Баг в Kubernetes Image Builder позволял получить root-доступ через SSH
В Kubernetes исправлена критическая уязвимость, позволяющая получить несанкционированный SSH-доступ к виртуальной машине, на…
Майнеры используют уязвимости в OpenMetadata и оставляют жертвам записки
Злоумышленники нацелились на OpenMetadata в средах Kubernetes и эксплуатируют критические уязвимости удаленного выполнения к…
Проблемы Leaky Vessels позволяют осуществить побег из контейнера
Исследователи из компании Snyk обнаружили четыре уязвимости, которые могут быть использованы для побега из контейнеров. Проб…
Проблема в Google Kubernetes Engine позволяла повысить привилегии
Специалисты Google Cloud исправили уязвимость, которая могла использоваться злоумышленником, имеющим доступ к кластеру Kuber…
HTB Cybermonday. Эксплуатируем путаницу ключей JWT
В этом райтапе я покажу, как злоумышленник может использовать неверную настройку JSON Web Tokens при атаке на веб‑сервер. Также проэксплуатируем обход каталога в Nginx, получим доступ к Redis благодаря SSRF и поупражняемся в атаках, связанных с Docker.
Секреты Kubernetes регулярно попадают в общедоступные репозитории
Специалисты компании Aqua Security пытаются привлечь внимание к проблеме публичного раскрытия конфигурационных секретов Kube…
Три связанные уязвимости в Kubernetes позволяют удаленно выполнить произвольный код
Три взаимосвязанные уязвимости, обнаруженные в Kubernetes специалистами компании Akamai, могут использоваться для удаленного…
HTB PikaTwoo. Проходим одну из самых сложных машин c Hack The Box
Эту тачку «безумного» уровня сложности я штурмовал почти три месяца. Чего здесь только не встретилось: уязвимость в OpenStack, реверс приложения для Android и подделка сертификатов, баг в Apache APISIX, атака на ModSecurity, которую удалось раскрутить до RCE... Под конец получаем доступ к ноде Kubernetes, сливаем секреты и эксплуатируем баг в minikube CRI-O. В общем, скучно не будет!
HTB Vessel. Эксплуатируем уязвимость в кластере Kubernetes
В этом райтапе я покажу, как повышать привилегии через уязвимость CVE-2022-0811, которая позволяет с максимальными привилегиями выходить из контейнера в кластере Kubernetes. По дороге посмотрим, как собирать данные из репозитория Git, проэксплуатируем SQL-инъекцию и попентестим платформу Open Web Analytics, чтобы получить доступ к хосту. Еще разберемся с генератором паролей и расшифруем PDF-документ.
Майнеры активно злоупотребляют возможностями Kubernetes RBAC
Система распределения прав доступа к различным объектам в кластере Kubernetes используется злоумышленниками для создания сто…
Kubernetes атакует малварь, добывающая криптовалюту Dero
Исследователи CrowdStrike обнаружили первую криптоджекинговую кампанию по добыче криптовалюты Dero. Операторы кампании нацел…
Удар по контейнерам. Пентестим Docker и Kubernetes в облаке Amazon
Предположим, ты уже умеешь повышать привилегии в среде AWS. Но туда ведь нужно еще как-то попасть! Файлы `.credentials` в репозиториях и другие простые ошибки разработчиков встречаются все реже и реже. Что еще можно поискать? Об этом и поговорим сегодня.
Google предлагает до 91 000 долларов за уязвимости в ядре Linux
Компания Google почти в два раза увеличила вознаграждения за уязвимости в ядре Linux, Kubernetes, Google Kubernetes Engine (…
Уязвимость в Argo CD позволяет воровать данные с помощью диаграмм Helm
Уязвимость в инструменте Argo CD, используемом тысячами организаций для развертывания приложений в Kubernetes, может использ…
HTB Unobtainium. Учимся работать с Kubernetes в рамках пентеста
В этой статье я покажу, как проходится сложная машина Unobtainium с площадки Hack The Box. Мы проведем тестирование клиент-серверного приложения, серверная часть которого написана на Node.js. А затем поработаем с оркестратором Kubernetes и через него захватим флаг рута.
Уязвимость в ядре Linux может использоваться для побега из контейнеров Kubernetes
Уязвимость в ядре Linux, имеющая идентификатор CVE-2022-0185, может использоваться для побега из контейнеров Kubernetes, что…
ФБР и АНБ утверждают, что российские хакеры брутфорсят компании и организации по всему миру
Спецслужбы США и Великобритании выпустили официальное заявление, утверждая, что российские «правительственные» хакеры из APT…
Лайфхаки для DevOps. Маленькие хитрости и большие инструменты на каждый день
У всех нас есть лайфхаки и инструменты, ускоряющие работу. У девопсов и администраторов таких инструментов должно быть едва ли не больше всех, потому что сервисов много, а терминал один. В этой статье я делюсь своим опытом работы с облачными системами и решением мелких задач, которые возникают каждый день.
Microsoft предупреждает о майнинговых атаках на кластеры Kubernetes
Компания Microsoft предупредила о продолжающихся атаках на кластеры Kubernetes с запущенным Kubeflow (опенсорсный проект, ко…
Обнаружена малварь Siloscape, нацеленная на контейнеры Windows Server и кластеры Kubernetes
Специалисты Palo Alto Networks обнаружили вредоноса Siloscape, который взламывает контейнеры Windows Serve с целью последующ…
Легитимный инструмент Weave Scope применяют во время атак на облачные среды
Эксперты компании Intezer обнаружили хак-группу TeamTNT, которая использует в своих атаках инструмент Weave Scope, предназна…
Майнер TeamTNT ворует учетные данные от Amazon Web Services
Исследователи из британской компании Cado Security обнаружили, что майнинговая малварь TeamTNT, нацеленная на Docker и Kuber…
Непробиваемый DevOps-кластер. Настраиваем и усиливаем безопаcность Kubernetes
Самое известное средство контейнеризации и автоматизации развертывания приложений — Docker. Известное, но не единственное: достойную конкуренцию ему составляет Kubernetes. Разумеется, он тоже представляет определенный интерес для злоумышленников. Как защитить Kubernetes от взлома и сетевых атак? Об этом — сегодняшняя статья.
У Kubernetes появилась собственная программа bug bounty
Популярнейший оркестратор Kubernetes обзавелся собственной программой вознаграждения за уязвимости. За баги исследователям з…
Уязвимости в Kubernetes позволяют спровоцировать отказ в обслуживании
Разработчики Kubernetes представили исправления для уязвимостей, обнаруженных недавно в протоколе HTTP/2. Эти проблемы чрева…
Уязвимость в runC угрожает безопасности Docker, Kubernetes и не только
Обнаруженная в runC уязвимость может использоваться для атаки на хост-систему и получения root-доступа.
В Kubernetes обнаружена и исправлена критическая уязвимость, допускавшая повышение привилегий
В Kubernetes обнаружили первую серьезную уязвимость, набравшую 9,8 баллов по шкале CVSS.
Разработчики Docker удалили из официального Docker Hub 17 образов с бэкдорами
Из официального реестра Docker Hub были удалены сразу 17 образов контейнеров, содержавших бэкдоры. Через них на серверы пол…
Облачные серверы компании Tesla использовались для майнинга криптовалюты
Эксперты RedLock обнаружили, что облачная AWS-инфраструктура компании Tesla использовалась злоумышленниками для майнинга кри…
Kubernetes: разбираемся с системой управления контейнерами
С появлением Docker интерес к контейнерам вырос взрывообразно: разворачивать приложения оказалось настолько удобно, что технологию начали использовать буквально везде. Облачные сервисы уже дают быстрый доступ к большому количеству виртуальных машин, которыми нужно управлять. Поэтому без инструмента, позволяющего запускать контейнеры на множестве хостов, масштабировать и выполнять балансировку, уже не обойтись. Разберемся с решением, предложенным Google.
«ХАКЕР» ДОСТУПЕН ТОЛЬКО В ЭЛЕКТРОННОЙ ВЕРСИИ
Оформи подписку — получи:
- доступ к платным материалам сайта
- доступ ко всем номерам PDF
4000 р.
на год
на год
920 р.
на месяц
на месяц
Материалы для подписчиков
Трюки
Вопросы по материалам и подписке: support@glc.ru
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —
самой забойной защитой от DDoS в мире
Отдел рекламы и спецпроектов: yakovleva.a@glc.ru
Контент 18+
Сайт защищен Qrator —самой забойной защитой от DDoS в мире