Уязвимость Nginx

Джонатан Луни (Jonathan Looney) обнаружил что nginx некорректно реализует HTTP/2. Удаленный атакующий может использовать эту уязвимость для потребления ресурсов сервера и отказа в обслуживании.

Читать

Критическая уязвимость RDP!

Еще в мае было известно о критической уязвимости в Службах Удаленных рабочих столов RDS (на более ранних ОС – Служба Терминалов TS ) в ОС Windows (CVE-2019-0708), которая при успешной эксплуатации позволяет злоумышленнику, не прошедшему проверку подлинности, осуществить удаленное выполнение произвольного кода на атакуемой системе.

Читать

Браузерный вуайеризм

На хабре появился пост (https://habr.com/ru/company/globalsign/blog/460987/) о нехороших плагинах для Chrome и Firefox, которые (зачастую) безведома пользователя, за ним подглядывают.

Суть: некая контора (Nacho Analytics) через плагины к указанным браузерам (список в конце поста), собирала с пользователей персональные данные:

  • GPS-координаты пользователей;
  • налоговые декларации, деловые документы, слайды корпоративных презентаций на OneDrive и других хостингах;
  • видео с камер безопасности Nest;
  • номера VIN недавно купленных автомобилей, имена и адреса их владельцев;
  • аттачменты к сообщениям Facebook Messenger и фотографии Facebook, даже отправленные приватно;
  • данные банковских карточек;
  • маршруты путешествий;
  • и многое другое.
Читать

DDoS на российские банки. Хронология атаки

9 ноября крупный российский банк зафиксировал атаку на свой основной публичный web-сайт. События совпали по времени с большим количеством политических медийных событий, связанных с подведением итогов выборов президента США.

В этот момент специалисты нашей компании проводили внешний пентест инфраструктуры банка (шел первый день работ). Банк был предупрежден о возможном влиянии проводимых работ на продуктивные системы, поэтому именно с внешним пентестом и были связаны первые предположения о причинах наблюдаемых трудностей в работе web-сайта.

Читать

CVE-2018-8897

Изумительная, как ни крути история. Разработчики (ВСЕ!!!) неправильно поняли описание инструкции в мануале по 64 разрядным процессорам, в результате чего в ядрах ВСЕХ ОС дыра.

К счастью заштопали уже. Так что срочно обновляться.

Примечательно что, линукс крышится, а в винде можно повысить привелегии.

https://www.opennet.ru/opennews/art.shtml?num=48569
https://security-tracker.debian.org/tracker/CVE-2018-8897

Сообщение whatsapp вешает телефон

Последние несколько дней, по вацапам летает сообщение: «Нажмите эту черную кнопку и ваш телефон зависает на 30 секунд»

Как выяснилось, тема не новая, и в принципе безвредная. Как объясняют специалисты, в соообщение вставлено около 2000 непечатаемых управляющих символов, которые предназначены для выравнивания текста, по левому, или правому краю. Так как их очень много, при нажатии на точку (в видосе, ссылку на который приложу в конце, ее с пиратский черной меткой сравнивают), приложение пытается понять, на какой, из кучи конфликтующих символов ты нажал, и изза этого тупит.

Читать

Новый ботнет

Плохие новости для интернет провайдеров и их клиентов, кто еще платит за мегабайты. Специалистами компании Checkpoint обнаружен новый, активно растущий ботнет. Пруф https://research.checkpoint.com/new-iot-botnet-storm-coming/ (И частичный перевод https://tproger.ru/news/iot-botnet-iotroop/).

В частности атакам подвержены устройства фирм D-Link, TP-Link, GoAhead, AVTECH, MikroTik, Linksys, Synology и многих других.
Читать

GNU Ring

Отличная новость с лора!

21 июля официально вышел релиз кроссплатформенного мессенджера с шифрованием Ring 1.0. Много лет Ring находился в стадии бета-тестирования. И сегодня компания Savoir-faire Linux под покровительством GNU рада сообщить, что все основные проблемы исправлены, и клиент готов к использованию.

Ring — это полностью децентрализованный мессенджер, работа которого не зависит от каких-либо серверов или сторонних предприятий. Каждый пользователь Ring подключается к своим контактам через распределенную сеть. Вся коммуникация в Ring полностью зашифрована — текст, голосовые вызовы и видеозвонки невозможно прослушать.

Основные возможности:

шифрование текста, голосовых и видеозвонков (ICE, SIP, TLS);
расшаривание экрана и конференции (Win32 и GNU/Linux);
поддержка блокчейна Ethereum в качестве публичной децентрализованной базы данных пользователей;
децентрализованная коммуникационная платформа (OpenDHT);
поддержка множества платформ: GNU/Linux, Windows UWP (Windows 10 и Surface), Win32 (Windows 7, 8 и 8.1), MacOS (10.10+) и Android (4.0+).

Распространяется Ring под лицензией GPLv3+.

Мессенджер Ring стал частью GNU в октябре 2016 года. Команда Ring благодарит Ричарда Столлмана и FSF за поддержку проекта!

От себя же хочу добавить, что лично мне очень интересно попробовать такую штуку. Т.к. с технологической точки зрения, это определенно — шаг в перед! Т.е. по отдельности то, все эти технологии уже использовались, но вместе — нет.