🤯 Эксплуатация Fortune 500 через скрытые связи в цепочке поставок

Цепочки поставок программного обеспечения становятся все более сложными, с бесчисленными зависимостями, формирующими костяк современных приложений. Несмотря на всю сложность, многие атаки, нацеленные на эти зависимости, на удивление просты. Хотя на обеспечение безопасности и функциональности отдельных пакетов тратится значительное время, связи между ними часто остаются незамеченными.

Под катом — история о том, как команде Lupin & Holmes удалось раскрыть атаку на цепочку поставок, нацеленную на Consul (инструмент с открытым исходным кодом компании HashiCorp для обнаружения сервисов и автоматизации сетей), а также какое влияние она оказала на крупную компанию из списка Fortune 500.

🤑 Вознаграждение за обнаружение уязвимости — $17 000.

👉 Читать

#redteam