Dodawanie dowolnych nagłówków zapytania w Chrome – opis podatności CVE-2018-6148

27 czerwca 2018, 19:03 | Teksty | 1 komentarz
Dodawanie dowolnych nagłówków zapytania w Chrome – opis podatności CVE-2018-6148

W artykule opisany jest błąd CVE-2018-6148, naprawiony w Chrome 67 w wersji z dnia 6 czerwca 2018. Błąd ten pozwalał na dodawanie dowolnych nagłówków zapytania HTTP w zapytaniach cross-domenowych. Oznaczało to, że dowolna strona webowa mogła ustawić treść takich nagłówków jak np. X-CSRF-Token, Referer, User-Agent, Host czy Cookie. Inne strony webowe, z kolei, przyjmują za pewnik, że nikt nie może w przeglądarce sobie sam tych nagłówków ustawiać – co może prowadzić do problemów bezpieczeństwa.

Czytaj dalej »

Hackują elektroniczne nianie – omijanie firewalla „to nie bug – to ficzer”

22 czerwca 2018, 10:34 | Aktualności | komentarzy 7
Hackują elektroniczne nianie – omijanie firewalla „to nie bug – to ficzer”

Zaczęło się od ciekawego badania opisanego tutaj. Otóż wielu producentów urządzeń IoT (choćby kamer) daje opcję, która umożliwia bezpośrednie połączenie z Internetu (z serwera backend producenta) bezpośrednio do LAN-u klienta. Nie pomoże firewall blokujący nawiązanie połączenia z zewnątrz, bo odpowiednie pakiety przychodzą komunikacją zwrotną.

Czytaj dalej »

XSS w Google Colaboratory + obejście Content-Security-Policy

19 czerwca 2018, 22:00 | Teksty | komentarzy 6
XSS w Google Colaboratory + obejście Content-Security-Policy

W tekście opisany jest ciekawy XSS znaleziony w lutym 2018 w aplikacji Google Colaboratory. Pokazane jest nie tylko bezpośrednio, gdzie był ten XSS, ale również jakie zostały poczynione próby, by tego XSS-a znaleźć i jakie po drodze były ślepe zaułki. Ponadto, pokazany jest przykład obejścia Content-Security-Policy z użyciem tzw. script gadgets.

Czytaj dalej »

RODO a gromadzenie danych z wizytówek – spostrzeżenia praktyczne

25 maja 2018, 10:26 | Aktualności | komentarzy 40
RODO a gromadzenie danych z wizytówek – spostrzeżenia praktyczne

Wiele osób zastanawia się – co z tak prozaiczną biznesową czynnością dnia codziennego, jak zbieranie wizytówek naszych partnerów oraz rejestrowanie danych kontaktowych na nich zawartych w kontekście RODO?

Oczywiście, jak w większości praktycznych kwestii trudno doszukiwać się bezpośredniego doregulowania tego zagadnienia w samym rozporządzeniu. Natomiast postaram się podzielić z Wami moimi spostrzeżeniami w tym zakresie oraz wskazać kilka praktycznych rozwiązań, jakie możemy zaimplementować w naszej pracy.

Czytaj dalej »

Bezpieczeństwo API REST – unikalna wiedza od sekuraka

07 maja 2018, 19:07 | Aktualności | komentarze 4
Bezpieczeństwo API REST – unikalna wiedza od sekuraka

Około 40 świeżych, realnych przypadków podatności w API REST (niektóre raptem sprzed miesiąca), rekonesans API, omijanie restrykcji do metod HTTP, niebezpieczeństwa JWT, wycieki kluczy API, ponad 60 punktowa checklista ułatwiająca sprawdzić swoje API pod względem bezpieczeństwa, ćwiczenia warsztatowe – to tylko kilka punktów które realizujemy na naszych warsztatach z bezpieczeństwa API REST.  

Czytaj dalej »