Piszesz sobie popularne oprogramowanie OpenSource. A tu nagle e-mail od giga korporacji, która akurat tego toola wykorzystuje.

"Chcemy żebyś odpowiedział w 24h". Czy używałeś log4j? Czy miałeś incydenty bezpieczeństwa? Jakie ew. dane zostały wykradzione?

Dostali całkiem dyplomatyczną odpowiedź: podpiszcie umowę wsparcia, to pogadamy

https://sekurak.pl/giga-korporacja-bierze-na-spytki-tworce-curla-bo-z-niego-korzysta-p-odpowiedz-nam-w-24h/
sekurak - Piszesz sobie popularne oprogramowanie OpenSource. A tu nagle e-mail od gig...

źródło: comment_1643625258bZP7D32FdMmTBu2KRTdSBX.jpg

Pobierz
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

„Zainfekowany Pegasusem telefon Michała Kołodziejczaka był… wyprodukowany później niż data infekcji określona w raporcie Citizen Lab”. Czy aby na pewno?

Mamy też dodatkowe wyjaśnienia bezpośrednio od Citizen Lab - ekipy, która analizowała iPhone Michała Kołodziejczaka :

https://sekurak.pl/zainfekowany-pegasusem-telefon-michala-kolodziejczaka-byl-wyprodukowany-pozniej-niz-data-infekcji-okreslona-w-raporcie-citizen-lab-czy-aby-na-pewno/

#sekurak #bezpieczenstwo #pegasus #polska
sekurak - „Zainfekowany Pegasusem telefon Michała Kołodziejczaka był… wyprodukowany p...

źródło: comment_1643224965bn7dsalZEBBHEEQDYi8H2f.jpg

Pobierz
  • 2
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

Czyta ktoś książkę Sekuraka o bezpieczeństwie aplikacji webowych i przerabia zadanka? Mam problem z tym:

"Pod adresem http://training.securitum.com/book/http-headers/cwiczenie_iprestrictions.php znajduje się zabezpieczony panel. Dostęp do niego został ograniczony wyłącznie do konkretnego adresu IP. Zadaniem Czytelnika jest odkryć, jaki to adres, oraz znaleźć sposób ominięcia tego filtru, tak aby uzyskać dostęp do zasobu."

Ktoś wie jak zdobyć tego IP-ka?

#programista15k #programowanie #siecikomputerowe #bezpieczenstwo #sekurak
  • 6
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

Hej, od niedawna uzywam znowu androida i mam takie pytanie:
Authenticator od Microsoftu pokazal mi sie na pasku powiadomien u gory, ale w powiadomieniu nie bylo zadnej tresci. Po prost nazwa "Authenticator" oraz 2h temu. Rzecz w tym, ze wtedy to ja spalem, wiec nic nie dotykalem. Nie bylo tam jednak w wiadomosci zadnego kodu, ani pytania o dostep. Sama nazwa aplikacji i czas.
Czy to normalne? Mial ktos tak? Czy to
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

@sekurak może tu uda mi się uzyskać odpowiedź bo na mailu i LinkedIn cisza. Jakieś info o wysyłce nagród za konkurs z ankietą? Miesiąc temu dostałem info, że wygrałem ( ͡ ͜ʖ ͡)
  • Odpowiedz
  • 242
@ruum niekoniecznie. To jest spis pozycji w inwentarzu, a jako kraj mieliśmy na składzie głowice jądrowe przynajmniej do wycofania wojsk radzieckich. Być może ten spis jest budowany od wielu lat
  • Odpowiedz
@sekurak: spieprzył sprawę jak powiedział że córka (chyba bo słabo słychać) nie może podejść do telefonu bo zmienia wnuczce pampersa a przecież to właśnie "wnuczka" dzwoni w sprawie wypadku. Trochę ciężko jest mieć wnuki między którymi jest jakieś 20 lat różnicy. Tak czy inaczej w połowie rozmowy wbiegł dzieciak krzycząc "dziadek do kogo dzwonisz" i spalił całą akcję. Szkoda
  • Odpowiedz
Podatność w serwerach (i klientach) Minecraft – przez wpisanie exploita na chacie można przejąć serwer oraz innych graczy ;-/

aka tylko demonstracja możliwości najnowszej podatności w log4j, CVE-2021-44228

https://sekurak.pl/podatnosc-w-serwerach-minecraft-wpisujesz-exploita-na-chacie-i-przejmujesz-serwer-oraz-innych-graczy-log4j-cve-2021-44228/

#sekurak #minecraft #bezpieczenstwo #java #programowanie #security
sekurak - Podatność w serwerach (i klientach) Minecraft – przez wpisanie exploita na ...

źródło: comment_1639151906RcVxbUUk7l8p9pIkK9d6my.jpg

Pobierz
  • 3
  • Odpowiedz
  • Otrzymuj powiadomienia
    o nowych komentarzach

@lovox: Podatna jest biblioteka więc wystarczy wykonywać analizę komponentów. Czyli generujesz SBOMy i ładujesz je do odpowiedniego narzędzia, np. https://dependencytrack.org/. Z tego co widzę CVE nie ma jeszcze ustawionych CPE więc alertu byś nie dostał. Natomiast narzędzie agreguje wszystkie użycia biblioteki więc wystarczyłoby wpisać "log4j" w wyszukiwarce i miałbyś listę podatnych projektów.
  • Odpowiedz