Метка «уязвимость»

в 23:29, , рубрики: Песочница, метки: , , ,

Совсем недавно к нам в дом пришёл долгожданный скоростной интернет, что стало не только необычайно радостным событием, но и отличным поводом изучить новый роутер: к моменту подключения в квартире не оказалось ни одного лишнего экземпляра, поэтому было решено обратиться к Сетевому Наставнику, который любезно предоставил для экспериментов ASUS RT-N10U, перепрошитый под dd-wrt.

В процессе исследования веб-интерфейса чудо-прошивки моё внимание быстро привлекли соединения, приходящие из сети 10.6.0.0. «Как же так?» — подумал я, ведь в моей домашней сети другая адресация, а на WAN публичный адрес… Читать полностью »

в 15:20, , рубрики: laravel, php, Веб-разработка, уязвимость, метки: , ,

Обнаружена уязвимость функционала «remember me» в Laravel
Некоторое время назад был опубликован пост с подробным описанием уязвимости функционала «remember me» в фреймворке Laravel. Она позволяла имперсонировать любого пользователя путем создания поддельного кука логина. Разработчики тогда сказали что дыру закрыли. Но более подробный взгляд показывает что гидре отрубали лишь одну голову. Даже если вы не используете данный фреймворк вам все равно будет полезно узнать как не надо имплементировать такой функционал у себя на сайте.

Читать полностью »

в 3:22, , рубрики: microsoft, xbox live, информационная безопасность, уязвимость, целеустремленность, метки: , , ,

5 летний ребенок взломал авторизацию Xbox Live Пятилетний мальчик из Сан-Диего Кристофер фон Хассель (Kristoffer Von Hassel) умудрился буквально методом «начного тыка» найти уязвимость в механизмах авторизации Xbox Live.

Однажды, оставшись дома наедине с приставкой, парень захотел поиграть в папины игрушки, вот только отец-жмот конечно же не оставил сыну пароля от своего аккаунта. Пытаясь забрутфорсить папаню, Кристофер обнаружил, что после введения неправильного пароля выводится окно с предложением ввода пароля еще раз и если там просто ввести пробел система как ни в чем не бывало авторизует его!

Юный хакер принялся проходить стрелялки отца, в результате чего, конечно же, довольно быстро спалился перед родителями. Уже готовясь получить ремня, он рассказал каким образом ему удавалось играть в запрещенные игры. Однако, отцом Кристофера оказался специалист по компьютерной безопасности, поэтому вместо наказания они все дружно поржали над «решетом» и сообщили об уязвимости в техподдержку Microsoft.
Читать полностью »

в 20:46, , рубрики: законодательство, информационная безопасность, проблема, сайт, уязвимость, хакеры, метки: , , , ,

Шестнадцатилетнему австралийскому школьнику Джошуа Роджерсу около месяца назад пришла в голову мысль проверить сайт управления городским транспортом Мельбурна Public Transport Victoria (PTV) ptv.vic.gov.au на прочность. Не вполне ясно, что именно использовал молодой человек в качестве инструмента для своих действий (есть мнение, что это просто был сканер уязвимостей, скачанный и сети, и натравленный на определённый URL), но за это ему и его родителям пришлось серьёзно поволноваться.
Читать полностью »

в 9:04, , рубрики: telegram, безопасность, информационная безопасность, теле2, телефония, уязвимость, метки: , , ,

Уязвимость Теле2: пользователи Telegram и Qiwi кошелька в опасности

Нет так давно я наткнулся на неприятную особенность оператора Теле2, с помощью которой можно украсть историю сообщений Telegram, получить доступ к Qiwi-кошельку и т.д. Оговорюсь, что у метода есть несколько условий и он может не сработать для конкретного человека, но тем не менее, есть реальная опасность.
Читать полностью »

в 19:52, , рубрики: kernel, kvm, linux, информационная безопасность, патч, уязвимость, метки: , , , ,

Сегодня на SecurityLab в «TOP Новостях» появилась ссылка на «Множественные уязвимости KVM».

Интересно посмотреть, думаю, я же копаюсь в нём сейчас. Тем более — open source: можно сразу и на патч посмотреть.
Всем, кому интересно, как инженер по безопасности ПО из Google и главный инженер-программист из Red Hat закоммитили в kernel/git/torvalds/linux.git ненужный патч несуществующей уязвимости, добро пожаловать под кат.

Читать полностью »

в 6:56, , рубрики: nexus, sms, Блог компании «Apps4All», информационная безопасность, Смартфоны и коммуникаторы, уязвимость, метки: , ,

В минувшую пятницу на конференции DefCamp Security Conference исследователь Богдан Алеку продемонстрировал серьезную уязвимость, которую он обнаружил во всех смартфонах Nexus. С ее помощью нападающий может вынудить смартфон перезагрузиться или вызвать проблемы в работе некоторых сервисов.

Атака заключается в отсылке нескольких так называемых Class 0 «Flash» сообщений на целевой телефон. Такие «Быстрые» сообщения обычно используются экстренными службами и они сразу появляются на экране телефона, в обход стандартного приложения для обработки SMS. При получении такого сообщения звук не воспроизводится, но на экране остается одно окно этого сообщения. Проблема в том, что получение 20-30 таких сообщений вызывает перегрузку системы. Чаще всего это выливается в то, что смартфон перестает отвечать или перезагружается, в некоторых случаях падает само приложение Messages или вообще сбоит служба, отвечающая за сотовую связь.

Читать полностью »

в 3:36, , рубрики: gmail, Google, информационная безопасность, уязвимость, метки: , ,

image
Позавчера, Oren Hafif известный багхантер обнаружил уязвимость в Gmail. Точнее говоря, не одну уязвимость, а целую цепочку, которая позволяет угнать пароль от аккаунта.
Читать полностью »

в 15:54, , рубрики: nginx, информационная безопасность, пробел, уязвимость, метки: , ,

В nginx обнаружена (и уже исправлена) уязвимость.
Подробности здесь: mailman.nginx.org/pipermail/nginx-ru/2013-November/052575.html

Проблеме подвержены версии nginx 0.8.41 — 1.5.6.
Проблема исправлена в nginx 1.5.7, 1.4.4.
Для кастомных конфигураций доступен патч — nginx.org/download/patch.2013.space.txt

Особенно интересна вот эта часть:

а также возможность вызывать специальную обработку файла с пробелом на конце в конфигурации вида
location ~ .php$ {
fastcgi_pass…
}

запросив файл как "/file .php".

Читать полностью »

в 8:20, , рубрики: dir-300, dnrd, DNS, информационная безопасность, Сетевое оборудование, уязвимость, метки: , , , ,

Здесь неоднократно обсуждалось, как получить доступ к DIR 300 находясь в его внутренней сети. Но можно ли выполнить произвольный код имея доступ только к WAN интерфейсу роутера? Из сети Интернет? Оказывается сложно, но можно.
Читать полностью »

123...6
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js