Titkosítás, biztonság, privát szféra

A US-CERT (United States Computer Emergency Readiness Team) arra figyelmeztet, hogy egyes, Intel CPU-n futó 64 bites operációs rendszerek és virtualizációs szoftverek sebezhetők helyi privilégiumszint-emelés támadással szemben. A sebezhetőség kihasználható helyi privilégiumszint-emelésre, vagy guest-to-host irányú kitörésre virtuális gépen. A hibát Rafal Wojtczuk (Bromium, Inc.) fedezte fel.

A virtualizációs szoftver és operációs rendszer gyártók eddig kiadott hibajegyei, figyelmeztetői, tájékoztatói:

• Xen: CVE-2012-0217 / XSA-7 - 64-bit PV guest privilege escalation vulnerability
• FreeBSD: FreeBSD-SA-12:04.sysret: Privilege escalation when returning from kernel
• Microsoft: User Mode Scheduler Memory Corruption Vulnerability - MS12-042 - Important
• Red Hat: RHSA-2012:0720-1 & RHSA-2012:0721-1

Részletek, további infók: US-CERT Vulnerability Note VU#649219

A LinkedIn incidens apropóján írt egy cikket az ACMQUEUE hasábjaira Poul-Henning Kamp FreeBSD fejlesztő, az md5crypt megalkotója. Kamp írásában azt elemzi, hogy miért hibázott a Linkedin, mikor a jelszavakat unsalted SHA1 hash-ek formájában tárolta.

a sKyKWper/Flamer kártevő [1, 2 - a szerk.] microsoftos aláírást használ egyes komponensei megbízhatóságának igazolásához. Az SRD posztja szerint minderre a Terminal Server Licencing Service gyengesége miatt volt lehetőség, ami gyenge kriptográfiai algoritmust (tipp: MD5) használ a Távoli Asztal kiszolgálók tanúsítványainak kiállításához. A TSLS-hez először a Microsofttól kell egy köztes tanúsítványt igényelni (tehát a Microsoft ismerheti az eredeti igénylőt), amivel a szolgáltatások hitelesíthetők, a kriptográfiai hiba azonban lehetővé tette, hogy ezt, a Microsoft gyökér tanúsítójához láncolódó, kizárólag szerver hitelesítésre szánt tanúsítványt binárisok hitelesítéséhez is felhasználják.

Egyes források 6,5 millió, míg mások akár 8 millió kompromittálódott LinkedIn jelszóról beszélnek. A LinkedIn nemrég még arról tweet-elt, hogy nem tudják egyelőre megerősíteni a biztonsági incidenst, de nem sokkal ezelőtt már jött a megerősítés is. A LinkedIn megerősítette, hogy jelszavak kompromittálódtak. Az érintett LinkedIn felhasználók e-mail értesítést kapnak a teendőkről. Az Ars Technica cikke szerint a LinkedIn elmulasztotta a "sózást"...

Miután a Pastebin-en felbukkant egy post arról, hogy az Android 2.3.4-et futtató ZTE Score M telefonban backdoor van, a kínai mobilgyártó elismerte a rendkívül kellemetlen probléma meglétét. A backdoor sikeres használatával bárki root jogokhoz juthat a készüléken. A biztonsági problémát felfedező Dmitri Alperovitch szerint a backdoor a ZTE-től érkezett a készülékbe szoftverfrissítésen keresztül. Az nem világos még, hogy a backdoor szándékosan került a készülékekbe, vagy csak programozói hanyagság eredménye. A ZTE azt nyilatkozta, hogy a ZTE Score M-en kívül más készülék nem érintett. A cég készít egy javítást a problémára, amelyet OTA frissítésként juttat el a készülékekre. A részletek itt olvashatók.

A hírek szerint a Pastebin-en felbukkant egy script és egy leírás, amely felhasználásával gyakorlatilag bármely Skype felhasználó publikus és privát IP címe kideríthető. A Skype Open Source blog megerősítette, hogy valóban működik a leírás. A Microsoft egy e-mailben küldött állásfoglalás szerint vizsgálja a problémát. További részletek itt.

A hírek szerint egy "hacker" azt ígérte az egyik fórumban, hogy 20 dollárért cserébe bármely Hotmail fiókba betör 1 percen belül. Állítólag állta is a szavát. Valamelyik biztonsági fórumon jutott hozzá olyan Hotmail sebezhetőség információhoz, amely lehetővé tette számára tetszőleges fiókok jelszavának megváltoztatását. Több felhasználó fiókjához fértek így hozzá. Ezen kívül állítólag arra is felhasználták a sebezhetőséget, hogy vonzó, rövid e-mail címekhez tartozó fiókokat - pl. xxx@ - ellopjanak és azokat más tulajdonoshoz rendeljék hozzá.
A sebezhetőséget Benjamin Kunz Mejri biztonsági szakértő is felfedezte és arról április 20-án értesítette a Microsoft-ot. A redmondi vállalat április 21-én javította a hibát, amelynek részletei elolvashatók itt.

A VMware Security Response Center igazgatója, Iain Mulholland tegnapelőtt a VMware.com-on megerősítette, hogy valóban ESX kódrészletek szivárogtak ki. A szóban forgó kódot április 8-án tette ki a Pastebin-re egy magát "Hardcore Charlie"-nak nevező ismeretlen. A VMware közlése szerint nem zárható ki, hogy még több kód lát napvilágot a jövőben. Az Ars Technica szerint "szerencsére" régi, 2003-2004-ből származó kódról van szó. A hírek szerint a kódot a kínai katonai beszállító CEIEC-től lophatták el.

Az Oracle nemrég kiadta a MySQL 5.5.22-es és 5.1.62-es verzióit, amelyben több bug is javításra került. A kiadások érdekessége, hogy az Oracle bennük felejtette az egyik javított sebezhetőség teszteléséhez használt PoC-t (a forráscsomagokban a mysql-test/suite/innodb/t/innodb_bug13510739.test fájl).

A részletek itt és itt olvashatók.