Aktualności

Kubernetes to bardzo rozbudowane oprogramowanie do zarządzania i skalowania skonteneryzowanego środowiska. Szeroka funkcjonalność oferowana jest przez wiele modułów, a jednym z nich jest Image Builder, który pozwala na tworzenie obrazów maszyn wirtualnych, które następnie uruchamiane są np. za pomocą Proxmox czy QEMU. Na etapie tworzenia obrazu maszyny wirtualnej wykorzystywane są…

Konflikty kinetyczne często mają swoje odbicie w cyberprzestrzeni (o czym świetny rozdział ma Łukasz Olejnik w naszej nowej książce). Konfliktowi pomiędzy Izraelem a Hezbollahem, również towarzyszą działania prowadzone w sieci (niekoniecznie prowadzone tylko przez tych dwóch aktorów).  Słowacka firma ESET, poinformowała o tym, że jej izraelski partner został zhackowany, a…

Autorzy narzędzia Grafana opublikowali na blogu artykuł dotyczący błędu oznaczonego symbolem CVE-2024-9264 oraz zaktualizowane wersje. Błąd został odkryty przez inżyniera Grafana Labs i dotyczy Grafany serii 11.x (wersje z serii 10.x nie są podatne). Podatność dotyczy jedynie instalacji, które zawierają – nieobecny domyślnie – plik wykonywalny DuckDB w zmiennej środowiskowej PATH…

Już niebawem, bo 6.12.2024 startujemy nowe, wydarzenie online od sekuraka, czyli sekurak cyberstarter. Jest to całodniowa konferencja przeznaczona dla: Uprzedzając pytania – dostępne będą również nagrania (prawie) wszystkich prelekcji. Ścieżki planowane w ramach wydarzenia: W wydarzeniu jako prelegenci udział potwierdzili: Od strony czasowej mamy zaplanowane trzy rodzaje prezentacji: Jeśli chciałbyś…

Niecały miesiąc po naprawieniu problemów, o których pisaliśmy, GitLab ponownie wydał poprawione wersje. Podobnie jak poprzednio, aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Tym razem poprawione wersje oznaczone są numerami 17.2.9, 17.3.5 oraz 17.4.2. TL;DR Najpoważniejszy załatany błąd to CVE-2024-9164 umożliwiający nieautoryzowanym użytkownikom uruchamianie tzw. pipelines. Został znaleziony w…

Czarna seria podatności w popularnej wtyczce WordPressa o nazwie LiteSpeed Cache trwa. Nie minął nawet miesiąc od ostatniej podatności, a znaleziono kolejną. Tym razem chodzi o stored XSS zgłoszony przez użytkownika TaiYou w ramach programu bug bounty Patchstack. TL;DR CVE-2024-47374, bo taki identyfikator otrzymała podatność, dotyka wszystkich wersji wtyczki LiteSpeed…

Jesień Linuksowa 2024 to cykliczna konferencja poświęcona Linuksowi i Wolnemu Oprogramowaniu, organizowana przez Polską Grupę Użytkowników Linuxa (PLUG). Wydarzenie gromadzi zarówno entuzjastów, jak i profesjonalistów związanych z technologią oraz światem open-source, oferując możliwość wymiany doświadczeń i nawiązywania cennych kontaktów. W tym roku świętujemy jubileuszową, 20. edycję Jesieni Linuksowej, która odbędzie…

Na razie nie wiadomo jak doszło do wycieku, w każdym razie ktoś udostępnił ~6GB plik zawierający dane logowania (w szczególności hasła bcrypt, e-maile). Najwyraźniej atakującym udało się też uzyskać dostęp do modyfikacji treści samego serwisu web.archive.org – wg relacji odwiedzający widzieli taki popup w JavaScript: I rzeczywiście, dane te już…

3 października 2024 roku jeden z uczestników Sekurak Academy podzielił się swoimi wątpliwościami co do otrzymanego maila. Sądził, że mógł stać się celem ataku – numeracja faktury załączonej do e-maila odbiegała od używanego w firmie standardu. Zrzut ekranu otrzymanej wiadomości przekazał naszym analitykom. Akcje użytkownika uchroniły firmę przed potencjalnym atakiem,…

Poniżej opis procesu łamania naszego hasła, przesłany przez zwycięzcę konkursu, _secmike. Prosił on również o nagłośnienie tej zbiórki, do wzięcia udziału w której zachęcamy. ****** A teraz writeup: 28 września 2024 roku na portalu sekurak.pl pojawił się ciekawy konkurs związany z odtworzeniem danych wejściowych do funkcji skrótu, dysponując jedynie danymi…

Na ostatnim MEGA sekurak hacking party, rozdawaliśmy wydaną przez nas książkę OSINTową autorstwa Krzyśka Wosińskiego (~200 stron). Mieliśmy dostępne tylko 1000 egzemplarzy, teraz mamy 0, ale sporo osób pyta się o możliwość zakupu. Jeśli więc jesteś wstępnie zainteresowany (cena 29zł brutto + wysyłka; tylko dla zapisujących się poniżej) to dopisz…

BMC (Baseboard Management Controller) to mikrokontroler obecny często przy płytach głównych serwerów. Wykorzystując IPMI (Intelligent Platform Management Interface), pozwala na monitorowanie ich parametrów czy sterowanie nimi, zapewnia też zdalny dostęp. Jest zupełnie niezależny – posiada swój procesor, firmware oraz RAM. Można o nim myśleć po prostu jako o niezależnym, dedykowanym komputerze o…

Aktualizacja 2.10.2024. Hasło zostało już złamane, szczegóły niebawem :-) W ramach ostatniego konkursu nikt się nie zgłosił z prawidłową odpowiedzią. Do złamania było: 535be00fc31ff6612ee8fcc3d80aaf35ffb2c1e6487fac88bb81ab04a8ead089 No więc teraz finalnie osłabiona wersja konkursu (nagroda to 1000zł dla pierwszej osoby, która złamie hasło poniżej, w maksymalnym terminie do końca 14.10.2024). Nowe hasło konkursowe…

Poważna luka w każdym Linuksie! CVSS 9.9/10! Armageddon! Koniec świata dla Linuksa! Tak mogły brzmieć dzisiejsze nagłówki serwisów związanych z bezpieczeństwem… ale nie będą. Błąd w każdym Linuksie okazał się być ciągiem błędów w systemie drukowania CUPS. Krytyczne zdalne wykonanie kodu może i jest krytyczne, może i pozwala na zdalne…

W cytowanym badaniu wystarczyło znać numer rejestracyjny samochodu (lub nr VIN). Następnie można było go zdalnie otworzyć, uruchomić, mieć dostęp do kamer (w wybranych modelach). Można było też mieć dostęp do fizycznej lokalizacji auta czy emaila / numeru telefonu właściciela. Fragment listy wskazanych przez badaczy podatnych modeli: Badacze stworzyli nawet…