Aktualności

Ciekawy błąd w iOS pozwala na całkowite unieruchomienie iPhone’a i innych urządzeń pracujących pod tym systemem poprzez ustawienie systemowej daty na 01.01.1970… która to zapewne nie jest przypadkowa.

Bruce Schneier niezłomnie dostarcza kolejnych argumentów obnażających bezsens postulowanych przez niektóre środowiska przepisów nakazujących umieszczanie backdoorów w rozwiązaniach kryptograficznych.

Koło Naukowe Prawa Nowych Technologii na UMK w Toruniu zaprasza na szóstą edycję konferencji naukowej „Ataki Sieciowe 2016”. W tym roku, po raz szósty, na Wydziale Prawa i Administracji Uniwersytetu Mikołaja Kopernika odbędzie się konferencja poświęcona cyberzagrożeniom i cyberbezpieczeństwu „Ataki sieciowe 2016”. Celem konferencji jest zgromadzenie praktyków, zwłaszcza specjalistów z…

Szczegółowe dane personalne (nazwiska, adresy e-mail, numery telefonów, opisy stanowisk) 20 tys. agentów FBI zostały właśnie upublicznione przez bliżej nieokreśloną osobę lub grupę: 20,000 FBI EMPLOYEES NAMES, TITLES, PHONE NUMBERS, EMAILS, COUNTRYhttps://t.co/c5mvY49P8S password is lol#FreePalestine — penis (@DotGovs) February 8, 2016 Więcej o całej sprawie napisał Motherboard. — WS

Tym razem pomysłowym przestępcom komputerowym udało się w sprytny sposób ominąć kolejne zabezpieczenie — limity wypłat gotówkowych — zamieniając tym samym bankomaty w maszynki do hurtowego wypłacania pieniędzy.

Chińczyk potrafi – czyli krótki, ale treściwy wpis na chińskim blogu, pokazujący różne nietypowe techniki działające na skanery kodów kreskowych. Uruchomienie sekwencji CTRL+o na czytniku? Nie ma problemu. CTRL+r cmd – też prościzna ;-) Można powiedzieć nawet – RCE w kieszeni – w postaci kilku kodów do skanowania. –ms

Było już na sekuraku o deserializacji w Pythonie, Javie, czy PHP – wszystko w kontekście zdalnego wykonania kodu w aplikacji webowej. Dla odmiany polecam zerknąć na świeże opracowanie podobnej sytuacji – ale na przykładzie aplikacji napisanej w Perlu. –ms

Jak wiemy, szyfrowanie end-end niewiele da jeśli mamy zainfekowaną choćby jedną stronę komunikacji (tak to działa z https – malware bankowy zbytnio się nim nie przejmuje). Kolejne potwierdzenie tego faktu to nowe narzędzie (backdoor) ochrzczone jako T900 i  wykorzystywane prawdopodobnie do cyber szpiegostwa. T9000 potrafi nagrywać rozmowy Skype ale również wykradać dokumenty czy…

W Windowsie ze względu na wydajność fonty były (i są) obsługiwane w wysoko uprawnionym kernel mode. Od strony bezpieczeństwa jest to zupełnie bez sensu, bo odpowiednio spreparowany font może służyć do wykonania kodu z bardzo wysokimi uprawnieniami jądra. Krótki opis przykładowej podatności w tym temacie: The vulnerability could allow remote code…

Użytkownicy Avasta mieli jeszcze niedawno pewien problem, mianowicie podatność umożliwiającą listing katalogów oraz odczyt plików z komputera ofiary – jedynie po jej wejściu na odpowiednio spreparowaną stronę. Od niedawna podatność jest już załatana.

Zapewne znacie serwisy webowe, które zachęcają nas do uruchomienia malware poprzez prezentowanie przycisków z ’pobraniem aktualizacji’ czy z instalacją ’nowego antywirusa’: Aby walczyć z tym problemem, Google ogłosił rozszerzenie programu Safe Browsing o wykrywanie i blokowanie właśnie serwisów prezentujących 'deceptive embedded content’ – czyli np. wspomniane wyżej przyciski instalujące malware….

W ramach naszego stałego patronatu zachęcamy do zerknięcia do nowego, lutowego wydania „Linux Magazine”, który poświęcony jest skryptom powłoki, które pozwalają nam tworzyć własne procedury monitorujące; na DVD znajduje się dystrybucja live Knoppix 7.6.0. Wewnątrz wydania również: śledzenie użytkowników w Sieci za pomocą canvas i evercookies, funkcje skrótu sól i pieprz,…

Polecamy serię szkoleń warsztatowych z dziedziny bezpieczeństwa aplikacji webowych. W sumie trzy kursy – dla zaczynających swoją karierę w bezpieczeństwie, ale i bardziej zaawansowanych.

Przy okazji ostatnio raportowanej na sekuraku podatności, warto zwrócić na ciekawą, nową miarę jeśli chodzi o istotność błędów bezpieczeństwa. Otóż serwis scip.ch, poza wartością CVSS, raportuje podatność np. tak: Znacie może inne serwisy agregujące podatności, które posługują się podobnym wskaźnikiem? –ms

Firma Cisco udostępniła łaty dla grubo ponad 70 swoich urządzeń, z czego chyba najciekawszą podatnością jest SQL injection w urządzeniu: Cisco RV220W Wireless Network Security Firewall (swoją drogą, jakiś czas temu ekipa sekuraka znalazła nieuwierzytelniony SQLi w innym urządzeniu Cisco – Security Appliance). W tym przypadku atakujący może ominąć uwierzytelnienie i…