https://bugtraq.ru/review/archive/2016/14-06-16.html

Обход ограничений на размер сообщения в Telegram; DevConf 2016; Телеметрия в скомпилированном коде в подарок от Visual Studio 2015; Крупная утечка старых паролей ВКонтакте.

#379, 14.06.2016

Обход ограничений на размер сообщения в Telegram
dl // 14.06.16 13:12
Иранский исследователь Сад Гаф (Sad Ghaf) сообщил об уязвимости, позволяющей обойти ограничения на размер передаваемых сообщений в Telegram - как сверху (была продемонстрирована отправка сообщения длиной 30000 байт, превышающее телеграмный лимит в 4К, упоминается отправка и многомегабайтных сообщений), так и снизу (пустое сообщение, что меньше минимально возможного одного байта). Пока не вполне понятно, идет ли речь об уязвимости, требующей какого-то особого использования, или о полном отсутствии проверки размера при отправке сообщений через API.

Поскольку текстовые сообщения в отличие от видео/фото принимаются без дополнительного разрешения со стороны пользователя, это дает возможность завалить потенциальную жертву мусором вплоть до исчерпания свободного места (в демонстрационном ролике телефон пришлось перезагружать).
Источник: The Register

DevConf 2016
dl // 12.06.16 13:39
17 июня в кампусе Сколково пройдёт 7-я конференция сообществ разработчиков DevConf 2016. В этом году на конференции 9 секций: golang, php, ruby, python, common, js, devops, pm, storage и мастер-классы. После докладов сообщества проведут митапы по MySQL, Laravel, DevOps, ChatBots.

18 июня состоятся мастер-классы: Golang, PostgreSQL, построение эффективной команды и налаживание процесса разработки, GraphQL & Relay, MySQL и архитектуры социальной сети.
Источник: DevConf 2016

Телеметрия в скомпилированном коде в подарок от Visual Studio 2015
dl // 10.06.16 22:30
Как внезапно выяснилось, даже пустая программа на C++, скомпилированная в Visual Studio 2015, включает обращение к функции с ничего хорошего не говорящим именем telemetry_main_invoke_trigger. На самом деле этот вызов приводит к записи в лог очередного события, которое действительно может использоваться для удаленной телеметрии, за которую так ругают десятку - но лишь в том случае, если пользователь предоставляет и символьную информацию о программе (PDB-файл). Тем не менее, Microsoft пообещала удалить этот вызов из статических библиотек в следующем обновлении VS, а пока для его устранения достаточно включить в свой проект файл notelemetry.obj.
Источник: InfoQ

Крупная утечка старых паролей ВКонтакте
dl // 06.06.16 10:25
Сайт LeakedSource, занимающийся мониторингом утечек, добавил в свою коллекцию сто с лишним миллионов паролей от аккаунтов ВКонтакте, поступивших в продажу на черном рынке. Самым популярным паролем традиционно оказался 123456 (709067 аккаунтов).

Продавец утверждает, что взлом произошел где-то между 2011 и 2013 годами, и что еще 71 миллион аккаунтов он пока решил придержать. Пароли хранились в открытом виде, без намека на шифрование.

На LeakedSource можно и проверить, попал ли ваш аккаунт в число пострадавших.

По словам представителя ВКонтакте, "речь шла о старой базе данных, которую хакеры собирали в 2011-2012 годах. На данный момент украденная информация не может быть использована для доступа к аккаунтам и не несет никаких рисков для пользователей."
Источник: Motherboard