XMASKNEWS
Aktualizacja:
The Hacker NewsEN→PLAI

Badacze użyli publicznego modelu OpenAI do stworzenia exploita typu full-chain do Chrome za 250 000 dolarów w zaledwie sześć dni

Zespół XBOW wykorzystał agentów AI do stworzenia łańcucha trzech nieznanych wcześniej błędów w Google Chrome, co pozwoliło na zdalne wykonanie kodu na systemie Windows.

Aby zabezpieczyć się przed tymi konkretnymi lukami, użytkownicy powinni upewnić się, że korzystają z wersji Chrome 152.0.7977.82 lub nowszej. Należy pamiętać, że aktualizacje wymagają ponownego uruchomienia przeglądarki, aby weszły w życie.

Źródło: The Hacker News
Przeczytaj oryginał (EN) ↗

Omówienie przygotowane automatycznie (AI) na podstawie artykułu The Hacker News. Nie jest tłumaczeniem – szczegóły i pełny kontekst znajdziesz w oryginale.

Czytaj też

The Hacker NewsEN→PL

Jak przeprowadzić ćwiczenia gotowości na deepfake, zanim sklonowany głos zadzwoni do Twojego zespołu

Sklonowane głosy i syntetyczne wideo są wykorzystywane w oszustwach płatniczych i przy resetowaniu haseł. Strukturalne ćwiczenia pozwalają sprawdzić, gdzie zawodzi weryfikacja, zanim dojdzie do realnego ataku.

Czego się uczymy
  • Wprowadź zasadę out-of-band callback: każdą prośbę o ruch środków lub zmianę uprawnień potwierdzaj poprzez połączenie na numer z wewnętrznego katalogu, a nie ten podany w prośbie.
  • Stosuj zasadę podwójnej autoryzacji (dual approval) przy tworzeniu nowych kont uprzywilejowanych oraz zmianach danych bankowych kontrahentów.
AI
The Hacker NewsEN→PL

Agent AI znalazł krytyczne obejście OTP w środowisku produkcyjnym. Atak był najłatwiejszą częścią.

Podczas autoryzowanych testów agent AI wykrył krytyczną lukę w procesie logowania u dużego ubezpieczyciela. Błąd pozwalał na przejęcie kodu OTP poprzez zmianę adresu docelowego.

Czego się uczymy
  • Zawsze weryfikuj, czy adres docelowy OTP (e-mail/telefon) jest ściśle powiązany z kontem użytkownika w bazie danych przed wysłaniem kodu.
  • Podczas projektowania procesów uwierzytelniania, serwer nie powinien ufać parametrom przesyłanym przez klienta, które określają sposób dostarczenia tokena.
AI