Przed wpadnięciem w wir weekendowych rozrywek zalecamy zweryfikować z jakiej wersji klienta Git korzystacie. Opublikowana została informacja o możliwości wykonania dowolnego polecenia w systemie m.in. podczas klonowania złośliwego repozytorium. Najprostszy wektor pozwalający na zweryfikowanie, czy nasza wersja klienta Git jest podatna to uruchomienie polecenia z Listingu nr 1 (wersja dla…

Standardowe biblioteki oraz funkcje JavaScript, które wykorzystuje i udostępnia Cloudflare można wykorzystać do ominięcia mechanizmu XSS Auditor w przypadku, gdy domena podpięta pod usługi Cloudflare podatna jest na Reflected XSS (Non-persistent XSS). Taką ciekawostką podzielił się Masato Kinugawa, specjalista bezpieczeństwa IT, znany z badań dotyczących podatności XSS jak i współorganizacji zawodów XSSMas Challenge.

Pod koniec ubiegłego roku Microsoft ogłosił planowany koniec rozwoju EMET. Projekt miał na celu dostarczenie rozwiązania, które mogło zostać wykorzystane jako dodatkowa warstwa ochrony przed wykorzystywaniem luk bezpieczeństwa w oprogramowaniu, a co za tym idzie, zaatakowaniem całego systemu. Jedną z najważniejszych cech jaką charakteryzuje się EMET jest możliwość włączenia określonych…

W ramach tematu numeru sierpniowego wydania „Linux Magazine” zaprasza na lekcję historii: kronikę GPL i rewolucji copyleft oraz rozmowę z pionierem Wolnego Oprogramowania, Ebenem Moglenem, doradcą FSF, o podstawach prawnych GPL i promocji Wolnego Oprogramowania. Na dołączonym DVD znajduje się Fedora 26 Workstation. Wewnątrz wydania również: narzędzia do monitorowania plików…

Czy kiedykolwiek zdarzyła Ci się sytuacja, że wykresy w Zabbixie były niewystarczające? Szef przychodzi do Ciebie i prosi o wykresy obciążenia serwera, tylko “muszą być ładne, ponieważ przedstawia to w zarządzie firmy”? A może masz kilka serwerów Zabbix w firmie i szukasz rozwiązania scentralizowanego przedstawiania danych? Albo po wymianie telewizora…

Wygląda na to, że warto poświęcić chwilę, by zweryfikować czy komputery z systemem Windows, które podlegają naszej opiece poprawnie zainstalowały ostatnie łatki bezpieczeństwa. Microsoft w biuletynie bezpieczeństwa donosi o wyeliminowaniu podatności, pozwalającej na zdalne wykonanie kodu w systemie poprzez usługę Windows Search. Analiza przygotowanego opisu jak i wektora CVSS pozwala ustalić, że…

Jeśli nasze być albo nie być zależy od ekstremalnie wysokiego bezpieczeństwa, możemy schować komputery w bunkrze i unikać połączeń z siecią zewnętrzną. Zwykle jednak, dopóki nie mamy nic wspólnego z bronią jądrową, każda działalność wymaga takiego dostępu, za cenę nieustannego obserwowania, czy ktoś nie próbuje przeniknąć do naszej sieci.

Świadomie lub nie, wielu z nas ma okazje korzystać z aplikacji typu „Desktop Web”, czyli takich, których integralną część stanowi przeglądarka WWW lub przynajmniej interpreter JavaScript. Okazuje się, że często takie rozwiązanie stosowane jest w środowiskach programistycznych (IDE), chociażby do generowania podglądu tworzonego dokumentu Markdown. Skutkom takiego połączenia postanowił przyjrzeć się Matt Austin a wynikami podzielił w opublikowanej prezentacji.

Atak Path Traversal przeprowadza się w sytuacji, gdy podatna aplikacja pozwala na niekontrolowany dostęp do plików oraz katalogów, do których w normalnych warunkach użytkownik nie powinien mieć dostępu. Wektorem ataku są parametry przekazywane do aplikacji, reprezentujące ścieżki do zasobów, na których mają zostać wykonane określone operacje – odczyt, zapis, listowanie zawartości katalogu.

Utrzymując infrastrukturę na której uruchamiane są liczne aplikacje WWW, z czasem może zajść potrzeba wdrożenia mechanizmu, który pozwoli administratorowi zweryfikować, czy pośród standardowych plików zainstalowanych aplikacji nie pojawiło się oprogramowanie niechciane. Artykuł omawia podstawy związane z klasą zagrożeń znanych jako tzw. webshelle.

Nmap wykonuje świetną pracę jako narzędzie do standardowych testów penetracyjnych, ale do bardziej szczegółowych analiz bezpieczeństwa lepiej tworzyć własne skrypty. Umożliwia to silnik Nmap Scripting Engine.

O klasie podatności Server-Side Template Injections (SSTI) zrobiło się głośno dopiero w ostatnim czasie. Bardzo niska świadomość deweloperów, połączona z popularnością różnego rodzaju silników szablonów (ang. Template Engines) – niezależnie od wybranego języka programowania – i fakt, że w większości przypadków rezultatem wykorzystania podatności jest wykonanie dowolnego kodu na maszynie ofiary (ang. RCE – Remote Code Execution), powoduje, że warto poznać zasady działania stojące za tym atakiem.

Decyzja o tym, jakie oprogramowanie wykorzystamy w wybranym celu, często podejmowana jest na podstawie analizy czasu potrzebnego na jego wdrożenie oraz sumarycznej ilości funkcji, jakie ten system nam dostarczy. Prawdopodobne jest jednak to, że tam, gdzie priorytetem jest wygodna i czas, w pierwszej kolejności ucierpi bezpieczeństwo.