W biegu

W samochodach Mazdy i Nissana lepiej nie słuchajcie podcastów z %In w nazwie -> crash

17 kwietnia 2019, 18:34 | W biegu | komentarze 2

Podłączasz telefon do samochodu (Bluetoothem) i chcesz słuchać ulubionych podcastów. Wszystko jest OK do momentu gdy w tytule nie ma znaku %. Nie każdy też procent rebootuje system audio: zidentyfikowani winowajcy to np. %n %N %In (a pierwszym PoC-em był normalny podcast: 99% Invisible). Najprawdopodobniej jest to podatność typu format…

Czytaj dalej »

OAuth2, JWT, problemy z autoryzacją, uprawnieniami, klucze API, JWT, … z sekurakiem zaoszczędzisz miesiące pracy

17 kwietnia 2019, 11:58 | W biegu | komentarze 2

Te wszystkie rzeczy na naszym zaktualizowanym szkoleniu z bezpieczeństwa API REST (prezentacja ma już czternaste rozszerzenie; treść cały czas jest uzupełniana o aktualne problemy!). Kurs przeznaczony jest przede wszystkim dla programistów / testerów – ale z wiedzy garściami korzystają też pentesterzy. Nie będziemy Was zalewać pozytywnymi opiniami o szkoleniu –…

Czytaj dalej »

Jak wyciekać dane to w setkach milionów. Zupełnie niezabezpieczone API dostępne przez kilka lat…

17 kwietnia 2019, 10:24 | W biegu | 1 komentarz

Lepiej uczyć się na cudzych błędach… tym razem Hacker News donosi o wycieku danych przeszło 100 milionów użytkowników z największej (natywnie) indyjskiej wyszukiwarki Justdial: Dlaczego piszemy o takim dość egzotycznym przypadku? Otóż jest tutaj jedna lekcja do zapamiętania – dostępny od 2015 roku endpoint API był starym, obecnie nieużywanym mechanizmem. Jednak…

Czytaj dalej »

Smartwatch dla dzieci – każdy mógł je lokalizować, zmieniać lokalizację, słuchać z dowolnego zakątka na świecie

16 kwietnia 2019, 14:59 | W biegu | komentarze 4

Wygląda to na klasyczny przykład wdrażania ciekawego produktu, z nieciekawym podejściem do bezpieczeństwa (czyli żadnym). Podatny sprzęt to australijski Tic Toc Track (w cenie $150 dolarów australijskich). W skrócie, urządzenie łączy się z w zasadzie niezabezpieczonym API. Mając dowolne konto, mieliśmy jednocześnie dostęp do każdej metody API. Np. takiej pobierającej wszystkie…

Czytaj dalej »

Google Sensorvault – wewnętrzna baza lokalizacji telefonów częściowo dostępna dla służb

15 kwietnia 2019, 15:39 | W biegu | komentarzy 7

Dla nikogo chyba dziwnym nie jest fakt, że Google zbiera informacje o lokalizacji telefonów (np. poprzez Google Maps). Może nieco bardziej zastanawiające jest to, że gigant przechowuje te dane w bazie Sensorvault, która częściowo może być (i jest) udostępniana różnym służbom. New York Times pisze o tzw. „geofence warrants”. Czyli np….

Czytaj dalej »

Tomcat – zdalne wykonanie kodu. Ale nie panikuj, pewnie nie jesteś podatny

15 kwietnia 2019, 15:20 | W biegu | 0 komentarzy

Właśnie wydano nową wersję Tomcata (w kilku liniach). Oficjalny opis potrafi postawić włosy na głowie: Important: Remote Code Execution on Windows CVE-2019-0232 Jeśli poczytamy dalej, dowiemy się że podatny jest moduł CGI (który jest domyślnie wyłączony). Konfiguracji Tomcat+CGI+Windows raczej nie będzie zbyt wiele, stąd ograniczona liczba ofiar… Jeśli z kolei…

Czytaj dalej »

Francja wysłała via @europol.europa.eu żądanie natychmiastowego usunięcia m.in. 550 „linków z treścią terrorystyczną”. Okazało się, że to całkiem normalne treści – w tym materiały tworzone przez rząd USA

12 kwietnia 2019, 13:08 | W biegu | komentarzy 11

Francuski oddział jednostki zajmującej się zwalczaniem terroryzmu w Internecie wysłał do serwisu archive.org nakaz zablokowania sporej liczby „contentu terrorystycznego”.  Mail wysłany był z domeny @europol.europa.eu, a czas na usunięcie linków dość liberalny (24h). Wg właśnie procesowanego prawa EU ma to być 1h i maksymalna kara aż 4% globalnego obrotu firmy. Problem…

Czytaj dalej »

x33fcon – zapraszamy na wydarzenie w Trójmieście

12 kwietnia 2019, 10:33 | W biegu | 1 komentarz

Doczekaliśmy się kolejnej, już trzeciej, edycji konferencji x33fcon. I jak co roku w Gdyni na początku maja (6-7) zjadą się zespoły Red i Blue z całego świata. x33fcon to impreza międzynarodowa, w całości w języku angielskim, a my kolejny raz jesteśmy ich partnerami. Dla chętnych mamy kod zniżkowy (sekurak.Bohfu6nu), uprawniający…

Czytaj dalej »

Potężny wyciek danych osobowych z 67% hoteli na świecie, czy nic nie znacząca drobnostka?

11 kwietnia 2019, 19:25 | W biegu | 0 komentarzy

Świat obiegła mrożąca krew w żyłach wiadomość: w próbce 1500 hoteli (z 54 krajów), około 67% „wycieka” m.in. dane osobowe do zewnętrznych domen: Symantec found that 67% of hotel websites are leaking guests’ booking and personal details Tekst mimo, że napisany momentami średnio (niezaszyfrowane linki („Unencrypted links”) to np. linki…

Czytaj dalej »

Wikileaks: Julian Assange aresztowany w Londynie

11 kwietnia 2019, 16:00 | W biegu | 0 komentarzy

Na razie niewiele wiemy, poza tym że: 1) ambasada anulowała azyl 2) Julian został aresztowany w Londynie – jako podstawę wymieniono prośbę o ekstradycję do USA: Julian Assange has been further arrested in relation to an extradition warrant on behalf of the United States authorities. He remains in custody at…

Czytaj dalej »

Crackowanie 8-literowego hasła do WPA3 w cenie $125 + kilka nowych ataków na WPA3

10 kwietnia 2019, 21:50 | W biegu | 1 komentarz

WPA3 miało być super bezpieczne, a tymczasem przeżywa choroby wieku dziecięcego. Wśród kilku różnych, nowych ataków mamy dość sprawną metodę łamania hasła dostępowego: The resulting attacks are efficient and low cost. For example, to brute-force all 8-character lowercase passwords, we require less than 40 handshakes and 125$ worth of Amazon…

Czytaj dalej »

Jak wdrożyć bezpieczeństwo w małej / średniej firmie? Kompleksowy dokument

09 kwietnia 2019, 16:33 | W biegu | 1 komentarz

Niedawno wydano wersję 7.1 CIS Controls. Sama nazwa niewiele mówi, ale jest to zbiór zaleceń / dobrych praktyk dotyczących bezpieczeństwa IT w firmach. Całość to raczej nie temat na jeden wieczór, ale z drugiej strony łatwo przytłoczyć małą, 10-osobową firmę natłokiem informacji czy elementami koniecznymi do zaimplementowania. CIS proponuje zatem…

Czytaj dalej »

1 dniowe szkolenie z SDR (Software Defined Radio) od sekuraka – kto chętny? [agenda]

09 kwietnia 2019, 13:48 | W biegu | komentarzy 5

Temat uruchamiamy hobbystycznie (choć w pracy pentestera czasem może przydać się komunikowanie radiowe z tzw. dziwnymi urządzeniami – czy np. otwieranie drzwi „zabezpieczonych” tragicznie niebezpieczną komunikacją radiową). TLDR: Wstępną, niezobowiązującą chęć uczestnictwa zgłoś na: szkolenia@securitum.pl Miejsce / czas szkolenia: maj, Kraków, 1 dzień. Forma szkolenia: wprowadzenie teoretyczne + warsztaty. Koszt:…

Czytaj dalej »