Michał Leszczyński

/ Web security / Virtual Machine Introspection / ITSEC Automation / NFC technologies

[Michał Leszczyński @icedevml]

Nagranie z mojej prezentacji na tegorocznym @CONFidenceConf

"[PL] [CVE-2026-9058] Pełne ominięcie uwierzytelniania w ZUS, e-Sądzie, Usługach Elektronicznych Ochrony Zdrowia i kilku innych systemach administracji publicznej"

https://t.co/4YOK23E7xe

#Cybersecurity

[ZaufanaTrzeciaStrona @zaufanatrzeciastrona@infosec @Zaufana3Strona]

Michał odkrył sposób na logowanie jako dowolny użytkownik do eZUS-u, E-Sądu, eZdrowia i innych rządowych systemów. Poczytajcie, bo to najgrubsze odkrycie tego roku w PL
1. https://t.co/2GLjNZWFfs
2. https://t.co/iez5UQi50f
3. https://t.co/kz2pGOPV2e
4. https://t.co/0nNReqKFzF

[confidenceconf @CONFidenceConf]

To jest jedna z tych prezentacji, przy których trudno napisać spokojny opis.

[CVE-2026-9058] Pełne ominięcie uwierzytelniania w ZUS, e-Sądzie, Usługach Elektronicznych Ochrony Zdrowia i kilku innych systemach administracji publicznej

Brzmi poważnie?
Bo jest poważnie.
Do zo!

[Michał Leszczyński @icedevml]

Now live: a GUI for Step CA that allows to visualize all issued certificates; it also allows to create "invitations" to easily onboard (even non-technical) people onto your private CA through a friendly web-based flow.

GitHub icedevml/tinypki:
https://t.co/xzkWOFGNoN

[Michał Leszczyński @icedevml]

Logowanie do #KSeF z poziomu Pythona przez klucz zgodny z PKCS#11, np. podpis/pieczęć kwalifikowaną w formie karty, tokena USB albo HSMa. Umożliwia też hostowanie kluczy od certyfikatów wydanych przez KSeF w HSMie, albo kluczem na dysku w formacie PEM.

https://t.co/nUz9zNwDyw

[ZaufanaTrzeciaStrona @zaufanatrzeciastrona@infosec @Zaufana3Strona]

Twój pociąg odjeżdża o 21:36. A nie, o 22:35. Nie nie, jednak o 20:36. Każde odświeżenie strony daje nowy wynik, a żaden z nich nie jest prawidłowy. Koszmarny sen? Nie, tak naprawdę działa oficjalny rozkład jazdy PKP. Szczegóły:

https://t.co/NzCTYT7Ve4

Komedia, prawda?

[Michał Leszczyński @icedevml]

@SlawomirMentzen Spoko, dzieci i tak mają bardzo małe szanse na udowodnienie, że ktoś się nad nimi znęcał. Dodajmy do tego furtkę "lekkiego, dozwolonego znęcania", aby chronić patusów. Psychiatria dziecięca w PL i tak leży i kwiczy. Nie chciałbyś czuć tego, co czuje dziecko popełniające samobója.

[Michał Leszczyński @icedevml]

@sudara @sudara Sorry for late reply, I'm not checking Twitter regularly. I belive the question is already answered here https://t.co/0gAKZNjBAD

[Michał Leszczyński @icedevml]

Confirmed: Me and @BonusPlay3 will provide a presentation about the #DRAKVUF project. See you in Cracow!

[Michał Leszczyński @icedevml]

@RobertKosla @CERT_Polska Komunikat CERTu jest skierowany nie do deweloperów, a do użytkowników końcowych, którzy w wielu miejscach nadal muszą tych haseł używać. Chociażby w bankowości. W jednym z polskich banków hasło musi mieć 8 CYFR. W żadnym nie da się użyć np. YubiKeya.

[CERT Polska @CERT_Polska]

Uwaga‼️Ostrzegamy przed nową kampanią phishingową, w której przestępcy podszywając się pod bank pod pretekstem reakcji na próbę oszustwa rozsyłają SMS-y z linkiem do fałszywego panelu bankowości internetowej. Podanie w nim danych doprowadzi do kradzieży pieniędzy.
Podajcie dalej!

[Michał Leszczyński @icedevml]

@Zaufana3Strona Odnoszę się wyłącznie do komentarza krytykującego responsible disclosure ogólnie jako proces zgłaszania.

[Michał Leszczyński @icedevml]

@PayloadPl @Zaufana3Strona No ta, po co najpierw zgłosić producentowi i dać czas na przygotowanie poprawki, jak można po prostu opublikować exploity i niech losowi ludzie zhakują pół internetu. Tylko ten... może się okazać że Twoje usługi też są podatne, a łatki nie ma i nie masz jak się obronić.

[Michał Leszczyński @icedevml]

@secman_pl @Lukasz_Olejnik1 @kamiljdudek @CERT_Polska Te argumenty padły już kilka razy. Obstawiam że pan Łukasz pracuje w dużej firmie produkcyjnej, albo coś w tym kierunku. Zarządzanie taką firmą nijak nie przekłada się na zarządzanie zaawansowanym zespołem ITSEC. Podaż ekspertów jest niska, popyt ogromny. Choćby dlatego.

[ZaufanaTrzeciaStrona @zaufanatrzeciastrona@infosec @Zaufana3Strona]

Świetny artykuł o kryzysie w CERT Polska, potwierdzający nasze ustalenia i dodający kolejne - minister Cieszyński nie chciał Przemka zwolnić, dostał takie polecenie. Ciekawe, kto jest takim małym człowieczkiem, że tak bolą go komentarze w internecie.

https://t.co/NvzydqdSXZ

[Michał Leszczyński @icedevml]

@secman_pl @Lukasz_Olejnik1 @kamiljdudek @CERT_Polska Mówienie w tej sytuacji o procedurach to spłycanie tematu i (mam wrażenie) celowe ignorowanie faktu że zaangażowane jednostki są tylko ludźmi, którym towarzyszą różnego rodzaju emocje. Nie ważne jak bardzo będzie się zaklinać rzeczywistość. Dalsza polemika nie ma sensu.

[Michał Leszczyński @icedevml]

@Lukasz_Olejnik1 @CERT_Polska Realizowane tam działania to misja dla cyberbezpieczeństwa Polski, a nie wykręcanie słupków sprzedażowych w korporacji. To generuje różnego rodzaju emocje i przywiązanie. Mam dużo wiary w tę organizację, mimo że w niej już nie jestem. Wspieram kolegów. No szaleństwo normalnie.

[Michał Leszczyński @icedevml]

@Lukasz_Olejnik1 @CERT_Polska Ale jaki sens ma takie gdybanie? Decyzja została poniekąd narzucona, jawnego i merytorycznego uzasadnienia wciąż brak. Tu nie ma znaczenia jakie perspektywy zawodowe miał PJ ani kim jest zastępca. Przykładasz inną, hipotetyczną sytuację do prawdziwego listu.

[Michał Leszczyński @icedevml]

@Lukasz_Olejnik1 @CERT_Polska Jest zastępca i to on obecnie zarządza. Ale rzeczy takich jak morale personelu nie zbackupujesz. Życie to nie Kubernetes :P