С наступающим
dl // 29.12.17 19:47
Традиционный недельный новогодний полуавтопилот и поздравления всех присутствующих с неумолимо надвигающимся 19 декабря 2770 года ab Urbe condita.

теги: ny  |  обсудить  |  все отзывы (0)

Opera 50 помешает сайтам майнить за счет посетителей
dl // 25.12.17 19:15
Готовящаяся к выходу юбилейная 50 версия Opera включает настройку "NoCoin (Cryptocurrency Mining Protection)", которая помешает отдельным предприимчивым сайтам использовать вычислительные мощности своих посетителей для майнинга.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/12/01.html]
Соответствующие скрипты будут блокироваться точно так же, как реклама.

Источник: Opera blogs теги: opera, bitcoin  |  обсудить  |  все отзывы (0)

macOS High Sierra пускает под рутом всех желающих
dl // 29.11.17 01:30
Если заблокировать macOS High Sierra через System Preferences -> Users & Groups -> Click the lock to make changes (для этого достаточно зайти под гостевым аккаунтом), потом ввести в диалоге аутентификации имя пользователя root, оставить поле ввода пароля пустым и несколько раз ткнуть Unlock, диалог исчезнет, а вы окажетесь в системе с администраторскими правами.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/11/03.html]
Использование уязвимости, конечно, требует физического доступа к системе, но и так неплохо получилось.

Судя по всему, проблема в том, что аккаунт root с пустым паролем по умолчанию запрещен, а эти действия просто его активируют, сохраняя при этом пустой пароль. Так что для устранения уязвимости достаточно самостоятельно активировать root и задать ему какой-нибудь нормальный пароль (быстрее всего через sudo passwd root в терминале).

У High Sierra вообще не задалось с паролями - месяца полтора назад выяснилось, что в диалоге подключения зашифрованного контейнера в качестве парольной подсказки показывался сам пароль.

Источник: The Register теги: клоуны, mac  |  обсудить  |  все отзывы (0)

Уязвимость, давшая доступ к системе учёта уязвимостей Google
dl // 22.11.17 18:43
Алекс Бирсан (Alex Birsan) сообщил о забавном наборе уязвимостей, позволившем заработать 15,600 $ и проникнуть в святая святых Google - закрытую от внешнего мира систему учёта уязвимостей.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/11/02.html]

Первая уязвимость позволяла преобразовать произвольный gmail-аккаунт в аккаунт из корпоративного домена @google.com. В Issue Tracker она пробраться не позволила, но открыла дверь к разным корпоративным плюшкам и была оценена Google спустя 11 часов после извещения в 3 с небольшим тысячи.

Вторая уязвимость позволила получать извещения об обсуждениях уязвимостей, идентификаторы которых оказалось легко экстраполировать. Это было оценено Google в 5 тысяч через 5 часов.

Наконец, третьей попыткой стал достаточно простой post-запрос, включающий подобранный идентификатор уязвимости и позволяющий получать детальную информацию о любой зарегистрированной уязвимости. Тут время реакции сократилось до 1 часа, а вознаграждение выросло до 7500.

Источник: ZDNet теги: google  |  обсудить  |  все отзывы (0)

Oracle выпустила срочный патч для Identity Manager
dl // 12.11.17 14:56
Oracle прервала свой традиционный квартальный цикл выхода патчей, чтобы выпустить срочное исправление Oracle Identity Manager, обеспечивающего идентификацию пользователей при работе с Oracle Fusion Middleware.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/11/01.html]
Исправленная уязвимость позволяла полностью захватить управление OIM, удалённо и без предварительной аутентификации, простым http-запросом.

Источник: ZDNet теги: oracle, patch  |  обсудить  |  все отзывы (0)

««    «   31  |  32  |  33  |  34  |  35  |  36  |  37  |  38  |  39  |  40   »    »»

Предложить свою новость