OneTwoTrip подтвердил уязвимость, раскрывшую данные об активности некоторых пользователей

Несколько дней в свободном доступе был elasticsearch сервер с информацией о клиентах компании. В открытом доступе оказались сведения об электронной почте, именах, паспортах, телефонах, платёжной информации, путешествиях и паролях. Точное количество утёкших данных неизвестно, обычно в подобные индексы попадает часть данных, которые обрабатывались в эти даты.

Технический директор OneTwoTrip объяснил это «изменением, которое внесли несколько дней назад, нарушившим правила firewall и спровоцировавшим открытие порта».

В OneTwoTrip подтвердили уязвимость. В компании подчеркнули, что она не затронула данные для входа в личный кабинет и информацию о банковских картах.

Илон Маск случайно раскрыл свой адрес 👁

Маск поделился в Twitter письмом, которое он получил от своего профессора из Стэнфордского университета. В письме упоминалась исследовательская работа, над которой Илон мог бы работать, если бы не бросил учебу. В письме профессор инженерии факультета материаловедения и инженерии в Стэнфорде Уильям Д. Никс похвалил Маска за его «точечное» знание литиевых батарей.

Через час миллиардер понял, что раскрыл свой почтовый адрес миллионам пользователей Twitter и написал: «Возможно, понадобится новый абонентский ящик после этого твита». 😬

Взломан самый популярный менеджер паролей LastPass

LastPass используют 33 миллионов человек и 100 000 компаний. Вчера компания разослала клиентам электронное письмо о взломе, который был обнаружен две недели назад.

Как утверждает LastPass, взлому подверглись только внутренние системы компании для разработки программного обеспечения, а не какие-либо данные, касающиеся паролей клиентов. Корпорация приняла «меры сдерживания и смягчения последствий», а также наняла ведущую фирму по кибербезопасности для расследования вторжения.

Проблема в том, смогут ли киберпреступники с помощью украденных данных раскрыть уязвимости в продуктах компании для управления паролями.

Plex призывает 15 млн пользователей сменить пароли из-захакерской атаки

Злоумышленникам удалось получить доступ к БД и похитить пароли, имена пользователей и email-адреса, принадлежащие как минимум 15 млн человек стриминговой мультимедиа-платформы Plex.

Сообщается, что злоумышленники получили доступ к «ограниченному подмножеству» учетных записей, пароли для которых «были хешированы и защищены передовыми методами».

Plex не сбрасывает пароли принудительно, а при попытке войти в систему со старыми учетными данными, не предлагается выполнить сброс пароля. Все придется проделать вручную, причем после смены пароля рекомендуется выйти из всех подключенных устройств, а затем войти в систему повторно.

Все бесплатные ресурсы Heroku будут удалены

Облачная платформа Heroku объявила о планах по улучшению работы сервиса. Дальнейшие направления работы Heroku:
- запуск публичной дорожной карты разработки Heroku на Github
- закрытие бесплатных тарифов и удаление неактивных аккаунтов
- программа для студентов и НКО
- поддержка Open Source

Важной частью данных планов стал отказ от бесплатных тарифных планов и удаление неактивных аккаунтов. Все бесплатные ресурсы Dyno, Postgres и Data for Redis будут удалены, начиная с 28 ноября 2022 года.

▫️Месяцем ранее, 26 октября 2022 года, Heroku начнет удалять аккаунты и место под аккаунты, которые были неактивны более года.

Уходит эпоха cmd.exe: Windows Terminal становится терминалом по умолчанию в Windows 11 для разработчиков

Windows Terminal – современный терминал, поддерживающий несколько вкладок, каждая из которых может подключена к оболочке командной строки или приложению. В сборках Windows 10 Insider и Windows 11 Microsoft уже интегрировала поддержку Windows Terminal в операционную систему, позволяя выбрать его в качестве консольного терминала по умолчанию.

Чтобы иметь возможность использовать Windows Terminal по умолчанию, нужно установить версию приложения 1.15 или старше и открыть его хотя бы один раз. После этого требуется зайти в Настройки > Конфиденциальность и безопасность > Для разработчиков и изменить параметр “Терминал”, чтобы он имел значение “Разрешить Windows принимать решение”.

​​Chrome-расширение, установленное 200 000 раз, оказалось рекламным вредоносом

Расширение Internet Download Manager, предназначенное для Google Chrome и установленное более 200 000 раз, оказалось вредоносным. При этом расширение размещалось в Chrome Web Store с июня 2019 года и могло открывать ссылки на сайты со спамом, изменять поисковую систему по умолчанию, показывать всплывающие окна с рекомендацией загрузить фальшивые патчи и нежелательные программы.

▪️Дело в том, что существует легитимная программа для Windows с названием Internet Download Manager, выпущенная компанией Tonec. Ее разработчики предлагают расширения Internet Download Manager для браузеров Firefox и Chrome, однако настоящее расширение для Chrome называется IDM Integration Module. Более того, официальный раздел FAQ Tonec предупреждает: «все расширения IDM, которые можно найти в Google Store, являются поддельными и не должны использоваться».

Журналисты пишут, что поддельное расширение Internet Download Manager, похоже, поддерживается операторами сайта под названием Puupnewsapp, который якобы «увеличивает скорость загрузки до 500%», что делает его настоящей «супер-программой» для скачивания игр, фильмов, музыки и «больших файлов за считанные минуты».

В Chrome внесено изменение, допускающее запись в буфер обмена без действий пользователя

В недавних выпусках движка Chromium изменено поведение, связанное с записью в буфер обмена. Если в Firefox, Safari и старых выпусках Chrome запись в буфер обмена допускалась только после явных действий пользователя, то в новых выпусках для записи достаточно просто открыть сайт.

Изменение объясняется необходимостью чтения данных из буфера обмена при выполнении теста, проверяющего работу заставки Google Doodle на странице открытия новой вкладки. Вместо специфичной обработки данной ситуации, в Chromium просто разрешили всем сайтам обращаться к буферу обмена (читать и записывать) без необходимости предварительных действий со стороны пользователя.

Возможность записи работает при вызове методов navigator.clipboard.write и navigator.clipboard.writeText, которые теперь не учитывают активность пользователя на странице.

Минцифры обратилось к IT-компаниям в связи с технической ошибкой

26 августа 2022 года Минцифры обратилось к IT-компаниям в связи с технической ошибкой в рассылке уведомлений об аннулировании государственной аккредитации.

Глава ведомства выразился про ситуацию более однозначно: «Ребята, мы криворукие. Простите».

На данный момент Минцифры уже вернуло отозванные из-за технической ошибки аккредитации IT-компаний.

Новости прошедшей недели

⛏ Взломан менеджер паролей LastPass

📝 Утверждён новый перечень обязательного для предустановки ПО

💡 Создан ПК из детальки Lego

🪲 OneTwoTrip подтвердил уязвимость, раскрывшую данные об активности некоторых пользователей

🤖 Android 13 взломали через неделю после выхода финальной версии

Хакеры выставили на продажу военные секреты НАТО

НАТО пытается оценить последствия утечки секретных военных документов, которые группа хакеров выставила на продажу в интернете. Об этом сообщает BBC.

В сообщении говорится, что хакеры продают документы, связанные с производством оружия MBDA Missile Systems. Среди украденного есть документы с грифом NATO CONFIDENTIAL, NATO RESTRICTED и Unclassified Controlled Information.

Киберпреступники предлагают купить информацию о производстве оружия НАТО всего за 15 биткоинов или за 317 тысяч долларов. Сейчас в сеть выложено порядка 50 мегабайт информации, всего было украдено 80 Гб.

Уязвимость в Bitbucket Server, позволяющая выполнить код на сервере

В Bitbucket Server, пакете для развёртывания web-интерфейса для работы с git-репозиториями, выявлена критическая уязвимость (CVE-2022-36804). Она позволяет удалённому атакующему, имеющему доступ на чтение к приватным или публичным репозиториям, выполнить произвольный код на сервере через отправку специально оформленного HTTP-запроса.

Проблема проявляется начиная с версии 6.10.17 и устранена в выпусках Bitbucket Server и Bitbucket Data Center 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.2.2 и 8.3.1. Уязвимость не проявляется в облачном сервисе bitbucket.org, а затрагивает только продукты для установки на своих мощностях.

​​В Google Chrome перестанут работать блокировщики рекламы

С января 2023 года в браузере Google Chrome перестанут работать блокировщики рекламы (такие как AdBlock). Это обусловлено внедрением нового программного интерфейса.

Chrome Web Store перестанет принимать плагины, созданные в соответствии со спецификацией Manifest V2. Разработчики будут вынуждены обновиться, чтобы реализовать совместимость с третьей версией инструмента (Manifest V3), в то время как все приложения, блокирующие рекламу, работают и продолжат работать на версии V2.

Блокирующие рекламу в Chrome дополнения не исчезнут, однако их эффективность будет снижаться. Есть опасения, что из-за накладываемых Manifest V3 ограничений будет невозможно обновлять базы фильтров так же оперативно, как сейчас. Кроме того, расширениям будет сложнее перехватывать сетевые запросы и резать другие нежелательные элементы на странице.

В Сеть утекли данные клиентов CDEK. Shopping и «СДЭК.Маркет»

Оператор курьерской доставки СДЭК подтвердил появившиеся в социальных сетях данные о том, что в Сети стала доступна база данных клиентов CDEK. Shopping. Сейчас компания проводит проверку по этому факту.

"Уже известно, что в базу не попали номера документов, удостоверяющих личность, и данные банковских карт клиентов. Мы делаем все, чтобы предотвратить распространение утечки", - сказали в компании.

когда светлый и темный режимы переключаются в зависимости от окружающего освещения 👍🏻

(фоторезистор, прикрепленный к ATtiny, который в свою очередь соединен с пк через usb + скрипт на C) https://github.com/Kagia001/Dusk

my cyberdeck

Logitech уходит из России

Швейцарский производитель устройств ввода, «умного дома» и гарнитур покидает Россию. Последний день для сотрудников российского представительства – 31 августа. По мнению экспертов, уход Logitech станет заметен российским пользователям, так как решений такого уровня на нашем рынке нет, ведь их устройства по цене примерно равны китайским аналогами, но являются более качественными.

​​Павел Дуров объявил об отзыве никнеймов Telegram-каналов, не используемых более года

Большая часть никнеймов вернётся в публичное пользование с рядом «геолокационных и алгоритмических ограничений», а оставшиеся разыграют на аукционе.

Дуров считает, что доля неактивных никнеймов составляет 70% и принадлежит недобросовестным пользователям, пытающимся извлечь выгоду из накопленных имён