Bug

Megérkeztek az első komolyabb, "Shellshock" bugot kihasználó botnet támadások

 ( trey | 2014. szeptember 26., péntek - 8:34 )

A tegnap tárgyalt bash sebezhetőség a "Shellshock" (Bashdoor, Bash0day) nicknevet kapta. A hírek szerint a támadók nem tétlenkedtek, megszülettek a sebezhetőség kihasználására az első exploitok és megformálódtak az első komolyabb botnetek is.

Ilyen botnet például a "wopbot", amely aktívan szkenneli az internetet sebezhető hostok után kutatva. A botnet nem csak újabb áldozatokat keres, hanem állítólag már DDoS támadást is indított az Akamai ellen, illetve - sandbox-ban való elemzésből - kiderült, hogy folyamatosan szkenneli az Amerikai Védelmi Minisztérium (US DoD) IP-címtartományát "brute force" támadás céllal.

A részletek itt és itt olvashatók.

Súlyos, távolról kihasználható sebezhetőség a bash-ban

 ( trey | 2014. szeptember 25., csütörtök - 8:29 )

Súlyos, távolról kihasználható sebezhetőséget fedeztek fel a bash-ban. A HUP fórumból:

MrBee írta:
http://linux.slashdot.org/story/14/09/24/1638207/remote-exploit-vulnerability-found-in-bash

A flaw was found in the way Bash evaluated certain specially crafted environment variables. An attacker could use this flaw to override or bypass environment restrictions to execute shell commands. Certain services and applications allow remote unauthenticated attackers to provide environment variables, allowing them to exploit this issue.

Samba 4.x.x nmbd távoli (root) kódfuttatás

 ( trey | 2014. augusztus 4., hétfő - 18:57 )

A Samba projekt egy figyelmeztetőt (CVE-2014-3560) adott ki a minap, amelyben arról tájékoztat, hogy a Samba 4.0.0-tól 4.1.10-ig terjedő verziói nmbd daemon-ja súlyos sebezhetőséget tartalmaz. A sebezhetőség sikeres kihasználása távoli (root) kódfuttatást tehet lehetővé.

A hibát Volker Lendecke, a Samba team tagja fedezte fel és javította ki. Részletek a figyelmeztetőben.

"Ezért állt egy napot az Exchange Online"

 ( trey | 2014. július 2., szerda - 8:21 )

"Múlt héten egy teljes munkanapra leállt az Exchange Online, a Microsoft szolgáltatásként kínált email-rendszere. A mintegy 9 órás leállás az amerikai keleti parti munkaidő egészére kiterjedt, Európában azonban viszonylag csekély hatása volt az időeltolódás miatt. A Microsoft most rövid bejegyzésben ismertette a hiba okait és azt, hogy a jövőben mit tesznek az ilyen problémák elkerülésére."

A teljes cikk itt olvasható.

Az LZO két évtizedes bugja és a "média hype"

 ( trey | 2014. június 29., vasárnap - 12:43 )

A Lab Mouse Security arról ír, hogy a Lempel-Ziv-Oberhumer (LZO) tömörítési algoritmussal (illetve annak implementációival) gondok vannak. A blog szerint egy 20 éves bug van jelen benne/bennük. Mivel az LZO gyors és hatékony, számos, sokak által nap mint nap használt nyílt és zárt programban, projektben előfordul. A blog említ is néhányat: OpenVPN, MPlayer2, Libav, FFmpeg, a Linux kernel, Juniper Junos stb. Sőt, nem csak a Földön használják. A blog szerint az LZO a Marsot is megjárta.

Új GnuTLS bug miatt sebezhető egy csomó nyílt forrású szoftver

 ( trey | 2014. június 4., szerda - 6:48 )

Egy új sebezhetőséget fedeztek fel a Linux disztribúciók által széles körben szállított GnuTLS crypto library-ben. A hiba technikai elemzése elolvasható itt. Patch már van, így érdemes mielőbb frissíteni. Részletek az Ars Technica cikkében.

A Microsoft tervezi javítani a 6 hónapja javítatlanul álló, kritikus IE8 sebezhetőséget

 ( trey | 2014. május 26., hétfő - 9:16 )

A Corelan-os Peter "corelanc0d3r" Van Eeckhoutte tavaly talált egy kritikus "use after free" IE8 sebezhetőséget, amelynek leírását, részleteit eladta a HP tulajdonában levő Zero Day Initiative-nek (ZDI). A ZDI az így megszerzett információkat biztonsági termékeiben felhasználja, így védi ügyfeleit. A ZDI az irányelveinek megfelelően 2013. októberében értesítette a sebezhetőségről a Microsoft-ot. A ZDI a saját protokollja szerint 180 napig visszatartotta a sebezhetőség részleteit, időt adva a gyártónak a javítás elkészítésére.

A Microsoft 2014. februárjában megerősítette, hogy reprodukálni tudja a hibát, de javítást nem tett közzé. 2014. áprilisának elején a ZDI 180 napos türelmi ideje lejárt, így május elején értesítette a Microsoft-ot, hogy nyilvánosságra hozza a sebezhetőség részleteit. A nyilvánosságra hozatal 2014. május 21-én megtörtént.

Újabb X biztonsági hibákat fedezett fel Ilja van Sprundel

 ( trey | 2014. május 13., kedd - 21:24 )

Alan Coopersmith ma bejelentette, hogy az IOActive-os Ilja van Sprundel (korábbi cikkünk) segítségével az X.Org security team több libXfont library-vel kapcsolatos súlyos biztonsági problémát is javított. A bejelentésben az olvasható, hogy az X.Org csapat úgy hiszi, hogy a sebezhetőségek a nevezett library összes korábbi verzióját érintik. A library az X11R5-ben mutatkozott be 1991-ben.

CVE-2014-0196: Linux kernel <= v3.15-rc4: raw mode PTY local echo race condition

 ( trey | 2014. május 13., kedd - 8:35 )

$ gcc cve-2014-0196-md.c -lutil -lpthread
$ ./a.out
[+] Resolving symbols
[+] Resolved commit_creds: 0xffffffff81056694
[+] Resolved prepare_kernel_cred: 0xffffffff810568a7
[+] Doing once-off allocations
[+] Attempting to overflow into a tty_struct...............
[+] Got it :)
# id
uid=0(root) gid=0(root) groups=0(root)

PoC a CVE-2014-0196-hoz itt.

Úgy tűnik, hogy a Ksplice május 7-én letöltötte a megfelelő patchet és menet közben javította a kernelt a támogatott rendszereken:

iOS 7 levélmelléklet-titkosítási bug

 ( trey | 2014. május 6., kedd - 9:29 )

Egy biztonsági szakértő arra figyelmeztet, hogy egy bug folytán az iOS 7 nem (minden esetben) titkosítja a levélmellékleteket - noha az Apple szerint kellene neki. A bugot felfedező Andreas Kurtz kapcsolatba lépett az Appel-lel. A vállalat jelezte, hogy tud a problémáról, dolgozik a javításon, de nem adott konkrét időpontot arra nézve, hogy mikorra várható a javítás.

Internet Explorer 6-11 0day sebezhetőség kihasználására figyelmeztet a Microsoft

 ( trey | 2014. április 27., vasárnap - 21:34 )

A FireEye Research Labs egy új, Internet Explorer-t érintő 0day sebezhetőséget fedezett fel. A sebezhetőséget aktívan kihasználják. A sebezhetőség kihasználását célzó kampányt a FireEye "Operation Clandestine Fox"-nak nevezte el.

Megszólalt a Heartbleed bugot ejtő fejlesztő

 ( trey | 2014. április 11., péntek - 10:15 )

A Heartbleed bug fenekesül felfordította az internetet. A súlyos biztonsági hibát ejtő fejlesztő, a német Robin Seggelmann beszélt a bug bemutatkozásának körülményeiről. A fejlesztő sajnálatosnak nevezte, hogy mind az ő, mind a kód átnézőjének figyelmét elkerülte a hiba, amelyet 2011 szilveszter éjjelén commitoltak.

Részletek itt és itt.

Heartbleed Bug - súlyos OpenSSL sebezhetőséget javítottak

 ( trey | 2014. április 8., kedd - 7:54 )

Hivatalosan a CVE-2014-0160 azonosítót kapta az a súlyos OpenSSL sebezhetőség, amelyre Heartbleed Bug-ként is hivatkoznak. A biztonsággal foglalkozó Codenomicon Ltd. egy saját weboldalt készített a bugnak, amelyen minden fontos információt elérhetővé tett.

Idézet:
A Heartbleed bug lehetővé teszi bárki számára az interneten, hogy olvassa az OpenSSL szoftver sebezhető verziójával védett rendszerek memóriáját. [...] Ezzel lehetővé válik a támadók számára a kommunikációk lehallgatása, a közvetlen adatlopás a szolgáltatásoktól és felhasználóktól, illetve a szolgáltatások és felhasználók megszemélyesítése. [...] A támadó szemszögéből megvizsgáltunk a saját szolgáltatásaink közül néhányat. Megtámadtuk magunkat kívülről, anélkül, hogy nyomokat hagytunk volna. Bármiféle privilegizált információ vagy hitelesítő adat használata nélkül képesek voltunk ellopni magunktól az X.509 tanúsítványainkhoz használt privát kulcsokat, a felhasználóneveket és jelszavakat, az csevegés üzeneteket, az e-maileket, üzleti-kritikus dokumentumokat és kommunikációkat.

A hibát a Google Security munkatársa, Neel Mehta fedezte fel. A javítást Adam Langley és Bodo Moeller készítette el.

A részletek - benne a potenciálisan sebezhető operációs rendszerek listájával - itt.

Kritikus GnuTLS bugot javítottak - "rosszabb mint az Apple goto fail-ja"

 ( trey | 2014. március 5., szerda - 9:22 )

A GnuTLS fejlesztők egy szűkszavú biztonsági figyelmeztetőt adtak ki a minap. Benne az szerepel, hogy a Red Hat-nek végzett kódaudit során biztonsági problémát találtak a GnuTLS-ben. A sebezhetőség - amely az összes GnuTLS verziót érinti és amely úgy fest, hogy 2005 óta jelen van - a tanúsítvány-ellenőrzési funkciót érinti. Egy megfelelően összeállított tanúsítvány képes lehet áthágni a tanúsítvány-érvényesítést végző ellenőrző funkciókat.

A Red Hat figyelmeztetője itt olvasható. Az Ars Technica cikke a "goto fail" "távoli rokonáról" elolvasható itt. A cikk szerint a hiba miatt alkalmazások százai sebezhetők a javított verzió telepítéséig.

A legrégebbi lezáratlan hibajegyem a hibakezelő, hibakövető rendszerünkben ...

 ( trey | 2014. február 18., kedd - 11:34 )
pár perces, pár órás.
5% (19 szavazat)
pár napos.
7% (28 szavazat)
pár hetes.
9% (35 szavazat)
pár hónapos.
22% (88 szavazat)
pár éves.
17% (68 szavazat)
több mint 5 éves.
5% (20 szavazat)
több mint 10 éves.
3% (13 szavazat)
A micsoda?
11% (44 szavazat)
A miben?
14% (55 szavazat)
Egyéb, leírom.
8% (32 szavazat)
Összes szavazat: 402

Local root exploit a CVE-2014-0038-hoz

 ( trey | 2014. február 3., hétfő - 9:07 )

Néhány órával ezelőtt felbukkant a GitHub-on egy PoC local root exploit a CVE-2014-0038 azonosító alatti bughoz. A hiba javítását január 31-én commit-elték a mainline kernelbe. A hiba ezen commit nyomán mutatkozott be. További részletek itt.

A Google Chrome bugjainak köszönhetően weboldalak belehallgathatnak a privát beszélgetéseidbe

 ( trey | 2014. január 23., csütörtök - 10:19 )

Tal Ater blogjában arról ír, hogy a Google Chrome-ban levő bugokat kihasználva rosszindulatú weboldalak hozzáférhetnek a gépedben levő mikrofonhoz és belehallgathatnak minden, a számítógép körül zajló beszélgetésbe, azután is, miután elnavigáltál a weboldalról. A problémát állítása szerint jelentette privátban a Google biztonsági csapatának tavaly szeptember 13-án. A Google biztonsági szakemberei azonosították a bugot és javaslatot tettek a javítására. A javítás 2013. szeptember 24-én elkészült, a felfedezőt pedig jelölték a Chromium bugok bejelentése után járó jutalomra. Sajnos a javítás nem érkezett meg. A bejelentés után másfél hónappal rákérdezett a helyzet állására, de azt a választ kapta, hogy az illetékesek még nem döntötték el, hogy mi legyen a buggal. Most, négy hónappal később, a felfedező állítja, hogy még mindig nem rendeződött a probléma és a Chrome még mindig sebezhető.

A részletek itt olvashatók.

Több mint 1000 hibát javított az FFmpeg projekt a Google szakembereinek köszönhetően

 ( trey | 2014. január 11., szombat - 22:35 )

A Google biztonsági szakemberei, köszönhetően az adatközpontjaikban rendelkezésükre álló komoly számítási teljesítménynek, kiterjedt automatikus tesztek (fuzzing) alá vethetik az általuk fontosnak vélt programokat, projekteket. Az egyik ilyen belső projektjük az FFmpeg tesztelése volt. A FFmpeg-et számos alkalmazás - Google Chrome, MPlayer, VLC, xine stb. - használja, ezért fontos a biztonsága.

Több mint két évnyi munka után az FFmpeg projekt több mint 1000 olyan hibát javíthatott ki, amelyet a Google mérnökei fedeztek fel. Ezek közt biztonsági hibák is találhatók. Ezzel párhuzamosan a Libav projekt - FFmpeg fork - is javított több mint 400 hibát.

Részletek a Google Online Security Blog bejegyzésében.

Potenciális távoli kódfuttatási sebezhetőség az nginx-ben

 ( trey | 2013. május 7., kedd - 23:39 )

Maxim Dounin egy, az nginx-announce listára küldött levele szerint Greg MacManus egy biztonsági problémát fedezett fel az nginx újabb verziói közül néhányban. A "stack-based buffer overflow" sebezhetőség sikeres kihasználása magában hordozza a távoli kódfuttatás lehetőségét. Érintett nginx verziók: 1.3.9 - 1.4.0. A sebezhetőség javításra került a ma megjelent 1.5.0-s és 1.4.1-es verziókban. A problémát orvosló patch itt.

Részletek a bejelentésben.

"Multiple Linux setuid output redirection vulnerabilities"

 ( trey | 2013. április 30., kedd - 9:15 )

Andy Lutomirski egy rakás olyan biztonsági probléma leírását tette közzé az LKML-en, amelyet a legfrissebb stable frissítésekben javításra kerültek. Az egyik egy meglehetősen komoly user namespace sebezhetőség (uid 0 shell capabilities nélkül, de egyszerűen eszkalálható teljes értékű root shellé), amely a 3.8-as kernelben tűnt fel. Egy másik a 2.6.36 idejére datálódik. Lutomirski PoC exploit kódokat is mellékelt.

Részletek a bejelentésben.

Számítógépek ezreit fektette le az anti-malware program

 ( trey | 2013. április 18., csütörtök - 13:00 )

Marcin Kleczynski, a Malwarebytes (MBAM) nevű anti-malware megoldás megalkotója és a mögötte álló cég alapítója nemrég a vállalat blogjában elnézést kért az általuk okozott problémáért. Nevezetesen, hogy cégek számítógépeinek ezrei, köztük szerverek álltak el a Malwarebytes rendellenes működése miatt. A cég egy frissítést adott ki az anti-malware megoldáshoz, aminek következtében az MBAM legitim (Windows .dll és .exe) fájlokat is malware komponensnek nézett. A hibát azonnal észlelték és 8 percen belül vissza is vonták, de ennyi idő bőven elég volt ahhoz, hogy a tetemes kárt okozzanak. Volt olyan Egyesült Királyság-beli vállalat, amelynél a szerverek 80 százalékát kiütötte a hibásan működő anti-malware megoldás.

A részletek itt.

Samsung Galaxy SIII : Full Lock Screen Bypass

 ( trey | 2013. március 7., csütörtök - 9:54 )

A full-disclosure levlista egyik levele szerint lehetőség van a Samsung Galaxy SIII lock képernyőjének megkerülésére és azon keresztül a telefon szolgáltatásainak teljes hozzáférésére. A ZDNet megerősítette, hogy reprodukálható a probléma. A részletek bejelentésben.

Galaxy Note II sebezhetőség

 ( trey | 2013. március 5., kedd - 10:47 )

Terence Eden fedezett fel egy sebezhetőséget az Android 4.1.2-t futtató Galaxy Note II-vel kapcsolatban. Részletek itt.

Megkerülhető az iOS 6.1 eszközök képernyőzár funkciója

 ( trey | 2013. február 14., csütörtök - 16:56 )

A The Verge megerősítette, hogy iOS 6.1-et futtató iPhone 5-tel működik a trükk. Az illetéktelen felhasználó hozzáférhet a lezárt telefon címjegyzékéhez, azt módosíthatja, telefonálhat és a képeket is megnézheti a névjegyekhez kapcsolható kép funkción keresztül. A részletek itt.

Az Apple-nél készül a javítás az iOS 6.1 Exchange bugra

 ( trey | 2013. február 14., csütörtök - 15:21 )

Az Apple tegnap frissítette az Exchange vs. iOS 6.1 bugra vonatkozó tudástár bejegyzését. Ebben arról ír, hogy sikerült azonosítania a problémát és a javítást szoftverfrissítés formájában juttatja el majd a készülékekre. Addig is a workaround: