В выходные наткнулся на статью про очень критичную уязвимость CVE-2024-27198. При этом был сильно удивлен доступностью вектора атаки.
Лет 7 назад немного интересовался тематикой пентестинга, но во что-то большее это не переросло. В те времена сформировалось впечатление, что намного проще пользоваться социальной инженерией и фишингом. Ведь много векторов атаки требуют специфичного сочетания различных условий.
Но тут источником проблемы является ошибка в логике кода, основным барьером к которой выступает только отсутствие сетевого доступа. И вот пока многие “эксперты информационной безопасности” рассказывают нам про отражённые атаки, рассылая “фишинговые письма” с внутренних серверов корпоративной сети, где-то и сегодня продолжает работать TeamCity трёхгодичной давности. Какие уж там обновления до исправленной версии 2023.11.4
Да. Зачастую они спрятаны за VPN, но вот точно ли можно спать спокойно, когда в сети работают тысячи человек.
P.S. Это не первая уязвимость критичного уровня в продукте JetBrains, которую опубликовали за последние месяцы. В сети ещё есть упоминания про CVE-2024-27199 и CVE-2024-23917 .
Источник изображения Unsplash. Автор TopSphere Media .
