Обнаружена уязвимость в консоли администрирования Keycloak, где интерфейс управления доменом позволяет устанавливать скрипт через политику.…
Обнаружена уязвимость в консоли администрирования Keycloak, где интерфейс управления доменом позволяет устанавливать скрипт через политику. Эта уязвимость позволяет злоумышленнику с аутентифицированным пользователем и разрешениями на управление доменом настроить вредоносный скрипт для запуска и выполнения произвольного кода с разрешениями пользователя приложения.
Конкретная привилегия, роль, возможность или право могут использоваться для выполнения небезопасных действий, которые не предполагались, даже если они назначены надлежащему субъекту.
https://cwe.mitre.org/data/definitions/267.html →Открыть в коллекции CWE →Злоумышленник обнаруживает метод управления правами в стиле REST HTTP (Get, Put, Delete), позволяющий ему выполнять различные вредоносные действия с данными на сервере вследствие отсутствия механизмов контроля доступа в сервисе приложения, принимающем HTTP-сообщения.
https://capec.mitre.org/data/definitions/58.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует функции аудио и видео целевой системы с помощью вредоносного программного обеспечения или запланированных задач. Цель — сбор конфиденциальной информации о цели в финансовых, личных, политических или иных целях. Это достигается путём перехвата данных переговоров двух сторон с использованием периферийных устройств (например, микрофонов и веб-камер) или приложений с возможностями аудио и видео (например, Skype) на системе.
https://capec.mitre.org/data/definitions/634.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует приложение, допускающее копирование конфиденциальных данных, путём сбора информации, скопированной в буфер обмена. Данные из буфера обмена доступны другим приложениям, например вредоносному программному обеспечению, предназначенному для периодического извлечения или записи содержимого буфера обмена. Таким образом злоумышленник стремится получить информацию, к которой у него нет санкционированного доступа.
https://capec.mitre.org/data/definitions/637.html →Открыть в коллекции CAPEC →Злоумышленник обнаруживает связи между системами, используя стандартную практику целевой системы раскрывать их в общедоступных местах. Определив общие папки/диски между системами, злоумышленник может продвигать свои цели по обнаружению и сбору конфиденциальной информации/файлов или составлению карты возможных маршрутов для горизонтального перемещения по сети.
https://capec.mitre.org/data/definitions/643.html →Открыть в коллекции CAPEC →Злоумышленник собирает конфиденциальную информацию, используя функцию захвата экрана системы. С помощью скриншотов злоумышленник стремится наблюдать за происходящим на экране в ходе операций. Злоумышленник может использовать собранную информацию для проведения последующих атак.
https://capec.mitre.org/data/definitions/648.html →Открыть в коллекции CAPEC →