W praktyce spotykam sporo osób zajmujących się administrowaniem systemów/sieci/czy np. baz danych, które z daleka starają się omijać tematykę bezpieczeństwa aplikacji WWW. Szczerze jednak – nie da się od tego na dłuższą metę uciec. Panele webowe urządzeń sieciowych, wycieki które bardzo często realizowane są właśnie poprzez atak na aplikację webową,…
Czytaj dalej »
Szczegóły dostępne są tutaj, a aktualne wersje to: Chrome 108.0.5359.71 (Mac/Linux) / 108.0.5359.71/72 (Windows). Przy okazji, wśród badaczy którzy zgłosili podatności, nieco mogą niepokoić (po raz kolejny!) chińskie nazwiska, np.: [$15000][1379054] High CVE-2022-4174: Type Confusion in V8. Reported by Zhenghang Xiao (@Kipreyyy) on 2022-10-27 [$11000][1381401] High CVE-2022-4175: Use after free…
Czytaj dalej »
Cała historia już załatanego problemu, znajduje się w wątku tutaj: Jeśli właściciel zarejestrował się w odpowiednim miejscu, to mógł otworzyć samochód takim żądaniem HTTP (ale musi ono zawierać poprawny token JWT!): Teraz uwaga: e-mail użytkownika przekazywany był zarówno w body żądania HTTP, jak i w JWT. Na czym polegał hack?…
Czytaj dalej »
Z dosyć lakonicznym wpisem możecie zapoznać się w tym miejscu: We recently detected unusual activity within a third-party cloud storage service, which is currently shared by both LastPass and its affiliate, GoTo. We immediately launched an investigation Jak się okazuje jest to w pewnym sensie druga faza ataku, który miał…
Czytaj dalej »
Pełen wątek na Twitterze dostępny jest tutaj: Możliwość zdalnego otwierania, uruchamiania, lokalizowania czy włączania klaksonu samochodu – posiadając tylko jego numer VIN – nie wygląda to zbyt optymistycznie. Idąc od początku – badacze przyjrzeli się na początek firmie SiriusXM. Zapewnia ona usługi telemetrii kilku znanym producentom samochodów. Telemetrii – czyli…
Czytaj dalej »
Google relacjonuje szczegóły dotyczące oprogramowania: Heliconia. Prawdopodobnie dostarczane jest ono przez hiszpańską firmę Variston IT. Co potrafi narzędzie? Google wspomina o wykorzystaniu podatności w Chrome / Firefoksie (również na Linuksa) oraz Windows Defenderze. Szczególnie ta ostatnia luka może wzbudzić niepokój, bo wystarczyło otworzyć podrzuconego (złośliwego) PDFa. Był on skanowany Windows…
Czytaj dalej »
Temat relacjonuje BBC, dodając że np. Hikvision zeznaje iż wcale nie stanowi zagrożenia dla bezpieczeństwa narodowego USA. W każdym razie agencja FCC ma inne zdanie: FCC Bans Authorizations for Devices That Pose National Security Threat. Wszystkie dość zawiłe szczegóły dostępne są w przeszło 180-stronicowym raporcie FCC. Warto też zaznaczyć, że…
Czytaj dalej »
TLDR: 800 stronicowa książka, wydrukowana w kolorze. Idealna również dla osób początkujących w temacie bezpieczeństwa aplikacji webowych. ~20000 sprzedanych egzemplarzy. Tymczasem można bezpłatnie pobrać 4 (z 31) rozdziałów: Podstawy protokołu HTTP. Podstawy narzędzia Burp Suite. Podatność XSS. Żonglowanie pamięcią podręczną. Całość powyżej to przeszło 100 stron materiału o – jak…
Czytaj dalej »
Niedługo prowadzimy nowe szkolenie: RODO okiem hackera! Praktyczne szkolenie z ochrony danych osobowych (w linku znajdują się wszystkie szczegóły organizacyjne / agenda). Jeśli pracujesz w firmie > 100 osób, poproś kogoś z działu HR, aby powołał się na ten wpis i napisał email na ca@securitum.pl W odpowiedzi prześlemy kody rabatowe…
Czytaj dalej »
TLDR: zapisy tutaj. Chciałbyś zobaczyć jak hackerzy wykonują rekonesans firmy-celu? W jaki sposób przełamują zabezpieczenia? W jaki sposób eskalują swoje uprawnienia? W jaki sposób mogą przejąć kontroler domeny? Wszystko to pokażemy na żywo, na przykładzie pewnej firmy… (spokojnie, wszystko będzie w pełni legalne). W trakcie szkolenia: w praktycznej formie poznasz…
Czytaj dalej »
Co się wydarzyło? Naruszenie polegało na kradzieży służbowego komputera z danymi osobowymi, na którym nie zastosowano odpowiednich zabezpieczeń w celu ochrony tych danych, co skutkowało naruszeniem ich poufności. Do kradzieży doszło poza siedzibą administratora, gdyż użytkujący laptop pracownik przechowywał go poza zakładem pracy, w domu. Jak można się spodziewać komputer nie miał wdrożonego…
Czytaj dalej »
Czy mieliście w życiu sytuację, że nagle zapomnieliście hasła, które machinalnie wpisywaliście już setki razy? Pewien badacz napotkał właśnie ten problem, kiedy jego telefon miał 1% baterii. Po chwili telefon się wyłączył, a po podładowaniu badacz chciał odblokować PINem kartę SIM… ale coś nie szło :/ Poszukał więc kodu PUK,…
Czytaj dalej »
O ransomware w Instytucie Centrum Zdrowia Matki Polki w Łodzi informowaliśmy już 2. listopada. Obecnie na stronach szpitala pojawiło się oświadczenie: Jak widać, wskazana została grupa Lockbit 3.0 (to chyba najaktywniejsza grupa ransomware w bieżącym roku). Doszło również do zaszyfrowania kopii zapasowych (standardowa procedura grup ransomware…). Instytut informuje też o…
Czytaj dalej »
Niektórzy całą akcję określają webinarem, niektórzy wydarzeniem, a nam najbardziej odpowiada słowo – szkolenie. W każdym razie 7.11.2022r o 20:00 wystartowaliśmy, mając ~1600 uczestników na żywo (w max było 1700). A całe wydarzenie w niecałe 24 godziny oglądnęło blisko 8000 osób (taką liczbę wyświetleń pokazuje YouTube). Bardzo dużo osób dotrwało…
Czytaj dalej »
Nasze nowe szkolenie: RODO okiem hackera! Praktyczne szkolenie z ochrony danych osobowych – dostępne jest tutaj. A teraz do sedna: 50 pierwszych osób, które napiszą do nas z maila firmowego na adres ca@securitum.pl otrzymają po jednej darmowej wejściówce na szkolenie: RODO okiem hackera!. UWAGA: jeśli pracujesz dla instytucji/firmy związanej z…
Czytaj dalej »