W biegu

Zaczyna się dość groźnie: TL;DR; This post is a story on how I found and exploited CVE-2020-16875, a remote code execution vulnerability in Exchange Online and bypassed two different patches for the vulnerability. Exchange Online is part of the Office 365 suite that impacted multiple cloud servers operated by Microsoft that…

Uwaga: jeśli ktoś chce przejść od razu do sedna – to wystarczy zerknąć na sam koniec postu. Zamiast wstępu – czym jest Parler? Parler jest (był) alternatywą dla Twittera. Głównie skrzykiwali się tam fani Trumpa, czy ogólnie osoby o poglądach konserwatywnych. CNN opisuje platformę tak: The social media platform has…

Informacji nie mamy zbyt wiele, choć dookoła tematu widać spore poruszenie. Stąd też publikujemy informację, którą rozsyła Ubiquiti do swoich klientów. W skrócie – “zlokalizowaliśmy pewne naruszenie bezpieczeństwa, choć nie mamy pewności że dotknęło ono dane naszych użytkowników. Dla pewności jednak prosimy o zmianę hasła oraz idealnie skonfigurowanie 2FA (dotyczy…

Podatność została załatana w listopadzie 2020r. a sprowadzała się do braku sprawdzenia uprawnień przez Facebooka. W ramach przykładu, badacz pokazał jak można by stworzyć “lewy” wpis na oficjalnej stronie Facebooka informujący że Facebook zwraca na konto podwojoną kwotę wpłaconą do nich w Bitcoinach: Jak można było to zrobić? Wystarczyło przygotować…

Ciekawe podsumowanie przygotowane przez Forbesa. Niedawno Apple wprowadził tzw. privacy labels. Tj. można sprawdzić jak dana aplikacja podchodzi do prywatności – w sensie z jakich danych potencjalnie może korzystać oraz do czego konkretne dane mogą być wykorzystane. Co ciekawe można sprawdzić aplikację jeszcze przed jej instalacją (informacje te dostępne są…

Zaczęło się od blokady konta prezydenta Trumpa na Twitterze. Dla jednych sprawa oczywista, dla innych – ostra cenzura. Nawet nasi czytelnicy są mocno podzieleni…

Ciekawostka dla łowców interesujących bugów :-) Mieliśmy już różne warianty definicji algorytmy podpisów w JWT (none, NonE). Widzieliśmy również całkowite usunięcie sekcji podpisu. Teraz jeszcze coś innego: We can authorize by any user. For that we can use jwt token with empty shared_secret. Czyli w tokenie JWT podajemy puste hasło…

Jeśli chcesz od razu przejść do edytora własnych QR kodów – zerknij tutaj: https://my-qr.art/ (tak stworzony QR kod przekierowuje finalnie do wskazanego przez Ciebie URL-a). Tutaj np. QR kod kierujący do sekuraka (poprzez redirect na my-qr.art): W tym miejscu z kolei zerknijcie na teorię całego procesu (nie taka znowu prosta…

“Use Signal” – kiedy coś takiego napisze znana persona (Elon ma przeszło 40 milionów fanów na Twitterze) można spodziewać się szturmu użytkowników na daną platformę. I tak to chyba wygląda obecnie. Signal pisze bowiem: Pamiętajcie – od przybytku czasem głowa boli ;-) –ms

O temacie donosi ZDNet. Repozytorium wygląda na naprawdę bogate: I zawiera kody źródłowe takich m.in systemów: the Dealer Business Systems / Dealer Portal Nissan internal core mobile library Nissan/Infiniti NCAR/ICAR services client acquisition and retention tools sale / market research tools + data various marketing tools the vehicle logistics portal…

Napięcie polityczne w USA – za sprawą ostatnich wyborów prezydenckich – sięga zenitu. W zasadzie przed chwilą doszło do szturmu tłumu na amerykański Kapitol, gdzie włamano się m.in. do gabinetu demokratycznej polityk Nancy Pelosi. Co to ma wspólnego z bezpieczeństwem IT? Ano tyle, że odpowiednie służby zarządziły ewakuację budynku, ale…

Ta podatność: A blind SQL injection in the user interface of FortiWeb may allow an unauthenticated, remote attacker to execute arbitrary SQL queries or commands by sending a request with a crafted Authorization header containing a malicious SQL statement. jest ciekawa co najmniej z kilku powodów: Walczy z mitem, mówiącym…

Grzesiek Tworek, 14-krotny MVP, prelegent na BlackHacie czy autor serii rozchwytywanych kursów na sekuraku, przygotował dla Was nowe skondensowane, do granic możliwości praktyczne szkolenie, czyli: Co każdy powinien wiedzieć o włamaniach do systemów Windows? #1 Grzegorz o kursie pisze tak: Dopóki istnieć będą systemy, dopóty znajdą się tacy, którzy zechcą…

W listopadzie 2020r. jeden z czytelników (nazwijmy go na potrzeby tekstu Pawłem) zgłosił nam problem bezpieczeństwa zlokalizowany w sklepie loveair[.].pl Zaczęło się dość niewinnie – dostępny tam był katalog .git. Czym to grozi? Odpowiedź brzmi zawsze – to zależy. Czasem niczym, czasem czymś poważniejszym. W tym przypadku Paweł poinformował, że…

W zasadzie wszystko już powiedziano w tytule ;) Ale co np. z zasadami prywatności w samej appce? Te zostały zmienione: A privacy statement on the TraceTogether website had earlier said the data would only be used “for contact tracing purposes”.  Teraz wygląda to dość enigmatycznie: “TraceTogether data may be used…