Рубрика «уязвимости» - 10

Стреляем в ногу, обрабатывая входные данные - 1

Связующее звено сегодняшней статьи отличается от обычного. Это не один проект, для которого был проведён анализ исходного кода, а ряд срабатываний одного и того же диагностического правила в нескольких разных проектах. В чём здесь интерес? В том, что некоторые из рассмотренных фрагментов кода содержат ошибки, воспроизводимые при работе с приложением, а другие – и вовсе уязвимости (CVE). Кроме того, в конце статьи немного порассуждаем на тему дефектов безопасности.
Читать полностью »

Вчера, во вторник приблизительно в 22.00 по Москве Microsoft выкатил патчи от новых уязвимостей, тем самым дав старт ежемесячной гонке между администраторами по безопасности и злоумышленниками. Пока первые проверяют, не уронит ли установка обновлений критичные бизнес-сервера в синий экран, вторые дизассемблируют код обновленных библиотек и пытаются создать рабочие эксплойты для пока еще уязвимых систем.

Для любителей подробностей – короткая справка по новым уязвимостям под катом.

image
Читать полностью »

Безопасность мобильного OAuth 2.0 - 1

Всем привет! Я Никита Ступин, специалист по информационной безопасности Почты Mail.Ru. Не так давно я провел исследование уязвимостей мобильного OAuth 2.0. Для создания безопасной схемы мобильного OAuth 2.0 мало реализовать стандарт в чистом виде и проверять redirect_uri. Необходимо учитывать специфику мобильных приложений и применять дополнительные механизмы защиты.

В этой статье я хочу поделиться с вами знаниями об атаках на мобильный OAuth 2.0, о методах защиты и безопасной реализации этого протокола. Все необходимые компоненты защиты, о которых я расскажу ниже, реализованы в последней версии SDK для мобильных клиентов Почты Mail.Ru.
Читать полностью »

Новая уязвимость в Facebook приводит к утечке персональных данных пользователей - 1

Изображение: Pexels

Исследователи информационной безопасности обнаружили уязвимость в социальной сети Facebook – эта ошибка могла приводить к утечкам конфиденциальной информации о пользователях и их друзьях. Ошибка обнаружена в функции поиска соцсети.Читать полностью »

Что мы узнали о безопасности Intel ME за последние годы: 7 фактов о таинственной подсистеме - 1

Изображение: Unsplash

В последние пару лет технология Intel ME находится под пристальным вниманием исследователей. Эту технологию окружает ореол таинственности – несмотря на то, что она имеет доступ практически ко всем данным на компьютере и ее компрометация позволяет захватить полный контроль над машиной, официальной документации и руководств по работе с ней от производителя просто не существует. Поэтому исследователям со всего мира приходится самостоятельно разбираться в работе подсистемы.

Мы изучаем Intel ME на протяжение последних лет, и вот что нам удалось узнать об этой таинственной подсистеме к этому моменту.Читать полностью »

Миллионы человек могут быть атакованы через уязвимость в платформе для конференций Cisco WebEx - 1

Сервисы для проведения вебинаров и онлайн-совещаний Cisco WebEx занимают более половины мирового рынка веб-конференций (53%), их используют свыше 20 млн человек. На этой неделе специалисты SkullSecurity и Counter Hack обнаружили уязвимость в десктопной версии WebEx для Windows, позволяющую выполнять произвольные команды с системными привилегиями.Читать полностью »

image

В Windows 10 появился механизм защиты от вирусов-вымогателей под названием Controlled Folder Access. Он предотвращает изменение файлов в указанных защищенных папках неизвестными программами. Исследователь информационной безопасности из Fujitsu System Integration Laboratories Ltd. обнаружил способ обхода этой защиты с помощью DLL-инъекций.Читать полностью »

Утечки данных, убившей Google+, возможно, не было вовсе - 1

Месяцами компания Google пыталась откреститься от нарастающего возмущения технической общественности, но 8 октября эта дамба, наконец, рухнула, погребённая под новостями об ошибке в редко использовавшейся сети Google+, в результате которой личная информация полумиллиона пользователей могла стать достоянием общественности. В Google нашли и закрыли уязвимость ещё в марте, примерно в то же время, когда набирала обороты неприятная история с Cambridge Analytica. Однако с появлением новостей убытки нарастают. Пользовательская версия Google+ закрывается, законодатели, занимающиеся защитой частной жизни в Германии и США уже ищут возможности подавать иски, а бывшие работники Комиссии по ценным бумагам и биржам США в открытую рассуждают о том, что в Google сделали не так.
Читать полностью »

На рынке ICO есть мошенники. С этим фактом сложно спорить. Комиссия по ценным бумагам и биржам США (SEC) даже запустила фиктивное ICO, чтобы показать потенциальным инвесторам, как их могут обмануть и на какие вещи нужно обращать внимание. Методов много. Например, можно взломать сайт и подменить номер кошелька. Или заняться фишингом в Telegram, где почти у каждого из проектов есть свои чаты с инвесторами. По оценкам экспертов, в 2017 году хакеры могли украсть подобным образом $300 млн.

Портфельная компания ФРИИ Metascan, специализирующаяся на кибербезопасности, проверила, насколько защищены ICO-проекты от хакеров, мошенников и недобросовестных конкурентов. Всего был оценен 91 проект с русскоязычными основателями, но Metascan будет и дальше в режиме реального времени изучать новые проекты.

image
Читать полностью »

Intel ME Manufacturing Mode — скрытая угроза, или что стоит за уязвимостью CVE-2018-4251 в MacBook - 1

Принцип «безопасность через неясность» не один год критикуется специалистами, но это не мешает крупным производителям электроники под предлогом защиты интеллектуальной собственности требовать подписания соглашений о неразглашении для получения технической документации. Ситуация ухудшается из-за возрастающей сложности микросхем и интеграции в них различных проприетарных прошивок. Это фактически делает невозможным анализ таких платформ для независимых исследователей, что ставит под удар как обычных пользователей, так и производителей оборудования.

Примером может служить технология Intel Management Engine (Intel ME), а также ее версии для серверных (Intel SPS) и мобильных (Intel TXE) платформ (подробнее об этой технологии см. [5], [6]. В этой статье мы расскажем, как используя недокументированные команды (если термин «документированный» вообще применим к Intel ME), можно перезаписать память SPI flash и реализовать самый страшный сценарий — локальную эксплуатацию уязвимости в ME (INTEL-SA-00086). Корнем данной проблемы оказался недокументированный режим работы Intel ME — Manufacturing Mode.Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js