HUP cikkturkáló

A new MRI was being installed in one of our multi-practice facilities, during the installation everybody's iphones and apple watches stopped working. The issue only impacted iOS devices. We have plenty of other sensitive equipment out there including desktops, laptops, general healthcare equipment, and a datacenter. None of these devices were effected in any way (as of the writing of this post). There were also a lot of Android phones in the facility at the time, none of which were impacted.

https://www.reddit.com/r/sysadmin/comments/9si6r9/postmortem_mri_disabl…
https://ifixit.org/blog/11986/

IBM megveszti a Red Hatot, 33.4 millió dollárért. A Red Hat felhő alapú technológiái miatt. 116,68$ záróárhoz képest, 190$ részvényenkénti áron.

https://www.bloomberg.com/news/articles/2018-10-28/ibm-is-said-to-near-…

https://www.theverge.com/2018/10/28/18035086/ibm-red-hat-acquisition-op…

AZ APPLE MEGOLDOTTA, HOGY MÉG A VILÁG LEGSIKERESEBB IPHONE-HEKKEREI SE TUDJÁK FELTÖRNI A KÉSZÜLÉKEIKET.

Az atlantai Grayshift korábban a saját fejlesztésű GrayKey technológiájával feltörhetővé tette a legújabb iOS eszközöket, egészen az iPhone X-ig bezárólag. Az Apple ezután további lépésekkel próbálta megakadályozni, hogy a Grayshift feltörje a telefonjaikat.

A Grayshift viszont felvette a kesztyűt, hogy teljesíthessék a telefon feltörésére irányuló megbízásokat. Tehették: olyan megrendelőik voltak, mint az amerikai bevándorlási hivatal és az amerikai titkosszolgálat.

MOST VISZONT ÚGY TŰNIK, HOGY AZ APPLE MEGKERÜLHETETLEN AKADÁLYT ÁLLÍTOTT A GRAYSHIFT ELÉ.

A Forbes azt írja – a GrayKey technológiát jól ismerő forrásokra hivatkozva –, hogy az eljárás az iOS 12-t futtató eszközökön már nem alkalmazható. A GrayKey ezeken csak az úgynevezett részleges kinyerést (partial extraction) alkalmazhatja. Ez azt jelenti, hogy csak a titkosítatlan fájlokat és némi metaadatot lehet kinyerni a telefonról.

A GrayKey korábban a brute force technikát alkalmazta; ez azt jelenti, hogy az eszköz milliónyi jelszó-kombinációt próbált végig, megkerülve az Apple saját rendszerét, ami néhány próbálkozás után automatikusan letiltja az ilyen kísérleteket. Ez a technika mostantól nem működik. És ha az a cég sem tudja feltörni az iPhone-t, amit többek között az Apple egy korábbi biztonsági szakértője alapított, akkor valószínűleg senki másnak nem fog sikerülni.

A biztonsági szakértőket megdöbbentette a dolog, ugyanis senki nem tudja, hogy az Apple milyen trükköt alkalmazott. Vlagyimir Katalov, az Elcomsoft szakértője, aki korábban több sebezhetőséget is talált az Apple technológiájában, szintén értetlenül áll a jelenség előtt.

Nincs ötletem. Bármi lehet a jobb kernelvédelemtől a konfigurációs profilok erősebb telepítései korlátozásaiig.

Az Apple és a Grayshift nem kommentálták a Forbes értesüléseit.

https://index.hu/techtud/2018/10/25/az_apple_ismet_feltorhetetlenne_tet…

https://www.forbes.com/sites/thomasbrewster/2018/10/24/apple-just-kille…

Hogyan lehet ellopni hirdetői pénzeket? Egy bűnszervezet azzal keresett pénzt, hogy Android appokat vásárolt fel, amelyeknek ténylegesen van felhasználói bázisa. Ezután megfigyelte, eltárolta a felhasználók viselkedését, hogy mire kattintanak, hogyan használják az appot. Ebből aztán programoztak botokat, amelyek pont olyanok, mintha igazi felhasználók lennének. Majd ezeket a botokat ráeresztették az appokra, de együtt az igazi felhasználókkal, így több millió dollár hamis hirdetési bevételt generáltak a botok általi kattintásokból.

Részletek: https://www.buzzfeednews.com/article/craigsilverman/how-a-massive-ad-fr…

Editorial: Every #iPhone user is tied to Saudi business interests, like it or not https://t.co/vb9hRRkL9e pic.twitter.com/Ho8Nd6BNkN

— AppleInsider (@appleinsider) October 24, 2018

Az AppleInsider cikke itt.

location /static {
    alias /home/app/static/
}

esetén http://127.0.0.1/static../config.py lekéréssel olvasható a /home/app/config.py fájl.

(Teszteltem a jelenleg aktuális 1.15.5 verzióval)

location /static/ {-ra javítva elkerülhető a "hiba"

Elvileg by-design ilyen (bár nem látok erre valós use-case-t), emiatt nem lesz javítva, szóval mindenki csekkolja a configjait :)

Forrás: https://twitter.com/x0rz/status/1052899891624710145

FreeRTOS is a market leading, de-facto standard for embedded systems that has been ported to over 40 microcontrollers, which are being used in IoT, aerospace, medical, automotive industries, and more.

In November 2017, Amazon Web Services (AWS) took stewardship for the FreeRTOS kernel and its components.

Ori Karliner, a security researcher at Zimperium Security Labs (zLabs), discovered a total of 13 vulnerabilities in FreeRTOS's TCP/IP stack that also affect its variants maintained by Amazon and WHIS.

These vulnerabilities allow an attacker to crash the device, leak information from the device’s memory, and remotely execute code on it, thus completely compromising it.

https://blog.zimperium.com/freertos-tcpip-stack-vulnerabilities-put-wid…
https://thehackernews.com/2018/10/amazon-freertos-iot-os.html

CVE-2018-10933 Base Score 9.8

By presenting the server an SSH2_MSG_USERAUTH_SUCCESS message in place of the SSH2_MSG_USERAUTH_REQUEST message which the server would expect to initiate authentication, the attacker could successfully authentciate without any credentials.

https://www.libssh.org/2018/10/16/libssh-0-8-4-and-0-7-6-security-and-b…

Szívesen megnéztem volna a fejlesztők arcát, amikor megkapják a bug reportot...

Oops! An Error Occurred
The server returned a "500 Internal Server Error".
Something is broken. Please let us know what you were doing when this error occurred. We will fix it as soon as possible. Sorry for any inconvenience caused.

https://www.bloomberg.com/news/features/2018-10-04/the-big-hack-how-chi…