W WordPressie 4.7.0 włączono domyślnie API REST, które umożliwia na tworzenie, usuwanie czy edytowanie postów. Oczywiście tylko użytkownikom posiadającym uprawnienia… czy aby na pewno? Okazuje się, że pewien drobny błąd (związany z rzutowaniem zmiennych w PHP) umożliwia na edytowanie dowolnego posta bez uprawnień (!) – wystarczy posiadać tylko jego ID……
Czytaj dalej »
W ramach dokumentacji OWASP mamy dostępnych kilka dokumentów które w tym roku mają uzyskać wersję 1.0. Jest to przede wszystkim OWASP Mobile ASVS (Mobile Appsec Verification Standard). Podobnie jak w przypadku klasycznego ASVS, mamy tu do czynienia z rozbudowanymi checklistami dotyczącymi rozmaitych sprawdzeń bezpieczeństwa: Jeszcze chyba ciekawszym dokumentem jest OWASP Mobile…
Czytaj dalej »
Zazwyczaj dokumenty ISO są płatne… a tutaj zrobiono wyjątek, od pewnego czasu dokument proponujący kompleksowe podejście do ujawniania podatności (ISO/IEC 29147) – zarówno od strony badacza bezpieczeństwa jak i właściciela podatnego produktu – jest dostępny bezpłatnie: Vulnerability disclosure is a process through which vendors and vulnerability finders may work cooperatively…
Czytaj dalej »
Joomla! nie ma ostatnio szczęścia, tym razem załatano błąd o wysokiej krytyczności. Podatność występująca aż od wersji 1.6.0 (kilka dobrych lat) umożliwia na zmianę haseł użytkowników czy ich przynależność do grup (!): Incorrect use of unfiltered data stored to the session on a form validation failure allows for existing user accounts…
Czytaj dalej »
Gratka dla badaczy bezpieczeństwa IoT. Niedawno opublikowano piątą część rozbudowanego i praktycznego poradnika lokalizowania błędów w świecie Internetu Rzeczy. W odcinku „Practical Reverse Engineering Part 5 – Digging Through the Firmware” znajdziecie informacje o: narzędziach / pomysłach umożliwiających przeglądanie firmware, jest trochę podstaw dotyczących bootowania systemu (choćby też o często…
Czytaj dalej »
Opis analizy pluginów do WordPressa z wykorzystaniem zaledwie zautomatyzowanej, statycznej analizy kodu źródłowego. W badaniu przeanalizowano 47,959 pluginów a w prawie 3000 znaleziono podatności o wysokiej krytyczności. Same pluginy to zresztą istna wylęgarnia luk: Niektórych może też zastanawiać (niektórych nie) – wysoki odsetek podatności SQL injection (~20%). –ms
Czytaj dalej »
Jeśli jesteś (nie)szczęśliwym posiadaczem routera DWR-932 B LTE, powinieneś jak najszybciej pomyśleć nad alternatywą, niż czekać na aktualizację firmware. Chyba, że chcesz dołączyć swój domowy / firmowy styk z Internetem do botnetu. Dlaczego? Jak dowiódł Pierre Kim, DWR-932 B LTE, ma wiele luk oraz realizuje swoje funkcje wbrew podstawowym zasadom bezpieczeństwa, które powinny być…
Czytaj dalej »
LastPass pod ostrzałem: co dopiero jeden z badaczy znalazł lukę w przeglądarkowym pluginie, gdzie wg zwykłej przeglądarki, adres: http://avlidienbrunn.se/@twitter.com/@hehe.php To oczywiście domena avlidienbrunn.se, a wg LastPass-a (jego przeglądarkowego plugina) to twitter.com … A to tylko zajawka, bo… ciężka artyleria została wytoczona właśnie przez Tavisa: –ms
Czytaj dalej »
Wydaje się że liczba błędów łatanych w Androidzie zamiast spadać – wzrasta. Tym razem, w lipcowym biuletynie bezpieczeństwa, dość niepokojące jest oznaczenie błędu w OpenSSL jako Critical RCE (mimo mniej groźnych informacji na samych stronach OpenSSL): Mimo tego, tym razem Google wymienia jako najbardziej niebezpieczne, błędy związane z obsługą multimediów: The…
Czytaj dalej »
Wydaje się, że powoli czas odchodzić od OpenSSL: tym razem wydano paczkę zawierającą poprawki m.in. 2 błędów o poziomie niebezpieczeństwa wysokim. Jedna z nich umożliwia na częściowe odszyfrowanie ruchu (z wykorzystaniem odpisywanego ostatnio przez nas Padding Oracle) – przy pewnych warunkach. Błąd wprowadzono łatając podatność Lucky 13 (CVE-2013-0169), która łatała…
Czytaj dalej »
Przy okazji ostatnio raportowanej na sekuraku podatności, warto zwrócić na ciekawą, nową miarę jeśli chodzi o istotność błędów bezpieczeństwa. Otóż serwis scip.ch, poza wartością CVSS, raportuje podatność np. tak: Znacie może inne serwisy agregujące podatności, które posługują się podobnym wskaźnikiem? –ms
Czytaj dalej »
Firma Cisco udostępniła łaty dla grubo ponad 70 swoich urządzeń, z czego chyba najciekawszą podatnością jest SQL injection w urządzeniu: Cisco RV220W Wireless Network Security Firewall (swoją drogą, jakiś czas temu ekipa sekuraka znalazła nieuwierzytelniony SQLi w innym urządzeniu Cisco – Security Appliance). W tym przypadku atakujący może ominąć uwierzytelnienie i…
Czytaj dalej »
O bezpieczeństwie node.js pisaliśmy jakiś czas temu. Zainteresowanych tematem polecam projekt: DVNA (Damn Vulnerable Node Application) – czyli specjalnie podatną aplikacją przygotowaną w node.js (oczywiście na potrzeby ćwiczenia poszukiwania podatności – na realnym celu…). –ms
Czytaj dalej »
12 błędów bezpieczeństwa w OpenSSL
Czytaj dalej »
Dzisiaj ukazała się nowa wersja OpenSSL (1.0.1h oraz analogiczne z linii poniżej). Po krytycznej podatności heartbleed, chyba bardziej skrupulatnie zabrano się za przegląd kodu tej popularnej biblioteki kryptograficznej. Opis załatanych błędów nie napawa optymizmem, przykładowo CVE-2014-0224 mówi o możliwości podsłuchu (deszyfracji) ruchu SSL pomiędzy klientem a serwerem. Whoops. Wprawdzie po…
Czytaj dalej »
