W biegu

send.firefox.com – bezpłatna usługa pozwalająca na łatwe dzielenie plików (szyfrowanie end2end, prywatność)

12 marca 2019, 19:09 | W biegu | komentarzy 9

Po okresie testów – usługa jest dostępna z 2.5GB limitem. Uploadujesz plik (jest on wysyłany do clouda firefoksowego w formie zaszyfrowanej), w wyniku otrzymujesz zwykły URL. URL umożliwia pobranie pliku (istnieje też możliwość zabezpieczenia pliku extra hasłem). Proste, wygodne i zbudowane z myślą o bezpieczeństwie i prywatności użytkowników: With Send,…

Czytaj dalej »

JWT (biblioteka Auth0): nie mogę przyjąć twojego sfałszowanego podpisu. Ale jestem uprzejmy – podam ci ten prawidłowy… Podatność miesiąca.

12 marca 2019, 11:46 | W biegu | komentarze 4

Jeśli ktoś zna tematykę JWT (JSON Web Token), to wie że aby uniemożliwić postronnym osobom modyfikacje zawartości tokena (payload), używany jest podpis. Bez weryfikacji podpisu każdy mógłby wygenerować dowolny token i serwer go zaakceptuje. Czyli np. dostajemy bezproblemowo dostęp do funkcji administracyjnych czy innych ciekawych danych. Zobaczmy więc na podatność CVE-2019-7644:…

Czytaj dalej »

Wyciekła baza chińskich kobiet. Dziesiątki parametrów. W tym tajemniczy bool: BreedReady

12 marca 2019, 11:17 | W biegu | komentarzy 5

Baza Mongo z danymi niemal 2 milionów osób. Trudno powiedzieć do czego system był wykorzystywany – na pewno ma jednak podtekst matrymonialny. Składająca się informacji o samych kobietach struktura na następujący skład: single [89%], rozwiedzione [10%], wdowy [1%] Najmłodsza ma 15 lat, najstarsza 95. Mamy tutaj takie dane jak: wiek,…

Czytaj dalej »

Omijanie reguł zapory w routerach Mikrotik

11 marca 2019, 17:14 | W biegu | komentarzy 8

Firma Tenable informuje o odkryciu podatności w firmware RouterOS łotewskiego producenta Mikrotik. Luka CVE-2019-3924 umożliwia wysyłanie pakietów TCP oraz UDP przez port służący do zarządzenia Winbox. Problem związany jest z przekierowywaniem połączeń. Sam port jednak musi być “otwarty”, co wymaga zmiany konfiguracji właśnie poprzez jego opcję “Firewall router”, gdzie decydujemy…

Czytaj dalej »

for ( ; ; ) { window.alert(„dupa”) } – 13-letnia Japonka oskarżona o przestępstwo za publikację takiego „złośliwego exploita”

10 marca 2019, 13:08 | W biegu | komentarze 4

W oryginalnej wersji wyglądało to tak: for ( ; ; ) { window.alert(„ ∧_∧ ババババ\n( ・ω・)=つ≡つ\n(っ ≡つ=つ\n`/  )\n(ノΠU\n何回閉じても無駄ですよ~ww\nm9(^Д^)プギャー!!\n byソル (@0_Infinity_)”) } Policja przesłuchała młodą dziewczynę – w tle dość poważne zarzuty, gdzie pojawiają się takie frazy jak „unauthorized malicious program” czy „criminal act”. Nie skończyło się tylko na problemach 13-latki – policja postanowiła też…

Czytaj dalej »

Porozmawiajmy o bezpieczeństwie – otwarte forum sekuraka

09 marca 2019, 11:20 | W biegu | komentarzy 35

Może takie miejsce się przyda? Planujemy tam publikować tematy, które normalnie nie pojawią się na sekuraku, czasem AMA,  prosimy też o podrzucanie Waszych ciekawych tematów do dyskusji. To ostatnie jest głównym celem istnienia grupy – mamy całkiem sporo doświadczonych w interesującym nas temacie czytelników. A co tysiące głów to nie…

Czytaj dalej »

Wewnętrzna sieć Citrix-a zhackowania. O włamaniu dowiedzieli się od FBI…

08 marca 2019, 21:30 | W biegu | 1 komentarz

Jeśli ktoś porusza się w świecie korporacyjnym, zapewne słyszał o firmie Citrix. Donosi ona o włamaniu do swojej wewnętrznej sieci – o czym zostali poinformował przez FBI. Co dokładnie się stało? Pełnych informacji jeszcze nie ma, choć jest mowa o kradzieży wewnętrznych dokumentów. Niektórzy potwierdzają ilość na 6-10 TB poufnych informacji,…

Czytaj dalej »

Cisco RV110W, RV130W, RV215W – zdalne przejęcie urządzeń (bez uwierzytelnienia). Takie modele są też dostępne (z Internetu) w Polsce

07 marca 2019, 14:51 | W biegu | 0 komentarzy

Cisco załatało krytyczny bug (9.8/10 w skali CVSS) w kilku urządzeniach. Jest to seria urządzeń dla małych biur (small office), która ma jednak oferować wysokie bezpieczeństwo: Highly Secure Connectivity for Small Offices Jeśli posiadacie takie urządzenie, zaaplikujcie łatę wydana przez producenta. Podatność istnieje w panelu webowym do zarządzania urządzeniem i…

Czytaj dalej »

Łatajcie szybko Chroma. Jest 1-day, który jest aktywnie wykorzystywany!

06 marca 2019, 23:37 | W biegu | komentarzy 5

Szczegóły tutaj: Google is aware of reports that an exploit for CVE-2019-5786 exists in the wild. Można przejąć konto użytkownika, który korzysta z niezaktualizowanej przeglądarki (prawdopodobnie wystarczy wejść na spreparowaną stronę – w systemie operacyjnym wykona się kod z naszymi uprawnieniami). Podatne są wersje Chrome na Windows, Linux, OS X…

Czytaj dalej »