Исследователи Check Point обнаружили, что многие Android-девайсы, работающие на чипсетах Qualcomm и MediaTek, уязвимы для удаленного выполнения кода из-за проблемы в аудиокодеках Apple Lossless Audio Codec (ALAC).
Завершилось хакерское состязание Pwn2Own Miami 2022, проходившее с 19 по 21 апреля. Его участники заработали более 400 000 долларов, продемонстрировав 26 эксплоитов для уязвимостей нулевого дня в решениях ICS и АСУ ТП.
Для подписчиковКогда изучаешь дизассемблированный листинг программы в целях понять, как она работает, очень часто нужно отыскать в ней строки. В сегодняшней статье мы рассмотрим, какие типы строк существуют, из каких символов они могут состоять, какого размера бывают символы и чем отличается строка от простого набора байтов. Еще мы обсудим хранение, передачу и обработку строк разными компиляторами.
Для подписчиковВсех, кто использует относительно новые версии Java-фреймворка Oracle, в минувшую среду ждал неприятный сюрприз: критическая уязвимость в Java, которая позволяет легко подделывать сертификаты и подписи TLS, сообщения двухфакторной аутентификации и данные авторизации. Исследователь из компании ForgeRock Нил Мэдден опубликовал в сети подробное описание уязвимости, с тезисами которого мы сегодня тебя познакомим.
Эксперты Positive Technologies обнаружили ряд проблем в моноблочных компактных контроллерах Mitsubishi FX5U серии MELSEC iQ-F из линейки MELSEX FX. Для эксплуатации выявленных уязвимостей злоумышленнику достаточно иметь сетевой доступ к контроллеру либо, в случае сегментирования сети, находиться в локальной сети с ПЛК.
Компания «Яндекс» опубликовала исходный код распределенной системы управления базами данных Yandex Database (YDB). Технология позволяет создавать масштабируемые отказоустойчивые сервисы, способные выдерживать большую операционную нагрузку. Код предоставляется по открытой лицензии Apache 2.0.
Зампред правления Сбербанка Станислав Кузнецов сообщил СМИ, что недавно специалисты банка остановили масштабную атаку на владельцев российских карт со стороны украинского разработчика приложений. Тот попытался списать средства по всей накопленной клиентской базы, а количество попыток списаний доходило до десятка тысяч в минуту.
Разработчики GitHub сообщили, что неизвестные лица использовали ворованные токены OAuth (выпущенные Heroku и Travis-CI) для загрузки данных из чужих репозиториев. Атаку заметили 12 апреля 2022 года, и к этому моменту злоумышленники уже украли данные десятков организаций.
Хакеры запустили в даркнете новую торговую площадку Industrial Spy, где торгуют украденными у взломанных компаний данными, а также распространяют дампы почти бесплатно. При этом Industrial Spy позиционирует себя как маркетплейс, где компании могут приобрести данные своих конкурентов, чтобы получить доступ к коммерческой тайне, производственным чертежам, бухгалтерским отчетам и клиентским базам данных.