Рубрика «уязвимости» - 18

в 11:44, , рубрики: android, Google, информационная безопасность, уязвимости

Всем наплевать на безопасность разлоченных Android-телефонов - 1

Не может быть такого, чтобы компания Amazon участвовала в запуске флагманского продукта, имеющего чёрный ход, и тайно отправляющего всю вашу личную информацию на непонятный сервер в Китае. Конечно же, их разработчики или партнёр по производству отловили бы такое поведение во время обычной проверки безопасности. Такого ведь просто не может произойти, верно?

Всем наплевать на безопасность разлоченных Android-телефонов, не привязанных к провайдеру, продающихся в США (и многих других регионах). OEM-компаниям, изготавливающим и поставляющим Android-телефоны, наплевать; Google, поставщику Android-платформы, наплевать; ритейлерам вроде Amazon и Best Buy, продающим миллионы андроид-телефонов ежегодно, наплевать. Что хуже всего, среднему пользователю наплевать на компьютерную безопасность, пока не произойдёт чего-нибудь плохого, из-за чего всё так и идёт.
Читать полностью »

в 10:15, , рубрики: linux, Настройка Linux, облако, уязвимости, физический доступ, хранение данных

Уязвимость скриптов инициализации Cryptsetup в Debian: достаточно просто зажать Enter - 1

В безопасности Debian и ряда других дистрибутивов Linux обнаружилась огромная брешь, которая оставалась незамеченной с версии 2.6. Все интернет-издания ссылаются на отчет авторства Гектора Марко и Исмаила Риполла из компании Cybersecurity Group.

Уязвимость находится в скриптах, которые дают доступ к разбивке системы на разделы, при условии, что процедура защищена с помощью Linux Unified Key Setup (LUKS). Сведения о «слабом месте» были обнародованы 11 ноября во время конференции по безопасности DeepSec 2016 в Вене. Название доклада, прозвучавшего со сцены, — «Злоупотребление LUKS для взлома системы».
Читать полностью »

в 10:38, , рубрики: adobe, flash, Google, microsoft, windows, браузеры, информационная безопасность, уязвимости

Google опять раскрыла непропатченную уязвимость в Windows - 1
В драйвере win32k.sys опять проблема

На первый взгляд может показаться, что компания Google поступила безответственно и нарушила IT-этикет, не дав Microsoft времени на исправление бага. Специалисты Google Threat Analysis Group опубликовали факт наличия опасной уязвимости в Windows всего через 10 дней после того, как сообщили о ней в Microsoft. У редмондской компании просто физически не было времени, чтобы проверить баг, протестировать его на всех конфигурациях, подготовить патч, протестировать его на всех конфигурациях — и выкатить обновление в Windows Update. Уязвимость до сих пор не закрыта.
Читать полностью »

в 11:33, , рубрики: android, rowhammer, Блог компании Positive Technologies, информационная безопасность, память, Разработка под android, уязвимости

Исследователи создали эксплоит для получения root-доступа к Android-смартфонам с помощью уязвимости Rowhammer - 1

Международная группа исследователей из Австрии, Нидерландов и США, информационной безопасности разработала атаку, позволяющую получить root-доступ к большому количеству Android-устройств, пишет издание Ars Tehnica. Для этого эксплуатируется техника Rowhammer, позволяющая осуществлять манипуляции с данными, хранящимися в ячейках памяти. При этом, ранее считалось, что атаки с использованием уязвимости Rowhammer имеют ограниченные перспективы реального применения — новый эксплойт демонстрирует, что ей подвержено гораздо больше устройств, чем предполагалось (включая и работающие на ARM-чипах).

Исследователи создали специальное приложение-эксплойт Drammer, которое не требует для работы никаких особенных прав и не использует никаких Android-уязвимостей. Атака осуществляется с помощью уязвимости аппаратного обеспечения — аналогично описанной техники Rowhammer он «простукивает» биты памяти устройства, изменяя важные данные. Это позволяет получать root-доступ к гаджетам производства компаний LG, Motorola, Samsung, OnePlus и, возможно, других вендоров.Читать полностью »

в 7:24, , рубрики: Блог компании Positive Technologies, вебинар, информационная безопасность, кибератаки, Разработка систем связи, телеком, уязвимости

СМИ: Немецкие военные взломали сеть афганского мобильного оператора, чтобы узнать местонахождение заложника - 1

По сообщениям СМИ, немецкие военные впервые осуществили «атакующую кибероперацию», в рамках которой была взломана сеть одного из мобильных операторов из Афганистана. Предполагается, что атака была предпринята в надежде получить данные о местонахождении похищенной боевиками сотрудницы благотворительной организации.

Согласно представленным в медиа данным, атака была осуществлена в 2015 году и официально не подтверждена до сих пор. В конце сентября издание Spiegel со ссылкой на неназванные источники, сообщило, что операцию подготовил и осуществил департамент Бундесвера под названием Computer Network Operations Unit (CNO). Читать полностью »

в 16:17, , рубрики: matrixssl, SSL, Блог компании Positive Technologies, информационная безопасность, Разработка для интернета вещей, уязвимости, метки:

Проблемы безопасности IoT: исследователь обнаружил серьезные уязвимости в MatrixSSL - 1

SSL — основной инструмент обеспечения безопасности в интернете, позволяющий организовывать защищенный обмен данными даже в недоверенной сети. Однако реализация устойчивого SSL — не такая уж и легкая задача, ошибки в решении которой могут приводить к масштабным проблемам, таким, как уязвимость Heartbleed.

В сфере интернета вещей существует собственная реализация SSL — MatrixSSL, и как показывает практика, с уровнем ее защищенности не все хорошо.Читать полностью »

в 19:42, , рубрики: 0day, SZCUA, информационная безопасность, китай, уязвимости

Шеньчженьская ассоциация пользователей (SZCUA) заявила о желании купить недокументированные уязвимости в iOS и Android - 1

Ряд российских компаний, работающих в области IT-безопасности получили предложение продать информацию о недокументированых уязвимостях в iOS и Android, а также различных браузерах и прочем ПО, сообщает газета «Коммерсантъ» со ссылкой на свои источники в российских компаниях.

Потенциальные покупатели, по их словам, представители SZCUA — ShenZhen Computer Users Association, представляемую, как китайскую ассоциацию крупных IT-компаний. В число SZCUA якобы входят такие организации, как Kingdee International Software Group и China Greatwall Computer Shenzhen Co. Теоретически, в дальнейшем недокументированные уязвимости, которые ищут представители SZCUA, могут быть использованы для проведения кибератак со стороны правительственных групп хакеров.
Читать полностью »

в 8:27, , рубрики: IoT, Блог компании Positive Technologies, ботнеты, информационная безопасность, пароли, стандартные пароли, уязвимости

В начале октября в сети был опубликован код составляющих крупного IoT-ботнета Mirai. Сообщалось, что в ботнет главным образом входят IoT-устройства, в том числе видеокамеры и DVR, а общий его размер на пике достигал почти 400 000 девайсов, c помощью которых злоумышленники могут осуществлять крайне мощные DDoS-атаки.

image

Скриншот форума Hackforums, на котором было опубликовано сообщение со ссылками на исходный код ботнета

Известно как минимум о двух крупных атаках с применением Mirai — сначала жертвой атакующих стал журналист Брайан Кребс, сайт которого подвергся DDoS мощностью около 620 Гбит/с, а затем французский хостинг-провайдер OVH испытал еще более мощный DDoS мощностью 1 Тб/с.

При этом логика распространения ботнета и заражения устройств, проанализированная экспертами Positive Technologies, говорит о том, что целью его создателей были не цифровые камеры или IoT. Вместо этого, они фокусировались на поиске подключенных к интернету устройств с установленными стандартными паролями — в итоге в ботнет легко могли попасть и обычные домашние компьютеры, серверы и роутеры. Читать полностью »

в 9:27, , рубрики: openssl, Блог компании Positive Technologies, информационная безопасность, уязвимости

Критическая уязвимость библиотеки OpenSSL позволяет проводить DoS-атаки - 1

Изображение: thehackernews.com

В конце прошлой недели (22 сентября) организация OpenSSL Foundation объявила об устранении более десятка уязвимостей своей криптографической библиотеки. Среди найденных «багов» была и ошибка, эксплуатация которой позволяет злоумышленникам осуществлять DoS-атаки.Читать полностью »

в 13:55, , рубрики: android, android development, slack, WebView, безопасность, Блог компании Яндекс, десериализация, информационная безопасность, мобильная разработка, разработка мобильных приложений, Разработка под android, Тестирование мобильных приложений, уязвимости, уязвимости и их эксплуатация, Яндекс.Почта

Разработчик Дмитрий Лукьяненко, чью лекцию мы публикуем сегодня, не только является специалистом Яндекса, но и умеет проверять на прочность решения разработчиков других компаний. Это позволяет учиться на чужих ошибках — не исключая порой своих, конечно. В докладе Дмитрий поделится примерами Android-уязвимостей, в том числе найденных им собственноручно. Каждый пример сопровождается рекомендациями — как нужно и как не нужно писать приложения под Android.

Меня зовут Дмитрий, я работаю в компании Яндекс в минском офисе, занимаюсь разработкой аккаунт-менеджера. Это библиотека, которая отвечает за авторизацию пользователей. Поэтому мы поговорим о безопасности Android-приложений.

Читать полностью »

1...10...171819...30...33
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js