Titkosítás, biztonság

19 éve lapuló kódfuttatási sebezhetőséget találtak a WinRAR-ban

 ( trey | 2019. február 21., csütörtök - 13:58 )

Több száz millióan érintettek a hibában. Részletek itt.

A Google szerint a Nest titkos mikrofonja "hiba" volt

 ( trey | 2019. február 21., csütörtök - 8:32 )

Február elején a Google bejelentette, hogy a Nest Secure - otthoni biztonsági és figyelmeztető rendszer - egy frissítés után várhatóan együtt fog működni a Google Assistant-tel. A probléma ezzel csak az, hogy a felhasználóknak fogalma sem volt arról, hogy a Nest biztonsági eszköz tartalmaz mikrofont. A napokban a Google egyik képviselője azt nyilatkozta a Business Insider-nek, hogy hibát vétettek. A beépített mikrofont sosem szánták titkosnak és annak létezését fel kellett volna tüntetniük az eszköz technikai specifikációjában.

Részletek itt.

Nagyon kritikus hibát javítanak ma este a Drupal 8-ban

 ( trey | 2019. február 20., szerda - 16:36 )

A Drupal projekt előre jelezte, hogy készüljenek a Drupal 8.5.x és 8.6.x verziókat üzemeltetők, mert ma este 18:00 és 22:00 óra közt "Highly critical" hibajavítás érkezik.

Részletek itt.

Linux Kernel Runtime Guard 0.6

 ( trey | 2019. február 20., szerda - 11:57 )

Solar Designer bejelentette a Linux Kernel Runtime Guard (LKRG) 0.6-os kiadását. A Linux Kernel Runtime Guard egy betölthető Linux kernelmodul kernel exploitok detektálására.

További részletek a projekt wikioldalán.

Tails 3.12.1

 ( trey | 2019. február 13., szerda - 18:47 )

Kiadták a Tails 3.12.1-es verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek a bejelentésben.

Érdemes mielőbb iOS 12.1.4-re frissíteni, mert két, benne javított sérülékenységet aktívan kihasználnak jelenleg

 ( trey | 2019. február 8., péntek - 8:53 )

A Google egyik biztonsági szakembere arra figyelmeztetett a Twitteren, hogy érdemes mielőbb frissíteni a tegnap kiadott iOS 12.1.4-re, mert a benne javított CVE-2019-7286 és CVE-2019-7287 sérülékenységeket hackerek jelenleg is kihasználják az interneten. Azaz, a sérülékenység kihasználása nem csak elméleti, hanem gyakorlatban is folyamatban van.

A hibák kritikusnak tekinthetők, mert a rosszindulatú támadó kihasználva őket kódot futtathat az áldozat készülékén emelt (CVE-2019-7286) és kernel szintű (CVE-2019-7287) privilégiumokkal. A hibákat mások mellett a Google P0 csapata jelentette be az Apple-nek.

A VLC-nek is van bug bounty programja

 ( trey | 2019. január 22., kedd - 18:56 )

A VLC bug bounty programját az Európai Bizottság szponzorálja. A program részletei itt olvashatók.

CrySyS Security Challenge - biztonsággal kapcsolatos tanulmányi verseny magyar főiskolások és egyetemisták számára

 ( trey | 2019. január 22., kedd - 8:12 )

A Security Challange egy tanulmányi verseny, ahol a hallgatóknak az IT biztonsággal kapcsolatos versenyfeladatokat, kihívásokat kell megoldania. Nem titkolt cél, hogy a hallgatókat megismertesse a tématerülettel, és megszerettesse azt velük, és segítse a téma iránt fogékony hallgatók kiválasztását, azok bevonását további érdekes kutatási, fejlesztési és egyéb tudományos feladatokba. [...] A verseny nyitott minden magyar egyetem és főiskola hallgatója számára. A részvétel viszont regisztrációhoz kötött. Regisztrálni a versenyt futtató avatao.com oldalon lehet, az ehhez szükséges információk az adott év CrySyS Security Challenge oldalán érhetők el. A BME diákok esetében kérjük az avatao felhasználói profilban a BME affiliációt megadni. Erre azért van szükség, mert a BME diákjait külön is értékeljük. [...] Minden versenyzőtől elvárt a magyar törvények betartása!

A verseny szabályai itt. Részletek itt.

Idén is lesz Pwn2Own

 ( trey | 2019. január 16., szerda - 9:22 )

Idén is visszatér a Zero Day Initiative szokásos, éves hackfesztje, a Pwn2Own. A támadható célpontok közt lesznek böngészők, vállalati alkalmazások, szerver oldali és virtualizációs targetek valamint egy Tesla Model 3 is. A bejelentés olvasható.

Metasploit Framework 5.0

 ( trey | 2019. január 12., szombat - 16:29 )

Megjelent a Metasploit Framework legújabb nagyobb kiadása. A Metasploit Framework egy nyílt forrású keretrendszer, amely távoli rendszerek ellen bevethető exploitok fejlesztéséhez és futtatásához ad hathatós támogatást. Jelenleg körülbelül 900 1700 exploitot kínál Windows, UNIX/Linux és macOS rendszerekhez. Részletek a bejelentésben.

Kémchipek a beszállítói láncban, avagy válaszok keresése a Supermicro állításaira

 ( trey | 2018. december 29., szombat - 17:29 )

Trammell Hudson gyakran szed szét dolgokat. Fenti előadásában olyan implantátumokról beszél, amelyek - elméletben vagy gyakorlatban - előfordulhatnak a beszállítói láncban. Az előadás témája kapcsolódik a nemrégiben nagy port kavaró Bloomberg cikkhez, amely arról szólt, hogy kínai extra (kém)chipet találtak amerikai TOP vállalatok által használt szerver alaplapokon. A Supermicro tagadta, hogy kémchipek lennének az alaplapjain. Számos biztonsági szakember kérdőjelezte meg a Bloomberg cikk valóságtartalmát. Trammell most bemutatja, hogy valójában milyen észrevehetetlen lehet egy hardveres implantátum... A szuper érdekes rész innen kezdődik.

Újabb 0day SandboxEscaper-től

 ( trey | 2018. december 20., csütörtök - 15:06 )

Részletek itt.

IoT eszközök informatikai biztonságát növelő kutatások indultak a BME koordinációjával

 ( trey | 2018. december 20., csütörtök - 12:50 )

A 4 évig tartó SETIT projektben a Műegyetem mellett részt vesz a Szegedi Tudományegyetem és a Debreceni Egyetem.

Az intelligens beágyazott eszközökkel kibővült Internet, azaz az Internet of Things rendszerek biztonságát növelő technológiák fejlesztését kezdték meg a Budapesti Műszaki és Gazdaságtudományi Egyetem, a Szegedi Tudományegyetem és a Debreceni Egyetem kutatói egy közös projektben. A kutatók arra keresik a választ, hogyan lehet megfelelő egyensúlyt kialakítani a költségek és a rendszer által nyújtott biztonság szintje között. A 2018. október 1-én indult és 4 évig futó SETIT projekt célja olyan technológiák kutatása és fejlesztése, amelyek az IoT biztonsági kockázatait csökkentik, és ezzel lehetővé teszik az IoT alkalmazások szélesebb körű elterjedését.

Részletek a bejelentésben.

Tails 3.11

 ( trey | 2018. december 11., kedd - 20:12 )

Kiadták a Tails 3.11-es verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek a bejelentésben.

Körülbelül 100 millió Quora felhasználó adata kompromittálódott

 ( trey | 2018. december 4., kedd - 13:58 )

A Quora bejelentette, hogy körülbelül 100 millió felhasználójának adata - köztük név, e-mail cím, hashelt jelszó stb. - kompromittálódott biztonsági incidens kapcsán. Részletek a cég által kiadott FAQ-ban.

Az Opera Android alkalmazásaira is van mostantól Bug Bounty program

 ( trey | 2018. november 21., szerda - 10:39 )

Az Opera bejelentette, hogy mostantól az Android alkalmazásai szerepelnek a Google Play Security Reward Program programban, vagyis a biztonsági szakemberek jutalomért (és hírnévért) bejelenthetik az általuk ezekben az alkalmazásokban talált biztonsági hibákat. A jutalom mértéke maximum 5000 dollár lehet a hiba súlyosságától függően. Részletek itt.

Windows Hello - hogy egyre kevesebb Microsoft eszközön, alkalmazásban és szolgáltatásban kelljen jelszót bepötyögni

 ( trey | 2018. november 21., szerda - 8:35 )

A Microsoft szeretné ha egyre kevesebb helyen kellene a felhasználóinak jelszót használnia. Részletek itt.

iPhone X, Samsung Galaxy S9, Xiaomi Mi6 - mind elesett a Pwn2Own 2018 mobil biztonsági vetélkedőjén

 ( trey | 2018. november 15., csütörtök - 12:56 )

Részletek itt.

Immár iOS-ről és Android-ról is igénybe vehető a Cloudflare 1.1.1.1 DNS szolgáltatása

 ( trey | 2018. november 12., hétfő - 15:28 )

A Cloudflare tavasszal indította el "első a privátszféra védelme" DNS szolgáltatását, az 1.1.1.1-et. Mostantól a szolgáltatás a megfelelő alkalmazások telepítésével elérhető iOS és Android készülékekről is. A bejelentés itt olvasható.

[ Apple App Store | Google Play Store ]

VirtualBox E1000 Guest-to-Host Escape 0day

 ( trey | 2018. november 7., szerda - 21:45 )

Video demó:

Mi az online jelszavad? Nem mondom meg...

 ( trey | 2018. november 3., szombat - 13:55 )

Dehogynem...

Újabb W10 0day-t postolt a szomorú, munkanélküli hacker

 ( trey | 2018. október 24., szerda - 13:41 )

Az 0patch megpróbált mielőbb reagálni a PoC exploit-ra. A GitHub-ra kitett PoC exploitot nem érdemes kipróbálni éles rendszeren:

Új iPhone lock screen bypass bug; a fotók átküldhetők más eszközre

 ( trey | 2018. október 16., kedd - 10:05 )

"The new passcode bypass requires about 10 steps [...] The new passcode bypass method works on all current iPhone models, including iPhone X and XS devices, running the latest version of the Apple mobile operating system, i.e., iOS 12 to 12.0.1. [...] The new hack allows anyone with physical access to your locked iPhone to access your photo album, select photos and send them to anyone using Apple Messages. [...] Until Apple comes up with a security patch, you can temporarily fix the issue by disabling Siri from the lockscreen. [...] Meanwhile, just wait for Apple to issue a software update to address the new iPhone passcode bypass bug as soon as possible."

Részletek itt.

Elfogadható-e számodra az IT rendszeredbe való betörés, ha annak célja a sebezhetőség kijavítása zéró károkozás mellett?

 ( trey | 2018. október 14., vasárnap - 10:16 )
Igen.
56% (205 szavazat)
Nem.
44% (163 szavazat)
Összes szavazat: 368

Titokzatos grey hat hacker patcheli a sebezhető MikroTik routereket

 ( trey | 2018. október 14., vasárnap - 10:11 )

A MikroTik arra figyelmezteti ügyfeleit, hogy új RCE exploit jelent meg a már áprilisban azonosított és javított Winbox sebezhetőségre, így aki még nem patchelt, az tegye meg ASAP. A ZDnet közben arról ír, hogy egy titokzatos, oroszul beszélő, magát Alexej-nek nevező, grey hat hacker tör be a sebezhető MikroTik routerekbe és patcheli meg azokat. A bevallása szerint szerveradminisztrátorként dolgozó internetes Robin Hood azt állítja, hogy immár 100 ezer routert tisztított meg a malware-ektől és patchelt meg, hogy azok védve legyenek a támadásokkal szemben.