W biegu

Tytułowe pieniądze to nagroda w bug bounty, przyznana za znalezienie klucza API w jednym publicznych repozytoriów kodu Starbucksa: vinothkumar discovered a publicly available Github repository containing a Starbucks JumpCloud API Key which provided access to internal system information. Co można było uzyskać posiadając klucz do JumpCloud-a? Jeśli ktoś nie zna…

W stosowny oświadczeniu Microsoft opisuje całą sprawę w niezbyt jasny sposób. „Wewnętrzna baza” (czy była dostępna z zewnątrz?), „większość rekordów nie posiadało danych osobowych” (ale dane osobowe stanowiły 1 czy raczej 49% całej bazy?), czy aby pobrać dane wymagane było jakieś uwierzytelnienie? Więcej precyzyjnych informacji można jednak odnaleźć w tym miejscu….

Zapraszamy do udziału w kolejnej edycji SEMAFORA – konferencji dotyczącej bezpieczeństwa i audytu. Temat przewodni nadchodzącej edycji to „Nowe technologie – nowe zagrożenia„.  W programie znajdą się tematy oparte wokół takich zagadnień jak m.in.: przemysł 4.0, telemedycyna, bezpieczeństwo sieci i użytkowników w technologii 5G, robotyzacja, AI i systemy autonomiczne, nowe…

Clearview AI to marzenie każdej ze służb. Wrzucasz zdjęcie dowolnej osoby, a dostajesz w wyniku inne zdjęcia badanego osobnika, które gdziekolwiek pokazały się w Internecie (wraz z informacją gdzie): Clearview AI, devised a groundbreaking facial recognition app. You take a picture of a person, upload it and get to see…

Można się trochę kłócić czy dane wyciekły czy zostały udostępnione świadomie; w każdym razie zdnet donosi: A hacker has published this week a massive list of Telnet credentials for more than 515,000 servers, home routers, and IoT (Internet of Things) „smart” devices. Wg relacji dane te są / były wykorzystywane…

O załatanym parę dni temu problemie pisaliśmy tutaj. Dla uniknięcia wątpliwości – podatność dotyczy tylko Windowsów 10 (oraz 2016/2019 server). Wcześniejsze wersje (np. Windows 7) nie są podatne, bo nie posiadają obsługi pewnych parametrów, które okazały się problematyczne w przypadku obsługi ECDSA. Bardziej techniczne wyjaśnienie całego problemu możecie znaleźć tutaj czy…

To kolejny krok mający gdzieś wypośrodkować: bezpieczeństwo, wygodę i koszty. Google od jakiegoś czasu umożliwia logowanie swoim pracownikom z wykorzystaniem kluczy sprzętowych. Co więcej, zmniejszyło to liczbę skutecznych ataków phishingowych skutkujących przejęciem konta do 0 (zera!). Tego typu logowanie dostępne jest też dla klientów zewnętrznych, jednak część osób narzeka na…

Dość szczegółowy opis dostępny jest tutaj. Różne podatności występują w obu „wirtualnych” urządzeniach udostępnianych przez producenta (zarówno dla Windows jak i w przypadku Linuksa). Cisco w opisie łaty (jest ich kilka) pisze np. tak: Multiple vulnerabilities in the authentication mechanisms of Cisco Data Center Network Manager (DCNM) could allow an unauthenticated, remote…

Co tym razem da się zrobić? Wykonać dowolny kod na atakowanym urządzeniu (najczęściej, jeśli nie zawsze, z pełnymi uprawnieniami root). Szczegóły techniczne dostępne są tutaj, a w pewnym skrócie cały atak polega na dwóch etapach: 1. Atak z wykorzystaniem podatności klasy buffer overflow na usługę Spectrum Analyzer dostępną lokalnie (w…

Poza krytyczną podatnością w core samego Windows, Microsoft załatał również ostatnio kilka krytycznych podatności związanych z RDP. Tym razem podatny jest klient RDP – jeśli ktoś łączy się do odpowiednio przygotowanego serwera, serwer ten może wykonać z naszymi uprawnieniami dowolny kod (na naszym komputerze): CVE-2020-0611 is a remote code execution vulnerability which…

Ciekawostka. Takie „zabawki” reklamowane są przez firmę współpracującą z amerykańskimi służbami. Mamy więc tytułowy nagrobek (strona 99) z ruchomą kamerą, baterią wystarczającą na dwa dni pracy i możliwością słuchania głosu, mamy specjalny odkurzacz z oczywiście zdalnym połączeniem: Część jest bardziej klasyczna, np. kamień z wbudowaną kamerą: Czy mniej rzucające się w…

Trzy częściowy techniczny opis podatności można znaleźć tutaj. W skrócie, korzystając z odpowiednio spreparowanej wiadomości iMessage (taki applowy SMS) można było poomijać różne mechanizmy ochronne iPhone-ów, w tym wyskoczyć z sandboksa, finalnie otrzymując pełen dostęp root. Co dalej? Dostęp do SMS-ów, mikrofonu, kodów 2FA, aparatu, danych – w skrócie tak…

Trochę więcej technicznych informacji dostępnych jest tutaj. W skrócie, można pewnymi prostymi żądaniami HTTP (bez uwierzytelnienia) wykonać kod na Citrix Gateway lub ADC. Podatność jest też aktywnie wykorzystywana: 🚨 In my Citrix ADC honeypot, CVE-2019-19781 is being probed with attackers reading sensitive credential config files remotely using ../ directory traversal (a…

Kto chce miło spędzić całe popołudnie – zapraszam tutaj („SHA-1 is a Shambles. First Chosen-Prefix Collision on SHA-1 and Application to the PGP Web of Trust”). Kto chce mieć esencję z cytowanego badania, niech czyta dalej ;) O kolizjach w SHA-1 pisaliśmy już w 2017 roku (dość mocne wyniki zaprezentował Google, choć wymagało…

Od teraz, w wielu przypadkach mamy o jedno klikanie mniej. Ilu z nas widziało komunikat jak poniżej? Na pewno wielu: Od najnowszego Firefoksa (72) komunikaty te nie będą się wyświetlać, choć jeśli jest ktoś uparty może kliknąć w widoczną poniżej ikonkę dymku i dopiero wtedy zaakceptować powiadomienia: Podobny sposób działania…