Aktualności

Ostatnio nieco atencji doznały te podatności (są one już dość wiekowe – 2019r. / załatane, ale mają sporą wartość edukacyjną – stąd ten wpis). Jak można było uzyskać dostęp do e-maili innych osób via OWA? W pewnym miejscu ten ostatni generował token JWT, który (uwaga, uwaga) nie był podpisany (więcej…

Temat niby znany od jakiegoś czasu, ale jakiś czas temu przestały działać PoCe na automatyczne rozwiązywanie reCAPTCHA. Idąc od końca (a może i od początku :) tutaj filmik pokazujący całość w akcji: Skuteczność to wg autora 97% – Google will return the correct answer in over 97% of all cases….

Zacznijmy od suchych liczb – w 2020r. wg Google Analytics odwiedziło nas 1,687,944 użytkowników (4,622,829 wyświetleń stron). Realnie zapewne sporo więcej. Bo któż – szczególnie w naszej branży – nie blokuje Analyticsów? My blokujemy :-) Przechodząc do części bardziej fabularnej, początek roku rozpoczął się średnio optymistycznie – my chyba jako…

Sam problem został opisany nieco bardziej ogólnie: Undocumented user account in Zyxel products (CVE-2020-29583) Badacze analizując binarkę zawartą w jednym z firmware-ów zauważyli tam po prostu login i hasło (plaintext), dające dostęp typu administracyjnego. The plaintext password was visible in one of the binaries on the system. I was even…

Helion ruszył z noworoczną paczką mocnych promocji ebooków – tym razem zerknijcie na wyselekcjonowane pozycje z branży IT (linki + rabaty przy każdej pozycji książkowej poniżej): Kod nieskażony O tym, ile problemów sprawia niedbale napisany kod, wie każdy programista. Nie wszyscy jednak wiedzą, jak napisać ten świetny, czysty kod i…

Pamiętajcie, że hacki to nie zawsze spektakularne wycieki danych. Czasem sprawa odbywa się „po cichu” – a im więcej dyskrecji tym lepiej. Tak działał Ticketmaster który ma zapłacić gigantyczną karę – bo aż 10 milionów USD. Co się wydarzyło? W zasadzie wszystko wyjaśnia ten cytat (za Dept. of Justice, USA):…

Microsoft już jakiś czas temu pisał o incydencie związanym ze słynnym hackiem Solarwinds. Czytaliśmy wtedy: We have not found evidence of access to production services or customer data. Our investigations, which are ongoing, have found absolutely no indications that our systems were used to attack others. Mimo, że powyższa informacja…

W skrócie – wypełnijcie proszę na spokojnie naszą prostą ankietę, na info o ewentualnej wygranej czekajcie do 11.01.2020r. A przy okazji, wszystkiego dobrego, zdrowia a także bezpieczeństwa waszych systemów w Nowym Roku! –ms

Dobra wiadomość jest taka, że format PDF planowany wstępnie na styczeń, mamy już gotowy, a wysyłka odbędzie się jutro (tj. 24.12.2020r.). Dla osób, które jeszcze nie znają naszej książki – to blisko 800 stron aktualnej wiedzy o bezpieczeństwie aplikacji WWW. Książka podzielona jest na rozdziały wprowadzające Czytelnika w tematykę, prezentując…

Tym razem mamy dla Was ciekawą opcję last minute – kurs: Recon master. Rekonesans sieciowy: nmap&masscan z 40% rabatem. Wystarczy zapisać się tutaj (https://recon2.sekurak.pl/) wpisując kod rabatowy: recon-lastminute-40 (dla biletu Standard lub biletu z certyfikatem uczestnictwa). Szkolenie odbywa się 22.12.2020 (13:00) – jeśli nie odpowiada Ci termin – otrzymasz film…

Sami badacze piszą tak: CVE-2020-28052 is an authentication bypass vulnerability discovered in Bouncy Castle’s OpenBSDBcrypt class. It allows attackers to bypass password checks. O co dokładnie chodzi? Zerknijcie tutaj. Użytkownik loguje się, podając hasło. Aplikacja liczy hash hasła i porównuje go z wartością w bazie. W jaki sposób porównuje? Mniej…

Najnowszy raport firmy Barracuda opisuje trendy w spearphishingu, z uwzględnieniem nowych koronawirusowych maili. Pierwsze pojedyncze koronawirusowe phishingi zostały zidentyfikowane przez Barracudę już w styczniu, a gwałtowny wzrost odnotowano w pierwszych tygodniach marca. Nie jest zaskoczeniem, że phishingi koronawirusowe dotyczą głównie wyłudzeń środków pod pretekstem datków na walkę z pandemią. Światowa…

Restartujemy nasze ~regularne, bezpłatne live streamy na sekurak.tv. Tym razem Michał Bentkowski zaprezentuje na żywo temat: A word about DOMPurify bypasses a.k.a why DOM parsing is crazy. To efekt jego pastwienia się nad projektem DOMPurify, gdzie ostatnio zgłosił kilka sposobów na ominięcie oferowanych przez projekt zabezpieczeń. W pewnym momencie twórcy…

Zacznijmy od końca – nie ma obecnie żadnych dowodów na to żeby aktualizacje Windows (czy innych produktów Microsoftu) były zanieczyszczone dodatkowym kodem. Gdyby tak się stało, byłby to chyba największy hack ever. Niemniej jednak Microsoft potwierdza hack, jednocześnie wskazując podjęte środki zaradcze: Like other SolarWinds customers, we have been actively…

Całość to kolejne pokłosie afery z Solarwinds – tym razem Politico pisze tak: The Energy Department and National Nuclear Security Administration, which maintains the U.S. nuclear weapons stockpile, have evidence that hackers accessed their networks as part of an extensive espionage operation that has affected at least half a dozen…