A hét eddigi legjobb hackjét eddig Michael Ossmann és Kyle Osborn prezentálta: Bár előadásukat a BlackHaten már előadták, úgy tűnik, hogy a Toorcon bizonyult a jobb táptalajnak ennek a vérbeli hacker prezentációnak, amiben van forrasztóón, pia, nem dokumentált…

A Pwn2Own versenysorozat mobil kiadását idén a tokiói PacSec konferencián rendezték meg, ami végre az ázsiai csapatok számára is testközelbe hozta a megmérettetést, ami természetesen nem is maradt eredmények nélkül: A japán Team MBSD a Samsung Galaxy S4 telefonra…

A lehallgatási botrány árnyékában kisebb pánikot okozott, mikor kiderült, hogy az Android fejlesztőknek szánt API-ja a 2.3-as verziótól kezdve a hírhetden gyenge RC4-MD5 algoritmus-kombinációt részesíti előnyben SSL kapcsolatok kiépítésekor. Ez azt jelenti, hogy az API-t naívan…

A nagyjából 1 millió forintos BitCoin lenyúlást követően először ismerte el Google alkalmazott az Android kriptográfiailag biztonságos véletlengenerátorának (CSPRNG) hibáját. Alex Klyubin blogposztjában kifejti, hogy az Android SecureRandom implementációja ugyan a jó…

A BitCoin.com-on megjelent figyelmeztető szerint az Android biztonságos véletlengenerátorának hibája miatt elcsenhető a készülékeken generált címekről azok tartalma. A HackerNews kommentelői szerint - és ezt a BitCoin Talk fórumbejegyzései is alátámasztják - a problémát az…

A kínai Android Security Team [meglepetés kínai link] egy, a Bluebox-éhoz hasonló problémát fedezett fel az Android APK ellenőrző eljárásában. Az APK fájlok fejléce egy változó méretű mezőt ("extra field") tartalmaz, melynek aktuális méretét egy korábbi, 2 byte-os érték…

Microsoft MS13-052: 7 hibajavítás a .Net keretrendszerhez, és a Silverlighthoz. A legsúlyosabb probléma kliens oldalon kernel módú kódfuttatást tesz lehetővé (ismét TrueType) speciálisan összeállítot weboldalakon keresztül. A .Net sérülékenységek a Code Access Security…

A napokban elég rendes sajtóvisszhangja volt a Bluebox bejelentésének, mely szerint egy 900 millió Android készüléket érintő sérülékenységet készülnek demózni a vegasi Black Hat konferencián. Az ilyen bejelentésekkel az a baj, hogy ugyan semmilyen konkrétumot nem tartalmaznak, de…

SPE/miniFlame A Kaspersky kutatói a Flame C&C szervereinek vizsgálata során felfedeztek egy új, a Stuxnet-Flame-Duqu-Gauss családba sorolható jószágot. A kártevő, melyet miniFlame-nek kereszteltek el azonos a C&C-n SPE kódnéven emlegetett modullal, melynek még három…

A Google megvette a VirusTotal-t Múlt héten kimaradt a szórásból, de jobb később, mint soha: a Google megvette a közösségi malware-elemzést támogató VirusTotal-t. A befektetés a VirusTotalt fejlesztő Hispasec Sistemas-t nem érinti. A Google ígérete szerint  a VirusTotal stábja…

A legutóbbi hírösszefoglalóban már esett szó Charlie Miller BlackHat-es előadásáról, melyben az NFC (Near Field Communication) okostelefonokra gyakorolt hatásairól kaphattunk összefoglalót. Erererg-nek köszönhetően nagy nehezen a vonatkozó cikket is megtaláltam, és miután…

És újra csak Symantec Kezdem úgy érezni, hogy ez az egész kódlopós történet valami gerillamarketing akció része, a Symantek ugyanis év eleje óta nem tud kikerülni a hírekből az eset kapcsán. Ezen a héten az okozott kisebb felbojdulást, hogy kiderült, a pcAnywhere szoftver…

Az SE Linux projekt bejelentette az SE Android elérhetőségét, melynek célja, hogy az SELinux által megvalósított Mandatory Access Controlt Androidon is elérhetővé tegye. Miért van erre szükség? Mindenek előtt fontosnak tartom megjegyezni, hogy az átlagos Android felhasználók…

 Mire nem jó egy buta böngészőhiba! Jon Oberheide egy olyan XSS-t fedezett fel az Android Marketen, amit bármilyen script kiddie megirígyelne: ha beírsz egy tetszőleges szkriptet az alkalmazásod leírásába, az bizony lefut.  A dolog azért különösen gyönyörű, mert a Market…

Egy érdekes elemzés jelent meg az IBM X-Force Frequency X Blogján, melyben a napokban az Andorid Marketen megjelent kártevők működését elemzik. A hajtás után olvashatjátok a cikk fordítását, amely néha kissé szájbarágós ugyan, de véleményem szerint jó rálátást ad mind az…

Mialatt a nagyobb Linux disztribútorok gőzerővel igyekeznek megfoltozni az általuk szállított kerneleket a több mint két éves, de csak nem rég óta nagyobb nyilvánosságnak örvendő NULL pointer dereferenciával szemben, addig az Android felhasználók örülhetnek a lyukas…

Kírásra került néhány hackverseny, igen szép díjazási kategóriákkal:A Google a biztonsági szempontból igen érzékeny Native Client kódjában talált biztonsági résekért ajánl fel pénzjutalmat. Sajnos csak a céges zsűri által kiválaszott 5 legjobb "pályamunkát"…

Az XDA-Developers fórumon egyszerű útmutató jelent meg, melynek segítségével root jogot szerezhetünk T-Mobile G1 készülékünkön. A trükk mindössze annyiból áll, hogy a megfelelő terminál alkalmazással telnet démont kell inditani a telefonon, amire bejelentkezve azonnal teljes…

A T-Mobile G1 megjelenése a kockák érdeklődése mellett automatikusan a telefon köré vonzotta a sérülékenységek után kutató hackerek népes táborát is, így kevesebb mint egy héttel a készülék megjelenése után máris szárnyra keltek a hírek az első Android exploitról. Az…