Tag: wyciek

Anonimowo można było namierzać lokalizację niemal wszystkich telefonów komórkowych w USA

18 maja 2018, 00:16 | W biegu | komentarze 2

Brian Krebs donosi o podatności w API firmy LocationSmart:  it could be used to reveal the location of any AT&T, Sprint, T-Mobile or Verizon phone in the United States to an accuracy of within a few hundred yards. Sam autor znaleziska pisze wręcz o możliwości namierzania w czasie rzeczywistym lokalizacji „wszystkich” telefonów komórkowych w USA: I…

Czytaj dalej »

Manager haseł 1Password podpowiada czy jakieś z Twoich haseł nie zostało skompromitowane

10 maja 2018, 14:44 | W biegu | komentarzy 13

Zacznijmy od końca czyli od nowego modułu Watchtower dostępnego w 1Password. Daje on m.in. automatyczny audyt obecnie używanych przez nas haseł, ale posiada też kilka różnych ciekawostek – typu automatyczne wskazywanie, że domena do której przechowujemy hasło (np. amazon.com) ma wsparcie dla 2FA i może warto jego użyć:   Cofając…

Czytaj dalej »

Wyciekały dane osobowe uczestników konferencji o bezpieczeństwie organizowanej RSA

23 kwietnia 2018, 18:18 | W biegu | 0 komentarzy

Niepoprawna autoryzacja, możliwość enumeracji użytkowników czy brak limitu na zapytania do API – to prosty przepis na wyciek i dokładnie tego typu problem przydarzył się firmie RSA. Trzeba wprawdzie przyznać, że aplikacja mobilna obsługująca konferencję RSA  była zlecona do przygotowania zewnętrznej firmie – jednak faktem jest, że dane uczestników można…

Czytaj dalej »

Można było pobrać dane milionów klientów – wystarczyło umieć… dodawać

03 kwietnia 2018, 11:43 | W biegu | komentarze 3

Brian Krebs donosi o kompromitującej podatności w API należącym do Panabread (bardzo popularna sieciowa restauracja w US/Kanadzie – posiadająca około 2100 fizycznych lokalizacji!). Problem jest ciekawy do najmniej ze względu na kilka elementów. Po pierwsze – nie trzeba było mieć kompletnie żadnej wiedzy technicznej żeby pobrać dane klientów. Po pierwsze,…

Czytaj dalej »

Baza przeszło pół miliarda unikalnych haseł do pobrania

22 lutego 2018, 22:19 | W biegu | komentarzy 11

Troy Hunt udostępnia do pobrania bazę przeszło 500 milionów unikalnych haseł, zebranych aż z przeszło 3 miliardów rekordów(!). Troy udostępnia zbiór głównie w celu jego zintegrowania go z funkcją ustawiania haseł w systemach / aplikacjach. Teraz łatwo będzie nie pozwolić użytkownikowi ustalić hasło, które kiedyś publicznie wyciekło. A żeby atakującym…

Czytaj dalej »

T-Mobile (USA) – bug umożliwiający pobranie m.in. numeru IMSI / e-mail ofiary – posiadając jedynie jej numer telefonu

11 października 2017, 14:02 | W biegu | 0 komentarzy

Błąd występował w API znajdującym się tutaj: wsg.t-mobile.com (poza e-mailami, i numerami IMSI – można było pobrać i inne dane – patrz koniec posta). Podatność została zgłoszona i w niecałe 24 godziny załatana (badacz, który poinformował o problemie otrzymał $1000 w ramach bug bounty). Ale to nie koniec historii, okazuje się…

Czytaj dalej »

Disqus zhackowany – przejęto dane przeszło 17 000 000 użytkowników

07 października 2017, 10:08 | W biegu | komentarzy 6

Sami zainteresowani (Disqus) dowiedzieli się o hacku… po 5 latach. Wyciekły: m.in.: e-maile, nazwy użytkowników, oraz hasła (hashowane SHA1 z solą – tutaj Disqus przyznaje, że dotyczyło to około 1/3 wspominanych w tytule użytkowników). Ludzie, którzy są dotknięci problemem otrzymali ponoć e-mail z prośbą o wymuszoną zmianę hasła, a my…

Czytaj dalej »

Czy developerzy nauczyli się czegoś przez ostatnie kilka lat? RCE w Struts

11 września 2017, 16:29 | W biegu | komentarzy 6

Struts to popularna biblioteka (framework?), znana zapewne wielu fanom Javy. Znana jest ona również badaczom bezpieczeństwa, bowiem historia podatności jest tutaj dość pokaźna. Co ma XML do zdalnego wykonania kodu? Otóż podatność zasadza się na wykorzystaniu automatycznie wykorzystywanej deserializacji XML-a, przez komponent XStream wykorzystywany w Struts2. Ale o RCE czającym się…

Czytaj dalej »

320 milionów haseł z realnych włamań – do sprawdzenia on-line lub pobrania

04 sierpnia 2017, 11:40 | W biegu | komentarzy 11

Mamy nową funkcję w znanym serwisie Troy Hunta – haveibeenpwned. Tym razem Troy udostępnia nam możliwość sprawdzenia online czy dane hasło znajduje się na liście tych skompromitowanych (obecnie mamy w bazie około 320 milionów unikalnych rekordów). Czy jest to rozsądne? Mamy mieszane uczucia (wymaga to podania hasła do sprawdzenia, które…

Czytaj dalej »

LinkedIn ujawnia kontaktom Wasze prywatne maile i telefony

22 lipca 2017, 10:12 | W biegu | komentarze 2

Niby wszystko gra, nieco po cichu i domyślnie zgadzamy się na przekazanie maili do naszych kontaktów. Jednak obrońców prywatności może to niepokoić, szczególnie że dane da się hurtem wyeksportować do pliku CSV (zawierającego w wielu przypadkach też numery telefonów) i w dużej ilości są to maile prywatne / telefony prywatne. Czasem…

Czytaj dalej »

mini-Apache-bleed – poważna podatność w serwerze http Apache – wyciek pamięci z serwera

14 lipca 2017, 09:46 | W biegu | komentarze 3

Podatność okryta przez Roberta Święckiego, i właśnie załatana (w wersji 2.4.27). Pierwszy problem (score 7.4 w skali CVSSv2) umożliwia na otrzymanie fragmentu zawartości pamięci z serwera, wysyłając odpowiednie nagłówki do serwera korzystającego z modułu mod_auth_digest. Pamiętacie Heartbleed? Stąd i robocza nazwa podatności mini-Apache-bleed: The value placeholder in [Proxy-]Authorization headers of type…

Czytaj dalej »

Zomato – dane 17 milionów kont wyciekły. Kup teraz!

19 maja 2017, 00:09 | W biegu | 1 komentarz

Znany również w Polsce serwis Zomato, powiadomił o wycieku 17 milionów rekordów o kontach użytkowników (w tym hashowane hasła). Serwis thehackernews ujął to nieco dosadniej: Choć początkowo sądzono że wyciek nastąpił w wyniku działania insidera, później jednak się okazało że niekoniecznie. Osoba która wykradła dane przekazała szczegóły do Zomato, oraz obiecała…

Czytaj dalej »

Jak można było poznać lokalizację samochodu znając tylko numer rejestracji? Jednym requestem HTTP…

12 maja 2017, 16:24 | W biegu | 0 komentarzy

Usługi dające niższe ubezpieczenie samochodowe w zamian za konieczność instalacji urządzenia monitorującego w samochodzie – to już znamy. Czy tego typu systemy zrealizowane są bezpiecznie? Np. we Włoszech – niekoniecznie. Jeden z badaczy pokazał, że odpowiednim requestem HTTP do webserwisu można było pobrać ostatnie 20 lokalizacji samochodu o danym numerze…

Czytaj dalej »