20206
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
Okta, a leading provider of authentication services and Identity and Access Management (IAM) solutions, says that its private GitHub repositories were hacked this month.
According to a 'confidential' email notification sent by Okta and seen by BleepingComputer, the security incident involves threat actors stealing Okta's source code.
https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/
у Apple день апдейтов сегодня, и там в каждом апдейте по пачке фиксов различных уязвимостей
macOS 13.1 https://support.apple.com/kb/HT213532
iOS/iPadOS 16.2 https://support.apple.com/kb/HT213530
и прочие tvOS/watchOS. Если вдруг вы не хотите апдейтиться на последние macOS/iOS, то для macOS 12.6 и 11.7 тоже вышли апдейты с фиксами
https://support.apple.com/kb/HT213533
https://support.apple.com/kb/HT213534
для последней версии iOS/iPad OS 15.7 тоже вышли апдейты
https://support.apple.com/kb/HT213531
в принципе, ужасов-ужасов в логах я не вижу, но вот, например, есть интересное
Available for: macOS Ventura
Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1.
Description: A type confusion issue was addressed with improved state handling.
WebKit Bugzilla: 247562
CVE-2022-42856: Clément Lecigne of Google's Threat Analysis Group
Тред, подчеркивающий, что в интернете нельзя публиковать никаких фотографий вообще - вычисление расположения нового бомбардировщика США
https://twitter.com/johnmcelhone8/status/1600683623250030593
Новые изменения безопасности систем Apple
Apple сегодня анонсировала целый набор существенных изменений в различных системах, обеспечивающих безопасность своих операционных систем и облачного сервиса iCloud. Я, увлекаясь темой информационной безопасности как хобби, могу только поприветствовать такие изменения.
Основных изменений три:
– Проверка ключей контактов в iMessage
– Поддержка физических ключей безопасности для акаунтов Apple ID
– Дополнительные разделы iCloud, которые теперь будут зашифрованы сквозным шифрованием.
Проверка ключей контактов при обмене сообщений в iMessage важна для тех людей, кто может испытывать на себе чрезмерный интерес различных органов — от разведывательных до государственных, например, журналисты. В этом случае те пользователи, которые активировали iMessage Contact Key Verification, получат сообщения, если в переписке будет замечено неавторизованное устройство (например, злоумышленники взломали учетку одного из участников переписки и вошли в нее со своего устройства, что позволяет получать на это устройство сообщения из переписки).
https://alexmak.net/2022/12/07/apple-security-enhancements/
прекрасное, если правда
https://twitter.com/MsMelChen/status/1597807914395500545
В августе была новость про взлом сервиса LastPass (/channel/alexmakus/4788). К сожалению, у истории есть продолжение — используя информацию, похищенную в августовском взломе, злоумышленники получили новый доступ к системам компании. В этот раз, похоже, и доступ к некоторой пользовательской информации — какой именно, не уточняется. Пароли, утверждается, “не задеты”.
https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/
29 уязвимостей в драйверах Nvidia, включая пару весьма критичныэ. к счастью, исправлены последним апдейтом
https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/
Хоть что-то хорошее от прихода Маска в Твиттер - говорят, что на базе протокола Signal сделают сквозное шифрование для direct messages в сервисе. Посмотрим, как они это объединят между вебом и разными клиентами, включая сторонние.
https://www.tesmanian.com/blogs/tesmanian-blog/twitter-will-adopt-the-signal-protocol-for-encrypted-dms-says-security-researcher
“We assessed the vulnerable component to be the Boa web server, which is often used to access settings and management consoles and sign-in screens in devices. Despite being discontinued in 2005, the Boa web server continues to be implemented by different vendors across a variety of IoT devices and popular software development kits (SDKs). Without developers managing the Boa web server, its known vulnerabilities could allow attackers to silently gain access to networks by collecting information from files. Moreover, those affected may be unaware that their devices run services using the discontinued Boa web server, and that firmware updates and downstream patches do not address its known vulnerabilities.”
https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/
на протяжении последних пары недель было несколько новостей о том, что Apple активно собирает из своих приложений продуктовую аналитику, даже если пользователь при настройке телефона указывал свое несогласие отправлять аналитику в Apple. Теперь за это против Apple подали иск в суд
https://news.bloomberglaw.com/litigation/apple-hit-with-class-action-over-tracking-of-mobile-app-activity
https://www.bloomberglaw.com/public/desktop/document/LibmanvAppleIncDocketNo522cv07069NDCalNov102022CourtDocket?1668427016
https://gizmodo.com/apple-iphone-analytics-tracking-even-when-off-app-store-1849757558
https://www.youtube.com/watch?v=8JxvH80Rrcw
А что случилось? куда подевались суверенные сертификаты?
Читать полностью…
для macOS/iOS тоже вышли апдейты (macOS 13.0.1 и iOS 16.1.1/iPadOS 16.1.1), исправляющие парочку CVE
https://support.apple.com/en-us/HT213504
https://support.apple.com/en-us/HT213505
К слову о патчах Microsoft - пара CVE в Windows Server
https://support.microsoft.com/en-us/topic/kb5021131-how-to-manage-the-kerberos-protocol-changes-related-to-cve-2022-37966-fd837ac3-cdec-4e76-a6ec-86e67501407d
https://support.microsoft.com/en-us/topic/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb
Изменения затронут только Россию — для пользователей за пределами страны набор функций и VPN-серверов не изменится. Русскоязычная версия приложения останется на сайтах компании и в магазинах приложений. В пресс-службе компании отказались комментировать «Интерфаксу» причины отключения VPN-приложения.
https://vc.ru/services/535076-laboratoriya-kasperskogo-otklyuchit-svoy-vpn-servis-v-rossii
https://twitter.com/CarlyPage_/status/1589636556079628288?s=20&t=DeRVHd4707sD2MlwycFDqA
Читать полностью…
Впрочем, чуть не пропустил, что у Microsoft тоже Patch Tuesday сегодня!
https://msrc.microsoft.com/update-guide/en-us
48 уязвимостей, включая 6 критических
што вообще как
https://twitter.com/0xVeera/status/1601918063989108736
Данные почти всех сотрудников «Билайна», включая адреса корпоративной электронной почты, номера мобильных и домашних телефонов, закодированные ФИО и др., оказались в открытом доступе. Первым об этом сообщил Telegram-канал «Утечки информации». Представитель «Билайна» подтвердил факт утечки.
https://www.vedomosti.ru/technology/articles/2022/12/01/953164-informatsiya-bilaina-utekla
а вот еще хороший тред в твиттере, как уязвимость в сервисе спутникового радио для автомобилей SiriusXM — который, как оказалось, также предлагает услуги “подключенных автомобилей”, привела к проблемам у автопроизводителей. В частгости, можно было удаленно разблокировать, включать аварийку, запускать двигатель, получить информацию о местоположении автомобиля — зная лишь его VIN. Касалось это автомобилей Honda, Acura, Nissan, Infiniti. Исследователи сообщили об уязвимости в SiriusXM и те исправили её.
https://twitter.com/samwcyo/status/1597792097175674880
какаято мутная история про то, что камеры Eufy якобы закидывают в свое облако картинки с камеры, даже если облачная функциональность у камеры отключена — пока что это касается превьюшек с видео. Там дальше начинается еще более странное что-то, про то, что стримы с камер можно смотреть с помощью VLC, а данные при этом передаются без шфирования (хотя, конечно же, компания на сайте рассказывает про military grade encryption. я обычно как вижу такое обещание, сразу думаю “пиздят”). там есть и ответ компании про то, что такие превьюшки нужны для уведомлений через пуши об обнаружении объектов на видео, и потом они удаляются. и компания сожалеет, что толком этого не объяснила. ну не знаю, “без облака” должно значить “без облака”, и нефиг тут.
https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/
Ирландия продолжает штрафовать Фейсбук за утечку данных 500 млн пользователей, теперь еще на 275 млн долларов. Всего сумма штрафа приближается уже к 1млрд долларов. Тогда, напомню, у многих юзеров утекли имейлы, номера телефонов и у некоторых — геолокационные данные.
https://www.thestreet.com/social-media/meta-fined-275-million-in-irish-data-leak-case
интересно, что “взлом whatsapp”, о котором успели написать некоторые издания (“500 миллионов украли!!!”), и не взлом вовсе
https://www.linkedin.com/posts/alon-gal-utb_whatsapp-notabreach-stopscrapingyoulittleshits-activity-7001821915610800128-nSR_/
(вот пример такой статьи о взломе https://cybernews.com/news/whatsapp-data-leak/)
в принципе, трех минут достаточно должно быть
https://www.smh.com.au/national/queensland/hackers-show-porn-on-brisbane-billboard-for-three-minutes-20221121-p5bzyc.html
как чувак нашел уязвимость в Google Pixel, позволявшую разблокировать любой заблокированный телефон и получил за это 70 тыс долларов
https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/
https://source.android.com/docs/security/bulletin/2022-11-01
По информации телеграм канала @Data1eaks, в базе содержатся 7.237.427 уникальных телефонов, которые уже доступны в боте @PhoneLeaks_bot. На популярном хакерском форуме продается полная база данных. Файл с промокодами и два файла с пользователями содержат следующие поля:
• Имя;
• Эл. почта;
• Телефон;
• Часть данных банковских карт;
• Другие детали.
https://www.securitylab.ru/news/534762.php
«Проукраинские» хакеры похитили данные пользователей подконтрольного «Газпром-медиа» сервиса Yappy, сообщают профильные Telegram-каналы и подтверждают источники «Ъ». В открытом доступе оказались таблицы на 2 млн строк, в них содержатся ФИО, мобильные телефоны, даты регистрации и другие данные пользователей сервиса. Эксперты предполагают, что злоумышленники получили доступ к данным через аккаунт одного из администраторов сервиса.
https://www.kommersant.ru/doc/5653066
ноябрьский Patch Tuesday у Microsoft. 68 уязвимостей, включая 4 zero day
-CVE-2022-41128, JScript9 RCE, via Google TAG
-CVE-2022-41091, MOTW bypass
-CVE-2022-41073, Print spooler EoP, via MSTIC
-CVE-2022-41125, CNG EoP
https://rawcdn.githack.com/campuscodi/Microsoft-Patch-Tuesday-Security-Reports/1a976afcf461b6f104d40601305e4c9773175f57/Reports/MSRC_CVEs2022-Nov.html
В письме, разосланном в госструктуры и банки, Минцифры попросило «в возможно короткие сроки» уточнить, какие VPN-сервисы они используют или планируют использовать, а также в каких целях они это делают и в каких локациях. В опросном листе компания должна указать название и тип VPN, систему, интернет-ресурс и т. д., для использования которых необходим VPN, в том числе в технологических целях (банки/банкоматы, платежные системы, системы хранения данных и т. п.), а также город, регион России или страну использования.
Блокировке оставшихся сервисов VPN быть?
https://www.vedomosti.ru/technology/articles/2022/11/08/949240-roskosmos-rosteh-i-banki-otchitayutsya-ob-ispolzovanii-vpn?from=newsline
Кто-то в AstraZeneca оставил на GitHub набор внутренних паролей, что открыло доступ к облачной системе с данными пациентов.
https://techcrunch.com/2022/11/03/astrazeneca-passwords-exposed-patient-data/