Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book

Tag: 0-day

Kiedy zhackują ci system dzielenia się plikami… Ustrzelone: Qualys, amerykański bank, jeden z banków rezerwy federalnej, … Sprawcami „hackerzy z Europy Wschodniej”

08 marca 2021, 11:59 | W biegu | komentarze 2
Kiedy zhackują ci system dzielenia się plikami… Ustrzelone: Qualys, amerykański bank, jeden z banków rezerwy federalnej, … Sprawcami „hackerzy z Europy Wschodniej”

Accellion FTA (File Transfer Appliance) – to już dość wiekowy system wymiany plików używany m.in. przez duże korporacje na całym świecie. Taka wrzutnia na duże pliki. Niedawno ktoś znalazł w tym systemie trochę 0-dayów i zaatakował firmy na całym świecie. Efekt – żądanie zapłaty okupu z nieopublikowanie poufnych dokumentów. Na…

Czytaj dalej »

Aktywnie exploitowana podatność w Chrome. Google wydaje łatkę, zatem łatajcie się.

04 lutego 2021, 21:21 | W biegu | komentarze 2
Aktywnie exploitowana podatność w Chrome. Google wydaje łatkę, zatem łatajcie się.

Niedawno SonicWall, teraz Chrome. Udostępniona została właśnie nowa wersja tej przeglądarki (88.0.4324.150, z adnotacją o załataniu istotnej podatności: High CVE-2021-21148: Heap buffer overflow in V8. Reported by Mattias Buelens on 2021-01-24. Google is aware of reports that an exploit for CVE-2021-21148 exists in the wild. Nie czekajcie więc, tylko łatajcie….

Czytaj dalej »

Exploit na podatność 0-day w Zoomie? Cena ~2 500 000 PLN. „Idealny do szpiegostwa gospodarczego”

15 kwietnia 2020, 18:40 | W biegu | komentarzy 6
Exploit na podatność 0-day w Zoomie? Cena ~2 500 000 PLN. „Idealny do szpiegostwa gospodarczego”

Vice donosi o dwóch 0-dayach na Zooma: jeden z nich to „przyjemny i czysty RCE” (Remote Code Execution) w zoomowej aplikacji na Windowsy. Druga podatność dotyczy klienta na MacOS (choć nie jest to RCE). Istnienie tych podatności, dziennikarz Vice potwierdził w trzech niezależnych źródłach, choć sceptycy powiedzą – pokażcie exploita…

Czytaj dalej »

Zaserwowali w krótkim czasie przeszło miliard „lewych”/złośliwych reklam – użyli 0-day w Chrome

10 października 2019, 17:34 | W biegu | 0 komentarzy
Zaserwowali w krótkim czasie przeszło miliard „lewych”/złośliwych reklam – użyli 0-day w Chrome

Wygrałeś iPhone, tysiąc złotych, czy inne złote garnki. Z daleka wygląda podejrzanie – i takie jest, często ofiara kończy infekcją swojego komputera, co jest dalej monetyzowane na różne sposoby. Jest w tym (nielegalny) biznes, są też zatem środki na poszukiwanie specyficznych błędów klasy 0-day w przeglądarkach. Kampania eGobbler użyła aż…

Czytaj dalej »

Czy developerzy nauczyli się czegoś przez ostatnie kilka lat? RCE w Struts

11 września 2017, 16:29 | W biegu | komentarzy 6

Struts to popularna biblioteka (framework?), znana zapewne wielu fanom Javy. Znana jest ona również badaczom bezpieczeństwa, bowiem historia podatności jest tutaj dość pokaźna. Co ma XML do zdalnego wykonania kodu? Otóż podatność zasadza się na wykorzystaniu automatycznie wykorzystywanej deserializacji XML-a, przez komponent XStream wykorzystywany w Struts2. Ale o RCE czającym się…

Czytaj dalej »

Pół miliona dolarów za exploit na mobilne komunikatory

25 sierpnia 2017, 17:06 | W biegu | 0 komentarzy

Osoby dysponujące wolnym czasem oraz odrobiną umiejętności zachęcamy do zainteresowania ofertą firmy Zerodium, można zgarnąć pół miliona dolarów. Jak to zrobić? Wystarczy przygotować oraz dostarczyć do wspomnianej firmy działający exploit, który pozwoli na zdalne wykonanie kodu (RCE) z wykorzystaniem takich aplikacji mobilnych jak iMessage, Telegram, WhatsApp, Signal, Facebook czy Viber….

Czytaj dalej »

Windows: krytyczny (nie-do-końca-załatany) błąd w obsłudze fontów – wchodzisz na stronę i… jesteś przejęty

15 grudnia 2016, 12:56 | W biegu | komentarze 4

Microsoft załatał właśnie błąd umożliwiający wykonanie kodu na systemie ofiary, zaledwie po… wejściu na odpowiednią spreparowaną  stronę / otwarciu odpowiednio przygotowanego dokumentu. Ale uwaga… tym razem nie jest to błąd w microsoftowej przeglądarce, ale w obsłudze fontów. Błąd został załatany w systemach od Visty / 2008 server w górę (aż po Windows…

Czytaj dalej »

Chińczycy dewastują Google Pixel, VMware, Apple i Adobe. Nagroda – $520 000

11 listopada 2016, 22:47 | W biegu | komentarze 3

Dość owocnie zakończyła się impreza PwnFest w Seulu. Tym razem pokazano pełne przejęcie telefonu Google Pixel (ten pokaz umożliwił zgarnięcie $120 000) (…)  showing how thet could compromise all aspects of the phone including contacts, photos, messages, and phone calls. Przejęty został również applowy OS X (exploit na Safari + błąd…

Czytaj dalej »

Google dźga ostrogami Microsoft – ujawnia podatność 0-day na Windows 10 zaledwie 7 dni po zgłoszeniu

31 października 2016, 21:45 | W biegu | 0 komentarzy

Kilka szczegółów dotyczących niezałatanej podatności w jądrze Windows 10. Błąd umożliwia na lokalne rozszerzenie uprawnień (analogicznie jak linuksowy Dirty Cow), co daje m.in. możliwości wyskakiwania z sandboksów. Nota bene – akurat googlowy Chrome używa pewnej ochrony, która szczęśliwie to uniemożliwia. Pełne konsekwencje luki zostaną zapewne opublikowane niebawem, a obecna publikacja ma…

Czytaj dalej »