Próbujemy właśnie zrealizować w pełni społecznościowy projekt :) – czyli na naszym facebookowym profilu zapytaliśmy czy ktoś nie chciałby przygotować serii tekstów o Zabbix. Do publikacji na sekuraku. Wprawdzie jeden tekst już mamy… ale jest on raczej wprowadzający i na pewno wymaga odświeżenia. Na marginesie dodam, że sekuraka w ostatnim…

Gizmodo donosi o analizowanej na Defconie starej maszynie używanej w trakcie głosowania w USA, na której znaleziono sporą liczbę rekordów z danymi osobowymi głosujących (ponad 650 000). Inkryminowana maszyna wygląda tak: i jest określana jako check-in machine. Prawdopodobnie chodzi więc o urządzenie gdzie zgłaszamy się na głosowanie i jesteśmy weryfikowani…

Niedawno organizowaliśmy konkurs na rozwal.to z paroma nagrodami pieniężnymi 3×300 pln. W dość szybkim tempie otrzymaliśmy odpowiedzi, a zgodnie z obietnicą publikujemy też rozwiązania :) Zadania rozwiązało dość sporo osób, ale na podium stoją: REV, Nazywam oraz quaker (rozwiązanie przesłane o 23:03 – czyli około 2 godziny po ogłoszeniu zadań) – którzy…

TL;DR – jest możliwość zdalnego wykonania kodu na module GSM w wybranych modelach: BMW, Forda, Infiniti, Nissana.

Może Alexa sama nie udostępni ssh z rootshellem, ale mamy ładny opis jak można zrootować sobie Amazon Echo:

Kiedyś były maszyny z LEGO do łamania pinów na telefonach, a na tegorocznym Defconie pokazano z kolei robota otwierającego sejf. Tym razem celem była maszyna firmy SentrySafe, posiadająca 3 gałki z liczbami od 00 do 99 –  w najgorszym przypadku sejf wymagał podania miliona kombinacji, ale na tak długie sprawdzanie nie…

Nagroda w wysokości $10 800 została przyznana niedawno w ramach bug bounty Twittera.  Jeden z serwerów, a dokładnie jedno z API, było podatne na opisywaną przez nas już dwukrotnie podatność XXE. XML wyglądał jak poniżej, a autor badania do oryginalnego XML-a dołożył tylko oznaczone linijki: POST /api/sxmp/1.0 HTTP/1.1 Host: sms-be-vip.twitter.com…

Jeszcze tylko dzisiaj do pobrania ze strony wydawcy książka: „Advanced Penetration Testing for Highly-Secured Environments: The Ultimate Security Guide„. Wbrew tytułowi przyda się ona raczej początkującym pentesterom. Książka ma już parę lat, ale wiadomo: darowanemu koniowi… Dzięki dla Mariusza i Damiana za przesłanie linku. –ms

Organom ścigania udało się ostatnio przejąć dwa bazary narkotykowe, działające w przyciemnionym Internecie, przy czym jeden z nich – Hansa Market – mimo przejęcia był pozostawiony przez miesiąc jako podpucha. Klienci nie wiedzieli, że coś jest nie tak… W między czasie policja umieściła do pobrania logi transakcji, które okresowo są ściągane i analizowane…

Jako wstęp do cytowanego tekstu można poczytać: RFC 3986 oraz nasz tekst o podatności Server Side Request Forgery. Można też obadać świeże mięso z BlackHata. Dowiecie się  m.in. że URL:  http://2130706433/ prowadzi de facto do http://127.0.0.1/

Hack został pokazany przez słynny chiński Keen Security Lab. Poza wykorzystaniem kilku błędów typu 0-day, ominięty został mechanizm code signing, sprawdzający integralność działającego w samochodzie firmware (mechanizm ten swoją drogą wprowadzono po zaprezentowaniu przez ten sam team, ataku na Teslę model S – w 2016 roku).  Finalnie uzyskano dostęp do…

Ostatnio użytkownicy Wykopu marudzili, że coś im psuje sekurak: I to mimo, że sam test trwał kilka sekund… Przyczyna była dość prosta – persistent XSS (czyli możliwość wstrzykiwania dowolnego JavaScriptu innym użytkownikom Wykopu) w mikroblogach. A dokładnie w mechanizmie ankiet: Który skutkował u innych mikroblogowiczów takim komunikatem: Oczywiście potencjalni złośliwcy mogliby…

TL;DR: na szczęście Polski to nie dotyczy – nie mamy elektrowni jądrowych ;-) Jak wygląda bezpieczeństwo systemów monitorujących promieniowanie w elektrowniach atomowych? Firma IO Active opublikowała raport zawierający informacje o kilku podatnościach. Jedna z nich jest w bramce monitorującej skażenie pracowników: Tutaj wykryto zahardcodowane (backdoor?) hasło w panelu sterowania dające…

Jak zaprezentować firmę? Chyba najlepiej oddać głos ludziom, którzy w niej pracują. Tak właśnie zrobiliśmy, a wybrane głosy poniżej. Jakie więc są plusy pracy w Securitum? Takie: Ekipa. Atmosfera. Ludzie z ogromną wiedzą i chęcią dzielenia się nią   Niekomplikowanie prostych spraw, bardzo daleko od korporacyjnych klimatów.   Brak rutyny…

Na wykopie afera, serwis docer.pl umożliwia na upload plików (np. pdf, doc, itp) i dzielenie się nimi ze znajomymi: „Wygrywaj dokumenty i dziel się z innymi tym co naprawdę kochasz!” – głosi hasło serwisu. Ale co jeśli ktoś wgra tam dokument który jest poufny? Ma problem – bo dostępny jest…