Rev

IT security engineer. Deputy head of @CERT_Polska, co-founder of @p4_team. Opinions are my own.

[Rev @RevToJa]

@PandaRE__ and these things exactly would make a counterintelligence officer raise his eyebrows during your hypothetical security clearance investigation. have to accept it and live with it ;)

[Rev @RevToJa]

@th4d1g1m0rtal Yes, the content is partially controlled, so we can just put "<?php system($_GET[0]); ?>" in there. The main idea comes from https://t.co/Pz1c2jL4n4. We overwrite basedir of ps_files struct so it writes the session file to our specified path (in this case, the webroot).

[Rev @RevToJa]

Universal exploit for #php2shell is rather impossible, but specialized exploits for known environments are coming. I tried my luck with pfSense 2.7.2 - PHP 8.2.11, FPM, 512M limit. Variant with session file write to a crafted path. Almost entirely written by an open-weights LLM.

[Rev @RevToJa]

@ljachowicz Stworzenie uniwersalnego exploita jest raczej niemożliwe. Ale będziemy mieć wkrótce dużo wyspecjalizowanych explitów na konkretne środowiska - aplikacje w dockerach, aplikacje jako appliance vm, na urządzeniach. Exploity z githuba są całkiem blisko. A potem LLM-y zrobią resztę.

[Rev @RevToJa]

@wolski_jaros Były i takie próby :). Opisywaliśmy w naszym raporcie: https://t.co/BoyIDeD0Ns.

[Rev @RevToJa]

@takaradariku Microsoft most likely required the hardware button for the "Copilot+ PC" branding/certification.

[Rev @RevToJa]

@piotrmiecz Sięgnąłem po dane źródłowe, żeby sprawdzić z czego wynika ten słaby wskaźnik 🇵🇱 71 w "Digital public services for citizens" przy ��redniej 🇪🇺 82. Otóż https://t.co/XhI8s3DNpp. przez to, że najwyraźniej w Polsce w usługach publicznych nie przyjął się HTTPS.
https://t.co/SJ34h0YSUh

[Rev @RevToJa]

@sjanus_pl To co na wideo to wygląda raczej na zvibecode'owany interfejs demo na potrzeby nagrania. Nie wygląda też zbyt podobnie do innych znanych interfejsów systemów Palantira.

[Rev @RevToJa]

@MolendaKarol Gratulacje!

[Rev @RevToJa]

W teorii przepisy zabraniają ENISA dostępu do treści zgłoszeń, ale technicznie jest to trudne, bo wymaga np. szyfrowania e2e zgłoszenia na frontendzie kluczami instytucji z krajów członkowskich.
Mam nadzieję, że zostanie to zastąpione centralnym zgłaszaniem, ale w każdym kraju.

[Rev @RevToJa]

Komisja Europejska proponuje w rozporządzeniu Digital Omnibus centralny mechanizm zgłaszania incydentów z NIS2/DORA/GDPR. Nie mam na ten moment przekonania, że KE powinna mieć dostęp do treści najpoważniejszych zgłoszeń incydentów z krajów członkowskich.
https://t.co/Z9Hxx7Uttd

[Rev @RevToJa]

@OnyouEverything @p_zuchowski @Tomcio_Paluch Wg prawa osoby formalnie niezdolne do pełnienia funkcji prezydenta są w linii sukcesji pomijani. Dość często zdarza się, że są takie osoby, np. te, które nabyły amerykańskie obywatelstwo przez naturalizację.

[Rev @RevToJa]

Z całym szacunkiem, ale przedstawione w tym "raporcie" dane zupełnie nie wskazują na żaden atak, a cała reszta to dorobione do tezy bzdury wygenerowane z ChatGPT.

[Rev @RevToJa]

@dsredford @gf_256 46 here :D

[Rev @RevToJa]

@Zaufana3Strona https://t.co/iwo9i8AFaQ

[Rev @RevToJa]

Przy researchu związanym z EntrySign (czyli prawdopodobnym zwycięzcy w którejś z kategorii ;)) swój udział miał Adam Krasuski @akrasuski1! :)

[Rev @RevToJa]

Przy researchu związanym z EntrySign (czyli prawdopodobnym zwycięzcy w którejś z kategorii ;)) swój udział miał Adam Krasuski @akrasuski1! :)

[ZaufanaTrzeciaStrona @zaufanatrzeciastrona@infosec @Zaufana3Strona]

W tym roku niestety brak polskich nazwisk na liście nominowanych.

[Rev @RevToJa]

Kto w finale Wimbledonu wygrywa ze szczególnym okrucieństwem podlega karze jedzenia makaronu z truskawkami i tiramisu.

[Rev @RevToJa]

Sytuacja powinna być prosta. Jeżeli państwo wymaga udostępniania pewnego rodzaju informacji, to państwo powinno dostarczyć platformę, która jest wygodna i dla twórców treści i dla jej użytkowników, bezpieczna i gwarantująca, że dane nie znikną.

[Rev @RevToJa]

Zaraz po państwowym e-dzienniku powinniśmy stworzyć nowoczesny system Biuletynu Informacji Publicznej. Obecnie wiele podmiotów zobowiązanych do ich prowadzenia korzysta z przestarzałych systemów, w których pełno podatności bezpieczeństwa, często porzuconych przez ich dostawców.

[anna wittenberg @annawitten]

Minister @barbaraanowacka w @tvn24plus zapowiada, że myśli nad państwowym e-dziennikiem i że spotka się w tej sprawie z @KGawkowski.

Moje źródła mówią natomiast, że Centralny Ośrodek Informatyki od co najmniej ROKU deklaruje że jest w stanie zrobić takie rozwiązania. W styczniu w COI była gotowość do tego, by już we wrześniu postawić e-dziennik dla testowych szkół.

[Rev @RevToJa]

Treści na nadal wspierane systemy BIP zmigrować nie jest łatwo, a informacje zgodnie z prawem muszą być dostępne (a czasem treści historyczne giną razem z systemem). Niby istnieje centralny SSDIP, ale to system z poprzedniej epoki i toporny, z którego podmioty nie chcą korzystać.