Борьба с XSS выходит на новый уровень..

Го потусим вечерком?

Очень мясистый разбор актуальной уязвимости, позволяющей обходить экран защиты приложения pin-кодом, в Android аппах

Разбираемся с уязвимостью в Jetpack Navigation

Всем привет!

Относительно недавно многоуважаемый @OxFi5t подсветил исследование коллег из Positive Technologies про новый вектор атаки на Android через проблемы в библиотеке Jetpack . Спасибо огромное им за исследование, оно реально крутое!

Мы не смогли остаться в стороне, тоже немного покапались в исследовании, нашли пару интересных вещей, не освещенных в оригинальном материале и сегодня я представляю вашему вниманию результат наших трудов, статью "Разбираемся с новой уязвимостью в Android-библиотеке Jetpack Navigation".

Кроме технических деталей самой проблемы мы еще дополнительно проанализировали 1000 приложений из различных маркетов и собрали интересную статистику по подверженности данной проблеме. Если кратко, то 21% из исследованых нами приложений содержит уязвимую навигацию. Эксплуатабельны ли они это отдельный вопрос, который, я надеюсь, мы разберем в дальнейшем обязательно))

Если интересно исследование с цифрами, какие категории оказались наиболее подвержены данной проблеме - можно посмотреть у нас на сайте.

А пока - приятного чтения и спасибо еще раз коллегам за шикарную уязвимость!

#jetpack #stingray #navigation #issue #research

Получилось хо-ро-шо! Всем командам играющим в Standoff - must have!

Всем игрокам, желающим поиграть в команде, тоже!

Спасибо @btv_tx!

На прошлой неделе мы провели открытый митап, чтобы помочь участникам кибербитвы Standoff 13. Капитаны команды True0xA3 Егор Богомолов и Иван Булавин обсудили:

⚫️ Как лучше готовиться и бонусы от участия
⚫️ Ключевые моменты кибербитвы
⚫️ Чего чаще всего не хватает игрокам для победы

Для тех, кто не смог присоединиться, делимся ссылкой на запись: https://www.youtube.com/watch?v=TXggWidQAHk

Ребят, го редтим делать.

Все предложенные варианты это ответ на промпт: "хакер", в одну и ту же нейронку: ruDALL-E, спустя 3 года.

Качество результатов вы можете оценить сами. Традиции менять не будем, след авку сделаем там же.

Love you all <3

Найс баг

Исследователи Oligo Security обнаружили новую уязвимость 0.0.0.0 Day, существующую с 2006 года и затрагивающую все основные браузеры, которую можно использовать через вредоносные сайты могут для взлома локальных сетей.

По словам исследователей, критическая уязвимость реализует фундаментальный недостаток обработки сетевых запросов браузерами, потенциально предоставляя злоумышленникам доступ к конфиденциальным службам, работающим на локальных устройствах.

Влияние уязвимости имеет далеко идущие последствия, поскольку вызвана непоследовательной реализацией механизмов безопасности и отсутствием стандартизации в разных браузерах.

В результате, казалось бы, безобидный IP-адрес, такой как 0.0.0.0, может быть использован для эксплуатации локальных служб, что приведет к несанкционированному доступу и RCE за пределами сети.

0.0.0.0 Day работает на Google Chrome/Chromium, Mozilla Firefox и Apple Safari, позволяя внешним сайтам взаимодействовать с ПО, работающим локально на MacOS и Linux.

Но не затрагивает Windows, поскольку Microsoft блокирует IP-адрес на уровне ОС.

В частности, Oligo Security заметила, что общедоступные сайты, использующие домены на com, могут взаимодействовать со службами в локальной сети и позволяют выполнять произвольный код на хосте посетителя, используя адрес 0.0.0.0, а не localhost/127.0.0.1.

Проблема по сути представляет собой обход доступа к частной сети (PNA), который предназначен для того, чтобы запретить публичным сайтам напрямую получать доступ к конечным точкам, расположенным в частных сетях.

Любое приложение, работающее на локальном хосте и доступное по адресу 0.0.0.0, вероятно, подвержено RCE, включая локальные экземпляры Selenium Grid, отправляя запрос POST на адрес 0.0.0[.]0:4444 со специально созданной полезной нагрузкой.

Ожидается, что в ответ на результаты исследования разработчики браузеров полностью заблокируют доступ к 0.0.0.0, тем самым исключив возможность прямого доступа к конечным точкам частной сети с общедоступных веб-сайтов.

Пока же используя 0.0.0.0 вместе с режимом no-cors, злоумышленники могут использовать публичные домены для атак на службы, работающие на локальном хосте, и даже получать возможность RCE, и все это с помощью одного HTTP-запроса.

Разработчики Chrome уже объявили, что вскоре заблокируют подключение публичных сайтов к локальным ресурсам через IP-адрес 0.0.0.0. Запрет вступит в силу с выпуском Chrome 133, который ожидается примерно в январе следующего года.

Причем ранее Google запретила такой доступ к локальным ресурсам через более известные URL-адреса localhost и 127.0.0.1/8, но попросту забыла заблокировать URL-адрес 0.0.0.0 в то время - в основном потому, что он касался только пользователей macOS и Linux.

Но будем посмотреть.