🔓 JWT-дыра в Cisco: токен «notfound» открывает двери суперпользователя

Horizon3 разобрал одну из самых опасных уязвимостей года — CVE-2025-20188 в контроллерах Cisco Catalyst на IOS XE. Баг позволяет загружать файлы на устройство и запускать команды с правами root без авторизации. Проблема в том, что при отсутствии ключа валидации JWT сервер сам подставляет значение "notfound" — и любая самодельная подпись становится валидной.

Уязвимый код — это Lua-скрипты, работающие в связке с Nginx через OpenResty. Доступ к API на порту 8443 возможен даже без админки: загрузка файла вне разрешённой директории открывает путь к подмене конфигураций. Особый интерес представляет штатный скрипт pvp.sh, который можно заставить выполнять произвольный код при изменении файлов.

Ситуацию усугубляет отсутствие дополнительной криптографической защиты в OpenResty: вся логика авторизации на стороне Lua, а значит — уязвима на уровне бизнес-логики. Обновление до 17.12.04 критично. Иначе любой скрипт с HS256 и ключом "notfound" может стать билетом в инфраструктуру.

#Cisco #CVE202520188 #JWT

@SecLabNews

🚫 Цифровая перегородка: власть меняет каналы связи с населением

С первого июня государство окончательно отказывается от WhatsApp и прочих зарубежных платформ в официальном общении с гражданами. Закон № 41-ФЗ превращает это из рекомендации в императив для всей вертикали власти.

Под запрет попадают не только министерства и ведомства, но и госкомпании, банки, операторы связи, крупные соцсети и площадки объявлений. Фактически вся экосистема государственно-частного партнёрства должна перейти на отечественные решения для массовых уведомлений.

Техническая реализация потребует серьёзной перестройки систем оповещения и может создать разрыв в привычных каналах получения важной информации. Граждан призывают игнорировать официальные сообщения через запрещённые платформы.

#мессенджеры #запрет

@SecLabNews

Просто купить новую SIM-карту — недостаточно

В статье для Positive Research рассказываем, что может случиться, если вы потеряете доступ к номеру мобильного.

🔴 Чем опасны сервисы с авторизацией по номеру телефона

🔴 Можно ли доверять продавцам SIM-карт

🔴 Что делать, чтобы ваш номер не попал в руки мошенников

📖 Positive Research — говорим о том, как строить реальную безопасность.
#PositiveResearch

Fplus показали "почти консоль"

Российская компания Fplus на ЦИПР-2025 представила developer kit портативной игровой консоли — по сути, отладочную плату для разработчиков. Три форм-фактора, российские операционки Alt OS, Аврора и Uncom OS, и обещания запускать современные игры. Звучит амбициозно, но дьявол, как всегда, в деталях.

Уровень готовности TRL 5 означает "работает на стенде в лаборатории" — далеко от серийного производства. Планы по импортозамещению 20-40% компонентов выглядят скромно на фоне реалий: основные чипы всё равно будут зарубежными. А три разные операционки на одном устройстве намекают на отсутствие единой архитектурной концепции — каждая система тянет в свою сторону, создавая головную боль разработчикам игр.

Главная проблема не в железе, а в экосистеме: нет игр, нет магазина, нет сообщества. Без контента даже самая мощная консоль превращается в дорогую игрушку. Пятилетняя дорожная карта выглядит оптимистично, но рынок игровых консолей жесток к опоздавшим — спросите у создателей Ouya или Stadia.

#Fplus #консоль #импортозамещение

@SecLabNews

У нас есть три новеньких мини-проектора Zeemr D1 Pro, и мы хотим отдать их вам!

Чтобы вы могли с кайфом смотреть записи PHDays Fest этим летом 🍿

Стартуем новый розыгрыш с тремя победителями. Как обычно, условия простые:

• подписаться на Positive Hack Days Media
• подписаться на SecurityLab.ru
• подписаться на Positive Technologies

И нажать кнопку «Участвую!» под этим постом.

Итоги подведем уже в пятницу, 6 июня, в 20:00. Бот случайным образом выберет троих счастливчиков (но если вы бустите каналы, это будет бонусом).

🎁 Доставка — за наш счет, только по России.

Удачи!

@PHDays

🧩 Russian Market вышел из тени: $2 за доступ в чужую жизнь

Пока одни закрываются, другие занимают их место — после ликвидации Genesis Market даркнет-рынок логов получил нового лидера. Russian Market, ранее остававшийся в тени, вышел на передовую: миллионы инфостилер-логов, 85% из которых перепроданы повторно, продаются здесь за пару долларов, и спрос только растёт.

За наполняемость площадки в ответе Lumma Stealer и его молодой конкурент Acreed. Первый — долгое время был почти монополистом, но попал под масштабную зачистку: тысячи доменов заблокированы, инфраструктура в руинах. Второй — подхватил знамя, заражая системы через фишинг и фальшивые обновления, и уже на старте генерирует тысячи логов в неделю.

Опасность в том, что 61% логов дают доступ к корпоративным облакам, а 77% — к учёткам с обходом 2FA. Когда доступ к таким данным стоит $2, цена ошибки становится неприлично низкой.

#инфостилеры #RussianMarket #логитрафик

@SecLabNews

Знания - лучшая защита в цифровом мире!

Киберугрозы становятся более изощренными, а атаки - масштабными. Как оставаться в безопасности? Постоянно учиться и быть на шаг впереди!

Secure-T представляет свою инновационную платформу для обучения кибербезопасности. Здесь вы найдёте курсы, которые помогут вам расти и оставаться на шаг впереди любых угроз!

Компания Secure-T в своей работе руководствуется принципами прозрачности и открытости. Поэтому они решили не скрывать свою ключевую разработку, а показать её вам в новом видео! Специально для вас СЕО Secure-T Никишкин Харитон лично рассказывает о возможностях платформы и её уникальных функциях.

🔥Бонус для зрителей: возможность принять участие в розыгрыше фирменной куртки Secure-T! Условия в видео.
Присоединяйтесь к Secure-T и прокачайте свои знания в кибербезопасности!

#SecureT
#Кибербезопасность

SAST + cWAF: почему два инструмента делают бизнес устойчивым на «пятёрку» и как сделать это без больших затрат

Согласно отраслевым данным, связка SAST + cWAF позволяет снизить риск утечек данных до 70 %, минимизировать простои и сократить расходы на расследование инцидентов.

Статический анализ кода и облачная фильтрация трафика решают разные задачи, но в связке дают максимальный эффект. Один находит уязвимости до релиза, другой — блокирует атаки на проде. Это снижает риски утечек, сокращает время реагирования и упрощает отчётность для регуляторов.

Техническая реализация не требует капитальных затрат: инструменты доступны как сервис с готовой интеграцией в CI/CD, поддержкой современных языков и отчётами по отраслевым стандартам.

Написали для вас пошаговый план внедрения: от идеи до работающего «щитмеча». Читайте подробнее в нашей статье.

+ Приятный бонус от Linx Cloud: тестовый период — 30 дней. Дополнительно начисляется 10 000 ₽ на баланс для работы в продуктивной среде.

Записаться на консультацию