Dependency Confusion, úspěšný útok na Teslu, Apple i Microsoft pomocí závislostí

Alex Birsan píše o nalezení chyby v nastavení závislostí balíčků (npm, PyPI, RubyGems) k získání práv na interních systémech předních IT firem v rámci programu bug bounty.

Komentáře

15.2.2021 13:34 Xaint
Rozbalit Rozbalit vše Re: Dependency Confusion, úspěšný útok na Teslu, Apple i Microsoft pomocí závislostí

Odpovědět | Sbalit | Link | Blokovat | Admin

nechybi tu text clanku? treba ta zminka u utoku na Teslu?

15.2.2021 14:32 Xaint
Rozbalit Rozbalit vše Re: Dependency Confusion, úspěšný útok na Teslu, Apple i Microsoft pomocí závislostí

jo, sorry, text clanku ej tak kratky, ze jsem ho povazoval za nadpis :-)

15.2.2021 16:16 panika
Rozbalit Rozbalit vše Re: Dependency Confusion, úspěšný útok na Teslu, Apple i Microsoft pomocí závislostí

Odpovědět | Sbalit | Link | Blokovat | Admin

tohle v pythohu afaik resi (uz dlouho) pipenv. https://pipenv.pypa.io/en/latest/basics/#pipfile-lock-security-features

15.2.2021 23:26 Bystroushaak | skóre: 36 | blog: Bystroushaakův blog | Praha
Rozbalit Rozbalit vše Re: Dependency Confusion, úspěšný útok na Teslu, Apple i Microsoft pomocí závislostí

Většina firem kde jsem dělal tohle (asi ne úplně záměrně) řešila přebalováním pip balíčků do deb/rpm.

blog.rfox.eu