W biegu

Niedawno na jednym z forów pojawiała się taka informacja (z dołączoną próbką danych): Z racji że Synevo działa również w Polsce, zapytaliśmy się o szczegóły polski oddział Synevo (oraz powiązanej z laboratoriami firmy Medicover). Otrzymaliśmy taką oto odpowiedź (wytłuszczenia – sekurak): Możemy potwierdzić, że w Ukrainie doszło do ataku hakerskiego,…

Program Bug Bounty łatwo rozpocząć, trudniej jest nim sprawnie zarządzać i nawiązywać dobre relacje z badaczami bezpieczeństwa. Stawką może być full disclosure na własnej platformie o czym przekonał się X (dawniej Twitter).  Użytkownik @rabbit_2333 umieścił 11.12.2023 r. post z PoC-em do reflected XSS-a.  PoC zawierał link do portalu analytics.twitter.com, który…

Flipper zero, odpowiedni moduł, wysyłanie komunikatów Bluetooth – ta kombinacja powodowała wyświetlanie się najrozmaitszych spam-komunikatów na telefonach osób, które znajdowały się w okolicy. Ostatnio jeden z czytelników pisał do nas w ten sposób: W pociągu jakiś facet miał jakiegoś rodzaju transmiter bluetooth i za jego pomocą pingował wszystkie urządzenia w…

Od dłuższego czasu współpracujemy w różnych obszarach z bankiem BGK, a tym razem to oni poszukują pentesterów. Jeśli tylko dobrze czujesz się w ofensywnym testowaniu aplikacji webowych i masz doświadczenie na podobnym stanowisku, czytaj dalej. W trakcie pracy będziesz atakował systemy bankowe, wspierał wdrożenia od strony bezpieczeństwa (więc również testy…

Zobaczcie na to zgłoszenie: Niedawno zalogowałem się na https://unifi.ui.com/consoles, aby uzyskać dostęp do moich konsol, tak jak to robię każdego dnia. Jednak tym razem otrzymałem 88 konsol z innego konta. Miałem pełny dostęp do tych konsol, w taki sam sposób jak do swoich własnych, Zostało to zatrzymane dopiero, gdy wymusiłem…

Nasza nowa książka – Wprowadzenie do bezpieczeństwa IT sprzedała się już w liczbie ~8500 egzemplarzy :-) Jeśli ktoś się chce dowiedzieć o niej nieco więcej, zapraszam tutaj – znajdziesz tam przykładowy rozdział do pobrania oraz spis treści. Tymczasem mamy aż 20 książek do rozdania (z opcjonalną dedykacją od Michała Sajdaka)….

Jak czytamy w oświadczeniu: Agencje stojące za publikacją rekomendują, aby wszystkie podmioty wykorzystujące oprogramowanie JetBrains, które nie wdrożyły na czas aktualizacji lub innych mechanizmów zapobiegających eksploitacji, założyły, że SVR [Rosyjska Służba Wywiadu Zagranicznego] mogła uzyskać dostęp do ich systemów informatycznych, oraz rozpoczęły proaktywny proces wykrywania zagrożenia w oparciu o zawarte…

Wg doniesień realizowane są już próby exploitacji, a załatane wersje biblioteki wskazane zostały tutaj. Ci którzy używają starszych wersji (Struts 2.0.0 – Struts 2.3.37 (EOL)) mają problem – bo dla nich nie wyszła łatka. Od strony technicznej podatne są ~formularze uploadu, można wyjść np. od zwykłego uploadu pliku txt, a…

WordPress to jeden z najpopularniejszych silników do zarządzania treścią. O ile krytyczne błędy w samym silniku zdarzają się coraz rzadziej, o tyle platforma ta umożliwia korzystanie z wielu pomocnych pluginów, co zwiększa powierzchnię ataku.  11 grudnia na Wordfence opublikowany został krytyczny błąd, zgłoszony w ramach programu bug bounty. Podatność zlokalizowana…

Dzisiaj pojawiły się liczne doniesienia o wykryciu podatności XSS (wstrzyknięcie JavaScriptu) w Counter Strike 2: Raczej jest/było to coś nieco słabszego – tj. HTML injection, co i tak umożliwia np. na poznanie adresu IP innych graczy. Idea jest/była prosta: ~ms

Dostępna jest już wersja 17.2 oraz 16.7.3 iOS. Mamy tutaj łatki kilku dość istotnych podatności: ImageIO. Impact: Processing an image may lead to arbitrary code executionKernel: Impact: An app may be able to break out of its sandboxWebKit: Impact: Processing web content may lead to arbitrary code execution ~ms

O temacie można poczytać nieco więcej w tym miejscu. W jednym z zestrzelonych rosyjskich dronów odnaleziono modem 4G oraz ukraińską kartę SIM: Ciężko dokładnie stwierdzić w jakim celu zostało wykorzystane takie oprzyrządowanie. Być może chodziło o „zniknięcie” w gąszczu innych kart SIM logujących się do sieci na terenie Ukrainy? (przy…

Sprawę relacjonuje właśnie lubelska Policja: 71-latek z Lublina (…) chciał zarobić na handlu kryptowalutami. W związku z tym zgodził się na ofertę firmy internetowej. Przedstawiciele namówili go do zainwestowania pieniędzy w nową kryptowalutę. Pokrzywdzony wykonał wszystkie polecenia przestępców i przekazał im około 3 mln złotych. Wszystko stracił. Wygląda to jak…

Opis podatności w mówi niemal wszysto: CVE-2023-45866: Unauthenticated Bluetooth keystroke-injection in Android, Linux, macOS and iOS. Po ludzku – ktoś może sparować z Twoim telefonem czy Linuksem zewnętrzną klawiaturę i wpisywać na niej dowolne ciągi znaków (tj. np. ściągnąć malware i go uruchomić). Cała operacja nie wymaga uwierzytelnienia ani potwierdzenia….

TLDR: zapisy tutaj. Rozpoczynamy nowy cykl szkoleń o bezpieczeństwie Active Directory. Część pierwsza już 1.12.2023 (online). Start 20:00, dostępne będzie też nagranie. Zapisy tutaj: https://sklep.securitum.pl/wprowadzenie-do-bezpieczenstwa-w-active-directory (model płać ile chcesz, możesz również 0 zł, chociaż zachęcamy do wsparcia naszych inicjatyw). Agenda: Co dalej w planach? Kto prowadzi? Robert Przybylski (Microsoft MVP –…