо того, як Volt Typhoon, китайська державна група хакерів, яку, за словами американських чиновників, “розгортає” всередині американської критичної інфраструктури, фактично входить і виходить.
Зловмисники рідко підключаються до цілі безпосередньо зі своїх систем. Натомість вони перескакують через ланцюжки скомпрометованих пристроїв, які часто називають “ORB-мережами” (operational relay boxes), так що трафік здається таким, що надходить з невинного місця. Раптовий сплеск новин про інструменти Residential Proxy Network навесні та на початку літа 2026 року міг бути пов’язаний: проксі-мережі надають спосіб з’явитися всередині країни, штату чи навіть конкретного міста.
Версія Volt Typhoon, яку дослідники назвали Silent Train, незвичайно дисциплінована: кожен ланцюжок скомпрометованих серверів, домашніх маршрутизаторів та IoT-пристроїв збирається та використовується для одного вторгнення, потім демонтується та очищається. Все це часто менш ніж за дві хвилини, що свідчить про автоматизацію. Пристрої за межами США ніколи не є тієї ж моделі, що й пристрої всередині США, ймовірно, щоб жоден телеметрічний канал одного постачальника не міг побачити весь ланцюжок. Цілями були державні установи, оборонні підрядники, телекомунікаційні компанії, служби екстреного зв’язку, супутникові оператори, а також енергетичні, водні та залізничні оператори, зосереджені на Гаваях, Каліфорнії та Техасі.
Ланцюжки включали понад 27 класів пристроїв, включаючи споживчі маршрутизатори TP-Link та Netgear, з новим типом пристрою, що додавався приблизно раз на місяць. Більшість із них були скомпрометовані через відомі, вже виправлені вразливості. Якщо у вас є старий маршрутизатор або гаджет IoT, який не отримував оновлення прошивки роками, він цілком міг провести деякий час як вагон поїзда. Оновіть його, вийміть з експлуатації або оновіть за допомогою OpenWRT чи іншого сучасного вбудованого дистрибутива.
Discover-Tech та Starlink
Минулого тижня ми говорили про дослідження Citizen Lab, яке показало, що ізраїльська компанія ad-tech Discover-Tech використовувала таргетовану рекламу для доставки шпигунського ПЗ Candiru. Gizmodo повідомляє, що та сама компанія, схоже, є найбільшим учасником торгів за покази реклами на з’єднаннях Starlink у 105 країнах.
Дослідження TrendAI виявило організацію, яку вони позначили як SHADOW-EARTH-79, що виграла близько 12% показів реклами користувачам Starlink, порівняно з базовим рівнем 3% в інших місцях, і понад 80% показів реклами Starlink в Аргентині, Філіппінах та Японії. Вона також була найбільшим учасником торгів у Сирії, Лівії, Ємені та Південному Судані, на ринках, де, за словами TrendAI, “попит на легальну західну рекламу в санкціонованих країнах або країнах з активними конфліктами практично відсутній”. Reuters пізніше повідомило, що SHADOW-EARTH-79 — це внутрішня назва TrendAI для Discover-Tech. Компанія витратила близько 109 000 доларів на ставки протягом чотирьох місяців без зареєстрованих конверсій, що не є типовою поведінкою для бізнесу, який хоче продавати товари.
Автоматична торгівля рекламою в реальному часі ділиться даними про пристрої та місцезнаходження з кожним учасником торгів, незалежно від того, виграв він аукціон чи ні. Користувачі супутникового Інтернету — це саме ті, кого хтось захоче знайти в місцях, де це обмежено або політично чутливо, і ринок реклами із задоволенням повідомить вам, де вони знаходяться. Блокувальники реклами продовжують виглядати менш як зручність, а більше як необхідність.
Quad9 залишає Францію
Quad9, безкоштовний DNS-резолвер, орієнтований на конфіденційність, керований швейцарською некомерційною організацією, припиняє обслуговування у Франції 24 листопада після програшу справи, порушеної спортивним мовником beIN.
DNS-резолвер перетворює назви, такі як “hackaday.com”, на IP-адреси. Quad9 не розміщує жодного контенту, але суд наказав йому блокувати розширення доменів, які, на думку beIN, піратують їхні трансляції, для користувачів у Франції. Quad9 стверджує, що не може виконати це: він не відстежує, хто є його користувачами і де вони знаходяться, а єдині альтернативи — це блокування доменів для всього світу, застосування французького законодавства глобально або спроба геолокації користувачів за IP-адресою. Він спробував геолокацію у подібній справі, порушеній Sony у Німеччині, і був оштрафований за неповагу, коли юристи Sony просто використали VPN. (Quad9 зрештою виграв ту справу, після кількох років і шестизначних витрат на юридичні послуги.) З приблизно 20 подібними справами, що розглядаються у Франції, він вирішив піти.
Як зазначає EFF, жодна з цих дій не видаляє жодного порушуючого авторські права веб-сайту з Інтернету; це просто позбавляє французьких користувачів сервісу блокування шкідливих програм, орієнтованого на конфіденційність, які можуть перейти на інший резолвер приблизно за тридцять секунд. Перетворення постачальників інфраструктури на правоохоронців щодо авторських прав — це інструмент, який дуже легко перепрофілювати для блокування інших речей. Чистий збиток для інтернет-користувачів у Франції, але хвала Quad9 за відстоювання принципів.
Витік порад Crime Stoppers
CBC проаналізувала дані, вкрадені з P3, платформи управління порадами, що використовується програмами Crime Stoppers на міжнародному рівні, і виявила понад 1,5 мільйона канадських порад за останні 25 років. Більше половини містили особисту інформацію, включаючи адреси, телефонні номери, номерні знаки та банківські дані для грошових винагород. Понад 4 300 порадників ідентифікували себе за ім’ям, і навіть поради, позначені персоналом як такі, що викривають порадника, зберігалися без редагування.
Дані були викрадені в березні групою хактивістів, яка заявила, що хотіла спростувати заяви платформи про те, що вона є “анонімною” та “безпечною”. Після звіту CBC, Toronto Crime Stoppers призупинила свою програму, а щонайменше шість поліцейських служб Онтаріо призупинили своє партнерство. Голова Toronto Crime Stoppers, Шон Спортун, сказав CBC: “Здається очевидним, що у вас більше даних, ніж у нас, що трохи турбує”, зазначивши, що власник платформи, Navigate360, ніколи не надавав текст вкрадених порад, незважаючи на місяці запитів.
Найфундаментальнішою проблемою тут може бути зберігання даних. Система, яка обіцяла анонімність, зберігала 25 років порад, включаючи закриті справи, в одному місці. Найбезпечніші дані — це дані, яких у вас немає.
Витік каталогу співробітників DHS
WIRED повідомляє, що Distributed Denial of Secrets опублікував записи про понад 41 000 співробітників та підрядників Міністерства внутрішньої безпеки, включаючи ICE та CBP. DDoSecrets стверджує, що дані надійшли з системи логінів Okta DHS; Okta повідомила WIRED, що “не має доказів компрометації наших даних чи систем”.
Окрім імен, електронних адрес та телефонних номерів, витік містить понад 55 000 груп дозволів доступу, які визначають, хто має доступ до яких внутрішніх систем, включаючи групи, що посилаються на сертифіковані підпільні операції, програми прослуховування, інструменти для аналізу телефонних даних та послуги ШІ. Експерт з безпеки, цитований WIRED, назвав це “надзвичайно цінним розвідувальним ресурсом для тих, хто прагне проникнути до DHS”. Після заявленої крадіжки особистих даних майже всіх співробітників ФБР групою ShinyHunters, осінь для федеральних систем ідентифікації була непростою.
Систему подання документів FEC виведено з ладу
Федеральна виборча комісія США вивела свою систему електронного подання документів офлайн за тиждень до виборів 3 листопада після того, що офіцер з подання документів FEC описав в електронному листі, який бачив Reuters, як “зловмисник, який намагався зламати системи FEC”.
FEC не проводить вибори, тому це не впливає на голосування, але збій блокує 24- та 48-годинні звіти про витрати, які показують, скільки супер-PAC та інші групи витрачають на конкретні перегони в останні дні. Оскільки проміжні вибори вже є найдорожчими виборами в США, це значний пробіл, саме в той момент, коли це найважливіше.
Атаки на банки, оркестровані ШІ
Минулого тижня ми розглядали нападника, який використовував рої агентів ШІ для злому веб-сайтів. Цього тижня Straiker опублікував аналіз CARLIY0S, системи, яку, за їхніми словами, довготривала група CyberCartel використовувала для атак на понад 400 фінансових цілей у Латинській Америці. CARLIY0S був побудований на PentAGI, відкритій платформі автоматизованого тестування на проникнення, і призначав різні завдання різним комерційним моделям ШІ, включаючи Kimi, Grok та Claude. Чотири ролі на основі Claude були налаштовані для оцінки варіантів атак, обговорення цілей та повернення рішення через призначений “арбітр”.
Згідно зі Straiker, група обійшла політики безпеки моделі, формулюючи запити як авторизовану роботу червоної команди або вправи “захопи прапор”, і навіть давала вказівки моделям ніколи не видавати назву групи, щоб ускладнити атрибуцію. Straiker стверджує, що отримав доступ до викраденої бази даних облікових даних групи, що містить тисячі записів, включаючи ключі API, облікові дані бази даних, ключі підпису JWT та бекдори. З того часу Anthropic відкликав облікові дані, які група використовувала для доступу до Claude, а xAI проводить розслідування.
Захист “це просто інструмент для пентестингу” буде широко використовуватися в найближчі роки. Автоматизовані наступальні платформи дійсно корисні для захисників, і, на жаль, також дійсно корисні для будь-кого іншого, хто може переконати модель, що він є захисником.
“Невразливий” хостинг конфісковано
Міністерство юстиції США конфіскувало домен Virtualine, “невразливого” хостинг-провайдера. “Невразливі” хости продають сервери та домени злочинцям з явною обіцянкою ігнорувати скарги на зловживання та запити правоохоронних органів, і вони є основним інструментом для фішингу, шкідливого програмного забезпечення та спаму.
Virtualine не приховував цього. За даними Міністерства юстиції, він рекламувався на кіберзлочинних форумах, що клієнти можуть використовувати його “для будь-якої незаконної/чорної діяльності (включаючи фішинг, кардінг, спам електронною поштою, сканування портів та все інше)”, пропонував “додатковий план захисту”, який переміщував інфраструктуру клієнта до незалежної компанії-оболонки після запиту правоохоронних органів, і хвалився, що він “ігнорував більше зловживань, ніж ваші останні три терапевти”. Незважаючи на нібито заборону матеріалів, що стосуються сексуального насильства над дітьми, він продовжував розміщувати сайт, що продавав саме це, після багаторазових повідомлень від правоохоронних органів різних країн. Маркетингові матеріали, як виявляється, є доказом.
Оригінал статті: hackaday.com