Steam Windows Client Local Privilege Escalation 0day Я не первый год занимаюсь поиском уязвимостей, и, казалось бы, многое видел, но есть такая часть работы, к которой не удается привыкнуть и которую не могу понять. Это абсолютное нежелание вендоров принимать информацию об уязвимостях и проблемах. Я понимаю, что очень неприятн...
Nginx опубликовал обновление безопасности против DoS-уязвимостей в HTTP/2 Во вторник Nginx опубликовал пресс-релиз о важнейшем обновлении, в которое вошли патчи безопасности, закрывающие Dos-уязвимости в протоколе HTTP/2. Напомним, что эти уязвимости Netflix обнаружил еще в мае, с деталями можно ознакомиться на GitHub-странице компании. Читать да...
В Штатах ГОСТы тоже так себе. Фатальная уязвимость в YubiKey FIPS, которую можно было избежать Привет, %username%! 13 июня 2019 года компания Yubico, производитель устройств для двухфакторной аутентификации, выпустила уведомление о безопасности в котором говорится о критической уязвимости некоторых устройств Yubikey FIPS. Давайте посмотрим что это за уязвимость и к...
Security Week 10: уязвимости в драйверах NVIDIA Вот что мы еще ни разу не обсуждали в формате дайджеста, так это уязвимости в драйверах для видеокарт. Компания NVIDIA опубликовала 28 февраля информацию о восьми уязвимостях: практически все позволяют повышать привилегии или выполнять произвольный код. Одна брешь относится ...
Об одной уязвимости, которой нет В конце марта 2019 года американская компания Trustwave, занимающаяся кибербезопасностью и сервисами по защите от угроз, опубликовала сообщение об уязвимости в СУБД PostgreSQL, которая присутствует во всех версиях, начиная с версии PostgreSQL 9.3 по версию 11.2. Эта уязвимо...
Google выявила уязвимость в безопасности iOS, которая позволяла заражённым сайтам массово взламывать iPhone Исследователи в области безопасности, работающие в команде Google Project Zero, заявляют, что они обнаружили несколько взломанных веб-сайтов, которые использовали ранее неизвестные уязвимости безопасности, чтобы без разбора атаковать любой iPhone, посещающий сайт. Эта атака ...
43% приложений для Android и 35% для iOS содержат уязвимости Компания Positive Technologies провела исследование приложений Android, представленных в Google Play, и приложений iOS из Apple Store, чтобы выяснить, какую угрозу они представляют для безопасности пользователей. В результатах исследований говорится о том, что 43% прило...
Как изучение критической уязвимости DHCP в Windows 10 привело к обнаружению еще двух ошибок безопасности Изображение: Unsplash Как было описано в предыдущей статье про CVE-2019-0726, иногда поиск деталей об уже известной уязвимости приводит к обнаружению новой уязвимости. А в некоторых случаях таких новых уязвимостей оказывается больше одной. Читать дальше →
[recovery mode] Первая волна пострадавших от уязвимости Exim. Скрипт для лечения Уязвимость с RCE в Exim уже довольно сильно нашумела, и довольно сильно потрепала нервы системным администраторам по всему миру. На волне массовых заражений (очень многие наши клиенты используют Exim в качестве почтового сервера) быстренько накидал скрипт для автоматизации...
Эксплуатация cookie-based XSS | $2300 Bug Bounty story ⠀Уже на протяжении довольно длительного времени я охочусь за уязвимостями на платформе HackerOne, выделяю некоторое количество времени вне основной работы, чтобы проверить любимые и новые программы. Бесчисленное количество раз приходилось натыкаться на cookie-based XSS уяз...
Как мы закрываем уязвимости в ОС Astra Linux Special Edition Операционных систем без уязвимостей не бывает — вопрос лишь в том, как эффективно разработчики их выявляют и закрывают. Наша ОС Astra Linux Special Edition здесь не исключение: мы постоянно проверяем и тестируем код на ошибки, нарушения логики, прочие баги и оперативно их ус...
Способ обойти экран блокировки Windows на сеансах RDP На днях исследователь безопасности раскрыл детали новой уязвимости в протоколе удаленного рабочего стола Microsoft Windows (RDP). Уязвимость CVE-2019-9510 позволяет злоумышленникам на стороне клиента обойти экран блокировки в сеансах удаленного рабочего стола. Читать даль...
Уязвимость в Instagram позволяет делиться приватными постами пользователей Издание BuzzFeed сообщило об уязвимости безопасности в Instagram, которая позволяет публично делиться приватными постами пользователей. В своём материале BuzzFeed показал, как с помощью нескольких кликов в любом браузере можно узнать URL закрытых записей и историй, которые х...
Security Week 34: неординарные уязвимости в Windows 13 августа компания Microsoft выпустила очередной апдейт безопасности (обзорная новость) для операционных систем Windows и офисных программ, и на этот раз патч оказался по-настоящему гигантским: кому-то явно не удалось сходить этим летом в отпуск. Всего было закрыто 93 уязви...
Proof-of-Stake: взгляд изнутри В интернете ходит много обывательских статей и рассуждений, но достаточно мало информации по существу. В определённый момент автору стало понятно, что механика и множество связанных нюансов безопасности до конца не понятны даже многим разработчикам криптовалют. Это вскрылос...
Google готова платить до $1,5 млн за особые уязвимости на Android Когда в 2015 году Google впервые запустила программу поиска уязвимостей в Android, самое большое вознаграждение, которое можно было получить, составляло $38 тыс. Вместе с ростом популярности Android росла и сумма награды, поэтому всё больше исследователей в области безопасно...
[Перевод] Обзор инструментов для безопасности GitHub репозиториев Введение Когда вы начинаете создавать репозиторий на GitHub, одной из первых вещей, о которых вы должны подумать, является безопасность. В случае, если вы создаете свой собственный репозиторий GitHub или часто контрибьютите в репозиторий, вам необходимо знать, содержит ли...
Программа конференции ZeroNights 2019 В этом году ZeroNights пройдет 12 и 13 ноября в Санкт-Петербурге в клубе А2 (пр. Медиков, 3). На конференции обсудят безопасность различных устройств, проблемы криптографии, уязвимости в популярном программном обеспечении для работы с DICOM, взлом IoT, атаки на механизмы J...
Apple отключила одну из функций Apple Watch. Она позволяла подслушивать пользователей Случаев, когда Apple отключала какую-то функцию в своих устройствах уже после ее релиза, можно пересчитать по пальцам одной руки. Из наиболее известных на ум приходят два примера. Так, в 2013 году компания убрала из финальной бета-сборки iOS 7 поддержку iCloud Keychain, пот...
[Перевод] Google раскрыла zero-day уязвимость в Windows 7, которая используется вместе с эксплойтом Chrome Project Zero от Google хорошо известен тем, что обнаруживает уязвимости и эксплойты в операционной системе Microsoft, а также своими противоречивыми политиками раскрытия информации. На этой неделе исследовательский отдел компании в области кибербезопасности вновь обнаружил э...
Apple ответила Google, что безопасности iOS нет равных Apple ответила на статью Google Project Zero, в которой рассказывалось о серьёзной уязвимости в iOS 10–12. Краткая предыстория: Сотрудники Google нашли дыру в безопасности iOS, которая существовала на протяжении двух лет. С её помощью злоумышленники могли взлома...
Web Security Testing Starter Kit Всем привет! Меня зовут Андрей. Уже 10 лет я занимаюсь поиском уязвимостей в различных веб-сервисах. и готов поделиться своими знаниями с вами. В мае прошлого года я выступал с докладом про это на конференции Heisenbug, а теперь готов поделиться своими знаниями еще и здесь,...
В процессорах Intel Xeon выявлена уязвимость NetCAT, позволяющая красть данные В процессорах Intel есть фирменный механизм повышения производительности, который называется Direct Data I/O или DDIO и позволяет сетевым адаптерам напрямую обращаться к процессорной кэш-памяти третьего уровня, полностью обходя оперативную память, чтобы ускорить работу ...
В ОС Windows обнаружена критическая RCE-уязвимость уровня EternalBlue Стало известно о критичной RCE-уязвимости в Службах Удаленных рабочих столов RDS (на более ранних ОС – Служба Терминалов TS ) в ОС Windows (CVE-2019-0708), которая при успешной эксплуатации позволяет злоумышленнику, не прошедшему проверку подлинности, осуществить удаленное в...
Специалисты Netflix нашли несколько DoS-уязвимостей в Linux и FreeBSD DoS-уязвимости обнаружены в TCP-стеках Linux и FreeBSD. эксплуатация багов может спровоцировать kernel panic и вывести уязвимый сервер из строя.
Max Patrol 8. Обзор инструмента для управления уязвимостями Рано или поздно, в любой компании, которая задумывается об информационной безопасности, возникает вопрос: «Как своевременно обнаружить уязвимость в защищаемой системе, тем самым предотвратив возможные атаки с её использованием?» Согласитесь, отслеживать в ручном режиме, ка...
Google повторно выпустила одно и то же обновление Android Несмотря на то что большинство производителей, как правило, до последнего тянут с обновлениями своих смартфонов, Google – надо отдать ей должное – выпускает апдейты регулярно и в срок. Июльский патч безопасности, как и полагается обновлениям такого типа, стал доступен для з...
Как я стал уязвимым: сканируем ИТ-инфраструктуру с помощью Qualys Всем привет! Сегодня хочу рассказать про облачное решение по поиску и анализу уязвимостей Qualys Vulnerability Management, на котором построен один из наших сервисов. Ниже покажу, как организовано само сканирование и какую информацию по уязвимостям можно узнать по итогам....
Security Week 26: спам в сервисах Google Чаще всего в наших еженедельных дайджестах мы обсуждаем какие-то новые факты или события, связанные с информационной безопасностью. В некоторых случаях такие открытия представляют чисто теоретический интерес: например, уязвимости типа Spectre в современных процессорах вряд л...
И ещё один Steam Windows Client Local Privilege Escalation 0day В предыдущей серии Не так давно я опубликовал описание уязвимости для Steam. Я получил много отзывов от читателей. Valve не проронили ни слова, а HackerOne прислал огромное слезливое письмо и, в основном, молчал. В итоге меня забанили Valve на H1 — я не могу участвовать в и...
Новый стандарт защиты Wi-Fi взломали ещё до выхода первых роутеров В 2017 году Мэти Ванхоф (Mathy Vanhoef) и Эйал Ронен (Eyal Ronen) раскрыли ряд критических уязвимостей протокола WPA2, который используется практически во всех современных защищенных сетях Wi-Fi. Уязвимости получили общее название KRACK (Key Reinstallation Attacks).
Intel пыталась купить молчание исследователей, обнаруживших новые уязвимости в ее процессорах Одна из самых резонансных новостей прошлых суток — новый класс уязвимостей процессоров Intel с собирательным названием MDS (microarchitectural data sampling). Примечательно, что и в этот раз владельцы устройств на конкурирующих процессорах AMD, оказались вне зоны риска; прои...
Павел Дуров объяснил, почему категорически нельзя пользоваться WhatsApp Павел Дуров считает, что пользоваться WhatsApp опасно Думаю, вы не раз замечали, что во всякой телевизионной рекламе, какой бы продукт она ни продвигала, используются абстрактные сравнения и никогда не называются конкурирующие бренды. Вместо конкретных названий рекламщики ст...
Убийца iOS: джейлбрейк с помощью checkra1n в вопросах и ответах Итальянский исследователь Лука Тодеско, известный тем, что протяжении последних нескольких лет ищет уязвимости в iOS, выпустил checkra1n, новую утилиту для джейлбрейка, основанную на эксплоите, использующем уязвимость в загрузчике устройств на процессорах A5-A11. Опасность...
Как внедрить статический анализатор в разработку, чтобы всем было хорошо? В процессе работы нам часто задают вопрос: как внедрить статический анализатор в разработку, чтобы всё всем было хорошо. О том, почему для безопасной разработки необходим статический анализатор, мы уже рассказывали. Эта статья будет полезна, если вы выбираете статический ана...
Oracle выпустила экстренные патчи для уязвимости в WebLogic, которую уже атакуют хакеры В минувшие выходные специалисты зафиксировали новую волну атака на серверы Oracle WebLogic. Злоумышленники использовали свежую уязвимость нулевого дня.
В сети появилось видео со взломанным iPhone на последней версии iOS Ранее разработчик, известный под ником Axi0mX, раскрыл уязвимость в iOS, которая позволяет взломать любой процессор Apple, начиная с серии A до чипа A11 Bionic. А уже сегодня хакер выложил видео, в котором можно увидеть взломанный iPhone X.
Злая картинка. Разбираем уязвимость в GhostScript, чтобы эксплуатировать Pillow и ImageMagick Для подписчиковСпециалисты из Google Project Zero нашли несколько опасных уязвимостей в Ghostscript — популярной реализации PostScript. Правильно сформированный файл может позволить исполнять произвольный код в целевой системе. Уязвимости подвержена и библиотека Pillow, кото...
В Instagram обнаружена уязвимость, позволяющая взламывать чужие аккаунты Исследователь в области безопасности Лаксман Мутия (Laxman Muthiyah) обнаружил уязвимость в сервисе Instagram, позволяющую перехватить контроль над чужой учетной записью. Мутия выяснил, что один и тот же идентификатор устройства (уникальный идентификатор, применяемый сервера...
Безопасность DHCP в Windows 10: разбираем критическую уязвимость CVE-2019-0726 Изображение: Pexels С выходом январских обновлений для Windows новость о критически опасной уязвимости CVE-2019-0547 в DHCP-клиентах всколыхнула общественность. Подогревали интерес высокий рейтинг CVSS и тот факт, что Microsoft не сразу опубликовал оценку эксплуатабельнос...
«Лаборатория Касперского» обнаружила 37 уязвимостей в популярных системах удалённого доступа VNC Эксперты Kaspersky ICS CERT провели исследование различных реализаций системы удалённого доступа Virtual Network Computing (VNC) и в итоге обнаружили 37 уязвимостей порчи памяти, многие из которых существовали на протяжении очень ...
[Из песочницы] Как я нашел свою первую уязвимость? Предисловие Всем привет. Мне 20 лет. Еще недавно я учился в лицее и готовился поступать в медицинский ВУЗ, а сейчас я — фулстэк разработчик в одной американской компании. На самом деле я очень рад, что с медициной у меня не вышло — программирование было моим хобби, а сейчас ...
Безопасность приложений, или Как внедрить security в заказную разработку. Личный опыт AGIMA Digital-агентства все больше внимания уделяют безопасности инфраструктуры, в которой ведется разработка, а также начинают смотреть в сторону обеспечения безопасности приложений. Вы наверняка читали про разновидность и критичность уязвимостей, инструменты и методы обеспечения...
Apple извинилась за баг в FaceTime и пообещала выпустить обновление с исправлением Сегодня, 1 февраля, впервые со дня обнаружения бага в FaceTime, который позволял прослушивать вызываемого пользователя, даже если он не отвечал на звонок, Apple выступила с публичным комментарием относительно сложившейся ситуации. По словам представителей компании, разработ...
Уязвимость в ядре iOS 12 позволила взломать iPhone Xs Max За последние пару лет компания Apple заметно повысила защищенность свое+й мобильной операционной системы, исправив целый ряд уязвимостей, которые хакеры могли использовать для взлома iOS. Однако, как показывает практика, уязвимостей еще хватает. На днях это наглядно показали...
Уязвимости URGENT/11 угрожают безопасности сотен миллионов устройств 11 уязвимостей в VxWorks (RTOS), получившие общее название URGENT/11, представляют опасность для IoT-устройств, SCADA, критически важных систем и различного оборудования, включая медицинское.
Security Week 41: больше уязвимостей в SIM-картах, дешифрование PDF На прошлой неделе получила развитие история про атаки на уязвимый софт в SIM-картах. Обнаруженная ранее активно эксплуатируемая атака SimJacker оказалась не единственной. Исследователи из компании Ginno Security сообщили о похожей проблеме в компоненте Wireless Internet Brow...
MEGANews. Самые важные события в мире инфосека за июнь Для подписчиковВ этом месяце: шифровальщик GandCrab прекратил работу; новый Raspberry Pi 4 почти не уступает десктопам по производительности; Роскомнадзор готовит административное дело против Google; свежая уязвимость в Exim уже находится под атаками, а уязвимости в Firefox ...
Security Week 21: дыра в Whatsapp, новая уязвимость в процессорах Intel, Zero-Day в Windows На прошлой неделе произошло сразу три интересных события в сфере информационной безопасности: была закрыта эксплуатируемая уязвимость в Whatsapp, для критической уязвимости в Windows выпустили патчи даже для неподдерживаемых версий ОС, а в процессорах Intel нашли еще одну Sp...
Как простой <img> тэг может стать высоким риском для бизнеса? Безопасность на реальных примерах всегда интересна. Сегодня поговорим об SSRF атаке, когда можно заставить сервер делать произвольные запросы в Интернет через img тэг. Итак, недавно занимался тестированием на проникновение одновременно на двух проектах, сразу на двух э...
Application Security Manager. Разработчик или безопасник? Большинство успешных атак организации реализуется через уязвимости и закладки в софте. К счастью, сканер уязвимостей ПО уже рассматривается компаниями не как что-то экзотическое, а как необходимый элемент инфраструктуры защиты. Если при небольших объемах разработки можно исп...
Уязвимость macOS позволяет читать зашифрованную почту. Как исправить Apple постоянно делает упор на то, что главным приоритетом для неё остаётся приватность и безопасность пользователей. Однако в приложении Почта в macOS есть недоработка, связанная с шифрованием, и компания знает о ней уже несколько месяцев. Есть пара оговорок, о...
Уязвимость в PHP7 угрожает безопасности серверов nginx Проблема удаленного выполнения кода, обнаруженная в PHP7 (CVE-2019-11043), представляет опасность для серверов nginx поддержкой PHP-FPM.
Статический анализатор кода PVS-Studio как защита от уязвимостей нулевого дня Угроза нулевого дня (англ. zero day) – это термин, обозначающий уязвимости, допущенные при разработке, которые еще не были обнаружены. Такие уязвимости могут использоваться злоумышленниками, что в итоге затронет и репутацию компании. Перед разработчиками стоит задача максим...
[Перевод] Приглашая опытного разработчика, вы не покупаете, а продаёте Несомненно, нанять опытного программиста сложно. Но я не верю, что рынок полностью иссяк. На протяжении карьеры я работал со многими командами, которые делятся на две категории: те, которые никак не могут нанять опытных разработчиков, и те, которые привлекают их с лёгкостью....
Тренды кибербезопасности от BI.ZONE По самым скромным оценкам в 2017 году общемировой ущерб от кибератак составил триллион долларов, говорится в отчете академии кибербезопасности BI.ZONE за 2017-2018 год. Оценить реальный ущерб почти невозможно, поскольку 80% компаний скрывают случаи взломов и утечек. Эксперты...
Критическая уязвимость в продуктах компании Zemana и не только Ни для кого не является секретом, что установка антивирусного продукта может открыть дополнительные векторы атаки, однако меня очень удивил тот факт, что поиск и эксплуатация подобных уязвимостей в некоторых продуктах даже в 2018 году не является проблемой. Уупс Читать дал...
iOS 12.4 официально взломана. Кто виноват? Apple уделяет большое значение обновлениям своих операционных систем и издавна прививает это же чувство своим пользователям. Поэтому в Купертино всегда советуют устанавливать все апдейты без исключения, даже если они, на первый взгляд, не включают в себя новых функций. В ко...
Google предлагает $1 млн. за уязвимости в Android Google, который уже выплатил исследователям в области безопасности более 15 миллионов долларов с момента запуска своей программы поиска уязвимостей в 2010 году, сегодня расширил программу Android Security Rewards.
Устранение последних уязвимостей в CPU сокращает разрыв в производительности процессоров Intel и AMD Уязвимости в процессорах начали появляться, как грибы после дождя. В дополнение к прошлогодним Spectre и Meltdown, исследователи обнаружили ещё несколько новых уязвимостей: Zombieload, RIDL & Fallout, Store-to-Leak Forwarding. Они достаточно серьёзные, и требуют, чтобы в...
[Перевод] Исследователь опубликовал пример рабочего кода червя для Facebook Одна группировка уже злоупотребляет этой проблемой, размещая спам на стенах пользователей Польский исследователь безопасности в конце декабря опубликовал детали и пример рабочего кода, который можно использовать для создания обладающего всеми необходимыми возможностями чер...
Что нужно знать о последнем патче Cisco для маршрутизаторов Не так давно IT-гигант объявил о критической уязвимости в системе ASR 9000. Под катом рассказываем, в чем суть бага и как его «залатать». Фото — ulleo — PD Уязвимость обнаружили в маршрутизаторах серии ASR 9000, работающих под управлением 64-битной IOS XR. Это — аппаратур...
Эксперты Positive Technologies выявили попытки массовой эксплуатации критической уязвимости в Confluence Изображение: Knownsec 404 Team Исследователи информационной безопасности из Knownsec 404 Team изучили патч для обнаруженной в марте уязвимости в Confluence и опубликовали код для её эксплуатации. Использование этой ошибки безопасности позволяет злоумышленникам получить во...
Neoquest 2019: «Связь с небесами» Недавно закончился очередной NeoQuest. Под катом разбор третьего задания, относящегося к поиску web-уязвимостей и немножко фишингу. Интересно, как обмануть Telegram бота и заставить его поделиться ключом? Тогда добро пожаловать под кат. Читать дальше →
Appel заплатит $1 млн за обнаружение уязвимостей iPhone Любой исследователь, обнаруживший уязвимость в системе безопасности iPhone, может получить вознаграждение в $1 млн. Об этом представитель компании Apple объявил на ежегодной конференции по безопасности Black Hat в Лас-Вегасе. Ранее награда предлагалась т...
Разбор уязвимостей EvilParcel Введение В середине апреля мы опубликовали новость о троянце Android.InfectionAds.1, который эксплуатировал несколько критических уязвимостей в ОС Android. Одна из них — CVE-2017-13156 (также известна как Janus) — позволяет вредоносной программе заражать APK-файлы, не повреж...
Официально: процессоры AMD не подвержены уязвимостям RIDL и Fallout AMD официально подтвердила, что недавно обнаруженные уязвимости Fallout и RILD обошли стороной процессоры американской компании. Подробнее об этом читайте на THG.ru.
Cisco исправила критическую RCE-уязвимость в роутерах RV110W, RV130W и RV215W Инженеры Cisco исправили критическую уязвимость в веб-интерфейсах своих продуктов. Баг набрал 9,8 баллов из 10 возможных по шкале оценки уязвимостей CVSS V3.
SObjectizer-5.6.0: режем по живому, чтобы расти дальше Третьего дня стала доступна новая версия SObjectizer-а: 5.6.0. Ее главная особенность — это отказ от совместимости с предыдущей стабильной веткой 5.5, поступательно развивавшейся на протяжении четырех с половиной лет. Основные принципы работы SObjectizer-5 остались прежними...
«Зомби» не страшны. AMD заявила, что её продукты не подвержены и уязвимости ZombieLoad тоже Несколько дней назад AMD заявила, что её продукты не подвержены уязвимостям RIDL и Fallout. Напомним, это две из трёх уязвимостей, входящих в группу Microarchitectural Data Sampling (MDS). Теперь же AMD обновила своё заявление, добавив в него и третью уязвимость —...
«Ростелеком» рассказал об уязвимостях в ИТ на производстве 72% таких уязвимостей могут парализовать работу предприятия, однако многие организации делятся информацией в лучшем случае только на собственных ресурсах и с национальными CERT.
Баг в iMessage позволяет взломать любой iPhone удаленно Всем известно, какое пристальное внимание Apple уделяет безопасности своих операционных систем. Но даже корпорация такого масштаба не всегда способна вовремя выявить все критические ошибки и уязвимости, которые могут быть использованы злоумышленниками. Не стал исключением и...
Компания AMD заявила, что её продукты не подвержены уязвимостям RIDL и Fallout Компания Intel, как мы сегодня уже сообщали, признала наличие ещё одной уязвимости в своих CPU, которая затрагивает большинство процессоров компании. На самом деле новых уязвимостей несколько, но компания объединила их под общим именем Microarchitectural Data Sampling (...
HTTP/2-серверы под угрозой DoS-атак Специалисты компаний Google и Netflix нашли группу DoS-уязвимостей в конфигурациях HTTP/2-серверов крупных вендоров и в аналогичных решениях с открытым кодом. Обнаруженные баги позволяют даже не самому продвинутому злоумышленнику заблокировать сервер — вредоносный клиент обр...
Серверные процессоры Intel содержат уязвимость NetCAT Один взломанный компьютер может скомпрометировать всю сеть
Хакеры нашли единый способ взломать оборудование Intel, AMD, NVIDIA и Huawei На конференции DEF CON 27 в Лас-Вегасе исследователи безопасности из компании Eclypsium сделали доклад о типовых уязвимостях проектирования, которые они нашли более чем в 40 драйверах уровня ядра от пары десятков различных производителей оборудования.
Охота за ошибками, Blind-XSS и лисьи хитрости Лисы знают толк в охоте :) Многие наверняка уже слышали о BugBounty, поиске уязвимостей с вознаграждениями и сопутствующих историях об этом. Я, как один из «охотников за ошибками», начал свой путь чуть больше года назад на площадке HackerOne. За это время мне удалось много...
[Из песочницы] Распутывание клубка уязвимостей на сайтах После своей первой статьи, опубликованной на codeby, которая вошла в топ 3 публикаций недели, я был очень мотивирован написать следующую. Но 11 класс накладывает ограничения на свободное время подготовкой к егэ и олимпиадами. Поэтому вторую я пишу лишь спустя несколько меся...
Раскрыты детали вредоносной кампании на пользователей iPhone 29 августа группа Project Zero после тщательного исследования опубликовала детальную информацию об обнаруженных векторах атак в ходе массовой кампании по похищению данных пользователей iPhone. Результатом успешной атаки на пользователя являлся запуск агента слежения («имплан...
Не открывайте порты в мир — вас поломают (риски) Снова и снова, после проведения аудита, на мои рекомендации спрятать порты за white-list'ом встречаюсь со стеной непонимания. Даже очень крутые админы/DevOps'ы спрашивают: "Зачем?!?" Предлагаю рассмотреть риски в порядке убывания вероятности наступления и ущерба. Ошибка ко...
Во всех устройствах Apple и Microsoft обнаружена уязвимость Bluetooth, Android оказался непробиваем Несмотря на постоянное совершенствование, протокол и устройства на основе технологии Bluetooth всё ещё богаты на уязвимости. Вчера на 19-й по счёту конференции Privacy Enhancing Technologies Symposium группа исследователей по безопасности из Университета Бостона поделилась и...
На официальном сайте WordPress закрыли две XSS-уязвимости Эксперты RIPS Technologies рассказали о двух XSS-уязвимостях на сайте WordPress.org. Один из багов обладал потенциалом червя.
Сканирование на уязвимости и безопасная разработка. Часть 1 В рамках профессиональной деятельности разработчикам, пентестерам, безопасникам приходится сталкиваться с такими процессами, как Vulnerability Management (VM), (Secure) SDLC. Под этими словосочетаниями скрываются различные наборы практик и используемых инструментов, которы...
Вторник обновлений: Microsoft исправила 0-day уязвимость в Internet Explorer В этом месяце Microsoft устранила 74 уязвимости в своих продуктах, 13 из которых были оценены как критические, а одна уже эксплуатировалась хакерами.
В процессорах Intel Cascade Lake обнаружена уязвимость Zombieload v2 Серия обнаруженных аппаратных уязвимостей сыпется на Intel как из рога изобилия. Недавно команда исследователей обнаружила новый вариант уязвимости Zombieload v2, которая может быть использована злоумышленниками на процессорах семейства Intel Cascade Lake. В него...
Сервер, ты меня слышишь? BROP-атака на примере задания NeoQUEST-2019 Как найти уязвимость на сервере, не имея информации о нём? Чем BROP отличается от ROP? Можно ли скачать исполняемый файл с сервера через переполнение буфера? Добро пожаловать под кат, разберём ответы на эти вопросы на примере прохождения задания NeoQUEST-2019! Читать дальш...
Пропатчил Exim — пропатчь еще раз. Свежее Remote Command Execution в Exim 4.92 в один запрос Совсем недавно, в начале лета, появились массовые призывы к обновлению Exim до версии 4.92 из-за уязвимости CVE-2019-10149 (Срочно обновляйте exim до 4.92 — идёт активное заражение / Хабр). А на днях выяснилось, что вредонос Sustes решил воспользоваться этой уязвимостью. Те...
Почему ежемесячные обновления безопасности Android — это фарс Обновлений не существует. Вот доказательства Привет. Меня зовут Иван, и я апдейт-диссидент. После этого должны были послышаться вялые хлопки, но их нет. Скорее всего потому, что многим не понятно слово, которым я себя обозвал. Если вы из их числа, не пытайтесь искать определ...
CVE-2019-6111 и другие уязвимости в scp TL;DR; Совсем недавно ( примерно с 1983 года ) оказалось, что OpenSSH, как наследник rsh, для команды scp ( ex. rcp ) позволяет серверу выбрать, какой файл и с какими параметрами вам передать. А уязвимости вывода позволяют скрыть, какой именно файл вам передали. То есть прос...
В WinRAR существовала опасная уязвимость на протяжении 19 лет Может все-таки надо было купить полную версию WinRAR? Исследователи компании Checkpoint Research обнаружили в коде WinRAR […]
В процессорах Intel найдена уязвимость Spoiler В начале прошлого года компьютерное сообщество было потрясено открытием аппаратных уязвимостей Meltdown и Spectre, которые присутствуют в большинстве современных процессоров. Если коротко, то Meltdown позволяла вредоносному коду внедряться в ядро операционной системы, а...
Эксперты обнаружили уязвимости в трех VR-платформах ИБ-исследователи Алекс Радоча (Alex Radocea) и Филип Петтерссон (Philip Pettersson) на конференции REcon рассказали об уязвимостях удаленного исполнения кода в платформах виртуальной реальности Steam VR, High Fidelity и VRChat. По их словам, обнаруженные дыры открывали возмо...
Уязвимость «ВКонтакте». В профилях и группах появлялись фейковые посты Примерно в 19:30 по московскому времени во многих группах и профилях «ВКонтакте» начали появляться одинаковые посты, сообщающие о скором появлении рекламы в сообщениях в социальной сети. Если пользователь переходил по приложенной ссылке, то аналогичные записи начинали появл...
HTTPS не всегда такой безопасный, как кажется. Уязвимости найдены у 5,5% сайтов HTTPS Один из топовых сайтов Alexa (центральный кружок), защищённый HTTPS, с поддоменами (серым) и зависимостями (белым), среди которых есть уязвимые (штриховая заливка) В наше время значок защищённого соединения HTTPS стал стандартным и даже необходимым атрибутом любого серьёзн...
Security Week 40: уязвимость в BootROM мобильных устройств Apple В зависимости от ваших предпочтений к этой новости можно подобрать один из двух заголовков. Либо «серьезная уязвимость обнаружена в мобильных устройствах Apple вплоть до iPhone X», либо «наконец-то придумали новый способ для джейлбрейка iДевайсов (но это не точно)». Насчет д...
Уязвимость библиотеки Windows грозит отказом в обслуживании Эксперт по безопасности компании Google Тэвис Орманди (Tavis Ormandy) опубликовал уязвимость криптографической библиотеки, входящей в ОС Windows 8 и старше. Баг позволяет злоумышленнику вызывать критические ошибки ПО, которые в отдельных случаях устраняются только перезагруз...
Шифровальщик Lilocked заразил тысячи Linux-серверов Вымогатель Lilocked (он же Lilu) уже атаковал более 6000 серверов и, судя по всему, его операторы эксплуатируют уязвимость в Exim.
В драйверах видеокарт Nvidia GeForce, Quadro и Tesla обнаружены уязвимости Сообщается, что Nvidia обнаружила пять уязвимостей в своих драйверах Windows для видеокарт серий GeForce, Quadro и Tesla. По словам компании, данные уязвимости отмечены как очень опасные. Подробнее об этом читайте на THG.ru.
Уязвимость в Android позволяет подменять сообщения в WhatsApp и Telegram Уязвимости на Android – изменчивы, многогранны и вечны. От них не спасают даже регулярные обновления безопасности, которые Google выпускает каждый месяц. Но если одни уязвимости дискредитируют саму операционку, то другие на корню подрывают доверие пользователей к сторонним ...
Вскрытая камера. Как искать уязвимости в «умных» гаджетах на примере популярной IP-камеры Для подписчиковЗа последние несколько лет все чаще обсуждается проблема безопасности домашних гаджетов. Этичные хакеры тоже исследуют все больше девайсов — обычно с неутешительными выводами. В этой статье я покажу все этапы проверки хардверной безопасности на примере распрос...
В промышленном оборудовании Moxa найдено 10 уязвимостей Эксперты по промышленной безопасности US-CERT сообщили об уязвимостях коммутаторов тайваньского производителя Moxa. В подборку вошли 10 брешей, большая часть которых получила выше девяти баллов по шкале CVSS. Проблемы были обнаружены в четырех сериях свитчей Moxa: IKS-G6824A...
Microsoft устранила два бага 0-day, замеченные в атаках Июльский набор патчей для продуктов Microsoft закрывает 77 уязвимостей, в том числе 15 критических и две уже используемые злоумышленниками. Одиннадцать критических уязвимостей выявлены в скриптовых движках и браузерах, остальные затрагивают DHCP-сервер, подсистему GDI+, фрей...
Уязвимости в 100 плагинах для Jenkins угрожают безопасности компаний ИБ-специалист обнаружил уязвимости более чем в 100 плагинах для Jenkins, многие из которых до сих пор не устранены.
[Перевод] Подмена поисковой выдачи Google Эксперт по информационной безопасности Wietze Beukema обнаружил довольно простую логическую уязвимость в формировании поисковой выдачи Google, позволяющую производить манипуляцию результатами выдачи. Несмотря на простоту уязвимости, последствия от ее применения могут быть...
Все ваши анализы в открытом доступе И снова здравствуйте! У меня опять нашлась для вас открытая база с медицинскими данными. Напомню, что совсем недавно тут было три моих статьи на эту тему: утечка персональных данных пациентов и врачей из медицинского онлайн-сервиса DOC+, уязвимость сервиса «Доктор рядом» и у...
Третья уязвимость Steam Windows Client, но не 0day В предыдущих сериях Не так давно я рассказал о двух уязвимостях Стима: CVE-2019-14743 и CVE-2019-15316. Там была целая история о том, как я пытался зарепортить их, у меня не получалось, меня забанили, и только после публичного раскрытия и помощи сообщества удалось достичь ре...
В десятках тысяч серверов Super Micro нашли уязвимости Уязвимости позволяют злоумышленникам устанавливать "виртуальный" USB-накопитель и удаленно внедрять вредоносное ПО, менять настройки сервера и др.
Найдена одна из самых крупных уязвимостей в iOS Исследователь по кибербезопасности под псевдонимом «axi0mX» рассказал об уязвимости для iOS-устройств, работающих на процессорах от A5 (iPhone 4S) до A11 (iPhone 8 и iPhone X). Он назвал эксплоит checkm8 и опубликовал его в открытом доступе на GitHub.
Новый защитный механизм Google Chrome оказался фикцией Отношение Google к безопасности своих пользователей никогда не было особенно ревностным. В отличие от Apple, поисковый гигант всегда был готов к компромиссу, если речь шла об использовании конфиденциальных данных клиентов без их ведома. В результате компания получала доступ...
В стандарте связи LTE обнаружено 36 уязвимостей Южнокорейские эксперты по вопросам информационной безопасности обнаружили 36 уязвимостей в стандарте связи LTE, которые позволяют реализовать широкий спектр атак. Некоторые из них могут быть достаточно пагубными. Выявленные уязвимости могут создавать небольшие временные труд...
BBC: тайный подрядчик ФСБ работал над деанонимизацией Tor и искал уязвимости в Bittorrent 13 июля неизвестные хакеры взломали сервер московской IT-компании «Сайтэк» и разместили на ее сайте так называемый «йоба-фейс». Предполагается, что взломщики удалили 7,5 терабайт данных, однако перед этим частично скопировали их. Затем они поделились ими ...
Российские хакеры взломали иранских, чтобы досадить западным В совместном отчете Агентства национальной безопасности США и Национального центра кибербезопасности Великобритании, на который ссылается издание The Next Web, говорится, что Россия ведет слежку за жителями десятков стран, используя программы иностранных хакеров. Так взломан...
PHP-Дайджест № 167 (22 октября – 4 ноября 2019) Свежая подборка со ссылками на новости и материалы. В выпуске: PHP 7.4.0 RC5, Xdebug 2.8, критическая уязвимость в PHP-FPM, новости из PHP Internals, порция полезных инструментов, подкасты, стримы и многое другое. Приятного чтения! Читать дальше →
Закон «О связи» и уязвимость в мессенджерах Интересная произошла ситуация у меня. Купил симку Yota, залогинился с этим номером в WhatsApp и сразу оказался в трёх незнакомых группах. Предыдущей переписки не было видно, потому сначала подумал, что спам и тупо удалился со всех трёх. Спустя некоторое время мне написал ч...
Хакер взломал сервис по поиску работы и "уволил" главу Google Голландский специалист в области компьютерной безопасности Михель Рейндерс обнаружил интересный баг в социальной сети для поиска рабочих контактов LinkedIn. Благодаря уязвимости он смог без данных ему на то полномочий публиковать вакансии от лица любой компании.
Камера в смартфонах Google Pixel и Samsung может тайно шпионить за пользователями Камера вашего смартфона может устанавливать за вами слежку, пусть и не без посторонней помощи Android – одна из немногих — если вообще не единственная – операционных систем, чей недостаток обратился в преимущество. Благодаря несовершенствам платформы Google может кажды...
Платить Apple Pay в интернете оказалось небезопасно В представлении Apple нет более безопасного способа оплаты, чем Apple Pay. Благодаря тому, что каждая транзакция не содержит данных платежной карты пользователя, его имени и другой конфиденциальной информации, которые заменяются уникальным токеном, взломать банковский аккау...
Intel обнаружила 77 новых уязвимостей в процессорах: одна из них значительно влияет на производительность Каждый месяц Intel выпускает рекомендации по безопасности, чтобы информировать своих партнеров о безопасности своих продуктов. В этом месяце компании удалось обнаружить 77 новых уязвимостей, которые варьируются от процессоров до графики и даже контроллеров Ethernet. Подробне...
В популярных облаках нашли 34 млн уязвимостей Большую часть проблем можно было бы избежать, если не использовать устаревшие серверы Apache и уязвимые пакеты jQuery.
Как багхантеры перехватывали письма в пневмопочте на ZeroNights Про Bug Bounty уже многое сказано и необходимость подобных программ для компаний кажется очевидной. За время существования нашей собственной программы Почта Mail.ru выплатила более $250 000, средняя выплата составляет $379, чуть подробнее об этом мы уже писали. А сегодня, ...
Миллионам серверов Exim угрожает уже вторая опасная уязвимость за последние месяцы Все серверы Exim, работающие под управлением версии 4.92.1 и раньше, уязвимы перед новой проблемой, позволяющей выполнить произвольный код с root-привилегиями.
Security Week 38: слежка за мобильными устройствами через SIM-карту Когда мы говорим об уязвимостях в мобильных устройствах, речь идет обычно о проблемах в Android или iOS. Но не стоит забывать о радиомодуле и SIM-карте, которые являются по сути отдельными вычислительными устройствами со своим софтом и большими привилегиями. Последние пять л...
[Перевод] Предложения относительно уязвимостей и защиты моделей машинного обучения В последнее время эксперты все чаще затрагивают вопрос безопасности моделей машинного обучения и предлагают различные способы защиты. Самое время детально изучить потенциальные уязвимости и средства защиты в контексте популярных традиционных систем моделирования, таких как...
Microsoft: 70 % всех проблем ПО связаны с безопасностью памяти Порядка 70 % всех уязвимостей в продуктах Microsoft связаны с нарушениями безопасности в работе оперативной памятью. Речь идёт о неверной адресации или других способах, которые могут привести к сбою чтения из памяти или записи в неё. Как заявил инженер по безопаснос...
BlueKeep-2 — теперь уязвимы все новые версии Windows Ещё не успела отшуметь уязвимость BlueKeep (CVE-2019-0708) для старых версий ОС Windows, нацеленная на реализацию протокола RDP, как снова пора ставить патчи. Теперь в зону поражения попали всё новые версии Windows. Если оценивать потенциальную угрозу от эксплуатации уязвимо...
[Из песочницы] Чиним клиентов WSUS Клиенты WSUS не хотят обновляться после смены сервера? Тогда мы идем к вам. (С) У всех бывали ситуации, когда что-нибудь переставало работать. В данной статье речь пойдет о WSUS (более подробную информации о WSUS можно получить здесь и здесь). А точнее о том, как заставит...
Security Week 12: клавиатурные атаки Когда мы писали про уязвимости в драйверах NVIDIA, стоило упомянуть, что чаще всего дополнительный вектор атаки в вашу систему добавляют не видеокарты, а беспроводные клавиатуры и мыши. Недавно исследователи из немецкой команды SySS обнаружили проблему в комплекте Fujitsu LX...
Взломать более 1 млрд смартфонов можно по SMS из-за новой уязвимости во всех SIM-картах Ни один смартфон в мире не сможет полноценно работать без установленной в него SIM-карты, а нужна такая для того, чтобы использовать номер телефона, в том числе для голосовой связи и использования мобильного интернета. В настоящее Сообщение Взломать более 1 млрд смартфонов ...
Опасная уязвимость 5 лет позволяла взламывать Android через браузер Уязвимость в «Google Фото», которая позволяла деанонимизировать практически любого из нас, оказалась не единственной сложностью для Google, стремящейся обеспечить безопасность своих пользователей. Еще один изъян, открывающий злоумышленникам доступ к конфиденциальной информа...
Thrangrycat: критическая уязвимость в прошивке устройств Cisco позволяет хакерам устанавливать на них бэкдоры Исследователи информационной безопасности обнаружили опасную уязвимость в прошивке, которая используется на устройствах Cisco разных типов. Ошибка CVE-2019-1649 или Thrangrycat позволяет злоумышленникам устанавливать на маршрутизаторы, коммутаторы и межсетевые экраны бэкдо...
Security Week 32: дыра в iMessage, приватность голосового ввода 22 июля Apple выпустила обновление операционной системы iOS до версии 12.4, в котором были закрыты три серьезные уязвимости, обнаруженные экспертом из команды Google Project Zero Натали Сильванович. Самая опасная (CVE-2019-8646) позволяет красть данные с удаленного устройств...
Создатели CMS Magento исправили 37 брешей в своем ПО Разработчики Magento выпустили пакет обновлений, который устраняет 37 уязвимостей в открытой и коммерческой версиях CMS. Спектр нейтрализованных угроз включает SQL-инъекции, межсайтовый скриптинг, удаленное выполнение кода (RCE) и компрометацию важных данных. Четыре обнаруже...
После установки обновления Windows 10 на некоторых ноутбуках Lenovo придётся отключить Secure Boot Lenovo X260 ThinkPad с Windows 10 19 декабря 2018 года Microsoft выпустила экстренный патч KB4483229 для устранения 0day-уязвимости в Internet Explorer 9−11. Критическая уязвимость CVE-2018-8653 действительно требовала немедленных действий, ведь она позволяет злоумышленник...
Дыра в безопасности macOS позволяет злоумышленникам обойти встроенную защиту при установке приложения не из App Store Apple, вероятно, столкнулась с очередной уязвимостью технологии Gatekeeper, которая обеспечивает запуск только доверенного программного обеспечения на компьютере Mac. Исследователь безопасности Филиппо Кавалларин (Filippo Cavallarin) обнаружил и подробно описал новую уязвимо...
В банкоматах Diebold Nixdorf обнаружена RCE-уязвимость Один из крупнейших в мире производителей банкоматов предупреждает своих клиентов об уязвимости в банкоматах марки Opteva. Баг позволяет удаленно выполнить произвольный код.
Большая Философская Мысль: топ-10 докладов DotNext 2019 Piter Здравствуй, Хабр! В мае прошла наша большая .NET-конференция, где нашлось место и хардкору, и трендам, и архитектуре, и просто хорошим практикам. А теперь делимся лучшими докладами (по оценкам зрителей конференции), из которых вы: узнаете, почему (скорее всего) пишете ...
Виталик Бутерин не видит опасности в новой уязвимости Ethereum Сооснователь Ethereum Виталик Бутерин, как и несколько других ведущих разработчиков платформы не видят серьезной угрозы безопасности в баге, который был выявлен в коде предстоящего апгрейда системы Constantinople. Ранее сообщалось, что обнаруженная уязвимость затрагивает нек...
Хакеры нашли план отсоединения Рунета во взломанной базе данных спецслужб Группа хакеров взломала сервера подрядчика Федеральной службы безопасности Российской Федерации под названием SyTech. После получения доступа ко всей сети компании в начале июля, им удалось украсть порядка 7,5 ТБ данных с внутренних серверов SyTech. Из украденных данных в то...
Чем проще задача, тем чаще я ошибаюсь Эта тривиальная задача возникла в один из пятничных дней и должна была занять 2-3 минуты времени. В общем, как всегда. Коллега попросил поправить скрипт у него на сервере. Сделал, сдал ему и обронил ненароком: «Время спешит на 5 минут». Сервер его, пусть сам и разбирается с...
Работа децентрализованной биржи 0x оказалась прервана из-за обнаруженной уязвимости Разработчики протокола 0x были вынуждены на время приостановить работу своей децентрализованной биржи, объяснив это обнаруженной уязвимостью в версии 2.0. По заявлению представителей проекта, средства пользователей находятся в целости и сохранности, однако им необходимо мигр...
Уязвимость блокировщика экрана в Astra Linux Special Edition (Смоленск) В данной статье мы рассмотрим очень одну интересную уязвимость в «отечественной» операционной системе Astra Linux, и так, начнем… Читать дальше →
Разбираем уязвимости проверки сертификатов SSL/TLS в небраузерном софте Первоначально разработанный для браузеров, SSL/TLS-протокол позже стал стандартом де-факто вообще для всех защищенных интернет-коммуникаций. Сейчас он используется для удаленного администрирования виртуальной инфраструктуры, развернутой в облаке, для передачи платежных рекв...
Свой Telegram бот для отслеживания uptime своих серверов на python и docker 1. Делаем телеграм бота Для начала нужно написать бота, который будет пинговать нужные ip и посылать сообщение, когда нужный сервис пропадает из сети, а потом появляется Читать дальше →
В сентябрьский набор обновлений для Android не вошел патч для опасной 0-day уязвимости В этом месяце разработчики Google исправили почти 50 различных уязвимостей в Android, но эксперты Trend Micro сообщили, что одна опасная 0-day проблема так и осталась без патча.
Intel теряет в пять раз больше производительности, чем AMD, из-за всех выявленных уязвимостей Последние месяцы наблюдается просто катастрофическая ситуация с безопасностью центральных процессоров. Исследователи выявляют всё новые проблемы в конструкции CPU, большая часть которых приходится на Intel, а их исправление вызывает потерю производительности.
Незакрытая в течение 19 лет уязвимость WinRar позволяет разместить распакованный файл в произвольном месте Специалисты по кибербезопасности из компании Check Point обнаружили серьезную уязвимость в архиваторе WinRar. Затем они же показали, как при помощи этой уязвимости можно распаковать файл в произвольное место — совсем не то, которое указывает пользователь. Ну а поскольку п...
7 основных причин, почему блокируют приложения в Google Play и AppStore Наверняка, за последнее время доводилось видеть много страшных историй о том, как блокируют приложения в Google Play и AppStore. Все это связано с привлечением большого внимания к информационной безопасности приложений, а точнее, к факту ее отсутствия. Читать дальше →
[Обновлено] Вышла iOS 12.1.4 с исправлением уязвимости в FaceTime Как и было обещано на прошлой неделе, сегодня компания Apple выпустила внеплановое обновление iOS за номером iOS 12.1.4. Его релиз состоялся в промежутке между выходами бета-версий iOS 12.2. Апдейт является экстренным и направлен на исправление одной единственной ошибки, об...
[Перевод] Анонс Github Security Lab: защита всего кода вместе Мы все несем коллективную ответственность за обеспечение безопасности программного обеспечения с открытым исходным кодом — никто из нас не может это делать в одиночку. Сегодня в Github Universe мы объявили Github Security Lab. Место где соберутся вместе исследователи безоп...
Хакеры опубликовали личные данные примерно 4000 полицейских и федеральных агентов США По сообщению источника, хакерская группа взломала несколько web-сайтов, связанных с ФБР, и опубликовала похищенные данные, включая информацию примерно о 4000 федеральных агентов и сотрудников правоохранительных органов. Говоря точнее, хакеры взломали три сайта, ...
Форумы ZoneAlarm взломаны из-за уязвимости в vBulletin Форумы компании ZoneAlarm, принадлежащей Check Point, были взломаны, и пользовательские данные попали в руки злоумышленников.
Компания Coinbase выплатила баунти на $30 000 за обнаруженную критическую уязвимость Ведущая криптовалютная компания США Coinbase выплатила крупнейшее за все время своей работы вознаграждение за обнаруженную в ее системах критическую уязвимость, пишет The Next Web. Запись об уязвимости было опубликована 12 февраля на HackerOne, и как подтвердил представитель...
Подросток дважды взломал серверы Apple, чтобы попасть на работу Подросток из Австралии отличился тем, что попытался привлечь внимание Apple, дважды взломав ее серверы. ***
Хакеры взломали камеру Android-смартфонов в обход системы безопасности Глава отдела безопасности компании Checkmarx Эрез Ялон рассказал о найденной им уязвимости в системе безопасности Android. Благодаря ей любое приложение могло управлять родным приложением “Камера” в смартфонах Google и Samsung, не имея необходимых на то разрешений со стороны...
В коде Libra устранили уязвимость, позволявшую манипулировать смарт-контрактами Разработчики специализирующегося на безопасности смарт-контрактов стартапа OpenZeppelin обнаружили и устранили уязвимость в общедоступном коде цифровой валюты Libra от Facebook. Об этом сообщает Coindesk. В частности, OpenZeppelin выявили баг в языке Move, разработанного соц...
Уязвимость NetCAT угрожает серверным процессорам Intel Исследователи опубликовали подробности об уязвимости NetCAT, которая угрожает всем процессорам Intel, поддерживающим Data-Direct I/O Technology (Intel DDIO) и Remote Direct Memory Access (RDMA).
Опубликован эксплоит для уязвимости в Outlook для Android Для RCE-уязвимости в Outlook для Android, о которой стало известно на прошлой неделе, опубликован работающий эксплоит.
Эксперты Check Point предупредили об уязвимостях в RDP-клиентах Специалисты выявили 25 уязвимостей в популярных RDP-клиентах для Windows и Linux.
В протоколе LTE нашли 36 новых уязвимостей Группа южнокорейских специалистов обнаружила 51 уязвимость в протоколе LTE, и 36 из них оказались новыми.
Очередная уязвимость чипов Intel позволяет злоумышленникам перехватывать важную информацию Кодовое имя найденной уязвимости — NetCAT.
NVIDIA исправила уязвимости в GeForce Experience и драйверах Инженеры NVIDIA выпустили обновления безопасности, устранив множество уязвимостей в своих продуктах.
Для 0-day уязвимости в OpenOffice появился неофициальный патч Для обнаруженной в начале февраля RCE-уязвимости в составе Apache OpenOffice появился патч от сторонних экспертов.
Рано радовались! Процессоры AMD тоже подвержены новой уязвимости SWAPGSAttack Очередная уязвимость наделала много шума
В Exim устранили еще один RCE-баг Разработчики популярных почтовых агентов Exim в экстренном порядке выпустили обновление 4.92.3. Оно закрывает критическую уязвимость, позволяющую удаленно вызвать отказ в обслуживании или даже выполнить произвольный код на сервере. Проблема, получившая идентификатор CVE-2019...
Как смотреть SDDL и не ломать глаза о точки с запятыми Мой путь в ИБ начался с удивительного открытия: «безопасно ≠ зашифровано». Это сейчас такое утверждение выглядит простым и очевидным, а на первом курсе осознание этого факта произвело эффект сравнимый с ментальной атомной бомбой. Информационная безопасность атаковала расши...
Intel устранила 19 уязвимостей в графических драйверах для Windows Разработчики Intel опубликовали исправления для 19 багов в графических драйверах для Windows. Уязвимости чреваты эскалацией привилегий, DoS и раскрытием информации.
Активисты по-прежнему уверены, что Роскомнадзор использует взломанные устройства для блокировки прокси-серверов Telegram IT-эксперт Владислав Здольников, ранее обвинивший ведомство в такой деятельности, считает доказанным факт использования ведомством прокси на взломанных устройствах для борьбы с Telegram и рассматривает возможность обращения в правоохранительные органы.
Аудит безопасности облачной платформы MCS SkyShip Dusk by SeerLight Построение любого сервиса обязательно включает в себя постоянную работу над безопасностью. Безопасность — это непрерывный процесс, который включает в себя постоянный анализ и улучшение защищенности продукта, мониторинг новостей про уязвимости и мн...
Почему вы должны обязательно установить последнее обновление Android Android – одна сплошная «дыра», и это состоявшийся факт. Ну, о чем здесь можно спорить, когда операционка позволяет превратить даже акселерометр в инструмент прослушки, не говоря уже о других уязвимостях? А их, надо сказать, в системе немало. К примеру, одна из них позволяе...
Эксперты подделали подписи в программах для просмотра PDF Исследователи из Рурского университета в Бохуме рассказали об уязвимости системы цифровой подписи, используемой в приложениях для просмотра PDF-файлов. Чтобы заранее оповестить разработчиков ПО о найденных брешах, с октября 2018 года ученые сотрудничали со специалистами Феде...
Tor Project отключил 13,5% серверов своей сети Причиной отключения стало то, что все перечисленные серверы использовали устаревшие и не поддерживаемые версии ПО Tor, что создавало риск раскрытия анонимности и потенциально позволяло организовать успешные кибератаки на сеть. В актуальных версиях программного обесп...
Zerodium предлагает до 500 000 долларов за уязвимости и эксплоиты для Hyper-V и vSphere Известный брокер уязвимостей, компания Zerodium, сообщил о временном повышении цен на эксплоиты для уязвимостей в Hyper-V и vSphere.
0-day в Chrome использовали вместе с уязвимостью в Windows 7 Специалисты Google сообщили, что злоумышленниками комбинировали уязвимость нулевого дня в Chrome, о которой стало известно на прошлой неделе, с уязвимостью нулевого дня в Windows 7.
XSS-уязвимость в популярном плагине для WordPress используют для взлома сайтов Эксперты компании Defiant заметили, что злоумышленники эксплуатируют уязвимость в плагине Abandoned Cart Lite for WooCommerce, установленном на 20 000 сайтов.
Найдены уязвимости в распространенных прошивках для Wi-Fi SoC Опубликованы детали уязвимостей в ThreadX, которые могут коснуться множества устройств, включая смартфоны, ноутбуки, игровые приставки, роутеры и так далее.
Ноутбуки Razer продолжают продаваться с давно известной «дырой» в безопасности С 2011 года компания Razer, ранее хорошо известная своей стильной компьютерной периферией, также начала продвигать производительные игровые ноутбуки. И если с мышками и клавиатурами особых хлопот в плане заботы о безопасности нет, то с ноутбуками всё очень непросто. Оказалос...
Cisco закрыла еще почти 50 уязвимостей своего ПО Разработчики Cisco решили серию серьезных проблем в нескольких своих продуктах, устранив угрозы исполнения кода и DoS-атак. Пакет из 47 обновлений включил заплатки к одному критическому багу и нескольким особо опасным ошибкам. Самые серьезные уязвимости были обнаружены в реш...
Как ездить на такси за чужой счёт — уязвимости на примере одного сервиса После нахождения уязвимостей в мобайл-банкинге украинского банка (пост) я захотел немного сменить направление и перейти от финансовых сервисов к другим. На глаза попалась рекламная статья про обновлённое мобильное приложение такси, его я и выбрал своим подопытным. Здесь и...
Хакеры впервые выпустили джейлбрейк для устройств Apple на iOS 11 и 12 — эксперты предупредили об их уязвимости Некоторым пользователям уже удалось взломать свои устройства.
[Из песочницы] Как взломать завод: системы радиоуправления как слабое звено современного производства Компания Trend Micro выпустила исследование, в котором рассмотрела уязвимости системы дистанционного радиоуправления промышленного оборудования и то, насколько просто злоумышленники могут их использовать для атак на промышленные объекты Недавно мы (специалисты Trend Micro...
Финтех-дайджест: бесплатные переводы в системе СБП, уязвимость банков к атакам и другие новости Сегодня в дайджесте: Бесплатные переводы средств между банками, которые входят в систему СБП; Степень уязвимости банков к атакам злоумышленников; Финансовая грамотность населения растет; Криптовалюты остаются непопулярным средством платежа. Переводы без комиссии Почт...
Опубликован эксплоит для неисправленной 0-day уязвимости в vBulletin Уязвимость нулевого дня в vBulletin затрагивает десятки тысяч сайтов. Патча для этой проблемы пока нет.
Исследователь получил 10 000 долларов за обнаружение XSS-уязвимости в Tesla Независимый исследователь обнаружил XSS-уязвимость в своей Tesla Model 3. Баг позволял извлечь и модифицировать информацию об автомобиле.
Опубликован эксплоит для RCE-уязвимости в браузере Edge ИБ-специалисты обнародовали proof-of-concept эксплоит для свежей уязвимости в браузере Microsoft Edge, патч для которой вошел в состав декабрьского «вторника обновлений».
Посмотрел на картинку — помог хакеру: Google обнаружила в Android новую серьёзную уязвимость Компания Google обнаружила в операционной системе Android серьёзную уязвимость, позволяющую при желании запустить на чужом смартфоне произвольный код. Для этого требуется всего лишь картинка. Конечно, не всё так просто. На самом деле нужен специальным образом сконфигури...
Кто хочет стать миллионером? Mail.ru обещает миллион рублей за уязвимости в новом браузере Atom Mail.ru Group представила новый браузер Atom с акцентом на безопасность и приватность пользователей. Для проверки компания запустила публичную программу поиска уязвимостей. Пользователям, которые найдут серьёзную уязвимость в Atom обещана награда в размере одного...
Инженер Google обнаружила критическую уязвимость в iMessage Инженер по вопросам безопасности Google Project Zero Наталья Сильванович обнаружила критическую уязвимость в iMessage, через которую можно было получить доступ к данным, хранимым на iPhone. Всего за период с апреля по июнь 2019 года Наталья и её коллега, Samuel Groß, нашли ...
Популярные приложения на Google Play содержат уязвимости Эксперты Check Point обнаружили серьезные уязвимости в представленных на Google Play приложениях с сотнями миллионов загрузок, включая продукты Facebook и Yahoo. По словам исследователей, безопасные на первый взгляд Android-программы содержат глубинные баги, грозящие исполне...
Интервью с багхантером Артёмом Московским. Он взломал Steam и получил самую крупную награду в истории Valve Артем Московский — багхантер, пентестер и безопасник которому сразу хочется задать стыдный вопрос «сколько ты зарабатываешь?» В прошлом году он получил самое большое вознаграждение в истории Valve — $20 и 25 тысяч за две крупные уязвимости в Steam и еще 10 за баги поменьше...
Эксперты насчитали более 100 эксплоитов для уязвимости в WinRAR Обнаруженная в феврале уязвимость в WinRAR 19-летней давности уже активно используется преступниками. ИБ-специалисты насчитали более 100 уникальных эксплоитов.
Google заплатит 1,5 млн долларов за уязвимости в Android Компания объявила о расширении программы выплаты вознаграждений за поиск уязвимостей в мобильной операционной системе.
Серьезные уязвимости исправлены в составе Libssh2 и PuTTY Сразу два популярных инструмента получили важные обновления: 9 уязвимостей устранено в библиотеке Libssh2; 8 проблем пропатчили в Putty.
Разработчиков Microsoft не тревожит публикация PoC-эксплоитов для уязвимостей в IE и Edge Представители Microsoft не считают опасными уязвимости в браузерах IE и Edge, для которых на прошлой неделе были опубликованы эксплоиты.
Для 0-day бага в vBulletin появился патч, но уязвимость эксплуатировали годами Неприятная ситуация вокруг RCE-уязвимости в форумном движке vBulletin продолжает развиваться. Как оказалось, эксперты Zerodium знали об этой проблеме три года.
Уязвимости в Kubernetes позволяют спровоцировать отказ в обслуживании Разработчики Kubernetes представили исправления для уязвимостей, обнаруженных недавно в протоколе HTTP/2. Эти проблемы чреваты уязвимостью перед DoS-атаками.
Хакеры используют уязвимость Windows для кибератак Речь об уязвимости в компоненте win32k.sys, которая позволила киберпреступникам организовать целевую атаку на пользователей из Восточной Европы.
Маршрутизаторам Cisco угрожает критическая уязвимость в Cisco IOS XE Уязвимости в Cisco IOS XE получила 10 баллов из 10 по шкале CVSS и позволяет любому желающему обойти авторизацию на устройстве, не зная пароля.
Хакеры взломали утилиту ASUS Live Update и распространяли через неё зловред, компания уже устранила уязвимость и выпустила диагностическое ПО Буквально на днях компании, занимающиеся выпуском антивирусного программного обеспечения, заявили, что хакеры смогли взломать систему распространения обновлений ASUS и внедрить в неё вредоносное ПО. В результате, через утилиту ASUS Live Update, которая распространяет обновле...
[Перевод] Безопасность для Docker-контейнеров Прим. перев.: Тема безопасности Docker, пожалуй, одна из вечных в современном мире IT. Поэтому без лишних объяснений представляем перевод очередной подборки соответствующих рекомендаций. Если вы уже интересовались этим вопросом, многие из них будут вам знакомы. А саму подбор...
Популярный файловый менеджер для Android сливал данные пользователей Даже авторитетные файловые менеджеры для устройств под управлением Android могут сливать ваши данные на сторону. Это доказал исследователь в области информационной безопасности Баптист Робер. Он изучил принцип работы популярного приложения ES File Explorer, имеющего более 5...
Во всех Bluetooth-устройствах есть критическая уязвимость Оказывается, в интерфейсе Bluetooth имеется достаточно серьезная уязвимость, благодаря которой злоумышленники могут взломать совместимые устройства. ***
Уязвимости в ПО 4G-роутеров позволяют получить полный контроль над устройством Исследователь под ником "g richter" из Pen Test Partners поделился сведениями об ошибках, обнаруженных в устройствах 4G, во время конференции хакеров DEF CON в августе этого года. Он заявил, что многие существующие модемы и маршрутизаторы 4G небезопасны - при этом ...
Июльские патчи Oracle устранили более 300 угроз Корпорация Oracle выпустила очередной пакет обновлений безопасности (Critical Patch Update, CPU), закрыв в своих продуктах 319 уязвимостей. Свыше 50 багов получили высшую оценку угрозы, набрав 9,8 балла по шкале CVSS. Больше всего заплаток пришлось на приложения Oracle Finan...
Intel пыталась подкупить исследователей, обнаруживших уязвимость RIDL Специалисты в области кибербезопасности из Амстердамского свободного университета (Vrije Universiteit Amsterdam) утверждают, что Intel пыталась подкупить их, дабы они не спешили с обнародованием процессорной уязвимости RIDL (Rogue In-Flight Data Load), о которой стало...
Болгарского исследователя арестовали после раскрытия данных об уязвимости в ПО для детских садов Обнаруженная специалистом уязвимость позволила ему скачать информацию о 235 000 гражданах Болгарии.
Новогодние патчи для Adobe Acrobat Reader Праздник праздником, а работа над ошибками не должна прекращаться, решили в Adobe. Третьего января разработчики Acrobat и Reader выпустили патчи для двух критических уязвимостей. К счастью, с обновлением можно повременить. Новым заплаткам присвоен приоритет 2. Согласно приня...
«Умный» дом с точки зрения уязвимости: разбираемся с векторами и механиками атак Пока визионеры разного масштаба, авторы сценариев антиутопических фильмов и хайтек-сериалов и прочие выдумщики и алармисты рисуют разной степени убедительности картины о восстании «умных» устройств или применении смарт-дома как орудия убийства или терроризма, специалисты по...
[Из песочницы] Почему нам нужна децентрализация интернета и почему она неизбежна За последний год, а особенно после скандала с Facebook и Cambridge Analytica, в Европе и США начали активно появляться статьи о нарушении конфиденциальности данных IT-компаниями. В особенности со стороны Google и Facebook. Большая часть этих историй преподносится как «вопиющ...
Apple выпустила iOS 12.4.1, tvOS 12.4.1, tvOS 5.3.1 и обновлённую сборку macOS 10.14.6 iOS 12.4.1 — обновление, делающее джейлбрейк невозможным Как и предполагалось, Apple просто не могла себе позволить надолго оставить своих пользователей без защиты от взлома. Поэтому спустя всего неделю с момента обнаружения в iOS 12.4 уязвимости, позволяющей выполнить...
[Перевод] Государственный университет Адамс. Как взламывать веб-сайты. Часть 2 Государственный университет Адамс. Как взламывать веб-сайты. Часть 1 Давайте поговорим о нашей следующей атаке. Расскажу, как серверы вас идентифицируют. Для этого между браузером и сервером используется протокол HTTP без сохранения состояния, когда общение с сервером проис...
Security Week 44: NordVPN, TorGuard и половинчатый взлом На прошлой неделе широко обсуждался взлом VPN-провайдера NordVPN, а также пары других подобных сервисов (в частности, упоминался TorGuard). Источником информации стал Твиттер, сообщения оттуда затем были подхвачены СМИ (Techcrunch, Хабр). NordVPN и TorGuard по следам этих ст...
Мнимая безопасность. Только за последние две недели хакеры нашли в блокчейн-платформах два десятка уязвимостей Специалисты по компьютерной безопасности, так называемые белые хакеры, продолжают находить уязвимости в блокчейн-платформах. За последние две недели ими было обнаружено 20 ошибок в семи криптовалютных проектах, за раскрытие которых они получили в общей сложности $7 400 в кач...
В опасности миллионы смартфонов Xiaomi, Samsung и Huawei. Google обнаружила незакрытую уязвимость Android Исследователи компании Google из команды безопасности Project Zero обнаружили незакрытую уязвимость в мобильной операционной системе Android. Она ставит под удар безопасность на популярных смартфонах нескольких производителей, включая Xiaomi, Samsung и Huawei. Эк...
[recovery mode] Команда Google Project Zero нашла серьезную уязвимость в ядре macOS Команда Google Project Zero хорошо известна своим умением находить недостатки безопасности как в собственных продуктах компании, так и в продуктах других фирм. Её члены обнаруживают недостатки в программном обеспечении, сообщают о них производителям в частном порядке и дают ...
Security Week 42: аппаратные бэкдоры, уязвимость в Intel NUC Уязвимости в ПО низкого уровня, которое запускается до загрузки операционной системы, бывают не только в «айфонах». На прошлой неделе были закрыты уязвимости в прошивках двух популярных устройств — в игровой и медиаприставке Nvidia Shield TV и в компьютерах семейства Intel N...
Не надо экономить на цифровой безопасности Чуть ли не каждый день мы слышим о новых хакерских атаках и обнаруженных уязвимостях в популярных системах. А уж сколько всего сказано про то, что кибератаки оказали сильнейшее влияние на результаты выборов! Причём не только в России. Кажется очевидной необходимость принят...
Security Week 37: уязвимость в Android, Microsoft против deepfakes, популярность Windows 7 Уязвимости в iOS мы обсудили на прошлой неделе, пришла очередь уязвимостей в Android. Четвертого сентября информацию о проблеме в Android опубликовали исследователи из Zero Day Initiative (новость, бюллетень), причем на момент публикации она так и не была закрыта. В выпущенн...
Дыру в безопасности для взлома WhatsApp с помощью видео залатали Команда Facebook, которой сейчас принадлежит популярный WhatsApp, опубликовала заявление, в котором говорится об устранении найденной не так давно уязвимости в WhatsApp. Критическую уязвимость CVE-2019-11931 в приложениях WhatsApp для Android и iOS позволяла злоу...
«Игра престолов»: разработчики Trezor ответили на заявление Ledger об уязвимостях Разработчики популярных аппаратных кошельков Trezor прокомментировали заявление компании-конкурента Ledger о ряде уязвимостей в своих продуктах. In response to Ledger’s presentation at #MITBitcoinExpo, here is how we mitigated the mentioned vulnerabilities. Read our official...
Шифровальщик JNEC.a распространяется с помощью уязвимости в WinRAR Эксперты предупредили, что свежую уязвимость в WinRAR начали использовать для распространения вымогателя JNEC.a. Хуже того, даже заплатив выкуп шантажистам, спасти данные не удастся.
Apple перенесла релиз iOS 13.1 и iPadOS на неделю раньше Apple перенесла дату выхода iOS 13.1 В последнее время Apple часто откладывает запуск новых продуктов, о многих из которых пользователи даже не догадываются. AirPods первого и второго поколений, умные очки с поддержкой дополненной реальности — все они по какой-то причи...
Исследователи вновь предупреждают о старых брешах IoT Операторы IoT-ботнетов все чаще используют давно известные уязвимости для расширения своих сетей. С декабря 2018 года по январь 2019-го аналитики Arbor Networks зафиксировали двукратный рост подобных атак. При этом брешь, которую преступники использовали чаще всего, описали ...
О статическом анализе начистоту Последнее время все чаще говорят о статическом анализе как одном из важных средств обеспечения качества разрабатываемых программных продуктов, особенно с точки зрения безопасности. Статический анализ позволяет находить уязвимости и другие ошибки, его можно использовать в про...
Сотрудник Google сумел взломать iOS 12 Йен Бир, сотрудник команды Google Project Zero, занятой исследованиями в области информационной безопасности, обнаружил уязвимость в iOS 12.1.2, которая может использоваться для взлома операционной системы. Об этом исследователь сообщил в официальном блоге проекта. На основ...
Безопасность iOS 13.1 поставлена под сомнение iOS 13.1 повержена хакерами Apple ежегодно совершенствует безопасность своих операционных систем — для этого компания нанимает лучших специалистов в области информационных технологий. iOS 13 не стала исключением из этого правила — разработчики внедрили в ОС новые...
В Exim пропатчили критическую уязвимость Разработчики почтового агента Exim выпустили экстренный патч к критической уязвимости своего продукта. Как уточняется в описании, злоумышленники могли атаковать системы версий 4.80–4.92.1 с включенным TLS, чтобы выполнить на сервере сторонний код с root-привилегиями. Описани...
Агентство по кибербезопасности США призывает срочно установить iOS 13.2 iOS 13.2, несмотря на баги, лучше всё-таки установить. И вот почему То, что сейчас происходит с Apple, походит на чёрную полосу, которую компания никак не преодолеет. iOS 13 оказалась настолько проблемной, что теперь в Купертино вынуждены, не покладая рук, проектировать свеж...
Обновление* Ethereum «Constantinople» откладывается из-за найденной в последний момент потенциальной уязвимости *многие называют это событие «hard fork»-ом, но «Виталик» против. Долгожданный релиз Constantinople должен был состояться 17 января, в 4AM UTC, однако, в очередной раз жестоко обломав несметную армию разработчиков countdown счетчиков этому не суждено будет сбыться. Читать ...
Победа на PHDays 9. Делимся лайфхаками в трёх частях. Часть 3 Всем привет! Прошло уже несколько недель с момента нашей победы, эмоции схлынули, поэтому время браться за оценку и разбор того, что у нас не получилось. В нашей работе не важно — победили мы в соревновании или нашли уязвимость в реальном проекте, но всегда важно провести ра...
Apple выпустила iOS 12.4.2, watchOS 5.3.2 и macOS 10.14.6 iPhone 5s и iPhone 6 всё ещё обновляются, не списывайте их со счетов Несмотря на то что традиционно Apple обновляет iPhone и iPad не дольше пяти лет, иногда в Купертино оглядываются назад и выпускают апдейт для устройств, чья программная поддержка уже прекратилась. Это проис...
Безопасные push-уведомления: от теории к практике Привет, Хабр! Сегодня расскажу о том, чем мы с коллегами заняты уже несколько месяцев: о пуш-уведомлениях для мобильных мессенджеров. Как я уже говорил, в нашем приложении главный упор сделан на безопасность. Поэтому мы выясняли, есть ли у пуш-уведомлений “слабые места” и ...
40 миллионов флагманских смартфонов Samsung под угрозой, включая новейшие Galaxy S10 и Note10 На прошлой неделе Google обнаружила незакрытую уязвимость Android, которая имеется в популярных флагманах Xiaomi, Samsung и Huawei. А теперь компания Samsung подтвердила наличие двух десятков уязвимостей в системе безопасности, которые охватывают 40 миллионов пользовате...
Уязвимость Bluetooth позволяет узнать местоположение любого iPhone Исследователи из Бостонского университета Дэвид Старобински и Йоханнес Беккер узнали о новой уязвимости Bluetooth в Windows 10, iOS и macOS. В опубликованном материале под названием Tracking Anonymized Bluetooth Devices (Отслеживание анонимизированных Bluetooth-...
Между креслом и монитором сидит главная уязвимость в системе: VAP-персона Источник: Proofpoint Наборы эксплоитов и известные уязвимости ПО применяются для кибератак очень редко. На самом деле, более 99% успешных атак производится с участием жертвы. Цель должна собственноручно открыть файл, запустить макрос, нажать на ссылку или выполнить какое-т...
Почему не работают групповые звонки в FaceTime На прошлой неделе компания Apple отключила функцию групповых звонков в FaceTime для всех пользователей без исключения. В качестве причины был назван сбой, который позволял вызывающему абоненту прослушать своего собеседника на другом конце, даже если тот предпочел не отвечат...
Пользователям iOS 13 угрожает фальшивый джейлбрейк Джейлбрейк — это опасно. Но еще опаснее — поддельный джейлбрейк Несмотря на то что джейлбрейк давно перестал быть чем-то обыденным, всё ещё остаются пользователи, которые с нетерпением ждут, когда хакеры отыщут в iOS лазейку и позволят обмануть защитные механизмы...
0-day уязвимость в Chrоme позволяет собирать данные о пользователях через файлы PDF Эксперты компании EdgeSpot предупредили об активной уязвимости нулевого дня в браузере Chrome. Так как патча пока нет, специалисты рекомендуют не открывать файлы PDF прямо в браузере.
Security Week 25: уязвимость в Evernote и сотни взломанных интернет-магазинов Специалисты компании Guardio обнаружили (новость, исследование) интересную уязвимость в Evernote. Точнее, не в самом приложении для хранения заметок, а в расширении для браузера Google Chrome. Evernote Web Clipper позволяет сохранять веб-страницы, причем как целиком, так и ч...
Злоумышленники опробуют новый эксплойт для Exim Зафиксированы первые попытки массовой эксплуатации недавно обнародованной уязвимости в почтовом агенте Exim. Пользователям продукта настоятельно рекомендуется обновить его до версии 4.92. В настоящее время Exim используют более половины почтовых серверов в Интернете. Для зло...
Критическая уязвимость в ОС Windows грозит новой волной массовых вирусных заражений Стало известно о новой критичной уязвимости, которая грозит новой волной массовых вирусных заражений. Уязвимости …
Очередные уязвимости нашли в процессорах Intel и контроллерах Thunderbolt 3 Ну что, вот и очередная порция уязвимостей подъехала. Как-то последнее время их слишком много стали […]
Размер бонуса за обнаружение уязвимости в iPhone может достигать $1 млн Купертиновская компания предложила всем желающим заняться обнаружением уязвимостей в ее смартфонах. ***
Исследователи провели серию успешных атак на аппаратные кошельки Trezor и Ledger Киберспециалисты из Wallet.fail обнаружили ряд уязвимостей в аппаратных криптовалютных кошельках Trezor и Ledger. В результате им удалось провести серию успешных атак на кошельки во время Chaos Communication Congress в Лейпциге. Our #35c3 talk is now online. You can watch it...
Причины внедрить в процесс разработки статический анализатор кода PVS-Studio PVS-Studio – это инструмент для поиска ошибок и потенциальных уязвимостей в исходном коде программ, написанных на языках C, C++, C# или Java. PVS-Studio относится к классу инструментов статического тестирования защищённости приложений (Static Application Security Testing, S...
GandCrab распространяется через вики-систему Confluence Злоумышленники используют RCE-уязвимость в Atlassian Confluence для распространения шифровальщика GandCrab. Заплатка для бреши CVE-2019-3396 вышла 20 марта, однако далеко не все пользователи вики-системы успели ее установить. Согласно отчету ИБ-компании Alert Logic, начало в...
Google обнаружила несколько уязвимостей в iOS, одну из которых Apple ещё не исправила Исследователи Google обнаружили шесть уязвимостей в программном обеспечении для iOS, одна из которых ещё не была исправлена разработчиками Apple. По сообщениям сетевых источников, уязвимости были обнаружены исследователями проекта Google Project Zero.
Миллионы компьютеров не защищены от уязвимости WannaCry Любой компьютер на базе Windows ХР может быть взломан хитроумными эксплойтами и вирусами
Check Point Research и CyberInt обнаружили серьезную уязвимость в Origin Обнаруженная цепочка уязвимостей могла бы привести к взлому аккаунтов и краже личных данных 300 миллионов геймеров EA по всему миру.
Павел Дуров снова посоветовал пользователям удалить WhatsApp со своих устройств Поводом для этого послужила новая уязвимость принадлежащего Facebook мессенджера, о которой стало известно на днях. При этом Дуров допустил, что разработчики WhatsApp намеренно внедряют уязвимости в приложение для слежки за пользователями.
Google сообщила о серьёзной уязвимости в Android Google объявила об обнаруженной уязвимости в собственной ОС Android, которая затрагивает смартфоны различных брендов. Уязвимость находится в коде ядра операционной системы и может использоваться злоумышленниками для root-доступа к устройству. По иронии, баг был исправлен в...
В ThingsPro Suite — IIoT-шлюзе и менеджере устройств Moxa обнаружены уязвимости «Лаборатория Касперского» обнаружила семь уязвимостей в ThingsPro Suite — IIoT-шлюзе и менеджере устройств компании …
Падение производительности на 40%. Apple рассказала, как активировать в macOS режим полной безопасности от новых уязвимостей в CPU Intel В связи с обнаружением очередного набора уязвимостей в процессорах Intel компания Apple опубликовала инструкцию, как владельцам ПК Mac вручную активировать полную защиту. Apple уточняет, что большинству пользователей делать этого не требуется, так как, во-первых, это п...
Telegram наносит ответный удар DPI и блокировкам — Fake TLS Telegram тестирует новый вариант обхода блокировок — маскировка трафика под обычный TLS (https). Предистория: Попытки заблокировать Telegram происходят в разных странах, первый вариант блокировки был простым — блокировка IP адресов серверов Telegram. Telegram достаточно ...
Атакующие уничтожили данные на серверах сервиса VFEmail Злоумышленники взломали серверы электронной почты VFEmail и уничтожили все данные американских пользователей. Атакующие удалили информацию без требования выкупа у владельцев компании. Ее сотрудники работают над восстановлением сообщений и функциональности сервиса, но отмечаю...
Security Week 45: уязвимости Chrome и BlueKeep в дикой природе Компания Google выпустила апдейт браузера Chrome 31 октября, в котором были закрыты две серьезные уязвимости. Одна из них (CVE-2019-13720) использовалась в реальных атаках и была обнаружена (новость, исследование) специалистами «Лаборатории Касперского». Уязвимость (CVE-2019...
РЖД назвала россиянина злоумышленником за поиск уязвимости в защите «Сапсана» Недавно пользователь «Хабра» рассказал о том, как взломал Wi-Fi в «Сапсане» и получил доступ к информации обо всех пассажирах. В РЖД узнали об инциденте и дали довольно странный комментарий.
В Android исправлены две критические RCE-уязвимости Инженеры Google представили апрельский набор патчей для Android. Сразу несколько уязвимостей получили статус критических и две из них позволяют выполнить произвольный код.
Старые версии Windows получают новый патч KB4500705, чтобы остановить атаки в стиле WannaCry Microsoft пытается предотвратить еще одну вспышку вредоносного ПО в стиле WannaCry до ее начала. Гигант программного обеспечения выпустил исправления KB4500705 для уязвимости Службы удаленных рабочих столов (также называемой службами терминалов), которая делает возможным рас...
Решение задания с pwnable.kr 08 — leg, и 10 — shellshock. ARM ассемблер. Уязвимость bash В данной статье вспомним синтаксис ARM ассемблера, разберемся с уязвимостью shellshock, а также решим 8-е и 10-е задания с сайта pwnable.kr. Организационная информацияСпециально для тех, кто хочет узнавать что-то новое и развиваться в любой из сфер информационной и компьют...
Security Week 22: статистика угроз, банковские трояны и популярные эксплойты На прошлой неделе «Лаборатория Касперского» опубликовала отчет об эволюции киберугроз в первом квартале 2019 года. Краткий обзор можно прочитать в этой новости, а в посте мы подробнее рассмотрим две темы: банковские трояны для Android и Windows, а также наиболее часто эксплу...
NVIDIA просит пользователей обновить драйвер из-за уязвимости Компания NVIDIA выявила уязвимость, которая грозит владельцам видеокарт Geforce, Quadro и Tesla. Эта уязвимость подвергает риску операционную систему и уже выявлена в пяти эксплоитах.
Уязвимость в vBulletin использовали для взлома форумов Comodo. Пострадали 245 000 пользователей Хотя разработчики vBulletin уже выпустили патч для свежей 0-day проблемы, обновление пока установили далеко не все, а злоумышленники не дремлют. Первой крупной жертвой взлома из-за этой уязвимости стала компания Comodo.
Что нам стоит CDN построить? Привет Хабр! В этой статье мы будем строить свой CDN. Почему не воспользоваться готовыми решениями? Потому что сайт автора полностью статический, сделанный на Jekyll, с большими картинками, которые нужно отдавать максимально быстро. Сервер не должен быть кэширующим, он долже...
Security Week 49: взлом гостиничной инфраструктуры 28 ноября эксперты «Лаборатории Касперского» опубликовали интересное исследование о систематических атаках на компьютеры в гостиницах. Подтвержденных жертв кампании больше 20, потенциальных — больше тысячи. Исследованные атаки, скорее всего, ведут две разные группировки с не...
Мошенники вывели средства с карт «Кукуруза» при помощи Apple Pay Начиная со 2 мая на сайте Banki.ru стали появляться жалобы владельцев карт "Кукуруза" о хищении у них средств, пишет "КоммерсантЪ". Жертвы атаки получили СМС, что их карта подключена к Apple Pay, сразу после этого были выведены деньги на номер Теле2. Все ...
Смартфоны OnePlus массово раскрывали данные пользователей чужакам У смартфонов OnePlus была раскрыта масштабная уязвимость в системе безопасности, затронувшая множество пользователей. Из-за уязвимости были раскрыты адреса электронной почты сотен пользователей через приложение Shot on OnePlus. Данное приложение предлагает л...
Найден новый способ взломать переписку пользователей Android Android-пользователям угрожает опасность взлома. Опять Существует масса способов взломать смартфон конкретного пользователя и получить доступ к его переписке и файлам, которые хранятся в памяти. Обычно этим занимаются троянские приложения, которые выдают себя за доброкачеств...
Ботнет Roboto атакует серверы Linux с уязвимым Webmin Специалисты Qihoo 360 Netlab изучили ботнет Roboto, появившийся летом текущего года и эксплуатирующий уязвимость в Webmin.
Комбо для Drupal. Как захватить сайт с Drupal, используя новые уязвимости Для подписчиковВ этой статье я расскажу о двух уязвимостях в популярной CMS Drupal. Одна из них связана с архивами PHAR, не особенно страшна и работает только с правами админа, но если подключить другую (XSS), то такой дуэт становится уже очень опасным для любого сайта на не...
Владельцы старых Mac оказались под угрозой Не так давно мы публиковали материал, в котором рассказали про новую уязвимость в процессорах Intel. Выяснилось, что проблеме подвержены не только персональные компьютеры на Windows, но и Mac. К счастью, Apple среагировала оперативно и частично устранила уязвимость в macOS ...
Релиз iOS 12.1.4 исправил 0-day уязвимости и баг, допускавший «подслушивание» через FaceTime Пользователям устройств Apple пора устанавливать обновления. Разработчики исправили нашумевшую проблему в FaceTime, а также стало известно о двух уязвимостях нулевого дня, которые эксплуатируют хакеры.
Через уязвимость в vBulletin взломаны форумы для секс-работников Болгарский хакер скомпрометировал несколько форумов, включая итальянские и нидерландские ресурсы для секс-работников (в этих странах проституция является законной), и теперь продает похищенные данные на черном рынке.
В Xiaomi нашли опасную уязвимость Как сообщает «Коммерсант», Guard Provider позволяет устанавливать на смартфоны Xiaomi вредоносный код незаметно для владельца. Ирония в том, что это предустановленное приложение как раз должно защищать пользователя от кибератак. Приложение присутствует на всех новых мобильны...
Биткоины владельцев ASIC-майнеров от Bitmain оказались под угрозой из-за уязвимости Разработчик Bitcoin Core Джеймс Гиллард обнаружил уязвимость в ПО для устройств Antminer S15, которая в теории позволяет злоумышленникам полностью взять под контроль ASIC. Одновременно с этим разработчик убежден, что это не единственная версия ПО от Bitmain, подверженная уяз...
Apple заплатит до $1 млн за найденные уязвимости в её продуктах В 2016 году компания Apple запустила программу по вознаграждению за ошибки, найденные в «яблочных» продуктах. Изначально программа работала в отношении уязвимостей на iOS. В нынешнем году Купертино расширила программу по вознаграждению за обнаруженные баги, и теперь она каса...
[Перевод] Распаковка: загрузчик Dridex Доброй ночи, друзья! Менее чем через месяц у нас стартует курс «Реверс-инжиниринг», в связи с этим традиционно делимся полезным материалом по теме. У некоторых читателей были проблемы с распаковкой начального загрузчика для Dridex (того, что был сброшен макросом), поэтому с...
Google выпустила первое обновление Android в этом году Компания Google представила январское обновление безопасности, распространение которого уже началось среди владельцев смартфонов линейки Google Pixel, а значит, в скором времени оно станет доступно для установки на аппараты сторонних производителей. Апдейт, ставший первым в...
Вымогатель Shade наносит удар через взломанные сайты Исследователи ThreatLabZ обнаружили вредоносные кампании, построенные на уязвимостях движков WordPress и Joomla. Злоумышленники размещают опасное ПО в служебных директориях, используя взломанные сайты для рассылки вымогателя Shade/Troldesh и фишинговых атак. Атаки направлены...
Microsoft: Обновления Windows не гарантируют безопасность ПК Microsoft недавно заявила, что повышенные риски безопасности и эксплуатации уязвимостей не являются главной причиной необходимости установки новых обновлений Windows 10
Новый штамм Mirai атакует сразу через 13 эксплойтов Специалисты в области информационной безопасности обнаружили в дикой природе ранее неизвестный вариант зловреда Mirai, который использует сразу 13 эксплойтов для атак на целевые устройства. IoT-бот оснащен компонентами для атаки на роутеры различных производителей, IP-камеры...
Бэкдор позволяет перехватить контроль над умным зданием Специалист Applied Risk Геко Крстич (Gjoko Krstic) обнаружил незадокументированные бэкдоры в автоматизированных системах управления зданиями Optergy. Одна из уязвимостей позволяет получить полный доступ к устройству Proton, предназначенному для удаленного контроля помещений....
Adobe исправила RCE-уязвимость в ColdFusion Компания Adobe исправила три серьезные уязвимости в платформе быстрой разработки ColdFusion. Два бага имеют критический уровень опасности и допускают удаленное выполнение кода, а также обход механизмов контроля доступа. Оставшийся недостаток оценен как важный и связан с возм...
В системе безопасности Epic Games Store найдена серьёзная уязвимость Срочно исправить!
Security Week 36: срок жизни уязвимостей в смартфонах Главная новость прошлой недели — масштабное исследование реальной атаки на устройства на базе iOS, опубликованное экспертом Яном Бером из команды Google Project Zero (новость, блогпост Яна со ссылками на семь дополнительных публикаций). Это редкий пример исследования, в кото...
JungleSec атакует Linux-серверы через интерфейс IPMI Специалисты портала Bleeping Computer рассказали о вредоносной кампании JungleSec, авторы которой проникают на серверы через интерфейс IPMI и шифруют файлы, требуя выкуп. В ряде случаев киберпреступники атаковали целевые устройства в ручном режиме, самостоятельно подавая ком...
Apple заплатит 1 млн долларов за взлом iPhone Apple объявила об обновлении программы награждения программистов, нашедших брешь в продуктах компании. Теперь хакер, взломавший iPhone, получит 1 млн долларов от техногиганта. На данный момент это крупнейшая награда за выявленные уязвимости за всю историю.
Новая уязвимость угрожает всем версиям Docker, и патча пока нет Состояние гонки, которому подвержены все версии Docker, позволяет атакующему получить доступ на чтение и запись для любого файла на хосте. PoC-эксплоит для свежей уязвимости уже опубликован.
Решения проблемы спам-ботов, добавляемых в телеграм-группы Привет. Я автор нескольких популярных ботов для администрирования телеграм групп: @daysandbox, @watchdog_robot и других. Каждый день в группе поддержки и в личных сообщениях я вижу один и тот же вопрос: как мне защититься от спам-ботов, добавляемых в группу. Обычно ещё уточн...
Ломаем Micosoft Lunix на HackQuest 2019 Привет, Хабр! На HackQuest перед конференцией ZeroNight 2019 было одно занимательное задание. Я не сдал решение вовремя, но свою порцию острых ощущений получил. Я считаю, вам будет интересно узнать, что приготовили организаторы и команда r0.Crew для участников. Задание: ...
Российские хакеры пошли дальше использования уязвимостей и модифицируют Chrome и Firefox для отслеживания зашифрованного трафика пользователей Многие злоумышленники для взлома просто используют уязвимости в браузерах, но одна группа пошла дальше. Об этом рассказали специалисты «Лаборатории Касперского». В компании обнаружили, что хакеры из российской группы Turla научилась модифициров...
Уязвимость позволила взломать электронные четки с "умным" крестом за 15 минут В электронных четках eRosary из Ватикана обнаружена серьезная уязвимость, благодаря которой на их взлом ушло всего 15 минут. Об этом рассказало издание CNET.
Взломать iPhone — просто. Раскрыт главный секрет хакеров Журналисты издания Motherboard провели тщательное расследование и выяснили, каким образом хакеры находят уязвимости в смартфонах Apple и взламывают устройства, извлекая из них ценную информацию.
Хакеры взломали сервер NASA. Rомпьютерная сетевая безопасность одной из ведущих исследовательских лабораторий мира находится на весьма посредственном уровне, что и стало причиной ее успешного хакерского взлома в апреле 2018 года. Злоумышленники, использовали неавторизированный компьютер на базе Raspberr...
Безопасность Helm Эмоджи классные, с их помощью можно даже отразить всю суть рассказа о самом популярном пакетном менеджере для Kubernetes: коробка — это Helm (это самое подходящее, что есть в последнем релизе Emoji); замок — безопасность; человечек — решение проблемы. Конечно, построить...
Бог не уберег: "умные" четки Ватикана взломали за считанные минуты Французский исследователь Батист Робер обнаружил уязвимость в приложении Click to Pray, с которым синхронизируются четки, представленные на прошлой неделе. Из-за нее хакеры могли с легкостью получить доступ к аккаунту жертвы.
В смартфонах Xiaomi нашли уязвимость безопасности Закрывающий её патч уже был выпущен.
Умные ТВ Supra допускают стороннее вмешательство в просмотр Независимый ИБ-исследователь Дхирадж Мишра (Dhiraj Mishra) нашел способ подменять трансляцию на смарт-телевизорах Supra. Программную ошибку можно использовать как для невинных розыгрышей, так и для более опасных атак. Проблема связана с функцией openLiveURL(), которая обеспе...
Австралийские веб-хостеры пострадали от взломщиков Специалисты Австралийского центра кибербезопасности (Australian Cyber Security Centre, ACSC) рассказали об атаках злоумышленников на поставщиков хостинговых услуг. Преступники взламывали уязвимые веб-сервера, чтобы добывать криптовалюту, организовывать мошеннические рекламны...
Хакеры сделают операционную систему Huawei более ... Белый дом обещает помиловать Huawei. Полная амнистия дана не будет, речь идет лишь о послаблении в части возврата к сотрудничеству с рядом американских компаний. Главный и единственный вопрос, который волнует фанатов на мировом рынке, заключается в том, сможет ли Huawei внов...
Сайты на WordPress атакованы через уязвимость в плагине Yuzo Related Posts Из-за XSS-уязвимости в составе плагина Yuzo Related Posts были атакованы использующие плагин сайты, включая популярный почтовый сервис Mailgun.
Эксперты составили черный список уязвимых плагинов Magento Независимый исследователь Уиллем де Грут (Willem de Groot) вместе с другими специалистами запустил репозиторий небезопасных расширений CMS Magento. На момент публикации в хранилище собрано более 60 плагинов. Инициатива призвана помочь веб-администраторам устранить уязвимости...
Самые популярные браузеры не устояли перед китайскими хакерами Иногда взлом — это благое дело Иногда взлом различных программ и техники бывает полезен. И мы сейчас имеем в виду совсем не тот факт, что обнаружение уязвимостей помогает разработчикам выпускать патчи, и делать свои продукты лучше. Точнее, не совсем об этом. Среди хакр...
Взломщики создавали на сайтах аккаунты администратора Исследователь Майки Винстра (Mikey Veenstra) сообщил о новом витке развития активной вредоносной кампании на WordPress. Злоумышленники, которые ранее атаковали уязвимые плагины, чтобы показывать нежелательные рекламные баннеры и привлекать трафик на мошеннические сайты, тепе...
Apple выпустила iOS 12.4.1 с исправлением уязвимости для джейлбрейка Apple выпустила iOS 12.4.1, небольшое обновление, которое появилось через месяц после запуска iOS 12.4. Обновление iOS 12.4.1 доступно на всех беспроводных устройствах в приложении «Настройки». Чтобы получить доступ к обновлению, выберите «Настройки»> «Основные»> «Обно...
Бесплатные варианты лицензирования PVS-Studio Существует несколько вариантов бесплатного лицензирования статического анализатора кода PVS-Studio, предназначенного для поиска ошибок и потенциальных уязвимостей. Бесплатной лицензией могут воспользоваться открытые проекты, маленькие закрытые проекты, публичные специалисты...
В Apple News+ нашли первую серьёзную уязвимость В ходе вчерашнего мероприятия, Apple представила обновленный новостной агрегатор Apple News+. Компания сумела договориться с многими популярными новостными изданиями и журналами, и теперь все они будут доступны для чтения на iPhone, iPad и Mac в рамках одного приложения. Пр...
[Перевод] Государственный университет Адамс. Как взламывать веб-сайты. Часть 1 Ведущий: благодарю всех за то, что пришли на нашу первую лекцию из серии «Беседы о науке и математике во время обеденного перерыва». Вы получили электронные письма, кроме того, вокруг этого здания кампуса расклеены расписания семи лекций, которые состоятся в этом семестре. Я...
Новая критическая уязвимость в ОС Windows может вызвать эпидемию масштаба WannaCry и Petya Cогласно информации, предоставленной компанией Microsoft, для успешной атаки злоумышленнику необходимо лишь иметь сетевой доступ к компьютеру или серверу с уязвимой версией операционной системы Windows. Для эксплуатации уязвимости злоумышленнику достаточно отправить специаль...
«Тушить» ли сервера, если «загорелся» смоук тест датацентра? Что бы вы почувствовали, если в один прекрасный летний день дата-центр с вашим оборудованием стал бы выглядеть вот так? Всем привет! Меня зовут Дмитрий Самсонов, я работаю ведущим системным администратором в «Одноклассниках». На фотографии один из четырёх дата-центров, гд...
Facebook подала в суд на производителя шпионских решений из-за эксплуатации уязвимости в WhatsApp Facebook обратилась в суд с иском против израильской компании NSO Group, которая занимается разработкой и продажей шпионских решений и так называемой «легальной малвари». Камнем преткновения стала уязвимость нулевого дня в WhatsApp, которая использовалась для атак на правоза...
В популярных системах удалённого доступа VNC обнаружены уязвимости Система VNC предназначена для предоставления одному устройству удалённого доступа к экрану другого. При этом спецификация протокола не ограничивает выбор ОС и позволяет кроссплатформенные реализации, что делает систему одной из самых распространённых. Точное количество инста...
Oracle выпустила новый набор патчей Очередные обновления для продуктов Oracle содержат 219 заплат; многие из них закрывают сразу несколько уязвимостей. В то же время некоторые баги затрагивают разные продукты — например, RCE-уязвимость CVE-2019-14379 в программном пакете FasterXML jackson-databind, обеспечиваю...
Взлом WPA3: DragonBlood Несмотря на то, что новый стандарт WPA3 еще толком не введен в эксплуатацию, недостатки безопасности в этом протоколе позволяют злоумышленникам взломать пароль Wi-Fi. Читать дальше →
В VLC Media Player нашли критическую уязвимость Постаралось немецкое агентство сетевой безопасности CERT-Bund.
Вышло первое обновление безопасности для Android 10 В нем исправлено 49 критических уязвимостей
Rozetka повысила порог стоимости покупки для платного самовывоза – с 300 грн до 500 грн В начале октября в магазине Rozetka внедрили достаточно оригинальное новшество – самовывоз из розничных магазинов покупок стоимостью менее 300 грн стал платным. И хотя стоимость такой услуги нельзя назвать высокой – 10 грн – но на фоне низкой цены покупки это заметное увелич...
Файлы по рельсам. Как читать любые файлы с сервера через Ruby on Rails Для подписчиковТы наверняка в курсе, что такое Ruby on Rails, если когда-нибудь сталкивался с веб-девом. Этот фреймворк в свое время захватил умы разработчиков и успешно применяется до сих пор. Любая уязвимость в нем означает огромное количество потенциальных целей. В этот р...
Intel нашла уязвимость в своих процессорах Компания Intel заявляет об уязвимости, которую обнаружили почти во всех фирменных процессорах, выпущенных с 2011 года. Проблему обнаружили ученые из Технологического университета Граца. Это новый класс уязвимостей Microarchitectural Data Sampling (MDS), основанный на техн...
Стали известны детали обнаруженной в Lightning Network уязвимости Разработчик Blockstream Расти Рассел раскрыл более подробную информацию об уязвимости в сети Lightning Network, о которой впервые стало известно в конце августа. ICYMI: Here are all the details of the recent Lightning bug. https://t.co/NVzKmGW5I6 — TheRustyTwit (@rusty_twit)...
Пользователей Lightning Network призвали срочно обновить ПО из-за обнаруженной уязвимости Биткоин-разработчик Расти Рассел обнаружил уязвимость в различных имплементациях Lightning Network (LN), способную привести к потере средств. Upgrade #lightning nodes please! c-lightning < 0.7.1, lnd < 0.7, eclair <= 0.3 vulnerable:https://t.co/4E2hHUy386 — TheRusty...
У Microsoft Edge выявили новую уязвимость На сайте GitHub появился эксплойт для уязвимости CVE-2018-8629, который нашли ребята с Phoenhex. Эксплойт был обнаружен в движке Chakra браузера Edge. Эта уязвимость позволяет выполнить удаленно код с правами администратора за счет выхода рамок выделенной памяти. Те, кто уст...
Уязвимость в SIM-картах позволяет взломать миллиарды смартфонов Эксперты по кибербезопасности нашли в SIM-картах уязвимость, которая позволяет взломать более миллиарда существующих смартфонов. С её помощью злоумышленники могут перехватывать звонки и сообщения пользователей, а также видеть местоположение.
Принципы свободного рынка в понимании США Сей пост есть дубль записей из моего Телеграм канала. Посчитал нужным поделиться обнаруженными фактами c хабраобществом. Однажды я вам рассказывал про случай, когда служба CFIUS при Министерстве внутренней безопасности США заставила китайцев продать ЛГБТ соцсеть, ибо негоже...
В онлайн-оплате картами найдена уязвимость Компания ChronoPay предупредила об уязвимости в протоколе 3D Secure, через который производится оплата с банковских карт на сайтах и в мобильных приложениях.
Критическая уязвимость MacOS Mojave активно эксплуатируется злоумышленниками Киберпреступники активно эксплуатируют уязвимость в MacOS Mojave, которая позволяет обойти Gatekeeper — технологию, обеспечивающую запуск только доверенного программного обеспечения. Читать дальше →
Уязвимости TPM-FAIL угрожают ПК, ноутбукам, серверам и другим устройствам Группа исследователей раскрыла детали двух проблем, получивших общее название TPM-FAIL. Баги связанны с Trusted Platform Module и позволяют извлекать из TPM криптографические ключи.
Почему HDD стали реже выходить из строя Поломки жёстких дисков — одна из главных причин простоя серверов в дата-центрах. Но в последнее время число отказов HDD сокращается. Расскажем, почему так происходит. Читать дальше →
Не сканированием единым, или как построить процесс управления уязвимостями за 9 шагов 4 июля мы проводили большой семинар по управлению уязвимостями. Сегодня мы публикуем расшифровку выступления Андрея Новикова из Qualys. Он расскажет, какие этапы нужно пройти, чтобы выстроить рабочий процесс управления уязвимостями. Спойлер: до сканирования мы доберемся толь...
Для Firefox выпустили экстренное обновление безопасности Хакеры уже пытались воспользоваться уязвимостью нулевого дня.
Игроки обнаружили уязвимость ботов OpenAl 19 апреля стартовало открытое тестирование ботов в Dota 2 OpenAl, где любой желающий может сразиться с искусственным интеллектом. Не прошло и суток со старта теста, а игроки уже нашли слабое место ботов и очень легко их обыгрывают. Вся слабость ботов заключается в том, чт...
Google случайно выпустила секретное обновление Android Случайные обновления становятся нормой для Google. Главное — чтобы пользователям не вредили Обновления Android – сложная и неоднозначная тема. Говорят, что они существуют, но подавляющее большинство пользователей никогда с ними не сталкивались. Откуда такая информация,...
Уязвимость в iPhone позволяла шпионить за дипломатами и лидерами государств Уязвимость в iPhone позволяла бывшим сотрудникам американской разведки, работающим на правительство ОАЭ, на протяжении нескольких лет шпионить за чиновниками, дипломатами и даже лидерами иностранных государств. Об этом сообщает Reuters со ссылкой на источники, пожелавшие ос...
В сетях 5G уже найдены уязвимости Развертывание сетей 5G только начинается, а исследователи в области безопасности уже пытаются найти в них слабые места. По сообщению источника, недавно им удалось обнаружить три уязвимости в сетях 4G и 5G, которые можно использовать для перехвата телефонных звонков и от...
В Adobe Flash и ColdFusion закрыты опасные уязвимости Компания Adobe выпустила обновления для Flash Player и платформы ColdFusion, в которых объявились программные ошибки, грозящие исполнением произвольного кода. Совокупно разработчик устранил 11 уязвимостей в трех продуктах, включая маркетинговое решение Adobe Campaign. В итог...
Тестирование дешевых виртуальных серверов У многих хостеров есть в продаже дешевые виртуальные серверы, к тому же в последнее время стали в большом количестве появляться рекламные тарифы с различными ограничениями (например, возможностью заказа одного такого виртуального сервера для одного аккаунта), цена на которые...
Уязвимость софта для телеконфенций Zoom позволяет любым сайтам шпионить за пользователями через веб-камеру Изображение: Medium.com Исследователь безопасности обнаружил уязвимость в софте для проведения телеконференций Zoom. При использовании программы на компьютерах Mac, любой открытый пользователем сайт может активировать камеру на устройстве без запроса разрешения на данное ...
Хакерам заплатят до 200 000 евро за обнаружение багов ... Те, кто участвует в поиске багов и уязвимостей, могут неплохо зарабатывать. Это в очередной раз доказала компания Huawei, которая провела встречу с рядом известных хакеров в Мюнхене. Цель была объявить о том, что она тоже будет присуждать вознаграждение хакерам и энту...
В официальном магазине игр Electronic Arts найдена серьезная уязвимость Electronic Arts - вторая по величине игровая компания в мире, может похвастаться такими играми, как FIFA, Madden NFL, NBA Live, UFC, The Sims, Battlefield, Command and Conquer и Medal of Honor. Игры EA можно купить на платформе Origin, которая также позволяет играть в них на...
iOS 13 запретит WhatsApp и Facebook прослушивать пользователей Спрятаться от слежки в интернете невозможно. Что бы вы ни пытались сделать, скрыть свою активность от тех, кто заинтересован в том, чтобы проследить за вами, полностью все равно не удастся. Даже в iOS, такой защищенной и безопасной, нет-нет да и обнаруживаются механизмы, по...
Приложения Facebook, Instagram и WeChat не обновляются в Google Play Store Обновление, которое не обновляетРаспространено мнение, что, если человек регулярно обновляет приложения до последней версии, он защищен от хакерских атак. Но это не так. Исследователи Check Point доказали, что патчи в высококлассных приложениях - Facebook, Instagram, WeChat ...
Апрельские патчи Oracle закрыли 297 брешей Компания Oracle выпустила очередной ежеквартальный набор патчей для своих продуктов. На сей раз заплатки закрывают 297 уязвимостей. Это несколько больше, чем в январском обновлении, которое устраняло 284 бреши. Разработчики залатали дыры в бизнес-платформе Fusion Middleware,...
Злоумышленники взломали веб-приложение института в США Злоумышленники взломали веб-приложение Технологического института Джорджии (Georgia Tech) и получили доступ к личной информации студентов, преподавателей и сотрудников. Под угрозой оказались данные 1,3 млн человек. Атака произошла 14 декабря 2018 года, однако обнаружить это ...
GraphQL Voyager как инструмент для поиска уязвимостей В настоящее время все больше компаний начинают использовать GraphQL. Это относительно новая технология (если быть более точным, то это язык запросов), которая призвана решить существующие проблемы REST. Если вы еще не знакомы с GraphQL, то рекомендую начать с ресурсов: ...
Electronic Arts устранила критическую брешь в клиенте Origin Компания Electronic Arts исправила брешь в игровой платформе Origin. Баг затронул только компьютеры под ОС Windows и позволял злоумышленникам повысить привилегии до уровня авторизованного пользователя. Патч для этой уязвимости был выпущен в понедельник, 15 апреля. Дейли Би (...
Google обнаружила брешь в безопасности смартфонов Pixel, Samsung, Huawei и Xiaomi Исследователи Google обнаружили серьезную уязвимость безопасности в ряде устройств Android, и, как ни странно, считалось, что проблему устранили еще в далеком декабре 2017 года. Речь идет о популярных моделях Pixel, Pixel 2, Huawei P20, Samsung Galaxy S7, S8 и S9. Xiaomi Re...
Уязвимость в ProFTPD позволяет копировать файлы без разрешения и выполнять произвольный код При соблюдении определенных условий серверы ProFTPD уязвимы перед удаленным исполнением кода и атаками на раскрытие информации.
Криптоджекинг-кампания Nansh0u: взломаны 50 тысяч серверов Эксперты Guardicore Labs проанализировали непривычно сложные атаки на серверы MS-SQL и PHPMyAdmin, целью которых являлась установка майнера криптовалюты. За три месяца злоумышленникам удалось взломать более 50 тыс. машин, принадлежащих представителям сферы здравоохранения, т...
Зафиксировано первое появление BlueKeep «в дикой природе» Вчера появилась информация о попытках эксплуатации BlueKeep (CVE-2019-0708), критичной RCE-уязвимости в ОС Windows, с целью установки криптомайнера Manero. Исследователь Kevin Beamount, сообщил в Твиттере, что несколько хостов из его сети RDP-ханипотов ушли в состоянии BSOD,...
Критическая уязвимость имплантированных устройств жизнеобеспечения дает злоумышленникам возможность управлять ими О том, что производители разного рода девайсов основное внимание уделяют дизайну и удобству пользования, оставляя вопросы информационной безопасности за бортом, на Хабре писали много раз. Это касается как компаний, которые выпускают смартфоны, IoT гаджеты, плюс оказалось, ...
Хакерам предложат взломать самую дешевую Tesla Дэвид Лау, начальник подразделения разработки программного обеспечения автомобилей: «Работа с сообществом исследователей кибербезопасности неоценима для нас. Мы с нетерпением ждем результатов Pwn2Own, чтобы наградить участников за отличную работу и улучшить продукт». Автомоб...
Apple предоставит исследователям в области безопасности «специальные» айфоны для тестирования на ошибки Apple планирует предоставить исследователям безопасности доступ к специальным iPhone, что облегчит им поиск уязвимостей и слабых мест в безопасности, сообщает Forbes со ссылкой на источники, осведомленные о планах Apple. Apple собирается анонсировать новую программу на конфе...
#видео | Хакеры взломали автопилот Tesla нестандартными методами В 2016 году группа исследователей в области безопасности Keen Security Lab успешно взломала систему автомобиля Tesla Model S, после чего компания заметно улучшила ее надежность. В 2019 году хакеры решили выявить слабые стороны автопилота, причем не при помощи взлома програм...
[Из песочницы] Новогодние пляски вокруг FC-адаптера или сказ о том, как далеки порой причины проблемы от симптомов Итак, 4 января в 7:15, протерев глаза от сна, обнаруживаю пачку сообщение в группе Телеграмм от Zabbix-сервера о том, что на одном из серверов виртуализации нагрузка по CPU повысилась: Читать дальше →
Что подарить на 14 февраля? Выбираем подарки ко Дню святого Валентина Мы точно знаем, что вчера, сегодня, завтра и ещё пару дней многие наши читатели ломали и будут продолжать ломать голову над тем, что подарить своей паре. 14 февраля уже близко, и нам совершенно естественно хочется порадовать дорогих нам людей чем-то приятным, что вызовет п...
В Win32k закрыты еще две уязвимости, замеченные в атаках В рамках апрельского «вторника патчей» Microsoft устранила две уязвимости в Win32k, уже используемые в реальных атаках. Схожие проблемы, связанные с этим системным компонентом, разработчик уже решал, притом всего месяц назад. Текст бюллетеней, посвященных брешам CV...
Хакеры научились взламывать смартфоны через WhatsApp WhatsApp взламывают все, кому не лень, а пользователи и не в курсе Существует масса способов взломать смартфон удалённо. Чаще всего для этого используются приложения-шпионы, которые выдают себя за доброкачественное ПО. Они распространяются через Google Play и сторонние площа...
Атака на «Яндекс» была проведена через DNS Уязвимость реестра Роскомнадзора. Регулятору пофиг. Почему молчит судебная система?
Исправление уязвимости Intel ZombieLoad снижает производительность процессоров Новая обнаруженная уязвимость в процессорах Intel позволяет злоумышленникам получать доступ к конфиденциальной информации. Атака получила название ZombieLoad. Суть уязвимостиНовая уязвимость была обнаружена в процессорах Intel учеными из Технологического университета…
Как технологии быстрой разработки могут стать источником неприятных уязвимостей Безопасность на реальных примерах всегда более интересна. Как тестировщик на проникновение, люблю, когда приходят проекты, построенные на фреймворках быстрой разработки (Rapid development), подобно Ruby-on-Rails, Django, AdonisJs, Express и так далее. Они позволяют очень бы...
Турнир Pwn2Own Tokyo 2019 принес участникам более $315 тысяч Участники хакерского турнира Pwn2Own Tokyo 2019 получили $315 тыс. за 18 уязвимостей, которые они обнаружили в умных колонках, телевизорах, роутерах и смартфонах. Уже третий раз подряд главную награду соревнования получили Амат Кама (Amat Cama) и Ричард Жу (Richard Zhu) — их...
Французский эксперт, нашедший уязвимость в созданной в Москве системе электронного голосования, получит 1 млн рублей Об этом сообщил возглавляющий Общественный штаб по наблюдению за выборами главред радиостанции "Эхо Москвы" Алексей Венедиктов, уточнив, что Пьеррик Годри не взломал систему, а указал на ее слабые места.
Хочешь 1 млн долларов? Взломай Google Pixel 4 или аппарат ... Google достаточно давно следует принципу «не можешь победить — купи». Поисковый гигант на регулярной основе запускает программы, в рамках которых выплачивает вознаграждения за найденные уязвимости в своих программных продуктах. Google совсем не прочь выложи...
Небезопасное хранение данных – основной недостаток мобильных приложений По данным исследования, приложения для Android с критически опасными уязвимостями встречаются несколько чаще, чем программы для iOS (43% против 38%). Однако эта разница несущественна, считают эксперты, и общий уровень защищенности клиентских частей мобильных приложений для о...
Mail.Ru Group анонсировала запуск нового безопасного браузера Atom Mail.Ru Group анонсировала запуск нового браузера Atom. Основной упор в новом продукте будет сделан на безопасность и приватность пользователей. Для проверки безопасности самого браузера компания запускает публичную программу поиска уязвимостей. Награда за нахождение серьёзн...
Вирус для iOS крадет данные пользователей iCloud Уходящая неделя стала одной из самых разочаровывающих для пользователей техники Apple. Сгладить ситуацию не смогли даже ежедневные обновления. За прошедшие 5 дней независимые исследователи сообщили сразу о нескольких уязвимостях, которые присутствовали в фирменных устройств...
[Перевод] Axios или Fetch: чем пользоваться в 2019 году? Axios — это широко известная JavaScript-библиотека. Она представляет собой HTTP-клиент, основанный на промисах и предназначенный для браузеров и для Node.js. Если вы работали в последние несколько лет JavaScript-программистом, то вы, совершенно определённо, этой библиотекой ...
Эксплуатация Microsoft Edge от CVE до RCE на Windows 10 В рамках данной статьи мы достаточно подробно рассмотрим процесс написания эксплоита под уязвимость в Microsoft Edge, с последующим выходом из песочницы. Если вам интересно узнать, как выглядит этот процесс, то welcome под кат! Читать дальше →
Шпаргалки по безопасности: CSRF Не смотря на то, что в последнем публиковавшемся перечне уязвимостей OWASP Top 10 2017 CSRF атаки отнесены к разряду “Удалены, но не забыты”, мы решили, что не будет лишим еще раз напомнить о том, как защититься от CSRF атак, опираясь на те же правила, предоставляемые OWAS...
Взломщики эксплуатируют уязвимости в WordPress-плагине Злоумышленники используют бреши в плагине YellowPencil, установленном на более чем 30 тыс. сайтов на базе WordPress. Создатель расширения просит владельцев веб-ресурсов срочно установить обновление. По словам исследователей, за атаками стоят те же преступники, которые в тече...
В загруженном 500 млн раз браузере нашли уязвимость Потенциально опасная функция позволяет загружать вредоносный код и скачивать вспомогательные программные модули в обход серверов Google Play.
В iPhone нашли уязвимость для отката прошивки и джейлбрейка Хакер axi0mX выложил в открытый доступ эксплойт Checkm8, который может взломать большинство устройств на iOS. В последний раз аналогичную уязвимость находили в 2010 году. Эксплойт можно запустить на всех устройствах с чипами A5 – A11. Среди них iPhone 4S – iPhon...
В предустановленных на Android приложениях нашли 146 уязвимостей Исследование от компании Kryptowire показало угрозу безопасности и повышенный расход энергии.
Октябрьское обновление безопасности Android закрывает серьёзную уязвимость нулевого дня Оно пока доступно на смартфонах Google Pixel.
Уязвимость в runC угрожает безопасности Docker, Kubernetes и не только Обнаруженная в runC уязвимость может использоваться для атаки на хост-систему и получения root-доступа.
GitHub купил анализатор кода Semmle GitHub объявил о покупке Semmle — аналитического инструмента, который помогает разработчикам и исследователям безопасности находить уязвимости в коде.
Google рассказала об опасной уязвимости в Android Google Pixel тоже уязвимы для вредоносных атак Google — очень большая корпорация с обилием дочерних компаний и ответвлений, ведущих независимую от основного предприятия деятельность. Эта независимость даёт многим из них право не учитывать мнение Google во многих вопрос...
В Техасе неизвестные взломали сирены тревоги, оповещающие о приближении торнадо На прошлой неделе были взломаны сирены экстренного оповещения в двух городах на сервере Техаса.
Генерация конфигов для nginx, история одного pull request Приветствую, товарищи. На моих боевых серверах прекрасный nginx крутится с 2006 года и за годы его администрирования я накопил много конфигов и шаблонов. Я много нахваливал nginx и как-то так вышло, что даже хаб nginx на Хабре тоже завёл я, понты \m/ Друзья попросили подня...
Фаззинг — важный этап безопасной разработки Многие компании ещё до конца не осознают плюсы использования фаззинга при разработке своих программных продуктов. А ведь безопасность продуктов должна идти рядом с разработкой. Потому что исправлять то, что уже сделано, трудозатратнее и гораздо дороже, чем сразу сделать хоро...
[Перевод] Успех социального эксперимента с поддельным эксплойтом для nginx Прим. перев.: Автор оригинальной заметки, опубликованной 1 июня, решил провести эксперимент в среде интересующихся информационной безопасностью. Для этого он подготовил поддельный эксплойт к нераскрытой уязвимости в веб-сервере и разместил его в своём твиттере. Его предполож...
Google нашла сайты, которые несколько лет взламывали айфоны Команда Google Project Zero обнаружила ряд вредоносных сайтов, которые незаметно могли взломать iPhone. По данным Project Zero, эти сайты пользователи посещали тысячи раз в неделю. Одного визита было достаточно, чтобы сервер сайта атаковал iPhone. Если процедура...
[Перевод] Три типовых ошибки в сфере безопасности, о которых должен знать каждый React-разработчик Автор статьи, перевод которой мы сегодня публикуем, говорит, что React — это её любимая библиотека для создания интерактивных интерфейсов. React одновременно и лёгок в использовании, и достаточно хорошо защищён. Однако это не значит, что React-приложения совершенно неуязвимы...
Adobe залатала Flash Player и Application Manager В рамках сентябрьского «вторника патчей» компания Adobe устранила три уязвимости в двух продуктах: Flash Player и Application Manager. Согласно бюллетеням, все выявленные проблемы грозят исполнением вредоносного кода; в реальных атаках ни одна из них не замечена. У...
В systemd нашли три уязвимости — разбираемся, в чем дело В начале месяца специалисты по ИБ из Qualys обнаружили сразу три уязвимости в systemd — подсистеме инициализации Linux — позволяющие злоумышленнику получить права суперпользователя. Рассказываем, в чем их суть и какие дистрибутивы им подвержены. Читать дальше →
Apache, ViewState&Deserialisation В данной статье рассмотрим уязвимость на основе подмены сериализованного Java-объекта ViewState и метод её эксплуатации на примере web-приложения виртуальной машины с HackTheBox, использующей технологию Apache MyFaces. Читать дальше →
В VLC Media Player исправлена критическая RCE-уязвимость Разработчики VideoLAN исправили критическую double-free уязвимость в VLC Media Player. Баг позволял выполнить произвольный код на уязвимой машине.
Adobe исправила патч для опасной дыры в Acrobat Reader Прошло лишь девять дней после выхода плановых патчей для Acrobat и Reader, а компания Adobe вновь призывает обновить продукт. Оказалось, что патч, спешно созданный для бреши 0-day, можно обойти. Уязвимость нулевого дня, о которой идет речь, разработчик закрыл в рамках феврал...
Уязвимости Киевстара: 1) разбор предыдущего поста про пароли + 2) инфо о покупках, проходящих через сервисы Киевстара Привет. Я тот, кто полгода назад получил логины и пароли Киевстара от таких важных сервисов, как: JIRA, Amazon Web Services, Apple Developer, Google Developer, Bitbucket и многих других, зарепортил их по Bug Bounty и получил 50 долларов различные комментарии к репостам моей ...
Обнаружена критическая уязвимость более 50% почтовых серверов Qualys обнаружила уязвимость в агенте пересылки почты Exim, позволяющую удаленно запускать команды на сервере.
Facebook устранила серьезную уязвимость в Instagram Недостаток в системе безопасности мог позволить злоумышленникам получить доступ к пользовательским данным.
Security Week 05: принтеры, камеры, 7zip и вопросы этики В конце ноября 2018 года офисные и домашние принтеры по всему миру распечатали сообщение, призывающее подписываться на ютубера PewDiePie. Произошло, это, естественно, без ведома владельцев принтеров, и скорее всего сам PewDiePie тут ни при чем. Взломщик, называющий себя TheH...
Почему нужно срочно установить последнее обновление Telegram для Android Когда вы удаляете фотографию из чата в Telegram, на самом деле она не удаляется Принято считать, что Telegram — это чуть ли не самый защищённый мессенджер, чьё руководство страдает от аллергии на спецслужб, а значит, гарантированно не сдаст им своих пользователей. Тем ...
Разработчики Zcash сообщили об устранении критической уязвимости в 2018 году Zcash Company, стоящая за разработкой криптовалюты Zcash, раскрыла детали уязвимости, которая позволяла злоумышленникам создавать в неограниченном количестве несуществующие монеты ZEC. Согласно отчету в блоге компании, 1 марта 2018 года назад криптограф Zcash Ариэль Габизон ...
Миллионы серверов Exim находятся под атаками из-за свежей уязвимости Более половины всех почтовых серверов в интернете находятся под угрозой: злоумышленники уже эксплуатируют свежий баг почтовом агенте Exim.
Исследователи из Google: для защиты от Spectre требуется изменение архитектуры процессоров, программные патчи не помогут В январе 2018 года исследователи Google раскрыли в публичном доступе информацию о фундаментальной аппаратной уязвимости в большинстве современных процессоров, имеющих спекулятивное выполнение команд. Уязвимость Spectre (и смежная Meltdown) эксплуатирует механизм предсказания...
Война продолжается: Google взломал сервера «Яндекса» и нарушил работу его сервисов Клиенты компании винят во всех бедах именно поискового гиганта. Миллионы людей со всей России уже привыкли пользоваться сервисами «Яндекса», вызывая фирменное такси, заказывая еду на дом, вовсю пользуясь удобствами мобильных приложений для этих услуг. Однако, сегодня на нов...
Уязвимости в VoIP-телефонах Avaya много лет подвергали риску крупные компании Проблема, приводящая к удаленному исполнению произвольного кода, на протяжении 10 лет присутствовала в VoIP-телефонах Avaya, которыми пользуются множество компаний из списка Fortune 100.
Обнаружение веб-атак с помощью рекуррентных нейронных сетей Обнаружение атак является важной задачей в информационной безопасности на протяжении десятилетий. Первые известные примеры реализации IDS относятся к началу 1980-х годов. Спустя несколько десятилетий сформировалась целая индустрия средств для обнаружения атак. На данный м...
[Из песочницы] [Опрос и зло] Хостинги, будь они неладны Привет, Хабр! Я — сисадмин по вызову, а точнее, аутсорсер, который консультирует и обслуживает как частных лиц, так и организации разного профиля в плане IT-инфраструктуры. Это тяжёлая, нервная, почти бешеная работа, внутри которой я видел всё: от разлитой на ноут водки до п...
Приложение на ТСД и связь с 1С: Предприятие 8.3 через HTTP-Сервис. Часть 4 (OnKeyUp. Сканер ШК с эмуляцией клавиатуры) 1. Выбор способа обмена. Описание API. 2. Реализация API на стороне 1С. 3. BroadcastReceiver. Получаем данные 4. OnKeyUp. Сканер ШК с эмуляцией клавиатуры Эта статья должна была стать самой короткой. Но дьявол в деталях. Вот несколько фактов. Факт 1. Если у нас на форме...
Опасен ли SQL profiler? Недавно с некоторым удивлением узнал, что в одном из департментов огромной фирмы, где я работаю, запрещен запуск SQL profiler в business hours. Читать дальше →
В поисках кнопки «Сделать хорошо». Zyxel в сети малого и среднего бизнеса Роутеры Mikrotik шикарны с точки зрения сетевого инженера. Они позволяют строить невероятно сложные сетевые решения. И стоит оборудование смешные деньги. Но для малого и среднего бизнеса, не связанного с индустрией IT, он крайне сложен в установке. Для правильной настройки ...
Утечка данных (которая могла произойти, но не произошла) из телемедицинской компании Буквально пару дней назад я писал на Хабре про то, как российский медицинский онлайн-сервис DOC+ умудрился оставить в открытом доступе базу данных с детальными логами доступа, из которых можно было получить данные пациентов и сотрудников сервиса. И вот новый инцидент, с уже ...
Пишем простой модуль Magisk для Android Введение Одним вечером я устал менять TTL после перезагрузки устройства и подумал как можно было бы делать это автоматически. Android же Linux и на нем должен быть аналог systemd или он сам. В процессе исследований мой взор пал на Magisk. На удивление разработать модуль для ...
Уязвимость в Apple iTunes позволяет запустить вредоносное ПО на компьютерах с Windows Шифровальщик-вымогатель BitPaymer/IEncrypt был обнаружен сотрудниками службы безопасности в компании Morphisec.
Apple готова заплатить 1 млн USD за обнаруженную в iPhone уязвимость Американская корпорация Apple готова выплатить в пользу специалистов по кибернетической безопасности до 1 млн USD за обнаружение в iPhone уязвимостей.
Детали 0-day уязвимости ByeBear опубликованы на GitHub В сети появились подробности и второй эксплоит для уязвимости ByeBear, которая позволяет обойти исправления для ByeBear и угрожает безопасности Windows 10 и Server 2019.
[Из песочницы] Радио Вайбер — все радиостанции в мессенджере онлайн Скажу сразу — для полноты эффекта нужно пользоваться мобильной версией. Идея сбора медиа-потоков прямо в мессенджере пришла сразу после долгих попыток поисков музыки завершившейся удачно, но не с первого раза. Ссылка будет в самом конце статьи Почему Viber? Соглашусь со м...
Кластерное хранилище для небольших web-кластеров на базе drbd+ocfs2 О чем мы расскажем: Как быстро развернуть общее хранилище для двух серверов на базе решений drbd+ocfs2. Для кого это будет полезно: Туториал станет полезен системным администраторам и всем, кто выбирает способ реализации хранилища или хотят попробовать решение. От каких р...
Павел Дуров выступил с манифестом против Facebook В начале недели газета Financial Times (FT) сообщила, что израильская компания NSO Group разработала вредоносное программное обеспечение, которое использует уязвимость WhatsApp для сбора данных о его пользователях. Для его установки хакеры осуществляли голосовые звонки....
В SIM-картах выявлена ошибка, позволяющая взломать телефон отправкой SMS Специалисты по кибербезопасности обнаружили существование новой, ранее не выявленной, критической уязвимости в SIM-картах, которая позволяет злоумышленникам удалённо взламывать целевые мобильные телефоны и шпионить за жертвами, просто отправив SMS-сообщение.
В iOS есть серьезная «дыра», которую вы не замечали годами Высокоуровневая защита, которую пользователям iPhone обеспечивают алгоритмы шифрования и биометрические сканеры, меркнет на фоне – не побоюсь этого слова – уязвимости, годами существующей в iOS. Какой смысл говорить о безопасности Face ID, якобы ошибающегося один раз из мил...
Сервер в облаках 2.0. Запускаем сервер в стратосферу Друзья, мы придумали новую движуху. Многие из вас помнят наш прошлогодний фановый гик-проект «Сервер в облаках»: мы сделали маленький сервачок на основе Raspberry Pi и запустили его на воздушном шаре. Теперь мы решили пойти ещё дальше, то есть выше — нас ждёт стратосфера...
Роскомнадзор обвинили в использовании взломанных устройств для блокировки Telegram По мнению владельцев телеграм-канала «IT уголовные дела СОРМ россиюшка», Роскомнадзор охотится за публичными прокси-серверами и использует для этого взломанные устройства.
Как я не занял первое место в конкурсе для JavaScript-разработчиков от Telegram Активные пользователи Телеграма, особенно те, кто подписан на Павла Дурова, наверняка что-то слышали о том, что Телеграм проводил в этих ваших интернетах конкурс для iOS, Android и JavaScript разработчиков, а также для дизайнеров. Несмотря на то, что это было довольно эпично...
#Опрос: Нужны ли полноценные антивирусы на iPhone? Одним из преимуществ iPhone перед смартфонами конкурентов является его операционная система, защищенная от взлома и установления слежки извне. В Купертино уделяют этому особенное внимание, а потому то и дело напоминают пользователям о том, что такого же уровня безопасности,...
Apache Tomcat получил важное обновление защиты Разработчики Apache Software Foundation (ASF) обновили сервер приложений Tomcat, чтобы устранить обнаруженный ранее RCE-баг. Брешь CVE-2019-0232 позволяла взломщикам выполнять сторонний код в уязвимых системах и брать их под контроль. В начале марта о проблеме сообщили специ...
[Из песочницы] Watch Dogs в реальной жизни, или серьезные уязвимости в СКУД Мне кажется, что многие парни, особенно в юном возрасте, хотели быть крутыми хакерами. Взламывать сайты, телефоны, системы доступа. Вот и у меня немного остался этот мальчишеский задор. Поэтому периодически ковырялся в различном ПО и ничего стоящего не находил. Но однажды, м...
Хакер нашёл способ взломать почти любой iPhone Программный инструмент под названием Checkm8 («чекмэйт» — «шах и мат») использует уязвимость в системе Apple Bootrom (SecureROM). Фактически это первый код из известных, запускающийся во время загрузки iPhone и предоставляющий доступ к смартфону на уровне системы. Таким обра...
Новая уязвимость в Android-смартфонах Специалисты компании Checkmarx выявили новую уязвимость в Android-смартфонах. Уязвимость известна как номер CVE-2019–2234, действует с помощью приложения камеры. С помощью этого приложения хакеры могут: делать снимки и видеоролики, получать данные о местоположении GPS, сл...
В процессорах Intel обнаружена очередная фундаментальная уязвимость — Zombieload v2. Новые чипы Cascade Lake ей тоже подвержены В процессорах Intel, и без того славящихся уязвимостями на уровне архитектуры, нашлась новая брешь, которая есть во всех моделях, выпущенных с момента появления архитектуры Haswell в 2013 году. То есть, самые новые процессоры семейства Intel Cascade Lake тоже подвержены проб...
Устаревший ключ DNSSEC подверг угрозе корневые сервера Как сообщает VeriSign, корневые сервера DNS подверглись массовой атаке запросами о данных DNNSEC после того, как был обновлён главный криптографический ключ.Начиная с октября, когда было произведено обновление, количество запросов к корневым серверам увеличилось в 75 раз - с...
Массовый взлом ВКонтакте [XSS-червь] В функционале социальной сети Вконтакте обнаружен и успешно эксплуатировался опасный баг — хранимая XSS с функционалом сетевого червя. В данный момент уязвимость устранена. Читать дальше →
Обновление сломало Windows 7. В Microsoft выпустили частичный патч Недобрая традиция ломать то, что работает, похоже, стала трендом для Microsoft. И нет, на этот раз проблема касается не Windows 10, а Windows 7, которую многие по праву считают лучшей ОС из Редмонда. Как оказалось, ежемесячное обновление безопасности принесло целый ...
Во всех имплементациях SCP за последние 36 лет содержались уязвимости Специалисты F-Secure обнаружили четыре уязвимости, представляющие угрозу для всех имплементаций SCP. Вредоносный SCP-сервер может вносить неавторизованные изменения на стороне клиента.
Поднимать свой сервис рассылок или пользоваться готовыми решениями? Что я узнал за 5 лет работы в UniSender Когда я пришел в UniSender, мне было не совсем понятно, за что клиенты платят деньги. Казалось, что поднять свой почтовик и отправлять из него письма может каждый. Но понимание пришло ко мне очень быстро. Попробуем разобраться, в чём я ошибался 5 лет назад Я пришёл в ком...
В архиваторе WinRAR нашли уязвимость возрастом в 19 лет История с уязвимостями в процессорах показала, что дыры в безопасности могут существовать годами до того момента, как их найдут. И хотя такое случается нечасто, это произошло снова. Как стало известно, в архиваторе WinRAR, который вряд ли нуждается в отдельном представл...
Как проверить безопасность роутера через смартфон? Советы, инструкции и бесплатные приложения для анализа и проверки уязвимости сети Wi-Fi. Бывают случаи, когда скорость соединения к Wi-Fi резко...
В Joomla выявили уязвимость нулевого дня Специалист компании Hacktive Security Алессандро Гроппо (Alessandro Groppo) обнаружил опасную уязвимость в CMS Joomla. По его словам, некоторые версии системы допускают внедрение стороннего PHP-инжекта, что может привести к выполнению вредоносного кода на сервере веб-ресурса...
Как мы нашли критичную уязвимость AspNetCore.Mvc и перешли на собственную сериализацию Привет, Хабр! В этой статье мы хотим поделиться нашим опытом в оптимизации производительности и исследовании особенностей AspNetCore.Mvc. Предыстория Несколько лет назад на одном из наших нагруженных сервисов мы заметили существенное потребление ресурсов CPU. Это выгляде...
История одной НЕ уязвимости Некоторое время назад мне предоставилась возможность поэксперементировать с настройками одного заурядного роутера. Дело в том, что первое апреля обязывало меня разыграть своих товарищей с университета. В университеть была Wi-Fi сеть. Мною было решено поднять на своем роутере...
НПО «Эшелон» успешно выявляет уязвимости в программных продуктах Испытательная лаборатория «НПО «Эшелон» является одной из ведущих в стране и успешно провела сертификационные испытания более тысячи изделий в интересах Минобороны России, ФСБ России и ФСТЭК России. Отличительной чертой испытательной лаборатории является профессионально...
«Касперский» хакнул киборга: люди в опасности В качестве подопытных частей киборгов выступил ручной протез российской компании Motorica, которая специализируется на разработке современных бионических протезов верхних конечностей. Руководитель группы исследования уязвимостей систем промышленной автоматизации и интернета ...
[Перевод] Уязвимость Exchange: как обнаружить повышение привилегий до администратора домена Обнаруженная в этом году уязвимость в Exchange позволяет любому пользователю домена получить права администратора домена и скомпрометировать Active Directory (AD) и другие подключенные хосты. Сегодня мы расскажем, как работает эта атака и как ее обнаружить. Читать дальше ...
Удаленное выполнение произвольного кода в протоколе RDP Стало известно об опасной уязвимости в протоколе RDP: корпорация Microsoft подготовила экстренный патч для уязвимости с идентификатором CVE-2019-0708, позволяющей выполнить произвольный код на целевой системе. Читать дальше →
Хакер потребовал у Apple денег за подробности об уязвимости в macOS Исследователь в области кибербезопасности из Германии по имени Линус Хенце обнаружил в macOS опасную уязвимость, которая позволяет третьим лицам получить доступ к сохраненным в «Связке ключей» учетным данным от всех сохраненных аккаунтов. По его словам, брешь присутствует в...
В антивирусном приложении смартфонов Xiaomi нашли бэкдор Исследователи Check Point описали сценарий MitM-атаки через антивирусное приложение Guard Provider, предустановленное на смартфонах Xiaomi. Злоумышленник может взломать соединение, по которому обновляются базы вредоносного ПО, и внедрить сторонний код на целевое устройство. ...
Это начало конца. Microsoft решила не исправлять серьёзную уязвимость в мобильном Windows Компания Microsoft опубликовала подробности о уязвимости CVE-2019-1314 в системе безопасности фирменной мобильной операционной системы Windows 10 Mobile. Она позволяет получить доступ к галерее фото на устройстве с помощью голосового помощника Cortana без разблок...
Новый способ взломать любой компьютер на Windows 10 Как известно, в последние годы все чаще и чаще владельцы компьютеров, планшетов и ноутбуков по всему миру задумаются о своей собственной безопасности в интернете, используя разного рода ПО и многие другие возможности для того, чтобы Сообщение Новый способ взломать любой ком...
Доказано: медицинское оборудование может быть взломано и выдавать ложные диагнозы Современное медицинское оборудование, которое хранит критически важную информацию о пациентах вроде результатов диагностики, как правило подключено к интернету. К сожалению, все эти данные плохо защищены, и исследователи из израильского университета имени Бен-Гуриона продем...
Опубликован список из 25 самых опасных уязвимостей ПО Изображение: Unsplash Американская организация MITRE опубликовала список из 25 самых опасных уязвимостей программного обеспечения. Исследователи составили таблицу наиболее опасных и распространенных проблем безопасности, с указанием идентификаторов CWE (Common Weakness En...
В Drupal залатали баг удаленного выполнения кода Разработчики Drupal сообщили об опасной уязвимости ядра, затрагивающей 7-ю и 8-ю версии CMS. Брешь дает возможность злоумышленнику удаленно выполнить любой PHP-код и перехватить управление сайтом. Создатели CMS оценили баг как в высшей степени критичный и призвали веб-админи...
В Kubernetes закрыли обнаруженные ранее уязвимости HTTP/2 Разработчики opensource-системы Kubernetes защитили свое решение от DoS-атак через HTTP/2. Пропатченные уязвимости CVE-2019-9512 и CVE-2019-9514 получили по 7,5 баллов по шкале CVSS, что соответствует серьезному уровню угрозы. Ранее специалисты Netflix и Google рассказали о ...
В стационарных телефонах Avaya нашли RCE-уязвимость ИБ-исследователи обнаружили критическую уязвимость удаленного выполнения кода (RCE) в стационарных IP-телефонах производства компании Avaya, которыми пользуются 90% компаний из списка Fortune 100. Баг дает злоумышленникам возможность перехватить контроль над устройством, про...
В Oracle WebLogic обнаружена RCE-уязвимость Разработчики Oracle выпустили экстренный патч для серверов WebLogic, чтобы закрыть обнаруженную уязвимость нулевого дня. Эксперты призывают администраторов срочно установить обновление, поскольку баг уже получил применение в кибератаках. Первыми об угрозе сообщили специалист...
Почему Интернет до сих пор онлайн? Интернет кажется сильной, независимой и нерушимой структурой. В теории, прочности сети хватит, чтобы пережить ядерный взрыв. В реальности, интернет может уронить один маленький роутер. Все из-за того, что интернет — это нагромождение противоречий, уязвимостей, ошибок и ролик...
[Из песочницы] Уведомления о входах на сервер (SSH/TERMINAL) дешево и сердито Приветствую сообщество. Это первая публикация, далеко не профи-администратора, но просто захотелось поделиться короткой и простой наработкой, которая может оказаться полезной для такого же новичка как я сам. Сложилось так, что потребовалось контролировать около 30 VDS-ок на...
Обеспечение отказоустойчивости хранилищ Всем привет! Недавно состоялся открытый вебинар «Обеспечение отказоустойчивости хранилищ». На нём рассмотрели, какие проблемы возникают при проектировании архитектур, почему выход из строя серверов — это не оправдание для падения сервера и как сокращать время простоя до ми...
Как мы построили надёжный кластер PostgreSQL на Patroni На сегодняшний день высокая доступность сервисов требуется всегда и везде, не только в крупных дорогих проектах. Временно недоступные сайты с сообщением «Извините, проводится техническое обслуживание» ещё встречаются, но обычно вызывают снисходительную улыбку. Прибавим к э...
В библиотеке jQuery устранена серьезная уязвимость В jQuery закрыта уязвимость, которая позволяет провести DoS-атаку или получить права администратора веб-приложения, использующего эту JavaScript-библиотеку на стороне клиента. Эксперт по кибербезопасности Лиран Тал (Liran Tal) из Snyk обнаружил брешь 26 марта; пропатченная в...
Сравнение BI систем (Tableau, Power BI, Oracle, Qlik) Привет, Хабр! В прошлом году я проводил небольшой конкурс на выбор BI для нашего проекта. Я руковожу направлением BI и аналитики Питерской клинике «Скандинавия». Никакого BI до этого в нашей клинике не было и одна из моих задач была в его создании. Я попросил представителей...
90 уязвимостей класса Remote Code Execution в майском «вторнике обновлений» «Мир. Труд. Май» — это не только про приятную работу на даче, но и про установку обновлений, тем более что в этом месяце производители офисного программного обеспечения потрудились на славу и закрыли в сумме 162 уязвимости, из которых 90 позволяют выполнить произвольный код ...
Закрытая уязвимость iOS стала вновь актуальна Актуальная версия iOS содержит ранее закрытую уязвимость, которая позволяет выполнять сторонний код с системными привилегиями. Эксперты предупреждают, что вредоносные приложения с эксплойтом для этого бага могут оказаться и в App Store. Проблему обнаружил специалист по безоп...
ТОП-10 уязвимостей IoT-устройств К концу 2018 года количество подключенных IoT-устройств превысило 22 миллиарда. Из 7,6 миллиардов человек на Земле у 4 миллиардов есть доступ к интернету. Получается, что на каждого человека приходится по 5,5 устройств интернета вещей. В среднем между временем подключения...
[Перевод] Почему меня нервируют отказы современных SSD Сегодня один из SSD на одном из наших новых файловых серверов под Linux умер. Это не первая и, вероятно, не последняя смерть SSD, с которой мы столкнёмся, но, как почти всегда в таких случаях, я почувствовал, как шалят мои нервы – а всё из-за сочетания характера отказов SS...
Хакеры нашли уязвимость на серверах Gearbest: все данные клиентов онлайн-магазина хранятся в открытом виде Исследователи получили доступ к аккаунтам, истории заказов, платежной информации, паспортным данным и банковским картам покупателей.
В приложении «Блокнот» обнаружена RCE-уязвимость Исследователь безопасности Тавис Орманди, который является частью команды Google Project Zero, уже находил раньше некоторые серьезные ошибки и угрозы. На этот раз он обнаружил новую уязвимость нулевого дня в приложении «Блокнот», которая затрагивает пользователей операционно...
Троян Watchbog атакует уязвимые серверы Jira и Exim, чтобы «поддерживать безопасность в интернете» Малварь создает ботнет из серверов Jira и Exim, используя их для добычи криптовалюты Monero.
Срочно обновите Chrome. Google просит пользователей обновить браузер из-за найденной уязвимости Компания Google обратилась к пользователям браузера Chrome с просьбой срочно обновить приложение. Chrome обновляет сам, не требуя при этом перезагрузки, но в данном случае она всё же нужна. Суть в том, что компания обнаружила серьёзную уязвимость, которую уже «акт...
Исследователь опубликовал код эксплойта для Chrome 73 Компания Exodus Intelligence опубликовала код эксплойта для уязвимости в стабильной версии Google Chrome. Рабочий прототип использует проблему безопасности в движке v8, которую разработчики браузера устранили 18 марта, но пока что не исправили в актуальной версии 73. ИБ-иссл...
Facebook хранила пароли пользователей в открытом виде Волна скандалов, захлестнувшая Facebook в прошлом году, рискует перерасти в настоящее цунами, которое имеет все шансы подтопить популярнейшую социальную сеть. Как выяснили эксперты KrebsOn Security, Facebook хранила пароли пользователей в незашифрованном виде, позволяя свои...
Когда город засыпает… Отгремело открытие PHDays, через наш виртуальный город прошло несколько тысяч человек и чуть меньше людей послушало доклады. Зал опустел, хакеры пытались взломать защитников. Защитники в свою очередь старались увидеть атаки, чтобы отбиться от хакеров. И все было как-то гру...
Технический анализ эксплойта checkm8 С большой вероятностью вы уже слышали про нашумевший эксплойт checkm8, использующий неисправимую уязвимость в BootROM большинства iDevice-ов, включая iPhone X. В этой статье мы приведем технический анализ эксплойта и разберемся в причинах уязвимости. Всем заинтересовавшимся...
Эксперты взломали пароли WiFI-сетей на основе WPA3 Независимые ИБ-исследователи Мати Ванхойф (Mathy Vanhoef) и Эйал Ронен (Eyal Ronen) обнаружили серию уязвимостей в стандарте беспроводных подключений WPA3. Ошибки системы рукопожатий между точкой доступа и сетевым устройством позволяют злоумышленнику взламывать пароли WiFi-с...
ESET: каждая пятая уязвимость в iOS является критической Компания ESET обнародовала результаты исследования, посвящённого безопасности мобильных устройств под управлением операционных систем семейства Apple iOS.
Apple не пожалеет миллион за выявление критической уязвимости в iPhone Компания объявила о рекордном вознаграждении, которое смогут получить специалисты в области информационной безопасности за найденные пробелы в киберзащите.
Google научит Google Chrome выявлять взломанные пароли Несмотря на то что Google Chrome сложно назвать самым защищенным веб-браузером, расширения несколько восполняют провал в безопасности. По понятным причинам Google не слишком нравилось, что её собственную разработку дорабатывают и допиливают сторонние разработчики. Это отбра...
Число критически опасных уязвимостей веб-приложений в 2018 году выросло в три раза Доля приложений с критически опасными ошибками безопасности сегодня составляет 67%. Число критически опасных уязвимостей, которое в среднем приходится на одно веб-приложение, по сравнению с 2017 годом выросло в три раза. Среди них наиболее распространены уязвимости, связанны...
Backport уязвимость в RouterOS ставит под угрозу сотни тысяч устройств Возможность удаленного даунгрейда устройств на базе RouterOS (Mikrotik) ставит под угрозу сотни тысяч сетевых устройств. Уязвимость связана с отравлением DNS-кеша Winbox протокола и позволяет загрузить устаревшую (со сбросом пароля «по-умолчанию») или модифицированную прош...
Уязвимости смартфонов Привет, Хабр! Меня зовут Ярослав Сташевский, я менеджер по информационной безопасности «ИТ-ГРАД». Сегодня я хотел бы поднять тему, которая касается каждого, — уязвимости смартфонов. Люди привыкли доверять своим мобильным устройствам очень чувствительную информацию. Это касае...
Мои грабли: из грязи в князи Предыстория Я работаю фронтенд разработчиком уже на протяжение одного года. На моём первом проекте был «вражеский» бэкенд. Бывает так, что это не составляет больших проблем, когда налажена коммуникация. Но в нашем случае было не так. Читать дальше →
Security Week 15: атака на роутеры с подменой DNS К теме уязвимости в сетевых роутерах мы обращаемся далеко не первый раз, но исследования группы Bad Packets и компании Ixia (новость, отчет Bad Packets, отчет Ixia) интересны тем, что представляют почти полную картину: как ломают роутеры, какие настройки меняют, и что потом ...
Зачем Google собирает данные о состоянии вашего здоровья Стоит ли доверять данные о себе крупным корпорациям? Можно подумать, что крупные технологические компании уже давно знают, что многим потребителям не нравится, когда их данные собираются без всякого на то согласия. Или, может быть, огромные корпорации просто не заботятся о с...
Microsoft пропатчила RDP-клиент для Android Разработчики Microsoft обновили Android-приложение для удаленного доступа к Windows, устранив уязвимость RDP-подключения (CVE-2019-1108). Ошибка ПО позволяла злоумышленникам получить системную информацию, пригодную для дальнейшего развития атаки. Ранее аналогичный баг закрыл...
Злоумышленник скомпрометировал данные 106 млн клиентов банка Пресс-служба американского банковского холдинга Capital One призналась, что некий злоумышленник получил личные данные 106 млн клиентов компании. Из-за неправильной настройки облачного хранилища в руках преступника оказались истории транзакций, кредитные рейтинги и номера соц...
Специалисты Microsoft изучили попытки применения BlueKeep Эксперты Microsoft предупредили пользователей о растущей угрозе кибератак на базе уязвимости BlueKeep. Как выяснили специалисты, преступники создали новый эксплойт, который уже применяется для распространения зловредов-криптомайнеров. Уязвимость BlueKeep (CVE-2019-0708) соде...
Мобильные приложения для детей содержат критические уязвимости Компания «Ростелеком-Solar» ко Дню защиты детей провела исследование уязвимостей популярных мобильных игровых приложений для детей. Анализ 14-ти игровых приложений показал, что обнаруженные в приложениях уязвимости могут привести к полной ...
В Jira Service Desk нашли критические уязвимости и Jira Service Desk Data Center, устранив угрозу раскрытия информации. Злоумышленники могли воспользоваться двумя багами, чтобы получить важные данные о корпоративной инфраструктуре и выполнить сторонний код. Уязвимости CVE-2019-14994 и CVE-2019-15001 позволяли проводить ата...
Дайджест новостей из мира PostgreSQL. Выпуск №16 Мы продолжаем знакомить вас с самыми интересными новостями по PostgreSQL. Главная новость июня EnterpriseDB приобретена инвестиционным фондом Great Hill Partners. Сумма сделки не разглашается. Майкл Стоунбрейкер назначен техническим советником. Энди Палмер вошел в совет ...
Kaspersky о безопасности решений для удаленного доступа Эксперт «Лаборатории Касперского» Павел Черемушкин изучил безопасность промышленных систем удаленного доступа (Virtual Network Computing, VNC). В результате исследования в четырех таких решениях было обнаружено 37 уязвимостей, многие из которых годами переходят из ...
Apple приготовил миллион долларов для хакеров Если раньше войти в программу Apple по поиску уязвимостей в гаджетах компании можно было только по специальному приглашению, а сумма вознаграждения не превышала $200 тыс., то сейчас ситуация изменилась, сообщает CBS. Глава Apple по безопасности Иван Крстич озвучил новые дета...
Динамическая CDN для WebRTC стриминга с низкой задержкой Ранее, анализируя возможности стандартных конфигураций серверов в Digital Ocean с точки зрения WebRTC стриминга, мы отмечали, что один сервер может обслужить до 2000 зрителей. В реальной жизни часто встречаются случаи, когда одного сервера недостаточно. Допустим, любители а...
Google выпустила первое обновление после релиза Android 10 Ежемесячные обновления Android не такие уж и ежемесячные Меня всегда очень веселит, когда в споре о безопасности iOS и Android, фанаты “зелёного робота” ссылаются на то, что Google, в отличие от Apple, каждый месяц выпускает обновления с баг-фиксами. Поэтому, считают они, An...
Как нужно и не нужно писать чат ботов на примере моего бота для игры в «Тайный Санта» Предыстория Год назад решил я создать телеграм бот для того, чтобы поиграть в достаточно популярную новогоднюю игру «Тайный Санта». Вдохновился я тем, что пару лет назад мы на работе компанией решили сыграть в эту игру (это показалось очень круто), и плюс я давно следил за...
Google выплачивает деньги за поиск уязвимостей в сторонних приложениях для Android Google с 2010 года выплатил исследователям безопасности более 15 миллионов долларов. Но на этом компания останавливаться не собирается и объявляет о расширении программы Google Play Security Reward Program.
Adobe закрыла десятки брешей в Acrobat и Reader В рамках февральского «вторника патчей» компания Adobe устранила 75 уязвимостей. Из них 44 оценены как критические, в том числе брешь нулевого дня в Reader, для которой сторонние специалисты в понедельник предложили временное решение. Уязвимость 0-day зарегистриров...
Приехали: Android можно взломать картинкой из интернета Фотографии и картинки, загруженные из Интернета, могут стать причиной взлома даже самых современных смартфонов под управлением Android, снабженных наиболее продвинутыми средствами защиты. Это следует из материалов блога разработчиков Google. В публикации говорится о том, чт...
[Перевод] 7 ключевых индикаторов риска Active Directory на панели мониторинга Varonis Все, что нужно злоумышленнику, – это время и мотивация для проникновения в вашу сеть. Но наша с вами работа состоит в том, чтобы не дать ему этого сделать или, по крайней мере, максимально усложнить эту задачу. Нужно начать с определения слабых мест в Active Directory (дал...
Нерассказанная история компьютеров: почему Тьюринг хотел, чтобы искусственный интеллект ошибался Что такое тест Тьюринга, и как с его помощью создают современные системы с искусственным интеллектом.
Стали известны подробности «взлома» автоматической кормушки Xiaomi Несколько дней назад тематические ресурсы облетела новость о том, что «русская женщина-хакер взломала все кормушки Xiaomi». Сегодня внешняя пресс-служба Xiaomi распространила заявление, проливающее свет на ситуацию. Текст заявления приведен ниже. &...
Почему мы решили развивать практику тестирования ML Прогнозные и оптимизационные сервисы на базе Machine Learning вызывают сегодня интерес у многих компаний: от крупных банков до небольших интернет-магазинов. Решая задачи различных клиентов мы столкнулись с рядом проблем, что послужило для нас почвой для рассуждений на тему...
Киберпреступники два года следили за пользователями iOS Исследователи Google Project Zero обнаружили масштабную кампанию против iOS-пользователей: с 2017 года неизвестные преступники использовали серию уязвимостей в системах iOS 10 по iOS 12, чтобы заражать посетителей сайтов шпионским ПО. Злоумышленники применяли технику водопоя...
Личные данные пользователей подвергались опасности из-за серьёзных уязвимостей в браузере Chrome на Android и в сервисе Google Photos В декабре прошлого года специалисты компании Positive Technologies обнаружили критическую уязвимость в браузере Chromium, которая позволяла получить доступ к личным данным пользователей, и сообщили об этом компании Google. Через несколько недель поисковый гигант исправил про...
Семинар «Требования ИБ: как бизнесу с ними жить» Всем привет! Если вам регулярно приходится ломать голову над тем, как организовать ИТ-инфраструктуру, соответствующую 152-ФЗ, 187-ФЗ, PCI DSS и пр., то приходите на наш семинар 28 марта. Мы расскажем, как выполнить требования законодательства в сфере информационной безопа...
Нетипичный «ls» или как развлекаются линуксоиды Однажды в телеграм чат питерского сообщества линуксоидов SPbLUG я кинул забавную задачку: Выведите список файлов в домашней директории максимально возможным количеством способов, без использования ls или его алиасов(1 способ — 1 балл) Такое-же задание, чуть позже, прилетело ...
[Из песочницы] Уязвимости GeekBrains: Зачем платить деньги за курсы если их можно просто скачать? Небольшой сказ о маленькой погрешности, с помощью которой был получен доступ ко всем платным курсам и домашним заданиям на ресурсах. А так же немного о других найденных уязвимостях. Читать дальше →
Уязвимость в Libarchive угрожает многим дистрибутивам Linux Специалисты Google обнаружили опасный баг в составе библиотеки Libarchive. Проблема представляет угрозу для многих дистрибутивов Linux, но не затрагивает Windows и macOS.
Microsoft закрыла две уязвимости, используемые в атаках Длинный список проблем, устраняемых сентябрьским набором патчей для продуктов Microsoft, содержит две уязвимости нулевого дня, уже взятые на вооружение злоумышленниками. Им присвоены идентификаторы CVE-2019-1214 и CVE-2019-1215; первая найдена в Windows-драйвере Common Log F...
Telegram для Symbian Рецепт вкусного и ароматного Telegram для Symbian устройств. Берем Jabber клиент. В зависимости от операционной системы клиенты могут отличаться, в случае с symbian 9.1-9.3 лучшим будет mailru агент, на 9.4 и ^3 приятнее пользоваться lightbulb. Находим Jabber серве...
Почему не 1С? Совсем недавно мы опубликовали статью с описанием проблем одной из самых популярных технологий, используемых в IT, и на наше удивление она вызвала достаточно живой интерес (во всяком случае для технической статьи). Поэтому мы решили на этом не останавливаться, и сегодня мы...