W biegu

Wiecie jak to jest z tymi szkoleniami cyberawareness (dla pracowników nietechnicznych) – ludzie siedzą, po paru minutach zasypiają i nic z tego nie wynika ;-) poza odhaczeniem, że szkolenie się odbyło i mamy spokój z naszym compliance. Od dłuższego czasu to zmieniamy. Na podstawie naszych wielu doświadczeń, mamy dostępne w…

Hasła, klucze API, pliki konfiguracyjne, pliki z hasłami i innymi poufnymi danymi.  W sumie około 120 tego typu ‚źródeł’. Czy te dane rzeczywiście są poufne? Wg ich właścicieli nie, bo udostępnili je publicznie na GitHub-ie (pozostaje pytanie czy w sposób świadomy). ‚Filmik’ z wycieków, realizowany w czasie rzeczywistym dostępny jest…

Zwięzła informacja dostępna jest tutaj. Rok pracy, realni aktorzy i… tysiące wynikowych, fejkowych filmów: To make this dataset, over the past year we worked with paid and consenting actors to record hundreds of videos. Using publicly available deepfake generation methods, we then created thousands of deepfakes from these videos. The resulting…

Zobaczcie tylko na to dość oryginalne pismo przesłane pocztą tradycyjną: Wiecie, rozumiecie, brexit, płacić trzeba, patriotyzm, i tak dalej. Ważne że królowa potrzebuje Bitcoinów :-) Ciekawe czy ktokolwiek się złapał na taki dość nietypowy phishing? –ms

Rosjanin, który przyznał się do winy naprawdę nieźle poszalał. Skala i sposób działania były zorganizowane na tyle z rozmachem, że podejrzewano ingerencję rosyjskiego rządu (w sumie nie jest to wykluczone): Andrei Tyurin, 35, whose last name is also spelled Tiurin, also pleaded guilty to hacks against other US financial institutions,…

Afera dotyczy najnowszego systemu iOS 13, gdzie umożliwiono instalację zewnętrznych (programowych ;) klawiatur. W opisie problemu Apple pisze dość enigmatycznie: Third-party keyboard extensions in iOS can be designed to run entirely standalone, without access to external services, or they can request “full access” to provide additional features through network access….

Dość kuriozalny błąd wykorzystywany jest przez tego exploita. Forum po prostu bierze jeden z parametrów przesyłany bez uwierzytelnienia i jego wartość traktuje jako polecenie w OS do wykonania… Podatność występuje od wersji 5.0.0 aż do ostatniej – 5.5.4. Na razie jeszcze nie wydano łatki i jak można się spodziewać exploit…

Podatność występuje w Internet Explorerze 9, 10, 11 i dotyka wszystkich Windowsów (od 7-ki do 10-tki, w tym serwerowe). Luka umożliwia wykonanie złośliwego kodu w systemie operacyjnym ofiary, po wejściu na odpowiednio przygotowaną stronę. Problem jest na tyle duży, że Microsoft przygotował łatę, poza standardowym cyklem aktualizacji. Łatajcie się (i…

Właśnie opublikowaliśmy obejście ochrony przed XSS dostarczanej przez DOMPurify (podatność właśnie została załatana). Całość to kolejna publikacja na naszym anglojęzycznym research blogu – poprzednie unikalne wpisy dotyczyły paru bugów w Chrome dotyczących elementu <portal>, oraz tematyki SSTI (Server-Side Template Injection) w systemie szablonów Pebble. Kolejne publikacje niebawem, śledźcie bezpośrednio research.securitum.com i/lub konto…

Zerknijcie tutaj. Zdjęcia można pobierać losowo, w trakcie tworzenia jest również API (gdzie będzie można przefiltrować wyniki, po pochodzeniu etnicznym (są też Słowianie), wieku, płci czy nastroju czy kolorze skóry). Twórcy projektu piszą tak: Every image was generated by our internal AI systems as it continually improves. Use them in…

Chodzi o znany zapewne większości naszych czytelników incydent, który doprowadził do ujawnienia rekordów o przeszło 2 milionach osób. Poza danymi osobowymi były tam też zahashowane hasła, (na temat szybkości ich łamania przygotowaliśmy osobny tekst). O nałożonej karze przez UODO można poczytać tutaj („kara za niewystarczające zabezpieczenia organizacyjne i techniczne”): Zastosowane…

Zobaczcie na to dość rozbudowane badanie. Przygotowano testowo ekstremalnie smart apartament: Były tam telewizory, dongle do telewizorów, kamery, suszarki do ubrań, dzwonki, pralki, żarówki czy asystenci głosowi – wszystko bardzo inteligentne i wysyłające dane do Internetu (w sumie 81 urządzeń umieszczonych w labie znajdującym się w UK oraz osobnym w…

Dzisiaj na oficjalnym twitterze GitHub pojawiła się informacja, że stali się CNA, czyli CVE Numbering Authority. Oznacza to, że badacze bezpieczeństwa będą mogli zwrócić się do serwisu w celu przydzielenia numerów CVE dla znalezionych podatności.  CVE to skrót od Common Vulnerabilities and Exposures i jest ogólnie przyjętym systemem katalogującym informacje…

O problemie doniósł the Hacker News. Całość do podatność klasy CSRF (czyli zmuszenie przeglądarki ofiary do wykonania jakiejś nieautoryzowanej akcji; w naszej książce mamy cały rozdział o tym problemie): W zasadzie widać co tutaj się dzieje. Wystarczy osadzić tego typu obrazek na jakiejś stronie (np. na sekuraku) – oraz umieścić stosowną…

Jeśli ktoś chce zobaczyć trochę realnych, świeżych podatności w IoT, zachęcam do lektury wyników badania projektu SOHOpelessly Broken 2.0. Na celownik wzięto 13 urządzeń, w których każde miało minimum jedną podatność webowo-aplikacyjną (co nie dziwi…): All 13 of the devices we evaluated had at least one web application vulnerability such…