אמלק: החוקרים המטורפים (@yuvalavra, @nirohfeld) של וויז מצאו פירצת אבטחה ב aws והצליחו להשתלט על פקג׳ים בלב המערכת. הם הגיעו למצב שיש להם הרשאות אדמין על הריפו שמחזיק את הקוד של הפקג׳ים האלה.

כתבתי על הנושא הזה לא מעט בעבר, אבל אין ספק שזה בטופ של החמורים שהיו כאן. שנתחיל? >> אם לא מעניין אתכם המעבר, זה מה שהיה:
- החוקרים השיגו אדמין על הריפו aws-sdk-js-v3
- הריפו מכיל את קוד המקור של הפקג׳ הזה
- הפקג׳ הזה נפרס בהרבה מקומות כשהחשוב ביותר הוא הקונסול של aws!
- פריצת ספליי צ׳יין בעזרת קוד בילד (AWS CodeBuild)
- רגקס 😑
- היה פוטנציאל לנזק גדול יותר
>>

אסקפיזם וסייבר 👇

אחרי החוויה של #h16102 , יש לי המון מה לומר על לייב האקינג איבנטס. אחד מהדברים האלה זה כמה מפרה הסביבה הזו ולמה האירוע הזה משמעותי יותר ביחס לכל יום אחר בשנה.

אמלק: איך שני באג האנטרס מצאו פירצה בנטפליקס והריצו קוד מרחוק (RCE).

איך הכל מתחבר? מתחילים >> למי שלא מכיר, לייב האקינג איבנטס (LHE) אלה אירועים שמאורגנים ע״י חברות כמו האקר1 או באג קראוד, בד״כ בשיתוף פעולה עם חברות גדולות כמו גוגל, פייפאל, סיילספורס ועוד >>

אמלק: חוקר אבטחה מצא פירצה שיכלה לאפשר לו לחדור לרשתות ולמערכות הפנימיות (למשל: ג׳נקינס) של נוד (nodejs) כולל RCE.

בנוסף, התגלתה יכולת להחדיר קוד זדוני לקוד שמאחורי נוד עם פוטנציאל הפצה נרחב.

החוקר השתמש בטכניקה מרתקת וההשלכות של הפירצה יכלו להיות מרחיקות לכת. שנתחיל? >> ההשלכות:
- החוקר הצליח להריץ קוד RCE על האייג׳נט ג׳נקינס הפרטי של נוד
- באותה שיטה היה ניתן להכניס קוד זדוני לחבילה של נוד בגיטהאב (nodejs/node), מה שיכל להגיע לאינספור חברות, ארגונים ורשתות אחרים
- הוא הצליח לעשות את זה בצורה שנראת לכאורה אמינה ולא חשודה
>>

הזמן טס. באתי לכתוב שפותחים שבוע עם סיפור חדש, אבל הוא כמעט נגמר.

אמלק: באג האנטר מצא, יחד עם חבר נוסף, פרצה שאפשרה להם להכניס קוד לכל סביבות הפיתוח, כולל פרודקשן, מבלי שיעלו עליהם. הם קיבלו 50500 דולר.

על המשמעויות, הפרטים הטכניים וההמלצות שלי לאנשי הדבאופס והסקיוריטי כאן >> אם אתם לא מעוניינים בפרטים הטכניים, בדעות ובהמלצות:
- ההאנטר טירגט סוג חברות ספציפי
- הוא חיפש פרצה שתביא הרבה כסף כמו RCE
- הוא גילה דליפה של קוד פנימי של החברה בחוץ
- הוא מצא טוקן שנתן לו גישה פנימה
- האימפקט היה משמעותי - הוא יכל לחדור לכל חלק בפייליין, עד פרודקשן

לפרטים >>

אמלק: באג האנטר מצא יכולת לשלוף את כל האימיילים של כל המשתמשים של יוטיוב (PII). הפרס? 10000 דולר.

אם אתם תוהים למה התשלום כזה גבוה, מה זה PII, איך גוגל (יוטיוב) נפלו ככה, וכמובן - איך הוא מצא את זה אז >> למי שלא מעוניין בפרטים, אז זה מה שהיה:
1. באג האנטר מצא דרך להוציא את האימיליים של כל יוזר ביוטיוב (יש 4 מיליארד כאלה)
2. הוא השתמש בדרכים מקוריות מאוד
3. השליפה הייתה שקטה, לא היו עולים עליו
4. הוא כמעט ולא קיבל את הכסף והייתה תפנית בסוף
5. יש גם סרטון דמו ב...יוטיוב

>>

פעם קניתם להורים שלכם מכונית במתנה בתנאי שהם יסכימו שתנסו לפרוץ אותה?

שלשום, אחד מחוקרי האבטחה שאני מעריך, פרסם -שוב- בלוג פוסט על איך הוא, יחד עם חבר, מצא פרצה במכוניות של סובארו.

הוא הצליח להגיע למצב שהוא יכול לשלוט ברכבים מרחוק, אבל זה לא נגמר שם.

איך הוא עשה את זה? 👇 לפני שנכנס לפרטים הטכניים, זה מה שהוא מצא:
- הוא הצליח לפתוח, לנעול, להדליק, לכבות ולדעת את מיקום הרכב בזמן אמת
- הוא יכל להוציא את המיקום המדוייק שבו היה הרכב בשנה האחרונה
- הוא יכל להוציא פרטים אישיים של כל בעל רכב, כולל כתובות פיזיות, מיילים, ארבע ספרות אחרונות של כרטיס האשראי ועוד
- הוא יכל להוציא פרטים על כל הלקוחות והמכירות של סובארו בארה״ב, קנדה ויפן

הוא דיווח את הממצאים והבעיה תוקנה תוך 24 שעות.

אם מעניין אתכם הרקע, הדרך והפרטים 👇

שוב דבאופס, שוב ק8ס.

החבר׳ה ברנדר (Render) קראו את הפוסט מורטם של החברים של ג׳פטה ושיתפו את השנקל שלהם.

אמלק: תפרידו את הנוד גרופים שלכם.

מכיוון שאני ממש להוט לשתף על הקונספט שלי לנוד גרופים ועל השנקל של רנדר, בואו נצלול >> דבר ראשון, אם לא קראתם את הפוסט הקודם בנושא - אני ממליץ לעצור, לקרוא ולחזור.

אם קראתם כבר >>

https://twitter.com/shakedko/status/1867998154148516011

קצת דבאופס, אינפרא, ק8ס וכו׳.

אמלק: לפני כמה ימים ג׳פטה הפסיק לעבוד בשעות הערב לכמה שעות. הסיבה לכך הייתה שנעשה דיפלויימנט לרכיב מוניטורינג חדש, שהפציץ את הקונטרול פליין וגרם לו לקרוס.

קצת על מה שקרה שם >> בשרשור הזה יש המון ז׳רגון טכני ואני בספק שאוכל להימנע ממנו או להסביר את כולו אבל אשתדל - מוזמנים לשאול אם משהו לא ברור.

דבאופס: כנראה שכאן יווצר ויכוח על מה זה אומר, אבל בפשטות אלה הם הצוותים שמקשרים בין המוצרים שהחברה מפתחת לתשתיות שעליהן המוצרים והעזרים שלהם רצים >>

אמנם אני כרגע בלונדון, אבל כשקורה משהו מרתק, אני לא יכול לעצור את עצמי.

אמלק: תוקף הצליח להחדיר קוד זדוני לפקג׳ פייתוני שנקרא ultralytics ובעזרתו לכרות ביטקויין - ז״א, לנצל את כוח העיבוד של המחשבים והשרתים של כל מי שנפגע כדיי ליצור ביטקויין.

למה זה מעניין? איך זה נעשה? >> אני מאמין שכל מי שקורא את הטקסט הזה יודע מה זה ביטקויין. למי שלא יודע או זוכר, אפשר להשיג ביטקויין בשתי דרכים: 1. לרכוש אותו; 2. לכרות אותו.

בעבר היינו שומעים יותר על אנשים שמנסים לכרות ביטקויין לבד, כי זה היה אפשרי. מבלי להיכנס לעומק של איך עובד ביטקויין, ככל שיש יותר >>

אני רוצה לשתף בעיה מורכבת כדי להראות לכם כמה האינטרנט שבור בבסיסו.

אמלק: חוקר אבטחה מצא איך לעקוף פרסור (parsing) וולידציה של אימיליים והצליח לעקוף הזדהות במערכות כמו: גיטהאב, גיטלאב, זנדסק ועוד.

אם מעניין אתכם מה זה RFC, למה זה חשוב ומה החוקר עשה הגעתם למקום הנכון>> אז RFC (Request For Comments), זה בעצם אוסף של מסמכים ארוכים מאוד, שבאים לתאר את ההתנהגות הרצויה של תפיסה או רעיון.

למשל, RFC 2822, בא לתאר את הפורמט של הודעה באינטרט. מה מותר, מה אסור, מה הציפייה.

אתם ידעתם שכתובת המייל בתמונה היא ולידית? הטקסט המצורף מתאר את זה >>

הפעם סיפור קצת שונה, יש שיגידו שזה לא סייבר קלאסי אבל נחכה לסוף ונגלה.

אמלק: האקר הצליח להרחיק לצמיתות שחקנים במשחק Call of Duty (קוד) על ידי שימוש במנגנון שבודק אם הם השתמשו בצ׳יטים ורימו, למרות שבפועל הם היו חפים מפשע.

אז למה זה חשוב ואיך זה קרה? מתחילים >> נתחיל מההשלכות: מעבר להיגיון הבסיסי שצריך להעיף רמאים ממשחקים כי הם הורסים את המשחק, במשחקי אונליין יש לזה השלכות נוספות. למשל: מוניטין וכסף.

לכן, המטרה של חברות כמו Activision, שהיא החברה מאחורי קוד ומשחקים מוכרים אחרים, היא להעיף את הרמאים בהקדם האפשרי >>

לא שווה לחכות עד הסופ״ש בשביל הסיפור הבא, במיוחד אחרי הסיפור האחרון ששיתפתי, בקשר ל supply chain attacks (SCA).

אמלק: חוקרי אבטחה בנו כלי אוטומציה שמחפש חולשות SCA, הם מצאו חולשה בחברת פורצ׳ן 500 וגילו הפתעות על הדרך.

בואו נבין איך הם הרוויחו 17 אלף דולר ולמה זה כ״כ קריטי >> בשביל להבין איך עובדות בעיות אבטחה באיזורי ה SCA, צריך קודם להכיר איך גורמים לקוד להפוך למוצר, שמגיע בסוף לסביבת הפרודקשן.

אם לפשט, אז התהליך הוא כזה: צוות מפתחים כותב קוד, במהלך הכתיבה הצוות ככל הנראה ישתמש בתלויות שמגיעות מעולמות האופן סורס ותלויות פנימיות >>

לפעמים בעולם הבאג באונטי יש פירצות מרתקות, שכוללות חוסר הבנה מצד החברות שאותן מנסים לפרוץ.

אמלק: נער בן 15 מצא פירצה בZendesk (ז״ד), הצליח להשתמש בז״ד כדיי לחדור לסלאק וסביבות של חברות ענק - ע״י זיוף אימייל וז״ד לא הסכימו לשלם. הוא סיים עם יותר מ $50k.

זיוף? ז״ד? קדימה >> למי שלא מכיר, ז״ד זו חברה שמספקת פלטפורה לשירות לקוחות, עם מערכת ליצירה ומעקב של טיקטים.

ז״ד היא אחת מהחברות הגדולות בתחום וחצי מהחברות בפורצן 500 משתמשות במערכות שלה.

בד״כ חברות משתמשות בכתובת המייל של הספורט:
support at company dot com כחיבור לז״ד >>

טוב אז הבטיחו לנו פירצת אבטחה ברמה של 9.9/10 וקיבלנו סוג של בדיחה, ולכן דרוש פיצוי.

אמלק: האקרים טובים הצליחו לפרוץ למערכות של חברת המכוניות KIA והצליחו לשלוט במכוניות מרחוק בעזרת לוחית הרישוי בלבד.

איך הם עשו את זה? זה תמיד חוזר לפער בהבנה בין התחברות להרשאות >> לפני שנתחיל, אספר לכם ש IDOR זו אחת הפירצות הנפוצות ביותר. הפירצה מאפשרת לתוקף להגיע למידע/משאב שאין לו הרשאות אליו. דמיינו מישהו שמגיע למידע רפואי שלכם בקופת החולים, מחשבון אחר או בלי להתחבר לאף חשבון בכלל.

לפירצה הזו יש כל מיני צורות, ולא מעט פעמים יכולה לגרום לאסון. נמשיך >>

מסיבה לא ברורה אני יושב בבית קפה של פריס הילטון בניו יורק, אז הנה סיפור:

שני האקרים הצליחו לעקוף את האבטחה של שדות תעופה בארה״ב ולייצר לעצמם אישורי מעבר ללא בידוק ביטחוני. איך? האמלק: sql injection אצל ספק צד שלישי.

מה זה sqli? איך הם מצאו את הבעיה? תכינו את הקפה, צוללים >> אז לפני הכל sqli זו בעצם טכניקה להזריק לדאטאבייס, במקרה הזה בשפת SQL, שאילתא זדונית, ובעצם לגרום לדאטאבייס להתנהג אחרת: להכניס/לעדכן/לקרוא/למחוק מידע שלא צריך להיות שם ולפעמים אפילו לעקוף הכל ולהשתלט על השרת שמפעיל הכל. עכשיו >>

עוד יום, עוד בעיית אבטחה חמורה ביותר.

אמ;לק: הצוות של @JFrogSecurity מצא טוקן של גיטהאב, בתוך קובץ בינארי של פייתון, שהיה זמין באימג׳ של דוקר *פומבית* והכיל גישה לריפוז הראשיים של פייתון.

אם זה מעניין אתכם או שהאימלוק שלי לא אומר כלום, אתם מוזמנים >> בואו ניישר קו:
״טוקן של גיטהאב״ זה בעצם מפתח 🔑 שמאפשר למכונה או מתכנת להתחבר לקוד המקור, שיושב בגיטהאב (Github) ולקרוא, לשנות, להוסיף או למחוק חלקים ממנו.

למה זה משנה? עולם הפיתוח מבוסס לרוב על קוד פתוח וכל שינוי לא מבוקר בקוד הזה, עלול לתת לתוקף גישה למערכות שמשתמשות בו >>