Koledzy z Wrocławia zawsze cenili jakość i są raczej zdeterminowani w szerzeniu wiedzy z naszych obszarów zainteresowania – czytaj ITsec. Z przyjemnością więc objęliśmy patronatem wrześniową konferencję: Technology Risk Management Forum. Od samych organizatorów: Serdecznie zapraszamy do udziału w konferencji Technology Risk Management Forum, która odbędzie się w dniach 7-8 września…
Czytaj dalej »
Wyszli ze swoją prezentacją z informacją, że niestety nie mają slajdów… po czym wbili w przeglądarkę https://careers.mi5.gov.uk (tak, z zieloną kłódką). W tle zapuszczony był nowy atak MiTM na AES w trybie GCM, który umożliwił… wstrzyknięcie slajdów w stronę mi5.gov.uk z której dalej prezentowano nowe osiągnięcie: Czy zawsze AES-GCM jest…
Czytaj dalej »
Jak donosi Wired, blisko 100 milionów samochodów wyprodukowanych przez grupę Volkswagen ostatnie 20 lat może być otwarte bezprzewodowo w wyniku hacka.
Czytaj dalej »
Pełen research dostępny jest tutaj (pdf tutaj). Dostępny jest też film pokazujący w ramach PoC wstrzyknięcie javascriptu na stronę USA today: Badacze o całości piszą tak: In a nutshell, the vulnerability allows a blind off-path attacker to infer if any two arbitrary hosts on the Internet are communicating using a…
Czytaj dalej »
Ostatnio powstaje coraz więcej programów bug bounty; przełamał się nawet Apple, który ma oferować do $200 000 za buga. Tymczasem konkurencja nie śpi – firma Exodus oferuje aż do $500 000 za exploita na iOS (trwałego RCE), o podobnych kwotach możemy mówić jeśli zgłosimy odpowiedniego exploita do Zerodium: Miejmy nadzieję,…
Czytaj dalej »
TL;DR – zapraszamy na nasze 1-dniowe warsztaty na warszawskiej konferencji Security Case Study (13 września). Tym razem tematyka testowania bezpieczeństwa aplikacji webowych.
Czytaj dalej »
W Windows 10 domyślnie instalowany Edge, ustawiony jest jako domyślna aplikacja do odczytu PDF-ów. Ten z kolei domyślnie (tj bez ostatniego patcha) podatny jest na wykonanie kodu w systemie operacyjnym poprzez odczytanie odpowiednio spreparowanego PDF-a. Czyżby czekała nas powtórka z Adobe Readera? ;-) –ms
Czytaj dalej »
Dwóch badaczy z firmy pentestpartners pokazało ostatnio na Defconie szybki sposób na produkcję ransomware na inteligentnym termostacie (który okazał się zwykłym Linuksem): Całość nie jest zbyt finezyjna bo wymaga fizycznego dostępu do urządzenia (możliwość wrzucenia w niego karty SD), ale pokazuje co może nas czekać za kilka lat ;-) –ms
Czytaj dalej »
Projekt Sauron działa jedynie w pamięci (nie zostawia zatem śladów na HDD), wykorzystuje techniki przenoszenia siebie przez sieć lub ukryte partycje na USB, pierwszą infekcję datowano na 2011 rok, ale wykryta została dopiero niedawno… Cel: ambasady, instalacje wojskowe, branża finansowa / telekomunikacyjna, ośrodki badawcze. Co Wam to przypomina?
Czytaj dalej »
Aktualny numer „Programisty” obfituje w treści o tematyce bliskiej administratorom systemów. Propozycją skierowaną do nich na ten miesiąc jest artykuł o automatyzacji środowiska developerskiego za pomocą CloudOver, opracowanie z działu „bezpieczeństwo” na temat potencjalnie niebezpiecznych schematów używania Basha oraz tytułowy artykuł o optymalizacji obsługi sieci w Linuksie: „Jak się driver…
Czytaj dalej »
Apple słynął raczej z niemiłego traktowania ludzi zgłaszających im błędy bezpieczeństwa. Po wielu latach poszedł jednak po rozum do głowy i na koniec roku odpala program bug bounty: Apple today announced that it would be starting up a bug bounty program in the fall. The program will reward security researchers…
Czytaj dalej »
W tym temacie nie ma zbyt wielu poradników (w przeciwieństwie do Androida / iOS). Właśnie jednak otrzymaliśmy tu małą pomoc w formie świeżego opisu / checklisty. Poradnik pokazuje konfigurację na przykładzie Nokia Lumia 950 + SSCM + ADFS i jeszcze kilku innych microsoftowych klocków. Całość opisuje zarówno pewne elementy na…
Czytaj dalej »
Wersja 48 Firefoksa w prowadza kilka ciekawych funkcji dotyczących bezpieczeństwa. Zobaczcie szczegóły.
Czytaj dalej »
Był już LinedIN, był MySpace – teraz ten sam sprzedający wystawił bazę 200 milionów kont z Yahoo (e-mail / hash MD5(1) / data urodzenia). Baza jest prawdopodobnie z okolic 2012 roku, a tym razem cena to 3 BTC, a Yahoo tak komentuje całą sprawę: We are committed to protecting the security…
Czytaj dalej »
Z bezpieczeństwem OVH bywało różnie… dziwi więc, że dopiero teraz uruchamiają program bug bounty. Nagrody oscylują w granicach 50 – 10 000 EUR, a sam na szybko mam już do zgłoszenia jednego buga ;-) Poczytajcie o scope i do dzieła. –ms
Czytaj dalej »
