Eresus’un araştırma, güvenlik bülteni ve güvenlik gündemi akışı
AI güvenliği, MCP ekosistemi, uygulama güvenliği ve gerçek saldırı zincirleri etrafında üretilen yazıları, güvenlik bültenlerini ve gündem analizlerini burada topluyoruz.
Öne Çıkan Yazılar
Son Yazılar
OAuth Onay Oltalaması: Şifrenizi de MFA'nızı da Atlatan Saldırı
Onay ekranı ve cihaz kodu oltalaması kimlik doğrulamaya hiç dokunmaz. Kullanıcı gerçek kimlik sağlayıcısına gerçek ikinci faktörüyle girer ve bir uygulamayı onaylar. Saldırganın ne elde ettiği, mevcut korumaların neden sessiz kaldığı, yakalatan günlük eşleştirmesi ve farkı kapatan kontroller.
Sızma Testi Raporu Nasıl Okunur: Ne İçin Ödeme Yaptığınız
Sızma testi raporu ya fatura değerinde ya da bir klasör değerindedir. Kanıt düzeyinde bir bulgunun anatomisi, hangi bölümlerin dekorasyon olduğu, taramayı testten ayıran dokuz soru, ciddiyet sütununun neden yanlış düzeltme sırası verdiği ve imzayı atmadan önce nelerin talep edileceği.
Yapay Zekâ Kodu, Kimsenin Okuyamayacağı Hızda Merge Ediliyor
Ajan tarafından yazılan pull request'ler incelenmiş, test edilmiş ve kendinden emin geliyor. Güvensiz kodu yakalayan tek kapı diffs'i okuyan bir insandı ve o kapı artık darboğaz. Merge incelemesinde gerçekte ne değiştiği, hangi sinyallerin çalışmaz hale geldiği, kapının taşıması gereken kanıtlar ve sürecinizin hâlâ gerçek olup olmadığını ölçmenin yolu.
WAF ve Antivirüs Dosya Yükleme Saldırıları Neden Görmüyor
Dosya yükleme zafiyetleri çoğunlukla saklanan dosyada değil onu işleyen sunucu tarafı dönüştürme motorunda doğar. Format kodlayıcıları, delegate'ler ve protokol işleyicileri saldırgan girdisine maruz kalır; ne WAF imzası ne antivirüs sezgisi bunu ifade edebilir.
Üçüncü Parti Script'ler Sizin Yetkinizle Çalışır
Analitik etiketleri, chat widget'ları ve konsantrasyon yönetim araçları kendi origin'inizde, oturum açmış kullanıcının tam yetkisiyle yürütülür. Tarayıcı tarafı script ele geçirmesinin nasıl çalıştığını, nasıl kanıtlanacağını ve gerçekçi olarak nasıl sınırlandırılacağını anlatıyoruz.
Güncelleme Kanalı Kaçırma, İmzalama Anahtarının Kendisi Zafiyet Olduğunda
Paket ve güncelleme kanalları çoğu ortamda en ayrıcalıklı kod yürütme yoludur ve iki ayrı biçimde başarısız olur: yayıncının altyapısı ele geçirilir ya da indirme doğrulaması yürütülen baytlardan kopar. Tüketici tarafında yapılabilen şey nedeni değil sonucu sınırlandırmaktır.
LLMjacking, Çalınan Yapay Zeka API Anahtarlarının Bulut Faturasına Dönüşmesi
LLMjacking, saldırganın çaldığı bulut veya model sağlayıcısı kimlik bilgileriyle kurbanın hesabından inference satın almasıdır. Fark, bu sefer ödemenin fiat para değil fatura ve kota olarak yapılmasıdır. Bu yazı sızma yollarını, tespiti, maliyet matematiğini ve kapsamlı bir kontrol listesini birlikte verir.
Hypervisor Kaçağı Bir Hata Sınıfı Değil, Bir Sözleşme İhlalidir
Guest-to-host veya guest-to-guest sanallaştırma izolasyon hatası bir uygulamayı bozmaz; mimarinizin ve uyum hikayenizin varsaydığı izolasyon önermesini bozar. Düşmanca bir guest'un eriştiği yüzey, tespit edilebilir olan ve bir bulut güvenliği incelemesinin dürüstçe test edebileceği katmanlar.
Ömrü Dolan Yönetim Konsolu İnternete Açtığınız En Riskli Varlıktır
Bir satıcı cihazı ömrünü tamamlamış ilan edip o sürümde bulunacak zafiyetleri yamalamayı reddettiğinde risk teorik hale gelmez, yamanamaz hale gelir. Yönetim düzlemleri her şeye güvendikleri için bu durumun yaşanacağı en kötü yerdir. Nasıl bulunur ve emekliye ayırma bu yıl mümkün değilse ne yapılır.