Известная исследовательница Алиса Шевченко alisaesage обнаружила уязвимость удаленного выполнения произвольного кода в последних версиях веб-сервера nginx.
Читать полностью »
Рубрика «информационная безопасность» - 209
Удалённое выполнение кода в nginx
2019-05-31 в 16:18, admin, рубрики: nginx, rce, информационная безопасностьupdated: Zero-Click Server-Side RCE в njs
2019-05-31 в 16:18, admin, рубрики: nginx, njs, rce, информационная безопасность
Известная исследовательница Алиса Шевченко alisaesage обнаружила уязвимость удаленного выполнения произвольного кода в последних версиях веб-сервера nginx.
UPD: Не nginx, а njs, не уязвимость, а просто баг (уже пофикшен в последней версии) — компания Nginx отписалась, что этот баг не может быть использован как уязвимость. (спасибо lega за уточнение)
Читать полностью »
VPN-сервису HideMy.name удалось добиться отмены блокировки сайта Роскомнадзором
2019-05-31 в 16:08, admin, рубрики: HideMy.name, vpn-сервисы, блокировки, Законодательство в IT, информационная безопасность, РоскомнадзорСегодня стало известно о том, что VPN-сервису HideMy.name удалось добиться отмены решения о блокировке своего сайта. Отменил предыдущее постановление суд Марий Эл.
Ресурс был заблокирован в июле прошлого года по решению районного суда Йошкар-Олы. Автор обращения в суд с иском о блокировке — местный прокурор. Ответчиком вместо владельца выступил Роскомнадзор.
Читать полностью »
The Standoff: как это было
2019-05-31 в 14:24, admin, рубрики: Jet CSIRT, PHDays, The Stanfoff, Блог компании Инфосистемы Джет, информационная безопасность, противостояние
Приветы! Увидев на PHDays 9 достаточный интерес к тому, что происходит на The Standoff в рядах защитников, мы решили рассказать о том, как происходила подготовка и само «Противостояние» глазами Jet CSIRT как части команды Jet Security Team.
Читать полностью »
По следам индустриального ниндзя: приглашаем участвовать в онлайн-конкурсе по промышленной безопасности
2019-05-31 в 12:57, admin, рубрики: PHDays, positive hack days, Блог компании Positive Technologies, информационная безопасность, Спортивное программирование
На прошедшем PHDays 9 мы проводили конкурс по взлому завода по перекачке газа Industrial Ninja. На площадке было три стенда, эмулирующих индустриальный процесс: под большим давлением в воздушный шар закачивался воздух. У каждого стенда был свой уровень сложности (по степени защиты): новичок, бывалый и ниндзя. При этом оборудование и технологический процесс не различались.
Перед конкурсантами стояла задача разобраться в технологическом процессе, перехватить управление заводом и спровоцировать аварию: в реальности — сдуть или лопнуть шарик. Однако самое сложное задание так и осталось нерешенным.Читать полностью »
Даже web ресурсы известных организаций не защищены от детских ошибок
2019-05-31 в 6:10, admin, рубрики: pentesting, xss, информационная безопасность, Сбербанк-Технологии, Тестирование веб-сервисовDisclaimer. Все события происходили в 2017 году. Обо всех указанных в статье уязвимостях было сообщено представителям компаний в кратчайшие сроки с момента их обнаружения. Некоторые ресурсы, на 2019 год, были полностью обновлены (frontend и backend).
Статья носит сугубо информационно-образовательный характер.
Пробегая по старым папкам, наткнулся на сохраненные скриншоты, которые делал для представителей пары небезызвестных компаний на нашем финансово-IT рынке.
Все началось с того, что я решил сменить профиль работы и попробовать себя в QA или смежной профессии, только уже не самоучкой-одиночкой, а заняться этим в штате какой-нибудь крупной организации, чтобы было у кого перенять опыт, поработать в команде…
После размещения резюме, со мной пересекались Сбербанк-Технологии, Банк Открытие о которых и пойдет небольшое повествование.
После приглашения пообщаться, я решил посмотреть, что же живет на доменах компаний, на предмет интересных уязвимостей. Всегда приятно иметь козырь в рукаве на переговорах.
Читать полностью »
Власти Германии планируют обязать операторов мессенджеров выдавать переписку пользователей по запросу
2019-05-30 в 18:20, admin, рубрики: германия, законодательные инициативы, Законодательство в IT, информационная безопасность, мессенджеры, Социальные сети и сообщества, шифрованиеЗаконодатели Германии готовят новый законопроект, который может усложнить жизнь операторам мессенджеров. Авторы инициативы планируют обязать их выдавать правоохранительным органам переписку пользователей по запросу от соответствующих инстанций. Это означает, в том числе, возможность извлекать зашифрованную переписку в мессенджерах c end-to-end шифрованием.
Законодательная инициатива коснется всех без исключения IM, включая WhatsApp, Signal, Apple iMessage, Telegram. Если законопроект вступил в силу, операторам мессенджера придется придумать, как выдавать переписку, к которой, собственно, ни у кого нет доступа, кроме собеседников.
Читать полностью »
Опять сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе
2019-05-30 в 4:16, admin, рубрики: data breach, data leak, elasticsearch, Администрирование баз данных, госуслуги, информационная безопасность, платежные системы, утечки данных, утечки информацииПомните я писал на Хабре и у себя в Telegram-канале, как в открытом доступе оказались подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru?
Только не надо смеяться, это вовсе не шутка — тот же самый сервер с данными той же самой системы снова оказался открытым для всего мира.
Ну что, поехали разбираться…
Пользователям Android угрожают ложные push-уведомления
2019-05-29 в 13:23, admin, рубрики: android, chrome, браузеры, дизайн мобильных приложений, информационная безопасность, фишинг
Специалисты компании Lookout обнаружили оригинальную фишинговую кампанию, направленную на владельцев Android-устройств. Мошенники используют API Notifications и Push, чтобы маскировать вредоносные сообщения под уведомления от сторонних приложений.
Читать полностью »
Мутные воды: как хакеры из MuddyWater атаковали турецкого производителя военной электроники
2019-05-29 в 9:12, admin, рубрики: criminalistics, cybercrime, cybersecurity, hack, hacker, hacking, Malware, research, вредоносное ПО, информационная безопасность, исследование, Исследования и прогнозы в IT, кибербезопасность, киберпреступность, расследование, хакеры
У иранских прогосударственных хакеров — большие проблемы. Всю весну неизвестные публиковали в Telegram «секретные сливы» — информацию о связанных с правительством Ирана APT-группах — OilRig и MuddyWater — их инструментах, жертвах, связях. Но не о всех. В апреле специалисты Group-IB обнаружили утечку почтовых адресов турецкой корпорации ASELSAN A.Ş, занимающуюся производством тактических военных радиостанций и электронных систем обороны для вооруженных сил Турции. Анастасия Тихонова, руководитель группы исследования сложных угроз Group-IB, и Никита Ростовцев, младший аналитик Group-IB, описали ход атаки на ASELSAN A.Ş и нашли возможного участника MuddyWater.
Читать полностью »