W biegu

Microsoft wydał dzisiaj październikowe poprawki bezpieczeństwa dla swoich kluczowych produktów (Windows / Office / .NET / Azure Functions i wiele innych).  Wśród ponad 40 CVE znajdziemy też poprawkę podatności CVE-2020-16898 – błędnej implementacji stosu TCP/IP, a konkretnie obsługi pakietów ICMPv6. Poprawna exploitacja może doprowadzić atakującego do zdalnego, nieuwierzytelnionego wykonania kodu na…

Chodzi o firmę Xplora, a dość rozbudowaną analizę bezpieczeństwa tych produktów znajdziecie tutaj. W największym skrócie, firma była ostatnio brana pod lupę i inna ekipa nie wykryła żadnych istotnych podatności. Z drugiej strony cytowani na początek newsa badacze pokazali, że do urządzenia wystarczy wysłać SMS (zaszyfrowany symetrycznym RC4) aby zupełnie…

Techcrunch donosi o dość nietypowym wycieku. Transkrypcje rozmów + dodatkowe logi z systemu HomeWAV, używanego w amerykańskich więzieniach, a umożliwiającego rozmowy więźniów z rodziną czy prawnikami – były dostępne przez kilka miesięcy publicznie w Internecie. Powód: Firma HomeWAV tłumaczy się: jeden z naszych poddostawców przypadkowo usunął zabezpieczenie systemu hasłem, co pozwoliło…

Mały konkurs został ogłoszony tutaj (b62c6a4a0403f07ab65227529ebcf375b9127057a7c4fd2be4355504a953ae75, 10 znaków, alfabet hasła: A-Z, a-z, 0-9): Here's a little challenge for any #password crackers out there… b62c6a4a0403f07ab65227529ebcf375b9127057a7c4fd2be4355504a953ae75 It's 10 characters, A-Z, a-z, 0-9, SHA256 and no salt. If it's as insecure as some claim, I'd expect it to be broken by this time…

Operatorzy Clopa opublikowali w ramach dowodu paczkę wykradzionych danych: e-maile, skany paszportów, dokumenty finansowe. Sama spółka obsługuje ~10 000 klientów i jest siódmą co do wielkości firmą softwareową w Europie. Komunikat jaki dodatkowo otrzymała sama firma wygląda tak jak poniżej (niektórzy zwracają na nieco ironiczne rozpoczęcie komunikacji zwrotem Dear): Żądana…

Największa zmiana dotyczy chyba użytkowników pracujących pod Windows – nowy nmap dostarczany jest z biblioteką npcap (umożliwiającą odbieranie / wysyłanie pakietów) w wersji 1.0 – po siedmiu latach autor doszedł do wniosku, że wreszcie jest ona dojrzała :-) Poza tym mamy dużo nowych modułów umożliwiających fingerprint czy to usług czy…

Do maratonu przystąpiło pięciu zawodników. Czas: 3 miesiące. Cel: systemy firmy Apple dostępne z Internetu. Efekt? Zgłoszonych 55 podatności (w tym 11 krytycznych, 29 ważnych (kategoria: High)). Wypłata: $288 500 – w ramach oficjalnego programu bug bounty. Warto zaznaczyć, że Apple posiada ogromną klasę adresową 17.0.0.0/8 (to potencjalnie ponad 16 milionów…

CVE-2020-15808 mówi o błędzie w bibliotece do obsługi USB na popularnych procesorach STM32 dostarczanych przez STMicroelectronics. Jeśli podłączacie jakieś urządzenie przez USB, komunikuje się ono z drugą stroną za pomocą… protokołu USB :) Co jeśli wysłać by tutaj nieco zmodyfikowane pakiety? Jak się okazuje, czasem możemy pobrać aż 65kB z urządzenia,…

Wszyscy wiemy, że jeśli prowadzimy śledztwa OSINT-owe, Google jest nieprzebraną skarbnicą wiedzy. Można tam łatwo wyszukać informacje przy użyciu Google Dorks, które odpowiednio wyfiltruje nam pożądane dane z oceanu informacji. Ale czy da się w prosty sposób otrzymać skondensowane dane o osobie, znając tylko jej adres email? Jeśli jest on…

Kampania uruchamiana jest regularnie, ostatnio pisaliśmy o tym rok temu. Przestępcy mają w zasadzie wszystko to, czego potrzeba: a) nie wysyłają danych do losowych firm, tylko takich które złożyły stosowne pismo do Urzędu Patentowego. Skąd mają te dane? Otóż: Urząd jest przez prawo zmuszony do publikowania podstawowych informacji o zgłaszanym znaku towarowym….

O bezpieczeństwie tzw. dziecięcych smartwatchy, pisaliśmy już parę razy. Pobieranie danych użytkownika (w tym jego lokalizacji) bez żadnych sprawdzeń uprawnień – czemu nie ;)  Serwer z wrażliwymi danymi z zegarków, który nie zapewnia ani szyfrowania ani w zasadzie żadnych metod ochrony – proszę bardzo. Tym razem na celownik niemieckich badaczy…

T2 to stosunkowo nowy moduł wprowadzony do komputerów Apple (Macbooki, iMac czy MacPro). Co ciekawe jest on oparty o chip A10 używany jeszcze w iPhone7. Na T2 działa też zupełnie inny (niż zwykły ;) system operacyjny – bridgeOS. Kilkutomowego dzieła o budowie bridgeOS raczej nie znajdziecie, a np. Wikipedię można…

Anonimowe korzystanie z prepaidowych kart SIM w wielu krajach Europy się skończyło (no powiedzmy…), ale prostą metodą na nieskrępowany dostęp do Internetu jest korzystanie z publicznych hot-spotów. Takich np. w kawiarniach. Okazuje się jednak, że czasem nie jest to takie proste, szczególnie dla właścicieli tego typu lokali we Francji. Od…

BBC donosi: W przedziale 25. września – 2. października nie zaraportowano 15,841 wykrytych przypadków COVID-19. Public Health England said 15,841 cases between 25 September and 2 October were left out of the UK daily case figures. (…) The technical issue meant the daily case totals reported on the government’s coronavirus dashboard over…

Historię można by podsumować tak. Zobaczmy z pozoru podobne dwa scenariusze: Scenariusz 1. — Daj mi zdalny dostęp do twojego komputera a następnie zaloguj się do bankowości elektronicznej. Aha, jeszcze zainstaluj taką oto wspaniałą appkę-backdoor na swoim telefonie — Chyba cię *&@#&^!*&@#!!! Scenariusz 2. — Daj mi zdalny dostęp do…