Przestępca był niebezpieczny. Od dłuższego czasu zdalnie niszczył życie wielu dziewczynom na całym świecie, do tego groził bezpośrednią przemocą. Używał przy tym bardzo skutecznych narzędzi, przez co był nieuchwytny. Do czasu.… Czytaj dalej
Mit iPhone’a jako urządzenia znacznie bezpieczniejszego i odporniejszego na ataki właśnie poważnie się zachwiał. Zespół Google Project Zero opisał serię ataków na użytkowników iPhone’ów, w których urządzenia były masowo infekowane złośliwym oprogramowaniem.… Czytaj dalej
Firma zajmująca się handlem exploitami ujawniła dzisiaj, że w przeglądarce Tor Browser istniał bardzo poważny błąd, umożliwiający ominięcie jej wysokich ustawień bezpieczeństwa i uruchomienie kodu JavaScript mimo obecności wtyczki NoScript.… Czytaj dalej
Kilka lat temu nad wyraz profesjonalna grupa włamywaczy wykradła z Microsoftu bazę danych, zawierającą informacje o niezałatanych błędach w systemach i aplikacjach. Informacja o tym zdarzeniu dopiero teraz wyciekła do mediów.… Czytaj dalej
Przez ostatnie dni śledziliśmy serię zaskakujących wydarzeń na scenie bezpieczeństwa, gdzie sensacja goniła sensację, nagłówki były przerażające, a skończyło się na jeden wielkiej zagadce i spokoju dla administratorów łatających systemy.… Czytaj dalej
Wczoraj wieczorem ujawniono istnienie błędu w TorBrowserze, który wykorzystywany jest w trwających atakach na użytkowników. Błąd istnieje także w aktualnym Firefoksie a Mozilla pracuje nad jego usunięciem.… Czytaj dalej
We wrześniu 2008 Microsoft natrafił na podejrzany błąd zgłoszony przez jednego użytkownika. Żmudne śledztwo wykazało, że był to ślad wykorzystania błędu typu 0day o niezwykłej wadze – zdalnego wykonania kodu na każdym Windowsie.… Czytaj dalej
Założona niedawno firma Zerodium opublikowała ofertę zakupu eksploita na najnowszą wersję systemu iOS. Za kod, który ominie wszystkie mechanizmy bezpieczeństwa Apple, firma zamierza zapłacić milion dolarów. Kod powinien spełniać następujące warunki:
Rzadko namawiamy Was do radykalnych kroków w dziedzinie bezpieczeństwa. Preferujemy rozwiązania umiarkowane, dopasowane do poziomu zagrożenia. Tym razem jednak nie ma już żartów – Flash to zło, które trzeba powstrzymać.… Czytaj dalej
Nie każdy badacz najwyraźniej jest zwolennikiem odpowiedzialnej publikacji informacji o podatnościach – firma Klikki Oy opublikowała błąd typu stored XSS w najnowszym WordPressie 4.2, na który nie ma jeszcze łaty.
Błąd znajduje się w sposobie zapisywania zbyt długich komentarzy do bazy danych.… Czytaj dalej
Odpowiednio skonstruowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu z uprawnieniami administratora w każdej usłudze Microsoftu działającej w oparciu o HTTP. Takiego błędu już dawno nie widzieliśmy.… Czytaj dalej
Dwa błędy 0day: w Internet Explorerze oraz we Flashu zostały użyte wspólnie w ataku na wybranych gości witryny Forbes.com. Przez 3 dni pod koniec listopada komputery osób odwiedzających jedną z najpopularniejszych witryn w USA mogły zostać zaatakowane. Atak nie był jednak masowy – infekcje dotykały wyłącznie komputerów łączących się z sieci firm sektora zbrojeniowego oraz finansowego.… Czytaj dalej
Badacze ostrzegają, że exploit kit Agnler atakuje obecnie trzy różne wersje Flash Playera w oparciu o luki:
Odkryty w 2010 Stuxnet, wirus atakujący instalacje wzbogacania uranu w Iranie, wykorzystywał aż 5 błędów typu 0day. Mało kto wie, że tylko 3 z nich były wcześniej niepublikowane, a jeden z nich został rok wcześniej opisany w polskim czasopiśmie.… Czytaj dalej
Kilka godzin temu Microsoft wypuścił aktualizację opisaną jako „krytyczna” (CVE-2014-6324). Rzadko zdarza się, by taką klasyfikację dostały błędy pozwalające na podniesienie uprawnień. Ten jednak jest dość wyjątkowy – pozwala dowolnemu użytkownikowi domenowemu na uzyskanie dowolnych uprawnień, w tym administratora domenowego, dzięki błędom w obsłudze Kerberosa na serwerze kontrolera domeny.… Czytaj dalej
Czy to już koniec czarnej serii błędów w popularnych rozwiązaniach IT? W dojrzałych platformach rzadko trafiają się już tak krytyczne błędy jak SQLi. Tym razem jednak błąd drzemał w trzewiach Drupala od roku 2011 i został odkryty przy okazji audytu kodu źródłowego platformy wykonywanego przez Stefana Essera (znanego głównie z jailbreaków iOSa).… Czytaj dalej
W zasadzie ten wpis powinien mieć osobna kategorię – SadSec zamiast FunSec. Dziennikarze czy też redaktorzy wielu polskich gazet i serwisów bezkrytycznie przepisali wiadomość PAP poświęconą atakowi, o którym informowaliśmy dzisiaj rano, zawierającą żenujący błąd w tłumaczeniu.
Cytatem dnia lub tygodnia trzeba określić poniższy fragment:
Gazeta.pl… Czytaj dalej
Grupa cyberprzestępców, pracująca najprawdopodobniej dla Rosji, używa w swoich atakach błędu typu 0day, na który podatne są wszystkie wspierane wersje Windows. Wśród ofiar ataków jest również polska firma.… Czytaj dalej
Kevin Mitnick najwyraźniej uznał, że opłaty za występy na konferencjach nie wystarczają i postanowił dodać do swojego portfolio bardzo intratną działkę – handel exploitami 0day. Ale nie zwykłymi exploitami 0day – jego produkt to Absolute Zero-Day™. Według oferty „absolutny 0day” będzie oferowany na wyłączność jednemu kupującemu.… Czytaj dalej
Wczoraj na GitHubie opublikowany został działający exploit na jądro Linux w wersji 3.4 i nowszej oraz wszystkie jądra, które przeniosły wstecz wadliwy kod. CVE-2014-0038 dotyka systemów z podatnym jądrem i włączoną opcją CONFIG_X86_X32.
Jak sprawdzić, czy jądro zostało skompilowane z tą opcją?… Czytaj dalej
![[Aktualizacja] Autorzy Zimbry nie łatają swojego demo na własnym serwerze](https://zaufanatrzeciastrona.pl/wp-content/themes/basicodark/functions/timthumb.php?src=https://zaufanatrzeciastrona.pl/wp-content/uploads/2014/01/zimbra.jpg&h=140&w=140&s=1)
Zimbra to dość popularny darmowy interfejs www do skrzynek poczty elektronicznej, używany przez wiele uczelni czy nawet instytucje państwowe. Niestety jest też podatny na błąd umożliwiający zdalne odczytanie hasła roota kilku usług serwera.… Czytaj dalej
Gdy sprzedajesz popularne oprogramowanie do prowadzenia forum, to ostatnim, czego potrzebujesz, jest włamanie do własnego flagowego serwisu. Spotkało to właśnie autorów vBulletin, jednego z najpopularniejszych skryptów tego typu.… Czytaj dalej
Kilka godzin temu pojawiła się informacja o konieczności załatania usługi OpenSSH z uwagi na błąd umożliwiający zdalne wykonanie kodu na serwerze. Na szczęście nie taki demon straszny, jak go malują, ponieważ błąd wykorzystać można dopiero po uwierzytelnieniu użytkownika. Po co to komu?… Czytaj dalej
Autor serwisu localhost.re opublikował właśnie kolejny błąd typu 0day w programie WHMCS, służącym do kompleksowego zarządzania serwerami. Ciekawe, ile serwerowni tym razem padnie ofiarą włamywaczy.… Czytaj dalej
Microsoft niedawno dołączył do programów typu „bug bounty”, jednak podszedł do nich trochę inaczej niż większość konkurencji. Co prawda płaci za odkryte błędy, ale tylko w ramach konkretnych akcji (obecnie tylko w Internet Explorerze 11 Preview). Główny nacisk programu położono na metody omijania podstawowych mechanizmów zabezpieczeń w najnowszej wersji Windows oraz tworzenie nowych mechanizmów zabezpieczeń.… Czytaj dalej
© 2023 Zaufana Trzecia Strona
