На этой неделе компания Microsoft подтвердила свои планы по отказу от NT LAN Manager (NTLM). Так, в Windows 11 отказ запланирован уже на вторую половину текущего года. Также компания анонсировала ряд новых защитных мер, направленных на усиление безопасности ОС.
Для подписчиковВ этой статье мы с тобой разберем несколько видов SQL-инъекций на боевом примере — приложении openSIS, в коде которого я нашел несколько серьезных проблем. Если ты хочешь научиться обнаруживать потенциальные проблемы в коде на PHP, этот материал должен стать живой иллюстрацией. Особенно она будет полезна новичкам, которые хотят разобраться с темой SQLi.
Для подписчиковСамой интересной частью этого райтапа будет повышение привилегий в Linux через модуль PHP — мы проэксплуатируем бинарную уязвимость целочисленного переполнения в нем. На пути к этому используем баг HTTP request smuggling в Haproxy и через LFI прочитаем SSH-ключ пользователя.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло в каталог эксплуатируемых уязвимостей сразу три новых бага, один из которых затрагивает браузер Google Chrome, а два других — роутеры компании D-Link.
Двое студентов из Калифорнийского университета в Санта-Крузе обнаружили проблему в работе прачечных самообслуживания CSC ServiceWorks. Баг позволяет вообще не платить за стирку и пользоваться любой из миллиона подключенных к интернету стиральных машин, установленных в жилых домах, отелях и кампусах учебных заведений по всему миру.
Американская радиорелейная лига (The American Radio Relay League, ARRL) сообщила, что подверглась кибератаке, которая нарушила работу ее IT-систем и онлайн-служб, включая электронную почту и работу Logbook of the World.
Специалисты WatchTowr Labs рассказали, что провели обширный аудит безопасности операционной системы Qnap QTS (QuTSCLoud и QTS Hero), используемой в NAS компании. В результате были обнаружены 15 уязвимостей, одиннадцать из которых до сих пор остаются неисправленными.
Эксперты центра исследования безопасности промышленных систем и реагирования на инциденты Kaspersky ICS CERT сообщают, что общее количество атак на автоматизированные системы управления (АСУ) снизилось по сравнению с первым кварталом 2023 года (с 27,9% до 23,6%), но сами атаки становятся сложнее.
Для подписчиковПрактически все современные системы используют контейнеризацию. В большинстве случаев в качестве платформы контейнеризации служит Docker. Для обеспечения информационной безопасности постепенно появляются решения класса Container Security, но у команд разработки (dev) или сопровождения (ops) не всегда есть возможность их ждать, тестировать и встраивать. А командам информационной безопасности (sec) заниматься защитой нужно уже сейчас.