This media is not supported in your browser
VIEW IN TELEGRAM
NodeJS DOS с помощью битых HTTP/2 фреймов (CVE-2024-27983)
#nodejs #js #dos #http2 #CVE
Node.js сервер может быть положен на лопатки с помощью специального набора HTTP/2 фреймов. Уязвимость возникает, когда злоумышленник отправляет HTTP/2 фреймы, содержащие фреймы CONTINUATION, после чего внезапно завершает TCP-соединение. Это вызывает состояние гонки (race condition) в памяти библиотеки nghttp2, оставляя необработанные данные в памяти. Конкретно проблема возникает при обработке HTTP заголовков в момент закрытия соединения, что провоцирует сбой работы сессии HTTP/2.
😵 Проблема касается всех версий Node.js: 18.x, 20.x и 21.x.
🖥 Security Release
📱 Github PoC (а также в комментариях выложил сбилдженный эксплойт)
😈 HackerOne Отчёт
Также есть лаба, которую вы можете поднять себе в контейнере и потренироваться
📱 Github Лаба
Убедитесь, что у вас стоит docker. Запуск:
➡️ Советую почитать подробнее про HTTP/2 CONTINUATION Flood
🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча
#nodejs #js #dos #http2 #CVE
Node.js сервер может быть положен на лопатки с помощью специального набора HTTP/2 фреймов. Уязвимость возникает, когда злоумышленник отправляет HTTP/2 фреймы, содержащие фреймы CONTINUATION, после чего внезапно завершает TCP-соединение. Это вызывает состояние гонки (race condition) в памяти библиотеки nghttp2, оставляя необработанные данные в памяти. Конкретно проблема возникает при обработке HTTP заголовков в момент закрытия соединения, что провоцирует сбой работы сессии HTTP/2.
Также есть лаба, которую вы можете поднять себе в контейнере и потренироваться
Убедитесь, что у вас стоит docker. Запуск:
git clone https://github.com/lirantal/CVE-2024-27983-nodejs-http2.git ; cd CVE-2024-27983-nodejs-http2 ; chmod u+x ./start.sh ;./start.sh
Please open Telegram to view this post
VIEW IN TELEGRAM
👍11🔥1
Защита данных — твоя суперсила? Тогда должность AppSec Engineer в «Киберпротекте» ждет тебя!
Привет! Мы — «Киберпротект», российская аккредитованная ИТ-компания. Разрабатываем решения, которые делают кибермир безопаснее и уютнее для всех! Наша миссия — не просто защищать, а строить безопасное кибербудущее.
⭐️ Сейчас мы ищем талантливого AppSec Engineer, которому предстоит:
• разгадывать тайны кода: статический и динамическим анализ — твоя сильная сторона кода;
• охотиться на уязвимости — вручную или автоматически;
• проводить фаззинг-тестирование;
• анализировать отчеты, зависимости и устранять CVE — твоя логика и внимание выше всех похвал!
• определять и контролировать изменения в поверхности атаки продукта;
• обеспечивать покрытие модульными тестами объектов безопасности.
💎 Наш идеальный кандидат:
• имеет опыт работы AppSec от 1 года и более;
• уверенно владеет языком C;
• отлично знает Linux (RHEL-based).
Знание AFL++, addrsanitizer, valgrind, libfuzzer, statsviz, GO будет плюсом.
Мы предлагаем
• Трудоустройство по ТК РФ с первого дня, официальную зарплату, которая растет вместе с тобой
• Уютный офис в БЦ ФизТехПарк, гибрид или удаленка — выбирай сам! Есть релокационный бонус
• ДМС со стоматологией, страхование от несчастных случаев
• Компенсация занятий спортом и питания — поддержим твой активный образ жизни
• Профессиональный рост — внутреннее и внешнее обучение, чтобы помочь друг другу покорять новые высоты
⭐️ Если тебе откликается, давай знакомиться! Оффер уже готов. Приходи на собеседование и жди результата!
Для отклика пиши Дарье или переходи на вакансию по ссылке.
#вакансия
Привет! Мы — «Киберпротект», российская аккредитованная ИТ-компания. Разрабатываем решения, которые делают кибермир безопаснее и уютнее для всех! Наша миссия — не просто защищать, а строить безопасное кибербудущее.
⭐️ Сейчас мы ищем талантливого AppSec Engineer, которому предстоит:
• разгадывать тайны кода: статический и динамическим анализ — твоя сильная сторона кода;
• охотиться на уязвимости — вручную или автоматически;
• проводить фаззинг-тестирование;
• анализировать отчеты, зависимости и устранять CVE — твоя логика и внимание выше всех похвал!
• определять и контролировать изменения в поверхности атаки продукта;
• обеспечивать покрытие модульными тестами объектов безопасности.
💎 Наш идеальный кандидат:
• имеет опыт работы AppSec от 1 года и более;
• уверенно владеет языком C;
• отлично знает Linux (RHEL-based).
Знание AFL++, addrsanitizer, valgrind, libfuzzer, statsviz, GO будет плюсом.
Мы предлагаем
• Трудоустройство по ТК РФ с первого дня, официальную зарплату, которая растет вместе с тобой
• Уютный офис в БЦ ФизТехПарк, гибрид или удаленка — выбирай сам! Есть релокационный бонус
• ДМС со стоматологией, страхование от несчастных случаев
• Компенсация занятий спортом и питания — поддержим твой активный образ жизни
• Профессиональный рост — внутреннее и внешнее обучение, чтобы помочь друг другу покорять новые высоты
⭐️ Если тебе откликается, давай знакомиться! Оффер уже готов. Приходи на собеседование и жди результата!
Для отклика пиши Дарье или переходи на вакансию по ссылке.
#вакансия
😁15🌚1
От машинного обучения к вопросам безопасности ИИ. Борис Захир - Борис_ь с ml
#подкаст #podcast #борис_ь
❗️ Подкаст выходит на новый уровень и теперь его можно слушать прямо в Telegram!
❗️ Слушать здесь
У меня в гостях Борис Захир, админ телеграм канала Борис_ь с ml. Канала где вы сможете вдохновиться изучением ML, ИИ, а также российского законодательства в области нейросетей.
Подкаст будет интересен:
Исследователям в области ИИ
Владельцам бизнеса, которые собираются внедрять или защищать ИИ
Всем, кто хочет узнать больше о безопасности ИИ
В этом подкасте мы обсудили:
Развитие от ML к AI
Научные исследование ИИ
Исследование рынка ИИ
Кибербезопасность в ИИ
ИИ в кибербезопасности
➡️ Ссылки
💬 Подкасты в Telegram
📹 YouTube
📺 RuTube
💙 VK Видео
🎵 Apple Podcasts
🎵 Яндекс.Музыка
☕️ Mave
💬 Канал Борис_ь с ml
Обязательно смотрите до конца!
🌚 @poxek | 📺 Youtube | 📺 RuTube | 📺 VK Видео | 🌚 Магазин мерча
#подкаст #podcast #борис_ь
У меня в гостях Борис Захир, админ телеграм канала Борис_ь с ml. Канала где вы сможете вдохновиться изучением ML, ИИ, а также российского законодательства в области нейросетей.
Подкаст будет интересен:
Исследователям в области ИИ
Владельцам бизнеса, которые собираются внедрять или защищать ИИ
Всем, кто хочет узнать больше о безопасности ИИ
В этом подкасте мы обсудили:
Развитие от ML к AI
Научные исследование ИИ
Исследование рынка ИИ
Кибербезопасность в ИИ
ИИ в кибербезопасности
Обязательно смотрите до конца!
Please open Telegram to view this post
VIEW IN TELEGRAM
👍14 8🔥6⚡1😁1
Что еще вас ждет в новой сборке продукта:
Добавляя новый функционал, разработчики не забывают улучшать ключевые функции для более глубокого мониторинга событий и инцидентов ИБ.
Реклама. ООО «АТОМ БЕЗОПАСНОСТЬ», ИНН 5408298569 , ОГРН 1125476195459 erid:2SDnjbq3DpX
Please open Telegram to view this post
VIEW IN TELEGRAM
😁6👍3🌚1 1
#en #android #mobile #xss #webview
Если вы всегда думали, что взлом Android-приложений сводится лишь к обходу проверки на root, SSL pinning'а или проксирования HTTP-запросов через Burp Suite для выявления уязвимостей в серверной части, возможно, пришло время изменить своё мышление. Хотя эти шаги действительно полезны, но они не раскрывают сущности всех уязвимостей Android-приложений. Автор, глубоко погрузившийся в безопасность мобильных приложений, может сказать, что настоящие уязвимости часто скрываются в самом Java-коде Android, а не только в API серверной части.
В этой статье автор покажет вам пример вредоносной отправки расширенного уведомления, которое приводит к XSS-уязвимости при обработке в WebView. Это яркий пример того, как понимание внутренних механизмов Android-приложений может помочь обнаружить значимые уязвимости, которые в противном случае могли бы остаться незамеченными.
Please open Telegram to view this post
VIEW IN TELEGRAM
5👍9🔥1
Forwarded from BI.ZONE Bug Bounty
Media is too big
VIEW IN TELEGRAM
Наш приватный ивент BUGS ZONE возвращается. Традиционно обещаем сочный скоуп, приятные призы и офлайн-тусовку с топами нашей платформы.
Вас ждут:
Ивент будет проходить с начала ноября, а церемония награждения состоится 22 ноября в Москве
Скоро мы разошлем приглашения нашим самым крутым исследователям. Но у вас еще есть шанс попасть в элитный список участников BUGS ZONE 3.0!
Для этого активно сдавайте баги на нашей платформе и качайте рейтинг. Мы обязательно вас заметим и придем с приглашением.
А еще мы разыграем несколько проходок на церемонию награждения. Это отличная возможность пообщаться с крутыми экспертами в неформальной обстановке. Розыгрыш начнем чуть позже, следите за уведомлениями на канале.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👾14🔥4 2😁1🌚1
Гарда, спасибо вам большое! Отлично провел день. Большое спасибо отличную организацию, хорошие подарки для спикеров и очень дружественную атмосферу)
На последних фотках, это гости учавствовали в хакатоне
🌚 @poxek
На последних фотках, это гости учавствовали в хакатоне
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡22 10👍3
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥26😁11 8
Forwarded from AKTIV.CONSULTING
Обсудили эту актуальную тему в свежем выпуске подкаста «Безопасный выход». Вместе с Ильей Шмаковым, BISO и DevSecOps TeamLead в Росбанке, разобрали распространение DevSecOps, его адаптацию и внедрение в процесс разработки в отечественных компаниях.
Смотрите подкаст и вы узнаете:
• что драйвит внедрение DevSecOps, и как посчитать его эффективность;
• какой нужен MVP для запуска процессов безопасной разработки;
• кто может стать DevSecOps, и где готовят таких специалистов;
• кто такие Security Champion, и как их вырастить среди своих разработчиков;
• каковы перспективы развития безопасной разработки в России.
Подписывайтесь на подкаст, чтобы не пропустить новые выпуски! #подкаст #Безопасныйвыход
Please open Telegram to view this post
VIEW IN TELEGRAM
👍14⚡3🔥3
Forwarded from Ever Secure (Aleksey Fedulaev)
А вот и видос про пентесты контейнеров👩💻
Познакомимся с атаками на контейнеры, находясь непосредственно в них, и с атаками на Docker👩💻 daemon, находясь на хостовой машине👩💻 .
Еще попробуем инструменты автоматизации пентестов контейнеров 📦
📹 Смотреть
💳 Смотреть
👀 @ever_secure
Познакомимся с атаками на контейнеры, находясь непосредственно в них, и с атаками на Docker
Еще попробуем инструменты автоматизации пентестов контейнеров 📦
Please open Telegram to view this post
VIEW IN TELEGRAM
YouTube
Контейнеры глазами хакера
Слушателям предстоит познакомится с атаками на контейнеры, находясь непосредственно в них, и с атаками на docker daemon, находясь на хостовой машине.
Попробуем инструменты автоматизации пентестов контейнеров
Вступай в комьюнити самых безопасных: https:…
Попробуем инструменты автоматизации пентестов контейнеров
Вступай в комьюнити самых безопасных: https:…
🔥15👍4⚡1 1