Jira — мегапопулярная система для отслеживания ошибок, организации взаимодействия с пользователями и управления проектами. Уязвимость позволяет атакующему выполнить произвольный код на целевой системе при помощи обычного POST-запроса, не обладая при этом никакими привилегиями. Давай посмотрим на причины этого бага и методы его эксплуатации.
В этой статье мы окунемся в глубокий и подробный статический анализ с помощью IDA Pro — сверхпопулярного среди хакеров и специалистов по информационной безопасности дизассемблера. Начнем с самого базового анализа и постепенно будем пробираться вперед, разгребая заросли кода.
Один из крупнейших хостеров мира, компания Hostinger, сообщает, что неизвестным злоумышленникам удалось получить доступ к вн…
Сотрудники RubyGems очистили репозиторий от 18 вредоносных версий 11 библиотек, в которых был обнаружен бэкдор.
Специалисты Positive Technologies сообщают, что операторы Neutrino сменили тактику и уже больше года атакуют веб-шеллы други…
Аналитики сообщили, что подтвержденная сумма хищений, совершенных группой Silence в период с июня 2016 года по июнь 2019 год…
Сегодня мы пройдем виртуальную машину CTF с Hack The Box. Машина уязвима к разному типу LDAP-инъекций, использует генератор одноразовых паролей stoken в качестве механизма аутентификации и содержит небрежно написанный скрипт на Bash, с помощью которого мы обманем архиватор 7z и получим root.
На Raidforums были опубликованы данные более чем 321 000 пользователей другого хакерского ресурса, Cracked[.]to (в том числе…
При обыске у Пейдж Томпсон, которую в июле арестовали из-за хищения данных 106 млн пользователей банка Capital One, обнаружи…
Все техники взлома криптографических систем разделяют на две большие группы: использующие недостатки самих алгоритмов шифрования и их физических реализаций. В этой статье мы рассмотрим последние, которые называют SCA (side-channel attacks) — атаки по сторонним (или побочным) каналам.
ИБ-специалист обнаружил новую версию вредоноса Echobot, который имеет на вооружении уже 59 различных эксплоитов, против неда…
Разработчики мессенджера Telegram устранили проблему с голосовой почтой, при помощи которой в Бразилии были скомпрометирован…
Более 100 млн американцев и 6 млн канадцев пострадали в результате взлома компрометации Capital One. В руки третьих лиц попа…
Эксперты компании Sucuri обнаружили, что преступники используют интернационализованные доменные имена для сокрытия своей вре…
В этой статье я расскажу об уязвимости в агенте пересылки сообщений Exim. Найденная брешь позволяет атакующему выполнить произвольный код на целевой системе, что само по себе очень опасно, а если Exim был запущен от рута, то успешная эксплуатация позволяет получить максимальный контроль над системой.
В Бразилии арестованы четверо хакеров, которых обвиняют во взломе более чем 1000 учетных записей Telegram. В числе пострадав…
По информации Trend Micro, серверы Elasticsearch стали целью новой вредоносной кампании. На этот раз атакующие не занимаются…
Аналитики компании Wordfence заметили, что XSS-уязвимость в плагине Coming Soon Page & Maintenance Mode уже используется зло…
Уже больше недели провайдер облачных услуг iNSYNQ не может вернуться к нормальной работе после атаки шифровальщика MegaCort…
Бюро кредитных историй Equifax урегулировало юридические проблемы, возникшие после масштабной утечки данных в 2017 году
СМИ сообщили о взломе подрядчика ФСБ, московской компании «Сайтэк». Атакующие, скрывающиеся под псевдонимом 0v1ru$, похитили…
Личная информация граждан Болгарии, похищенная ранее на этой неделе, уже просочилась в открытый доступ. В свою очередь право…
Разработчики корпоративного мессенджера Slack принудительно сбросили пароли примерно 100 000 пользователей. Дело в том, что …
Независимый исследователь обнаружил XSS-уязвимость в своей Tesla Model 3. Баг позволял извлечь и модифицировать информацию о…
Анонимный злоумышленник похитил личные данные миллионов граждан Болгарии. Судя по всему, дамп был извлечен из сети Националь…
Красная команда имитирует действия атакующего, чтобы помочь оценить эффективность защитных мер и улучшить безопасность. В этой статье я разберу, как устроены такие команды и какие нужны области экспертизы для успешной реализации kill chain и демонстрации результатов.
Независимый исследователь получил 30 000 долларов за обнаруженную в Instagram уязвимость.
Специалисты из израильского Университета имени Бен-Гуриона представили новый метод извлечения данных с физически изолированн…
За последние месяцы специалисты Avast зафиксировали более 4,6 млн drive-by атак на роутеры бразильских пользователей.
Администрация биржи сообщает, что компрометация затронула холодные и горячие кошельки Bitpoint. Из-за атаки пользователи пот…
Эксперты компании RiskIQ сообщили о новом витке атак MageCart. Теперь преступники ищут плохо настроенные бакеты AWS S3 и лом…
Разработчики браузера Pale Moon сообщили, что архивный сервер проекта был взломан 18 месяцев назад. Старые версии браузера о…
У моего сына как-то спросили в школе: «Кем работает твоя мама?» Он сказал — медсестрой. А когда спросили про папу, он ответил: «Мой папа крадет вещи, но это нормально, потому что ему за это платят!» Как видите, работать в красной команде — это не самая обыкновенная карьера. Я расскажу о том, как пришел к ней, с самого начала, и это объяснит многое из того, чем мы занимаемся.
Написанный на Go шифровальщик eCh0raix атакует устройства QNAP NAS.
Эксперты «Лаборатории Касперского» рассказали СМИ о компрометации официального сайта Московской кольцевой железной дороги. Р…
Разработчики Magento исправили ряд уязвимостей, сочетание которых позволяло злоумышленникам установить контроль над уязвимым…
В популярном пакете strong_password, созданном для проверки надежности пользовательских паролей, нашли вредоносный код.
Управление Комиссара по информации Великобритании намерено оштрафовать авиакомпанию British Airways из-за утечки данных, про…
Хакеры воспользовались уязвимостью в функции сброса пароля для приложения 7-Eleven и воспользовались счетами 900 пользовател…
Разработчики Canonical сообщили о компрометации учетной записи Canonical Ltd. на GitHub.
Сайт защищен Qrator —
