CVE, Shell и побег из контейнера: испытываем возможности PT Cloud Application Firewall

25.05.2026 09:30:42 | Хабр

Хабы: Блог компании К2Тех, Информационная безопасность, Тестирование IT-систем, Веб-разработка, Системное администрирование

Привет, Хабр! Меня зовут Иван Чеботарев, инженер направления защиты приложений в К2 Кибербезопасность. В статье рассмотрю, как PT Cloud Application Firewall (ucWAF) реагирует на побег из контейнера после RCE с использованием новой CVE-2025-55182. Это уязвимость в Next.js, открывающая Remote Code Execution через механизм Server Actions. Я собрал тестовый стенд с уязвимым Next.js-и проверил: классический веб-шелл, Reverse Shell и побег из контейнера. Next.js — один из самых популярных фреймворков для фронтенда, а Server Actions включены по умолчанию начиная с 14-й версии. Если вы деплоите Next.js в контейнерах, эта статья покажет, как выглядит полная цепочка от RCE до выхода на хост, и на каком этапе WAF может ее остановить.

Подробнее

Читайте также

Как я научил Алису петь: генерация музыки по голосовой команде
25.05.2026 09:30:28 | Хабр

Восстановление данных с помощью бесплатной утилиты Easy Disk Checker
25.05.2026 09:25:27 | Хабр

Из проекта о поддержке «Почты России» убрали требование к маркетплейсам открывать ПВЗ в отделениях — РБК
25.05.2026 09:23:51 | vc.ru

Как мы построили сквозную аналитику в Power BI
25.05.2026 09:13:28 | Хабр

Год разработки iOS-игры, 266 тысяч показов и $33: как я делал Vault и почти ничего не заработал
25.05.2026 09:13:05 | Хабр

Ты прокрастинируешь потому, что избегаешь напрасных усилий, а не чрезмерных нагрузок
25.05.2026 09:06:12 | Хабр

Я построила диагностику «стоит ли это автоматизировать» — и она трижды говорила глупости. Разбор ошибок
25.05.2026 09:04:15 | Хабр

Как устроены world models, что показал Google на прошлой неделе и где это меняет gamedev и робототехнику
25.05.2026 09:01:20 | Хабр

Двухдневная рабочая неделя — будущий стандарт
25.05.2026 09:01:18 | Хабр

CPU не умер, он просто ждал. Китай строит двухэксафлопсный суперкомпьютер без единого GPU — прорыв, необходимость, фейк?
25.05.2026 08:39:32 | Хабр

3Sound: поиск бесплатных звуков для игр больше не боль?
25.05.2026 08:32:08 | Хабр

3 Тбит/с по-русски: почему DDoS в 2026 году стал угрозой для любого бизнеса
25.05.2026 08:29:06 | Хабр

10 Гбит/с — зачем вам такая скорость передачи данных в облаке
25.05.2026 08:18:06 | Хабр

День 1552: ГТЛК рассчитывает получить первый импортозамещённый самолёт SJ-100 в 2027 году
25.05.2026 08:10:34 | vc.ru

Ремонтируем аналоговый XY-самописец Endim 622
25.05.2026 08:05:55 | Хабр

[Перевод] IPO компании SpaceX: хорошая попытка, но нет
25.05.2026 08:04:21 | Хабр

«Ща будет шрифт»: история одного русского embedded‑шрифта
25.05.2026 08:00:52 | Хабр

Как аквариум на подоконнике превратился в full-stack платформу с AI
25.05.2026 08:00:46 | Хабр

GiftsHub — из чат-бота в полноценный backend-продукт
25.05.2026 08:00:45 | Хабр

Пиратство, копирайт и DMCA: как Napster, The Pirate Bay и YouTube изменили закон. Часть II
25.05.2026 07:54:48 | Хабр

Как найти внутренние резервы для развития предприятия
25.05.2026 07:50:31 | Хабр

Как один французский чиновник от безысходности начал платить жалованье картами и практически изобрёл банкноты
25.05.2026 07:48:55 | Хабр

RAG в энтерпрайзе: почему демо работает, а прод нет
25.05.2026 07:41:42 | Хабр

AI-агент для финансовых процессов: как мы научили ИИ считать числа из базе данных без галлюцинаций
25.05.2026 07:41:36 | Хабр

Java 21 в стиле «клятый энтерпрайз» на одноплатном компьютере возрастом 13 лет
25.05.2026 07:01:22 | Хабр

Ваши секреты внутри LLM. Куда уходят промпты и чего стоит опасаться?
25.05.2026 07:00:19 | Хабр

10× труда. 10% к бонусу. Главный риск AI-эпохи — это сениор AI-инженер, который умеет считать
25.05.2026 07:00:18 | Хабр

Сапожник с сапогами
25.05.2026 07:00:14 | Хабр

Минимум, который удержит тебя на плаву в период дедлайнов
25.05.2026 06:52:48 | Хабр

Как без проблем переносить курсы между платформами? Обзор формата SCORM
25.05.2026 06:46:57 | Хабр

Когда Claude Code ошибается не по своей вине: документационный долг в соло-проектах
25.05.2026 06:45:07 | Хабр

70% кода с AI — и ни на день быстрее
25.05.2026 06:38:00 | Хабр

qrrot — база данных со встроенным ИИ
25.05.2026 06:30:49 | Хабр

Шахматные программы V. Оценочная функция
25.05.2026 06:18:25 | Хабр

Культура ест стратегию на завтрак: почему не работает долгосрочное планирование
25.05.2026 06:00:24 | Хабр

Смотреть все

НОВОСТИ

Памфилова рассказала о возможном использовании беспилотников на выборах в России
30.07.2026 11:38:17 | Lenta.ru

ЕС выставил жесткие требования Украине
30.07.2026 11:37:43 | Lenta.ru

Следователи задумались изменить статью для задержанных за избиение ученого Зезина
30.07.2026 11:37:03 | Lenta.ru

В Абхазии обрушился участок дороги, ведущей к бывшей даче Горбачева
30.07.2026 11:37:00 | Российская Газета

Пентагон вооружится БЭК-носителями БПЛА
30.07.2026 11:36:46 | Lenta.ru

Пропал экс-футболист тульского "Арсенала"
30.07.2026 11:36:00 | Российская Газета

Автобус с юными хоккеистами попал в аварию в Татарстане, есть раненые
30.07.2026 11:35:20 | Life.ru

Следующие выборы президента Кыргызстана пройдут в январе 2027 года
30.07.2026 11:35:00 | Российская Газета

СКР возбудил дела о терактах после атак на склады Wildberries в Пензе и Сарапуле
30.07.2026 11:34:35 | Коммерсантъ

Фанаты Genshin из России выдали анимэ-клиентам кредитов на 46 миллионов рублей
30.07.2026 11:32:34 | Lenta.ru

На КТК потушили пожар, возникший после удара дронов по танкерам
30.07.2026 11:32:28 | Life.ru

Большие пакеты не лезут: ЕС задумался о санкциях почаще и помельче
30.07.2026 11:32:10 | Life.ru

Чистый убыток ТМК по РСБУ за шесть месяцев составил 20,25 млрд рублей
30.07.2026 11:31:44 | ТАСС

Лукашенко поставил задачи на уборочную кампанию в стране
30.07.2026 11:31:00 | Российская Газета

Артемий Лебедев назвал европейского лидера отправленным на свалку истории
30.07.2026 11:29:56 | Lenta.ru

МСП Донбасса и Новороссии вдвое увеличил привлеченные с господдержкой средства
30.07.2026 11:29:53 | ТАСС

В Турции под контроль взяли 110 из 115 природных пожаров
30.07.2026 11:28:11 | ТАСС

Экс-глава МО Украины Фёдоров хочет уничтожать россиян в «промышленных масштабах»
30.07.2026 11:28:02 | Life.ru

Москва под облачным одеялом: Роскосмос показал виновника ливней и града
30.07.2026 11:27:52 | Life.ru

Польша заявила о пролете неизвестного объекта над своей территорией
30.07.2026 11:27:02 | Lenta.ru

Выезд из Сарапула по Ижевскому тракту закрыли после удара по складу Wildberries
30.07.2026 11:26:52 | Коммерсантъ

"Азимут" Ростеха модернизировал систему посадки самолетов в Домодедове
30.07.2026 11:26:08 | ТАСС

Глава Минобороны Польши назвал прошедшую ночь чрезвычайно тяжёлой для ПВО страны
30.07.2026 11:25:45 | Life.ru

В Новосибирской области агрессивный медведь вышел к людям
30.07.2026 11:25:32 | ТАСС

AP: Израиль обеспокоен отсутствием у США четкой стратегии по Ирану
30.07.2026 11:25:14 | ТАСС

В Татарстане члены детской хоккейной команды пострадали в ДТП
30.07.2026 11:24:23 | ТАСС

В МЭР назвали число посетивших Золотое кольцо туристов в январе - мае
30.07.2026 11:23:01 | ТАСС

Стало известно о попытках посредников вернуть США и Иран за стол переговоров
30.07.2026 11:22:41 | Lenta.ru

Мощное землетрясение на Кюсю унесло жизни 34 человек
30.07.2026 11:22:20 | Life.ru

В Египте назвали причину пожара на судах в порту Думьят
30.07.2026 11:22:17 | ТАСС

Ozon начал готовиться к ударам беспилотников
30.07.2026 11:20:54 | Lenta.ru

Разработана высокодоходная гибридная стратегия инвестиций
30.07.2026 11:20:51 | ТАСС

На Украине назначили новых замминистра обороны
30.07.2026 11:19:38 | ТАСС

Число жертв землетрясения в Японии возросло до 34
30.07.2026 11:19:29 | ТАСС

Стала известна сумма аренды виллы Сафонова в Париже
30.07.2026 11:18:23 | Lenta.ru

Все новости

ВСЕ НОВОСТИ

ПИШИТЕ

Техническая поддержка проекта ВсеТут

info@vsetut.pro