Группа ученых разработала способ удаленного превращения любого устройства с поддержкой Bluetooth в трекер AirTag.
Технология получила название nRootTag, в основе - метод индексации меток AirTags сетью FindMy компании Apple и поиска отслеживаемых или потерянных устройств.
В обычных обстоятельствах, когда пользователь подключает AirTag к своей учетной записи, Apple берет Bluetooth-сигнал AirTag и генерирует криптографическую пару закрытый-открытый ключ.
Когда пользователь производит поиск местоположения AirTag, сеть FindMy запрашивает открытый ключ, связанный с этим Bluetooth-сигналом, а затем уведомляет владельца о его местоположении.
Метод nRootTag задействует облачные вычислительные мощности для определения того, что будет закрытым ключом любого публичного сигнала Bluetooth.
Это позволяет перехватывать Bluetooth-сигнал любого устройства, вычислять возможный закрытый ключ, передавать его на серверы FindMy компании Apple, а затем получать данные о местоположении этого устройства.
Так что пока Apple пилит AirTag в части изменения адреса Bluetooth на основе криптографического ключа, злоумышленнику не удастся сделать это в других системах без прав администратора.
Поэтому вместо того, чтобы пытаться изменить адрес Bluetooth, исследователи разработали эффективные методы поиска ключей, чтобы найти ключ, совместимый с адресом Bluetooth, заставив ключ адаптироваться к адресу.
При этом вычисление ключа занимает всего лишь несколько минут, а nRootTag вообще можно использовать практически мгновенно, если злоумышленники заранее вычислят закрытые ключи в радужных хэш-таблицах.
Исследовательская группа из числа представителей Университета Джорджа Мейсона протестировала технологию, фактически превратив различные устройства в «поддельные» метки AirTags и отслеживая их местоположение, включая ноутбуки на базе Windows и Linux, смартфоны Android, устройства IoT и игровые консоли.
В свою очередь, Apple выпустила исправления безопасности в декабре для всех поддерживаемых в настоящее время устройств.
Теперь они будут игнорировать устройства, преобразованные в nRootTag, но старые устройства Apple все еще могут передавать информацию через FindMy.
Исследовательская группа утверждает, что точность nRootTag будет постепенно снижаться по мере снятия с производства старых устройств Apple, однако на данный момент атака остается актуальной.
Технология получила название nRootTag, в основе - метод индексации меток AirTags сетью FindMy компании Apple и поиска отслеживаемых или потерянных устройств.
В обычных обстоятельствах, когда пользователь подключает AirTag к своей учетной записи, Apple берет Bluetooth-сигнал AirTag и генерирует криптографическую пару закрытый-открытый ключ.
Когда пользователь производит поиск местоположения AirTag, сеть FindMy запрашивает открытый ключ, связанный с этим Bluetooth-сигналом, а затем уведомляет владельца о его местоположении.
Метод nRootTag задействует облачные вычислительные мощности для определения того, что будет закрытым ключом любого публичного сигнала Bluetooth.
Это позволяет перехватывать Bluetooth-сигнал любого устройства, вычислять возможный закрытый ключ, передавать его на серверы FindMy компании Apple, а затем получать данные о местоположении этого устройства.
Так что пока Apple пилит AirTag в части изменения адреса Bluetooth на основе криптографического ключа, злоумышленнику не удастся сделать это в других системах без прав администратора.
Поэтому вместо того, чтобы пытаться изменить адрес Bluetooth, исследователи разработали эффективные методы поиска ключей, чтобы найти ключ, совместимый с адресом Bluetooth, заставив ключ адаптироваться к адресу.
При этом вычисление ключа занимает всего лишь несколько минут, а nRootTag вообще можно использовать практически мгновенно, если злоумышленники заранее вычислят закрытые ключи в радужных хэш-таблицах.
Исследовательская группа из числа представителей Университета Джорджа Мейсона протестировала технологию, фактически превратив различные устройства в «поддельные» метки AirTags и отслеживая их местоположение, включая ноутбуки на базе Windows и Linux, смартфоны Android, устройства IoT и игровые консоли.
В свою очередь, Apple выпустила исправления безопасности в декабре для всех поддерживаемых в настоящее время устройств.
Теперь они будут игнорировать устройства, преобразованные в nRootTag, но старые устройства Apple все еще могут передавать информацию через FindMy.
Исследовательская группа утверждает, что точность nRootTag будет постепенно снижаться по мере снятия с производства старых устройств Apple, однако на данный момент атака остается актуальной.
nroottag.github.io
nRootTag - Tracking You from a Thousand Miles Away!
Research on how Apple's Find My network can be exploited to track non-Apple devices
Тем временем Cisco сообщает об устранении уязвимости Webex for BroadWorks, которая позволяет неавторизованным злоумышленникам получить удаленный доступ к учетным данным.
Несмотря на то, что этой проблеме еще не присвоен идентификатор CVE, в своем бюллетене по безопасности Cisco отмечает, что уже внесла изменения в конфигурацию для ее устранения и рекомендовала клиентам перезапустить приложение Cisco Webex для получения исправлений.
Уязвимость в Cisco Webex для BroadWorks версии 45.2 может позволить аутентифицированному пользователю получить доступ к учетным данным в виде простого текста в журналах клиента и сервера, если для связи по протоколу SIP настроен незащищенный транспорт.
Уязвимость обусловлена конфиденциальной информацией, раскрытой в заголовках SIP, и затрагивает только экземпляры Cisco BroadWorks (локально) и Cisco Webex для BroadWorks (гибридное облако/локально), работающие в средах Windows.
Компания рекомендует администраторам настроить защищенный транспорт для связи по протоколу SIP, чтобы шифровать передаваемые данные в качестве временного решения, пока изменение конфигурации не достигнет их среды. Кроме того, проводить ротацию учетных данных.
Cisco PSIRT при этом заверяет об отсутствии доказательств вредоносного использования или публичных заявлений, содержащих дополнительную информацию об этой уязвимости.
Несмотря на то, что этой проблеме еще не присвоен идентификатор CVE, в своем бюллетене по безопасности Cisco отмечает, что уже внесла изменения в конфигурацию для ее устранения и рекомендовала клиентам перезапустить приложение Cisco Webex для получения исправлений.
Уязвимость в Cisco Webex для BroadWorks версии 45.2 может позволить аутентифицированному пользователю получить доступ к учетным данным в виде простого текста в журналах клиента и сервера, если для связи по протоколу SIP настроен незащищенный транспорт.
Уязвимость обусловлена конфиденциальной информацией, раскрытой в заголовках SIP, и затрагивает только экземпляры Cisco BroadWorks (локально) и Cisco Webex для BroadWorks (гибридное облако/локально), работающие в средах Windows.
Компания рекомендует администраторам настроить защищенный транспорт для связи по протоколу SIP, чтобы шифровать передаваемые данные в качестве временного решения, пока изменение конфигурации не достигнет их среды. Кроме того, проводить ротацию учетных данных.
Cisco PSIRT при этом заверяет об отсутствии доказательств вредоносного использования или публичных заявлений, содержащих дополнительную информацию об этой уязвимости.
Cisco
Cisco Security Advisory: Cisco Webex for BroadWorks Credential Exposure Vulnerability
A low-severity vulnerability in Cisco Webex for BroadWorks Release 45.2 could allow an unauthenticated, remote attacker to access data and credentials if unsecure transport is configured for the SIP communication.
This vulnerability is due to the exposure…
This vulnerability is due to the exposure…
Связанная с эксплуатацией трех исправленных на днях 0-day VMware кампания теперь отслеживается как ESXicape и затрагивает десятки тысяч экземпляров, о чем свидетельствуют результаты актуального сканирования.
4 марта Broadcom предупредила клиентов ESXi, Workstation и Fusion о выпуске срочных исправлений для CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226, эксплуатация которых может привести к выполнению произвольного кода, выходу из песочницы и утечкам памяти.
Обнаружение ошибок приписывается Microsoft Threat Intelligence Center (вероятно, Microsoft также видела атаки с использованием 0-day), но ни Broadcom, ни Microsoft не поделились какой-либо информацией о замеченной вредоносной активности.
Исследователи Netlas сообщают об обнаружении более 7000 экземпляров VMware ESXi, подключенных к Интернету, которые, по-видимому, подвержены уязвимостям.
В свою очередь, Shadowserver Foundation выявила более 41 000 уязвимых экземпляров ESXi, большинство из которых находятся в Китае, Франции, США, Германии, Иране, Бразилии и Южной Корее (в РФ - более 700).
Их сканирования были нацелены на CVE-2025-22224, но детектированные экземпляры, вероятно, затронуты и другими уязвимостями, поскольку все они затрагивают одни и те же версии ПО.
Технические подробности и PoC пока недоступны, что, вероятно, на текущий момент сдерживает начало широкомасштабной эксплуатации.
Исследователь Кевин Бомонт окрестил уязвимости как ESXicape, поясняя, что в случае доступа к ESX, злоумышленник может получить доступ ко всему на сервере ESX, включая данные виртуальной машины и, что особенно важно, конфигурацию ESX и смонтированное хранилище, а в помощью них - перемещаться по среде VMware.
Так, если организации в используется vMotion, чтобы виртуальные машины могли автоматически перемещаться между хостами ESX, балансируя нагрузку и обеспечивая обслуживание, злоумышленник получает прямой доступ к хранилищу ВМ как на этом хосте, так и за его пределами по замыслу — они, по сути, свободны на бэкэнде.
По словам исследователя, злоумышленники могут использовать уязвимости, чтобы обойти решения безопасности и получить доступ к ценным активам, таким как базы данных контроллеров домена Active Directory, не вызывая оповещений.
А это достаточно часто наблюдается в инцидентах с ransomware, когда пользователи напрямую эксплуатируют сервер ESX или vCenter через сеть управления VMware, используя неисправленные уязвимости. Как только хакеры достигают ESX, они напрямую проникают в хранилище по всему кластеру.
При этом возможность доступа к гипервизору сервера ESX напрямую из виртуальной машины значительно повышает риск. Не нужно искать сведения о сервере ESX или подключаться к изолированной сети.
Бомонт отметил, что недавно в киберподполье был замечен эксплойт для побега из виртуальной машины ESXi по цене 150 000 долл., но неясно, рабочий ли он и связан ли с атаками 0-day, раскрытыми на этой неделе.
Будем следить.
4 марта Broadcom предупредила клиентов ESXi, Workstation и Fusion о выпуске срочных исправлений для CVE-2025-22224, CVE-2025-22225 и CVE-2025-22226, эксплуатация которых может привести к выполнению произвольного кода, выходу из песочницы и утечкам памяти.
Обнаружение ошибок приписывается Microsoft Threat Intelligence Center (вероятно, Microsoft также видела атаки с использованием 0-day), но ни Broadcom, ни Microsoft не поделились какой-либо информацией о замеченной вредоносной активности.
Исследователи Netlas сообщают об обнаружении более 7000 экземпляров VMware ESXi, подключенных к Интернету, которые, по-видимому, подвержены уязвимостям.
В свою очередь, Shadowserver Foundation выявила более 41 000 уязвимых экземпляров ESXi, большинство из которых находятся в Китае, Франции, США, Германии, Иране, Бразилии и Южной Корее (в РФ - более 700).
Их сканирования были нацелены на CVE-2025-22224, но детектированные экземпляры, вероятно, затронуты и другими уязвимостями, поскольку все они затрагивают одни и те же версии ПО.
Технические подробности и PoC пока недоступны, что, вероятно, на текущий момент сдерживает начало широкомасштабной эксплуатации.
Исследователь Кевин Бомонт окрестил уязвимости как ESXicape, поясняя, что в случае доступа к ESX, злоумышленник может получить доступ ко всему на сервере ESX, включая данные виртуальной машины и, что особенно важно, конфигурацию ESX и смонтированное хранилище, а в помощью них - перемещаться по среде VMware.
Так, если организации в используется vMotion, чтобы виртуальные машины могли автоматически перемещаться между хостами ESX, балансируя нагрузку и обеспечивая обслуживание, злоумышленник получает прямой доступ к хранилищу ВМ как на этом хосте, так и за его пределами по замыслу — они, по сути, свободны на бэкэнде.
По словам исследователя, злоумышленники могут использовать уязвимости, чтобы обойти решения безопасности и получить доступ к ценным активам, таким как базы данных контроллеров домена Active Directory, не вызывая оповещений.
А это достаточно часто наблюдается в инцидентах с ransomware, когда пользователи напрямую эксплуатируют сервер ESX или vCenter через сеть управления VMware, используя неисправленные уязвимости. Как только хакеры достигают ESX, они напрямую проникают в хранилище по всему кластеру.
При этом возможность доступа к гипервизору сервера ESX напрямую из виртуальной машины значительно повышает риск. Не нужно искать сведения о сервере ESX или подключаться к изолированной сети.
Бомонт отметил, что недавно в киберподполье был замечен эксплойт для побега из виртуальной машины ESXi по цене 150 000 долл., но неясно, рабочий ли он и связан ли с атаками 0-day, раскрытыми на этой неделе.
Будем следить.
Medium
Use one Virtual Machine to own them all — active exploitation of VMware ESX hypervisor escape ESXicape
A chain of three zero days allow threat actors to escape a Virtual Machine.