Megszületett az idei Pwnies végeredménye:Legjobb szerver-oldali hiba: Apache Struts2 keretrendszer távoli kódfuttatás - futtass tetszőleges, akeretrendszert használó alkalmazáson keresztül saját kódot egyetlen HTTP kéréssel!Legjobb  kliens-oldali hiba: Java megbízható metódus…

Elkezdődött az idei Black Hat, juhé! Az alső napon Barnaby Jack, az IOActive szakértője olyan módszereket mutatott be, melyekkel teljesen átvehető az írányítás bizonyos ATM-ek fölött. A dolog iróniája, hogy míg ezt és a hasonló - eddig kivétel nélkül lefújt - előadásokat…

Az alábbiakban olvashatjátok az idei Pwnie Awards jelöltjeinek listáját. A linkek a blogon megjelent korábbi bejegyzésekre mutatnak, ahol lehet. Részletesebb információkért érdemes átnézni az eredeti oldalt is. Továbbá külön szeretném felhívni a figyelmet a "Leginnovatívabb…

A Hacktivity szervezői maximum 4 fős, céges csapatok jelentkezését várják a konferencia ideje alatt rendezendő Capture the Flag játékra. A feladatra jelentkező csapatoknak tíz órájuk lesz - a hagyományos wargame-től szeparált hálózatban - távolról megszerezni az irányítást…

Az első posztomban, melyben az új Windows 0-day fenyegetettségről írtam, említés szintjén szerepelt, hogy a sebezhetőséget kihasználó Stuxnet kártevő a fertőzött gépekről SCADA - legtöbbször ipari berendezések megfigyelésére és irányítására használt - rendszerekhez is…

 A Microsoft kiadott egy gyorsjavítást az elsősorban hordozható adathordozókon keresztül terjedő kártevők számára hasznos Windows Shell problémára. A javítás az eredeti tanácslatban is javasolt elkerülő megoldás automatizált megvalósítássa, amely  a registry…

Az Adobe Reader következő "nagyobb" kiadásában be fogják vezetni a védett módot, amely lényegében egy sandbox megvalósítás lesz a meglévő kódbázis körül. A megvalósítás során az Adobe szakemberei együtt dolgoztak a Microsoft Office újabb változatainak Protected…

Egy kis könnyed sztori ebben a hőségben:Daryl Simonst még 2006-ban kapták el, mikor társával hamisított hitelkártyákkal próbáltak különböző elektronikai cikkeket vásárolni. Később kiderült, hogy a férfi fedezetlen csekkel vásárolt meg egy majd' 30.000$-os sportkocsit,…

A Microsoft hivatalos tanácslatban figyelmeztet a nem rég felfedezett, parancsikonok kezelését érintő problémára. A közlemény szerint a hiba a Windows Shell komponenst érinti az operációs rendszer gyakorlatilag összes támogatott változatában. Elkerülő megoldásként az ikonok…

Teljesen patchelt Windows 7-eket is sikeresen megfertőz az az új USB pendriveokon terjedő trójai program, amelyet nem rég fedeztek fel a VirusBlokAda szakértői. A kártevő speciális parancsikon fájlokon (.LNK) keresztül terjed, de az egyelőre nem világos, hogy pontosan milyen…

MS10-042: A Tavis Ormandy-féle Windows Help and Support Center probléma javítása. A felfedező sikertelenül próbált kicsikarni egy két hónapos javítási határidőre vonatkozó ígéretet a cégtől, de lám, a nyilvánosságrahozatal után 33 nappal máris kész a folt!MS10-043: A Windows…

Majdnem elfelejtettem, hogy 10-én lett a blog 3 éves!  Feketeleves: Hőségriadó van, a sörözésre viszont még egy árva előadás javaslatot sem kaptam, így szomjan fogunk halni :(

RtT küldte az alábbi videót, köszönjük:

ASVA.infoAz új informáicók alapján úgy tűnik, hogy ügyes account lopás történt. Rávettek több tagot, hogy egy bizonyos linket nyissanak meg. Aki a webcímet megnyitotta rosszul járt, mert a script lementte a jelszavát (valószínűleg cookie lopással, de ez csak tipp). Az egyik ilyen…

A Cisco levélben étesített több ezer embert arról, hogy komprommitálták az ezévi Cisco Live rendezvényének regisztrációs adatbázisát. Az incidens során ugyan nem kerültek ki különösebben érzékeny személyes adatok, azonban aggodalomra ad okot a cég adatkezelési gyakorlatával…

Az ASVA.info-sok kaptak pár érdekes képet: A képek alapján nagyon úgy tűnik, hogy valaki sikeresen bejutott a Teracod-ra, és hozzáfért minimum az adminisztrátorok fiókjához. A behatoló létrehozott egy fórum topikot, majd kiírt egy új hírt, miszerint az oldal fel lett törve, és…

 Index:Feltörték a Skype-beszélgetések adatfolyamait titkosító RC4 algoritmust kriptográfiai szakértők – jelentették be a titkosításokkal foglalkozó Enrupt portálon (az oldal azóta összeomlott a kíváncsi olvasók rohama alatt, a bejelentés Google…

Egy argentín hacker, Ch Russo és két társa több SQL injection sebezhetőséget fedeztek fel a népszerű torrent tracker, a Pirate Bay weboldalán. A hibák lehetővé tették, hogy illetéktelenek (pl. akár a jogvédő szervezetek munktársai :) hozzáférjenek a 4 millió regisztrált…

A Tavis Ormandy 0-day bejelentése után kialakult harc tovább folytatódik, az utóbbi napokban két pofont is kapott a Microsoft nyilvánosságrahozatali politikája. A VUPEN néhány napja jelentette be, hogy megtalálták az első két biztonsági hibát az Office 2010 programcsomagban, a…

Automatikusan rejtettre állították a kommentárokat a YouTube-on, miután tömeges XSS támadás kezdődött rajtuk keresztül. A problémát az okozta, hogy a megjegyzéseknél használt szűrőeljárás csak az első beírt <script> tageket szűrte ki, így tetszőleges kliens oldali kód…

Összeraktunk egy kis olvasnivalót, amiben egy trükkösebben kihasználható puffertúlcsordulásos sebezhetőség kihasználásának lépéseit ismerhetitek meg, magyar nyelven.  A linkre kattintva láthatjátok, hogy ez itt egy kicsit a reklám helye. Rég óta adós vagyok azzal, hogy…

(mostanában úgy tűnik, csak ilyen fennkölt címeket bírok kitalálni...) Az elmúlt hetek sem teltek el szaftos sebezhetőségek nélkül. Buksikutya Stáhl Judit konyhájának honlapján talált érdekes dolgokat:…

Az elmúlt napokban-hetekben kisebb vihar alakult ki a nemzetközi IT-sec biliben, miután Tavis Ormandy nyilvánosságra hozta egy Windows XP-t (és talán 2003-at) érintő kritikus sebezhetőség részleteit. Az esettel kapcsolatban rögtön született jónéhány cikk a különböző…

Egy  0wn3d_5ys becenevet használó - feltehetően indonéz - Twitter felhasználó perzisztens XSS sebezhetőséget talált a Twitteren. A problémát egy tavaly nyilvánosságra kerülthöz nagyon hasonló hiba okozza. Múlt évben James Salter a Twitter alkalmazásokhoz beállítható…

Nem rég érkeztek meg a népszerű Firefox böngésző 3.6.4-es és 3.5.10-es változatai, melyek több kritikus besorolású sebezhetőség javítását tartalmazzák. Ezek kihasználásával tetszőleges kód futtatható a régebbi böngészőváltozatokat futtató felhsználók…