Tag: google

„Potencjalny” wyciek prywatnych danych 500 000 użytkowników Google+

08 października 2018, 22:16 | W biegu | komentarze 4

W skrócie, niezabezpieczone API Google+ umożliwiało nieautoryzowany dostęp do danych użytkowników: imię, e-mail, zawód, płeć, wiek. Podatny użytkownik najpierw musiał dać dostęp do swoich publicznych danych profilu dowolnej, zewnętrznej aplikacji G+ (niegroźne, prawda?). Ale dostęp był dawany również do pól prywatnych oraz do pól prywatnych przyjaciół: When a user gave…

Czytaj dalej »

Błąd bezpieczeństwa w aplikacji desktopowej Google Hangouts Chat – czyli jak uczynić Open Redirect znów wielkim

23 lipca 2018, 08:15 | Teksty | komentarzy 11
Błąd bezpieczeństwa w aplikacji desktopowej Google Hangouts Chat – czyli jak uczynić Open Redirect znów wielkim

W artykule opisany jest błąd bezpieczeństwa, który znalazłem na początku czerwca 2018 w aplikacji desktopowej Google Hangouts Chat. Jest przykładem na to, jak aplikacje napisane w Electronie mogą sprawić, by pewnie mniej istotne podatności (jak np. open redirect) stały się nagle poważnymi błędami w aplikacjach.

Czytaj dalej »

XSS w Google Colaboratory + obejście Content-Security-Policy

19 czerwca 2018, 22:00 | Teksty | komentarzy 6
XSS w Google Colaboratory + obejście Content-Security-Policy

W tekście opisany jest ciekawy XSS znaleziony w lutym 2018 w aplikacji Google Colaboratory. Pokazane jest nie tylko bezpośrednio, gdzie był ten XSS, ale również jakie zostały poczynione próby, by tego XSS-a znaleźć i jakie po drodze były ślepe zaułki. Ponadto, pokazany jest przykład obejścia Content-Security-Policy z użyciem tzw. script gadgets.

Czytaj dalej »

Android wysyła do Google lokalizację pobliskich BTS-ów, nawet jeśli wyłączymy „location services”

22 listopada 2017, 19:27 | W biegu | komentarzy 12

Cały proceder ma miejsce od początku 2017 roku, a lokalizacja pobliskich wież GSM wysyłana jest również wtedy, kiedy nie mamy w telefonie karty SIM (wysyłka jest po WiFi). Wyłączenie „location services” nie pomaga – czy inaczej: wg serwisu Quartz – nie da się tego w ogóle wyłączyć: Even devices that had…

Czytaj dalej »

Microsoft zgłasza zdalne wykonanie kodu w Chrome i krytykuje Google

23 października 2017, 12:46 | W biegu | komentarzy 6

Ostatnio załoga ofensywna Microsoftu się rozkręca, ponownie zgłosili do Google zdalne wykonanie kodu w przeglądarce Chrome, otrzymując skromne bounty – $15,837 (które zaokrąglone przez Google do $30 000, zostało przekazane na cele charytatywne). Microsoft przy okazji wytknął Google-owi luźne podejście do publikacji łat krytycznych błędów (konkretniej – upublicznienie łaty, co dawało…

Czytaj dalej »

Milion urządzeń IoT do przejęcia. Krytyczny błąd w serwerze DNS (DNSmasq)

06 października 2017, 20:58 | W biegu | komentarze 2

Google wypuściło informację o serii bugów w serwerze DNS będącym składnikiem pakietu DNSmasq – (razem z przykładowymi PoC-ami, w których grzebał też nasz rodak Gynvael Coldwind). Na start, Shodan pokazuje przeszło 1 000 000 urządzeń posiadających felerny serwer DNS… Ale na podatnościach w samym DNS się nie skończyło, a cała…

Czytaj dalej »

Buchnął Google-owi wpisy z ich lokalnego DNSa

02 marca 2017, 18:49 | W biegu | 0 komentarzy

Writeup podatności zgłoszonej do Google. Pierwszym problemem okazał się SSRF w domenie toolbox.googleapps.com. Jeśli ktoś jeszcze nie kojarzy tej podatności – mamy jej opis na sekuraku. Później wystarczyło najpierw zbruteforce-ować adres wewnętrznego serwera DNS (sieć 10.x), a następnie już hulaj dusza. Wszystko korzystając z publicznie dostępnego interfejsu widocznego poniżej: –ms

Czytaj dalej »

Wylogowało Cię nagle z usług Google? To (chyba) nie hack

24 lutego 2017, 21:05 | W biegu | komentarzy 5

Trochę osób zgłasza w przeciągu ostatnich ~24h niespodziewane wylogowania z usług Google podejrzewając jakiś incydent bezpieczeństwa. W szczególności, jeśli ktoś używa google-owej poczty mógł  zobaczyć znienacka prośbę o kolejne logowanie się na accounts.google.com – co mogło sugerować próbę phishingu czy innego ataku. Dla uspokojenia – sprawa wygląda rzeczywiście dziwnie, ale Google uspokaja,…

Czytaj dalej »

Reklama Amazona w Google kierowała do… serwisu ze scamem

11 lutego 2017, 21:42 | W biegu | komentarzy 6

Nie do końca wiadomo w jaki sposób udało się komuś umieścić w Google reklamę Amazona, wyglądającą jak perfekcyjnie legalna, ale prowadzącą do zupełnie innego URL-a: Docelowa strona sugerowała, że mamy problem z infekcją komputera i rekomendowała telefon na rzekomy support Microsoftu (gdzie operatorzy proszą np. o podanie numeru karty kredytowej czy zainstalowanie odpowiedniego…

Czytaj dalej »

Nowa nadzieja na skuteczną ochronę kont? Google idzie w Universal 2nd factor

27 grudnia 2016, 10:19 | Aktualności | komentarze 33
Nowa nadzieja na skuteczną ochronę kont? Google idzie w Universal 2nd factor

Wszyscy przyzwyczajeni jesteśmy do autoryzacji finansowych transakcji SMS-ami. Bad news – od pewnego czasu NIST chce odejść od tej metody: Out-of-band authentication using the PSTN (SMS or voice) is deprecated, and is being considered for removal in future editions of this guideline. Generator kodów na telefonie? Bad news – co z malware i dostępem do systemu transakcyjnego…

Czytaj dalej »

Malware znaleziony w reklamach Google

17 sierpnia 2016, 10:31 | W biegu | 0 komentarzy

Przeglądasz sobie ulubioną stronę – a tu nagle boom i pokazuje się request o przydzielenie praw admina do aplikacji last-browser-update.apk: Całość jest malwarem bankowym, który jak relacjonują ludzie z Kasperskiego, był serwowany z wykorzystaniem Google Adsense. Trojan-Banker.AndroidOS.Svpeng.q potrafi m.in. serwować lewe ekrany do logowania dla bankowości internetowych i oczywiście kraść hasła: Na…

Czytaj dalej »