DOFH - DevOps from hell
3.56K subscribers
994 photos
31 videos
187 files
2.48K links
У нас уютно как в аду. Располагайтесь, наслаждайтесь.

Заметки на полях невидимого фронта.

Поблагодарить:
https://xn--r1a.website/boost/DOFH_ru
Download Telegram
Forwarded from Евгений Потапов и ITSumma
У Zoom (как минимум на маке, на винде - посмотрю) стоит в бэкграунде вебсервер, который выдает картинку.

Когда вы присоединяетесь по ссылке на звонок, сайт Zoom-а открывает <img src .../> с localhost и GET-запросом передает команду (img src, чтобы обойти CORS).

В ответ вебсервер отдает картинку с разными разрешениями - так возвращает статус, они на фотке, там весело.

Соответственно, если вы просто у себя на сайте пропишете такой тег, у zoom-юзера запустится инвайт в звонок, а до вчера, если поиграться с параметрами - можно было автоматом туда человека запустить сразу с включенным видео и аудио. Обновитесь ;)

https://medium.com/@jonathan.leitschuh/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5?fbclid=IwAR2DqL-NOXQGaZiMO3nAvLJVKSswmlj_rLJ_5wS9FBx1eXsJ0nDpSHhIlYo
на выходные у меня для вас есть 48 страниц отчета по изучению прошивок телекоммуникационного оборудования Huawei. Исследователи изучили 1,5 миллиона файлов из почти 10 тыс образов к 558 различным корпоративным устройствам Huawei. Выводы исследователи делают неутешительные. Если коротко — то все плохо, оборудование менее безопасно, сотни потенциальных уязвимостей для бэкдоров, включая захардкоженные логины и пароли и встроенные криптографические ключи. Масса непропатченных известных уязвимостей из опенсорса, потому что в некоторых случаях разработчики почемуто решали использовать древние 20-летние библиотеки вместо современных аналогов. Несмотря на обещания Huawei улучшать безопасность устройств, исследователи делают вывод, что она со временем ухудшается.

Даже если у вас нет времени читать весь документ, раздел Key Findings — это хорошее место получить общее представление о том, что говорится в отчете. Очень занимательное чтиво.

https://finitestate.io/wp-content/uploads/2019/06/Finite-State-SCA1-Final.pdf
Автор поста на Хабре про уязвимость в Астре сильно не хочет аппрувить коммент о ее закрытии :)))))
Волшебно. МТС опять не смог в DevOps: https://mts.potok.io/open/jobs/137288

Кстати, от такого описания вакансии хочется блевать.
Forwarded from Cybersecurity & Co. 🇺🇦 (Alexander Litreev)
This media is not supported in your browser
VIEW IN TELEGRAM
Желание Сбербанка знать всё и вся про клиентов просто переходит все границы. Давай мы будем знать твои биометрические данные и согласие ты нам дашь, потому что выбора у тебя нет, пёс.
Салат «Асинхронный»: помиогурдоры, цымайон, ез.
Facebook получил штраф на $5 млрд по делу Кембридж Аналитики. Это все, что вам надо знать про демократию и свободу заработка в США.

Суть: илитка не смогла пропихнуть своего, у тебя один из миллионов разработчиков-партнеров проводит рекламные кампании на твоей платформе, пиздюлей получаешь ты за всех.

Because fuck you, that's why.
Очень ценная подборка по Эльбрусам http://ict18.rans.ru/images/present/Gorshenin.pdf
Про nightly сборки и их фанатов: “Хорошие вещи по ночам не делаются”
Ноу-хау безопасности ОС СН Astra Linux