#podatnosci — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #podatnosci, aggregated by home.social.
-
https://www.europesays.com/pl/561088/ Microsoft załatał rekordową liczbę dziur w Windows, a hakerski weteran od razu wypuścił nową broń – LegacyHive #ActiveDirectory #BitLocker #cyberbezpieczenstwo #LegacyHive #microsoft #Nauka #NaukaITechnika #NaukaTechnika #NightmareEclipse #PatchTuesday #PL #podatności #Poland #Polish #Polska #Polski #ProfSvc #Science #ScienceAndTechnology #ScienceTechnology #sharepoint #Technika #Technology #windows #ZeroDay
-
Koniec mitu niebezpiecznego AI? Model Mythos poległ na kodzie Curla
Wokół najnowszych modeli sztucznej inteligencji często buduje się aurę tajemniczości i grozy. Twórcy z firmy Anthropic reklamowali swój nowy model Mythos jako technologię „zbyt niebezpieczną, aby udostępnić ją publicznie”.
Z tą marketingową narracją postanowił zmierzyć się Daniel Stenberg, twórca legendarnego narzędzia curl, dając sztucznej inteligencji dostęp do 178 tysięcy linijek swojego kodu. Wyniki eksperymentu mocno weryfikują rynkowy entuzjazm.
Z wielkiej chmury mały deszcz
Model Mythos miał za zadanie przeanalizować bazę kodu curla w poszukiwaniu krytycznych luk bezpieczeństwa. Po długim procesie przetwarzania danych system zgłosił pięć „potwierdzonych podatności”. Jak jednak wykazała weryfikacja przeprowadzona przez zespół curla, skuteczność AI okazała się mocno przeszacowana:
- Trzy ze zgłoszonych luk okazały się fałszywymi alarmami (tzw. false positives).
- Jedno zgłoszenie było zwykłym błędem (bugiem) bez jakichkolwiek implikacji dla cyberbezpieczeństwa.
- Tylko jedna znaleziona podatność okazała się prawdziwa, jednak eksperci sklasyfikowali ją jako lukę „niskiego ryzyka”.
AI asystuje, ale nie zastępuje człowieka
Jak zauważają eksperci ds. bezpieczeństwa (m.in. z serwisu Sekurak), eksperyment Stenberga nie oznacza, że sztuczna inteligencja jest w cyberbezpieczeństwie bezużyteczna. Udowadnia jedynie, że AI nie działa jak magiczna różdżka.
Obecnie branża odchodzi od narracji o podatnościach „znalezionych przez AI” (AI-found) na rzecz tych „wspieranych przez AI” (AI-assisted). Doskonałym przykładem jest niedawna, głośna luka „Copy Fail” w systemie Linux. To badacz (człowiek) na podstawie swojej wiedzy i intuicji określił potencjalny wektor ataku, a sztuczna inteligencja posłużyła mu jedynie jako narzędzie do błyskawicznego przeskalowania tego pomysłu na cały ogromny podsystem.
Wniosek jest prosty: w 2026 roku ekspert ds. cyberbezpieczeństwa, który potrafi umiejętnie korzystać z AI, osiągnie znacznie lepsze i szybsze rezultaty niż kilka lat temu. Sama sztuczna inteligencja pozostawiona bez nadzoru wciąż ma jednak problem z odróżnieniem faktycznego zagrożenia od fałszywego alarmu.
#AI #Anthropic #cURL #cyberbezpieczeństwo #iMagazine #Mythos #podatności #Sekurak #sztucznaInteligencja #technologiaZmiany w OpenAI. Greg Brockman przejmuje nadzór nad produktem, firma ogranicza poboczne projekty
-
Koniec mitu niebezpiecznego AI? Model Mythos poległ na kodzie Curla
Wokół najnowszych modeli sztucznej inteligencji często buduje się aurę tajemniczości i grozy. Twórcy z firmy Anthropic reklamowali swój nowy model Mythos jako technologię „zbyt niebezpieczną, aby udostępnić ją publicznie”.
Z tą marketingową narracją postanowił zmierzyć się Daniel Stenberg, twórca legendarnego narzędzia curl, dając sztucznej inteligencji dostęp do 178 tysięcy linijek swojego kodu. Wyniki eksperymentu mocno weryfikują rynkowy entuzjazm.
Z wielkiej chmury mały deszcz
Model Mythos miał za zadanie przeanalizować bazę kodu curla w poszukiwaniu krytycznych luk bezpieczeństwa. Po długim procesie przetwarzania danych system zgłosił pięć „potwierdzonych podatności”. Jak jednak wykazała weryfikacja przeprowadzona przez zespół curla, skuteczność AI okazała się mocno przeszacowana:
- Trzy ze zgłoszonych luk okazały się fałszywymi alarmami (tzw. false positives).
- Jedno zgłoszenie było zwykłym błędem (bugiem) bez jakichkolwiek implikacji dla cyberbezpieczeństwa.
- Tylko jedna znaleziona podatność okazała się prawdziwa, jednak eksperci sklasyfikowali ją jako lukę „niskiego ryzyka”.
AI asystuje, ale nie zastępuje człowieka
Jak zauważają eksperci ds. bezpieczeństwa (m.in. z serwisu Sekurak), eksperyment Stenberga nie oznacza, że sztuczna inteligencja jest w cyberbezpieczeństwie bezużyteczna. Udowadnia jedynie, że AI nie działa jak magiczna różdżka.
Obecnie branża odchodzi od narracji o podatnościach „znalezionych przez AI” (AI-found) na rzecz tych „wspieranych przez AI” (AI-assisted). Doskonałym przykładem jest niedawna, głośna luka „Copy Fail” w systemie Linux. To badacz (człowiek) na podstawie swojej wiedzy i intuicji określił potencjalny wektor ataku, a sztuczna inteligencja posłużyła mu jedynie jako narzędzie do błyskawicznego przeskalowania tego pomysłu na cały ogromny podsystem.
Wniosek jest prosty: w 2026 roku ekspert ds. cyberbezpieczeństwa, który potrafi umiejętnie korzystać z AI, osiągnie znacznie lepsze i szybsze rezultaty niż kilka lat temu. Sama sztuczna inteligencja pozostawiona bez nadzoru wciąż ma jednak problem z odróżnieniem faktycznego zagrożenia od fałszywego alarmu.
#AI #Anthropic #cURL #cyberbezpieczeństwo #iMagazine #Mythos #podatności #Sekurak #sztucznaInteligencja #technologiaZmiany w OpenAI. Greg Brockman przejmuje nadzór nad produktem, firma ogranicza poboczne projekty
-
Koniec mitu niebezpiecznego AI? Model Mythos poległ na kodzie Curla
Wokół najnowszych modeli sztucznej inteligencji często buduje się aurę tajemniczości i grozy. Twórcy z firmy Anthropic reklamowali swój nowy model Mythos jako technologię „zbyt niebezpieczną, aby udostępnić ją publicznie”.
Z tą marketingową narracją postanowił zmierzyć się Daniel Stenberg, twórca legendarnego narzędzia curl, dając sztucznej inteligencji dostęp do 178 tysięcy linijek swojego kodu. Wyniki eksperymentu mocno weryfikują rynkowy entuzjazm.
Z wielkiej chmury mały deszcz
Model Mythos miał za zadanie przeanalizować bazę kodu curla w poszukiwaniu krytycznych luk bezpieczeństwa. Po długim procesie przetwarzania danych system zgłosił pięć „potwierdzonych podatności”. Jak jednak wykazała weryfikacja przeprowadzona przez zespół curla, skuteczność AI okazała się mocno przeszacowana:
- Trzy ze zgłoszonych luk okazały się fałszywymi alarmami (tzw. false positives).
- Jedno zgłoszenie było zwykłym błędem (bugiem) bez jakichkolwiek implikacji dla cyberbezpieczeństwa.
- Tylko jedna znaleziona podatność okazała się prawdziwa, jednak eksperci sklasyfikowali ją jako lukę „niskiego ryzyka”.
AI asystuje, ale nie zastępuje człowieka
Jak zauważają eksperci ds. bezpieczeństwa (m.in. z serwisu Sekurak), eksperyment Stenberga nie oznacza, że sztuczna inteligencja jest w cyberbezpieczeństwie bezużyteczna. Udowadnia jedynie, że AI nie działa jak magiczna różdżka.
Obecnie branża odchodzi od narracji o podatnościach „znalezionych przez AI” (AI-found) na rzecz tych „wspieranych przez AI” (AI-assisted). Doskonałym przykładem jest niedawna, głośna luka „Copy Fail” w systemie Linux. To badacz (człowiek) na podstawie swojej wiedzy i intuicji określił potencjalny wektor ataku, a sztuczna inteligencja posłużyła mu jedynie jako narzędzie do błyskawicznego przeskalowania tego pomysłu na cały ogromny podsystem.
Wniosek jest prosty: w 2026 roku ekspert ds. cyberbezpieczeństwa, który potrafi umiejętnie korzystać z AI, osiągnie znacznie lepsze i szybsze rezultaty niż kilka lat temu. Sama sztuczna inteligencja pozostawiona bez nadzoru wciąż ma jednak problem z odróżnieniem faktycznego zagrożenia od fałszywego alarmu.
#AI #Anthropic #cURL #cyberbezpieczeństwo #iMagazine #Mythos #podatności #Sekurak #sztucznaInteligencja #technologiaZmiany w OpenAI. Greg Brockman przejmuje nadzór nad produktem, firma ogranicza poboczne projekty
-
Koniec mitu niebezpiecznego AI? Model Mythos poległ na kodzie Curla
Wokół najnowszych modeli sztucznej inteligencji często buduje się aurę tajemniczości i grozy. Twórcy z firmy Anthropic reklamowali swój nowy model Mythos jako technologię „zbyt niebezpieczną, aby udostępnić ją publicznie”.
Z tą marketingową narracją postanowił zmierzyć się Daniel Stenberg, twórca legendarnego narzędzia curl, dając sztucznej inteligencji dostęp do 178 tysięcy linijek swojego kodu. Wyniki eksperymentu mocno weryfikują rynkowy entuzjazm.
Z wielkiej chmury mały deszcz
Model Mythos miał za zadanie przeanalizować bazę kodu curla w poszukiwaniu krytycznych luk bezpieczeństwa. Po długim procesie przetwarzania danych system zgłosił pięć „potwierdzonych podatności”. Jak jednak wykazała weryfikacja przeprowadzona przez zespół curla, skuteczność AI okazała się mocno przeszacowana:
- Trzy ze zgłoszonych luk okazały się fałszywymi alarmami (tzw. false positives).
- Jedno zgłoszenie było zwykłym błędem (bugiem) bez jakichkolwiek implikacji dla cyberbezpieczeństwa.
- Tylko jedna znaleziona podatność okazała się prawdziwa, jednak eksperci sklasyfikowali ją jako lukę „niskiego ryzyka”.
AI asystuje, ale nie zastępuje człowieka
Jak zauważają eksperci ds. bezpieczeństwa (m.in. z serwisu Sekurak), eksperyment Stenberga nie oznacza, że sztuczna inteligencja jest w cyberbezpieczeństwie bezużyteczna. Udowadnia jedynie, że AI nie działa jak magiczna różdżka.
Obecnie branża odchodzi od narracji o podatnościach „znalezionych przez AI” (AI-found) na rzecz tych „wspieranych przez AI” (AI-assisted). Doskonałym przykładem jest niedawna, głośna luka „Copy Fail” w systemie Linux. To badacz (człowiek) na podstawie swojej wiedzy i intuicji określił potencjalny wektor ataku, a sztuczna inteligencja posłużyła mu jedynie jako narzędzie do błyskawicznego przeskalowania tego pomysłu na cały ogromny podsystem.
Wniosek jest prosty: w 2026 roku ekspert ds. cyberbezpieczeństwa, który potrafi umiejętnie korzystać z AI, osiągnie znacznie lepsze i szybsze rezultaty niż kilka lat temu. Sama sztuczna inteligencja pozostawiona bez nadzoru wciąż ma jednak problem z odróżnieniem faktycznego zagrożenia od fałszywego alarmu.
#AI #Anthropic #cURL #cyberbezpieczeństwo #iMagazine #Mythos #podatności #Sekurak #sztucznaInteligencja #technologiaZmiany w OpenAI. Greg Brockman przejmuje nadzór nad produktem, firma ogranicza poboczne projekty
-
Linus Torvalds (twórca Linuksa) wkurzył się na bezsensowne wykorzystanie narzędzi AI do zgłaszania podatności w jądrze Linuksa.
Linus przy przy okazji publikacji kolejnego wydania jądra (7.1 RC4), odniósł się do zgłaszania podatności w jądrze przy użyciu narzędzi AI: Linus stwierdził, też że nie ma sensu traktować takich zgłoszeń jako “poufne” (jak to normalnie bywa ze zgłoszonymi podatnościami – zanim zostanie wydana łatka). To ułatwi koordynację pomiędzy różnymi...
-
Linus Torvalds (twórca Linuksa) wkurzył się na bezsensowne wykorzystanie narzędzi AI do zgłaszania podatności w jądrze Linuksa.
Linus przy przy okazji publikacji kolejnego wydania jądra (7.1 RC4), odniósł się do zgłaszania podatności w jądrze przy użyciu narzędzi AI: Linus stwierdził, też że nie ma sensu traktować takich zgłoszeń jako “poufne” (jak to normalnie bywa ze zgłoszonymi podatnościami – zanim zostanie wydana łatka). To ułatwi koordynację pomiędzy różnymi...
-
Linus Torvalds (twórca Linuksa) wkurzył się na bezsensowne wykorzystanie narzędzi AI do zgłaszania podatności w jądrze Linuksa.
Linus przy przy okazji publikacji kolejnego wydania jądra (7.1 RC4), odniósł się do zgłaszania podatności w jądrze przy użyciu narzędzi AI: Linus stwierdził, też że nie ma sensu traktować takich zgłoszeń jako “poufne” (jak to normalnie bywa ze zgłoszonymi podatnościami – zanim zostanie wydana łatka). To ułatwi koordynację pomiędzy różnymi...
-
Linus Torvalds (twórca Linuksa) wkurzył się na bezsensowne wykorzystanie narzędzi AI do zgłaszania podatności w jądrze Linuksa.
Linus przy przy okazji publikacji kolejnego wydania jądra (7.1 RC4), odniósł się do zgłaszania podatności w jądrze przy użyciu narzędzi AI: Linus stwierdził, też że nie ma sensu traktować takich zgłoszeń jako “poufne” (jak to normalnie bywa ze zgłoszonymi podatnościami – zanim zostanie wydana łatka). To ułatwi koordynację pomiędzy różnymi...
-
Chrome właśnie załatał ponad 120 podatności (!)
Bardzo dawno czegoś takiego nie było. Chrome załatał właśnie bardzo dużą paczkę podatności: Z czego 3 są krytyczne (za zgłoszenie jednej wypłacono $43000 nagrody) oraz 31 poważnych (tzw. High). Jak widać na zrzucie powyżej, dużo luk zostało wykrytych wewnętrznie przez zespół Google. Łatajcie się do Chrome 148.0.7778.96/97. ~ms
#WBiegu #Chrome #Łatki #Podatności
https://sekurak.pl/chrome-wlasnie-zalatal-ponad-120-podatnosci/
-
Chrome właśnie załatał ponad 120 podatności (!)
Bardzo dawno czegoś takiego nie było. Chrome załatał właśnie bardzo dużą paczkę podatności: Z czego 3 są krytyczne (za zgłoszenie jednej wypłacono $43000 nagrody) oraz 31 poważnych (tzw. High). Jak widać na zrzucie powyżej, dużo luk zostało wykrytych wewnętrznie przez zespół Google. Łatajcie się do Chrome 148.0.7778.96/97. ~ms
#WBiegu #Chrome #Łatki #Podatności
https://sekurak.pl/chrome-wlasnie-zalatal-ponad-120-podatnosci/
-
Chrome właśnie załatał ponad 120 podatności (!)
Bardzo dawno czegoś takiego nie było. Chrome załatał właśnie bardzo dużą paczkę podatności: Z czego 3 są krytyczne (za zgłoszenie jednej wypłacono $43000 nagrody) oraz 31 poważnych (tzw. High). Jak widać na zrzucie powyżej, dużo luk zostało wykrytych wewnętrznie przez zespół Google. Łatajcie się do Chrome 148.0.7778.96/97. ~ms
#WBiegu #Chrome #Łatki #Podatności
https://sekurak.pl/chrome-wlasnie-zalatal-ponad-120-podatnosci/
-
Chrome właśnie załatał ponad 120 podatności (!)
Bardzo dawno czegoś takiego nie było. Chrome załatał właśnie bardzo dużą paczkę podatności: Z czego 3 są krytyczne (za zgłoszenie jednej wypłacono $43000 nagrody) oraz 31 poważnych (tzw. High). Jak widać na zrzucie powyżej, dużo luk zostało wykrytych wewnętrznie przez zespół Google. Łatajcie się do Chrome 148.0.7778.96/97. ~ms
#WBiegu #Chrome #Łatki #Podatności
https://sekurak.pl/chrome-wlasnie-zalatal-ponad-120-podatnosci/
-
Krytyczne podatności RCE w PAD CMS – zgłoszenie przez ekspertów Securitum i analiza CERT Polska – konieczne natychmiastowe działania
Naszych dwóch audytorów bezpieczeństwa z Securitum – Robert Kruczek oraz Kamil Szczurowski w ramach działań typu happy hunting (spontaniczne testy systemów w celu poprawy jakości polskiego Internetu) wykryło krytyczne podatności typu unauthenticated Remote Code Execution (RCE) w systemie PAD CMS (na którym uruchamiane są aplikacje internetowe oraz biuletyny informacji publicznej)....
#WBiegu #CertPolska #Cve #KamilSzczurowski #Ministerstwo #PadCms #Podatności #Rce #RobertKruczek
-
Krytyczne podatności RCE w PAD CMS – zgłoszenie przez ekspertów Securitum i analiza CERT Polska – konieczne natychmiastowe działania
Naszych dwóch audytorów bezpieczeństwa z Securitum – Robert Kruczek oraz Kamil Szczurowski w ramach działań typu happy hunting (spontaniczne testy systemów w celu poprawy jakości polskiego Internetu) wykryło krytyczne podatności typu unauthenticated Remote Code Execution (RCE) w systemie PAD CMS (na którym uruchamiane są aplikacje internetowe oraz biuletyny informacji publicznej)....
#WBiegu #CertPolska #Cve #KamilSzczurowski #Ministerstwo #PadCms #Podatności #Rce #RobertKruczek
-
Krytyczne podatności RCE w PAD CMS – zgłoszenie przez ekspertów Securitum i analiza CERT Polska – konieczne natychmiastowe działania
Naszych dwóch audytorów bezpieczeństwa z Securitum – Robert Kruczek oraz Kamil Szczurowski w ramach działań typu happy hunting (spontaniczne testy systemów w celu poprawy jakości polskiego Internetu) wykryło krytyczne podatności typu unauthenticated Remote Code Execution (RCE) w systemie PAD CMS (na którym uruchamiane są aplikacje internetowe oraz biuletyny informacji publicznej)....
#WBiegu #CertPolska #Cve #KamilSzczurowski #Ministerstwo #PadCms #Podatności #Rce #RobertKruczek
-
Krytyczne podatności RCE w PAD CMS – zgłoszenie przez ekspertów Securitum i analiza CERT Polska – konieczne natychmiastowe działania
Naszych dwóch audytorów bezpieczeństwa z Securitum – Robert Kruczek oraz Kamil Szczurowski w ramach działań typu happy hunting (spontaniczne testy systemów w celu poprawy jakości polskiego Internetu) wykryło krytyczne podatności typu unauthenticated Remote Code Execution (RCE) w systemie PAD CMS (na którym uruchamiane są aplikacje internetowe oraz biuletyny informacji publicznej)....
#WBiegu #CertPolska #Cve #KamilSzczurowski #Ministerstwo #PadCms #Podatności #Rce #RobertKruczek
-
Baza EUVD – nowy rozdział w zarządzaniu cyberzagrożeniami?
W świecie cyberbezpieczeństwa, gdzie każda luka może stać się furtką dla przestępców, rola publicznych baz danych o podatnościach jest nie do przecenienia. Przez lata globalnym standardem była amerykańska baza CVE prowadzona przez MITRE, ale ostatnie zawirowania za oceanem sprawiły, że Europa postanowiła ruszyć z własnym tematem. Oto oficjalnie ruszyła Europejska...
#WBiegu #Awareness #Baza #Cve #Cyberawareness #Euvd #Podatności
https://sekurak.pl/baza-euvd-nowy-rozdzial-w-zarzadzaniu-cyberzagrozeniami/
-
Baza EUVD – nowy rozdział w zarządzaniu cyberzagrożeniami?
W świecie cyberbezpieczeństwa, gdzie każda luka może stać się furtką dla przestępców, rola publicznych baz danych o podatnościach jest nie do przecenienia. Przez lata globalnym standardem była amerykańska baza CVE prowadzona przez MITRE, ale ostatnie zawirowania za oceanem sprawiły, że Europa postanowiła ruszyć z własnym tematem. Oto oficjalnie ruszyła Europejska...
#WBiegu #Awareness #Baza #Cve #Cyberawareness #Euvd #Podatności
https://sekurak.pl/baza-euvd-nowy-rozdzial-w-zarzadzaniu-cyberzagrozeniami/
-
Baza EUVD – nowy rozdział w zarządzaniu cyberzagrożeniami?
W świecie cyberbezpieczeństwa, gdzie każda luka może stać się furtką dla przestępców, rola publicznych baz danych o podatnościach jest nie do przecenienia. Przez lata globalnym standardem była amerykańska baza CVE prowadzona przez MITRE, ale ostatnie zawirowania za oceanem sprawiły, że Europa postanowiła ruszyć z własnym tematem. Oto oficjalnie ruszyła Europejska...
#WBiegu #Awareness #Baza #Cve #Cyberawareness #Euvd #Podatności
https://sekurak.pl/baza-euvd-nowy-rozdzial-w-zarzadzaniu-cyberzagrozeniami/
-
Baza EUVD – nowy rozdział w zarządzaniu cyberzagrożeniami?
W świecie cyberbezpieczeństwa, gdzie każda luka może stać się furtką dla przestępców, rola publicznych baz danych o podatnościach jest nie do przecenienia. Przez lata globalnym standardem była amerykańska baza CVE prowadzona przez MITRE, ale ostatnie zawirowania za oceanem sprawiły, że Europa postanowiła ruszyć z własnym tematem. Oto oficjalnie ruszyła Europejska...
#WBiegu #Awareness #Baza #Cve #Cyberawareness #Euvd #Podatności
https://sekurak.pl/baza-euvd-nowy-rozdzial-w-zarzadzaniu-cyberzagrozeniami/
-
GitLab naprawia podatności związane z biblioteką ruby-saml
GitLab ogłosił wydanie nowych wersji oprogramowania. Aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Poprawione wersje to 17.9.2, 17.8.5 oraz 17.7.7. Najważniejsza poprawka dotyczy dwóch podatności (CVE-2025-25291, CVE-2025-25292), zgłoszonych w bibliotece ruby-saml, która jest wykorzystywana przez GitLab do SAML SSO (security assertion markup language; single sign-on). W pewnych okolicznościach...
#WBiegu #Cve #Gitlab #Graphql #Podatności #Rce #Ruby #Saml
https://sekurak.pl/gitlab-naprawia-podatnosci-zwiazane-z-biblioteka-ruby-saml/
-
GitLab naprawia podatności związane z biblioteką ruby-saml
GitLab ogłosił wydanie nowych wersji oprogramowania. Aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Poprawione wersje to 17.9.2, 17.8.5 oraz 17.7.7. Najważniejsza poprawka dotyczy dwóch podatności (CVE-2025-25291, CVE-2025-25292), zgłoszonych w bibliotece ruby-saml, która jest wykorzystywana przez GitLab do SAML SSO (security assertion markup language; single sign-on). W pewnych okolicznościach...
#WBiegu #Cve #Gitlab #Graphql #Podatności #Rce #Ruby #Saml
https://sekurak.pl/gitlab-naprawia-podatnosci-zwiazane-z-biblioteka-ruby-saml/
-
GitLab naprawia podatności związane z biblioteką ruby-saml
GitLab ogłosił wydanie nowych wersji oprogramowania. Aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Poprawione wersje to 17.9.2, 17.8.5 oraz 17.7.7. Najważniejsza poprawka dotyczy dwóch podatności (CVE-2025-25291, CVE-2025-25292), zgłoszonych w bibliotece ruby-saml, która jest wykorzystywana przez GitLab do SAML SSO (security assertion markup language; single sign-on). W pewnych okolicznościach...
#WBiegu #Cve #Gitlab #Graphql #Podatności #Rce #Ruby #Saml
https://sekurak.pl/gitlab-naprawia-podatnosci-zwiazane-z-biblioteka-ruby-saml/
-
GitLab naprawia podatności związane z biblioteką ruby-saml
GitLab ogłosił wydanie nowych wersji oprogramowania. Aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Poprawione wersje to 17.9.2, 17.8.5 oraz 17.7.7. Najważniejsza poprawka dotyczy dwóch podatności (CVE-2025-25291, CVE-2025-25292), zgłoszonych w bibliotece ruby-saml, która jest wykorzystywana przez GitLab do SAML SSO (security assertion markup language; single sign-on). W pewnych okolicznościach...
#WBiegu #Cve #Gitlab #Graphql #Podatności #Rce #Ruby #Saml
https://sekurak.pl/gitlab-naprawia-podatnosci-zwiazane-z-biblioteka-ruby-saml/
-
CERT udostępnia projekt Artemis i n6 dla każdego – od dzisiaj możesz otrzymywać alerty związane z bezpieczeństwem swoich domen
Projekt Artemis, czyli rozbudowany i modułowy skaner podatności opracowany przez CERT Polska (a zapoczątkowany przez koło studenckie KN Cyber), już od pewnego czasu był wykorzystywany przez NASK do badania bezpieczeństwa stron internetowych podległych pod CSIRT NASK podmiotów oraz instytucji, które wyraziły taką chęć, cytując stronę projektu: (https://cert.pl/skanowanie/) TLDR: Od dzisiaj usługa...
-
CERT udostępnia projekt Artemis i n6 dla każdego – od dzisiaj możesz otrzymywać alerty związane z bezpieczeństwem swoich domen
Projekt Artemis, czyli rozbudowany i modułowy skaner podatności opracowany przez CERT Polska (a zapoczątkowany przez koło studenckie KN Cyber), już od pewnego czasu był wykorzystywany przez NASK do badania bezpieczeństwa stron internetowych podległych pod CSIRT NASK podmiotów oraz instytucji, które wyraziły taką chęć, cytując stronę projektu: (https://cert.pl/skanowanie/) TLDR: Od dzisiaj usługa...
-
CERT udostępnia projekt Artemis i n6 dla każdego – od dzisiaj możesz otrzymywać alerty związane z bezpieczeństwem swoich domen
Projekt Artemis, czyli rozbudowany i modułowy skaner podatności opracowany przez CERT Polska (a zapoczątkowany przez koło studenckie KN Cyber), już od pewnego czasu był wykorzystywany przez NASK do badania bezpieczeństwa stron internetowych podległych pod CSIRT NASK podmiotów oraz instytucji, które wyraziły taką chęć, cytując stronę projektu: (https://cert.pl/skanowanie/) TLDR: Od dzisiaj usługa...
-
CERT udostępnia projekt Artemis i n6 dla każdego – od dzisiaj możesz otrzymywać alerty związane z bezpieczeństwem swoich domen
Projekt Artemis, czyli rozbudowany i modułowy skaner podatności opracowany przez CERT Polska (a zapoczątkowany przez koło studenckie KN Cyber), już od pewnego czasu był wykorzystywany przez NASK do badania bezpieczeństwa stron internetowych podległych pod CSIRT NASK podmiotów oraz instytucji, które wyraziły taką chęć, cytując stronę projektu: (https://cert.pl/skanowanie/) TLDR: Od dzisiaj usługa...
-
GitLab naprawia kolejne błędy w tym jeden krytyczny
Niecały miesiąc po naprawieniu problemów, o których pisaliśmy, GitLab ponownie wydał poprawione wersje. Podobnie jak poprzednio, aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Tym razem poprawione wersje oznaczone są numerami 17.2.9, 17.3.5 oraz 17.4.2. TL;DR Najpoważniejszy załatany błąd to CVE-2024-9164 umożliwiający nieautoryzowanym użytkownikom uruchamianie tzw. pipelines. Został znaleziony w...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/gitlab-naprawia-kolejne-bledy-w-tym-jeden-krytyczny/
-
GitLab naprawia kolejne błędy w tym jeden krytyczny
Niecały miesiąc po naprawieniu problemów, o których pisaliśmy, GitLab ponownie wydał poprawione wersje. Podobnie jak poprzednio, aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Tym razem poprawione wersje oznaczone są numerami 17.2.9, 17.3.5 oraz 17.4.2. TL;DR Najpoważniejszy załatany błąd to CVE-2024-9164 umożliwiający nieautoryzowanym użytkownikom uruchamianie tzw. pipelines. Został znaleziony w...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/gitlab-naprawia-kolejne-bledy-w-tym-jeden-krytyczny/
-
GitLab naprawia kolejne błędy w tym jeden krytyczny
Niecały miesiąc po naprawieniu problemów, o których pisaliśmy, GitLab ponownie wydał poprawione wersje. Podobnie jak poprzednio, aktualizacja dotyczy zarówno Community Edition, jak i Enterprise Edition. Tym razem poprawione wersje oznaczone są numerami 17.2.9, 17.3.5 oraz 17.4.2. TL;DR Najpoważniejszy załatany błąd to CVE-2024-9164 umożliwiający nieautoryzowanym użytkownikom uruchamianie tzw. pipelines. Został znaleziony w...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/gitlab-naprawia-kolejne-bledy-w-tym-jeden-krytyczny/
-
Badacze pokazali jak można było prostym hackiem zdalnie przejąć samochody Kia. Podatne były wybrane modele od 2015 roku w górę, a dodatkowo według badaczy z USA nie było istotne czy ktoś miał aktywowaną subskrypcję Kia Connect.
W cytowanym badaniu wystarczyło znać numer rejestracyjny samochodu (lub nr VIN). Następnie można było go zdalnie otworzyć, uruchomić, mieć dostęp do kamer (w wybranych modelach). Można było też mieć dostęp do fizycznej lokalizacji auta czy emaila / numeru telefonu właściciela. Fragment listy wskazanych przez badaczy podatnych modeli: Badacze stworzyli nawet...
-
Badacze pokazali jak można było prostym hackiem zdalnie przejąć samochody Kia. Podatne były wybrane modele od 2015 roku w górę, a dodatkowo według badaczy z USA nie było istotne czy ktoś miał aktywowaną subskrypcję Kia Connect.
W cytowanym badaniu wystarczyło znać numer rejestracyjny samochodu (lub nr VIN). Następnie można było go zdalnie otworzyć, uruchomić, mieć dostęp do kamer (w wybranych modelach). Można było też mieć dostęp do fizycznej lokalizacji auta czy emaila / numeru telefonu właściciela. Fragment listy wskazanych przez badaczy podatnych modeli: Badacze stworzyli nawet...
-
Badacze pokazali jak można było prostym hackiem zdalnie przejąć samochody Kia. Podatne były wybrane modele od 2015 roku w górę, a dodatkowo według badaczy z USA nie było istotne czy ktoś miał aktywowaną subskrypcję Kia Connect.
W cytowanym badaniu wystarczyło znać numer rejestracyjny samochodu (lub nr VIN). Następnie można było go zdalnie otworzyć, uruchomić, mieć dostęp do kamer (w wybranych modelach). Można było też mieć dostęp do fizycznej lokalizacji auta czy emaila / numeru telefonu właściciela. Fragment listy wskazanych przez badaczy podatnych modeli: Badacze stworzyli nawet...
-
Kolejny krytyczny błąd załatany w GitLabie
Po dwóch miesiącach od poprzednich problemów, które opisywaliśmy, GitLab wydał kolejne poprawione wersje, zarówno Community Edition, jak i Enterprise Edition, oznaczone numerami 17.3.2, 17.2.5 oraz 17.1.7. Podobnie jak poprzednio, najpoważniejszy błąd, oznaczony symbolem CVE-2024-6678, pozwala – w pewnych okolicznościach, które nie zostały sprecyzowane w ogłoszeniu na stronie GitLab – na zdalne wykonanie...
#WBiegu #Cve #Gitlab #Hackerone #Podatności #Websec
https://sekurak.pl/kolejny-krytyczny-blad-zalatany-w-gitlabie/
-
Kolejny krytyczny błąd załatany w GitLabie
Po dwóch miesiącach od poprzednich problemów, które opisywaliśmy, GitLab wydał kolejne poprawione wersje, zarówno Community Edition, jak i Enterprise Edition, oznaczone numerami 17.3.2, 17.2.5 oraz 17.1.7. Podobnie jak poprzednio, najpoważniejszy błąd, oznaczony symbolem CVE-2024-6678, pozwala – w pewnych okolicznościach, które nie zostały sprecyzowane w ogłoszeniu na stronie GitLab – na zdalne wykonanie...
#WBiegu #Cve #Gitlab #Hackerone #Podatności #Websec
https://sekurak.pl/kolejny-krytyczny-blad-zalatany-w-gitlabie/
-
Kolejny krytyczny błąd załatany w GitLabie
Po dwóch miesiącach od poprzednich problemów, które opisywaliśmy, GitLab wydał kolejne poprawione wersje, zarówno Community Edition, jak i Enterprise Edition, oznaczone numerami 17.3.2, 17.2.5 oraz 17.1.7. Podobnie jak poprzednio, najpoważniejszy błąd, oznaczony symbolem CVE-2024-6678, pozwala – w pewnych okolicznościach, które nie zostały sprecyzowane w ogłoszeniu na stronie GitLab – na zdalne wykonanie...
#WBiegu #Cve #Gitlab #Hackerone #Podatności #Websec
https://sekurak.pl/kolejny-krytyczny-blad-zalatany-w-gitlabie/
-
Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.
Podatne było oprogramowanie służące zarządzaniu swoją instalacją solarną (od firmy Enphase systems). Sama firma chwali się że obsługuje 4 miliony instalacji solarnych w 150 krajach. Badacz testowo zakupił dwa inwertery i… pokazał jak mając dostęp do administratora jednego z nich, może wykonywać operacje na zupełnie innym koncie. Zakładam, że mogło...
-
Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.
Podatne było oprogramowanie służące zarządzaniu swoją instalacją solarną (od firmy Enphase systems). Sama firma chwali się że obsługuje 4 miliony instalacji solarnych w 150 krajach. Badacz testowo zakupił dwa inwertery i… pokazał jak mając dostęp do administratora jednego z nich, może wykonywać operacje na zupełnie innym koncie. Zakładam, że mogło...
-
Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.
Podatne było oprogramowanie służące zarządzaniu swoją instalacją solarną (od firmy Enphase systems). Sama firma chwali się że obsługuje 4 miliony instalacji solarnych w 150 krajach. Badacz testowo zakupił dwa inwertery i… pokazał jak mając dostęp do administratora jednego z nich, może wykonywać operacje na zupełnie innym koncie. Zakładam, że mogło...
-
Serią podatności mógł kontrolować nawet kilkanaście gigawatów mocy generowanej przez panele solarne (*) na całym świecie. To moc porównywalna z wytwarzaną przez kilka elektrowni atomowych.
Podatne było oprogramowanie służące zarządzaniu swoją instalacją solarną (od firmy Enphase systems). Sama firma chwali się że obsługuje 4 miliony instalacji solarnych w 150 krajach. Badacz testowo zakupił dwa inwertery i… pokazał jak mając dostęp do administratora jednego z nich, może wykonywać operacje na zupełnie innym koncie. Zakładam, że mogło...
-
Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.
Tytułowa ciekawostka z raportu „o stanie bezpieczeństwa cyberprzestrzeni RP” opublikowanego przez ABW: W aplikacji WWW podlegającej ocenie bezpieczeństwa, w jednym z jej formularzy, istniała możliwość wgrywania plików przez użytkownika. Funkcjonalność weryfikacji rozszerzenia wgrywanych plików zaimplementowana była wyłącznie po stronie frontend-u , tj. przeglądarki. Przechwycenie pliku JavaScript odpowiedzialnego za ten mechanizm...
-
Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.
Tytułowa ciekawostka z raportu „o stanie bezpieczeństwa cyberprzestrzeni RP” opublikowanego przez ABW: W aplikacji WWW podlegającej ocenie bezpieczeństwa, w jednym z jej formularzy, istniała możliwość wgrywania plików przez użytkownika. Funkcjonalność weryfikacji rozszerzenia wgrywanych plików zaimplementowana była wyłącznie po stronie frontend-u , tj. przeglądarki. Przechwycenie pliku JavaScript odpowiedzialnego za ten mechanizm...
-
Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.
Tytułowa ciekawostka z raportu „o stanie bezpieczeństwa cyberprzestrzeni RP” opublikowanego przez ABW: W aplikacji WWW podlegającej ocenie bezpieczeństwa, w jednym z jej formularzy, istniała możliwość wgrywania plików przez użytkownika. Funkcjonalność weryfikacji rozszerzenia wgrywanych plików zaimplementowana była wyłącznie po stronie frontend-u , tj. przeglądarki. Przechwycenie pliku JavaScript odpowiedzialnego za ten mechanizm...
-
Walidacja wejścia od użytkownika (hackera) tylko po stronie frontendu (tj. w tylko w JavaScript)? Takie rzeczy się cały czas zdarzają i to w polskich systemach rządowych.
Tytułowa ciekawostka z raportu „o stanie bezpieczeństwa cyberprzestrzeni RP” opublikowanego przez ABW: W aplikacji WWW podlegającej ocenie bezpieczeństwa, w jednym z jej formularzy, istniała możliwość wgrywania plików przez użytkownika. Funkcjonalność weryfikacji rozszerzenia wgrywanych plików zaimplementowana była wyłącznie po stronie frontend-u , tj. przeglądarki. Przechwycenie pliku JavaScript odpowiedzialnego za ten mechanizm...
-
Krytyczny błąd w GitLab pozwala na uruchamianie zadań CI/CD jako inny użytkownik
W oprogramowaniu GitLab, zarówno w wersji Community, jak i Enterprise, został znaleziony poważny błąd (ocena 9,6 wg CVSS 3.0), któremu nadano identyfikator CVE-2024-6385. Dotyczy on wersji od 15.8 do 16.11.6 (bez 16.11.6), od 17.0 do 17.0.4 (bez tej ostatniej), oraz od 17.1 do 17.1.2 (również bez ostatniej). Pełne informacje na temat...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/krytyczny-blad-w-gitlab-pozwala-na-uruchamianie-zadan-ci-cd-jako-inny-uzytkownik/
-
Krytyczny błąd w GitLab pozwala na uruchamianie zadań CI/CD jako inny użytkownik
W oprogramowaniu GitLab, zarówno w wersji Community, jak i Enterprise, został znaleziony poważny błąd (ocena 9,6 wg CVSS 3.0), któremu nadano identyfikator CVE-2024-6385. Dotyczy on wersji od 15.8 do 16.11.6 (bez 16.11.6), od 17.0 do 17.0.4 (bez tej ostatniej), oraz od 17.1 do 17.1.2 (również bez ostatniej). Pełne informacje na temat...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/krytyczny-blad-w-gitlab-pozwala-na-uruchamianie-zadan-ci-cd-jako-inny-uzytkownik/
-
Krytyczny błąd w GitLab pozwala na uruchamianie zadań CI/CD jako inny użytkownik
W oprogramowaniu GitLab, zarówno w wersji Community, jak i Enterprise, został znaleziony poważny błąd (ocena 9,6 wg CVSS 3.0), któremu nadano identyfikator CVE-2024-6385. Dotyczy on wersji od 15.8 do 16.11.6 (bez 16.11.6), od 17.0 do 17.0.4 (bez tej ostatniej), oraz od 17.1 do 17.1.2 (również bez ostatniej). Pełne informacje na temat...
#WBiegu #Cve #Gitlab #Podatności
https://sekurak.pl/krytyczny-blad-w-gitlab-pozwala-na-uruchamianie-zadan-ci-cd-jako-inny-uzytkownik/
-
🔴 ArcaneDoor – nowa, tajemnicza kampania hackerska przejmująca kluczowe urządzenia Cisco ASA / Cisco Firepower Threat Defense.
Zaczęło się od zgłoszenia przejętego urządzenia – na początku 2024 roku. Niedługo później udało się namierzyć kolejne ofiary – wszystkie będące sieciami rządowymi na całym świecie Na obecnym etapie Cisco nie do końca wie jaki jest/był sposób wejścia do sieci przez atakujących… Próby odtworzenia całej ścieżki ataku trwają. W trakcie...
-
🔴 ArcaneDoor – nowa, tajemnicza kampania hackerska przejmująca kluczowe urządzenia Cisco ASA / Cisco Firepower Threat Defense.
Zaczęło się od zgłoszenia przejętego urządzenia – na początku 2024 roku. Niedługo później udało się namierzyć kolejne ofiary – wszystkie będące sieciami rządowymi na całym świecie Na obecnym etapie Cisco nie do końca wie jaki jest/był sposób wejścia do sieci przez atakujących… Próby odtworzenia całej ścieżki ataku trwają. W trakcie...
-
🔴 ArcaneDoor – nowa, tajemnicza kampania hackerska przejmująca kluczowe urządzenia Cisco ASA / Cisco Firepower Threat Defense.
Zaczęło się od zgłoszenia przejętego urządzenia – na początku 2024 roku. Niedługo później udało się namierzyć kolejne ofiary – wszystkie będące sieciami rządowymi na całym świecie Na obecnym etapie Cisco nie do końca wie jaki jest/był sposób wejścia do sieci przez atakujących… Próby odtworzenia całej ścieżki ataku trwają. W trakcie...