Nord Nord Sec #53

Moin, Hallo und Herzlich willkommen zur 53ten Ausgabe von Nord-Nord-Sec! Wie Ihr bemerkt habt, war es hier die letzte Zeit relativ ruhig. Ich habe eine kleine Sommerpause gemacht und bin jetzt wieder zurück!

An dieser Stelle noch einmal einen Shoutout an Daniel und Sandra vom hervorragenden Ready For Review Podcast - Danke für die nette Erwähnung - Ich freue mich schon wieder auf die nächste Folge 🎧️ 

Artikel

Exploits, Hacks und Schwachstellen

⚡️Starlabs | Breaking Out of Restricted Mode: XSS to RCE in Visual Studio Code Sehr cooler (in-depth) Write-Up einer Exploit-Chain in VSCode.

⚡️SecurityWeek | McDonald’s Chatbot Recruitment Platform Exposed 65 Million Job Applications Leichte Clickbait-Überschrift, da das Problem nichts mit dem “Chatbot” Part zu tun hat: Die Daten waren hinter einem Login - und der sah wie folgt aus: 123456:123456. Also ganz klassisch eine furchtbare Passwort-Policy (oder keine) und irgendwann loggt sich da eben jemand ein, der keinen Zugang haben sollte. 🤦 

⚡️ Low Level Learning | Schwachstellen in sudo Zwei neue Schwachstellen in sudo ermöglichen es Hackern, ihre Berechtigungen auszuweiten. Die Schwachstellen, CVE-2025-6018 und 6019, nutzen Logikfehler aus, um Privilegien von nicht privilegierten Benutzern zu eskalieren.

⚡️heise | IT Vorfall bei Centerparks: Kundendaten betroffen Die Freizeitpark-Kette Centerparks wurde Opfer von einem Hackerangriff, bei dem auch Kundendaten betroffen waren. Die Betreiber informieren die betroffenen Kunden.

⚡️ xEHLE | Exploiting an ORM Injection to Steal Cryptocurrency from an Online Shooter Sehr sehr coole Exploit Chain für einen Pay-to-Spawn Online Shooter. Von Match and Replace um ein Admin-Panel zu finden hin zur ORM Injection, um sowohl Admin-Emails als auch Passwort-Reset Emails zu leaken. Stark! 💪 

Konzepte, Reports und Ideen

🛞 Matthias Endler | Reinvent the Wheel Matthias hatten wir schon öfter zu Gast bei Nord-Nord-Sec. Auch dieses mal hat er einen spannenden Artikel geschrieben, der die Lesenden auffordert, ruhig mal das Rad neu zu erfinden - aus verschiedensten Gründen.

🦜 NahamCon 2025 Auch dieses Jahr hat Nahamsec seine Virtuelle Konferenz NahamCon veranstaltet. Als Besonderheit gab es diese Jahr zwei unterschiedliche Tracks: An Tag 1 war “Hacking (with) AI” das große Oberthema - und an Tag 2 ging es back to the roots zu Exploits, Bug Bounty Tipps und Co.

🍡 CirriusTech | Security Amnesia: When Habit Becomes a Vulnerability Ein interessanter Blickwinkel auf gängige Security-Slip-Ups, die durch eine Gewöhnung an gefährliche Tätigkeiten entstehen: Passwörter in Username Feld pasten, Einloggen in Produktiv-Systeme statt die Testumgebungen etc.

Tech, Gesellschaft, Kultur

💩 The 10x “overemployed” engineer Was für eine Story - Da hat ein Software Engineer erfolgreich den Hype-Cycle in Silicon Valley genutzt, um bei einer ganzen Menge Firmen gleichzeitig angestellt zu sein. Natürlich wurde dabei keine Arbeit geleistet, sondern seine Tätigkeit hat sich auf Ausreden und “Online sein” beschränkt.

🦹 ARTEde | Hacker - Das gestohlene Ich Bei Arte hat man sich mit Cybercrime beschäftigt - und den Auswirkungen, die das auf die Opfer haben kann.

🥊 Daniel Miessler | Debating AI with Marcus Hutchins (Part 1) Daniel und Marcus stehen sich in ihren Meinungen zu KI diametral gegenüber. Daniel ist All-In in KI, Marcus vertritt die Meinung, dass das alles nur quatsch und statistische Papageien sind. Und statt sich wie zwei wütende Kleinkinder in Social Networks anzumaulen, haben sie - gasp - miteinander geredet!

🧠 Baldur Bjarnason | Trusting your own judgement on ‘AI’ is a huge risk Die letzten Jahre hat sich künstliche Intelligenz in sehr viele IT Systeme integriert. Viele, auch Ich, nutzen verschiedene Tools und evaluieren, wo und wie Generative KI eingesetzt werden kann, um einem die Arbeit zu erleichtern oder gar abzunehmen.

Baldur Bjarnason führt in seinem Essay an, dass es ein Fehler sei, dem eigenen Urteil zu vertrauen, da hier verschiedenste kognitive Biases das Urteil beeinflussen - und man sich letztendlich nur mit dem eigenen Eindruck beschäftigt.

Wie nutzt ihr KI? Macht Ihr euch aktiv Gedanken über eure Biases?

Bug Bounty Tips, Security Tools und Techniken

☁️ synfinatic/AWS-SSO-CLI Wer sich schon einmal in mehrere (oder sogar viele) AWS Accounts einklinken musste - oder auch mit verschiedenen Rollen - und einen schöneren Workflow sucht wie x verschiedene Accounts in der AWS Cli zu konfigurieren, kann sich das Tool mal ansehen. Voraussetzung ist allerdings, das die Accounts nicht mehr die alte SAML Auth nutzen, sondern über das AWS IAM Identity Center eingerichtet wurden.

☁️ 99designs/aws-vault Wenn ihr kein SSO braucht, sondern mit statischen Secrets arbeiten könnt, sei euch AWS-Vault empfohlen.

⏱️ c1phy/sqltimer A fast, minimalistic scanner for time-based SQL injection detection - built in Go. Mehr muss man ja fast nicht dazu sagen 😎 

🐾 trufflesecurity | How I Scanned all of GitHubs ‘Oops’ Commits for leaked Secrets Deep Dive in die Github API, Vibe Coding und Git - Ein Writeup von Sharon Brizinov, der $25k wert ist.

Das Zitat der Woche

Cheers,

Martin

PS: Euch gefällt was ihr hier lest? Schaut auch mal bei meinen Empfehlungen vorbei und meldet euch an. ❤️