Your Makefiles are wrong
https://tech.davis-hansson.com/p/make/

Why Security Defects Go Unnoticed during Code Reviews? A Case-Control Study of the Chromium OS Project

ТЛДР не сделаю ибо забил читать, но вещь крутая, действительно люди заморочились.

http://amiangshu.com/papers/paul-ICSE-2021.pdf

​​Мы неоднократно писали, что исследователи Positive Technologies весьма успешно потрошат микрокод процессоров Intel.

Например, в октябре они достали ключи шифрования, которые используются для защиты обновлений. Мы тогда предположили, что дальнейшие исследования в этой области вполне могут привести к встроенным бэкдорам АНБ в процессорах Intel. И возможно мы оказались правы.

Ермолов, Скляров и Горячий нашли в платформе Apollo Lake две недокументированные инструкции, позволяющие путем доступа к шине управления модифицировать микрокод. По мнению исследователей, эти инструкции присутствуют на всех процессорах Intel.

Правда для этого процессор должен быть в режиме Red Unlocked, то есть хакер должен иметь доступ к управлению Intel Management Engine. По умолчанию он залочен и доступ есть только у Intel. Но в некоторых процессорах есть дыры, позволившие его получить.

Да, Intel, по идее, может это все пропатчить. Нет, это будет не быстро.

Что имеем в итоге - недокументированные инструкции, позволяющие взять CPU (а значит и всю систему) под контроль, доступ к которым (по идее) имеют только Intel (или некоторые товарищи стоящие за ними).

Пилят, вот точно АНБшный бэкдор!

Если вы ждали поддержку ui для #victoriametrics такую же как и #prometheus graph то можно затестить.
Фидбек приветствуется

https://twitter.com/mebeim/status/1373763490465333248?s=21

Продолжаем любить YAML

Компания Nokia перелицензировала ОС Plan9 под лицензией MIT
https://www.opennet.ru/opennews/art.shtml?num=54815
+
https://www.bell-labs.com/institute/blog/plan-9-bell-labs-cyberspace/

Secure containerized environments with updated threat matrix for Kubernetes

https://www.microsoft.com/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-matrix-for-kubernetes/

Тут в Ruby on Rails пробрался GPL-2 код

В issue разборка как с этим жить
https://github.com/rails/rails/issues/41750

PostgresPro выложили расширенный курс по PostgreSQL 12.

Страница курса
https://postgrespro.ru/education/courses/DEV2

Плейлист
https://www.youtube.com/playlist?list=PLaFqU3KCWw6K3AyBVcZGdXMtM2xvjHA1N

Уровень выложенного курса DEV2, предлагается сначала проштудировать курс предыдущего уровня DEV1
https://postgrespro.ru/education/courses/DEV1

Когда у тебя релиз, а в CI всего один раннер доступен и тот завис.

https://permission.site/

Тут можно посмотреть, куда браузеры захотят получить доступ. Если покликать, то можно понять, что отключено/включено по-умолчанию, а что может запрашивать прав.

CAN MY WATER COOLED RASPBERRY PI CLUSTER BEAT MY MACBOOK?
https://www.the-diy-life.com/can-my-water-cooled-raspberry-pi-cluster-beat-my-macbook/

За наводку спасибо @sysadmin_tools

https://twitter.com/SergeySabbath/status/1375449624497037315?s=09
+
https://docs.google.com/spreadsheets/d/1I4qeDPE2L6uuOa1rZ21LB_UkjqgMt8MxxCuij2hMcsc/edit#gid=0

Продолжение банкета

Тред
https://twitter.com/mathemonkey/status/1376596348557004807

Как узнать AWS ID любого публичного S3 бакета:

https://www.cloudar.be/awsblog/finding-the-accountid-of-any-public-s3-bucket/

Перебрав максимум 120 комбинаций, можно вычислить номер любого аккаунта. И нет, это не баг, это фича:

https://aws.amazon.com/blogs/storage/limit-access-to-amazon-s3-buckets-owned-by-specific-aws-accounts/

В самом конце 2020-го года у S3 появилась возможность делать строгий доступ для нужных аккаунтов (по их AWS ID). В полиси можно использовать *-wildcard, потому просто подбирая последовательно 0*, 12*, 123*... легко можно подобрать реальный AWS ID.

Короче, публичные бакеты — зло. А теперь это вдвойне опасно. Раскрытие AWS ID не смертельно само по себе, но это как сказать недругам номер своей квартиры — дверь должна быть железная и находиться постоянно под охраной.

#security #S3

Compare AWS and Azure services to Google Cloud

https://cloud.google.com/free/docs/aws-azure-gcp-service-comparison

#aws #azure #gce #google #microsoft

The CISA Hunt and Incident Response Program (CHIRP) is a tool created to dynamically query Indicators of Compromise (IoCs) on hosts with a single package, outputting data in a JSON format for further analysis in a SIEM or other tool. CHIRP does not modify any system data.

A forensic collection tool written in Python.
https://github.com/cisagov/CHIRP