Czy warto się przejmować? Autorzy badania dotyczącego nowego ataku ROBOT, pokazali w ramach demo, podpisanie wiadomości… kluczem prywatnym Facebooka (dokładniej: chodzi o ich certyfikat HTTPS i powiązany z nim klucz prywatny): Further we have demonstrated practical exploitation by signing a message with the private key of facebook.com’s HTTPS certificate. Tutaj…
Czytaj dalej »
Czy wiesz jak możesz wyszukać osobę jedynie po numerze telefonu? Czy handel kryptowalutami jest na pewno zawsze anonimowy? A może chciałbyś się znaleźć kilka historycznych, teoretycznie usuniętych już informacji o firmie X, albo spróbować poznać geolokalizację danej osoby na podstawie jej wpisów na Twitterze?
Czytaj dalej »
Dokładnie taką historię opisuje Noah Dinkin – twierdzi, że po skorzystaniu z darmowego WiFi w argentyńskim Starbucksie, strona operatora zapewniającego tą usługę (chodzi tutaj zapewne o captive portal) … kopie walutę na przeglądarce klienta: Czy jest to celowe działanie, czy po prostu zhackowana strona – trudno jednoznacznie odpowiedzieć, Starbucks w każdym…
Czytaj dalej »
To w skrócie nowa podatność Janus. Skąd ta dziwna nazwa? Otóż Janus to grecki bóg m.in. dualności – a cały problem polega na tym, że można stworzyć plik będący jednocześnie poprawnym APK jak i poprawnym DEX. Android przy sprawdzeniu podpisu cyfrowego uruchamianej aplikacji weryfikował go tylko dla fragmentu związanego z…
Czytaj dalej »
Niedawno pisaliśmy o głośnej serii podatności w Intel Management Engine (podatne są 6/7/8 generacja procesorów Core, Xeony, Atomy…) – atak przeżywa reinstalacje systemu operacyjnego, czy nawet aktualizacje BIOS-u… Ostatnio pokazało się kilka aktualizacji w temacie – m.in. linki do stron producentów, którzy zapewniają aktualizacje (Intel napisał że nie udostępni “ogólnego”…
Czytaj dalej »
Nie tak dawno temu HP miało keyloggera w sterownikach audio, tym razem sprawa jest nieco bardziej prozaiczna, bo chodzi o zwykły sterownik do klawiatury. Z jednej strony domyślnie jest on wyłączony (choć można go prosto włączyć posiadając odpowiednie uprawnienia), z drugiej – potencjalny backdoor w oficjalnych sterownikach – to nie…
Czytaj dalej »
Kopanie kryptowalut z wykorzystaniem JavaScriptu uruchomionego w przeglądarce to nic nowego. W końcu jeśli można w JavaScripcie bootować całe systemy operacyjne, to dlaczego nie dało by się uruchomić koparki… Ale jeśli zamkniemy okno przeglądarki, kończymy też działanie skryptu kopiącego, prawda? Niby tak, ale Malwarebytes donosi o nowej technice uruchamiania kodu…
Czytaj dalej »
Podatność Dirty Cow została ogłoszona w zeszłym roku. W skrócie – umożliwia ona eskalację uprawnień do root z dowolnego użytkownika. Podatne wtedy były niemal wszystkie jądra Linuksa. Tymczasem właśnie załatano kolejny problem w tym samym miejscu, podatność nie jest tak prosta do wykorzystania, ale autor znaleziska przestrzega przed możliwością dostępu…
Czytaj dalej »
Na szczęście to false positive w tekście o XSS-ach, w którym każda linijka kodu była przygotowana ręcznie. Podatność to CVE-2016-3198 (ominięcie Content Security Policy w Microsoft Edge). Sporo osób o nam ten problem zgłaszało – stąd oficjalne info :-)
Czytaj dalej »
Sekurak został patronem medialnym Code Europe – stąd publikujemy informacje od organizatorów: Już 5, 7 i 13 grudnia Kraków, Warszawa i Wrocław staną się kolejno stolicami branży IT. To jedyna okazja do spotkania się z ponad 130 specjalistami IT, którzy przyjeżdżają do Polski specjalnie na Code Europe, wśród nich są:…
Czytaj dalej »
Przygotowaliśmy dla Was dwa filmy – o podatności XXE (weszła ona ostatnio do zestawienia OWASP Top Ten) oraz o narzędziu Burp Suite. Pierwszy film można oglądnąć / pobrać tutaj (to wersja z podłożonym głosem, po polsku). Tutaj jako eksperyment, dołączyliśmy zewnętrzne napisy (przycisk CC w prawym dolnym rogu): Drugi, dłuższy…
Czytaj dalej »
Są instalacje (koparki) używane do ogrzewania pomieszczeń, są eksperymenty z podłączaniem koparek do turbin wiatrowych, a tym razem na facebookowej grupie Tesla Owners Worldwide umieszczone zostało zdjęcie koparki kryptowalut podpiętej do samochodu. Cały pomysł bazuje na darmowym ładowaniu zapewnianym przez Teslę (Lifetime Unlimited Supercharging), uzupełnionym o dość pojemną baterię (nawet…
Czytaj dalej »
Właśnie Apple dostał informację o mrożącej krew w żyłach podatności, na najnowszym ich systemie (High Sierra), można dostać uprawnienia root, logując się na niego i podając kilka razy puste hasło (do oporu): Podatność wymaga fizycznego dostępu do uśpionego komputera (lub posiadania dowolnego konta – łącznie z guest), choć problem bez…
Czytaj dalej »
Monitoring infrastruktury IT jest w dzisiejszych czasach dużym wyzwaniem. Od takich oczywistości, jak dostępność serwerów czy infrastruktury sieciowej, a kończąc na poziomie naładowania UPS lub czy drzwi są otwarte w szafach rackowych. Mnogość urządzeń i sposobów ich monitorowania często prowadzi do sytuacji, że wdrażamy kilka niezależnych rozwiązań monitoringu, co po…
Czytaj dalej »
Nie wiem czy wiecie, ale Facebook od niedawna daje możliwość tworzenia głosowań, do których można dodać też obrazki: Nowa funkcja to okazja na nowe bugi – i rzeczywiście – wystarczyło dodać do swojego głosowania ID zewnętrznych obrazków (z Facebooka), a serwis je akceptował. Ale co ważniejsze – przy kasowaniu głosowania…
Czytaj dalej »
