Bug

Kritikus sebezhetőségek a VLC-ben és az FFmpeg-ben

 ( trey | 2009. szeptember 23., szerda - 9:36 )

A VLC fejlesztői egy hibajegyet adtak ki a minap, amelyben arra figyelmeztetnek, hogy a népszerű médialejátszóval történő, bizonyos MP4, ASF vagy AVI fájlok lejátszása esetén stack overflow következhet be. A probléma sikeres kihasználása esetén a rosszindulatú támadó akár tetszőleges kódot is végrehajthat a VLC kontextusában. Az érintett VLC verziókkal rendelkező felhasználóknak célszerű a nem megbízható forrásból származó médiafájlokat és weboldalakat kerülni. Workaround lehet a megadott demuxer pluginek eltávolítása a plugin könyvtárból. A VLC 1.0.2-es verziójában már javították a problémát. A hibajegy itt.

"Linux 2.6.31 perf_counter 0day Local Root Exploit"

 ( trey | 2009. szeptember 17., csütörtök - 15:22 )

A Grsecurity mögött álló Brad Spengler (spender) egy videót tett közzé a tegnap, amelyen az látható, hogy egy 2.6.31-es kernelen root jogokhoz jut:

[Frissítve #2] Windows Vista, Windows 7 RC és Windows 2008 remote BSOD bug

 ( trey | 2009. szeptember 8., kedd - 14:46 )

Egy, a Windows Vista-ban és a Windows 7-ben jelen levő bug lehetővé teszi a távoli (helyi hálózaton levő) támadó számára, hogy bizonyos beállítások mellett "elkékhaláloztathassa" az áldozat számítógépét. Az SMB2 protokoll implementációban található bug egy egyszerű python script-tel triggerelhető:

Frissítés #1 E blogbejegyzés szerint a bug nem csak BSOD okozására, hanem távoli kódfuttatásra és helyi privilégium-szint emelésre is felhasználható lehet. A blog szerint a Windows Server 2008 is érintett.
Frissítés #2 Az MSRC szerint érintett: Windows Vista, Windows Server 2008 és Windows 7 RC, nem érintett: Windows 7 RTM, Windows Server 2008 R2, Windows XP és Windows 2000
Frissítés #3 Microsoft SA 975497

IIS sebezhetőségre figyelmeztet a Microsoft

 ( trey | 2009. szeptember 2., szerda - 16:27 )

A Microsoft arra figyelmeztet, hogy publikus bejelentés nyomán egy, az IIS FTP szolgáltatásában levő sebezhetőséget sebezhetőséget vizsgál. A sebezhetőség kihasználása távoli kódfuttatást tehet lehetővé a bizonyos módon konfigurált (write hozzáférés az untrusted anonymous felhasználóknak - nem default), érintett rendszereken a támadó számára. A kiadott figyelmeztető szerint a Microsoft Internet Information Services (IIS) 5.0, 5.1 és 6.0 lehet érintett. A hiba kihasználásra részletes exploit érhető el az interneten. Az érintett és nem érintett operációs rendszerek listája a figyelmeztetőben található. A Kingcope által jegyzett exploit Win2K SP4-hez megtalálható a milw0rm oldalon. Egy videó található itt a hiba kihasználásáról (IIS5). IIS6-hoz nincs egyelőre ismert exploit. További részletek itt és itt.

"Egy egyszerű és veszélyes kernel bug története"

 ( trey | 2009. augusztus 30., vasárnap - 17:13 )

Răzvan Musăloiu-Elefteri blogjában arról ír, hogy a Mac OS X 10.5 nyolcadik update-jével az Apple egy több mint négy éves biztonsági sebezhetőséget javított ki az OS X kernelében. A bug az fcntl hívás kezelésével kapcsolatos. A bugot a CVE-2009-1235 hibajegyben írták le és úgy tűnik, hogy az első (local root) exploit 2008 júliusában készült hozzá.

Kritikus sebezhetőség a Pidgin-ben

 ( trey | 2009. augusztus 19., szerda - 14:03 )

Kritikus biztonsági sebezhetőséget tartalmaz a Pidgin névre hallgató, népszerű azonnali üzenetküldő alkalmazás. A bug a Pidgin által használt libpurple library-ban található. A hiba kihasználása esetén a rosszindulatú támadó kódot injektálhat és hajthat végre az áldozat számítógépén. A hiba sikeres kihasználásához nincs szükség interaktivitásra az áldozat részéről és a sikeres támadás véghezvitelének nem feltétele, hogy a támadó szerepeljen az áldozat "buddy" listáján.

A disztribútorok megkezdték a nemrég bejelentett NULL pointer deref. sebezhetőség javítását

 ( trey | 2009. augusztus 17., hétfő - 20:39 )

A nagyobb Linux disztribútorok közül a Debian és a Fedora elvégezték a nemrég bejelentett, a Google biztonsági csapatához tartozó Tavis Ormandy és Julien Tinnes által felfedezett, a kernelben 2001 óta jelen levő helyi root sebezhetőség javítását. A Debian frissítette kernelcsomagjait a Debian 5.0-hoz (Lenny) és Debian 4.0-hoz (Etch). A Fedora szintén javította a kernelcsomagokat a Fedora 10-hez és 11-hez. A többi disztribútortól - mint az openSUSE és az Ubuntu - még nem érhetők el a javítások.

Ubuntu 9.04-re elérhető már egy ideje a hibát javító, reboot-ot nem igénylő Ksplice update. (Ksplice update ID: k3122np0)

"Microsoft: két éves reagálás egy kritikus 0day-re"

 ( trey | 2009. augusztus 16., vasárnap - 9:40 )

A napokban fény derült arra, hogy a Microsoft már több mint két éve tudott arról az Office Web Components-ben (OWC) levő kritikus biztonsági hibáról, amelyen a legutóbbi patch kedden javított. A vállalat csak azután kezdte csipkedni magát a javítás elkészítésére, miután tudomására jutott, hogy a hibát aktívan kihasználják.

Távoli admin jelszó alaphelyzetbe állítást tesz lehetővé egy WordPress sebezhetőség

 ( trey | 2009. augusztus 11., kedd - 13:04 )

A WordPress névre hallgató, kedvelt blogmotor legfrissebb stabil verziója (<= 2.8.3) egy olyan sebezhetőséget tartalmaz, amely lehetővé teszi a távoli támadó számára az adminisztrátori jelszó reset-elését. A hiba kihasználásához csak az "elveszett jelszó" linket kell speciálisan formázni. A hibát Laurent Gaffié jelentette be tegnap. Levele az PoC példával elolvasható itt. Először a bejelentés még arról szólt, hogy a hibát ki lehet használni az admin account feltöréséhez, de később a bejelentő "javította" magát és módosította a "to compromise"-ot, "to reset"-re.

A bejelentés pillanatában javítás még nem volt elérhető a WordPress projekttől.

Windows XP SP2/SP3 (NtUserConsoleControl) - Local Privilege Escalation

 ( trey | 2009. augusztus 6., csütörtök - 8:52 )

A SecurityTracker egyik figyelmeztetője szerint egy, a Windows XP kernelében található sebezhetőség lehetővé teszi a helyi felhasználó számára privilégium-szintjének emelését. A helyi felhasználó meghívva a win32k.sys-ben található NtUserConsoleControl() függvényt tetszőleges kódot hajthat végre a rendszeren emelt privilégium-szinttel.

Júniusban Jonathan Ness azt írta egy, a hibára publikált 0day-re a Microsoft Security Research & Defense blogban, hogy futtatásához adminisztrátori jogok kellenek, és ugyan tovább vizsgálják a problémát annak érdekében, hogy kiderüljön, kihasználható-e privilégium-szint emelésre, a hiba "reliability" problémának látszik inkább, mintsem biztonsági sebezhetőségnek.

Sun VirtualBox host reboot PoC

 ( Nyosigomboc | 2009. augusztus 2., vasárnap - 10:30 )

A minap a milw0rm-on felbukkant egy proof-of-concept exploit. A Virtualbox guest-en futtatott kód alkalmas a host összeomlasztására (a host rebootol). Több különböző guest operációs rendszeren kipróbálták (Windows XP, Windows 7 RC, Ubuntu 9.04).

Javította az Adobe a Flash Player és a Shockwave kritikus sebezhetőségeit

 ( trey | 2009. július 31., péntek - 7:00 )

Nemrég volt szó arról, hogy az Adobe Flash Player és Acrobat Reader / Acrobat termékekben távolról kihasználható sebezhetőség található. Az Adobe végre frissítette Flash Player és Shockwave termékeit, javítandó az általa is kritikusként besorolt hibát. Az Acrobat termékekhez egyelőre nincs javítás. Érdemes mielőbb frissíteni. A frissítés után a Flash Player about oldalon a "Version information" alatt a "You have version 10,0,32,18 installed" látszik. Részletek a figyelmeztetőben.

Charlie Miller és társa bemutatta a korábban bejelentett iPhone SMS sebezhetőséget

 ( trey | 2009. július 30., csütörtök - 16:23 )

A hónap elején beszélt Charlie Miller arról, hogy egy eddig még javítatlan iPhone sebezhetőséget kihasználva a rosszindulatú támadó egy egyszerű SMS üzenettel képes lehet kódot futtatni az áldozat telefonján. Miller és társa, Collin Mulliner a CNET News-nak dolgozó Elinor Mills telefonján mutatták be a sebezhetőséget Las Vegas-ban, miközben sörüket fogyasztották. A javításra a mai napig várunk. A részletek itt.

Kritikus Adobe Reader, Acrobat, Flash Player sebezhetőségre figyelmeztet az Adobe

 ( trey | 2009. július 25., szombat - 8:35 )

Az Adobe egyik bejelentésében arra figyelmeztet, hogy kritikus sebezhetőség található a Flash Player aktuális (v9.0.159.0 és v10.0.22.87) verzióiban, és az Adobe Reader / Acrobat v9.x termékekkel szállított authplay.dll komponensben. A sebezhetőség(ek) sikeres kihasználása alkalmazás-összeomlást okozhat, rosszabb esetben rendszerhez való hozzáférést tehet lehetővé.

Remote root sebezhetőség a DD-WRT-ben

 ( pinyo_villany | 2009. július 21., kedd - 7:26 )

A híres és széles körben használt DD-WRT v24sp1-ben egy távolról kihasználható biztonsági rést fedeztek fel. A sebezhetőség leírása itt található, a dd-wrt weboldalán még semmilyen információ vagy fix sincs. A következő videó bemutatja a problémát:

Linux 2.6.30+ 0day helyi root exploit

 ( trey | 2009. július 17., péntek - 16:39 )

A Grsecurity-ról ismert Brad Spengler (spender) a minap egy, a 2.6.30+ kernelekhez (és a 2.6.18-hoz is) használható helyi root exploit-ot postázott a DailyDave levlistára. Az exploit érdekessége, hogy egy olyan sebezhetőséget használ ki, amely forráskód szinten nézve kihasználhatatlannak látszik. Azonban a gcc optimalizációinak köszönhetően kihasználhatóvá válik.

0day exploit a Mozilla Firefox 3.5-höz

 ( trey | 2009. július 14., kedd - 19:12 )

A Milw0rm egy olyan exploit-ot tett elérhetővé Mozilla Firefox 3.5-höz, amely a Windows számológép alkalmazásának elindításán keresztül mutatja be a sebezhetőséget. A Secunia a hibát "Highly Critical" kategóriába sorolta. A részletek itt olvashatók.

Támadás a "full disclosure" eltörlése érdekében

 ( trey | 2009. július 13., hétfő - 8:47 )

A napokban magát Anti-sec mozgalomnak hívó csoport feltörte az ImageShack-et, a weben található egyik legnagyobb képfájl hostoló oldalt. A támadás következtében egyes, az oldalon tárolt képek helyett a csoport kiáltványa volt olvasható.

Egy éve tudott már a Microsoft a DirectShow sebezhetőségről

 ( trey | 2009. július 9., csütörtök - 18:39 )

A H Security egyik cikke szerint már egy évvel ezelőtt a Microsoft tudomására hozták a nemrég bejelentett DirectShow video ActiveX control sebezhetőséget. Számos antivírus gyártó visszajelzése szerint a sebezhetőséget jelenleg is több ezer speciálisan összeállított weboldal használja ki aktívan.

Újabb információ az állítólagos OpenSSH exploit ügyben

 ( trey | 2009. július 9., csütörtök - 7:23 )

A napokban az a rémhír ütötte fel fejét, hogy a népszerű OpenSSH-hoz 0day exploit van szabadon. A spekulációk nyomán Damien Miller - az OpenSSH egyik fejlesztője - is megszólalt. Röviden: levelet váltott az egyik áldozattal, de a kapott információk alapján semmi sem utal arra, hogy 0day OpenSSH sebezhetőségről lenne szó. Inkább brute-force támadásnak látszik. Damien levele itt.

OpenSSH exploit rémhír

 ( trey | 2009. július 7., kedd - 23:29 )

Az LWN.net - hivatkozva az Internet Storm Center-re - arról ír, hogy egy OpenSSH-val kapcsolatos (jelen stádiumban) rémhír ütötte fel a fejét. A rémhír szerint a hibát aktívan kihasználják. Amennyit eddig lehet tudni az az, hogy a feltételezett exploit a régebbi OpenSSH verziókat (talán a 4.3-ast?) érintheti. Hogy melyikeket, vagy hogy egyáltalán van-e alapja a rémhírnek, azt egyelőre nem lehet tudni. De jobb inkább óvatosnak lenni, mint meglepődni... A részletek itt és itt.

Új DirectShow sérülékenységen keresztül fertőznek weboldalak Windows PC-ket

 ( trey | 2009. július 7., kedd - 14:35 )

A H Security arról ír, hogy egy új, eddig még javítatlan DirectShow sebezhetőséget (buffer overflow) kihasználva rosszindulatú weboldalak aktívan fertőzik a Windows 2000-et, XP-t és Windows Server 2003-at futtató PC-ket. A preparált weboldal meglátogatása elég a fertőzés összeszedéséhez. Az exploit kód publikusan elérhető egyes kínai weboldalakon.

phpMyAdmin adminisztrátorok: vigyázat!

 ( kovzol | 2009. június 29., hétfő - 21:32 )

Lehet, hogy nem csak én járok pórul, hanem más is, illetve más talán mégsem fog, ha elolvassa az alábbiakat.

Egy kollégám felhívta a figyelmemet a mai munin grafikonokra. Kiderült, hogy ma éjjel az egyik webszerverünk elkezdett erősen tekerni, a load felment 1 fölé. Kiderült, hogy egy perl script fogja 100%-ban a processzort, ami a ps-ben

Sok éves FreeBSD bugot javítottak egy Lighttpd biztonsági probléma nyomán

 ( trey | 2009. május 30., szombat - 20:17 )

A Lighttpd 1.4.23-as verzióját megelőző kiadásaiban egy olyan biztonsági problémát fedeztek fel nemrég, amelyet FreeBSD-n, Mac OS X-en és Solaris < 10 kiadásokon lehet előidézni. A bug FreeBSD-n nem ismeretlen, hiszen a róla szóló PR-t még 2000 októberében nyitották. A probléma: ha a szokványos fájlra mutató symlink után egy '/' áll, akkor hozzá lehet férni a fájlhoz.

Távoli kódfuttatásra alkalmat adó hibát találtak a Microsoft DirectX-ben

 ( trey | 2009. május 29., péntek - 8:37 )

A Microsoft tegnap bejelentette, hogy publikus bejelentés nyomán egy új, DirectX-et érintő sebezhetőséget vizsgál. A DirectShow komponensben található sebezhetőséget a támadó egy speciálisan összeállított QuickTime fájl segítségével tudja kihasználni. A redmondi vállalat szerint jelenleg ugyan korlátozott mértékben, de már kihasználják a hibát. A vizsgálat jelen szakaszában úgy tűnik, hogy a Windows 2000 Service Pack 4, Windows XP és Windows Server 2003 operációs rendszerek sebezhetőek, a Windows Vista összes verziója és a Windows Server 2008 nem sebezhető. Javítás egyelőre nincs. A bejelentés itt olvasható.