Mega Sekurak Hacking Party w Krakowie! 20.10.2025 r. Bilety -30%

W biegu

Google załatał poważną lukę w V8 dla Chrome – zalecamy aktualizację

23 sierpnia 2024, 07:05 | W biegu | 0 komentarzy
Google załatał poważną lukę w V8 dla Chrome – zalecamy aktualizację

Google wydał aktualizację dla przeglądarki Google Chrome łatającą poważną lukę bezpieczeństwa w V8 – silniku JavaScript i WebAssembly używanym we wszystkich przeglądarkach bazujących na Chromium. Błąd oznaczony jako CVE-2024-7971 został sklasyfikowany według standardu CVSS v3 na 8.8, co w skrócie mocno sugeruje jak najszybszą aktualizację do najnowszej (czyli spatchowanej) wersji….

Czytaj dalej »

Krytyczna podatność we wtyczce Litespeed Cache – łatajcie swoje WordPressy

22 sierpnia 2024, 16:03 | W biegu | komentarzy 9
Krytyczna podatność we wtyczce Litespeed Cache – łatajcie swoje WordPressy

Krytyczna podatność w wordpressowej wtyczce Litespeed Cache (podatne są wersje do 6.3.0.1 włącznie), oznaczona jako CVE-2024-28000, została właśnie załatana. Według statystyk dodatek ten jest używany przez przeszło 5 milionów stron (z czego zaktualizowanych do tej pory zostało na razie około połowy).  Podatność została opisana jako podniesienie uprawnień, ponieważ pozwala nieuwierzytelnionemu…

Czytaj dalej »

Można już zgłaszać oszustwa internetowe w appce mObywatel. Otrzymasz też alerty o najpoważniejszych zagrożeniach.

21 sierpnia 2024, 11:47 | W biegu | 1 komentarz
Można już zgłaszać oszustwa internetowe w appce mObywatel. Otrzymasz też alerty o najpoważniejszych zagrożeniach.

Nowy moduł/usługa nazywa się: 'Bezpiecznie w sieci’; część rodzajów oszustw (np. lewe / podejrzane strony internetowe) można zgłosić bezpośrednio w appce. Dla części rodzajów oszustw appka pokazuje sposób zgłoszenia oszustwa (np. wysłanie SMSa na nr 8080) Docelowo ma być też udostępniona baza wiedzy dotycząca bezpiecznych zachowań w sieci. PSJeśli nie…

Czytaj dalej »

Microsoft łata RCE przez IPv6 w Windows

14 sierpnia 2024, 12:56 | W biegu | komentarzy 9

Microsoft w ostatnim Patch Tuesday (termin określający drugi wtorek miesiąca, w którym część producentów oprogramowania wypuszcza łatki i aktualizacje – pojęcie dotyczy zwłaszcza firmy Microsoft) wydał poprawkę, która łata podatność CVE-2024-38063. Uzyskała ona bardzo wysoką punktację CVSS wynoszącą 9.8. W ocenie badaczy atak jest łatwy technicznie do przeprowadzenia, nie wymaga uwierzytelnienia od atakującego,…

Czytaj dalej »

Prawnicy otrzymują dzisiaj takie SMSy, niektórzy kliknęli w linka i zastanawiają się czy ich telefon jest zainfekowany… Z czym mamy tutaj do czynienia?

31 lipca 2024, 12:26 | W biegu | komentarze 3
Prawnicy otrzymują dzisiaj takie SMSy, niektórzy kliknęli w linka i zastanawiają się czy ich telefon jest zainfekowany… Z czym mamy tutaj do czynienia?

Oto wspomniany w tytule SMS: Nazwa nadawcy została sprytnie ustawiona przez wysyłającego SMSy (w tym przypadku: Adwokatura; jako wysyłający SMSa można tu wpisać w zasadzie wszystko). Ten link na 99.999% :) nie infekuje telefonu. Dlaczego? Możliwe, ale raczej mało prawdopodobne w tym przypadku scenariusze: Kilka rad na koniec: ~ms

Czytaj dalej »

Ciekawe potknięcia bezpieczeństwa przy popularnym startupie Rabbit R1

31 lipca 2024, 03:25 | W biegu | komentarze 3
Ciekawe potknięcia bezpieczeństwa przy popularnym startupie Rabbit R1

Firmy technologiczne nie przestają przedstawiać AI jako rozwiązania większości problemów ludzkości. Do czatów bazujących na dużych modelach językowych (LLM), użytkownicy Internetu zdążyli już przywyknąć. Asystenci głosowi stali się kolejną funkcją smartfona. Nic więc dziwnego, że aby jeszcze bardziej ułatwić codzienne życie, powstały startupy rozwijające projekty takie jak Rabbit R1. Czym…

Czytaj dalej »

PKfail – czyli jak drobne przeoczenie może naruszyć bezpieczeństwo setek urządzeń

30 lipca 2024, 11:03 | W biegu | komentarzy 5
PKfail – czyli jak drobne przeoczenie może naruszyć bezpieczeństwo setek urządzeń

Wpadka dziesięciu głównych producentów sprzętu, może wydawać się kuriozalna i nawet zabawna, gdyby nie fakt, że narusza kluczowy łańcuch zaufania, mający na celu zabezpieczenie integralności wykorzystywanych systemów operacyjnych.  Unified Extensible Firmware Interface (w skrócie UEFI) to interfejs pomiędzy sprzętem, a systemem operacyjnym – nowoczesny zamiennik Basic Input/Output System (BIOS). Do…

Czytaj dalej »

Uważaj co wrzucasz do prywatnych repozytoriów na GitHubie – podatność opisana jako CFOR

26 lipca 2024, 15:49 | W biegu | 1 komentarz
Uważaj co wrzucasz do prywatnych repozytoriów na GitHubie – podatność opisana jako CFOR

Zespół trufflesecurity opisał bardzo ciekawy, ale bardzo nieintuicyjny i nieoczywisty na pierwszy rzut oka, design wykorzystywany przez GitHuba do zarządzania zależnościami między repozytoriami i forkami. Architektura tego rozwiązania pozwala, w pewnych okolicznościach użytkownikom na dostęp do commitów przesyłanych nie tylko do prywatnych repozytoriów ale także tych usuniętych. Nie jest to…

Czytaj dalej »

Pakiet szkoleń Websecurity Master – NOWOŚĆ od sekuraka!

24 lipca 2024, 12:05 | Aktualności, W biegu | komentarze 2
Pakiet szkoleń Websecurity Master – NOWOŚĆ od sekuraka!

8 października startujemy z najbardziej kompleksowym kursem bezpieczeństwa aplikacji webowych w Polsce! W nowej, przyjaznej zdalnej formule, z mocno zaktualizowanymi treściami, od topowych trenerów-praktyków. Co może wyniknąć z mieszanki 15 lat doświadczenia w testowaniu bezpieczeństwa aplikacji webowych, przeprowadzenia kilku tysięcy testów bezpieczeństwa i setek edycji szkoleń o tematyce związanej z…

Czytaj dalej »

„Mama była tak zmanipulowana, że wierzyła bardziej tym złodziejom niż mi mojej siostrze, swojej sąsiadce czy komukolwiek innemu”. Historia scamu inwestycyjnego. 77 letnia pani Mariola straciła ~100 000 złotych.

23 lipca 2024, 11:38 | W biegu | komentarzy 11

Poniżej w skondensowany sposób zredagowana relacja syna, który przesłał do sekuraka garść detali o całej akcji-scamie (nota bene – sam schemat nie jest nowy – patrz np. tutaj historię pewnego pana, który stracił ~4mln złotych na fałszywej inwestycji) Zaczęło się od „reklamy na Onecie” z tytułem: „Dochód gwarantowany: co kryje…

Czytaj dalej »

Supply chain attack na Pythona, czyli o krok od kolejnego dużego incydentu

23 lipca 2024, 00:23 | W biegu | 1 komentarz
Supply chain attack na Pythona, czyli o krok od kolejnego dużego incydentu

Często słyszy się określenie, że bezpieczeństwo to ciągła „gra w kotka i myszkę” lub wyścig. W rzeczy samej, często badacze muszą ścigać się z przestępcami, aby zapobiec poważnym atakom. Od czasu ataku na SolarWinds, dużą popularność i rozgłos zyskują ataki na łańcuch dostaw. Na łamach sekuraka opisywaliśmy wielokrotnie sytuacje, w…

Czytaj dalej »

Podatność Path traversal w Splunk Enterprise na Windows

21 lipca 2024, 23:23 | W biegu | 1 komentarz
Podatność Path traversal w Splunk Enterprise na Windows

W oprogramowaniu Splunk Enterprise działającym na systemach Windows ujawniona została niedawno podatność typu path traversal, pozwalająca atakującemu na nieuprawniony dostęp do plików na podatnym systemie. Błąd może wykorzystać zdalnie nieuwierzytelniony atakujący i sprowadza się do wysłania pojedynczego żądania HTTP GET. Do wykorzystania może dojść w ścieżce /modules/messaging/ na instancjach Splunk z włączonym modułem…

Czytaj dalej »

Spora awaria Microsoft 365

19 lipca 2024, 16:44 | W biegu | komentarze 3
Spora awaria Microsoft 365

18 i 19 lipca 2024 to daty, które zostaną zapamiętane (a może właściwie nadchodzący weekend) przez zespoły inżynierów, które będą jeszcze długo pracować nad przywróceniem działania wszystkich systemów dotkniętych przez problem z CrowdStrike Falcon. Ale to nie jedyna globalna awaria w tych dniach, a ponieważ problem z EDR wystąpił na…

Czytaj dalej »

Aktualizacja CrowdStrike powoduje poważne problemy w bankach, operatorach płatności, telkomach, mediach czy na lotniskach. Windows wyświetla niebieski ekran śmierci.

19 lipca 2024, 11:18 | Aktualności, W biegu | komentarzy 21
Aktualizacja CrowdStrike powoduje poważne problemy w bankach, operatorach płatności, telkomach, mediach czy na lotniskach. Windows wyświetla niebieski ekran śmierci.

W Internecie od rana pojawiają się raporty o olbrzymiej awarii spowodowanej ostatnią aktualizacją CrowdStrike. Użytkownicy reddita donoszą nawet o dziesiątkach tysięcy komputerów niezdatnych do pracy – maszyny wpadają w BSOD (Blue Screen Of Death) informując o problemie w sterowniku csagent.sys. Problemem dotknięte są firmy z praktycznie każdej branży – m.in….

Czytaj dalej »

Gosia rozmawiała na Messengerze z Kamilą. Znienacka rozmowę przechwycił scammer… i kontynuował konwersację. Finalnie Gosia została oszukana na kilkaset zł.

18 lipca 2024, 18:11 | W biegu | komentarzy 13
Gosia rozmawiała na Messengerze z Kamilą. Znienacka rozmowę przechwycił scammer… i kontynuował konwersację. Finalnie Gosia została oszukana na kilkaset zł.

Poniżej zrzut z telefonu ofiary. Zielony fragment to „prawdziwa” rozmowa. Czerwony fragment to już początek scamu: W miejscu oznaczonym „czerwoną ramką” włącza się scammer (dla Gosi wygląda to jakby pisała dalej Kamila) i serwuje ściemę, że niby nie może wypłacić pieniędzy i potrzebuje kodu blik… Gosia przekazuje kod i później…

Czytaj dalej »