تسجيلات المؤتمر متاحة الآن على الإنترنت!

تسجيلات المؤتمر متاحة الآن على الإنترنت!

سلطنا الضوء على بعض المحادثات التي تستحق المشاهدة:

• GNOME and Beyond Dream Tour: Discover Linux Desktop Sandboxing and More Through Its Vulnerabilities. تغطي المحادثة أكثر من 14 ثغرة في مكونات GNOME وFlatpak وLibreOffice. وتشمل هذه هروبًا من صندوق حماية Flatpak ناتجًا عن التعامل غير السليم مع الروابط الرمزية، مما يسمح لتطبيق داخل صندوق الحماية بالوصول إلى D-Bus الخاص بالمضيف.

• Ghost in the SIM: Silent, Zero-Click, Over-the-Air Exploitation of a Pixel 9 Baseband OOB Read. قام الباحثون بتكييف FirmWire، وهو إطار لمحاكاة وتشويش البرامج الثابتة للمودم، لتحليل مودم Pixel 9. واكتشفوا ثغرتي حجب خدمة وثغرة كتابة خارج الحدود.

• Cash, Card or Root? Security Archaeology of a Fiscal Cash Register. يوضح المؤلفون كيف تؤدي كتابات ملفات XML غير الموثقة جنبًا إلى جنب مع تنفيذ نص برمجي للصيانة إلى تنفيذ أوامر كالجذر على ماكينة تسجيل نقدي ضريبية. كما تتناول المحادثة العبث بالاتصال بالوحدة الضريبية وتجاوزًا ماديًا لحماياتها.

• Chain Reaction - From Isolated Vulnerabilities to Full System Compromise. تقدم المحادثة اختبار اختراق لمنصة ويب غير مسماة تضم 30 مليون مستخدم. كان بإمكان حساب مستخدم عادي استدعاء طرق API إدارية، بينما استُخدم سر في JavaScript من جانب العميل للحصول على رموز جلسات نشطة. أدى إعادة استخدام تلك الرموز مع سوء إعدادات CORS وWAF إلى كشف كلمات المرور وأسرار JWT وOAuth.

• Imagine: Pwning Your Favourite Nintendo DS Game! أثناء الهندسة العكسية للعبة Imagine: Figure Skating، اكتشف المؤلف قراءة خارج الحدود وتجاوزًا في المخزن المؤقت عند نسخ اسم الشخصية. يقوم ملف حفظ مُصمم باستبدال مؤشر دالة وتمكين تنفيذ تعليمات برمجية عشوائية على Nintendo DS.