Rok 2021 jest przełomowy dla nas, przyjęliśmy ponad 10 osób, zrobiliśmy ponad 550 komercyjnych testów penetracyjnych. Między innymi wykonaliśmy testy bezpieczeństwa Protonmaila (tutaj zobacz raport, który za zgodą zamawiających te pentesty – został upubliczniony). Jeśli chciałbyś uczestniczyć w tego typu ofensywnych projektach? czytaj dalej :-) TLDR: w pierwszym kwartale 2022…

Zapewne sporo osób interesujących się podatnością log4shell zatrzymało się na bibliotece Log4j w wersji 2.15.0 W międzyczasie zdążyła się pojawić wersja 2.16.0 ponownie łatająca remote code execution w niestandardowych konfiguracjach (CVE-2021-45046). Ale to nie koniec karuzeli. Właśnie pojawiła się wersja 2.17.0 biblioteki łatająca błąd klasy DoS (również w „niedomyślnych konfiguracjach”): Apache…

Ostatnio zaprosiliśmy Was do wpisania się na listę obecności na sekuraku (cały czas możecie to zrobić; jeszcze jest szansa wygrać trochę naszych gadgetów! W szczególności sekurakowe skarpetki, które rozdajemy dość rzadko). Jak wyglądają częściowe odpowiedzi? (1200 zebranych ankiet). Czytajcie: 1. Najwięcej osób czyta nas z firm z branży IT (nie…

Ciekawym opisem podzielił się zespół badaczy, który zaprezentował słabości klucza służącego do generowania certyfikatów COVID w postaci kodów QR w Wietnamie. Wykorzystując tę podatność, można było samodzielnie utworzyć certyfikat. Sam kod takiego dokumentu zawiera dość ciekawe dane, np.: typ pojazdu, numer rejestracyjny, liczba foteli, ID obywatela czy okres ważności certyfikatu. …

Prawdopodobnie słyszeliście już o krytycznej podatności log4shell. O co chodzi z podatnością? Jakie są możliwe skutki wykorzystania? Jak wyglądają różne warianty ataków na tę lukę [pokazy na żywo] Czy nowa wersja Javy chroni przed atakami? Właśnie wyszła kolejna aktualizacja log4j – 2.16.0 – czy poprzednia nie łatała wszystkich problemów? Czy…

Ostatnio log4shell przyćmiewa inne problemy bezpieczeństwa. Tymczasem w listopadzie Microsoft załatał dwie interesujące podatności: CVE-2021-42278 / CVE-2021-42287 (Active Directory Domain Services Elevation of Privilege Vulnerability) Jak można zobaczyć na ~animacji tutaj, każdy zalogowany do domeny użytkownik może zostać w prosty sposób …administratorem domeny: Wprawdzie w opisie błędu Microsoft napisał Exploitation…

Apple właśnie wypuścił wersję 15.2 swojego mobilnego systemu. Mam wrażenie, że znalazły się w nich funkcje, które nie do końca zostały przetestowane na premierę iOS 15.0; ale teraz nadszedł już dobry czas. Najbardziej chyba cieszy tzw. raport prywatności aplikacji (Ustawienia -> prywatność -> na-samym-dole- ;) Widzimy tutaj np. z jakich…

Tym razem Chrome załatał 5 istotnych podatności (jedną krytyczną). Z wiadomych przyczyn nie ma na razie zbyt wielu szczegółów, poza: Google is aware of reports that an exploit for CVE-2021-4102 exists in the wild. Najbardziej chyba powinna martwić jednak ta luka: Critical CVE-2021-4098. Insufficient data validation in Mojo. O ile…

W reklamy nikt nie chce klikać (również te facebookowe ;), więc przestępcy cały czas próbują nowych metod. Może bardziej skuteczne okaże się wspomnienie stron, które chcemy zaatakować? Jeden z czytelników podesłał nam opis takiej akcji. 1. Niewinne wspomnienie o stronie (może to ktoś ważny? może dostałem jakiś bonus?) 2. Dalej…

Informacja o incydencie pojawiła się w oficjalnym serwisie gminy (cynk przekazał nam Krzysiek). Czytamy tutaj: Administrator (…) zawiadamia o zaszyfrowaniu bazy programu kadrowo-finansowego. Co się wydarzyło? Opis jest dość enigmatyczny: pracownik Urzędu Gminy Nowiny otworzył zainfekowany link co skutkowało uruchomieniem oprogramowania złośliwego, który zainfekował serwer Z naszego doświadczenia ścieżka jest…

Badacze zaprezentowali Proof of Concept exploit na Struts2 Showcase (2.5.27) z nową Javą: root@c9b80b027e02:~# java -version openjdk version „11.0.13” 2021-10-19 OpenJDK Runtime Environment 18.9 (build 11.0.13+8) OpenJDK 64-Bit Server VM 18.9 (build 11.0.13+8, mixed mode, sharing) Atak (uważni dostrzegą, że nie ma tutaj użycia ciągu ldap, jak w klasycznych atakach…

Tematy z tytułu to tylko dodatkowe dema na żywo, które planujemy zamieścić w naszym flagowym, dwudniowym szkoleniu: wprowadzenie do bezpieczeństwa IT. Samo szkolenie to przede wszystkim liczne pokazy ataków na żywo (jest ich przeszło 20, nie ma szans na nudę :-) – wszystko oczywiście z odpowiednim tłumaczeniem i omówieniem ochrony….

Listę podatnych produktów możecie zobaczyć tutaj. Jak widzicie część produktów otrzymała łaty, choć dla większości są one w trakcie tworzenia. Ciężko powiedzieć czy VMware przydzielił od góry do dołu łatkę: Critical 10/10, ale nie wygląda to dobrze. Wszystko „oczywiście” za sprawą podatności w bibliotece Apache Log4j: VMWare dodaje jednocześnie: Exploitation…

Czym jest Ghidra? Otwartoźrodłowym narzędziem do analizy plików binarnych. Posiada dekompilator, wsparcie dla x86/MIPS/ARM/… Właśnie wydano wersję 10.1, która zawiera m.in. poprawkę słynnego już buga log4shell. No dobra, dobra, ale jak w praktyce działa ta Ghidra? Zobaczcie więc, jak w prosty sposób można dzięki niej zlokalizować podatność klasy RCE w…

Apache Log4j to bardzo popularna biblioteka javowa służąca do… logowania rozmaitych zdarzeń. Podatność, możliwe skutki wykorzystania. Luka CVE-2021-44228 (inna nazwa: log4shell) to tzw. RCE (Remote Code Execution) – czyli wykonanie dowolnego (wrogiego) kodu po stronie serwerowej. Napastnik może uzyskać dostęp do wykonywania dowolnych poleceń na serwerze (z uprawnieniami, z którymi…