Ten nieco krzykliwy tytuł to komentarz do tej podatności: cmark-gfm (Github’s markdown parsing library) is vulnerable to an out-of-bounds write when parsing markdown tables with a high number of columns due to an overflow of the 16bit columns count. Poniżej wersja bardziej newsowa: W tłumaczeniu na polski: można by potencjalnie…

Jeśli komuś nie chce się czytać tego krótkiego wpisu, to może zapamiętać jedno: socjotechnika jest królową hackingu ;-) Co się wydarzyło? Za pomocą ataku socjotechnicznego atakującym udało się przejąć konta administratorów w Mailchimp: The incident was propagated by an external actor who conducted a successful social engineering attack on Mailchimp…

28. marca przeprowadziliśmy 4h szkolenie przeznaczone dla osób nietechnicznych. Tytuł: „nie daj się cyberzbójom” mówi dużo za siebie :-) W szkoleniu uczestniczyła na żywo rekordowa liczba osób; przed startem szkolenia (chociaż może lepsza nazwa: eventu! :) licznik YouTube pokazywał ponad 8000 osób czekających na żywo, co chwilę później było dość…

17 stycznia 2022 roku, około godziny 17:20 moje Konto Google zostało zhakowane. Ktoś: wyłączył wszystkie zabezpieczenia (w tym dwuetapową weryfikację, którą później ponownie uruchomił na własnych zasadach),  zmienił hasło,  usunął pytanie pomocnicze,  wylogował mnie ze wszystkich urządzeń. Zabrał też mój kanał na YouTube „TheAnteriss”, zmienił jego avatar, logo, nazwę na…

Podatność została opisana tutaj, a w sekurakowym skrócie: Jedna z funkcji API umożliwia upload plików *.tar.gz Po stronie serwerowej używana jest funkcja untar_zxf Teraz istota luki. W pliku sekurak.tar.gz można umieścić link symboliczny. Np.: $ ln -s /srv/tutaj_wielkie_sekrety.cfg niewinny_plik $ tar cvzf sekurak.tar.gz niewinny_plik Po uploadzie pliku sekurak.tar.gz, na serwerze…

Bez zbędnej teorii zobaczcie na ten zrzut: To pod jakim adresem my jesteśmy…? No raczej nie pod passport.i[.]ua, chociaż tak może się wydawać mniej doświadczonemu internaucie… W każdym razie Google ostrzega przed techniką „browser in the browser”, którą zaadoptowała białoruska grupa Ghostwriter (to ta od e-maili Michała Dworczyka). Na czym…

Tytułem wstępu: pierwszy odcinek naszej serii możecie przeczytać tutaj – kolejne odcinki będą ukazywały się w kolejne czwartki. A żeby nic nie przegapić, zapisz się listę OSINTową w formularzu poniżej (po zapisaniu się i potwierdzeniu zapisu otrzymasz automatem extra materiały OSINT-owe): Żyjemy w ciekawych czasach, w których musimy zmagać się…

Informacja o podatności (oraz aktualizacji) dostępna jest tutaj: W portalu użytkownika / panelu admina Sophos Firewall wykryto lukę w zabezpieczeniach polegającą na obejściu uwierzytelniania oraz umożliwiającą zdalne wykonanie kodu. Podatność została w sposób odpowiedzialny ujawniona firmie Sophos. Została ona zgłoszona za pośrednictwem programu bug bounty przez zewnętrznego badacza bezpieczeństwa. Luka…

Niektórzy mówią – eeee tam, co z tego że wykradną mi dane logowania do Netflixa, przecież nie mam tam żadnych istotnych danych. Prawda, ale nie do końca ;) Zobaczcie na to oszustwo (info podesłane przez Przemka): Nie udało się (niby) autoryzować płatności: Ten mail prowadzi nas do takiej strony (wykradanie…

Na początek informacja redakcyjna: „wiem, że nic nie wiem” – to można powiedzieć o „najnowszym 0day w Springu”. No dobra… coś jednak wiemy: Nie jest to właśnie załatana, inna podatność w Springu: CVE-2022-22963 (o średniej „powadze”). Bardzo wielu badaczy zgadza się, że najnowsza podatność (nieposiadająca jeszcze numeru CVE, ani łatki…

W skrócie: Szkolenie przeznaczone jest dla uczniów (klasa 6+ szkoły podstawowe, szkoły średnie, uczelnie wyższe) Szkolenie trwa 60 minut + 15 minut sesja pytań Szkolenie odbywa się w formie pokazów na żywo Szkolenie odbywa się w formule on-line Dostępne będzie nagranie szkolenia (na 2 tygodnie) Termin: pierwsza połowa maja 2022 (dokładny termin…

Dzisiejszym bohaterem jest gra: Axie infinity oraz wykorzystywany przez nią blockchain Ronin. Jak czytamy: Axie Infinity is an non-fungible token-based online video game developed by Vietnamese studio Sky Mavis, known for its in-game economy which uses Ethereum-based cryptocurrencies. Players of Axie Infinity collect and mint NFTs which represent axolotl-inspired digital…

Pierwsza część tytułu opisuje konkluzje po przeczytaniu krótkiej notki od Google (podatność jest załatana w wersji 99.0.4844.84 przeglądarki Chrome). Druga część tytułu jest nieprawdziwa. No bo przecież jeśli producent załatał podatność i udostępnił łatkę, to nie możemy mówić o 0-day :-) 1-day, n-day – już lepiej. Zawiedzeni? Moment – jednak…

Na początek startujemy z bezpłatnym dostępem do szkolenia: Nie daj się cyberzbójom! (https://cyberzboj.sekurak.pl/). W skrócie: Szkolenie przeznaczone jest dla każdego pracownika, który ma jakikolwiek kontakt z komputerem Trwa 4h (z przerwami i sesją Q&A) Każdy uczestnik otrzymuje elektroniczny certyfikat uczestnictwa (PDF) Każdy uczestnik otrzymuje miesięczny dostęp do nagrania szkolenia Szkolenie jest…

Amerykanie na swoich stronach rządowych donoszą: Pod koniec lutego i na początku marca FDACS OALE otrzymała informację o manipulacjach pompami paliwowymi na stacjach benzynowych w Lakeland i Lutz na Florydzie (…) Śledczy obserwowali Yordiana Diaz-Beniteza używającego urządzenia do manipulacji pulsatorem, co posłużyło do kradzieży oleju napędowego w Circle K (…)…