XMASKNEWS
Aktualizacja:
Help Net SecurityEN→PLHacking

Prywatne repozytoria wciąż wyciekają sekrety do Gheist, w ramach kampanii wykorzystującej skradzione tokeny GitHub

Kampania Gheist wykorzystuje skradzione tokeny GitHub do infekowania prywatnych repozytoriów. Atakujący tworzą złośliwe workflow, które omijają maskowanie sekretów i wyprowadzają je przez API.

Skutki mogą być poważne, obejmując przejęcie poświadczeń produkcyjnych oraz dostęp do zasobów chmurowych, takich jak AWS. Eksperci zalecają rotację wszystkich sekretów w dotkniętych organizacjach oraz unieważnienie skradzionych tokenów.

Czytaj też

Securelist (Kaspersky)EN→PL

Niebezpieczny sąsiad: jak łańcuch podatności doprowadził do obejścia izolacji w infrastrukturze chmurowej

Ekspert Kaspersky opisuje atak na dostawcę chmury, w którym wykorzystanie luk w Kubernetes, Konnectivity i sieci overlay pozwoliło na przejęcie usług innych klientów.

Czego się uczymy
  • Należy rygorystycznie ograniczać możliwość tworzenia uprzywilejowanych podów w klastrach Kubernetes, aby zapobiec ucieczce z kontenera na hosta.
  • Weryfikuj mechanizmy tunelowania (np. Konnectivity) pod kątem podatności SSRF, które mogą pozwolić na dostęp do usług control plane lub gniazd systemowych.
Hacking
SecurityWeekEN→PL

iOS i macOS 27.2 naprawiają 286 błędów; poprawka dla wykorzystywanej luki została przeniesiona do iOS 18

Apple wydało aktualizacje systemów iOS i macOS, łatając 286 podatności, w tym krytyczną lukę CoreGraphics, która była wykorzystywana w atakach typu zero-day.

Czego się uczymy
  • Zaktualizuj iOS 18 do wersji 18.7.11, aby zabezpieczyć się przed wykorzystywaną luką zero-day CVE-2026-86950 w CoreGraphics.
  • Zwróć uwagę na błędy w WebKit i jądrze systemu, które mogą prowadzić do zdalnego wykonania kodu poprzez złośliwe pliki multimedialne.
Hacking
The Hacker NewsEN→PL

Keystone zniszczy 18 835 portfeli sprzętowych po kradzieży klucza weryfikacyjnego urządzeń

Atakujący przejął klucz używany przez portfele Keystone do potwierdzania ich autentyczności. Może to umożliwić tworzenie podróbek przechodzących weryfikację online.

Czego się uczymy
  • Urządzenia otrzymane po 20 października z poprzednim kluczem mogą być podróbkami; należy skontaktować się ze wsparciem Keystone przed użyciem.
  • Klucz weryfikacyjny służy jedynie do potwierdzania autentyczności urządzenia w procesie QR i nie daje bezpośredniego dostępu do środków ani fraz seed.
Hacking