Knihovna FFmpeg byla vydána ve verzi 8.0 „Huffman“. Přibyla mj. podpora hardwarově akcelerovaného kódování s využitím API Vulcan, viz seznam změn.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal Zprávu o stavu kybernetické bezpečnosti ČR za rok 2024 (pdf). V loňském roce NÚKIB evidoval dosud nejvíce kybernetických bezpečnostních incidentů s celkovým počtem 268. Oproti roku 2023 se však jedná pouze o drobný nárůst a závažnost dopadů evidovaných incidentů klesá již třetím rokem v řadě. V minulém roce NÚKIB evidoval pouze jeden velmi významný incident a významných incidentů bylo zaznamenáno 18, což oproti roku 2023 představuje pokles o více než polovinu.
Byl publikován aktuální přehled vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie). Servo mimo jiné nově zvládne animované obrázky APNG a WebP.
Na chytré telefony a počítačové tablety v Rusku bude od začátku příštího měsíce povinné předinstalovávat státem podporovanou komunikační aplikaci MAX, která konkuruje aplikaci WhatsApp americké společnosti Meta Platforms. Oznámila to dnes ruská vláda. Ta by podle kritiků mohla aplikaci MAX používat ke sledování uživatelů. Ruská státní média obvinění ze špehování pomocí aplikace MAX popírají. Tvrdí, že MAX má méně oprávnění k přístupu k údajům o uživatelích než konkurenční aplikace WhatsApp a Telegram.
Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu srpnový souhrn novinek. Kvůli nedostatečnému zájmu byla ukončena výroba telefonů PinePhone Pro.
Po pěti měsících vývoje byla vydána nová verze 0.15.1 programovacího jazyka Zig (GitHub, Wikipedie). Verze 0.15.0 byla přeskočena. Přispělo 162 vývojářů. Přehled novinek v poznámkách k vydání.
Před sedmi lety společnost Valve představila fork projektu Wine s názvem Proton umožňující v Linuxu přímo ze Steamu hrát počítačové hry do té doby běžící pouze ve Windows. Aktuální přehled podporovaných her na stránkách ProtonDB
Společnost DuckDuckGo rozšířila svůj AI chat Duck.ai o GPT-5 mini (𝕏). Duck.ai umožňuje anonymní přístup bez vytváření účtů k několika modelům umělé inteligence. Aktuálně k GPT-4o mini, GPT-5 mini, Llama 4 Scout, Claude Haiku 3.5 a Mistral Small 3.
Marek Tóth v příspěvku DOM-based Extension Clickjacking: Data ve správcích hesel v ohrožení na svém blogu popsal novou clickjacking techniku s několika variantami útoků a otestoval ji proti 11 správcům hesel. Výsledkem bylo nalezení několika 0-day zranitelností, které mohly ovlivnit uložená data desítek milionů uživatelů. Jedno kliknutí kdekoliv na webové stránce kontrolované útočníkem umožňovalo ukrást uživatelská data ze
… více »Na dnešní akci Made by Google 2025 (YouTube) byly představeny telefony Pixel 10 s novým čipem Google Tensor G5 a novými AI funkcemi, hodinky Pixel Watch 4 a sluchátka Pixel Buds 2a.
/etc/shadow
, cracks the hashes and sshs back to the attacking machine.
MySQL/MariaDB has a peculiar feature where the client can send a file (presumably in CSV format) and the server will parse it and create a table from it. I'm not convinced this should be a server-side feature, but whatever. On the wire, it looks like this:
Client: LOAD DATA LOCAL INFILE 'foo.csv' INTO TABLE t; Server: Send me foo.csv then. Client: Okay, here it is: [file contents]What could possibly go wrong.
Client: LOAD DATA LOCAL INFILE 'foo.csv' INTO TABLE t; Server: Send me /etc/passwd then. Client: Okay, here it is: [file contents]And it even works when the server says "Send me /etc/passwd" out of the blue! That's probably because the LOAD DATA SQL command can be computed while the query is being executed, so it isn't known in advance if a file (and which one) will be requested. So the result is that the MySQL server can request arbitrary files from the client. There is an option where this feature can be turned off, but unsurprisingly pretty nobody does it and libraries for most languages (e.g. Python and PHP) have this on by default. There has been for example a security bug in Adminer over this, where strangers requested
wp-config.php
, containing passwords and stuff. Only the command-line mysql
client has this off by default and it must be enabled by the --local-infile
option.
How can we exploit this? The first idea was to create a TRIGGER which will run the LOAD DATA LOCAL
command. Unfortunately it turns out that triggers cannot contain certain commands - including LOAD DATA
- and patching MySQL to allow this seemed too complicated.
The next approach is to sniff the communication between the server and the client performing LOAD DATA LOCAL
using Wireshark and then simply replay it to the victim. The framing/stream format has been immediately obvious even without consulting any documentation/sources - the first three(?) bytes are message length, then the message comes, and we don't need anything more to implement the attack. A simple PoC is here.
Btw. someone has already implemented it but it didn't work for me. And claims were made that "modified version of the rogue MySQL server is for sale on the dark web" - okay, so here is my Python script.
The trolls are now fed, so what next? I have created a script that does the following:
/etc/shadow
. This can of course fail if the client does not have sufficient permissions, is not running on UNIX, has the file inclusion feature turned off or is running old version of mysql client, which is not compatible with my hacky exploit./etc/shadow
, about half of which can be cracked. To sum up, the honeypot managed to crack only a few remote systems.
Okay, so what to do with this when I don't want to do any harm? I have contacted abuse@ for the given addresses, but unsurprisingly received no reply.
Tiskni
Sdílej:
jinak si to nedovedu vysvetlitAsi bych začal počtem přečtení, který je u tohohle blogu po dvou dnech 12 tisíc, zatímco u běžných jsou to průměrně tak dva tisíce po měsíci co to tu visí.
Divil bych se, kdyby tam ještě nebyl.
Chápu, že se někteří touží formou anglicky psaného blogpostu zviditelnit. Ovšem moje otázka zní: "Proč se v takovém případě realizují na česky psaném portále?"Moje odpověď je: proč ne? Mám tu jednou blog, tak jich přece nebudu mít deset. Když tu mám nějakou skupinu čtenářů, z nihž velká část umí anglicky, tak proč bych to nedal sem? To bych se mohl stejně ptát, proč sem lidi píšou blogy o věcech co se linuxu netýkají. Například by se dalo argumentovat, že když sem napíšu blog o programovacím jazyce, který někteří čtenáři neumí, tak je tím urazím a měl bych to psát na médium o tom programovacím jazyce.
Osobně kdybych chtěl psát v angličtině, tak bych zvolil jinou platformu, kde by moje blogposty nepochybně získaly mnohem větší okruh čtenářů, než na zaplivaném abclinuxu IV. cenové skupiny.Platforma imho nehraje moc roli. Většina lidí se imho dostane k anglickým článkům z vyhledávačů, agregátorů (reddit, hackernews, lobsteři, ..) a doporučení.
Pokud jde o tu platformu, evidentně máme obrácenou prespektivu. Pokud píšu článek v angličtině, tak to dělám nejspíš proto, že chci aby se dostal tzv. "do světa". I když chápu, že pro někoho to může být forma cvičného testu. Jak něco sepsat a pak se (v případě že se to moc nepovede) ztrapnit pokud možno jen v malém měřítku. Zkrátka mi to nedává smysl, toť vše. Cizinec sem zabrousí jen omylem – ledaže by snad hodlal prostudovat specifika českého trollení. A doufat, že to někdo z nich bude hledat na webu, který má 99% obsahu v češtině ve stylu "zůstaň panenko v koutě, budeš-li hodná, najdou tě", mi přijde liché.Protože máš zřejmě neaktuální představy o tom jak se lidi dostávají k článkům. To pak chápu, že ti to nedává smysl.
jinak si to nedovedu vysvetlitAnglicky jsem začal psát, protože chci mít reference pro získávání kontaktů a míst (pracovních i akademických) v zahraničí. Spíš jde o to jestli to teda mám publikovat jen na svém webu, nebo někde jinde? A ano, členy (a různé minulé časy) mi nejdou.
Přiznám se, že pro porozumění textu je mi úplně jedno, jestli tam jsou členy nebo ne. A tam, kde je rozdíl mezi určitým a neurčitým členem relevantní a ovlivňuje význam, tam to většinou napadne i ne-rodilého mluvčího a patřičný člen tam dá.
To už mě spíš praští do očí absence nedělitelných mezer nebo nějaké jiné typografické chyby.
+1
(na druhou stranu: je lepší, když sem Jenda napíše aspoň anglicky, než aby sem nepsal vůbec)